Vereinbarung zur Auftragsverarbeitung

zwischen dem Kunden („Verantwortlicher“) und CleanTrack, Inh. Arda Akel, Friedhofstr. 127, 77694 Kehl („Auftragsverarbeiter“). Diese Vereinbarung ist Bestandteil des Vertrags über die Nutzung von CleanTrack und gilt mit dessen Abschluss.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um den Anfrage-Assistenten CleanTrack bereitzustellen (Entgegennahme, Strukturierung, Speicherung und Weiterleitung von Anfragen). Die Vereinbarung gilt für die Dauer des Hauptvertrags.

§ 2 Art der Daten und betroffene Personen

• Betroffene: Interessenten und Kunden des Verantwortlichen, die über den Assistenten Kontakt aufnehmen; Mitarbeiter des Verantwortlichen mit Zugang zum Dashboard.
• Daten: Kontaktdaten (Name, Telefon, E-Mail, Adresse), Inhalte der Anfrage und des Gesprächs, Rufnummern und in Text umgewandelte Gesprächsinhalte bei Telefon/SMS/WhatsApp, technische Daten (Zeitpunkt, Herkunftsseite), Zugangsdaten der Mitarbeiter.
• Besondere Kategorien (Art. 9 DSGVO) sollen nicht verarbeitet werden; der Assistent ist angewiesen, solche Daten nicht abzufragen.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus dem Hauptvertrag und den Einstellungen im Dashboard und können in Textform ergänzt werden. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

§ 4 Pflichten des Auftragsverarbeiters

• Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an.
• Er unterstützt den Verantwortlichen bei Anfragen Betroffener (Auskunft, Löschung u. a.) und bei Datenschutz-Folgenabschätzungen.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 24 Stunden nach Kenntnis.
• Er stellt alle Informationen bereit, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen nach angemessener Vorankündigung.

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Betroffenen in seiner Datenschutzerklärung. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag zum Wirksamwerden der Änderung kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der EU-Standardvertragsklauseln.

§ 7 Löschung und Rückgabe

Der Verantwortliche kann Anfragen jederzeit im Dashboard löschen. Nach Vertragsende stellt der Auftragsverarbeiter auf Wunsch innerhalb von 30 Tagen einen Export bereit und löscht danach alle Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

Anlage 1 – Technische und organisatorische Maßnahmen

• Vertraulichkeit: Hosting in zertifizierten Rechenzentren; Zugriff nur über persönliche Konten mit Passwort; Passwörter als sicherer Hash gespeichert; strikte Trennung der Daten je Kunde (Mandantentrennung); Rollen (Inhaber, Mitarbeiter, Administrator).
• Integrität: Verschlüsselte Übertragung (TLS/HTTPS) zwischen allen Beteiligten; Protokollierung von Statusänderungen an Anfragen.
• Verfügbarkeit: Automatische Datensicherung der Datenbank durch den Anbieter mit Wiederherstellung auf frühere Zeitpunkte; automatischer Neustart der Dienste bei Ausfällen.
• Datenminimierung: Der Assistent fragt nur die je Anfrageart festgelegten Angaben ab; Telefongespräche werden nicht als Audio aufgezeichnet; keine Werbe- oder Analyse-Cookies.
• Überprüfung: Regelmäßige Aktualisierung der eingesetzten Software und Überprüfung der Maßnahmen.

Anlage 2 – Unterauftragsverarbeiter