Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Gegenstand ist die Erbringung der Messleistung „Metrunio“: die Erhebung, Speicherung, Verknüpfung und Auswertung von Ereignissen zur unabhängigen Messung von Werbekontakten und Conversions auf den Websites des Auftraggebers.

Umsatzabstimmung. Zum Gegenstand gehört außerdem die Umsatzabstimmung von Bestellungen und Erstattungen, die der Shop des Auftraggebers serverseitig meldet und für die er keine Entscheidung über die Einwilligung in die Tracking-Messung übermittelt, weil keine getroffen wurde. Zweck ist allein der Abgleich der Umsätze, das Erkennen doppelter Vorgänge und die Zuordnung von Erstattungen.

• Verarbeitet werden nur Mandant und Quelle, die Bestellnummer als Bestellschlüssel, die Art des Vorgangs (Bestellung oder Erstattung), Betrag und Währung, der Geschäftstag ohne Uhrzeit und die Kennzeichnung der Betriebsumgebung. Alle übrigen Felder, insbesondere Browser-, Sitzungs-, Kunden- und Werbekennungen, IP-Merkmal, Seitenadressen, Kampagnenangaben und Artikel, entfernt der Auftragnehmer vor dem Speichern.
• Ausgeschlossen sind die Verknüpfung mit Besuchen, Journeys oder Werbekontakten, die Attribution, die Rückgabe an Werbeplattformen, Profilbildung, die Übergabe einzelner dieser Bestellungen an den Datenassistenten und jede eigene Nutzung durch den Auftragnehmer; einzige Ausnahme ist die Zuordnung über den Checkout nach dem letzten Spiegelstrich dieses Abschnitts. Kennzahlen, in denen sie enthalten sind, darf der Datenassistent verwenden; bei kleinen Fallzahlen können daraus Betrag und Tag einer einzelnen Bestellung ableitbar sein.
• Die Daten werden mit der Aufbewahrungsdauer der Rohdaten des Mandanten gelöscht.
• Der Auftraggeber kann diese Umsatzabstimmung jederzeit im Portal abbestellen; die Einstellung ist eine Weisung, die nur Personen mit der Rolle Administration ändern können, und steht im Protokoll des Mandanten. Danach weist der Auftragnehmer solche Bestellungen ab; bereits gespeicherte werden mit der Aufbewahrungsdauer der Rohdaten gelöscht. Die Erweiterung auf Bestellungen nach einer Ablehnung setzt voraus, dass die Umsatzabstimmung eingeschaltet ist.
• Einen Widerspruch einer betroffenen Person gegen die Umsatzabstimmung setzt der Auftraggeber im Datenschutzbereich des Portals mit der Bestellnummer als Kennung um, oder der Auftragnehmer auf seine Weisung: Die Daten des Vorgangs einschließlich Erstattungen werden gelöscht, und die Bestellnummer wird für künftige Meldungen und Importe gesperrt.
• Bestellungen, für die der Shop eine Ablehnung übermittelt, verarbeitet der Auftragnehmer auf diesem Weg nur, wenn der Auftraggeber dafür eine gesonderte Zusatzweisung erteilt und der Auftragnehmer sie für den Mandanten aktiviert hat; sonst weist er sie ab. Eine übermittelte Ablehnung wird nie als fehlende Entscheidung behandelt. Bestellungen, die mit einer später widerrufenen Einwilligung gemeldet wurden, werden nicht in die Umsatzabstimmung überführt (Abschnitt 8).
• Die Rechtsgrundlage gegenüber den Käuferinnen und Käufern, deren Information über Zweck, Rechtsgrundlage und Widerspruchsweg in seiner eigenen Datenschutzerklärung und die Berücksichtigung eines Widerspruchs verantwortet der Auftraggeber (Abschnitt 4).
• Zuordnung über den Checkout. Auf gesonderte Weisung des Auftraggebers, die er im Portal erteilt und jederzeit zurücknimmt (Rolle Administration, im Protokoll des Mandanten), ordnet der Auftragnehmer eine Bestellung nach diesem Abschnitt dem Browser zu, der denselben Checkout mit einer Einwilligung abgeschlossen hat, deren Inhalt die Zuordnung von Bestellungen und Umsatz zu Besuchen und Werbekontakten umfasst. Voraussetzungen: Die Bestellung kam ohne Entscheidung über die Server-Schnittstelle, nicht nach einer Ablehnung und nicht aus einem Bestandsimport; Website, Betriebsumgebung, Bestellnummer und Kennung des Checkouts stimmen überein, und genau ein Browser trägt sie; das Ereignis des Browsers geht binnen 24 Stunden nach der Bestellung ein; die Einwilligung bestand nachweislich spätestens beim Kauf, wurde seitdem nicht eingeschränkt und wurde unter Einwilligungstexten erteilt, deren Kennung der Auftraggeber für die Website bestätigt hat. Zusätzlich verarbeitet werden dafür nur eine mit einem Schlüssel gebildete Prüfsumme der Kennung des Checkouts und der genaue Bestellzeitpunkt. Der Auftragnehmer löscht beide an allen Speicherorten spätestens 24 Stunden nach der Bestellung, auch wenn keine Zuordnung zustande kommt, und die Prüfsumme an Ereignissen des Browsers spätestens 24 Stunden nach deren Eingang; die Bestellung bleibt im Umfang nach diesem Abschnitt gespeichert. Die zugeordnete Bestellung wird wie eine Conversion mit Einwilligung ausgewertet und, soweit der Auftraggeber die Rückgabe eingeschaltet hat und die Einwilligung des Browsers es deckt, an Werbeplattformen gemeldet. Widerruft oder beschränkt der Browser seine Einwilligung, löscht der Auftragnehmer die Zuordnung, die Bestellung und den Abgleich und sperrt die Bestellnummer (Abschnitt 8). Rechtsgrundlage der Zuordnung ist die Einwilligung; ihre Einholung und ihren Inhalt verantwortet der Auftraggeber (Abschnitt 4).

