AVV - Vertrag zur Auftragsverarbeitung

zwischen Ihnen als Verantwortlicher (hier nachfolgend als „Auftraggeber“ bezeichnet) eines beantragten bzw. bereits bestehenden Verwaltungszugang zu unserer Umfrage-Plattform LamaPoll entsprechend unseren Allgemeine Geschäftsbedingungen für das Nutzen von LamaPoll (AGB) und uns, der

Lamano GmbH & Co. KG
Grünberger Str. 44 a
10245 Berlin
- Betreiber des Online-Umfragedienstes „LamaPoll“ unter www.lamapoll.de -

als Auftragsverarbeiter (hier im Folgenden als „Auftragnehmer“ bezeichnet)

Der Auftragnehmer soll entsprechend eines gesondert erteilten Auftrags für den Auftraggeber die hier in § 2 nochmals klarstellend und zusammengefasst näher genannten Leistungen erbringen. Wesentlicher Teil dieses gesondert erteilten Auftrags ist dabei die Verarbeitung von im Regelfall auch personenbezogenen Daten für den Auftraggeber. Insbesondere Art. 28 DS-GVO stellt bestimmte Anforderungen an eine solche Auftragsverarbeitung. Zur Wahrung dieser Anforderungen schließen die Parteien die nachfolgende Vereinbarung, die für sämtliche Tätigkeiten des Auftragnehmers für den Auftraggeber im Zusammenhang mit dem gesondert erteilten Auftrag gilt.

(1) Verantwortlicher ist gem. Art. 4 Nr. 7 DS-GVO die Stelle, die allein oder gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

(2) Auftragsverarbeiter ist gem. Art. 4 Nr. 8 DS-GVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

(3) Personenbezogene Daten sind gem. Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

(4) Besonders schutzbedürftige personenbezogene Daten sind personenbezogenen Daten gem. Art. 9 DSGVO, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit von Betroffenen hervorgehen, personenbezogene Daten gem. Art. 10 DS-GVO über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln sowie genetische Daten gem. Art. 4 Nr. 13 DS-GVO, biometrischen Daten gem. Art. 4 Nr. 14 DS-GVO, Gesundheitsdaten gem. Art. 4 Nr. 15 DS-GVO sowie Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

(5) Verarbeitung ist gem. Art. 4 Nr. 2 DS-GVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

(6) Aufsichtsbehörde ist gem. Art. 4 Nr. 21 DS-GVO eine von einem Mitgliedstaat gem. Art. 51 DS-GVO eingerichtete unabhängige staatliche Stelle. 

(1) Der Auftragnehmer stellt dem Auftraggeber entsprechend einer gesonderten Vereinbarung zwischen Auftragnehmer und Auftraggeber - die auf den Regelungen „Allgemeine Geschäftsbedingungen für das Nutzen von LamaPoll“ des Auftragnehmers basiert („Hauptvertrag“) - seine Online-Plattform (mitunter hier auch „Umfrage-Plattform“ genannt) technisch zur Verfügung, mit derer der Auftraggeber unter Nutzung der technischen Infrastruktur des Auftragnehmers (hardware- wie auch softwareseitig) zur Planung, Durchführung und auch Auswertung von eigenen Online-Umfragen im Stande ist. Dabei unterliegen jene Umfragen des Auftraggebers, die er mittels der Infrastruktur des Auftragnehmers tatsächlich plant, durchführt und auswertet, der alleinigen rechtlichen Verantwortung des Auftraggebers (beispielsweise auch mit Blick auf die rechtliche Zulässigkeit zu stellender Fragen, von ihm selbst fest vorgegebener Antwortmöglichkeiten, der Einbeziehung von Personen zum Zwecke der Teilnahme an Umfragen sowie auch beispielsweise hinsichtlich der Auswertung und Verwendung etwaiger erhaltener Antworten). Die gesamte tatsächliche Nutzung der Umfrage-Infrastruktur des Auftragnehmers durch den Auftraggeber entsprechend des Hauptvertrages unterliegt allein den durch bloße technische Konfiguration vorgenommenen Vorgaben des Auftraggebers und somit auch allein dessen rechtlicher Bewertung und rechtlicher Verantwortung hinsichtlich der Zulässigkeit seiner Umfragen. Nach alldem ist der Auftraggeber in der Planung, Festlegung, Veröffentlichung, Durchführung und Auswertung seiner Umfragen in gänzlich eigener Verantwortung frei. Er ist somit auf faktischer Ebene - ungeachtet der Rechtslage im Einzelfall - allein durch technisch womöglich im Einzelfall vorgegebene Umstände begrenzt und aus diesem Grunde auch gänzlich allein für seine Umfragen mittels der Infrastruktur des Auftragnehmers in jeglicher Hinsicht und insbesondere auch rechtlich verantwortlich. Im Zuge dieser technischen, auftragsgemäßen Bereitstellung der Online-Plattform des Auftragnehmers erhält der Auftragnehmer als technischer Betreiber der Umfrage-Plattform naturgemäß ebenfalls potentiell Zugriff auf etwaige, hierbei anfallenden und womöglich auch personenbezogene Daten bzw. Kontakt mit jenen. Der Auftragnehmer verarbeitet diese jedoch ausschließlich im Auftrag und allein nach Weisung des Auftraggebers.

