Vereinbarung zur Auftragsverarbeitung (AVV)

1.1 Gegenstand

Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform „Herz-Kilometer" einschließlich Website, Verwaltungsbereich, Challenge-Seiten, mobilen Apps, Schnittstellen, Aktivitätstracking, Auswertungen und Reportingfunktionen zur Verfügung.

Die Plattform ermöglicht insbesondere die Einrichtung und Durchführung von Lauf-, Walking-, Wander- und vergleichbaren Bewegungs-Challenges, bei denen zurückgelegte Kilometer erfasst, einer Challenge zugeordnet und mit einem sozialen Projekt oder einem sonstigen Impact-Ziel verbunden werden können.

1.2 Mögliche Verantwortliche

Verantwortlicher im Sinne dieser Vereinbarung kann insbesondere sein:

• ein Unternehmen oder eine sonstige wirtschaftlich tätige Organisation,
• ein Verein oder Verband,
• eine Schule, Hochschule oder sonstige Bildungseinrichtung,
• eine Stiftung, gemeinnützige Organisation oder soziale Einrichtung,
• eine Initiative, Nachbarschaft, Community oder sonstige organisierte Personengruppe,
• eine natürliche Person, soweit sie die Plattform nicht ausschließlich für persönliche oder familiäre Tätigkeiten nutzt und über Zwecke und Mittel der Verarbeitung personenbezogener Daten anderer Personen entscheidet.

1.3 Umfang der Auftragsverarbeitung

Diese Vereinbarung gilt nur, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Dies betrifft insbesondere Fälle, in denen der Verantwortliche:

• eine eigene interne oder öffentliche Challenge anlegt oder verwaltet,
• Teilnehmende einlädt oder ihnen einen Beitritt ermöglicht,
• Join-Codes, Einladungslinks oder vergleichbare Zugangswege bereitstellt,
• Rollen und Berechtigungen innerhalb einer Challenge oder Organisation vergibt,
• Challenge-Zeitraum, Kilometerziel, Aktivitätsarten oder Teilnahmebedingungen bestimmt,
• ein soziales Projekt oder einen Spendenempfänger auswählt,
• personenbezogene oder aggregierte Challenge-Auswertungen erhält,
• über Veröffentlichungseinstellungen, Leaderboards oder Teilnehmerdarstellungen entscheidet.

1.4 Nicht von dieser Vereinbarung erfasste Fälle

Diese Vereinbarung gilt nicht allein deshalb, weil ein Unternehmen oder eine andere Organisation eine fremde Challenge als Supporter unterstützt.

Ein Supporter, der insbesondere:

• ein Supporter-Paket auswählt,
• eine Servicegebühr an Herz-Kilometer zahlt,
• ein Impact-Budget gegenüber einem Projekt, betterplace.org oder einer NGO zusagt,
• sein Logo oder ein Sponsor-Statement bereitstellt,
• ausschließlich aggregierte Abschlussinformationen erhält,

wird dadurch grundsätzlich nicht zum Verantwortlichen für die personenbezogenen Daten der Challenge-Teilnehmenden.

Für solche Supporter gelten die jeweiligen Supporter-Bedingungen, die Datenschutzerklärung und gegebenenfalls gesonderte Vereinbarungen. Diese AVV gilt für einen Supporter nur, wenn dieser zusätzlich eine eigene Challenge veranstaltet oder Herz-Kilometer nachweislich mit der Verarbeitung personenbezogener Daten in seinem Auftrag beauftragt.

1.5 Eigenständige Verantwortlichkeit von Herz-Kilometer

Soweit Herz-Kilometer personenbezogene Daten für eigene Zwecke und aufgrund eigener gesetzlicher oder vertraglicher Verpflichtungen verarbeitet, handelt Herz-Kilometer nicht als Auftragsverarbeiter, sondern als eigenständig Verantwortlicher.

Dies kann insbesondere betreffen:

• den Abschluss und die Verwaltung des Vertrags mit dem Verantwortlichen,
• die Abrechnung von Service- oder Nutzungsentgelten,
• die Verwaltung eigener Ansprechpartner- und Kundendaten,
• die Erfüllung gesetzlicher Aufbewahrungspflichten,
• die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
• Maßnahmen zur allgemeinen IT- und Plattformsicherheit,
• die Verhinderung von Missbrauch, Betrug oder rechtswidriger Nutzung.

