1. Parteien, Einbeziehung und Rangfolge
Auftragnehmer ist Daniel Wilmes, handelnd unter Janubeus by Daniel Wilmes, Kleine Penzlinger Straße 10, 33102 Paderborn, Deutschland. Auftraggeber ist das im Nutzungsvertrag bezeichnete Unternehmen. Die vereinbarte Fassung und der Abschlusszeitpunkt werden im Vertragsnachweis festgehalten. Dieser AVV wird durch seine Einbeziehung in den Nutzungsvertrag oder eine gesonderte Vereinbarung geschlossen; die Veröffentlichung allein begründet keinen Vertrag.
Der AVV ist vor Verarbeitung echter Auftragsdaten elektronisch oder in anderer gesetzlich zulässiger Form zu vereinbaren. Er ergänzt den Nutzungsvertrag und hat bei Widersprüchen hinsichtlich der Auftragsverarbeitung Vorrang. Handelt der Auftraggeber selbst als Auftragsverarbeiter, sichert er die erforderliche Ermächtigung seines Verantwortlichen zur Einschaltung von BriefNest und zur Erteilung der weitergegebenen Weisungen zu.
Verarbeitungen, für die BriefNest selbst Verantwortlicher ist, insbesondere eigene Vertragsverwaltung und gesetzliche Abrechnung, sind nicht Gegenstand dieses Auftrags; hierfür gelten die Datenschutzhinweise.
2. Gegenstand, Dauer und Verarbeitungsbeschreibung
Gegenstand ist die technische Bereitstellung von Website-Inhaltsanfragen einschließlich Einladung und Verifizierung, Speicherung und Versionierung, Prüfung/Freigabe durch die Agentur, erforderlicher Servicenachrichten, Export, Unterstützung und Löschung. Verarbeitungsschritte sind Erheben, Erfassen, Ordnen, Speichern, Auslesen, Übermitteln an Berechtigte, Einschränken, Zurückgeben und Löschen.
Betroffene Personen sind Kundenkontakte, Inhaber und Beschäftigte der Agenturkunden, eingeladene Mitwirkende sowie Personen, die in zulässigen Website-Inhalten genannt oder abgebildet werden. Datenarten sind Namen, geschäftliche Kontakt-/Funktionsangaben, E-Mail-Adressen, Texte, gewöhnliche Bilder, Dateinamen/-metadaten, Antwortfassungen, Reviewnotizen und projektbezogene Verifizierungs-/Zustell-/Zugriffsangaben.
Besondere Kategorien nach Art. 9 DSGVO, Daten nach Art. 10 DSGVO, Zugangsdaten, Zahlungskartendaten sowie Patienten-/Kundenakten sind vom Leistungsumfang ausgeschlossen. Die Inhaltsgrenzen der AGB gelten auch für Weisungen. Ein Ausschluss entbindet den Auftragnehmer bei tatsächlicher Kenntnis solcher Daten nicht von seinen gesetzlichen Schutzpflichten.
Der Auftrag dauert für die Laufzeit der Verarbeitung einschließlich des vereinbarten Rückgabe-/Löschzeitraums. Vertraulichkeits-, Nachweis- und erforderliche Schutzpflichten bestehen fort, solange noch Auftragsdaten vorhanden sind.
3. Weisungen und Pflichten des Auftraggebers
Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Weisungen zu Drittlandübermittlungen, sofern keine gesetzliche Pflicht zur abweichenden Verarbeitung besteht. In diesem Fall informiert er den Auftraggeber vorab, soweit das Gesetz dies zulässt. Weisungen erfolgen über die vereinbarten Produktfunktionen oder in Textform an [email protected].
Der Auftraggeber verantwortet Rechtmäßigkeit, Zweck, Rechtsgrundlagen, Informationen an betroffene Personen und Berechtigung seiner Mitwirkenden. Er prüft die Eignung des Dienstes für seinen konkreten Einsatz und übermittelt nur erforderliche zulässige Inhalte. Er benennt weisungsbefugte Ansprechpartner und informiert über Änderungen.
Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit rechtlich zulässig. Eigenmächtige Zwecke oder eine Nutzung von Auftragsdaten für Werbung, Portfolio oder KI-Training sind nicht gestattet.
4. Vertraulichkeit und Zugriff
Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf erforderliche Personen und Aufgaben begrenzt. Unterstützungszugriffe erfolgen auf dokumentierter Grundlage und im erforderlichen Umfang.
Anfragen betroffener Personen zu Auftragsdaten leitet der Auftragnehmer unverzüglich an den Auftraggeber weiter und beantwortet sie nur auf dessen Weisung oder aufgrund eigener gesetzlicher Pflicht. Behördenanfragen werden, soweit rechtlich zulässig, mitgeteilt. Eine Verpflichtung nach diesem AVV gestattet keine Offenlegung gegenüber unberechtigten Dritten.
5. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft unter Berücksichtigung von Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung angemessene Maßnahmen nach Art. 32 DSGVO. Die Anlage zu technischen und organisatorischen Maßnahmen ist Bestandteil des AVV. Umfang und Grenzen der Datensicherung sind dort beschrieben.
Maßnahmen dürfen technisch weiterentwickelt werden, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche nachteilige Änderungen werden vorab mitgeteilt. Der Auftraggeber erhält die für seine Prüfung erforderlichen Informationen; Geschäftsgeheimnisse und Daten anderer Kunden werden geschützt.
6. Datenschutzverletzungen und Unterstützung
Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt, meldet er diese dem Auftraggeber unverzüglich. Eine vollständige Untersuchung wird nicht abgewartet. Die Meldung enthält die verfügbaren Angaben zu Art und Zeitpunkt des Vorfalls, betroffenen Daten/Personenkategorien, voraussichtlichen Folgen, Gegenmaßnahmen und Kontaktstelle; fehlende Informationen werden schrittweise nachgereicht.
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten, Sicherheit, Meldungen und Benachrichtigungen, Datenschutz-Folgenabschätzungen und einer erforderlichen vorherigen Konsultation nach Art. 32 bis 36 DSGVO. Die Bewertung und Meldungspflichten des Verantwortlichen bleiben bei diesem.
Die Nutzung der vorhandenen Produktfunktionen, die Bereitstellung vorhandener Informationen zur Verarbeitung und Sicherheit sowie die übliche Bearbeitung entsprechender Supportanliegen sind im vereinbarten Leistungsentgelt enthalten. Der Auftraggeber beschreibt Anliegen, betroffene Daten und relevante Fristen hinreichend konkret und nutzt geeignete bereitgestellte Funktionen, soweit dies zumutbar ist. Die Unterstützung umfasst keine allgemeine Rechtsberatung oder Übernahme der Datenschutzorganisation des Auftraggebers.
Für darüber hinausgehenden auftraggeberspezifischen Unterstützungsaufwand können die Parteien vorab in Textform eine angemessene Vergütung nach Art und Umfang des Aufwands vereinbaren. Ohne Vergütungsvereinbarung entsteht keine zusätzliche Zahlungspflicht. Gesetzlich oder vertraglich geschuldete Schutz-, Informations- und Unterstützungspflichten werden weder durch Vergütungsverhandlungen verzögert noch von einer Zusatzbestellung abhängig gemacht; Gebühren dürfen die Wahrnehmung der Datenschutzrechte nicht praktisch verhindern. Die Behebung eigener Pflichtverletzungen ist keine gesondert zu vergütende Zusatzleistung. Freiwillige Leistungen außerhalb der geschuldeten Unterstützung, etwa allgemeine Gutachten, zusätzliche Berichtsformate oder kundenspezifische Entwicklungen, werden nur nach gesonderter Vereinbarung über Umfang und Vergütung erbracht; ohne diese Vereinbarung besteht keine Pflicht zu solchen freiwilligen Leistungen.
7. Weitere Auftragsverarbeiter
Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung zur Einschaltung der in der bei Abschluss einbezogenen Unterauftragnehmerliste bezeichneten weiteren Auftragsverarbeiter. Die Anlage beschreibt die Anbieter, Aufgaben, Verarbeitungsorte und Standard-Datenschutzvereinbarungen. Stripe und Cloudflare sind durch ihre Erwähnung als Dienstleister nicht pauschal als Unterauftragnehmer für Projektinhalte genehmigt.
Geplante Hinzuziehungen oder Ersetzungen weiterer Auftragsverarbeiter teilen wir den betroffenen Auftraggebern rechtzeitig vor Beginn per E-Mail mit. Die Mitteilung beschreibt Anbieter, Aufgabe, vorgesehene Verarbeitung, geplanten Beginn und eine nach Umfang und Risiken angemessene Frist für einen datenschutzrechtlich begründeten Widerspruch. Der Auftraggeber teilt seine konkreten datenschutzrechtlichen Bedenken innerhalb dieser Frist in Textform mit. Die Umstellung erfolgt erst nach Ablauf der angemessenen Widerspruchsfrist. Gesetzliche Rechte bei nachträglich bekannt gewordenen Datenschutzverstößen bleiben unberührt.
