Vereinbarung zur Auftragsverarbeitung (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

§ 1 Gegenstand und Dauer

(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch MXX, Inhaber Maximilian Rosenbauer („Auftragsverarbeiter“, X-Sale) im Auftrag des Kunden („Verantwortlicher“) bei der Nutzung der Software X-Sale. Sie ist Bestandteil des Nutzungsvertrags nach den AGB und gilt, solange X-Sale personenbezogene Daten für den Kunden verarbeitet.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.

§ 2 Art, Zweck und betroffene Daten

(1) X-Sale verarbeitet die Daten, um dem Kunden die Software bereitzustellen: speichern, anzeigen, übermitteln (zum Beispiel an Versanddienstleister oder Plattformen, wenn der Kunde das auslöst), auswerten und löschen.

(2) Betroffen sind vor allem: Kunden, Interessenten und Zuschauer von Live-Verkäufen des Kunden, seine Mitarbeiter, Lieferanten und Ansprechpartner.

(3) Arten von Daten: Namen, Anschriften, Kontaktdaten, Kunden- und Bestellnummern, Bestell-, Rechnungs- und Zahlungsdaten, Nachrichten und Kommentare, Nutzernamen auf Plattformen sowie Anmelde- und Protokolldaten der Mitarbeiter. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen; der Kunde gibt sie nur ein, wenn es für seinen Zweck nötig und zulässig ist.

§ 3 Weisungen

(1) X-Sale verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die Einstellungen und Handlungen des Kunden in der Software sowie Anweisungen in Textform. X-Sale verarbeitet die Daten nur dann anders, wenn ein Gesetz das verlangt; dann teilt X-Sale dem Kunden das vorher mit, soweit das Gesetz es nicht verbietet.

(2) Hält X-Sale eine Weisung für rechtswidrig, weist X-Sale den Kunden unverzüglich darauf hin.

§ 4 Vertraulichkeit

(1) X-Sale setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Pflicht zur Verschwiegenheit unterliegen, und gewährt Zugriff auf die Daten nur, soweit es für die Aufgabe nötig ist.

§ 5 Technische und organisatorische Maßnahmen

(1) X-Sale trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere: Übertragung nur verschlüsselt (TLS); Zugriff nur nach Anmeldung; Rollen und Rechte für Mitarbeiterzugänge des Kunden; Zwei-Faktor-Anmeldung möglich; Passwörter werden nur als Prüfwert (Hash) gespeichert; regelmäßige Datensicherung beim Datenbankdienstleister mit Wiederherstellung; Protokoll wichtiger Änderungen im Konto des Kunden.

(2) X-Sale darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erlaubt X-Sale, Unterauftragsverarbeiter einzusetzen (zum Beispiel für Hosting, Datenbank, E-Mail-Versand, Zahlungsabwicklung und KI-Funktionen). X-Sale verpflichtet sie vertraglich mindestens auf das Schutzniveau dieser Vereinbarung.

(2) Die aktuelle Liste sendet X-Sale auf Anfrage an mail.x-sale@gmx.de. Über neue oder ersetzte Unterauftragsverarbeiter informiert X-Sale den Kunden vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; ist eine Lösung nicht möglich, kann jede Seite den Vertrag für die betroffene Leistung kündigen.

(3) Werden Daten außerhalb der EU bzw. des EWR verarbeitet, geschieht das nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, zum Beispiel durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

§ 7 Unterstützung des Kunden

(1) X-Sale unterstützt den Kunden mit den Funktionen der Software und, soweit nötig, darüber hinaus dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) und seine Pflichten aus Art. 32 bis 36 DSGVO zu erfüllen. Wendet sich eine betroffene Person direkt an X-Sale, leitet X-Sale die Anfrage an den Kunden weiter.

§ 8 Meldung von Datenschutzverletzungen

(1) X-Sale meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie X-Sale bekannt geworden ist, mit den Angaben, die der Kunde für seine eigene Meldung nach Art. 33 und 34 DSGVO braucht.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Vertrags kann der Kunde seine Daten noch 30 Tage über die Exportfunktionen herunterladen. Danach löscht X-Sale die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im üblichen Turnus überschrieben.

§ 10 Nachweise und Kontrollen

(1) X-Sale stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus dieser Vereinbarung nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.

§ 11 Haftung

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln der AGB.