Diese Verarbeitung richtet sich nach der Datenschutzerklärung von Herz-Kilometer.

1.6 Hauptvertrag

Als Hauptvertrag gelten je nach Nutzung insbesondere:

• ein kostenpflichtiges Abonnement,
• ein Vertrag über eine Firmen- oder Organisations-Challenge,
• eine Vereinbarung über die Nutzung einer Community-Challenge,
• ein unentgeltlicher Nutzungsvertrag,
• die für den Verantwortlichen geltenden AGB,
• eine individuell geschlossene Leistungsvereinbarung.

1.7 Dauer

Die Dauer dieser Vereinbarung entspricht der Dauer des Hauptvertrags beziehungsweise der Nutzung der jeweiligen Organisations- oder Challenge-Funktionen.

Sie gilt darüber hinaus für vereinbarte Übergangs-, Export-, Sicherungs- und Löschfristen nach Ziffer 10.

2.1 Art der Verarbeitung

Je nach Nutzung der Plattform kann die Verarbeitung insbesondere folgende Vorgänge umfassen:

• Erheben,
• Erfassen,
• Organisieren,
• Ordnen,
• Speichern,
• Anpassen und Verändern,
• Auslesen,
• Abfragen,
• Verwenden,
• Berechnen,
• Aggregieren,
• Verknüpfen,
• Anzeigen,
• Übermitteln,
• Einschränken,
• Exportieren,
• Löschen und Vernichten.

2.2 Zwecke der Verarbeitung

Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Bereitstellung und Betrieb der Herz-Kilometer-Plattform,
• Einrichtung und Verwaltung von Organisationskonten,
• Einrichtung, Durchführung und Verwaltung interner oder öffentlicher Challenges,
• Verwaltung von Administratoren, Verantwortlichen, Team-Leads und sonstigen Rollen,
• Verwaltung von Mitgliedschaften, Teilnahmen, Join-Codes, Einladungen und Zugängen,
• Erfassung, Übernahme und Zuordnung von Aktivitäts- und Kilometerdaten,
• manuelle oder automatische Erfassung von Aktivitäten,
• Import von Aktivitäten aus verbundenen Drittanbieterdiensten,
• Berechnung von Einzel-, Team- und Gesamtfortschritten,
• Darstellung von Fortschritt, Kilometerständen und Challenge-Ergebnissen,
• Bereitstellung von Leaderboards, sofern vom Verantwortlichen aktiviert,
• Darstellung von Teilnehmernamen, Anzeigenamen oder Profilinformationen entsprechend den gewählten Einstellungen,
• Verbindung einer Challenge mit einem sozialen Projekt, einer NGO oder einer Spendenaktion,
• Zuordnung und Darstellung von Supportern oder Sponsoren,
• Verwaltung von Impact-Zusagen und Unterstützerpaketen,
• Entgegennahme und Verwaltung von Nachweisen über erfolgte Zahlungen oder Spenden,
• Erstellung von Zwischen-, Abschluss-, Impact-, CSR- oder ESG-Berichten,
• Erstellung von Exporten, Kennzahlen und Kommunikationsmaterialien,
• Versand von System-, Einladungs-, Status- und Report-E-Mails,
• Bereitstellung von Support,
• Gewährleistung von Sicherheit, Stabilität und Missbrauchsprävention,
• technische Protokollierung, Fehleranalyse, Wartung und Wiederherstellung.

2.3 Öffentliche Challenge-Inhalte

Bei öffentlichen Challenges können bestimmte Informationen entsprechend den Einstellungen und Weisungen des Verantwortlichen öffentlich dargestellt werden.

Dies kann insbesondere betreffen:

• Name und Beschreibung der Challenge,
• Name oder Logo des Veranstalters,
• soziales Projekt oder begünstigte Organisation,
• Kilometerziel und Challenge-Zeitraum,
• Gesamtfortschritt,
• Anzahl der Teilnehmenden,
• aggregierte Aktivitätsdaten,
• Supporter, Logos und Sponsor-Statements,
• bestätigter Impact oder Spendennachweis,
• öffentliche Leaderboards oder Teilnehmeranzeigen, sofern aktiviert.

