Roman Bauer
Plaggenkrugstraße 33
26316 Varel
Deutschland
(im Folgenden "Auftragsverarbeiter" oder "wir"),
und
Dem jeweiligen Inhaber eines Stall-Accounts in der App "First Horse", (z. B.
gewerblicher Stallbetreiber, Verein oder Haltergemeinschaft), der die App zur Verwaltung von personenbezogenen
Daten Dritter (z. B. von Einstellern, Mitarbeitern) nutzt
(im Folgenden "Verantwortlicher" oder "Sie")
Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen. Die Verarbeitung erfolgt im Rahmen der Nutzung der App "First Horse" durch den Verantwortlichen zur Verwaltung seines Pferdestalls. Die Parteien sind sich einig, dass der Verantwortliche die Datenhoheit behält und die Verarbeitung der personenbezogenen Daten ausschließlich gemäß den Bestimmungen dieses Vertrages und den Weisungen des Verantwortlichen erfolgt.
1.1 Gegenstand des Vertrages ist die Bereitstellung und der Betrieb der App "First Horse" durch den Auftragsverarbeiter, die dem Verantwortlichen die Speicherung und Verwaltung von personenbezogenen Daten im Rahmen seines Stallbetriebs ermöglicht. Die App bietet Funktionen zur Veröffentlichung von Stallnachrichten, zur Bereitstellung von Kontaktlinks (z. B. für externe Messenger wie WhatsApp) sowie zur Erstellung, Verwaltung und dem Teilen (intern sowie extern über Deep Links) von Pferdeprofilen (inklusive der Erfassung von Gesundheits- und Impfdaten), Belegungs-, Arbeits-, Futter- und Koppelplänen sowie Hofregeln. Der Auftragsverarbeiter wird die Daten ausschließlich gemäß den Weisungen des Verantwortlichen verarbeiten.
1.2 Dauer des Vertrages: Dieser Vertrag beginnt mit der aktiven Annahme durch den Verantwortlichen und läuft auf unbestimmte Zeit. Er endet automatisch mit der Beendigung des Nutzungsverhältnisses für die App "First Horse" durch den Verantwortlichen.
2.1 Art und Zweck der Verarbeitung: Die Verarbeitung umfasst die Speicherung, Organisation, Abfrage, Nutzung, Übermittlung, Verbreitung, den Abgleich, die Verknüpfung, Einschränkung, Löschung und Vernichtung von Daten zum Zweck der Verwaltung eines Pferdestalls durch den Verantwortlichen über die App "First Horse" sowie zur gezielten Benachrichtigung der Nutzer (Push-Benachrichtigungen), der rollenbasierten Bereitstellung von Daten für Dritte (app-internes Sharing sowie app-externes Sharing mittels generierter Deep Links), der Bereitstellung von allgemeinen Kontakt- und Gruppenlinks für den Stall und der Bereitstellung einer Meldefunktion zur Überprüfung von Nutzerinhalten. Der Auftragsverarbeiter stellt lediglich die technische Infrastruktur und die Anwendungssoftware zur Verfügung.
2.2 Art der personenbezogenen Daten: Folgende Kategorien personenbezogener Daten können vom Verantwortlichen in der App verarbeitet werden:
2.3 Kategorien betroffener Personen:
3.1 Der Verantwortliche ist alleiniger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die über die App verarbeiteten Daten.
3.2 3.2 Der Verantwortliche trägt die alleinige Verantwortung für die Rechtmäßigkeit der Erhebung, Verarbeitung und Nutzung der Daten sowie für die Wahrung der Rechte der betroffenen Personen. Dies beinhaltet insbesondere die Einholung notwendiger Einwilligungen (z.B. bei der Freigabe und dem Teilen von Pferdeprofilen mit Dritten) und die Erfüllung der Informationspflichten gemäß Art. 13 und 14 DSGVO gegenüber den betroffenen Personen.
3.3 Der Verantwortliche ist jederzeit berechtigt, Weisungen zur Verarbeitung der personenbezogenen Daten zu erteilen. Der Auftragsverarbeiter hat diese Weisungen zu befolgen, sofern sie im Rahmen der vereinbarten Leistungen liegen und nicht gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstoßen.
3.4 Mündliche Weisungen sind vom Verantwortlichen unverzüglich in Textform (z.B. per E-Mail) zu bestätigen.
3.5 Der Verantwortliche ist dafür verantwortlich, dass die von ihm in die App eingepflegten Daten aktuell und korrekt sind.