(2) Mit Blick auf den Umfang der Datenverarbeitungen kommen je nach konkreter Verwendung der OnlinePlattform des Auftragnehmers durch den Auftraggeber im Einzelfall (Weisung) grundsätzlich sämtliche mit und/oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgänge und/oder Vorgangsreihen im Zusammenhang mit personenbezogenen Daten wie insbesondere das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder andere Formen der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung durch den Auftragnehmer für den Auftraggeber in Betracht.

(3) Zweck dieser Datenverarbeitungen durch den Auftragnehmer für den Auftraggeber ist es, dem Auftraggeber die Konzeption, Verwaltung, Durchführung und Auswertung von technisch beliebigen Online-Umfragen zu ermöglichen, wobei die konkreten Umfrage-Inhalte, Umfrage-Teilnehmer, Umfrage-Auswertungen usw. allein von dem Auftraggeber verantwortet und durch entsprechende Konfiguration und Planung vorgegeben werden.

(4) Allein dem Auftraggeber obliegt die Beurteilung und Sicherstellung der Zulässigkeit der Datenverarbeitung.

(5) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien diese vorliegende Vereinbarung. Die den Datenschutz betreffenden Regelungen der vorliegenden Vereinbarung gehen im Zweifel den Regelungen des Hauptvertrags vor.

(6) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei der der Auftragnehmer und seine Beschäftigten und/oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten in Berührung kommen, die vom Auftraggeber stammen oder für den Auftraggeber oder durch den Auftraggeber erhoben wurden.

(7) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den nachfolgenden Bestimmungen nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben.

(1) Der Auftragnehmer darf Daten nur im Rahmen des Hauptvertrags und gemäß den Weisungen des Auftraggebers erheben, verarbeiten oder nutzen; dies gilt insbesondere auch in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Auftraggebers werden insbesondere elektronisch über den hierzu dem Auftraggeber passwortgeschützt bereitgestellten Verwaltungsbereich zur Bedienung der Online-Plattform des Auftragnehmers („Backend“) vom Auftraggeber in der Weise an den Auftragnehmer erteilt, ergänzt, geändert oder ersetzt, dass dieser dort im Einzelnen durch seine softwareseitigen Einstellungen über seinen Verwaltungszugang vorgibt, wie Online-Umfragen für den Auftraggeber konzeptioniert, gespeichert, durchgeführt, ausgewertet und auch wieder beendet und letztlich gelöscht werden sollen. Zudem kann der Auftraggeber auch in schriftlicher Form und auch in Textform einzelne Weisungen erteilen, ergänzen, ändern oder ersetzen. Der Auftraggeber ist jederzeit zur Erteilung entsprechender Weisungen berechtigt. Dies umfasst auch Weisungen in Hinblick auf die Berichtigung, Löschung und Sperrung von Daten.

(3) Soweit der Auftraggeber Personen zum Online-System des Auftragnehmers weitere Verwaltungszugänge (Legitimation über Benutzername und Passwort) einrichtet, so benennt er diese dem Auftragnehmer gegenüber damit insoweit als ebenfalls datenschutzrechtlich für den Auftraggeber Weisungsberechtigte im Sinne dieser Vereinbarung.

(4) Alle erteilten Weisungen sind sowohl vom Auftraggeber als auch vom Auftragnehmer zu dokumentieren. Weisungen, die über die hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(5) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Der Auftragnehmer darf die Durchführung offensichtlich rechtswidriger, auch mit Blick auf den Hauptvertrag vertragsrechtswidriger Weisungen ablehnen. 

(1) Aus der Funktionsweise der Umfrage-Plattform des Auftraggebers, aus dem zugrundeliegenden Hauptvertrag zwischen Auftraggeber und Auftragnehmer und auch aus den §§ 2 und 3 dieser Vereinbarung ergibt sich, dass allein der Auftraggeber für das Ob und Wie seiner Umfragen selbst verantwortlich ist. Aus diesem Grund ist es die Pflicht des Auftraggebers, unbedingt dafür Sorge zu tragen, dass bei sämtlichen Datenverarbeitungen, die der Auftraggeber mittels der Infrastruktur des Auftragnehmers durchführt bzw. im Auftrag des Auftraggebers durch den Auftragnehmer durchführen lässt, sämtliche von diesen Datenverarbeitungen Betroffenen entsprechend der gesetzlichen Vorgaben umfassend und zutreffend informiert werden. Dies betrifft beispielsweise also Informationspflichten gegenüber Betroffenen nach Art. 13 und 14 DS-GVO, die aufgrund der Funktionsweise der Umfrage-Plattform der Auftraggeber zu erfüllen hat, soweit er die Umfrage-Plattform des Auftragnehmers nutzt.