Der Verantwortliche legt fest, welche optionalen Inhalte öffentlich angezeigt werden. Der Auftragsverarbeiter stellt die entsprechenden technischen Einstellungsmöglichkeiten bereit.

2.4 Zweckbindung

Der Auftragsverarbeiter verarbeitet die dieser Vereinbarung unterliegenden Daten ausschließlich:

• zur Erfüllung des Hauptvertrags,
• auf dokumentierte Weisung des Verantwortlichen,
• oder soweit eine Verarbeitung unionsrechtlich oder nach dem Recht eines Mitgliedstaats vorgeschrieben ist.

Eine Verwendung der im Auftrag verarbeiteten personenbezogenen Daten für eigene Werbe-, Profilbildungs- oder Vermarktungszwecke des Auftragsverarbeiters erfolgt nicht, sofern hierfür keine gesonderte Rechtsgrundlage besteht.

3.1 Betroffene Personen

Je nach Art der Organisation und Challenge können insbesondere folgende Personengruppen betroffen sein:

• Mitarbeitende,
• Mitglieder von Vereinen oder Verbänden,
• Mitglieder und Unterstützer von Communities oder Initiativen,
• Schülerinnen und Schüler,
• Studierende,
• Lehrkräfte und sonstige Beschäftigte von Bildungseinrichtungen,
• ehrenamtlich Tätige,
• Teilnehmerinnen und Teilnehmer von Challenges,
• eingeladene oder beitretende Nutzer,
• Teammitglieder und Team-Leads,
• Administratoren,
• Ansprechpartner und vertretungsberechtigte Personen des Verantwortlichen,
• Ansprechpartner von sozialen Projekten, NGOs oder Supportern,
• weitere vom Verantwortlichen hinzugefügte oder zugelassene Nutzergruppen.

3.2 Stammdaten und Organisationsdaten

Je nach Nutzung können insbesondere folgende Daten verarbeitet werden:

• Vor- und Nachname,
• Anzeigename oder Nutzername,
• E-Mail-Adresse,
• Nutzer-ID,
• Organisations-, Vereins-, Schul-, Hochschul-, Community- oder Teamzuordnung,
• Rolle und Berechtigungsstufe,
• Beitritts- und Mitgliedschaftsstatus,
• Angaben zur vertretungsberechtigten oder administrierenden Person,
• Organisationsname und Organisationsdaten.

3.3 Account- und Authentifizierungsdaten

• Login- und Authentifizierungsinformationen,
• technisch erforderliche Tokens,
• Verifizierungsstatus,
• Passwort-Hashes,
• Sitzungs- und Sicherheitsinformationen,
• Informationen über verbundene Konten oder Dienste.

Passwörter werden nicht im Klartext gespeichert.

3.4 Aktivitäts- und Bewegungsdaten

Je nach Nutzung und angebundenem Dienst können insbesondere verarbeitet werden:

• zurückgelegte Kilometer oder Distanzen,
• Aktivitätsart,
• Datum und Zeitpunkt einer Aktivität,
• Aktivitätsdauer,
• Zuordnung zu einer Challenge,
• manuell eingetragene Aktivitäten,
• über Drittanbieterdienste importierte Aktivitäten,
• Status einer Aktivität,
• gegebenenfalls weitere zur Challenge-Auswertung erforderliche Aktivitätsmetadaten.

Eine Verarbeitung präziser GPS-Strecken oder Standortverläufe erfolgt nur, sofern dies als konkrete Funktion angeboten, erforderlich und entsprechend konfiguriert wurde. Soweit für die Challenge ausschließlich Distanz- und Aktivitätswerte erforderlich sind, sollen keine vollständigen Streckenverläufe verarbeitet werden.

3.5 Challenge-, Teilnahme- und Ergebnisdaten

• Challenge-Mitgliedschaft,
• Beitrittsdatum,
• Join-Code- oder Einladungszuordnung,
• Einzel-, Team- und Gesamtkilometer,
• Rang oder Position in einem Leaderboard,
• Fortschritt und Zielerreichung,
• Teilnahmequote,
• Aktivitätsmix,
• aggregierte Kennzahlen,
• Ergebnis- und Reportdaten,
• ausgestellte Zertifikate oder Abschlussnachweise.