4.1 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der schriftlichen Weisungen des Verantwortlichen, es sei denn, eine Verarbeitung ist aufgrund von Unionsrecht oder dem Recht der Bundesrepublik Deutschland erforderlich; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
4.2 Der Auftragsverarbeiter ist verpflichtet, nur Mitarbeiter einzusetzen, die auf die Vertraulichkeit verpflichtet wurden und gemäß Art. 32 Abs. 4 DSGVO unterwiesen sind.
4.3 Der Auftragsverarbeiter gewährleistet die Sicherheit der Verarbeitung gemäß Art. 32 DSGVO durch geeignete technische und organisatorische Maßnahmen. Die aktuellen technischen und organisatorischen Maßnahmen (TOMs) sind in Anhang 1 dieses Vertrages aufgeführt. Der Auftragsverarbeiter kann die TOMs an die technische und rechtliche Entwicklung anpassen, darf aber das vereinbarte Schutzniveau nicht unterschreiten.
4.4 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldepflichten bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung).
4.5 Im Falle einer Datenschutzverletzung (z.B. Datenverlust, unbefugter Zugriff) im Verantwortungsbereich des Auftragsverarbeiters wird dieser den Verantwortlichen unverzüglich nach Bekanntwerden informieren und geeignete Maßnahmen zur Eindämmung und Behebung ergreifen.
4.6 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Datenübertragbarkeitsansprüchen betroffener Personen nach Kapitel III DSGVO.
4.7 Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Verantwortlichen durchführt.
4.8 Nach Beendigung dieses Vertrages, die durch die manuelle Löschung des Stall-Accounts per E-Mail-Anfrage an den Auftragsverarbeiter eingeleitet wird, löscht der Auftragsverarbeiter alle im Zusammenhang mit diesem Stall-Account stehenden personenbezogenen Daten des Verantwortlichen. Daten, die einem einzelnen Nutzer zugeordnet sind, werden gelöscht, sobald der Nutzer den Stall verlässt und sein Account gelöscht wird. Gerätespezifische Tokens für Push-Benachrichtigungen werden zudem automatisiert gelöscht, sobald der zugehörige Nutzeraccount gelöscht wird oder der Token seine Gültigkeit verliert. Ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen.
5.1 Der Auftragsverarbeiter darf Subunternehmer (weitere Auftragsverarbeiter) nur mit vorheriger, ausdrücklicher oder allgemeiner schriftlicher Zustimmung des Verantwortlichen beauftragen. Eine allgemeine Zustimmung erfordert, dass der Auftragsverarbeiter den Verantwortlichen vor der Beauftragung eines neuen Subunternehmers informiert und der Verantwortliche innerhalb einer angemessenen Frist (z.B. 14 Tage) keinen Widerspruch erhebt.
5.2 Aktuell eingesetzte Subunternehmer (zum Zeitpunkt des Vertragsabschlusses):
5.3 Bei Einsatz von Subunternehmern ist der Auftragsverarbeiter verpflichtet, diesen dieselben Datenschutzpflichten aufzuerlegen, die auch in diesem Vertrag festgelegt sind (insbesondere in Bezug auf die technischen und organisatorischen Maßnahmen).
6.1 Der Verantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses Vertrages und der geltenden Datenschutzvorschriften durch den Auftragsverarbeiter zu überprüfen. Dies umfasst das Recht auf Audits und Inspektionen, die nach vorheriger Ankündigung und in angemessenem Umfang durchgeführt werden.
6.2 Der Auftragsverarbeiter ist verpflichtet, dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO genannten Pflichten zur Verfügung zu stellen und bei diesen Überprüfungen mitzuwirken.
7.1 Die Haftung richtet sich nach Art. 82 DSGVO. Der Verantwortliche und der Auftragsverarbeiter haften jeweils für den Schaden, der durch eine ihnen anzulastende Verletzung der DSGVO oder dieses Vertrages entsteht.
7.2 Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen nach den allgemeinen Vorschriften. Dies gilt nicht, soweit der Auftragsverarbeiter nachweist, dass er in keiner Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
8.1 Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform (z.B. E-Mail).
8.2 Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Die Parteien sind verpflichtet, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
8.3 Es gilt das Recht der Bundesrepublik Deutschland.
8.4 Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Die nachfolgenden TOMs werden vom Auftragsverarbeiter zur Gewährleistung der Datensicherheit eingesetzt. Eine Anpassung an den technologischen Fortschritt und die gesetzlichen Anforderungen ist jederzeit möglich, solange das Schutzniveau nicht unterschritten wird.
Als Stallbetreiber sind Sie verpflichtet, die Rechtmäßigkeit der Datenverarbeitung in Ihrer eigenen Verantwortung zu prüfen und die Vorgaben der DSGVO einzuhalten. Hierzu gehört insbesondere: