Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die Verpflichtungen der Parteien zum Datenschutz, die sich aus der Nutzung der Software „bookartist" nach den Allgemeinen Geschäftsbedingungen ergeben. Er gilt für jede Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt.

§ 1 Parteien des Vertrages

Dieser Vertrag wird geschlossen zwischen:

Verantwortlicher (nachfolgend „Verantwortlicher") –
der Nutzer von bookartist, der über einen eigenen Mandanten (Tenant) ein Konto angelegt hat und in eigener Verantwortung über Zwecke und Mittel der Verarbeitung der Daten seiner Endkunden entscheidet.

Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter") –
E12 Ventures, Inhaber Emilian Leber, Reichsstiftstraße 18, 93055 Regensburg, Deutschland
E-Mail: info@bookartist.de, der die Software „bookartist" als webbasierte Anwendung (Software as a Service) bereitstellt.

Der Vertrag gilt mit Abschluss des Nutzungsvertrages bzw. mit der Registrierung des Kontos als geschlossen; eine gesonderte Unterschrift ist gemäß Art. 28 Abs. 9 DSGVO nicht erforderlich (elektronische Form genügt).

§ 2 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software bookartist, soweit diese im Auftrag und nach Weisung des Verantwortlichen erfolgt. Die Verarbeitung dient ausschließlich der Erfüllung des zwischen den Parteien geschlossenen Hauptvertrages (Nutzung des Dienstes gemäß AGB).

Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Endet der Hauptvertrag, endet auch dieser Vertrag, vorbehaltlich der Regelungen zur Löschung und Rückgabe in § 10.

§ 3 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (im Rahmen der Diensterbringung), Einschränken, Löschen und Vernichten personenbezogener Daten.

Zweck der Verarbeitung ist die Bereitstellung der Funktionen von bookartist für den Verantwortlichen, insbesondere:

• Verwaltung von Anfragen, Kontakten und Kundenbeziehungen (CRM)
• Erstellung und Verwaltung von Angeboten, Rechnungen und Verträgen
• Betrieb eines Kundenportals für die Zusammenarbeit mit Auftraggebern
• Planung von Auftritten, Terminen und Kalendern
• Speicherung von Dokumenten, Vorlagen und Einstellungen des Verantwortlichen

§ 4 Kategorien betroffener Personen und Daten

Betroffene Personen sind insbesondere die Endkunden, Auftraggeber, Interessenten und Geschäftspartner des Verantwortlichen sowie weitere natürliche Personen, deren Daten der Verantwortliche in den Dienst eingibt.

Folgende Kategorien personenbezogener Daten können verarbeitet werden:

• Stammdaten (Name, Anschrift, Firma)
• Kontaktdaten (E-Mail-Adresse, Telefonnummer)
• Vertrags- und Abrechnungsdaten (Angebote, Rechnungen, Leistungen, Konditionen)
• Termin- und Veranstaltungsdaten (Datum, Ort, Art der Veranstaltung)
• Kommunikationsdaten (Nachrichten, Notizen im Rahmen der Auftragsabwicklung)
• Inhaltsdaten der vom Verantwortlichen hochgeladenen Dokumente

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Gegenstand dieses Vertrages und vom Verantwortlichen zu unterlassen, sofern keine gesonderte Vereinbarung getroffen wurde.

§ 5 Weisungsbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).

Die Nutzung der Funktionen der Software durch den Verantwortlichen gilt als Weisung im Sinne dieses Vertrages. Mündliche und sonstige Einzelweisungen bedürfen der Bestätigung in Textform (z. B. per E-Mail an info@bookartist.de).

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Die Verschwiegenheitspflicht besteht auch nach Beendigung des Auftrags fort. Der Auftragsverarbeiter macht die eingesetzten Personen mit den für sie geltenden datenschutzrechtlichen Bestimmungen vertraut.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere:

• Verschlüsselung der Datenübertragung (SSL/TLS) sowie Verschlüsselung ruhender Daten
• Pseudonymisierung, soweit nach Zweck der Verarbeitung möglich
• Zutritts-, Zugangs- und Zugriffskontrolle (rollenbasierte Rechtevergabe, sichere Authentifizierung)
• Mandantentrennung: strikte logische Trennung der Daten je Verantwortlichem (Tenant-Isolation)
• Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
• regelmäßige Datensicherungen und Verfahren zur Wiederherstellung nach einem Zwischenfall
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen

Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Dem Auftragsverarbeiter ist es gestattet, alternative, gleichwertige Maßnahmen umzusetzen, sofern das Sicherheitsniveau nicht unterschritten wird.