3.6 Supporter-, Projekt- und Impact-Daten

Soweit diese Daten im Auftrag des Verantwortlichen verarbeitet werden:

• Name und Logo eines Supporters,
• Ansprechpartner und geschäftliche Kontaktdaten,
• gewähltes Supporter-Paket,
• Zahl und Umfang zugesagter Impact-Kilometer,
• Sponsor- oder Supporter-Statement,
• Name und Informationen zum unterstützten Projekt,
• Angaben zu betterplace.org, einer NGO oder einem sonstigen Empfänger,
• hochgeladene Zahlungs-, Spenden- oder Erfüllungsnachweise,
• Status der Prüfung oder Bestätigung,
• Angaben für Abschlussberichte und Kommunikationsmaterialien.

3.7 Nutzungs-, Geräte- und Protokolldaten

• Zeitpunkt und Umfang der Nutzung,
• Interaktionen mit App und Website,
• technische Ereignisse,
• IP-Adresse,
• Geräte- und Browserinformationen,
• Betriebssystem,
• Log-, Fehler- und Crashdaten,
• sicherheitsrelevante Ereignisse,
• Zeitstempel von Änderungen und administrativen Aktionen.

3.8 Kommunikationsdaten

• Supportanfragen,
• Nachrichten an den Verantwortlichen oder den Auftragsverarbeiter,
• Systembenachrichtigungen,
• Inhalte von Rückfragen oder Fehlerbeschreibungen,
• gegebenenfalls übermittelte Anhänge.

3.9 Besondere Kategorien personenbezogener Daten

Aktivitäts- und Bewegungsdaten können abhängig von Inhalt, Detailgrad, Kontext und Verwendungszweck Rückschlüsse auf die Gesundheit oder körperliche Leistungsfähigkeit einer Person zulassen und gegebenenfalls als Gesundheitsdaten im Sinne von Art. 9 DSGVO zu qualifizieren sein.

Soweit besondere Kategorien personenbezogener Daten verarbeitet werden:

• erfolgt die Verarbeitung ausschließlich im dokumentierten Auftrag des Verantwortlichen,
• werden erhöhte Schutzmaßnahmen nach Anlage 1 angewandt,
• beschränkt der Auftragsverarbeiter den Umfang auf die für die Challenge erforderlichen Daten,
• stellt der Verantwortliche das Vorliegen einer Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO sicher.

4.1 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung zur Verarbeitung besteht.

In einem solchen Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über die gesetzliche Verpflichtung, soweit dies rechtlich zulässig ist.

4.2 Form der Weisung

Weisungen können insbesondere erfolgen durch:

• Einstellungen innerhalb der Plattform,
• Auswahl oder Konfiguration von Funktionen,
• Festlegung von Challenge-Einstellungen,
• Aktivierung oder Deaktivierung öffentlicher Darstellungen,
• E-Mail,
• Supportanfrage,
• sonstige Mitteilung in Textform.

Die im Rahmen des Hauptvertrags vereinbarten und durch die Plattform vorgesehenen Verarbeitungsvorgänge gelten als dokumentierte Weisungen.

4.3 Rechtswidrige Weisungen

Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich.

Der Auftragsverarbeiter kann die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt, ändert oder zurücknimmt.

Offensichtlich rechtswidrige Weisungen müssen nicht ausgeführt werden.

4.4 Pflichten des Verantwortlichen

Der Verantwortliche bleibt insbesondere verantwortlich für:

• die Rechtmäßigkeit der Verarbeitung,
• die Auswahl geeigneter Rechtsgrundlagen,
• die Erfüllung der Informationspflichten gegenüber betroffenen Personen,
• die ordnungsgemäße Einbindung von Mitarbeitenden, Mitgliedern, Schülerinnen, Schülern, Studierenden oder sonstigen Teilnehmenden,
• die Rechtmäßigkeit von Einladungen und Teilnehmerlisten,
• die Entscheidung über öffentliche Darstellungen,
• die Rechtmäßigkeit von Leaderboards,
• die Einholung erforderlicher Einwilligungen,
• die Einhaltung besonderer Anforderungen bei Minderjährigen,
• die Rechtmäßigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten,
• die Bearbeitung und rechtliche Bewertung von Betroffenenanfragen,
• die Zulässigkeit übermittelter Logos, Bilder, Texte und Sponsor-Statements.

