Auftragsverarbeitung

§ 1 Gegenstand und Dauer

1. Ladenfront erstellt und betreibt für den Kunden eine Website. Dabei werden personenbezogene Daten von Besuchern der Website im Auftrag des Kunden verarbeitet. Einzelheiten regelt Anlage 1.
2. Der Vertrag beginnt mit der Veröffentlichung der Website und läuft, solange Ladenfront die Website betreibt. Er endet mit dem Hauptvertrag.
3. Der Kunde bleibt Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er allein entscheidet über Zulässigkeit, Zwecke und Mittel der Verarbeitung.

§ 2 Weisungen

1. Ladenfront verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt auch dieser Vertrag samt Anlagen.
2. Weisungen können mündlich erteilt werden, sind aber unverzüglich in Textform zu bestätigen. Eine E-Mail genügt.
3. Hält Ladenfront eine Weisung für rechtswidrig, wird sie den Kunden darauf hinweisen und darf die Ausführung aussetzen, bis der Kunde sie bestätigt.
4. Ist Ladenfront durch Unionsrecht oder deutsches Recht zu einer Verarbeitung verpflichtet, wird sie den Kunden vor der Verarbeitung darüber unterrichten, sofern das Gesetz dies nicht verbietet.

§ 3 Vertraulichkeit

1. Ladenfront wird als Einzelunternehmen ohne Beschäftigte geführt. Der Inhaber ist zur Vertraulichkeit verpflichtet.
2. Werden künftig Personen hinzugezogen, werden diese vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit verpflichtet. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

§ 4 Technische und organisatorische Maßnahmen

1. Ladenfront trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Kunden mitgeteilt.

§ 5 Unterauftragsverarbeiter

1. Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
2. Ladenfront darf weitere Unterauftragsverarbeiter beauftragen, teilt dies dem Kunden jedoch mindestens vier Wochen vorher in Textform mit. Der Kunde kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen. Widerspricht er, darf Ladenfront den Hauptvertrag mit einer Frist von vier Wochen kündigen.
3. Ladenfront verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die diesem Vertrag entsprechen, und bleibt dem Kunden gegenüber verantwortlich.

§ 6 Ort der Verarbeitung

1. Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Übermittlung in ein Drittland findet nicht statt.
2. Soll sich das ändern, bedarf es der vorherigen Zustimmung des Kunden in Textform.

§ 7 Unterstützung des Kunden

1. Ladenfront unterstützt den Kunden dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten. Wendet sich eine betroffene Person direkt an Ladenfront, wird sie unverzüglich an den Kunden verwiesen.
2. Ladenfront unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit der Verarbeitung, Meldung von Verletzungen und Datenschutz-Folgenabschätzung.
3. Eine Verletzung des Schutzes personenbezogener Daten meldet Ladenfront dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit dieser seine Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann.

§ 8 Nachweise und Kontrollen

1. Ladenfront weist die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch Vorlage der Anlage 2 und der Nachweise ihrer Unterauftragsverarbeiter.
2. Der Kunde darf sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung überzeugen. Die Kontrolle erfolgt zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs.

§ 9 Löschung und Rückgabe

1. Nach Ende des Vertrags gibt Ladenfront alle Daten und Unterlagen zurück oder löscht sie, je nach Wahl des Kunden. Die Website und die zugehörige Domain gehören dem Kunden und werden ihm auf Wunsch übertragen.
2. Bestehen gesetzliche Aufbewahrungspflichten, bleiben die betroffenen Daten gespeichert; die Verarbeitung wird auf den Aufbewahrungszweck beschränkt.
3. Die Löschung wird auf Verlangen in Textform bestätigt.

§ 10 Haftung und Schlussbestimmungen

1. Es gilt Art. 82 DSGVO.
2. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieser Formklausel.
3. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
4. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um den Datenschutz geht.

Anlage 2: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Anlage 3: Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter werden nicht eingesetzt. Eine Änderung wird nach § 5 dieses Vertrags vorher mitgeteilt.