SupportKontor

Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

zwischen

dem Kunden im Sinne der Allgemeinen Geschäftsbedingungen für SupportKontor (nachfolgend „AGB“), identifiziert durch das Konto, unter dem er den Dienst bestellt hat — nachfolgend „Verantwortlicher“ —

und

Oldfire OÜ, J. Pärna tn 1, 10128 Tallinn, Estland — nachfolgend „Auftragsverarbeiter“ —

Dieser Vertrag ist nach § 9 Abs. 1 AGB Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags und wird mit dessen Abschluss wirksam; einer gesonderten Unterzeichnung bedarf es nicht (Art. 28 Abs. 9 DSGVO). Eine gegengezeichnete Fassung mit den Angaben des Verantwortlichen stellt der Auftragsverarbeiter auf Anfrage an [email protected] bereit.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen den Dienst „SupportKontor“. Die Verarbeitung umfasst: Entgegennahme, Analyse und Beantwortung von Kundenservice-E-Mails; Abfrage von Bestelldaten aus dem Shopsystem des Verantwortlichen; Auskunft zum Sendungsstatus; Ausführung von Bestellaktionen (Stornierung, Adressänderung, Anlage von Retourenvorgängen) im Rahmen der vom Verantwortlichen je Anliegenart konfigurierten Autonomiestufen — die Konfiguration gilt als dokumentierte Weisung (§ 3 Abs. 1); Führung eines Prüfprotokolls aller Aktionen; Versand von Antwort-E-Mails im Namen des Verantwortlichen.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. § 6 (Löschung) bleibt unberührt.

§ 2 Betroffene Personen und Datenarten

(1) Betroffene Personen: Kunden und Interessenten des Verantwortlichen, die den Kundenservice per E-Mail kontaktieren.

(2) Datenarten: Stammdaten (Name, E-Mail-Adresse, Anschrift); Bestell- und Vertragsdaten (Bestellnummer, Artikel, Beträge, Zahlungsstatus — keine vollständigen Zahlungsdaten); Versanddaten (Sendungsnummern, Lieferstatus); Kommunikationsinhalte (Kundenanfragen und Antworten).

(3) Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; unaufgefordert übermittelte Daten dieser Art werden nicht gesondert ausgewertet und unterliegen denselben Löschfristen.

§ 3 Pflichten des Auftragsverarbeiters

(1) Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation (Art. 28 Abs. 3 lit. a DSGVO). Die in Anlage 1 ausgewiesenen Übermittlungen in Drittländer gelten als dokumentierte Weisung des Verantwortlichen; § 4 Abs. 3 (Garantien nach Kapitel V DSGVO) bleibt unberührt. Die Konfiguration des Dienstes durch den Verantwortlichen (aktivierte Automatisierungen, Richtlinien, Freigaben im Dashboard) gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich.

(2) Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen (Art. 28 Abs. 3 lit. b DSGVO).

(3) Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anlage 2 (Art. 32 DSGVO).

(4) Unterstützung des Verantwortlichen mit geeigneten Mitteln bei Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Geht ein Ersuchen einer betroffenen Person unmittelbar beim Auftragsverarbeiter ein, leitet er es unverzüglich an den Verantwortlichen weiter und verweist die betroffene Person an diesen; er beantwortet das Ersuchen nicht selbst, soweit keine gesetzliche Pflicht hierzu besteht.

(5) Information des Verantwortlichen über Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung.

(6) Der Auftragsverarbeiter verwendet die verarbeiteten Daten nicht zum Training von KI-Modellen und gibt sie nicht zu diesem Zweck an Dritte weiter.

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 1 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter erlegt ihnen vertraglich Datenschutzpflichten auf, die den Pflichten dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO).

(2) Aufnahme oder Ersetzung eines Unterauftragsverarbeiters wird mindestens 30 Tage vorher in Textform angekündigt. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.

(3) Verarbeitungen in Drittländern erfolgen nur bei Vorliegen geeigneter Garantien nach Kapitel V DSGVO; Einzelheiten je Unterauftragsverarbeiter in Anlage 1.

§ 5 Kontrollrechte

Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter stellt die erforderlichen Informationen zur Verfügung und erfüllt Nachweispflichten vorrangig durch aktuelle Dokumentation sowie Zertifikate und Auditberichte der Unterauftragsverarbeiter; Vor-Ort-Kontrollen nach angemessener Ankündigung.

§ 6 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten binnen 30 Tagen oder gibt sie auf Wunsch des Verantwortlichen in einem gängigen Format heraus, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Während der Vertragslaufzeit gelten die Löschfristen der Anlage 3.

§ 7 Weisungsberechtigte Personen

Weisungsberechtigt beim Verantwortlichen sind die Personen, die Zugang zu seinem SupportKontor-Konto haben; der Verantwortliche kann dem Auftragsverarbeiter in Textform weitere Personen benennen. Weisungsempfänger beim Auftragsverarbeiter: Silver Taza, Oldfire OÜ, [email protected].

§ 8 Schlussbestimmungen

Es gilt Art. 82 DSGVO. Nebenabreden bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland.

Anlagen

Die folgenden Anlagen sind Bestandteil dieses Vertrags. Sie werden dem Verantwortlichen gemeinsam mit diesem Vertrag zur Verfügung gestellt und sind im Händler-Bereich unter „Datenschutz“ jederzeit abrufbar. Änderungen werden nach § 4 Abs. 2 angekündigt und versioniert.