Auftragsverarbeitungsvertrag für personenbezogene Daten (AVV / DPA)

1. Parteien und Zustandekommen des Vertrags

Der Vertrag wird geschlossen zwischen:

• dem Händler, der ein Abonnement abgeschlossen hat und dessen Identität die bei der Anmeldung angegebene ist (der „Verantwortliche“);
• MALEDA SAS, SAS, 17 rue de la caserne, 57710 Aumetz, France, 123456TEST12345 („Maleda“ oder der „Auftragsverarbeiter“).

Er wird elektronisch zusammen mit den Nutzungs- und Verkaufsbedingungen angenommen, deren Bestandteil er ist. Die angenommene Fassung und das Datum der Annahme werden gespeichert. Er gilt für jedes Geschäft des Händlers. Bei Widersprüchen zur Verarbeitung personenbezogener Daten geht dieser Vertrag den Nutzungs- und Verkaufsbedingungen vor.

2. Gegenstand

Maleda verarbeitet im Auftrag des Verantwortlichen und auf dessen dokumentierte Weisung die personenbezogenen Daten seiner Kunden nur insoweit, als dies für die Erbringung des Dienstes erforderlich ist: Hosting der Website des Geschäfts, Online-Reservierung, Abholbestellung, Versand von E-Mails und Benachrichtigungen sowie Abwicklung von Anzahlungen über Stripe Connect.

Der Verantwortliche bleibt verantwortlich für die Rechtmäßigkeit der Erhebung dieser Daten, die Information seiner Kunden (Artikel 13 und 14 DSGVO) und die Wahl der Zwecke. Für die übrigen Verarbeitungen (Händlerkonto, Abrechnung, Sicherheit, Verzeichnis, Überprüfung der Anschrift und des Unternehmens, Empfehlungsprogramm) ist Maleda selbst Verantwortlicher: siehe die Datenschutzerklärung.

Diese übrigen Verarbeitungen liegen außerhalb des Anwendungsbereichs dieses Vertrags. An ihnen sind jedoch Dienstleister beteiligt, die keine Kundendaten erhalten und in Anhang 3 zur Information aufgeführt sind: insbesondere die öffentlichen Dienste, die die Anschrift und die Existenz des Unternehmens des Händlers überprüfen, sowie Stripe für die Auszahlung der Empfehlungsprovisionen.

3. Dauer

Der Vertrag tritt mit der Annahme der Nutzungs- und Verkaufsbedingungen in Kraft und dauert so lange wie das Abonnement. Er gilt nach Vertragsende für die Rückgabe und Löschung der Daten fort (Artikel „Verbleib der Daten“).

4. Art, Zweck, Daten und betroffene Personen

Art und Zweck der Verarbeitungen, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anhang 1 beschrieben.

5. Weisungen des Verantwortlichen

Maleda verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Vertrag, die Nutzung des Dienstes und seine Einstellungen sowie die an contact@maleda.eu gesendeten schriftlichen Anfragen bilden diese Weisungen.

Maleda informiert den Verantwortlichen unverzüglich, wenn nach ihrer Auffassung eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Sie verarbeitet die Daten nicht für eigene Zwecke, außer bei gesetzlicher Verpflichtung; in diesem Fall informiert sie den Verantwortlichen, soweit das Gesetz dies erlaubt.

Der Verantwortliche verpflichtet sich, über die Freitextfelder des Dienstes (Leistung, Anmerkung zur Bestellung …) keine besonderen Kategorien von Daten im Sinne von Artikel 9 DSGVO (Gesundheit, Überzeugungen usw.) zu erheben, es sei denn, dies ist tatsächlich erforderlich und es besteht eine geeignete Rechtsgrundlage.

6. Vertraulichkeit

Maleda stellt sicher, dass die zur Verarbeitung der Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben (vertragliche Verpflichtung oder gesetzliche Pflicht) und die Daten nur zur Erbringung des Dienstes verarbeiten. Die Daten eines Geschäfts sind für keinen anderen Händler zugänglich.

7. Datensicherheit

Maleda setzt die in Anhang 2 aufgeführten technischen und organisatorischen Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Artikel 32 DSGVO). Sie entwickelt diese mit dem Stand der Technik weiter, ohne das Gesamtniveau zu senken.

8. Weitere Auftragsverarbeiter

Der Verantwortliche erteilt Maleda eine allgemeine Genehmigung, die in Anhang 3 aufgeführten weiteren Auftragsverarbeiter einzusetzen.

