Auftragsverarbeitungsvertrag

1.1 Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen dem Kunden, der PPS ERP nutzt (der „Verantwortliche"), und PPS — Practical Programming Systems, [noch zu ergänzen: Straße und Hausnummer], eingetragen im Kamer van Koophandel (KvK) unter der Nummer [noch zu ergänzen: Handelsregisternummer (KvK)] (der „Auftragsverarbeiter").

1.2 Der AVV ist Bestandteil des Vertrags über die Bereitstellung von PPS ERP (der „Hauptvertrag", einschließlich unserer AGB). Er wird zusammen mit dem Hauptvertrag elektronisch angenommen; dies erfüllt die Formanforderung des Artikels 28 Abs. 9 DSGVO.

1.3 Der AVV gilt für alle personenbezogenen Daten, die der Auftragsverarbeiter bei der Erbringung des Dienstes im Auftrag des Verantwortlichen verarbeitet („Personenbezogene Daten"). Einzelheiten der Verarbeitung enthält Anlage 1.

Begriffe wie „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „betroffene Person", „Verletzung des Schutzes personenbezogener Daten" und „Aufsichtsbehörde" haben die Bedeutung aus der Verordnung (EU) 2016/679 („DSGVO").

3.1 Der Auftragsverarbeiter verarbeitet Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, sofern er nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

3.2 Der Hauptvertrag, dieser AVV sowie Nutzung und Konfiguration des Dienstes durch den Verantwortlichen — einschließlich der von ihm verbundenen Integrationen und eingerichteten Regeln — stellen die dokumentierten Weisungen dar.

3.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

3.4 Der Auftragsverarbeiter verarbeitet Personenbezogene Daten nicht für eigene Zwecke, verkauft sie nicht und verknüpft sie nicht mit Daten anderer Kunden. Aggregierte, anonyme Informationen über die Nutzung des Dienstes dürfen zum Betrieb und zur Verbesserung des Dienstes verwendet werden.

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind und nur im für ihre Aufgaben erforderlichen Umfang Zugriff haben.

5.1 Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Artikel 32 DSGVO).

5.2 Der Auftragsverarbeiter darf diese Maßnahmen an den Stand der Technik und neue Risiken anpassen, sofern das Gesamtschutzniveau nicht sinkt.

5.3 Der Verantwortliche ist verantwortlich für die Sicherheit seiner eigenen Geräte und Zugangsdaten, für die Vergabe angemessener Rollen an berechtigte Nutzer und für die von ihm selbst gesteuerten Einstellungen im Dienst, etwa den Supportzugriff.

6.1 Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen dann in gutem Glauben nach einer Alternative; findet sich keine, kann der Verantwortliche den betroffenen Teil des Hauptvertrags vor Wirksamwerden der Änderung kündigen und erhält im Voraus gezahlte Entgelte anteilig erstattet.

6.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und haftet gegenüber dem Verantwortlichen für deren Einhaltung.

6.4 Plattformen Dritter, die der Verantwortliche mit dem Dienst verbindet (beispielsweise bol.com, Amazon, Shopify oder ein eigener Zahlungs- oder E-Mail-Anbieter), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Verantwortliche tauscht mit ihnen Daten auf Grundlage eigener Verträge aus.

7.1 Der Dienst wird in der European Union (EU/EEA) gehostet.

7.2 Verarbeitet ein Unterauftragsverarbeiter Personenbezogene Daten außerhalb der EU/des EWR oder ist von dort ein Zugriff möglich, stellt der Auftragsverarbeiter ein wirksames Übermittlungsinstrument nach Kapitel V DSGVO sicher — einen Angemessenheitsbeschluss, einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger, oder die Standardvertragsklauseln der Europäischen Kommission mit erforderlichenfalls ergänzenden Maßnahmen.

8.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen. Der Dienst bietet Funktionen, um personenbezogene Daten von Kunden, Lieferantenkontakten und Mitarbeitenden einzusehen, zu exportieren, zu berichtigen und zu anonymisieren.

8.2 Erhält der Auftragsverarbeiter unmittelbar eine Anfrage einer betroffenen Person zu Personenbezogenen Daten, leitet er sie unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, außer um die Person an den Verantwortlichen zu verweisen.

9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung, die Personenbezogene Daten betrifft, unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem sie ihm bekannt wurde.

9.2 Die Meldung beschreibt, soweit bekannt: die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Noch nicht verfügbare Informationen werden nachgereicht, sobald sie vorliegen.

9.3 Der Auftragsverarbeiter ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern, und unterstützt den Verantwortlichen bei seinen Meldepflichten gegenüber Aufsichtsbehörde und betroffenen Personen.

Der Auftragsverarbeiter stellt dem Verantwortlichen angemessene Informationen für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde bereit, soweit der Verantwortliche nicht anderweitig darauf zugreifen kann.

