Vereinbarung über die Auftragsverarbeitung

§ 1 Parteien und Gegenstand

(1) Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten aus dem Vertrag über die Leistungspakete „Website & Lead-System" (nachfolgend „Hauptvertrag") zwischen dem Kunden — nachfolgend „Verantwortlicher" — und

Shipping S&T GbR („Flagship Studio"),
vertreten durch die Gesellschafter Simon Woytewicz und Tim Basinski
Windberger Allee 27, 41063 Mönchengladbach
E-Mail: info@flagshipstudio.de

— nachfolgend „Auftragsverarbeiter".

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten von Endkunden und Interessenten des Verantwortlichen in dessen Auftrag. Die Vereinbarung wird mit dem Hauptvertrag geschlossen; ihre Laufzeit folgt dessen Laufzeit.

§ 2 Art, Zweck und Umfang der Verarbeitung

• Entgegennahme und Weiterleitung von Anfragen, die über das Kontaktformular oder das SMS-Formular der Website eingehen (Speicherung, Zustellung per E-Mail und/oder SMS an den Verantwortlichen, automatische Empfangsbestätigung per SMS an den Anfragenden);
• Versand von Bewertungs-Erinnerungen per SMS an Endkunden, die hierin eingewilligt haben, einschließlich der Dokumentation dieser Einwilligungen;
• Erstellung monatlicher Berichte über Anfragen und Versandvorgänge (aggregierte Zahlen, keine Weitergabe von Einzeldaten an Dritte).

§ 3 Kategorien betroffener Personen und Daten

(1) Betroffene: Interessenten und Endkunden des Verantwortlichen.

(2) Datenarten:

• Name, E-Mail-Adresse, Telefonnummer (Mobilnummer), Inhalt der Anfrage, aufgerufene Seite;
• bei Bewertungs-Erinnerungen: Name, Mobilnummer, Zeitpunkt und Quelle der Einwilligung, Versand- und Zustellstatus;
• zur Missbrauchsabwehr kurzlebige, gehashte Verbindungskennungen (IP-Adressen werden nicht im Klartext gespeichert; an Anfragen selbst wird keine IP-Adresse gespeichert).

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

§ 4 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erfüllung des Hauptvertrags und nach dokumentierten Weisungen des Verantwortlichen; diese Vereinbarung und der Hauptvertrag sind die Erstweisung. Weitere Weisungen bedürfen der Textform.

(2) Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in der Anlage „Technische und organisatorische Maßnahmen" (unten) beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein den Einsatz der in der Anlage „Unterauftragsverarbeiter" (unten) aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Aufnahme oder Ersetzung) in Textform; der Verantwortliche kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Führt der Widerspruch dazu, dass die Leistung nicht erbracht werden kann, steht beiden Parteien ein Kündigungsrecht zum Monatsende zu.

(3) Mit jedem Unterauftragsverarbeiter werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Übermittlungen in Drittländer stellt der Auftragsverarbeiter geeignete Garantien sicher (Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit ihm dies möglich ist.

(2) Anträge betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

(3) Widerruft ein Endkunde eine Einwilligung in Bewertungs-SMS, setzt der Auftragsverarbeiter den Versand ohne gesonderte Weisung sofort aus und dokumentiert den Widerruf.

§ 9 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben.

§ 10 Löschung und Rückgabe

(1) Während der Vertragslaufzeit gilt das Löschkonzept der Anlage: Anfragedaten werden nach 12 Monaten anonymisiert; Einwilligungsnachweise werden nach 36 Monaten auf Betrieb, Zeitpunkt und Quelle reduziert.

(2) Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die im Auftrag verarbeiteten Daten auf Wunsch in einem gängigen Format heraus (vgl. § 6 der AGB) und löscht bzw. anonymisiert sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht. Einwilligungsnachweise darf der Auftragsverarbeiter zur eigenen Rechtsverteidigung (§ 7 UWG) bis zum Ablauf der Regelverjährung in reduzierter Form aufbewahren.

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung auf Anfrage durch geeignete Unterlagen nach (Beschreibung der technischen und organisatorischen Maßnahmen, Zertifikate und Auditberichte der Unterauftragsverarbeiter).

(2) Weitergehende Kontrollen vor Ort sind nach angemessener Ankündigung zu den üblichen Geschäftszeiten möglich, höchstens einmal jährlich, sofern kein konkreter Anlass besteht.

§ 12 Schlussbestimmungen

Es gelten ergänzend die Schlussbestimmungen der AGB (§ 13). Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht in datenschutzrechtlichen Fragen diese Vereinbarung vor.

Anlage: Unterauftragsverarbeiter

• Google Ireland Ltd. (Google Cloud / Firebase) — Hosting der Websites, Datenbank und Serverfunktionen. Verarbeitung in der EU (Datenbank: Region Frankfurt, Funktionen: Niederlande); Konzernmutter USA — SCC/DPF.
• Resend Inc. (Versand über Amazon Web Services EMEA SARL) — E-Mail-Zustellung (Anfrage-Benachrichtigungen, Berichte). Verarbeitung in der EU (Region Irland); Konzernmutter USA — SCC/DPF.
• seven communications GmbH & Co. KG (seven.io) — SMS-Zustellung. Verarbeitung in Deutschland.

Hinweis: Die Zahlungsabwicklung (Stripe) betrifft das Vertragsverhältnis zwischen Anbieter und Kunde, nicht die Daten der Endkunden — sie ist deshalb kein Unterauftrag im Sinne dieser Vereinbarung.

Anlage: Technische und organisatorische Maßnahmen (Kurzfassung)

• Zugriffskontrolle: Kein direkter Datenbankzugriff von außen; sämtliche Zugriffe laufen über Serverfunktionen mit geschlossenen Sicherheitsregeln. Administrativer Zugang nur für den Anbieter, mit Zwei-Faktor-Authentifizierung.
• Transportverschlüsselung: Alle Verbindungen (Website, Schnittstellen, Versanddienste) ausschließlich über TLS/HTTPS.
• Datensparsamkeit: Anfragen werden ohne IP-Adresse gespeichert; Verbindungskennungen zur Missbrauchsabwehr nur gehasht und mit automatischem Verfall. Versandpläne für Bewertungs-SMS enthalten keine Klardaten, sondern verweisen auf den Einwilligungsnachweis.
• Einwilligungsbindung: SMS-Versand technisch nur möglich, wenn eine dokumentierte, nicht widerrufene Einwilligung vorliegt; die Prüfung läuft vor jedem einzelnen Versand erneut.
• Löschkonzept (automatisiert): Anonymisierung von Anfragedaten nach 12 Monaten, Reduktion von Einwilligungsnachweisen nach 36 Monaten — täglicher automatischer Lauf.
• Speicherort: Verarbeitung und Speicherung in EU-Rechenzentren.
• Protokollierung: Versand- und Fehlerprotokolle ohne unnötige Klardaten; Zustellstatus wird am jeweiligen Datensatz dokumentiert.