§ 8 Unterauftragsverarbeiter (Sub-Prozessoren)

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Sub-Prozessoren) hinzuzuziehen (Art. 28 Abs. 2 DSGVO). Der Auftragsverarbeiter stellt durch vertragliche Vereinbarungen sicher, dass die Sub-Prozessoren denselben Datenschutzpflichten unterliegen, wie sie in diesem Vertrag festgelegt sind.

Zum Zeitpunkt des Vertragsschlusses werden folgende Sub-Prozessoren eingesetzt:

• Supabase Pte. Ltd (65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513) – Datenbank, Authentifizierung und Dateispeicher. Die Daten liegen auf Servern in der Europäischen Union (Frankfurt am Main). Garantien nach Art. 46 DSGVO über Standardvertragsklauseln.
• Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) – Hosting der Anwendung. Vercel nimmt am EU-U.S. Data Privacy Framework teil; ergänzend gelten Standardvertragsklauseln.
• Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin, Irland) – Abwicklung der Abonnementzahlungen des Verantwortlichen an den Auftragsverarbeiter. Betroffen sind ausschließlich die Vertrags- und Zahlungsdaten des Verantwortlichen selbst, nicht die Daten seiner Endkunden.
• Resend, Inc. (USA) – Versand der E-Mails, die der Verantwortliche über bookartist auslöst, sowie der System- und Benachrichtigungsmails. Verarbeitet werden Empfängeradresse, Betreff und Inhalt. Resend ist nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln.
• Anthropic PBC (San Francisco, USA) – Betrieb der KI-Funktionen („Luminus"). Eine Übermittlung findet nur statt, wenn der Verantwortliche eine KI-Funktion ausdrücklich auslöst; übermittelt werden dann die dafür ausgewählten Inhalte, die auch personenbezogene Daten der Endkunden enthalten können. Die Inhalte werden nicht zum Training von KI-Modellen verwendet. Garantien nach Art. 46 DSGVO über Standardvertragsklauseln.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Sub-Prozessors in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen ab Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, steht dem Verantwortlichen ein Sonderkündigungsrecht zum Zeitpunkt der beabsichtigten Änderung zu.

§ 9 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen:

• mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 23 DSGVO);
• bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen des Schutzes personenbezogener Daten und zur Benachrichtigung betroffener Personen (Art. 32 bis 34 DSGVO);
• bei einer ggf. erforderlichen Datenschutz-Folgenabschätzung und vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO).

Wird der Auftragsverarbeiter von einer betroffenen Person, einer Aufsichtsbehörde oder einem Dritten in Bezug auf die Verarbeitung kontaktiert, verweist er diese an den Verantwortlichen und informiert ihn unverzüglich. Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden.

§ 10 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

Der Verantwortliche hat nach Beendigung des Hauptvertrages die Möglichkeit, seine Daten innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format zu exportieren. Nach Ablauf dieser Frist werden die Daten unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§ 11 Nachweise und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis der getroffenen technischen und organisatorischen Maßnahmen kann durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen oder eine geeignete Zertifizierung erbracht werden. Überprüfungen vor Ort sind rechtzeitig anzukündigen, auf das erforderliche Maß zu beschränken und so durchzuführen, dass der Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt wird.

§ 12 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den Regelungen des Hauptvertrages (AGB) gehen hinsichtlich des Datenschutzes die Regelungen dieses Vertrages vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt das Recht der Bundesrepublik Deutschland. Ergänzend gelten die Bestimmungen der DSGVO und des Bundesdatenschutzgesetzes (BDSG). Weitere Einzelheiten zur Datenverarbeitung ergeben sich aus unserer Datenschutzerklärung.