11.1 Während der Laufzeit des Hauptvertrags kann der Verantwortliche Personenbezogene Daten mit den Funktionen des Dienstes selbst exportieren und löschen.

11.2 Nach Ende des Hauptvertrags bleibt das Konto 30 Tage schreibgeschützt verfügbar, damit der Verantwortliche seine Daten exportieren kann. Anschließend löscht der Auftragsverarbeiter die Personenbezogenen Daten innerhalb weiterer 60 Tage endgültig aus den Produktivsystemen, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Speicherpflicht besteht.

11.3 Kopien in Sicherungen werden gelöscht, sobald die Sicherungen im regulären Zyklus ablaufen, und werden nur zur Notfallwiederherstellung zurückgespielt; danach werden Löschungen erneut angewendet.

11.4 Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung schriftlich.

12.1 Der Auftragsverarbeiter stellt alle Informationen bereit, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind, vorrangig durch diesen AVV, die Sicherheitsseite und Antworten auf angemessene Sicherheitsfragebögen.

12.2 Reichen diese Informationen nicht aus, kann der Verantwortliche höchstens einmal jährlich eine Prüfung durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen, mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten und ohne den Dienst zu stören oder Daten anderer Kunden zu gefährden. Die Kosten trägt der Verantwortliche, es sei denn, die Prüfung deckt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen AVV auf.

Die Haftung der Parteien aus diesem AVV unterliegt den Beschränkungen des Hauptvertrags, soweit die DSGVO eine solche Beschränkung zulässt.

14.1 Dieser AVV gilt, solange der Auftragsverarbeiter Personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

14.2 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hinsichtlich des Schutzes personenbezogener Daten geht dieser AVV vor.

14.3 Für diesen AVV gilt das Recht von the Netherlands; Gerichtsstand ist das zuständige Gericht in Amsterdam.

Gegenstand und Dauer. Bereitstellung der Cloud-Plattform PPS ERP für die Dauer des Hauptvertrags sowie der anschließenden Export- und Löschfrist.

Art und Zweck. Speichern, Ordnen, Abrufen, Anzeigen, Verknüpfen, Berechnen, Exportieren, Übermitteln an verbundene Integrationen und Löschen von Daten, um die vom Verantwortlichen genutzten ERP-Funktionen bereitzustellen: Produkte und Lager, Verkauf und Rechnungsstellung, Einkauf, Kunden (CRM), Lieferanten, Kasse und Filialen, Personal und Lohnabrechnung, Marktplatz- und Shop-Integrationen, Berichte, Benachrichtigungen und Support.

Kategorien betroffener Personen.

• berechtigte Nutzer des Verantwortlichen;
• Kunden, Leads und deren Ansprechpartner;
• Lieferanten und deren Ansprechpartner;
• Mitarbeitende, Bewerbende und deren Notfallkontakte (Personalmodul);
• Käufer von Bestellungen über verbundene Marktplätze und Onlineshops.

Kategorien personenbezogener Daten.

• Identifikations- und Kontaktdaten: Name, Unternehmen, Anschrift, E-Mail, Telefon;
• Geschäftsdaten: Angebote, Aufträge, Rechnungen, Zahlungen, Retouren, Sendungen;
• Finanzdaten: Bankverbindung (IBAN), USt- und Steuernummern;
• Beschäftigtendaten (Personalmodul): Geburtsdatum, Staatsangehörigkeit, Identifikationsnummer, Beschäftigungsdaten, Anwesenheit und Urlaub, Gehalt und Lohnabrechnungen, Leistungsbeurteilungen, Personaldokumente;
• Marktplatz-Bestelldaten: Name des Käufers, Liefer- und Rechnungsanschrift, E-Mail und Telefon wie von der Plattform bereitgestellt;
• Nutzungs- und Sicherheitsdaten: Benutzerkonten, Rollen, Anmeldeprotokolle, Audit-Protokoll.

Besondere Kategorien. Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) ausgelegt. Der Verantwortliche erfasst keine Gesundheitsdaten — etwa medizinische Gründe für Abwesenheiten — in Freitextfeldern. Soweit Identifikationsnummern verarbeitet werden, stellt der Verantwortliche eine Rechtsgrundlage sicher (etwa für die Lohnabrechnung).

Häufigkeit. Fortlaufend während der Laufzeit des Hauptvertrags.

Ort. European Union (EU/EEA); Unterauftragsverarbeiter siehe Anlage 3.

Die auf unserer Sicherheitsseite veröffentlichten Maßnahmen in ihrer jeweils gültigen Fassung bilden Anlage 2 dieses AVV.

Die auf unserer Seite zu Unterauftragsverarbeitern veröffentlichten Unterauftragsverarbeiter in der jeweils gültigen Fassung bilden Anlage 3 dieses AVV.

Bei Abweichungen zwischen den Sprachfassungen ist die englische Fassung maßgeblich.