Der Vertrag läuft so lange wie der Hauptvertrag über die Nutzung der Software; einer gesonderten Kündigung bedarf es nicht.

Er gilt darüber hinaus fort, solange der Auftragnehmer noch Daten des Auftraggebers verarbeitet, also bis zur Rückgabe oder Löschung nach Abschnitt 9, einschließlich verbleibender Sicherungen und Kopien bei Unterauftragnehmern. Für diesen Zeitraum bleiben insbesondere die Weisungsbindung, die Vertraulichkeit, die Sicherheit der Verarbeitung, die Meldung von Verletzungen und die Unterstützung bei Betroffenenrechten bestehen.

Verarbeitet werden ausschließlich Daten, die der Auftraggeber über die bereitgestellten Schnittstellen übermittelt oder übermitteln lässt. Zweck ist allein die Erbringung der Messleistung.

• Entgegennahme und Prüfung von Ereignissen (Auslieferung, Sichtbarkeit, Klick, Websitebesuch, Interaktion, Conversion)
• Verknüpfung von Ereignissen zu Journeys über eindeutige Kennungen
• Berechnung von Attributionsanteilen nach den vom Auftraggeber gewählten Modellen
• Bereitstellung von Auswertungen, Exporten und Schnittstellen
• auf ausdrückliche Weisung: Rückgabe von Conversions an die vom Auftraggeber benannten Werbeplattformen
• Umsatzabstimmung serverseitig gemeldeter Bestellungen ohne Einwilligung in die Tracking-Messung, im Umfang nach Abschnitt 1
• auf ausdrückliche Weisung: Zuordnung von Bestellungen ohne Entscheidung über den Checkout, im Umfang nach Abschnitt 1
• auf Weisung: Übermittlung an Empfänger, die der Auftraggeber selbst bestimmt und im Portal einträgt, insbesondere ausgehende Webhooks mit Bestell- oder Anfragekennung, Wert und Zeitpunkt einzelner Vorgänge, Kurzfassungen von Berichten und Hinweisen an einen Slack- oder Teams-Kanal und Abrufe von Werkzeugen, die der Auftraggeber über einen Lese-Schlüssel oder eine Freigabe über OAuth verbindet. Diese Empfänger werden dadurch nicht weitere Auftragsverarbeiter des Auftragnehmers. Noch nicht zugestellte Nachrichten, die eine Löschung, ein Widerspruch oder ein Widerruf betrifft, sendet der Auftragnehmer nicht mehr (Abschnitt 8)
• auf Weisung: Bereitstellung des Skripts, das Herkunftsangaben (Kennung der Anfrage, Quelle, Medium, Kampagne, Werbeplattform, mit Marketing-Einwilligung zusätzlich die Klickkennung) in verdeckte Felder von Formularen auf den Websites des Auftraggebers schreibt; standardmäßig nur mit Einwilligung in Analyse, ohne sie nur, soweit der Auftraggeber es für eine Website ausdrücklich einschaltet, und dann nur Quelle, Medium und Kampagne aus der Adresse der aufgerufenen Seite. Die Formulardaten gehen an Systeme des Auftraggebers, nicht an den Auftragnehmer
• auf Weisung: Annahme der Antworten auf die Nachkauf-Frage, nur mit Einwilligung in Analyse; die Antwort wird mit der Bestellung und der Journey verbunden
• auf Frage einer berechtigten Person des Auftraggebers im Portal: Beantwortung durch einen Datenassistenten. Dabei gehen Kennzahlen und einzelne Conversions und Journeys an das Sprachmodell eines weiteren Auftragsverarbeiters (Anlage) – höchstens 300 Zeilen je Frage; Bestellnummern und Journey-Kennungen des Mandanten nur als Kürzel, die allein für diese Anfrage gelten; frühere Antworten mit einzelnen Datensätzen nicht erneut; Bestellungen, die ohne Einwilligung gemeldet wurden, nicht einzeln. Eine eingegebene Nummer, die keinem Datensatz des Mandanten zugeordnet werden kann, geht als Text an das Modell

