Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Vorabfassung vor dem Verkaufsstart. Der Verkauf ist noch gesperrt; eine Bestellung ist derzeit nicht möglich. Die folgenden Texte beschreiben die vorgesehenen Vertragsregeln ab dem Verkaufsstart und bestätigen keine bereits verfügbaren Bestell-, Kündigungs-, Widerrufs- oder Provisionsabläufe. Die automatische KI-Bearbeitung neuer Supportfälle bleibt bis zur geprüften Anbieteranbindung gesperrt.

Die Schutzmaßnahmen und Anbietervereinbarungen der Anlagen sind vor dem Verkaufsstart nachzuweisen; diese Vorabfassung bestätigt ihre Umsetzung oder ihren Abschluss nicht.

Anlage zu den AGB „Berlzop Website“ für Kunden, die Unternehmer sind. Der benannte KI-Anbieter in Anlage 2 wird vor dem Verkaufsstart festgelegt; bis dahin ist keine Bestellung möglich.

Zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und Daniel Pestow, Berlzop, Steinkauterweg 21, 56112 Lahnstein, Telefon: +49 2621 9189000, E-Mail: kontakt@berlzop.de (Auftragsverarbeiter, „Berlzop“).

1. Gegenstand und Dauer

1.1 Berlzop verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies für Erstellung, Hosting und Pflege seiner Website und den Betrieb seines E-Mail-Postfachs nach den AGB nötig ist.

1.2 Der Vertrag gilt für die Laufzeit des Hauptvertrags und danach, solange Berlzop noch Daten des Auftraggebers verarbeitet.

2. Art, Zweck, Daten und Betroffene

  • Art und Zweck: Speicherung und Auslieferung der Website, Empfang und Speicherung von E-Mails, Verarbeitung von Formular- und Chatnachrichten, Server-Logdateien, Erstellung und Änderung von Inhalten auf Anweisung.
  • Datenarten: Kontakt- und Kommunikationsdaten, Inhalte von Nachrichten und E-Mails, auf der Website veröffentlichte Personendaten, technische Zugriffsdaten (IP-Adresse, Zeitpunkt, Browser).
  • Betroffene: Besucher der Website, Absender und Empfänger von E-Mails, Ansprechpartner und Beschäftigte des Auftraggebers, auf der Website genannte Personen.

3. Weisungen

3.1 Berlzop verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die AGB und Aufträge per Chat oder E-Mail sind solche Weisungen. Ausnahmen gelten nur, soweit Berlzop gesetzlich zur Verarbeitung verpflichtet ist; dann informiert Berlzop vorher, sofern das Gesetz dies erlaubt.

3.2 Hält Berlzop eine Weisung für datenschutzwidrig, weist es den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

4. Vertraulichkeit

Personen, die bei Berlzop Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

5. Sicherheit (Art. 32 DSGVO)

Berlzop trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über geplante Änderungen informiert Berlzop vorab per E-Mail; der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.

6.2 Berlzop verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten und haftet gegenüber dem Auftraggeber für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

6.3 Übermittlungen in Drittländer erfolgen nur auf Weisung des Auftraggebers, die in der Genehmigung nach Anlage 2 liegt, und nur mit einer Grundlage nach Art. 44 ff. DSGVO (etwa Angemessenheitsbeschluss oder Standardvertragsklauseln).

7. Unterstützung des Auftraggebers

Berlzop unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen Betroffener (Art. 12–22 DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO. Anfragen Betroffener, die direkt bei Berlzop eingehen, leitet Berlzop unverzüglich weiter.

8. Datenpannen

Berlzop meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

9. Ende der Verarbeitung

Nach Vertragsende gibt Berlzop die Daten auf Wunsch heraus (Export der Website und des Postfachs) und löscht sie 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Speicherung besteht.

10. Nachweise und Kontrollen

Berlzop stellt dem Auftraggeber die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer nach angemessener Vorankündigung.

Anlage 1: Technische und organisatorische Maßnahmen (Kurzfassung)

  • Server in Deutschland, Zugriff nur über verschlüsselte Verbindungen (TLS, SSH mit Schlüsseln, privates Netz für Betreiberzugänge).
  • Getrennte Kundenbereiche; Kunden sehen nur ihre eigenen Daten.
  • Zugangsdaten und Schlüssel verschlüsselt im Tresor; keine Weitergabe im Chat.
  • Regelmäßige Aktualisierung der Systeme in einem festen Wartungsfenster.
  • Protokollierung von Fehlern und automatische Fehlerbearbeitung, ohne Inhalte der Kundendaten in den Fehlerakten.
  • Datensparsamkeit: KI-Systeme erhalten nur die für den konkreten Auftrag nötigen Inhalte.
  • Regelmäßige Datensicherung mit geprüfter Wiederherstellung.
  • Löschfristen: Chatverläufe 30 Tage, Statistik 90 Tage, Kundendaten 30 Tage nach Vertragsende.

Anlage 2: Unterauftragsverarbeiter

  • netcup GmbH, Karlsruhe — Server (Website, E-Mail), Domainregistrierung; Deutschland; AVV mit netcup.
  • KI-Anbieter für Planung, Texte, Umsetzung und Support: wird vor dem Verkaufsstart mit AVV und Drittlandsgarantie benannt.