AGB

Nutzungs- und Geschäftsbedingungen der mocentiv GmbH

1. Geltungsbereich

1.1 Die mocentiv GmbH mit Sitz im Berlin, eingetragen in das Handelsregister des Amtsgerichts Berlin Charlottenburg unter HRB 207520 (nachfolgend „mocentiv“) bietet unter mocentiv.com sowie unter anderen von mocentiv betriebenen Domains und Webseiten („mocentiv Plattform“), Dienstleistungen für Unternehmen (nachfolgend „Auftraggeber/Kunde“) im Zusammenhang mit der Motivation und Incentivierung von Mitarbeitern an. Diese allgemeinen Geschäftsbedingungen (nachfolgend „AGB“ genannt) regeln das Vertragsverhältnis zwischen mocentiv und ihrem jeweiligen Auftraggeber, in ihrer zum Zeitpunkt des Vertragsabschlusses gütigen Fassung.

1.2 Leistungen der mocentiv Plattform (“Dienstleistung”) können von jeder natürlichen oder juristischen Person in Anspruch genommen werden und die – im Fall von natürlichen Personen – geschäftsfähig ist.

1.3 Allgemeine Geschäftsbedingungen des Auftraggebers, die diesen Allgemeinen Geschäftsbedingungen entgegenstehen und/oder von diesen abweichen, werden von mocentiv nicht anerkannt und zurückgewiesen.

2. Vertragsgegenstand & Leistungsumfang

2.1  Mittels der mocentiv Plattform können Kunden die Motivation und Incentivierung für ihre Vertriebsmitarbeiter verwalten. Dazu verbindet der Kunde seine CRM-Software (z.B. Salesforce) als Datenquelle mit der mocentiv Plattform und erlaubt eine regelmäßige Aktualisierung der CRM-Daten, die auf der mocentiv Plattform importiert und gespeichert werden. Für die Benutzung der mocentiv Plattform sind insbesondere bestehende Daten aus einer CRM-Software notwendig, die der Kunde vorliegen hat.

2.2 Die Kunden können dann insbesondere aber nicht ausschließlich auf Basis dieser importierten CRM-Daten Incentivierungspläne für ihre Vertriebsmitarbeiter erstellen bzw. Motivations-, Zielvereinbarungs-, oder Incentivierungsregeln spezifizieren, diese speichern und den jeweiligen Mitarbeitern zugänglich machen.

2.3 Die mocentiv Plattform berechnet für die erstellten Pläne des Kunden die jeweilige Incentivierung und nutzt dafür die vom Kunden spezifizierten Incentivierungsregeln und zum Zeitpunkt der Berechnung bereitgestellten Daten aus der CRM-Software. Dabei ist der Kunde für die Aktualität und Richtigkeit der Daten in der CRM-Software verantwortlich.

2.4 Der Kunde entscheidet selbst über die gewählten Motivations-, Zielvereinbarungs-, oder Incentivierungsregeln, die er festlegt und seinen Mitarbeitern zur Verfügung stellt. Die Auswahl und Erstellung von Incentivierungsplänen erfolgt durch den Kunden sowie auf dessen alleiniges Risiko. Ausschließlich der Kunde ist dafür verantwortlich, sämtliche für die Incentivierungsvereinbarungen geltenden Rechtsvorschriften einzuhalten.

3. Zugang und Nutzung der mocentiv Plattform

3.1 Der Kunde erstellt eine Login ID und ein zugehöriges Passwort („Login Informationen“) für den Zugang zu seinem Benutzerkonto („Benutzerkonto“) auf der mocentiv Plattform. Ein Benutzerkonto darf ausschließlich durch eine einzige natürliche Person („Befugter Nutzer“) genutzt werden. Die Anzahl der Benutzerkonten für den Zugang der Mitarbeiter des Kunden zur mocentiv Plattform ist in der Order Form mit dem jeweiligen Vergütungsmodell und Preisen festzulegen. Der Kunde kann während der Vertragslaufzeit (siehe Ziffer 5) je nach Bedarf neue Benutzerkonten zu den, in dem in der Order Form festgelegten Vergütungsmodell festgelegten Preisen, eröffnen. Die Eröffnung eines Benutzerkontos hat schriftlich (DocuSign reicht) gegenüber mocentiv zu erfolgen. Dem Kunden steht es zu, Benutzerkonten für Mitarbeiter von mit ihm verbundenen Unternehmen iSd §§ 15 ff. AktG, zu eröffnen.  

3.2 Um auf die mocentiv Plattform zugreifen und diese nutzen zu können, muss der Kunde die erforderliche Soft- und Hardware (Computer und Internetzugang) nutzen und pflegen, insbesondere (aber nicht nur) Browsersoftware und geeignete Kommunikationstechnologie.

3.3 Beschaffung, Installation, Wartung und Betrieb jeglicher notwendiger Soft- und Hardware unterliegen der alleinigen Verantwortung des Kunden. mocentiv ist in keiner Weise verantwortlich oder haftbar für den Internetzugang des Kunden, einschließlich, jedoch ohne Beschränkung auf, jegliche Probleme im Zusammenhang mit der Verbindungsgeschwindigkeit, der Bandbreite oder der Latenz, welche den Zugriff bzw. die Nutzung der mocentiv Plattform durch den Kunden beeinträchtigen könnten.

3.4 Der Kunde verpflichtet sich, keine Inhalte oder sonstigen Merkmale der mocentiv Plattform (einschließlich Preise oder Dienstleistungsbeschreibungen) zu kopieren, zu modifizieren, anzupassen, nachzubilden, zum Zwecke des Aufbaus einer eigenen Datenbank (bzw. der eines Dritten) zu verwenden, zu übersetzen, zu verbreiten, weiterzugeben, zu rekonstruieren (reverse engineering), zu dekompilieren oder zu disassemblieren. Dem Kunden ist jede Verletzung oder versuchte Verletzung der Sicherheit der mocentiv Plattform untersagt, ebenso wie Versuche, die Verletzlichkeit des Systems oder Netzwerks zu untersuchen, zu prüfen oder zu testen oder die Sicherheits- oder Authentifizierungsmaßnahmen zu verletzen.

3.5 Der Kunde darf die Funktionalität der mocentiv Plattform und ihre Verbindung zu Nutzern, Hosts oder Netzwerken, in keiner Weise beeinträchtigen, insbesondere nicht durch Viren, durch Überlastung, „Flooding“, „Spamming“, „Mailbombing“ oder „Crashing“ oder andere Computercodes, -dateien oder -programme (wie Browser mit Scraping- oder Crawling-Funktion), die geeignet sind, die Funktionalität der Computersoftware oder -hardware oder die Telekommunikationseinrichtungen zu unterbrechen, zu zerstören oder einzuschränken. Versuchte oder tatsächliche unbefugte Zugriffe auf die mocentiv Plattform können zivil- und strafrechtliche Verfolgung nach sich ziehen.