Betroffen sind Besucherinnen und Besucher der Websites des Auftraggebers sowie – bei serverseitig gemeldeten Abschlüssen – dessen Kundinnen und Kunden.

• pseudonyme Kennungen für Sitzung, Endgerät, Klick und Impression
• mandantenspezifisch pseudonymisierte Kundenkennungen; ein übergebener Klartext- oder Hashwert, etwa der SHA-256 der E-Mail-Adresse, wird beim Empfang über HMAC mit einem mandantenspezifischen Schlüssel pseudonymisiert und nur so gespeichert
• Bestell- und Vorgangsnummern, Werte und Währungen
• technische Merkmale in gekürzter oder gehashter Form; IP-Adressen werden bei der Übertragung und zur Begrenzung der Anfragen verarbeitet und im Ereignisbestand nur als gekürzter, mit einem geheimen Schlüssel und der Kennung des Auftraggebers gebildeter Hashwert (HMAC) gespeichert – im Messmodus ohne Einwilligung gar nicht. Der Wert ist ein Pseudonym, keine Anonymisierung
• Antworten auf die Nachkauf-Frage aus einer festen Auswahl, ohne Freitext
• der Einwilligungszustand je Ereignis

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich einer Übermittlung in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; dann teilt er dies vor der Verarbeitung mit, sofern das Recht es nicht verbietet.

Die Einstellungen im Produkt, insbesondere Aufbewahrungsdauer, Attributionsfenster, Rückgabe an Plattformen, Einwilligungszuordnung und Datenassistent, gelten als Weisung; ihre Änderungen sind im Protokoll des Mandanten nachvollziehbar. Weisungen außerhalb des Produkts erteilt der Auftraggeber in Textform. Produkteinstellungen erweitern nicht den Zweck nach Abschnitt 2.

Weisungsberechtigt sind die Personen mit der Rolle Administration im Mandanten sowie weitere Personen, die der Auftraggeber in Textform benennt. Bei Zweifeln an der Berechtigung lässt sich der Auftragnehmer die Weisung von einer dieser Personen bestätigen.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und setzt den betroffenen Teil bis zur Klärung aus. Eine als rechtswidrig erkannte Weisung führt er auch bei Wiederholung nicht aus.

Der Auftraggeber ist für die Rechtsgrundlage, die Information der betroffenen Personen, erforderliche Einwilligungen und die Rechtmäßigkeit seiner Weisungen verantwortlich.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen. Ein Zugriff auf Mandantendaten durch den Support ist nur nach ausdrücklicher, befristeter Freigabe durch den Auftraggeber möglich, wird eigens protokolliert und im Produkt sichtbar angezeigt.

Der Auftragnehmer trifft die in der gesonderten Anlage „Technische und organisatorische Maßnahmen“ beschriebenen Maßnahmen nach Art. 32 DSGVO. Änderungen dürfen das Schutzniveau nicht unterschreiten.

Der Auftraggeber stimmt dem Einsatz der in der Anlage „weitere Auftragsverarbeiter“ genannten weiteren Auftragsverarbeiter zu.