5.1 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen:

• zur Vertraulichkeit verpflichtet wurden,
• nur im erforderlichen Umfang auf Daten zugreifen,
• angemessen zu Datenschutz und Informationssicherheit unterwiesen wurden.

5.2 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft und unterhält geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen sind in Anlage 1 beschrieben.

5.3 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen insbesondere bei:

• der Erfüllung von Betroffenenrechten,
• der Gewährleistung der Datensicherheit,
• der Meldung von Datenschutzverletzungen,
• Datenschutz-Folgenabschätzungen,
• vorherigen Konsultationen mit Aufsichtsbehörden,
• der Bereitstellung von Informationen zu Unterauftragsverarbeitern,
• der Rückgabe, dem Export und der Löschung von Daten.

5.4 Verzeichnis von Verarbeitungstätigkeiten

Der Auftragsverarbeiter führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO, soweit dies gesetzlich erforderlich ist.

5.5 Datenschutz durch Technikgestaltung

Der Auftragsverarbeiter berücksichtigt bei Entwicklung und Betrieb der Plattform die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Dazu gehören insbesondere:

• Datenminimierung,
• restriktive Standardberechtigungen,
• Trennung von Organisationen und Challenges,
• rollenbasierte Zugriffe,
• angemessene Lösch- und Aufbewahrungsregeln,
• Begrenzung öffentlicher Darstellungen auf konfigurierte Inhalte.

6.1 Allgemeine Genehmigung

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen.

Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

6.2 Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters.

Die Information kann insbesondere erfolgen:

• per E-Mail,
• über den Verwaltungsbereich,
• über eine öffentlich zugängliche und versionierte Unterauftragsverarbeiterliste.

Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.

Kann der Auftragsverarbeiter die vereinbarte Leistung ohne den betreffenden Unterauftragsverarbeiter nicht zumutbar erbringen, können die Parteien den betroffenen Leistungsteil oder den Hauptvertrag außerordentlich beenden.

6.3 Vertragliche Verpflichtung

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Anforderungen des Art. 28 DSGVO entsprechen.

6.4 Drittanbieterdienste der Teilnehmenden

Dienste wie Strava, Garmin, Polar, Suunto, Apple Health, Samsung Health oder vergleichbare Anbieter können von Teilnehmenden eigenständig verbunden werden.

Diese Anbieter handeln hinsichtlich ihrer eigenen Dienste regelmäßig als eigenständig Verantwortliche und sind nicht allein aufgrund der Verbindung mit Herz-Kilometer Unterauftragsverarbeiter.

Der Auftragsverarbeiter verarbeitet die von diesen Diensten empfangenen und für die Challenge erforderlichen Daten nach Maßgabe dieser Vereinbarung.

6.5 Projekt-, Spenden- und Zahlungsanbieter

betterplace.org, NGOs, Projektträger, Zahlungsdienstleister und sonstige Empfänger können hinsichtlich ihrer jeweiligen Leistungen eigenständig Verantwortliche sein.

Die datenschutzrechtliche Rolle richtet sich nach der konkreten Verarbeitung und nicht allein nach der technischen Einbindung in die Plattform.

7.1 Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Bearbeitung von Anträgen betroffener Personen auf:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch,
• Widerruf einer Einwilligung,
• Nichtunterwerfung unter ausschließlich automatisierte Entscheidungen, soweit einschlägig.

7.2 Weiterleitung von Anfragen

Geht beim Auftragsverarbeiter eine Anfrage ein, die erkennbar eine Verarbeitung im Auftrag des Verantwortlichen betrifft, wird er:

• die Anfrage an den Verantwortlichen weiterleiten oder
• die betroffene Person darauf hinweisen, sich an den Verantwortlichen zu wenden.