4.  Vertragsschluss

4.1 Die Auftragserteilung durch den Auftraggeber erfolgt per Onlineformular, E-Mail, Fax oder Brief. Durch Absendung des Auftrages erkennt der Auftraggeber die Allgemeinen Geschäftsbedingungen von mocentiv uneingeschränkt an. Der Vertragsschluss kommt durch ausdrückliche schriftliche Annahme des Angebotes des Auftraggebers durch mocentiv oder durch Ausführung des Auftrages durch mocentiv zustande. Die Schriftform der Annahme wird dabei durch Onlineformular, Fax oder E-Mail gewahrt.

5.  Vertragslaufzeit & Beendigung

5.1 Ein Vertrag kommt mit der Registrierung und Annahme des Kunden zu Stande. Die Vertragslaufzeit bestimmt sich nach dem vereinbarten Vergütungsmodell. Sollte keine Partei den geschlossenen Vertrag mit einer Kündigungsfrist von mindestens einem Monat zum jeweiligen Ende der vereinbarten Vertragslaufzeit schriftlich kündigen, verlängert sich die Vertragslaufzeit automatisch um die anfängliche Vertragslaufzeit, höchstens aber um 24 Monate.

5.2  Bei Kündigung und/oder sonstiger Beendigung eines geschlossenen Vertrages wird mocentiv die Daten des Kunden selbstverständlich ausschließlich nach Maßgabe des Datenschutzrechts behandeln.

5.3  Beide Parteien können den geschlossenen Vertrag zu jeder Zeit mit sofortiger Wirkung kündigen, falls die jeweils andere Vertragspartei wesentliche Bestimmungen des Vertrags (einschließlich der Regelungen in Ziffer 7 sowie der Datenschutzregelungen) verletzt hat, und dieser Verstoß entweder nicht behoben werden kann oder nach entsprechender Aufforderung nicht innerhalb einer Frist von 10 Tagen behoben worden ist. Alternativ zur Kündigung kann mocentiv in den in 5.3 genannten Fällen die Bereitstellung der Dienstleistung nach Benachrichtigung des Kunden hierüber unterbrechen. Der Kunde kann in den in 5.3 genannten Fällen nach Benachrichtigung mocentivs alternativ die Zahlung unterbrechen.

5.4 Offene Zahlungsverpflichtungen sowie Bestimmungen, die ausdrücklich oder gemäß ihrer Natur von einer Beendigung dieses Vertrags unberührt bleiben, überdauern die Kündigung oder sonstige Beendigung eines geschlossenen Vertrages.

6. Vergütung der Leistung & Zahlungsbedingungen

6.1 Mit Abschluss des Vertrags verpflichtet sich der Kunde zur Leistung einer entgeltlichen Vergütung, deren Höhe sich nach dem jeweils gewählten Vergütungsmodell im Angebot in der Order Form richtet.

6.2 Rechnungen sind innerhalb von 14 Tagen ab Rechnungsstellung vollständig, netto und ohne Abzug zu bezahlen. Nach Ablauf dieser Zahlungsfrist gerät der Kunde ohne weiteres in Verzug, ohne dass es einer gesonderten Mahnung durch mocentiv bedarf. Nach Fälligkeit werden Verzugszinsen in Höhe von 8% über dem jeweiligen Basiszinssatz p. a. berechnet. Die Geltendmachung eines weitergehenden Verzugsschadens wird vorbehalten.

6.3 Kommt der Kunde mit der Begleichung einer fälligen Vergütung in Verzug, ist mocentiv dazu berechtigt, sämtliche Leistungen bis zur vollständigen Begleichung der fälligen Rechnung einzustellen. Die Dauer der von mocentiv erbrachten Leistungen wird hierdurch nicht verlängert. Zur Klarstellung: Dies gilt nicht, sofern sich der Kunde berechtigterweise auf Mängelgewährleistungsrechte beruft, z.B. die Vergütung mindert.

6.4 Der Kunde ist nur dazu berechtigt, mit eigenen Forderungen gegenüber mocentiv, gegen an mocentiv zu zahlende Beträge aufzurechnen, wenn die Forderungen des Kunden unbestritten oder rechtskräftig festgestellt sind. Dies gilt entsprechend für das Zurückbehaltungsrecht, das überdies nur wirksam geltend gemacht werden kann, wenn der Gegenanspruch des Kunden auf demselben Vertrag beruht.

7. Geheimhaltung & Datenschutz

7.1 Die Parteien sind verpflichtet, alle Informationen und Daten, die sie im Rahmen des Vertragsverhältnisses von der anderen Partei erhalten, vertraulich zu behandeln und nicht an Dritte weiterzugeben. Davon ausgenommen sind Informationen, die allgemein zugänglich sind bzw. geworden sind oder bereits zum Zeitpunkt des Vertragsschlusses nachweislich bekannt waren. Unternehmen, die mit einer Partei iSd. §§ 15 ff AktG verbunden sind, sind nicht Dritte im Sinne von vorstehendem Satz 1; gleiches gilt für Personen und Unternehmen, die zur Erfüllung des Vertrages von einer Partei beauftragt wurden und die in gleicher Weise zur Geheimhaltung verpflichtet (worden) sind. Diese Geheimhaltungsverpflichtung setzt sich nach Beendigung des Vertragsverhältnisses für ein Jahr fort.

7.2 Der Auftraggeber wird hiermit gemäß Bundesdatenschutzgesetz davon unterrichtet, dass mocentiv seine personenbezogenen Daten in maschinenlesbarer Form speichert und für Vertragszwecks maschinell verarbeitet.

7.3 Der Auftraggeber hat jederzeit das Recht, von mocentiv über den betreffenden Datenbestand vollständig und unentgeltlich Auskunft zu erhalten. Des Weiteren besteht ein Recht auf Berichtigung oder Löschung von Daten oder Einschränkung der Verarbeitung für den Nutzer.

7.4 Die Webseite www.mocentiv.io enthält Links zu anderen Internetseiten. mocentiv übernimmt keine Verantwortung für die Datenschutzpraktiken und/oder den Inhalt dieser Internetseiten. Für illegale und/oder unvollständige und/oder fehlerhafte Inhalte und für Schäden, die aus der Nutzung der verlinkten Internetseiten entstanden sind oder entstehen übernimmt mocentiv keine Haftung. Werden die auf den Internetseiten von mocentiv oder auf einer anderen von mocentiv betriebenen Internetseite oder auf den Internetseiten Dritter veröffentlichte Leistungen der mocentiv kopiert, gelinkt und/oder mit Hilfe sogenannter Frames als eigenes Angebot getarnt und veröffentlicht (die „Zusätzliche Veröffentlichung”), wird die mocentiv sich bemühen, eine solche Zusätzliche Veröffentlichung zu unterbinden. mocentiv übernimmt keinerlei Haftung für eine solche Zusätzliche Veröffentlichung.