(2) Der Auftragnehmer stellt dem Auftraggeber zu diesem Zwecke technische Möglichkeiten zur Verfügung, die es dem Auftraggeber ermöglichen, seinen Informationspflichten insoweit nachzukommen, als dass der Auftraggeber (auch) datenschutzrechtliche Hinweise zur Erfüllung seiner Informationspflichten inhaltlich einstellen und deren Anzeige so konfigurieren kann, dass diese – beispielsweise bei der Durchführung von Umfragen – stets prominent und für den Betroffenen gut sichtbar eingesehen werden können.

(3) Um eine vollständige und korrekte Erstellung der datenschutzrechtlichen Hinweise an Betroffene durch den Auftraggeber inhaltlich zu ermöglichen, stellt der Auftragnehmer dem Auftraggeber auch stets aktuelle „Ergänzende Hinweise für den Auftraggeber zu den technisch ihm im Einzelnen möglichen Datenverarbeitungsvorgängen mittels der Online-Plattform des Auftragnehmers“ in seinem Verwaltungszugang zur Verfügung, die es dem Auftraggeber ermöglichen, sämtliche Informationen zu erhalten, die für den Auftraggeber relevant sind, um Betroffene vollständig und zutreffend zur Erfüllung der datenschutzrechtlichen Vorgaben informieren zu können (beispielsweise etwa hinsichtlich der Speicherdauer spezifischer Daten).

(4) Für den Fall, dass der Auftraggeber im Einzelfall über die in § 4 (3) benannten und online für den Auftraggeber stets verfügbaren Hinweise unerwarteter Weise noch hinausgehende Informationen benötigt, um seine Hinweispflichten erfüllen zu können, nimmt er hierzu umgehend Kontakt mit dem Auftragnehmer auf, der ihm alle etwaigen weiteren, nötigen Informationen hierzu zukommen lässt.

(5) Der Auftraggeber ist verpflichtet, inhaltlich zutreffende, vollständige und rechtskonforme Datenschutzhinweise betreffend der Nutzung der Umfrage-Plattform des Auftragnehmers zu erstellen und diese zur Verwendung zu hinterlegen, bevor er die Umfrage-Plattform des Auftragnehmers nutzt bzw. diese in seinem Auftrag durch den Auftragnehmer nutzen lässt.

(6) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der Daten seiner Umfragen sowie für die Wahrung der Rechte der Betroffenen auch im Verhältnis der Parteien zueinander allein verantwortlich. 

(1) Mit Blick auf die Art der für den Auftraggeber verarbeiteten Daten kommen je nach konkreter Verwendung der Online-Plattform des Auftragnehmers nach Wahl des Auftraggebers im Einzelfall (Weisung) grundsätzlich sämtliche denkbaren Arten und Kategorien personenbezogener Daten in Betracht; insbesondere (aber nicht ausschließlich) beispielsweise auch „besondere Kategorien“ personenbezogener Daten gem. Art. 9 DS-GVO, personenbezogene Daten gem. Art. 10 DS-GVO und/oder womöglich auch Daten, die einer besonderen berufsrechtlichen Verschwiegenheitsverpflichtung im Sinne von § 203 StGB aus weiteren Rechtsnormen unterliegen.

(2) Ebenso unterliegen auch die Kategorien betroffener Personen der uneingeschränkten und alleinigen Disposition des Auftraggebers, sodass insbesondere (aber nicht ausschließlich) Beschäftigte, Interessenten, Lieferanten, Kunden, Patienten, Mandanten, Besucher und/oder Antragsteller als betroffene Personen nach Wahl des Auftraggebers in Betracht kommen können. 

(1) Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er trifft alle erforderlichen Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers gem. Art. 32 DS-GVO, insbesondere mindestens die, die in der Anlage „Darstellung der technischen und organisatorischen Sicherheitsmaßnahmen“ aufgelistet sind, die diesem Vertrag beigefügt ist und zudem auch auf der Webseite www.lamapoll.de einsehbar ist. In dieser Anlage sind die technischen und organisatorischen Mindestmaßnahmen in folgenden Bereichen dargestellt

Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(3) Seitens des Auftragnehmers steht Herr Notev als geschäftsführender Gesellschafter des Auftragnehmers für sämtliche Fragen des Datenschutzes als Ansprechpartner zur Verfügung. Herr Notev kann per E-Mail unter (support@lamapoll.de) sowie postalisch unter (LamaPoll – Notev – Grünberger Str. 44 a – 10245 Berlin) kontaktiert werden. Darüber hinaus hat der Auftragnehmer auch einen betrieblichen Datenschutzbeauftragten bestellt, den Sie per E-Mail unter (reg@lamapoll.de) sowie postalisch unter (LamaPoll DSB – Grünberger Str. 44 a – 10245 Berlin) erreichen.

(4) Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragnehmer wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im folgenden Mitarbeiter genannt), entsprechend verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DS-GVO) und mit der gebotene