Bei einem rechtzeitigen datenschutzrechtlich begründeten Widerspruch prüfen die Parteien eine geeignete Abhilfe. Eine kundenspezifische Infrastruktur, die Entwicklung einer Ersatzlösung oder die unbefristete Fortführung des bisherigen Anbieters wird nicht geschuldet. Kann bis zum geplanten Beginn keine geeignete Lösung vereinbart werden, kann jede Partei die betroffene Leistung in Textform mit Wirkung spätestens unmittelbar vor der Umstellung beenden. Wir teilen das konkrete Leistungsende rechtzeitig mit und ermöglichen zuvor die erforderliche Rückgabe oder Löschung der betroffenen Auftragsdaten. Eine Übermittlung an den beanstandeten neuen Anbieter erfolgt für diese Daten bis zur Klärung oder Beendigung nicht; erforderlichenfalls wird die betroffene Verarbeitung ausgesetzt. Vorausbezahlte Entgelte für die nicht mehr erbrachte Leistung werden anteilig erstattet. Gesetzliche Ansprüche wegen einer von uns zu vertretenden Pflichtverletzung bleiben unberührt. Die erforderlichen Informationen zu nachgelagerten Anbietern werden über die veröffentlichten Listen und Änderungsmitteilungen der jeweiligen Anbieter bereitgestellt.
Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf im Wesentlichen dieselben Datenschutzpflichten, überprüft angemessene Garantien und bleibt dem Auftraggeber gegenüber für deren Pflichterfüllung nach Art. 28 Abs. 4 DSGVO verantwortlich. Die erforderliche Vertragskette umfasst auch die beim jeweiligen Anbieter eingesetzten weiteren Auftragsverarbeiter.
8. Verarbeitungsorte und Drittlandübermittlungen
Die primäre Datenbank-/Speicherregion ist Frankfurt für das Supabase-Pro-Projekt; Frankfurt ist auch als Vercel-Pro-Funktionsregion ausgewählt. Dies stellt keine Zusage ausschließlich deutscher oder europäischer Verarbeitung dar. CDN, Support, Protokolle und weitere Anbieter können andere Orte betreffen; Resend verarbeitet E-Mail-Daten insbesondere in den USA.
Auftragsdaten dürfen nur im Rahmen dokumentierter Weisungen und unter Einhaltung von Kapitel V DSGVO außerhalb des EWR verarbeitet oder von dort zugänglich gemacht werden. Die Genehmigung umfasst die in der Unterauftragnehmerliste beschriebenen Standarddienste mit den dort verlinkten Datenschutzvereinbarungen, insbesondere den einschlägigen EU-Standardvertragsklauseln und ergänzenden Maßnahmen. Eine darüber hinausgehende Drittlandverarbeitung bedarf einer entsprechenden Weisung und zulässigen Grundlage.
9. Nachweise und Kontrollen
Der Auftragnehmer stellt alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer.
Soweit ausreichend, können Dokumentation und geeignete unabhängige Nachweise genutzt werden. Sie schließen erforderliche weitergehende Kontrollen nicht aus. Kontrollen werden grundsätzlich mit angemessener Vorankündigung so abgestimmt, dass Sicherheit, andere Kunden und laufender Betrieb geschützt bleiben. Bei einem konkreten Vorfall oder begründetem Verdacht gelten keine starren Wartefristen, die eine notwendige Kontrolle verhindern.
Der Auftraggeber benennt Prüfgegenstand, Anlass und vorgesehenen Umfang, damit geeignete Nachweise und ein verhältnismäßiger Ablauf abgestimmt werden können. Kontrollen beziehen sich auf die vereinbarte Auftragsverarbeitung. Unmittelbarer Zugriff auf Daten anderer Kunden, Zugangsschlüssel oder eine Beeinträchtigung der Systemsicherheit wird nicht gestattet; erforderliche Nachweise werden auf geeignete andere Weise erbracht. Erforderliche Inspektionen und die gesetzlichen Kontrollrechte des Auftraggebers und der Aufsichtsbehörden bleiben erhalten. Eine starre jährliche Höchstzahl von Kontrollen gilt nicht.
Der Auftraggeber trägt die Kosten seiner eigenen Prüfung einschließlich der von ihm beauftragten externen Prüfer. Die Bereitstellung vorhandener Standardnachweise und die übliche Beantwortung zugehöriger Fragen sind im Leistungsentgelt enthalten. Für zusätzlichen auftraggeberspezifischen Prüfungsaufwand auf unserer Seite kann vorab in Textform eine angemessene Vergütung nach Art und Umfang des Aufwands vereinbart werden; ohne Vereinbarung entsteht keine zusätzliche Zahlungspflicht. Erforderliche Nachweise und Kontrollen werden weder durch Vergütungsverhandlungen verzögert noch von einer zusätzlichen Bestellung abhängig gemacht. Unverhältnismäßige oder abschreckende Prüfgebühren werden nicht vereinbart. Aufwand zur Untersuchung und Behebung einer von uns zu vertretenden Pflichtverletzung wird dem Auftraggeber nicht zusätzlich berechnet. Freiwillige zusätzliche Berichtsformate bedürfen einer gesonderten Vereinbarung. Gesetzliche Kostenerstattungs- und Schadensersatzansprüche bleiben unberührt.