8. Haftung

8.1 Die technische Verfügbarkeit orientiert sich an vergleichbaren Webangeboten, wobei keine Verfügbarkeit des Zugangs zur mocentiv Plattform geschuldet ist, die 99% an den Wochentagen Montag bis Freitag (maßgebliche Zeitzone ist der Sitz von mocentiv) ausgenommen a) solche gesetzlichen Feiertage, die am Sitz von mocentiv gelten, sowie b) ordentliche sowie mit Vorlauf von mindestens 6 Stunden vorab angekündigte Wartungszeiten) übersteigt. Als Softwareanbieter haftet mocentiv nicht für die Eignung von Motivations- und Incentivierungs Regeln, die der Kunde in Plänen und zur Berechnung der Incentivierung seiner Mitarbeiter selbstverantwortlich gestaltet und anlegt.

8.2 Insbesondere überprüft mocentiv nicht, ob die vom Kunden angewandten Motivations- und Incentivierungs Regeln für den Kunden nachteilhaft sein könnte.

8.3 Der Kunde hat sich jederzeit selbständig von der Eignung der jeweils angewandten Motivations- und Incentivierungs Regeln zu überzeugen, bevor der Kunde diese zur Incentivierung einsetzt.

8.4 Jegliche Vereinbarungen zwischen dem Kunden und den Mitarbeitern des Kunden binden mocentiv nicht. Insbesondere haftet mocentiv nicht für die Einhaltung von Vereinbarungen zwischen dem Kunden und den Mitarbeitern des Kunden und ist nicht dazu verpflichtet, solche Vereinbarungen durchzusetzen. mocentiv gilt nicht als Vertragspartei solcher Vereinbarungen und der Kunde darf mocentiv nicht als solche behandeln. mocentiv ist nicht haftbar für Kosten oder Schäden, die aus einer solchen Vereinbarung zwischen dem Kunden und den Mitarbeitern des Kunden oder anderen Rechtsverhältnissen zwischen Kunden und den Mitarbeitern des Kunden resultieren.

8.5 Unbeschadet der nachfolgenden Bestimmungen haften mocentiv und seine Mitarbeiter und/oder Vertreter nicht für jegliche Schäden, insbesondere nicht für entgangenen Umsatz oder Gewinn, Folgeschäden oder Nutzungsausfall, die durch die mocentiv Plattform oder die darin enthaltenen Informationen entstehen, unabhängig davon, ob eine Schadensersatzpflicht vertraglich, gesetzlich oder anderweitig begründet ist, selbst wenn mocentiv auf die Möglichkeit einer solchen Schadensersatzpflicht hingewiesen worden ist.

8.6 Abweichend von Ziffer 8.5 haftet mocentiv unbeschränkt im Fall von Vorsatz oder grober Fahrlässigkeit sowie für Verletzungen des Lebens oder Körpers, Gesundheitsschädigungen und gemäß dem Produkthaftungsgesetz.

8.7 Abweichend von Ziffer 8.5 haftet mocentiv zudem im Fall leichter Fahrlässigkeit, sofern wesentliche Vertragspflichten (sog. Kardinalpflichten, d.h. Vertragspflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf) verletzt wurden; die Haftung von mocentiv ist in diesem Fall jedoch nur auf die entstandenen Schäden begrenzt, die vorhersehbar und typisch im Rahmen des jeweils betroffenen Geschäfts sind.

8.8 mocentiv haftet nicht für darüberhinausgehende Schäden oder Verluste. Insbesondere haftet mocentiv nicht für anfängliche Mängel der mocentiv Plattform, sofern nicht die Voraussetzungen aus den Abschnitten 7.7 und 7.8 vorliegen.

8.9 Die Haftung für Datenverlust ist auf den typischen Aufwand beschränkt, der benötigt wird, um die Daten wiederherzustellen, falls regelmäßig und entsprechend der einhergehenden Risiken Sicherungskopien angefertigt werden.

8.10 Die Haftungsbeschränkungen dieses Abschnitts gelten auch für die persönliche Haftung der Vertreter und Mitarbeiter von mocentiv sowie für die Haftung von mocentiv für deren Verhalten.

9.  Zusicherung und Gewährleistung des Kunden & Schadenersatz

9.1 Der Kunde erklärt und garantiert, dass im Namen des Kunden registrierte Benutzerkonten durch hierzu berechtigte Mitarbeiter angemeldet werden, die anschließend als Berechtigte Nutzer dieser Benutzerkonten geltem und befugt sind, diesen Vertrag im Auftrag des Kunden abzuschließen, die Dienstleistung in Anspruch zu nehmen und die Bedingungen des Vertrags erfüllen. Der Kunde hat sicherzustellen, dass alle an mocentiv übermittelten Informationen aktuell, zutreffend und vollständig sind und seine Mitarbeiter entsprechend zu verpflichten.

9.2 Darüber hinaus erklärt und garantiert der Kunde, dass keine Informationen und keine Inhalte, die er ggf. auf die mocentiv Plattform hochlädt, die Rechte Dritter oder geltende Gesetze oder Vorschriften verletzen, einschließlich (aber nicht begrenzt auf) Urheberrechte, Persönlichkeitsrechte oder sonstige Rechte Dritter.

9.3 Der Kunde verpflichtet sich, mocentiv und mocentivs Vertreter, Mitarbeiter und Erfüllungsgehilfen von sämtlichen Forderungen, die aus der unzulässigen Nutzung der mocentiv Plattform durch den Kunden entstehen, uneingeschränkt freizustellen und sie hiergegen zu verteidigen sowie mocentiv Schadensersatz zu leisten (auch für angemessene Kosten der Rechtsverteidigung). Dies betrifft insbesondere (aber nicht nur):

• den Verstoß gegen oder die Verletzung einer Bestimmung dieses Vertrags, insbesondere der Missbrauch der mocentiv Plattform;
• den Verstoß gegen oder die Verletzung des geltenden Gesetzes und/oder den Verstoß gegen Rechte Dritter;

10. Allgemeine Bestimmungen

10.1 Für den Fall, dass die Parteien planen, die Rechte und Pflichten aus dem zwischen Ihnen bestehenden Vertragsverhältnis auf Dritte zu übertragen, informieren sich die Parteien hierüber gegenseitig mit angemessener Vorlaufzeit.

