Auftragsverarbeitungsvertrag BrandMeister

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um den Dienst zu erbringen: das digitale Markenhandbuch, die Asset-Bibliothek, Vorlagen, Freigabelinks und die KI-Markenprüfung.
2. Dieser Vertrag gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet, einschließlich des Testzeitraums und der Exportfrist nach Beendigung.

Der Verantwortliche stellt keine besonderen Kategorien personenbezogener Daten (etwa Gesundheitsdaten oder Identifikationsnummern) in den Dienst.

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Vertrag und die Nutzung des Dienstes gelten als solche Weisung.
2. Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, auch nicht zum Training von KI-Modellen.
3. Hält der Auftragsverarbeiter eine Weisung für DSGVO-widrig, teilt er dies unverzüglich mit.
4. Ist der Auftragsverarbeiter gesetzlich zur Herausgabe von Daten verpflichtet, teilt er dies vorab mit, sofern das Gesetz dies nicht verbietet.

Alle Personen, die im Namen des Auftragsverarbeiters Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO). Dazu gehören mindestens: Verschlüsselung bei der Übertragung (TLS) und bei der Speicherung, rollenbasierte Zugriffe, regelmäßige Backups, Protokollierung von Zugriffen und die zeitnahe Installation von Sicherheitsupdates.

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage 1.
2. Der Auftragsverarbeiter kündigt einen neuen oder ersetzenden Unterauftragsverarbeiter mindestens dreißig (30) Tage im Voraus an. Der Verantwortliche kann innerhalb dieser Frist begründet widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche den Vertrag kostenfrei kündigen.
3. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Pflichten wie in diesem Vertrag auf und bleibt für sie haftbar.
4. Übermittlungen außerhalb des EWR erfolgen nur mit einer geeigneten Garantie, etwa einem Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework) oder Standardvertragsklauseln.

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung). Anfragen, die direkt beim Auftragsverarbeiter eingehen, leitet er weiter.
2. Der Auftragsverarbeiter unterstützt bei einer DSFA oder vorherigen Konsultation der Aufsichtsbehörde, soweit dies vernünftigerweise verlangt werden kann.

1. Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von achtundvierzig (48) Stunden nach Entdeckung.
2. Die Meldung enthält mindestens: was passiert ist, welche Daten und Betroffenen betroffen sind, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.
3. Der Verantwortliche entscheidet, ob die Panne der Aufsichtsbehörde und den Betroffenen gemeldet wird.

Der Auftragsverarbeiter stellt auf Anfrage alle Informationen bereit, die zum Nachweis der Einhaltung erforderlich sind. Der Verantwortliche darf höchstens einmal jährlich eine Prüfung durch einen unabhängigen Sachverständigen durchführen lassen, mit mindestens vierzehn (14) Tagen Vorankündigung und auf eigene Kosten.

Nach Beendigung des Vertrags kann der Verantwortliche die Daten dreißig (30) Tage lang exportieren. Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten einschließlich Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Backups werden innerhalb von neunzig (90) Tagen überschrieben.

Für die Haftung gilt Artikel 13 der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen hat dieser Auftragsverarbeitungsvertrag in Fragen des Datenschutzes Vorrang.