Auftragsverarbeitungsvertrag
Entwurf. Nach Art. 28 DSGVO zwingend erforderlich, sobald eine fremde
Agentur die Anwendung nutzt. Ohne diesen Vertrag ist die Verarbeitung
rechtswidrig – für beide Seiten. Vor dem ersten Kunden anwaltlich prüfen
lassen.
zwischen
[KUNDE / AGENTUR], [Anschrift] – nachfolgend „Verantwortlicher"
und
[FIRMENNAME], [Anschrift] – nachfolgend „Auftragsverarbeiter"
1. Gegenstand und Dauer
Gegenstand ist die Bereitstellung der Anwendung „Napadano Kundenverwaltung".
Die Verarbeitung dauert für die Laufzeit des Hauptvertrags.
2. Art und Zweck der Verarbeitung
Speichern, Ordnen, Auslesen und Löschen personenbezogener Daten zum Zweck der
Kunden- und Produktionsverwaltung einer Marketingagentur.
3. Art der Daten und Kreis der Betroffenen
Betroffene: Kunden des Verantwortlichen, deren Ansprechpersonen sowie
engagierte Models und Darsteller.
Datenarten: Name, Anschrift, Telefonnummer, E-Mail-Adresse,
Vertragskonditionen, Rechnungsdaten, Termine und Einsatzzeiten, Honorare,
Textskripte sowie Bild- und Tonaufnahmen (Videos).
*Hinweis: Videos sind personenbezogene Daten. Für ihre Anfertigung und
Verbreitung ist der Verantwortliche zuständig, einschließlich der
Einwilligungen der abgebildeten Personen (§ 22 KUG, Art. 6 DSGVO).*
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte
Weisung des Verantwortlichen. Hält er eine Weisung für rechtswidrig, teilt er
dies unverzüglich mit.
5. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit
verpflichtet.
6. Technische und organisatorische Maßnahmen
Es gelten die Maßnahmen nach Anlage 1 (TOMs), die Bestandteil dieses
Vertrags ist.
7. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der in Anlage 1 genannten
Unterauftragsverarbeiter zu. Weitere werden mit einer Frist von **[vier
Wochen]** vorher angekündigt; der Verantwortliche kann widersprechen.
8. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen
betroffener Personen sowie bei Datenschutz-Folgenabschätzungen. Für Auskunft
und Datenübertragbarkeit steht in der Anwendung eine Exportfunktion bereit,
die der Verantwortliche selbst auslösen kann.
9. Meldung von Verletzungen
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener
Daten unverzüglich, spätestens innerhalb von [24 Stunden] nach Kenntnis.
10. Löschung nach Vertragsende
Nach Beendigung löscht der Auftragsverarbeiter alle Daten innerhalb von
[30] Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Zuvor
erhält der Verantwortliche Gelegenheit zum Export.
11. Nachweise und Kontrolle
Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen
bereit und ermöglicht Überprüfungen nach vorheriger Ankündigung.
Anlage 1: Technische und organisatorische Maßnahmen (toms.md)