10.2 Änderungen und Ergänzungen dieser Vereinbarung bedürfen zu ihrer Wirksamkeit der Schriftform, soweit keine strengere Form erforderlich ist. Dies gilt auch für die Änderung dieses Schriftformerfordernisses selbst. Sämtliche Vereinbarungen, die eine Änderung, Ergänzung oder Konkretisierung beinhalten, sowie Garantien oder Abmachungen, sind schriftlich zu vereinbaren. Textform genügt dem Schriftformerfordernis nicht. Der Vertragsschluss, sowie Änderungen, Ergänzungen oder Konkretisierungen können durch die Parteien mit dem Programm „docusign“ vorgenommen werden und genügen dem Schriftformerfordernis.

10.3 Allgemeine Geschäftsbedingungen des Kunden sind nicht anwendbar. mocentiv behält sich vor, diese Nutzungs- und Geschäftsbedingungen jederzeit zu ändern. mocentiv informiert Kunden über die Plattform oder per E-Mail mindestens 12 Wochen im Voraus über die Änderung der Nutzungs- und Geschäftsbedingungen. Sofern der Kunde der Geltung der aktualisierten Bedingungen vor deren Inkrafttreten widerspricht, steht beiden Parteien ein Sonderkündigungsrecht zu, den Vertrag zum Zeitpunkt des Inkrafttretens der aktualisierten Nutzungs- und Geschäftsbedingungen zu kündigen.

10.4 Auf diese Vereinbarung findet das Recht der Bundesrepublik Deutschland unter Ausschluss der kollisionsrechtlichen Regelungen und des UN-Kaufrechts Anwendung. Erfüllungsort ist Berlin.

10.5 Für den Fall, dass der Kunde ein Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist, so ist der Sitz von mocentiv der ausschließliche Gerichtsstand für Rechtsstreitigkeiten aus oder im Zusammenhang mit diesen Nutzungs- und Geschäftsbedingungen. mocentiv ist darüber hinaus auch berechtigt, Klage am allgemeinen Gerichtsstand des Kunden zu erheben.

10.6 Sollte eine Bestimmung dieser Vereinbarung unwirksam und/oder undurchführbar sein und/oder werden, und/oder sollte diese Vereinbarung eine Lücke enthalten, so wird dadurch die Wirksamkeit und/oder Durchführung dieser Vereinbarung im Übrigen nicht berührt. Die Parteien sind verpflichtet, eine unwirksame und/oder undurchführbare Bestimmung durch eine wirksame und/oder durchführbare Bestimmung zu ersetzen und/oder der Aufnahme einer lückenausfüllenden Bestimmung zuzustimmen, die dem wirtschaftlichen Zweck der unwirksamen, undurchführbaren und/oder fehlenden Bestimmung am Nächsten kommt.

Auftragsverarbeitungsvertrag (gemäß Art. 28 DSGVO)

Zwischen dem Kunden als Auftraggeber

– Im Folgenden „Auftraggeber“ –

und dem Auftragnehmer (Auftragsverarbeiter)

Mocentiv GmbH
c/o Käthe-Niederkirchner-Str. 4
D-10407 Berlin

– Im Folgenden „Auftragnehmer“ –

1. Allgemeines

1.1 Der Auftragnehmer (für die Verarbeitung verantwortlich) verarbeitet auf Grundlage des zwischen den Parteien bestehende Vertragsverhältnisses (Hauptvertrag) personenbezogene Daten im Auftrag des Auftraggebers i.S.d. Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung (DSGVO). Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung von personenbezogenen Daten.

1.2 Sofern in diesem Vertrag der Begriff „Datenverarbeitung“ oder „Verarbeitung“ (von Daten) benutzt wird, wird die Definition der „Verarbeitung“ i.S.d. Art. 4 Nr. 2 DSGVO zugrunde gelegt.

2. Gegenstand des Auftrags

Der Gegenstand der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 zu diesem Vertrag festgelegt und ergeben sich aus dem zwischen den Parteien geschlossenen Dienstvertrag.

3. Rechte und Pflichten des Auftraggebers

3.1 Der Auftraggeber ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO für die Verarbeitung von Daten im Auftrag durch den Auftragnehmer. Dem Auftragnehmer steht nach Ziff. 4 Abs. 5 das Recht zu, den Auftraggeber darauf hinzuweisen, wenn eine seiner Meinung nach rechtlich unzulässige Datenverarbeitung Gegenstand des Auftrags und/oder einer Weisung ist.

3.2 Der Auftraggeber ist nach den Art. 12 bis 22 DSGVO als Verantwortlicher für die Wahrung der Betroffenenrechte verantwortlich. Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn Betroffene ihre Betroffenenrechte im Zusammenhang mit dieser Verarbeitung von Daten im Auftrag gegenüber dem Auftragnehmer geltend machen.

3.3 Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung gegenüber dem Auftragnehmer zu erteilen. Weisungen müssen in Textform (z.B. E-Mail) erfolgen.

3.4 Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch ergänzende Weisungen des Auftraggebers beim Auftragnehmer entstehen, bleiben unberührt.

3.5 Der Auftraggeber kann weisungsberechtigte Personen benennen. Sofern weisungsberechtigte Personen benannt werden sollen, werden diese in der Anlage 1 benannt. Für den Fall, dass sich die weisungsberechtigten Personen beim Auftraggeber ändern, wird der Auftraggeber dies dem Auftragnehmer in Textform mitteilen.

3.6 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer feststellt.

3.7 Für den Fall, dass eine Informationspflicht gegenüber Dritten nach Art. 33, 34 DSGVO oder einer sonstigen, für den Auftraggeber geltenden gesetzlichen Meldepflicht besteht, ist der Auftraggeber für deren Einhaltung verantwortlich. Der Auftragnehmer wird den Auftraggeber hierbei unterstützen, sofern erforderlich.

4. Allgemeine Pflichten des Auftragnehmers

4.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und/oder unter Einhaltung der ggf. vom Auftraggeber erteilten ergänzenden Weisungen. Ausgenommen hiervon sind gesetzliche Regelungen, die den Auftragnehmer ggf. zu einer anderweitigen Verarbeitung verpflichten. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Zweck, Art und Umfang der Datenverarbeitung richten sich ansonsten ausschließlich nach diesem Vertrag und/oder den Weisungen des Auftraggebers. Eine hiervon abweichende Verarbeitung von Daten ist dem Auftragnehmer untersagt, es sei denn, dass der Auftraggeber dieser schriftlich zugestimmt hat.

