Vertrag zur Auftragsverarbeitung

(1)Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO) ist der Kunde, der eine Instanz von Pipely nutzt. Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO) ist die BrickUp GmbH, Großer Burstah 36, 20457 Hamburg, eingetragen beim Amtsgericht Hamburg unter HRB 190193.

(2)Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber in seine Instanz einträgt oder eintragen lässt, im Rahmen der Bereitstellung der Software Pipely als Dienst über das Internet. Die Einzelheiten der Leistung ergeben sich aus den Allgemeinen Geschäftsbedingungen.

(3)Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen vor, soweit er Regelungen zur Verarbeitung personenbezogener Daten enthält.

(1)Der Vertrag läuft, solange der Auftraggeber eine Instanz von Pipely nutzt, und endet mit dem Ende des zugrundeliegenden Vertrags über die Nutzung.

(2)Eine Kündigung dieses Vertrags allein, ohne den Nutzungsvertrag, ist nicht möglich, weil die Leistung ohne Verarbeitung nicht erbracht werden kann.

(1)Zweck: Betrieb einer Software zur Verwaltung von Kontakten, Unternehmen, Vorgängen, Aufgaben, Terminen, Dateien sowie zur Erstellung und Aufbewahrung von Angeboten, Auftragsbestätigungen, Lieferscheinen, Rechnungen und Gutschriften.

(2)Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an vom Auftraggeber bestimmte Empfänger, Einschränken, Löschen und Vernichten.

(3)Betroffene Personen: Kunden, Interessenten, Lieferanten und deren Ansprechpartner des Auftraggebers sowie Beschäftigte des Auftraggebers, die die Instanz nutzen.

(4)Datenarten: Namen, Anschriften, Telefonnummern, E-Mail-Adressen, Rollen und Funktionen, Inhalte der Korrespondenz und Notizen, Vorgangs- und Belegdaten einschließlich Beträgen, Zahlungszielen, Steuernummern und Umsatzsteuer-Identifikationsnummern, hochgeladene Dateien sowie Zugangs- und Nutzungsdaten der Konten.

(5)Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Trägt der Auftraggeber solche Daten dennoch ein, geschieht das in seiner Verantwortung.

(1)Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, die Nutzung der Funktionen der Software und die Einstellungen, die der Auftraggeber in seiner Instanz vornimmt.

(2)Weitere Weisungen sind in Textform an kontakt@brick-up.com zu richten. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er eine Weisung für rechtswidrig hält.

(3)Muss der Auftragnehmer aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten verarbeiten, informiert er den Auftraggeber vorher, soweit das Recht dies nicht verbietet.

(1)Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2)Zugriff auf Inhalte einer Instanz nehmen Beschäftigte des Auftragnehmers nur, soweit es zur Erbringung der Leistung, zur Fehlerbehebung oder auf Bitte des Auftraggebers erforderlich ist. Ein solcher Zugriff über die Support-Funktion wird protokolliert und ist für den Auftraggeber in seiner Instanz erkennbar.

(3)Der Auftragnehmer wertet die Inhalte der Instanzen nicht für eigene Zwecke aus und verwendet sie nicht zum Training von Modellen.

(1)Der Auftragnehmer trifft die in der Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

(1)Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2)Der Auftragnehmer informiert über beabsichtigte Änderungen mindestens vier Wochen vorher in Textform. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3)Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die diesem Vertrag entsprechen.

(1)Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er sie unverzüglich an den Auftraggeber weiter.

(2)Für Auskunft und Datenübertragbarkeit steht dem Auftraggeber in seiner Instanz eine vollständige Ausleitung zur Verfügung: alle Belege als PDF, alle übrigen Daten als CSV, dazu alle hochgeladenen Dateien. Sie steht in jedem Plan zur Verfügung, auch nach einer Kündigung.

(3)Der Auftragnehmer unterstützt bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO), soweit dafür Angaben aus seinem Bereich nötig sind.

(1)Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden, in Textform an die im Konto hinterlegte Adresse.

(2)Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Datensätze, wahrscheinliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

(1)Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Angaben zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die aktuelle Fassung der Anlagen 1 und 2.

(2)Der Auftraggeber kann sich nach Ankündigung mit angemessener Frist, höchstens einmal im Jahr und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen. Vor-Ort-Kontrollen setzen einen konkreten Anlass voraus; im Übrigen genügen Auskünfte in Textform.

(1)Nach Ende des Nutzungsvertrags löscht der Auftragnehmer die Daten der Instanz. Vor der Löschung hat der Auftraggeber Gelegenheit, die Ausleitung nach § 8 Abs. 2 zu nutzen.

(2)Sicherungskopien werden im Rahmen des üblichen Zyklus überschrieben und spätestens 30 Tage nach der Löschung entfernt.

(3)Gesetzliche Aufbewahrungspflichten bleiben unberührt. Betreffen sie Unterlagen des Auftraggebers (§ 147 AO, § 14b UStG), trifft die Pflicht den Auftraggeber; der Auftragnehmer bewahrt keine Belege für ihn auf.

(1)Für die Haftung gelten die Regelungen des Nutzungsvertrags; Art. 82 DSGVO bleibt unberührt.

(2)Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht; Gerichtsstand ist Hamburg, soweit zulässig.