Maleda informiert den Verantwortlichen über jede Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters mindestens 30 Tage im Voraus, per E-Mail oder durch eine Aktualisierung von Anhang 3 mit einem Hinweis im Händlerbereich. Der Verantwortliche kann innerhalb dieser Frist aus einem angemessenen datenschutzbezogenen Grund Einspruch erheben, indem er an contact@maleda.eu schreibt. Die Parteien suchen dann eine Lösung; andernfalls kann der Verantwortliche das betreffende Abonnement kostenfrei kündigen (die Kündigung wird zum Ende des bezahlten Zeitraums wirksam oder früher, wenn die Änderung umgesetzt wird).

Maleda erlegt jedem weiteren Auftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und bleibt gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten verantwortlich.

9. Rechte der betroffenen Personen

Maleda unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Verantwortliche kann die Reservierungen und Bestellungen seines Geschäfts in seinem Händlerbereich einsehen, berichtigen und löschen.

Wendet sich eine Person wegen Daten, die im Auftrag des Verantwortlichen verarbeitet werden, direkt an Maleda, verweist Maleda sie an den Verantwortlichen und leitet ihm den Antrag innerhalb von 5 Werktagen weiter, ohne ihn selbst zu beantworten, sofern keine gegenteilige Weisung vorliegt.

Auf Anfrage stellt Maleda dem Verantwortlichen innerhalb einer angemessenen Frist von höchstens 15 Tagen eine Kopie oder einen Export der betreffenden Daten zur Verfügung.

10. Verletzung des Schutzes personenbezogener Daten

Maleda meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die in seinem Auftrag verarbeiteten Daten betrifft, unverzüglich und spätestens 48 Stunden nach Kenntnisnahme, per E-Mail an die Adresse des Kontos. Die Meldung beschreibt, soweit möglich, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Informationen werden nachgereicht.

Es obliegt dem Verantwortlichen zu beurteilen, ob er die Verletzung der Aufsichtsbehörde (innerhalb von 72 Stunden) und den betroffenen Personen melden muss; Maleda unterstützt ihn dabei. Maleda ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen.

11. Unterstützung

Maleda unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung (DSFA) und vorherige Konsultation der Aufsichtsbehörde (Artikel 32 bis 36 DSGVO). Sie hält die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

12. Überprüfungen

Der Verantwortliche kann die Einhaltung dieses Vertrags überprüfen: zunächst anhand der Informationen, die Maleda ihm zur Verfügung stellt (Dokumentation, Beschreibung der Sicherheitsmaßnahmen, Berichte oder Zertifizierungen der weiteren Auftragsverarbeiter), und anschließend, wenn diese Informationen nicht ausreichen oder bei einer nachgewiesenen Verletzung, durch eine von ihm oder einem zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchgeführte Überprüfung.

Die Überprüfung wird mindestens 30 Tage im Voraus schriftlich angekündigt, ist auf die betroffenen Verarbeitungen beschränkt und findet während der Geschäftszeiten statt, ohne den Dienst zu stören oder die Sicherheit der Daten anderer Kunden zu gefährden. Jede Partei trägt ihre eigenen Kosten; die angemessenen Kosten von Maleda trägt der Verantwortliche, außer bei festgestelltem Verstoß.

13. Verbleib der Daten bei Vertragsende

Bei Vertragsende, gleich aus welchem Grund, gibt Maleda nach schriftlich geäußerter Wahl des Verantwortlichen die Daten an ihn zurück oder löscht sie und vernichtet anschließend die vorhandenen Kopien, innerhalb von 30 Tagen ab Vertragsende (oder ab der Anfrage, wenn diese später erfolgt), es sei denn, das Recht der Union oder eines Mitgliedstaats schreibt ihre Aufbewahrung vor.

Trifft der Verantwortliche keine Wahl, werden die Daten innerhalb dieser Frist gelöscht. Die Sicherungskopien der Datenbank, die 14 Tage aufbewahrt werden, werden spätestens 14 Tage nach der Löschung bereinigt. Maleda bestätigt die Löschung auf Anfrage.