4.2 Der Auftragnehmer verpflichtet sich, die Datenverarbeitung im Auftrag nur in Mitgliedsstaaten der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) durchzuführen. Eine Verarbeitung der personenbezogenen Daten in einem Drittland bedarf der vorherigen Zustimmung des Auftraggebers, die zumindest in Textform (z.B. E-Mail) erfolgen muss. Eine Zustimmung des Auftraggebers kommt nur dann in Betracht, wenn gewährleistet ist, dass die jeweils nach den Art. 44 – 49 DSGVO einzuhaltenden Rechtsvorschriften eingehalten werden, um ein angemessenes Schutzniveau für den Schutz der personenbezogenen Daten zu gewährleisten.

4.3 Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu.

4.4 Der Auftragnehmer ist verpflichtet, sein Unternehmen und seine Betriebsabläufe so zu gestalten, dass die Daten, die er im Auftrag des Auftraggebers verarbeitet, im jeweils erforderlichen Maß gesichert und vor der unbefugten Kenntnisnahme Dritter geschützt sind. Der Auftragnehmer wird Änderungen in der Organisation der Daten-verarbeitung im Auftrag, die für die Sicherheit der Daten erheblich sind, vorab mit dem Auftraggeber abstimmen.

4.5 Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Sofern der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftraggebers zu einer Haftung des Auftragnehmers nach Art. 82 DSGVO führen kann, steht dem Auftragnehmer das Recht frei, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen.

4.6 Die Verarbeitung von Daten im Auftrag des Auftraggebers außerhalb von Betriebsstätten des Auftragnehmers oder Subunternehmern ist nur mit Zustimmung des Auftraggebers in Schriftform oder Textform zulässig. Eine Verarbeitung von Daten für den Auftraggeber in Privatwohnungen ist nur mit Zustimmung des Auftraggebers in Schriftform oder Textform im Einzelfall zulässig.

4.7 Der Auftragnehmer wird die Daten, die er im Auftrag für den Auftraggeber verarbeitet, getrennt von anderen Daten verarbeiten. Eine physische Trennung ist nicht zwingend erforderlich.

4.8 Der Auftragnehmer kann dem Auftraggeber die Person(en) benennen, die zum Empfang von Weisungen des Auftraggebers berechtigt sind. Sofern weisungsempfangsberechtigte Personen benannt werden sollen, werden diese in der Anlage 1 benannt. Für den Fall, dass sich die weisungsempfangsberechtigten Personen beim Auftragnehmer ändern, wird der Auftragnehmer dies dem Auftraggeber in Textform mitteilen.

5. Datenschutzbeauftragter des Auftragnehmers

5.1 Der Auftragnehmer bestätigt, dass er einen Datenschutzbeauftragten nach Art. 37 DSGVO benannt hat. Der Auftragnehmer trägt Sorge dafür, dass der Datenschutzbeauftragte über die erforderliche Qualifikation und das erforderliche Fachwissen verfügt. Der Auftragnehmer wird dem Auftraggeber den Namen und die Kontaktdaten seines Datenschutzbeauftragten gesondert in Textform mitteilen.

5.2 Die Pflicht zur Benennung eines Datenschutzbeauftragten nach Absatz 1 kann im Ermessen des Auftraggebers entfallen, wenn der Auftragnehmer nachweisen kann, dass er gesetzlich nicht verpflichtet ist, einen Datenschutzbeauftragten zu benennen und der Auftragnehmer nachweisen kann, dass betriebliche Regelungen bestehen, die eine Verarbeitung personenbezogener Daten unter Einhaltung der gesetzlichen Vorschriften, der Regelungen dieses Vertrages sowie etwaiger weiterer Weisungen des Auftraggebers gewährleisten.

6. Meldepflichten des Auftragnehmers

6.1 Der Auftragnehmer ist verpflichtet, dem Auftraggeber jeden Verstoß gegen datenschutzrechtliche Vorschriften oder gegen die getroffenen vertraglichen Vereinbarungen und/oder die erteilten Weisungen des Auftraggebers, der im Zuge der Verarbeitung von Daten durch ihn oder andere mit der Verarbeitung beschäftigten Personen erfolgt ist, unverzüglich mitzuteilen. Gleiches gilt für jede Verletzung des Schutzes personenbezogener Daten, die der Auftragnehmer im Auftrag des Auftraggebers verarbeitet.

6.2 Ferner wird der Auftragnehmer den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde nach Art. 58 DSGVO gegenüber dem Auftragnehmer tätig wird und dies auch eine Kontrolle der Verarbeitung, die der Auftragnehmer im Auftrag des Auftraggebers erbringt, betreffen kann.

6.3 Dem Auftragnehmer ist bekannt, dass für den Auftraggeber eine Meldepflicht im Falle von Datenschutzverletzungen nach Art. 33, 34 DSGVO bestehen kann, die eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vorsieht. Der Auftragnehmer wird den Auftraggeber bei der Umsetzung der Meldepflichten unterstützen. Der Auftragnehmer wird dem Auftraggeber insbesondere jeden unbefugten Zugriff auf personenbezogene Daten, die im Auftrag des Auftraggebers verarbeitet werden, unverzüglich, spätestens aber binnen 48 Stunden ab Kenntnis des Zugriffs mitteilen. Die Meldung des Auftragnehmers an den Auftraggeber muss insbesondere folgende Informationen beinhalten:

• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
• eine Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

7. Mitwirkungspflichten des Auftragnehmers

7.1 Der Auftragnehmer unterstützt den Auftraggeber bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nach Art. 12-23 DSGVO. Es gelten die Regelungen von Ziff. 10 dieses Vertrages.

7.2 Der Auftragnehmer wirkt an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten durch den Auftraggeber mit. Er hat dem Auftraggeber die insoweit jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.

7.3 Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32-36 DSGVO genannten Pflichten.

8. Unterauftragsverhältnisse

8.1 Die Beauftragung von Unterauftragnehmern durch den Auftragnehmer ist nur mit Zustimmung des Auftraggebers in Textform zulässig. Der Auftragnehmer wird alle bereits zum Vertragsschluss bestehenden Unterauftragsverhältnisse in der Anlage 2 zu diesem Vertrag angeben.

8.2 Der Auftragnehmer hat den Unterauftragnehmer sorgfältig auszuwählen und vor der Beauftragung zu prüfen, dass dieser die zwischen Auftraggeber und Auftragnehmer getroffenen Vereinbarungen einhalten kann. Der Auftragnehmer hat insbesondere vorab und regelmäßig während der Vertragsdauer zu kontrollieren, dass der Unterauftragnehmer die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist vom Auftragnehmer zu dokumentieren und auf Anfrage dem Auftraggeber zu übermitteln.