Unmittelbare Unterauftragnehmer. Einen neuen oder ersetzten weiteren Auftragsverarbeiter, den der Auftragnehmer selbst beauftragt, kündigt er mindestens 30 Tage vor dessen Einsatz auf der Website unter „Unterlagen“ und in Textform an die im Konto hinterlegte Adresse an. Der Auftraggeber kann innerhalb dieser Frist aus einem sachlichen, datenschutzrechtlich begründeten Grund widersprechen. Solange der Widerspruch nicht geklärt ist, erhält der neue Auftragsverarbeiter keine Daten des Auftraggebers. Kommt keine Lösung zustande, kann der Auftraggeber diesen Vertrag und den Hauptvertrag vor der Umstellung außerordentlich kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstattet der Auftragnehmer anteilig. Bis dahin erhält der neue Auftragsverarbeiter keine Daten des Auftraggebers.

Weitere Stufen: gesicherter Vorlauf. Für Daten des Auftraggebers setzt der Auftragnehmer nur Unterauftragnehmer ein, die sich verpflichtet haben, den Einsatz eines neuen weiteren Auftragsverarbeiters mindestens 30 Tage, bevor dieser Daten erhält, anzukündigen; Ausnahmen nur nach dem Absatz „Unterauftragnehmer ohne gesicherten Vorlauf“. Die Anlage nennt diese Zusage je Unterauftragnehmer. Der Auftragnehmer leitet eine solche Ankündigung unverzüglich, spätestens fünf Werktage nach ihrem Zugang, auf dem Weg nach dem vorigen Absatz weiter. Vor der Weiterleitung prüft der Auftragnehmer anhand der Angaben des Anbieters, auf welche Daten des Auftraggebers die neue Stufe zugreifen kann, einschließlich Sicherungen und zur Löschung vorgemerkter Kopien (Restkopien). Die Mitteilung nennt Empfänger, Tätigkeit, Ort der Verarbeitung, Übermittlungsgrundlage, den Tag, ab dem der neue weitere Auftragsverarbeiter Daten erhält (Einsatztag), und das Ergebnis dieser Prüfung.

Widerspruch gegen eine weitere Stufe. Der Auftraggeber kann bis zehn Tage vor dem Einsatztag, mindestens aber 14 Tage nach Zugang der Mitteilung, aus einem datenschutzrechtlich begründeten Grund widersprechen. Der Auftragnehmer klärt den Widerspruch mit dem Auftraggeber, etwa durch eine Zusage oder Einschränkung des Anbieters oder durch einen anderen Weg der Verarbeitung. Bis zur Klärung stellt er sicher, dass die neue Stufe keinen Zugriff auf Daten des widersprechenden Auftraggebers erhält, auch nicht auf Restkopien; dazu setzt er den betroffenen Datenweg aus oder leitet ihn über einen anderen in der Anlage genannten Unterauftragnehmer.

Ist das technisch nicht möglich, teilt der Auftragnehmer das dem Auftraggeber unverzüglich mit, und der Auftraggeber kann diesen Vertrag und den Hauptvertrag vor dem Einsatztag außerordentlich kündigen. Dann nimmt der Auftragnehmer ab Zugang der Kündigung keine Daten des Auftraggebers mehr an, stellt sie ihm auf Verlangen zur Ausfuhr bereit und löscht die aktiven Daten nach Abschnitt 9 vor dem Einsatztag, spätestens aber fünf Werktage nach Zugang der Kündigung. Sicherungen und Restkopien beim Cloud-Anbieter laufen nach Abschnitt 9 ab; ihre sofortige Löschung sagt der Auftragnehmer nicht zu, und die Mitteilung nennt, ob die neue Stufe sie erfassen kann. Im Voraus gezahlte Entgelte für die Zeit nach der Kündigung erstattet der Auftragnehmer anteilig.

Verspätete Mitteilung. Erhält der Auftragnehmer die Ankündigung eines Unterauftragnehmers zu spät oder gibt er sie später als vereinbart weiter, teilt er das unverzüglich mit, nennt den Grund der Verspätung und ob die neue Stufe bereits auf Daten des Auftraggebers zugreifen konnte. Der Auftraggeber kann dann bis 14 Tage nach Zugang der Mitteilung widersprechen, auch wenn der Einsatztag früher liegt; für den Widerspruch gelten die beiden vorigen Absätze. Auf Verlangen des Auftraggebers setzt der Auftragnehmer die Annahme neuer Daten bis zur Entscheidung über den Widerspruch aus. Die nachträgliche Frist eröffnet die Rechte des Auftraggebers; sie macht einen Zugriff, der vor der Mitteilung erfolgt ist, nicht nachträglich zulässig. Die Rechte des Auftraggebers wegen eines solchen Zugriffs bleiben unberührt.