10. Rückgabe, Löschung und Sicherungskopien
Nach Ablauf der Testphase oder des bezahlten Leistungszeitraums einschließlich einer gegebenenfalls gewährten Zahlungsnachfrist stehen Inhalte noch 30 Tage zum Lesen und Exportieren bereit. Schreibzugriffe und neue Kundeneinreichungen sind in diesem Zeitraum gesperrt. Mindestens 7 Tage vor der vorgesehenen Löschung informieren wir den Arbeitsbereichsinhaber per E-Mail. Erfolgt die Warnung verspätet, verschiebt sich die Löschung entsprechend, damit die volle Warnfrist bleibt. Die Aufbewahrungsprüfung, Warnung und Löschung werden im MVP vom Betreiber manuell ausgeführt. Eine rechtzeitig wirksame Reaktivierung beendet die vorgesehene Löschung.
Nach Wahl des Auftraggebers werden Auftragsdaten nach Leistungsende zurückgegeben oder gelöscht; nach Rückgabe werden verbleibende Kopien gelöscht, soweit keine gesetzliche Speicherungspflicht entgegensteht. Der reguläre Export enthält freigegebene Inhalte und ersetzt nicht ohne Weiteres die Rückgabe sämtlicher personenbezogener Auftragsdaten. Ein weitergehender Rückgabeauftrag ist über den Support abzustimmen und darf nicht allein auf freigegebene Exportinhalte begrenzt werden.
Berechtigte Löschaufträge für Projekt- oder Arbeitsbereichsinhalte bearbeiten wir ohne unangemessene Verzögerung nach dokumentierter Weisung und unter Beachtung der gesetzlichen Pflichten. Berechtigung und Umfang werden soweit erforderlich geprüft; die Prüfung darf die Bearbeitung nicht unangemessen verzögern. Eine zusätzliche feste vertragliche Erledigungsfrist wird nicht zugesagt. Gesetzliche Fristen und bereits wirksam vereinbarte kürzere Fristen bleiben unberührt. Ein ausdrücklicher Löschauftrag kann den Lese-/Exportzeitraum vorzeitig beenden. Vor Ausführung erläutern wir den betroffenen Umfang; nach Beginn ist die Löschung nicht rückgängig zu machen.
Zugriffe und ausstehende Nachrichten werden für den bestätigten Löschumfang gesperrt. Datenbankeinträge und private Dateien einschließlich historischer Originale, Quarantäne- und möglicher Verarbeitungskopien sind einzubeziehen. Bereits ausgegebene Uploadberechtigungen und laufende Verarbeitung müssen vor bestätigtem Abschluss berücksichtigt und gegebenenfalls erneut bereinigt werden.
Für die Datenbank werden die enthaltenen täglichen Supabase-Pro-Sicherungen mit einem Wiederherstellungszeitraum von sieben Tagen verwendet. Die zugehörigen hochgeladenen Bilddateien sind nicht Bestandteil dieser Sicherungen; eine zusätzliche eigene Dateisicherung wird derzeit nicht erstellt. Sicherungen dienen ausschließlich Wiederherstellung und Sicherheit, nicht dem normalen Zugriff. Seit Sicherungsstand erfolgte Löschaufträge sind vor erneutem Zugriff oder Versand nachzuführen. Weitere selbst angelegte Auftragsdaten-Backups werden nicht über diese Frist hinaus geführt. Eigenständige Anbieterunterlagen richten sich nach den verlinkten Standardvereinbarungen und dürfen nicht mit einem BriefNest-Projektarchiv verwechselt werden.
Gesetzliche Aufbewahrungsausnahmen werden nach Zweck, Umfang und Dauer mitgeteilt und auf das Erforderliche beschränkt. Eigene Rechnungsunterlagen sind getrennt von Auftragsinhalten zu behandeln. Nach Abschluss erhält der Auftraggeber eine Bestätigung des erledigten Umfangs und der verbleibenden, begründeten Ausnahmen.
11. Schlussbestimmungen
Die gesetzlichen Verantwortlichkeiten und Ansprüche betroffener Personen, insbesondere nach Art. 82 DSGVO, bleiben unberührt. Änderungen dieses AVV und seiner Anlagen sind zu dokumentieren. Die im Vertrag identifizierten Parteien, Ansprechpartner, Fassungen, Anlagen und Transfergarantien müssen dauerhaft nachvollziehbar sein.