8.3 Der Auftragnehmer ist verpflichtet, sich vom Unterauftragnehmer bestätigen zu lassen, dass dieser einen Datenschutzbeauftragten gemäß Art. 37 DSGVO benannt hat. Für den Fall, dass kein Datenschutzbeauftragter beim Unterauftragnehmer benannt worden ist, hat der Auftragnehmer den Auftraggeber hierauf hinzuweisen und Informationen dazu beizubringen, aus denen sich ergibt, dass der Unterauftragnehmer gesetzlich nicht verpflichtet ist, einen Datenschutzbeauftragten zu benennen.

8.4 Der Auftragnehmer hat sicherzustellen, dass die in diesem Vertrag vereinbarten Regelungen und ggf. ergänzende Weisungen des Auftraggebers auch gegenüber dem Unterauftragnehmer gelten.

8.5 Der Auftragnehmer hat mit dem Unterauftragnehmer einen Auftragsverarbeitungsvertrag zu schließen, der den Voraussetzungen des Art. 28 DSGVO entspricht. Darüber hinaus hat der Auftragnehmer dem Unterauftragnehmer dieselben Pflichten zum Schutz personenbezogener Daten aufzuerlegen, die zwischen Auftraggeber und Auftragnehmer festgelegt sind. Dem Auftraggeber ist der Auftragsdatenverarbeitungsvertrag auf Anfrage in Kopie zu übermitteln.

8.6 Der Auftragnehmer ist insbesondere verpflichtet, durch vertragliche Regelungen sicherzustellen, dass die Kontrollbefugnisse (Ziff. 9 dieses Vertrages) des Auftraggebers und von Aufsichtsbehörden auch gegenüber dem Unterauftragnehmer gelten und entsprechende Kontrollrechte von Auftraggeber und Aufsichtsbehörden vereinbart werden. Es ist zudem vertraglich zu regeln, dass der Unterauftragnehmer diese Kontrollmaßnahmen und etwaige Vor-Ort-Kontrollen – auch durch den Auftraggeber –  zu dulden hat.

8.7 Nicht als Unterauftragsverhältnisse i.S.d. Absätze 1 bis 6 sind Dienstleistungen anzusehen, die der Auftragnehmer bei Dritten als reine Nebenleistung in Anspruch nimmt, um die geschäftliche Tätigkeit auszuüben. Dazu gehören beispielsweise Reinigungsleistungen, reine Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt, Post- und Kurierdienste, Transportleistungen, Bewachungsdienste. Der Auftragnehmer ist gleichwohl verpflichtet, auch bei Nebenleistungen, die von Dritten erbracht werden, Sorge dafür zu tragen, dass angemessene Vorkehrungen und technische und organisatorische Maßnahmen getroffen wurden, um den Schutz personenbezogener Daten zu gewährleisten. Die Wartung und Pflege von IT-System oder Applikationen stellt ein zustimmungspflichtiges Unterauftragsverhältnis und Auftragsverarbeitung i.S.d. Art. 28 DSGVO dar, wenn die Wartung und Prüfung solche IT-Systeme betrifft, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden und bei der Wartung auf personenbezogenen Daten zugegriffen werden kann, die im Auftrag des Auftraggebers verarbeitet werden.

9. Vertraulichkeitsverpflichtung

9.1 Der Auftragnehmer ist bei der Verarbeitung von Daten für den Auftraggeber zur Wahrung der Vertraulichkeit über Daten, die er im Zusammenhang mit dem Auftrag erhält bzw. zur Kenntnis erlangt, verpflichtet. Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen. Der Auftraggeber ist verpflichtet, dem Auftragnehmer etwaige besondere Geheimnisschutzregeln mitzuteilen.

9.2 Der Auftragnehmer sichert zu, dass ihm die jeweils geltenden datenschutzrechtlichen Vorschriften bekannt sind und er mit der Anwendung dieser vertraut ist. Der Auftragnehmer sichert ferner zu, dass er seine Beschäftigten mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut macht und zur Vertraulichkeit verpflichtet hat. Der Auftragnehmer sichert ferner zu, dass er insbesondere die bei der Durchführung der Arbeiten tätigen Beschäftigten zur Vertraulichkeit verpflichtet hat und diese über die Weisungen des Auftraggebers informiert hat.

9.3 Die Verpflichtung der Beschäftigten nach Absatz 2 sind dem Auftraggeber auf Anfrage nachzuweisen.

10. Wahrung von Betroffenenrechten

10.1 Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei seiner Pflicht, Anträge von Betroffenen nach Art. 12-23 DSGVO zu bearbeiten, zu unterstützten. Der Auftragnehmer hat dabei insbesondere Sorge dafür zu tragen, dass die insoweit erforderlichen Informationen unverzüglich an den Auftraggeber erteilt werden, damit dieser insbesondere seinen Pflichten aus Art. 12 Abs. 3 DSGVO nachkommen kann.

10.2 Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten – insbesondere auf Auskunft, Berichtigung, Sperrung oder Löschung – durch den Auftraggeber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Weisung des Auftraggebers treffen. Der Auftragnehmer wird den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nachzukommen.

10.3 Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch Mitwirkungsleistungen im Zusammenhang mit Geltendmachung von Betroffenenrechten gegenüber dem Auftraggeber beim Auftragnehmer entstehen, bleiben unberührt.

10.4 Für den Fall, dass ein Betroffener seine Rechte nach den Art. 12-23 DSGVO beim Auftragnehmer geltend macht, obwohl dies offensichtlich eine Verarbeitung personenbezogener Daten betrifft, für die der Auftraggeber verantwortlich ist, ist der Auftragnehmer berechtigt, dem Betroffenen mitzuteilen, dass der Auftraggeber der Verantwortliche für die Datenverarbeitung ist. Der Auftragnehmer darf dem Betroffenen in diesem Zusammenhang die Kontaktdaten des Verantwortlichen mitteilen.

11. Geheimhaltungspflichten

11.1 Beide Parteien verpflichten sich, alle Informationen, die sie im Zusammenhang mit der Durchführung dieses Vertrages erhalten, zeitlich unbegrenzt vertraulich zu behandeln und nur zur Durchführung des Vertrages zu verwenden. Keine Partei ist berechtigt, diese Informationen ganz oder teilweise zu anderen als den soeben genannten Zwecken zu nutzen oder diese Information Dritten zugänglich zu machen.

11.2 Die vorstehende Verpflichtung gilt nicht für Informationen, die eine der Parteien nachweisbar von Dritten erhalten hat, ohne zur Geheimhaltung verpflichtet zu sein, oder die öffentlich bekannt sind.

