§1 Allgemeines

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers i.S.d. Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung (DSGVO). Dieser Vertrag zur Auftragsverarbeitung (nachfolgend: AV-Vertrag) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus den Leistungen des Onlineangebots nebst der diesen konkretisierenden allgemeinen Geschäftsbedingungen (im Folgenden Hauptvertrag) beschriebenen Auftragsverarbeitung ergeben.

(2) Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können. Sofern in diesem Vertrag der Begriff „Datenverarbeitung“ oder „Verarbeitung“ (von Daten) benutzt wird, wird die Definition der „Verarbeitung“ i.S.d. Art. 4 Nr. 2 DSGVO zugrunde gelegt. Damit ist demnach jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung gemeint.

§2 Gegenstand des Auftrages

(1) ITService verarbeitet personenbezogene Daten im Auftrag des Auftraggebers (Auftragsverarbeitung). Dies umfasst alle Tätigkeiten, die ITService im Rahmen der vertraglichen vereinbarten Leistungen und über die Erbringung individueller Leistungen vom Onlineangebot, die zur Erfüllung notwendig sind.

(2) Die Art der Verarbeitung umfasst alle Arten von Verarbeitungen im Sinne der DSGVO und beinhalten folgende Leistungen:

• Administration und Wartung von IT‐Systemen

• Fernwartung von IT-Systemen und NAS-Systeme

• Dokumentation der erbrachten Arbeiten und Leistungen

(3) Zwecke der Verarbeitung sind alle zur Erbringung der vertraglich vereinbarten erforderlichen unter Absatz (2) definierten Leistungen zur Auftragsverarbeitung. Der Zugriff auf Daten des Auftraggebers ergibt sich aus den Leistungsbeschreibungen. Der Auftraggeber stimmt diesen Vertragszwecken mit Annahme dieser Vereinbarung zur Auftragsverarbeitung zu.

(4) Art der personenbezogenen Daten sind insbesondere:

• Kundenstammdaten (Name, Anschrift)

• Kommunikationsdaten (Fax- und Telefonnummer, E-Mail, IP-Adressen)

• Abrechnungs- und Zahlungsdaten

• Dokumentation der erbrachten Leistungen

(5) Bei den Betroffenen dieser Daten handelt es sich insbesondere um:

• Kunden und potenzielle Kunden des Auftraggebers (Endverbraucher)

• Mitarbeiter und Angehörige des Auftraggebers

• Mitarbeiter des Auftragnehmers

§3 Sicherheit und Vertraulichkeit

(1) Beide Vertragsparteien, garantieren dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet ist.

(2) Beide Vertragsparteien gewährleisten, dass es den mit der Verarbeitung der Daten befassten Mitarbeiter und befugten Personen untersagt ist, die Daten außerhalb der vertraglich festgelegten Zweckmäßigkeit zu verarbeiten. Ferner gewährleisten sich beide Parteien, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeits-/ Verschwiegenheitspflicht besteht auch nach Beendigung der zweckgebundenen Verarbeitung fort.

(3) Die Vertragsparteien berücksichtigen das angemessene Schutzniveau von Daten, die übermittelt, gespeichert oder verarbeitet werden. Das schließt Risiken wie u. a. die Vernichtung, den Verlust oder die Veränderung sowie den unbefugten Zugang zu personenbezogenen Daten ein.

(4) Beide Vertragspartner sind dazu verpflichtet, sich unverzüglich zu unterrichten, wenn Verletzungen des Schutzes personenbezogener Daten bekannt werden. Sowohl ITService als auch der Kunde treffen die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der betroffenen Personen und sprechen sich hierzu unverzüglich miteinander ab. Zur Informationspflicht gehört: die Art der Verletzung, die Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Es werden im sämtliche in seinem Verantwortungsbereich möglichen Maßnahmen ergriffen, um die Verletzungen nicht weiter auszuweiten, die Integrität und Sicherheit des Systems wiederherzustellen und die Auswirkungen zu mindern.

§4 Transparenz

(1) ITSERVICE verpflichtet sich sicher zu stellen, dass der Nutzer einfach und schnell Informationen zum Umgang mit ihren Daten erhalten kann. Hierzu zählen auch Informationen zum Zweck der gespeicherten Daten.

(2) Die Angaben, wie personenbezogene Daten von ITService verarbeitet werden, erhält der Auftraggeber nach Aufforderung in verständlicher Form.

(3) Die Laufzeit dieses AV-Vertrages entspricht der Laufzeit des Hauptvertrages und der Leistungsvereinbarung, sofern sich aus den Bestimmungen des AV-Vertrages nicht etwas anderes ergibt. Den Vertragspartnern ist bewusst, dass ohne Vorliegen eines gültigen AV-Vertrages grundsätzlich keine weitere Auftragsverarbeitung durchgeführt werden darf.