Der Auftragsverarbeiter beantwortet solche Anfragen nur auf Weisung des Verantwortlichen oder soweit dies gesetzlich erforderlich oder zulässig ist.

7.3 Zuständigkeit

Der Verantwortliche bleibt für:

• die Identitätsprüfung,
• die rechtliche Bewertung,
• die Kommunikation mit der betroffenen Person,
• die Einhaltung gesetzlicher Fristen

verantwortlich.

Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei:

• der Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist,
• der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO,
• einer vorherigen Konsultation gemäß Art. 36 DSGVO.

Die Unterstützung umfasst insbesondere die Bereitstellung verfügbarer Informationen über:

• Verarbeitungsvorgänge,
• Datenkategorien,
• technische und organisatorische Maßnahmen,
• Unterauftragsverarbeiter,
• Speicherorte,
• Lösch- und Sicherheitskonzepte.

9.1 Meldung

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit die Verletzung im Auftrag verarbeitete Daten betrifft.

9.2 Inhalt der Meldung

Die Meldung enthält, soweit zu diesem Zeitpunkt verfügbar:

• eine Beschreibung der Art der Verletzung,
• die betroffenen Datenkategorien,
• die betroffenen Personengruppen,
• eine ungefähre Zahl betroffener Personen und Datensätze,
• die voraussichtlichen Folgen,
• bereits ergriffene oder empfohlene Maßnahmen,
• eine Kontaktmöglichkeit für Rückfragen.

Fehlende Informationen können schrittweise nachgereicht werden.

9.3 Weitere Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen und angemessenen Umfang bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO.

Die Entscheidung über eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen obliegt dem Verantwortlichen.

10.1 Verarbeitung nach Vertragsende

Nach Beendigung des Hauptvertrags verarbeitet der Auftragsverarbeiter die im Auftrag verarbeiteten Daten nur noch, soweit dies erforderlich ist für:

• die Vertragsabwicklung,
• einen vereinbarten Datenexport,
• die Rückgabe oder Löschung,
• die Aufrechterhaltung technisch erforderlicher Sicherungen,
• die Erfüllung gesetzlicher Pflichten.

10.2 Exportfrist

Der Verantwortliche kann bis zu 30 Tage nach Vertragsende einen Export der im Auftrag verarbeiteten Daten verlangen, soweit eine entsprechende Exportfunktion nicht bereits innerhalb der Plattform bereitgestellt wird.

10.3 Format

Der Auftragsverarbeiter stellt die Daten, soweit technisch möglich und verhältnismäßig, in einem strukturierten, gängigen und maschinenlesbaren Format bereit.

Eine Verpflichtung zur Übertragung proprietärer Software, Algorithmen, Auswertungslogiken oder interner Sicherheitsinformationen besteht nicht.

10.4 Löschung

Nach Ablauf der Exportfrist oder nach abgeschlossenem Export löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, soweit:

• keine gesetzliche Aufbewahrungspflicht besteht,
• keine anderweitige Rechtsgrundlage besteht,
• die Daten nicht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.

10.5 Backups

Daten in Sicherungskopien werden im Rahmen der regulären Backup- und Überschreibungszyklen gelöscht oder überschrieben.

Bis zur endgültigen Überschreibung werden sie vor einer produktiven Weiterverarbeitung geschützt.

10.6 Eigenständig verarbeitete Daten

Daten, die Herz-Kilometer als eigenständig Verantwortlicher verarbeitet, insbesondere Vertrags-, Abrechnungs-, Sicherheits- oder Nachweisdaten, unterliegen nicht dem Löschungswahlrecht des Verantwortlichen nach dieser Ziffer.

10.7 Nachweis

Der Auftragsverarbeiter bestätigt die Löschung auf begründete Anfrage in angemessenem Umfang.

11.1 Nachweise

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

Hierzu können insbesondere gehören:

• Beschreibung der technischen und organisatorischen Maßnahmen,
• Unterauftragsverarbeiterliste,
• Sicherheits- und Datenschutzkonzepte,
• Prüfberichte oder Zertifikate, soweit vorhanden,
• standardisierte Fragebögen und Selbstauskünfte.

11.2 Audits

Der Verantwortliche kann die Einhaltung dieser Vereinbarung selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer kontrollieren.