12. Vergütung

Etwaige Regelungen zu einer Vergütung von Leistungen sind zwischen den Parteien gesondert zu vereinbaren.

13. Technische und organisatorische Maßnahmen zur Datensicherheit

13.1 Der Auftragnehmer verpflichtet sich gegenüber dem Auftraggeber zur Einhaltung der technischen und organisatorischen Maßnahmen, die zur Einhaltung der anzuwendenden Datenschutzvorschriften erforderlich sind. Dies beinhaltet insbesondere die Vorgaben aus Art. 32 i.V.m. Art. 5 Abs. 1 DSGVO.

13.2 Der zum Zeitpunkt des Vertragsschlusses bestehende Stand der technischen und organisatorischen Maßnahmen ist als Anlage 3 zu diesem Vertrag beigefügt. Die Parteien sind sich darüber einig, dass zur Anpassung an technische und rechtliche Gegebenheiten Änderungen der technischen und organisatorischen Maßnahmen erforderlich werden können. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, wird der Auftragnehmer im Voraus mit dem Auftraggeber abstimmen. Maßnahmen, die lediglich geringfügige technische oder organisatorische Änderungen mit sich bringen und die Integrität, Vertraulichkeit und Verfügbarkeit der personenbezogenen Daten nicht negativ beeinträchtigen, können vom Auftragnehmer ohne Abstimmung mit dem Auftraggeber umgesetzt werden. Der Auftraggeber kann jederzeit eine aktuelle Fassung der vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen anfordern.

13.3 Der Auftragnehmer wird die von ihm getroffenen technischen und organisatorischen Maßnahmen regelmäßig und auch anlassbezogen auf ihre Wirksamkeit kontrollieren. Für den Fall, dass es Optimierungs- und/oder Änderungsbedarf gibt, wird der Auftragnehmer den Auftraggeber informieren.

14. Dauer des Auftrags

14.1 Der Auftraggeber ist berechtigt, sich vor Beginn der Datenverarbeitung und sodann in regelmäßigen Abständen von der Einhaltung der getroffenen Vereinbarungen, insbesondere der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen gemäß Anlage 3, der weiteren Pflichten dieser Vereinbarung sowie der Anforderungen des Art. 28 DSGVO – auch vor Ort in den Geschäftsräumen des Auftragnehmers – insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme im erforderlichen Umfang, zu überzeugen. Ein Audit ist von dem Auftraggeber grundsätzlich zuvor bei dem Auftragnehmer anzukündigen und während der ordentlichen Geschäftszeiten des Auftragnehmers durchzuführen. Eine Anmeldung der Kontrolle kann entfallen, wenn der Auftraggeber begründeten Anlass zu der Annahme hat, dass eine solche Anmeldung den Kontrollzweck gefährdet. Der Auftraggeber kann diese Kontrolle auch durch einen Dritten durchführen lassen. Die Durchführung eines Audits durch einen Wettbewerber bzw. ein mit diesem verbundenes Unternehmen gemäß § 15 ff. Aktiengesetz kann der Auftragnehmer ablehnen. 

14.2 Der Auftragnehmer kann die Nachweise im Einzelfall durch die Einhaltung genehmigter Verhaltensregeln gem. Art. 40, 41 DSGVO oder durch ein geeignetes und genehmigtes Zertifizierungsverfahren gem. Art. 42 DSGVO erbringen. Der Auftragnehmer informiert den Auftraggeber unverzüglich über den Ausschluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DSGVO und den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DSGVO. 

14.3 Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind vom Auftragnehmer für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

15. Dauer des Auftrags

Die Vertragslaufzeit läuft parallel zum zwischen den Parteien bestehenden Hauptvertrag.

16. Beendigung

16.1 Nach Beendigung des Vertrages hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, Daten und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, nach Wahl des Auftraggebers an diesen zurückzugeben oder zu löschen. Die Löschung ist in geeigneter Weise zu dokumentieren. Etwaige gesetzliche Aufbewahrungspflichten oder sonstige Pflichten zur Speicherung der Daten bleiben unberührt. Für Datenträger gilt, dass diese im Falle einer vom Auftraggeber gewünschten Löschung zu vernichten sind, wobei mindestens die Sicherheitsstufe 3 der DIN 66399 einzuhalten ist; die Vernichtung ist dem Auftraggeber unter Hinweis auf die Sicherheitsstufe gemäß DIN 66399 nachzuweisen.

16.2 Der Auftraggeber hat das Recht, die vollständige und vertragsgemäße Rückgabe und Löschung der Daten beim Auftragnehmer zu kontrollieren. Dies kann auch durch eine Inaugenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte des Auftragnehmers erfolgen. Die Vor-Ort-Kontrolle soll mit angemessener Frist durch den Auftraggeber angekündigt werden.

16.3 Der Auftragnehmer darf personenbezogene Daten, die im Zusammenhang mit dem Auftrag verarbeitet worden sind, über die Beendigung des Vertrages hinaus speichern, wenn und soweit den Auftragnehmer eine gesetzliche Pflicht zur Aufbewahrung trifft. In diesen Fällen dürfen die Daten nur für Zwecke der Umsetzung der jeweiligen gesetzlichen Aufbewahrungspflichten verarbeitet werden. Nach Ablauf der Aufbewahrungspflicht sind die Daten unverzüglich zu löschen.

17. Schlussbestimmungen

17.1 Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren. Der Auftragnehmer wird die Gläubiger über die Tatsache, dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren.

17.2 Für Nebenabreden ist die Schriftform erforderlich. Textform genügt dem Schriftformerfordernis nicht. Der Vertragsschluss, sowie Änderungen, Ergänzungen oder Konkretisierungen können durch die Vertragsparteien mit dem Programm „docusign“ vorgenommen werden und genügen den Anforderungen gemäß Satz 1.

17.3 Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.

Anlage 1 – Gegenstand des Auftrags

1. Gegenstand und Zweck der Verarbeitung

Der Auftrag des Auftraggebers an den Auftragnehmer umfasst folgende Arbeiten und/oder Leistungen, die sich aus dem zwischen den Parteien geschlossenen Dienstleitungsvertrag ergeben:

Wir verarbeiten personenbezogene Daten im erforderlichen Maße, um die Dienste der mocentiv Plattform gemäß dem Vertrag, den Angaben im Angebot und Ihren Anweisungen im Rahmen Ihrer Nutzung der mocentiv Plattform, bereitzustellen.