§5 Zweckmäßigkeit

(1) Die Parteien verarbeiten personenbezogene Daten im gegenseitigen Auftrag. Dies umfasst Tätigkeiten, die im Hauptvertrag konkretisiert sind. Die Rechte und Pflichten der Parteien sind im zu Grunde liegenden Auftrag festgelegt, hieran bindet sich die Zweckmäßigkeit im Umgang mit Daten.

(2) Auch verpflichten sich beide Parteien im Zuge dieser Vereinbarung, dass der Umgang mit Daten durch klar wirtschaftlich vertretbare Maßnahmen gerechtfertigt ist.

(3) Die Speicherung der Daten richtet sich nach der Zweckmäßigkeit. Beide Partner verpflichten sich nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten zu löschen, sofern nicht eine rechtliche Verpflichtung (etwa steuerrechtliche Bedingungen) zur Speicherung der personenbezogenen Daten besteht.

§6 Partnerschaftliche Rechte und Pflichten

(1) Sowohl ITSERVICE als auch der Kunde dürfen Daten von betroffenen Personen nur im Rahmen des zugrundeliegenden Hauptvertrags verarbeiten außer es liegt ein Ausnahmefall im Sinne des Artikel 28 Abs. 3 a) DSGVO vor. ITService informiert den Kunden unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen anwendbare Gesetze verstößt.

(2) Beide Parteien unterstützen sich angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, ihrer Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person nachzukommen.

(3) Die Parteien unterstützen sich unter Berücksichtigung der Art der Verarbeitung und der zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 33 bis 36 DSGVO genannten Pflichten.

§7 Weitergabe der Daten an Dritte

(1) Der Kunde übermittelt keine Daten ohne vorherige gesonderte, schriftliche Genehmigung von ITService.

(2) Eine Übermittlung Ihrer persönlichen Daten an Dritte zu anderen als den im folgenden aufgeführten Zwecken findet nicht statt. Soweit dies nach Art. 6 Abs. 1 S. 1 lit. b DSGVO für die Abwicklung/ Durchführung des Auftrages oder der Geschäftsbeziehung mit Ihnen erforderlich ist, werden Ihre personenbezogenen Daten an Dritte weitergegeben.
Hierzu gehört insbesondere die Weitergabe an Steuerberater, Finanzamt und Unternehmen die mit den Zahlungsabwicklungen (Paypal, Klarna, GiroPay) unserer Online-Inhalte, beauftragt worden sind.

(3) Weitergabe von zweckgebndenen Daten an TeamViewer Gmbh. Zur Leistungserfüllung für Remote-Support und Remote-Coaching ist der Einsatz der Software von TeamViewer GmbH erforderlich. Durch die Ausführung oder Installation der Fernwartungssoftware stimmen Sie den Datenschutzbestimmung von TeamViewer zu. ITService hat keinen Einfluss darauf in welcher Weise diese Informationen gespeichert werden.
Beim Starten der TeamViewer Software werden - unseren Wissens nach - folgende Daten erhoben und an den TeamViewer Server übermittelt: Ihre IP-Adresse, Ihr Standort, Ihre TeamViewer Device ID, Ihre Machine ID und der gewählte Bildchirmname.

§9 Löschung und Rückgabe

(1) Nach Abschluss der vertraglich vereinbarten Arbeiten oder nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten, sofern dem keine den Auftragnehmer betreffenden gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein Protokoll der Löschung ist auf Anforderung vorzulegen.

(2) Dokumentationen, die dem Nachweis der ordnungsgemäßen Auftrags- und Datenverarbeitung dienen, dürfen durch den Auftragnehmer über das Vertragsende hinaus aufbewahrt werden. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

(3) Entstehen nach Vertragsbeendigung zusätzliche Kosten durch die Herausgabe oder Löschung der Daten, so trägt diese der Auftragnehmer.

§9 Haftung

(1) Die Haftung der Vertragsparteien für Verstöße gegen Bestimmungen des Datenschutzrechts gegenüber den hiervon Betroffenen sowie das Verfahren für den Ausgleich solcher Schäden im Innenverhältnis richten sich nach Art. 82 DS-GVO.

(2) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

§9 Schlussbestimmungen

(1) Im Falle eines Widerspruchs zwischen Hauptvertrag nebst konkretisierender AGB und dieser Vereinbarung geht diese Vereinbarung vor, soweit der Widerspruch die Verarbeitung personenbezogener Daten betrifft.

(2) Es gilt deutsches Recht.

(3) Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz des Auftragnehmers.

(4) Soweit die Parteien bereits eine Vereinbarung zur Auftragsdatenverarbeitung gemäß § 11 BDSG geschlossen haben, wird hiermit vereinbart, dass diese zum 25. Mai 2018 einvernehmlich aufgehoben und durch diese neue Vereinbarung zur Auftragsverarbeitung ersetzt wird.