Vertrag zur Auftragsverarbeitung

Dieser Vertrag gilt zwischen dem Kunden („Verantwortlicher“) und der Stappert IT GmbH, Am Heerweg 1A, 59872 Meschede („wir“, „Auftragsverarbeiter“). Er ergänzt den Vertrag über die Nutzung von Saldoblick und ist dessen Bestandteil.

1. Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen, soweit das für Bereitstellung und Betrieb von Saldoblick nötig ist. Der Vertrag gilt für die Laufzeit des Nutzungsvertrags und endet mit ihm. Pflichten, die darüber hinaus bestehen, gelten fort.

2. Art, Zweck und Umfang der Verarbeitung

1. Zweck ist die Berechnung der Liquiditätsvorschau, die Anbindung von Konten und Systemen des Verantwortlichen, der Betrieb der Anwendung und, wenn der Verantwortliche ihn nutzt, der Assistent.
2. Die Verarbeitung umfasst Speichern, Auslesen, Berechnen, Anzeigen, Übermitteln an die Nutzer des Verantwortlichen und Löschen.
3. Betroffen sind Daten folgender Personen: Beschäftigte des Verantwortlichen, Kunden, Lieferanten und deren Ansprechpartner sowie die Nutzer von Saldoblick.
4. Verarbeitet werden folgende Arten von Daten: Name, Lohn- und Gehaltsangaben und die für Sozialabgaben nötigen Angaben der Beschäftigten, Kontaktdaten von Geschäftspartnern, Rechnungs-, Zahlungs- und Kontodaten sowie Name, E-Mail-Adresse, Rolle und Protokolldaten der Nutzer.

3. Weisungen

1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in ein Drittland. Eine Ausnahme gilt, wenn Unionsrecht oder das Recht eines Mitgliedstaats uns zur Verarbeitung verpflichtet. Wir teilen das dann vorher mit, soweit das Recht es nicht verbietet.
2. Der Nutzungsvertrag und die Nutzung der Anwendung durch den Verantwortlichen sind seine Weisungen. Weitere Weisungen erteilt er in Textform.
3. Verstößt eine Weisung nach unserer Auffassung gegen Datenschutzrecht, weisen wir den Verantwortlichen darauf hin. Wir dürfen die Ausführung aussetzen, bis er sie bestätigt oder ändert.

4. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich und für die Wahrung der Rechte der Betroffenen. Er informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung bemerkt.

5. Vertraulichkeit

Wir setzen nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Sie verarbeiten die Daten nur auf unsere Weisung.

6. Sicherheit der Verarbeitung

1. Wir treffen die in dem Dokument „Technische und organisatorische Maßnahmen“ beschriebenen Maßnahmen nach Art. 32 DSGVO.
2. Wir dürfen die Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau nicht sinkt.

7. Subdienstleister

1. Der Verantwortliche erteilt uns die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die zum Vertragsschluss eingesetzten stehen im Dokument „Subdienstleister“.
2. Wir informieren den Verantwortlichen in Textform mindestens 30 Tage vorher, wenn wir einen Subdienstleister hinzuziehen oder ersetzen. Er kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen.
3. Einigen wir uns nach einem Widerspruch nicht, kann jede Seite den Nutzungsvertrag zum Zeitpunkt des geplanten Wechsels außerordentlich kündigen.
4. Wir verpflichten jeden Subdienstleister zu denselben Datenschutzpflichten, die für uns gelten. Wir haften für ihn wie für uns selbst.

8. Rechte der Betroffenen

Wenden sich Betroffene mit Anträgen nach Art. 15 bis 22 DSGVO an uns, leiten wir sie an den Verantwortlichen weiter. Wir unterstützen ihn mit geeigneten technischen und organisatorischen Maßnahmen dabei, diese Anträge zu beantworten.

9. Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, das sind Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde, soweit uns die Informationen vorliegen.

10. Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die wir bemerken, unverzüglich. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

11. Übermittlung in Drittländer

Wir verarbeiten die Daten in Rechenzentren in der Europäischen Union. Soweit Subdienstleister ihren Sitz außerhalb der Union haben oder von dort auf die Daten zugreifen können, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf Standardvertragsklauseln. Einzelheiten stehen im Dokument „Subdienstleister“.

12. Nachweise und Kontrollen

1. Wir stellen dem Verantwortlichen die Informationen zur Verfügung, die er braucht, um unsere Einhaltung dieses Vertrags nachzuweisen.
2. Der Verantwortliche darf Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Er meldet sie mindestens 14 Tage vorher an und führt sie höchstens einmal im Jahr durch, es sei denn, ein konkreter Anlass erfordert mehr. Sie stören unseren Betrieb nicht unverhältnismäßig.

13. Löschung und Rückgabe

1. Nach Vertragsende geben wir dem Verantwortlichen auf Anforderung seine Daten in einem gängigen Format heraus und löschen sie danach. Fordert er sie nicht innerhalb von 30 Tagen an, löschen wir sie.
2. Daten in Sicherungen und Wiederherstellungspunkten des Datenbankanbieters werden mit Ablauf von deren Aufbewahrungsdauer gelöscht.
3. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Wir sperren die Daten dann und löschen sie nach Fristablauf.

14. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Nutzungsvertrags.

15. Schlussbestimmungen

1. Bei Widersprüchen gehen die Regeln dieses Vertrags denen des Nutzungsvertrags vor, soweit es um personenbezogene Daten geht.
2. Es gilt deutsches Recht. Änderungen bedürfen der Textform.
3. Ansprechpartner für den Datenschutz ist info@saldoblick.de.