Audits sind:

• grundsätzlich zunächst durch Dokumentenprüfung durchzuführen,
• mit angemessener Vorankündigung anzukündigen,
• während üblicher Geschäftszeiten durchzuführen,
• auf den erforderlichen Umfang zu beschränken,
• unter Schutz von Betriebs-, Geschäfts- und Sicherheitsgeheimnissen durchzuführen.

11.3 Vor-Ort-Prüfungen

Vor-Ort-Prüfungen sind nur zulässig, wenn:

• ein konkreter berechtigter Anlass besteht,
• eine Dokumentenprüfung nicht ausreicht,
• die Prüfung den Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigt.

11.4 Kosten

Der Verantwortliche trägt die angemessenen Kosten einer Kontrolle, sofern diese nicht aufgrund einer nachgewiesenen wesentlichen Pflichtverletzung des Auftragsverarbeiters erforderlich geworden ist.

Die Parteien vereinbaren die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen.

Der Auftragsverarbeiter darf die Maßnahmen entsprechend der technischen Entwicklung fortentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen.

Das vereinbarte Sicherheitsniveau darf dadurch nicht wesentlich unterschritten werden.

Wesentliche Änderungen, die das Sicherheitsniveau erheblich reduzieren, werden dem Verantwortlichen vorab mitgeteilt.

13.1 Grundsatz

Personenbezogene Daten werden grundsätzlich innerhalb des Europäischen Wirtschaftsraums verarbeitet, soweit dies von den eingesetzten Diensten unterstützt wird.

13.2 Drittlandübermittlungen

Soweit eine Übermittlung personenbezogener Daten in ein Drittland erfolgt, stellt der Auftragsverarbeiter sicher, dass die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Geeignete Garantien können insbesondere sein:

• ein Angemessenheitsbeschluss,
• EU-Standardvertragsklauseln,
• zusätzliche technische und organisatorische Schutzmaßnahmen,
• sonstige gesetzlich anerkannte Übermittlungsinstrumente.

13.3 Informationen

Informationen zu möglichen Drittlandverarbeitungen ergeben sich aus Anlage 2 und den jeweils geltenden Anbieterinformationen.

14.1 Allgemeine Regelung

Es gelten die Haftungsbestimmungen des Hauptvertrags beziehungsweise der AGB.

Im Verhältnis zwischen den Parteien haftet der Auftragsverarbeiter für Verstöße gegen diese Vereinbarung nach Maßgabe der gesetzlichen Vorschriften und der wirksam vereinbarten Haftungsregelungen.

14.2 Art. 82 DSGVO

Die gesetzlichen Haftungsregelungen nach Art. 82 DSGVO bleiben unberührt.

14.3 Verantwortung für Inhalte und Weisungen

Der Verantwortliche haftet im Innenverhältnis für Schäden und Aufwendungen, die auf:

• rechtswidrigen Weisungen,
• unzulässigen Teilnehmerlisten,
• fehlenden Rechtsgrundlagen,
• unzulässigen öffentlichen Darstellungen,
• rechtswidrig verwendeten Logos, Bildern oder Texten,
• nicht erfüllten Informationspflichten

beruhen, soweit der Auftragsverarbeiter die Ursache nicht zu vertreten hat.

15.1 Vorrang

Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag hat diese Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag Vorrang.

15.2 Änderungen

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

Dies gilt auch für Änderungen, die durch eine elektronisch angenommene neue Version erfolgen.

15.3 Unwirksame Bestimmungen

Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

15.4 Recht und Gerichtsstand

Es gilt deutsches Recht.

Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

15.5 Elektronischer Abschluss

Diese Vereinbarung wird in Textform abgeschlossen.

Die elektronische Annahme wird insbesondere dokumentiert durch:

• Organisations-ID,
• Nutzer-ID der abschließenden Person,
• Name und E-Mail-Adresse der abschließenden Person,
• Zeitpunkt der Annahme,
• angenommene AVV-Version,
• Zuordnung zum Hauptvertrag oder zur Organisation.

Die abschließende Person bestätigt, zum Abschluss dieser Vereinbarung für den Verantwortlichen berechtigt zu sein.