Unterauftragnehmer ohne gesicherten Vorlauf. Nennt die Anlage einen Unterauftragnehmer ohne diese Zusage, erhält er Daten des Auftraggebers nur in dem dort beschriebenen Umfang. Kündigt er einen neuen weiteren Auftragsverarbeiter an, leitet der Auftragnehmer ab Zugang der Ankündigung keine Daten des Auftraggebers mehr über ihn, sondern über einen anderen in der Anlage genannten Unterauftragnehmer, und teilt dies wie oben mit. Daten des Auftraggebers, die zu diesem Zeitpunkt bereits bei ihm liegen, löscht der Auftragnehmer dort, soweit es die Schnittstellen des Unterauftragnehmers erlauben; im Übrigen nennt die Mitteilung Art und Aufbewahrungsfrist dieser Daten.

Mit jedem weiteren Auftragsverarbeiter wird schriftlich, auch in elektronischer Form, ein Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt: Weisungsbindung, Vertraulichkeit, die Maßnahmen nach Art. 32 DSGVO in einem Schutzniveau, das dieses nicht unterschreitet, Unterstützung bei Betroffenenanfragen und Meldepflichten, Kontroll- und Nachweisrechte sowie Löschung oder Rückgabe am Ende. Für ihre Einhaltung haften wir wie für eigenes Handeln.

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte. Auskunft, Löschung und Widerspruch lassen sich im Datenschutzbereich des Produkts ausführen, ohne dass der Auftragnehmer eingeschaltet werden muss. Berichtigung, Einschränkung der Verarbeitung und Datenübertragbarkeit setzt der Auftragnehmer auf Weisung in einem dokumentierten Verfahren um; eine Einschränkung erhält die Daten in einem geschützten Bestand und ersetzt sie nicht durch Löschung. Betroffenenanfragen, die beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

Eine Löschung wirkt über eine Sperrliste fort, damit dieselbe Kennung nicht unmittelbar danach erneut erfasst wird. Gespeichert wird dabei nur eine Prüfsumme der Kennung, nicht die Kennung selbst. Die Prüfsumme bleibt ein pseudonymes personenbezogenes Datum: Sie erkennt die Kennung wieder, lässt sich aber nicht in sie zurückrechnen. Sie wird zu keinem anderen Zweck verwendet als zur Durchsetzung der Löschung oder des Widerspruchs.

Dauerweisung bei Widerruf. Erreicht ein Widerruf der Einwilligung die Einwilligungsschnittstelle, beendet der Auftragnehmer ohne weiteren Auftrag die Verarbeitungen, die auf dieser Einwilligung beruhen, einschließlich noch nicht übermittelter Meldungen an Werbeplattformen. Er löscht die zuordenbaren Bestände, die auf ihr beruhen, ohne unangemessene Verzögerung, soweit keine gesonderte Rechtsgrundlage oder Ausnahme nach Art. 17 Abs. 3 DSGVO ihre weitere Speicherung trägt. Der Widerruf wirkt für den Browser, in dem er erklärt wird; eine weitergehende Anfrage der Person setzt der Auftraggeber über den Datenschutzbereich um.

Eine Erhaltung trotz Widerrufs ist auf die betroffenen Daten, Zwecke und Dauer zu begrenzen; der Auftraggeber teilt solche Fälle vorab konkret mit. Ein Wechsel zu einem anderen Zweck allein wegen des Widerrufs findet nicht statt, insbesondere keine Überführung in die Umsatzabstimmung. Der Vollzug umfasst operative Bestände, Spiegel, ausstehende Übermittlungen und vorhandene Exporte im Einflussbereich des Auftragnehmers. Bereits an Empfänger übermittelte Daten kann der Auftragnehmer nicht zurückholen; er nennt dem Auftraggeber die Empfänger, damit dieser seine Mitteilungspflicht nach Art. 19 DSGVO erfüllen kann, und unterstützt ihn dabei.

Der Auftragnehmer unterstützt außerdem bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33 und 34 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten wird dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mitgeteilt.

