Vertrag zur Auftragsverarbeitung

1. Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, soweit das für die Leistungen nach dem Hauptvertrag nötig ist. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.
2. Dieser Vertrag gilt, solange wir Daten des Kunden im Auftrag verarbeiten, auch über das Ende des Hauptvertrags hinaus bis zur Löschung nach Abschnitt Ende der Verarbeitung.
3. Für Daten, die wir als eigener Verantwortlicher verarbeiten (insbesondere Kontodaten der Nutzer, Vertrags- und Rechnungsdaten), gilt dieser Vertrag nicht; dafür gilt unsere Datenschutzerklärung.

1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, wir sind nach dem Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilen wir dem Kunden diese Pflicht vorher mit, sofern das Recht das nicht verbietet.
2. Die Weisungen sind abschließend in diesem Vertrag, im Hauptvertrag und in den Einstellungen festgelegt, die der Kunde in seinem Portal vornimmt (zum Beispiel Veröffentlichung eines Katalogs, Messung ein- oder ausschalten, Weiterleitung von Anfragen an eigene Systeme). Weitere Weisungen erteilt der Kunde in Textform an info@cablecreations.de.
3. Halten wir eine Weisung für rechtswidrig, teilen wir das dem Kunden unverzüglich mit und dürfen ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.

1. Wir verpflichten alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
3. Wir unterstützen den Kunden mit geeigneten Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person an uns, leiten wir ihr Anliegen unverzüglich an den Kunden weiter.
4. Wir unterstützen den Kunden unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO).
5. Wir informieren den Kunden unverzüglich, spätestens innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes seiner Daten bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen, und ergänzen sie, sobald wir mehr wissen.
6. Wir informieren den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie seine Daten betreffen.
7. Wir führen ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen (etwa in der Datenschutzerklärung seiner Website und seines Katalogs) und, wo nötig, deren Einwilligung. Er informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

1. Der Kunde genehmigt den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Wir schließen mit jedem von ihnen einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser Vertrag uns, und bleiben dem Kunden für ihre Einhaltung verantwortlich.
2. Einen neuen oder anderen Unterauftragsverarbeiter teilen wir dem Kunden mindestens vier Wochen vor dem Einsatz in Textform mit. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir den Widerspruch nicht durch eine zumutbare Änderung ausräumen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Einsatzes kündigen.
3. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die wir bei Dritten in Anspruch nehmen, ohne dass diese Zugriff auf die Daten des Kunden erhalten, etwa Telekommunikation und Rechenleistung für das Erzeugen von Bildern aus Kabeldaten ohne personenbezogene Daten.

Wir verarbeiten die Daten in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, und nur durch die in Anlage 3 dafür genannten Unterauftragsverarbeiter.

Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis unserer Pflichten nötig sind. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht unser Wettbewerber ist, kann die Einhaltung nach Anmeldung mit angemessener Frist, in der Regel vier Wochen, während der Geschäftszeiten und ohne Störung des Betriebs prüfen. Vorrangig genügen aktuelle Nachweise wie Zertifikate unserer Rechenzentren oder Auskünfte in Textform. Eine Prüfung vor Ort ist höchstens einmal im Kalenderjahr vorgesehen, es sei denn, es gibt einen konkreten Anlass. Den Aufwand für Prüfungen, die über die Bereitstellung von Unterlagen hinausgehen, kann jede Partei selbst tragen; unseren Aufwand können wir angemessen berechnen, wenn die Prüfung keinen Verstoß ergibt.

1. Bis zum Ende des Hauptvertrags kann der Kunde seine Inhalte jederzeit selbst exportieren.
2. Nach dem Ende des bezahlten Zeitraums bewahren wir die Daten des Kunden 90 Tage auf, damit er sie noch herunterladen kann, und löschen sie danach, soweit wir sie nicht nach dem Recht der Union oder Deutschlands aufbewahren müssen. Auf Weisung des Kunden löschen wir früher.
3. Datenbanksicherungen werden nach 14 Tagen überschrieben; gelöschte Dateien verlassen die Sicherungen 30 Tage nach ihrer Löschung. Bis dahin sind sie gegen Zugriff geschützt und werden nicht mehr verarbeitet.
4. Die Löschung bestätigen wir auf Anfrage in Textform.

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.
2. Bei Widersprüchen hat dieser Vertrag in Fragen des Datenschutzes Vorrang vor dem Hauptvertrag.
3. Änderungen bedürfen der Textform. Für Gerichtsstand und anwendbares Recht gelten die Regelungen des Hauptvertrags.

Zweck ist die Bereitstellung der Plattform und die Erbringung der vereinbarten Leistungen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Kunde überträgt keine solchen Daten.