2. Arten der personenbezogenen Daten

Folgende Datenarten sind regelmäßig Gegenstand der Verarbeitung bei der der Verwendung der mocentiv Plattform und sind dadurch dem Auftragnehmerdurch den Auftraggeber bereitgestellt, wobei der Auftraggeber den Umfang dieser Übermittlung nach eigenem Ermessen bestimmen und kontrollieren kann:

• Personenstammdaten
• Kontaktdaten
• Vertragsdaten
• Abrechnungsdaten
• Weitere Beschäftigungsdaten
• Jegliche anderen personenbezogenen Daten, die von Ihnen oder Ihren Endnutzern über die mocentiv Plattform übermittelt, gesendet oder empfangen wurden

3. Kategorien betroffener Personen

Die übermittelten Daten können unter anderem personenbezogene Daten der folgenden Kategorien betroffener Personen enthalten, wobei der Auftraggeber diese Übermittlung nach eigenem Ermessen bestimmen und kontrollieren kann:

Ihrer Kontakte und weitere Endnutzer einschließlich Ihrer Angestellten, Vertragsnehmer, Mitarbeiter und Beschäftigte des Auftraggebers, freie Mitarbeiter und Praktikanten, Kunden, potenziellen Kunden, Zulieferer und Untervertragsnehmer.

Anlage 2 – Unterauftragnehmer

Der Auftragnehmer nimmt für die Verarbeitung von Daten im Auftrag des Auftraggebers Leistungen von Dritten in Anspruch, die in seinem Auftrag Daten verarbeiten („Unterauftragnehmer“).

Dabei handelt es sich um nachfolgende Unternehmen:

Anlage 3 – Technische und organisatorische Maßnahmen des Auftragnehmers

Der Auftragnehmer versichert nachfolgende technische und organisatorische Maßnahmen zur Datensicherheit i.S.d. Art. 32 DSGVO getroffen zu haben:

A) Zutrittskontrolle
Maßnahmen, die unbefugten Personen den Zutritt zu IT-Systemen und Datenverarbeitungsanlagen mit denen personenbezogene Daten verarbeitet werden, sowie vertraulichen Akten und Datenträgern physisch verwehren.

Beschreibung des Zutrittskontrollsystems:

• kontrollierte Schlüsselvergabe
• Türsicherung
• Kontrollsystem für Besucher

B) Zugangskontrolle
Maßnahmen, die verhindern, dass Unbefugte datenschutzrechtlich geschützte Daten verarbeiten oder nutzen können.

Beschreibung des Zugangskontrollsystems:

• Kennwortverfahren, d.h. persönlicher und individueller User Log-In bei Anmeldung am System (u.a. Sonderzeichen, Mindestlänge, regelmäßiger Wechsel des Kennwortes)
• Automatische Sperrung (Kennwort oder Pausenschaltung)
• Einrichtung eines Benutzerstammsatzes pro User
• Begrenzung der Zahl der berechtigten Mitarbeiter
• Verschlüsselung von Datenträgern
• Authentifizierungsverfahren
• Einrichten von regelmäßigen aktualisierten Antiviren- und Spyware-Filtern
• Ausgelagerte Verarbeitung, Hosting unseres Dienstes über ausgelagerte Cloud-Infrastruktur-Anbieter auf deutschen Servern (vertragliche Vereinbarungen, Datenschutzrichtlinien und Anbieter-Compliance-Programme zum Schutz der Daten)
• Physischer Schutz und Umweltsicherheit über mandantenfähige, ausgelagerte Betreiber von Infrastruktur (Erfüllung von SOC 2 Typ II, ISO 27001 und anderer Zertifikate)

C) Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung der Datenverarbeitungsverfahren Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können, so dass Daten bei der Verarbeitung, Nutzung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Beschreibung des Zugriffskontrollsystems:

• Berechtigungskonzept: Wir vergeben je nach Profil und Rolle differenzierte Berechtigungen durch den Systemadministrator und überprüfen diese Rollen regelmäßig auf ihre Berechtigungen hin. Dabei ist die Anzahl der Administratoren aktuell auf das Minimum von eins reduziert. Scheiden Personen aus dem Unternehmen aus, werden alle Berechtigungen entzogen bzw. gelöscht, so dass ein weiterer Zugriff auf Daten ausgeschlossen wird.

D) Trennungsgebot

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden und so von anderen Daten und Systemen getrennt sind, dass eine ungeplante Verwendung dieser Daten zu anderen Zwecken ausgeschlossen ist.
‍
Beschreibung des Trennungskontrollvorgangs:

• Berechtigungskonzepte
• verschlüsselte Speicherung von personenbezogenen Daten

E) Pseudonymisierung

Maßnahmen, die den unmittelbaren Personenbezug während der Verarbeitung in einer Weise reduzieren, dass nur mit Hinzuziehung zusätzlicher Informationen eine Zuordnung zu einer spezifischen betroffenen Person möglich ist. Die Zusatzinformationen sind dabei durch geeignete technische und organisatorische Maßnahmen von dem Pseudonym getrennt aufzubewahren.

Beschreibung des Pseudonymisierungsverfahrens:

• Hashwertverfahren (SHA-2; SHA-3)

F) Wiederherstellbarkeit

Maßnahmen, die sicherstellen, dass die Verfügbarkeit und der Zugang zu personenbezogenen Daten schnell wiederhergestellt werden können.

Beschreibung des Wiederherstellbarkeitssystems:

• Erstellen eines Backup- & Recoverykonzepts
• Testen von Datenwiederherstellung
• Erstellung eines Notfallplans

G) Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können sowie Maßnahmen mit denen überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten vorgesehen ist.

Beschreibung der Weitergabekontrolle:

• Übermittlung von Daten über verschlüsselte Datennetze oder Tunnelverbindungen (HTTPS-Verschlüsselung, SSL oder TLS, Algorithmen und Zertifikate gemäß Branchenstandards
• Transportprozesse mit individueller Verantwortlichkeit
• sicherer Transportbehälter für Datenträger

H) Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in DV-Systeme eingegeben, verändert oder entfernt worden sind.

Beschreibung des Eingabekontrollvorgangs:

• Protokollierung sämtlicher Systemaktivitäten und Aufbewahrung dieser Protokolle von mindestens drei Jahren

 
I) Verfügbarkeitskontrolle

Maßnahmen, die sicherstellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Beschreibung des Verfügbarkeitskontrollsystems:

• Datensicherungsverfahren
• Automatisierte Meldung von Fehlfunktionen

J) Maßnahmen zur regelmäßigen Evaluation der Sicherheit der Datenverarbeitung

Maßnahmen, die die datenschutzkonforme und sichere Verarbeitung sicherstellen.

Beschreibung der Überprüfungsverfahren:

• Datenschutzmanagement
• Formalisierte Prozesse für Datenschutzvorfälle
• Weisungen des Auftraggebers werden dokumentiert
• formalisiertes Auftragsmanagement

Stand: 18.1.2021