Nach Beendigung werden die Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht. Die Wahl teilt er in Textform mit und kann sie bis zum Ablauf der Frist ändern.

Aktive Daten. Für die Rückgabe bleiben die Daten 30 Tage in den vorgesehenen Ausfuhrformaten abrufbar; der Auftraggeber holt sie selbst ab oder verlangt sie vom Auftragnehmer. Ein Export während der Vertragslaufzeit ist jederzeit ohne zusätzliche Vergütung möglich. Danach löscht der Auftragnehmer die Daten in Datenbank, Analysespiegel und Exporten; trifft der Auftraggeber keine Wahl, gilt die Löschung.

Eigene Sicherungen. Die Sicherungen der Datenbank, aus denen der Auftragnehmer wiederherstellen kann, laufen in ihrem Zyklus ab: Aufbewahrt werden höchstens die letzten 14 täglichen Sicherungen und sieben Tage Transaktionsprotokoll (Anlage 1 und Anlage 3). Sie werden nicht gezielt durchsucht und dienen bis zu ihrem Ablauf allein der Wiederherstellung. Wird eine Sicherung wiederhergestellt, zieht der Auftragnehmer vor der erneuten Freigabe alle seither erfolgten Löschungen, Einschränkungen, Sperren und Widerrufe nach. Lässt sich der Stand nicht vollständig nachziehen, wird der betroffene Bestand nicht zur Verarbeitung freigegeben.

Restkopien beim Cloud-Anbieter. Davon zu unterscheiden sind Kopien, aus denen der Auftragnehmer nicht wiederherstellen kann: Gelöschte Daten entfernt der Cloud-Anbieter aus seinen Systemen nach seinem Vertrag so bald wie möglich, spätestens nach 180 Tagen (Google Cloud Data Processing Addendum, Ziffer 6.1); endet der Vertrag des Auftragnehmers mit ihm, kommt eine Wiederherstellungsfrist von bis zu 30 Tagen hinzu (Ziffer 6.2). Bis dahin gilt dieser Vertrag für diese Kopien fort.

Betriebseinstellung. Stellt der Auftragnehmer den Betrieb ein, kündigt er dies nach dem Hauptvertrag an; Rückgabe und Löschung richten sich nach den vorstehenden Absätzen.

Die Löschung wird auf Verlangen nachgewiesen, mit Zeitpunkt und Umfang. Protokolldaten, die der Nachweispflicht dienen, und Unterlagen mit gesetzlicher Aufbewahrungsfrist bleiben davon unberührt; sie werden für jede andere Verwendung gesperrt.

Der Auftragnehmer weist die Einhaltung der Pflichten auf Anfrage nach und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Die Kontrolle wird mit angemessener Frist angekündigt und darf den Betrieb nicht unangemessen beeinträchtigen; bei einem Vorfall oder begründetem Verdacht ist sie auch ohne diese Frist möglich.

Die Hauptressourcen liegen in der Region europe-west3 (Frankfurt). Einzelne Bestände – insbesondere globale Protokollbereiche des Cloud-Anbieters – sowie Wartungs- und Supportzugriffe von Konzerngesellschaften der weiteren Auftragsverarbeiter können außerhalb der EU liegen bzw. erfolgen; Empfänger, Länder und Übermittlungsgrundlage nennt die Anlage je Dienst. Jede weitere Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO.

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): im Kundenportal unter „Datenschutz“ oder bei der Einrichtung über die Shopify-App, jeweils durch eine Person, die erklärt, zum Abschluss für den Auftraggeber berechtigt zu sein. Er wird gesondert vom Hauptvertrag und für jeden Mandanten abgeschlossen. Bis zu seinem Abschluss nimmt die Software für diesen Mandanten keine Messdaten an.

Anlagen sind, in derselben Fassung wie dieser Vertrag: Anlage 1 „Technische und organisatorische Maßnahmen“, Anlage 2 „weitere Auftragsverarbeiter“, Anlage 3 „Löschkonzept“. Den vereinbarten Wortlaut hält das Portal unter „Datenschutz“ bereit; jede Fassung bleibt zudem unter ihrem Datum auf der Website abrufbar.

Änderungen bedürfen der Textform. Eine neue Fassung bietet der Auftragnehmer im Portal zum Abschluss an; bis dahin gilt die abgeschlossene Fassung fort. Mitteilungen nach Abschnitt 7 sind keine Änderung dieses Vertrags.

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht. Es gilt deutsches Recht.