14. Übermittlungen außerhalb der Europäischen Union

Maleda übermittelt keine Daten außerhalb der Europäischen Union, außer an einen weiteren Auftragsverarbeiter aus Anhang 3 und unter den Garantien des Artikels 46 DSGVO: Angemessenheitsbeschluss (Datenschutzrahmen EU–USA) oder Standardvertragsklauseln der Kommission, bei Bedarf ergänzt durch zusätzliche Maßnahmen. [ZU ERGÄNZEN: für jeden weiteren Auftragsverarbeiter die gewählte Garantie bestätigen]

15. Haftung

Jede Partei haftet für ihre Verstöße gegen die DSGVO und diesen Vertrag nach Maßgabe des Artikels 82 DSGVO, unbeschadet der Rechte der betroffenen Personen. Im Verhältnis der Parteien unterliegt die Haftung von Maleda aus diesem Vertrag den Beschränkungen des Artikels „Haftungsbeschränkung“ der Nutzungs- und Verkaufsbedingungen, außer wenn das Gesetz sie ausschließt.

Der Verantwortliche stellt Maleda von den Folgen einer rechtswidrigen Weisung oder einer ihm zuzurechnenden unterlassenen Information seiner Kunden frei.

16. Anwendbares Recht und Gerichtsstand

Dieser Vertrag unterliegt französischem Recht und für Streitigkeiten denselben Zuständigkeitsregeln wie die Nutzungs- und Verkaufsbedingungen (zuständigen Gerichte am Sitz des Anbieters). Die zwingenden Vorschriften der DSGVO gelten in jedem Fall.

17. Anhang 1: Beschreibung der Verarbeitungen

18. Anhang 2: Sicherheitsmaßnahmen

Vertraulichkeit und Zugriff

• Trennung der Daten nach Geschäft: Jeder Geschäftsdatensatz trägt die Kennung des Geschäfts, die vom Server bestimmt wird (niemals durch ein Formularfeld); jede Änderung wird nach Geschäft und Kennung gefiltert.
• Authentifizierung der Händler ohne Passwort: Einmal-Link und Einmal-Code, Ablauf nach 15 Minuten, 5 Versuche, Begrenzung der Anzahl der Sendungen pro Stunde und pro Adresse, identische Antwort unabhängig davon, ob die Adresse existiert oder nicht.
• Nur die Hashwerte (SHA-256) der Links, Codes und Sitzungstoken werden gespeichert; Sitzungen von höchstens 30 Tagen, „httpOnly“-Cookie.
• Zugriffstoken für soziale Netzwerke verschlüsselt (AES-GCM); Stornierungslink der Kunden als Hashwert gespeichert.
• Zugriff auf die Produktionsumgebung auf befugte Personen beschränkt; Geheimnisse in der Serverumgebung aufbewahrt, niemals im Code.

Integrität und Verfügbarkeit

• Verschlüsselung der Übertragung (HTTPS, automatische Zertifikate).
• Serverseitige Validierung jeder Eingabe; Preise und Beträge serverseitig neu berechnet.
• Zahlungsereignisse signiert und nur einmal verarbeitet (Idempotenz).
• Tägliche Sicherungen der Datenbank, 14 Tage aufbewahrt; Überwachung des Dienstzustands.
• Fotos neu kodiert und von ihren Metadaten befreit.

Nachvollziehbarkeit und Organisation

• Protokollierung der Zugriffe und Fehler des Servers.
• Sicherheitsaktualisierungen der Komponenten; Trennung von Entwicklungs- und Produktionsumgebung; keine echten Daten in den Tests.
• Verfahren für die Behandlung von Vorfällen und die Meldung von Verletzungen (Artikel „Verletzung des Schutzes personenbezogener Daten“).

19. Anhang 3: Genehmigte weitere Auftragsverarbeiter

Die folgenden Dienstleister stellen Funktionen des Dienstes bereit, ohne Kundendaten zu erhalten: Anthropic (KI-Modell des Assistenten: Anfrage des Händlers, Produktnamen), OpenStreetMap / Nominatim und Photon (Geokodierung und Überprüfung der Anschrift des Geschäfts außerhalb Frankreichs), die Base Adresse Nationale (Überprüfung der Anschriften in Frankreich), das Unternehmensverzeichnis / SIRENE-Datenbank (Existenz des französischen Unternehmens) und MIAS/VIES der Europäischen Kommission (europäische Umsatzsteuer-Identifikationsnummern): Diese Dienste erhalten ausschließlich die Anschrift und die Unternehmensnummer des Geschäfts; Stripe Connect für die Auszahlung der Empfehlungsprovisionen an die Werber (keine Kundendaten); Google (Google-Anmeldung des Händlers, Bewertungen, Street View: Der Browser des Besuchers kann sich beim Anzeigen von Street View mit Google verbinden), Meta (Veröffentlichungen des Händlers in seinen sozialen Netzwerken).