Auftragsverarbeitungsvertrag

1. Definitionen

Für die Zwecke dieses Auftragsverarbeitungsvertrags ("AVV") haben die folgenden Begriffe die nachstehend festgelegten Bedeutungen. Großgeschriebene Begriffe, die hier nicht definiert sind, haben die ihnen in den Nutzungsbedingungen zugewiesenen Bedeutungen.

• "Anwendbares Datenschutzrecht" bezeichnet alle Gesetze und Vorschriften im Zusammenhang mit der Verarbeitung personenbezogener Daten, die für die Durchführung dieses AVV gelten, einschließlich, aber nicht beschränkt auf die Datenschutz-Grundverordnung (EU) 2016/679 ("DSGVO"), die Datenschutz-Grundverordnung des Vereinigten Königreichs ("UK GDPR"), den California Consumer Privacy Act ("CCPA") sowie alle sonstigen anwendbaren nationalen, staatlichen oder regionalen Datenschutzgesetze, jeweils in ihrer gültigen, ersetzten oder abgelösten Fassung.
• "Verantwortlicher" bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Für die Zwecke dieses AVV ist der Verantwortliche der Kunde.
• "Auftragsverarbeiter" bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Für die Zwecke dieses AVV ist der Auftragsverarbeiter VENTRYA LTD, a company incorporated in England and Wales under company number 16505638, with its registered office at 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom, trading as Mail.Land ("MailLand").
• "Betroffene Person" bezeichnet eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten im Rahmen dieses AVV verarbeitet werden. Eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
• "Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine betroffene Person beziehen und von MailLand im Auftrag des Kunden im Zusammenhang mit der Erbringung der Dienste verarbeitet werden.
• "Verarbeitung" bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, einschließlich, aber nicht beschränkt auf das Erheben, Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
• "Unterauftragsverarbeiter" bezeichnet jeden von MailLand (oder einem nachfolgenden Unterauftragsverarbeiter) beauftragten Dritten, der personenbezogene Daten im Auftrag des Kunden im Zusammenhang mit den Diensten verarbeitet.
• "Datenpanne" bezeichnet eine Verletzung der Sicherheit, die zur zufälligen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, die von MailLand oder seinen Unterauftragsverarbeitern im Zusammenhang mit der Erbringung der Dienste übermittelt, gespeichert oder anderweitig verarbeitet werden.
• "Standardvertragsklauseln" ("SCCs") bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer, die von der Europäischen Kommission gemäß dem Durchführungsbeschluss (EU) 2021/914 angenommen wurden, in ihrer jeweils gültigen, ersetzten oder abgelösten Fassung.

2. Geltungsbereich und Rollen

Dieser AVV gilt für die Verarbeitung personenbezogener Daten durch MailLand im Auftrag des Kunden im Zusammenhang mit der Erbringung von E-Mail-Zustellungs- und damit verbundenen Diensten (die "Dienste"), wie in den Nutzungsbedingungen beschrieben. Dieser AVV ergänzt die Nutzungsbedingungen und ist ein integraler Bestandteil davon.

Der Kunde handelt als Verantwortlicher und MailLand als Auftragsverarbeiter in Bezug auf die im Rahmen dieses AVV verarbeiteten personenbezogenen Daten. Jede Partei erfüllt ihre jeweiligen Verpflichtungen nach dem anwendbaren Datenschutzrecht.

Im Falle eines Widerspruchs oder einer Inkonsistenz zwischen diesem AVV und den Nutzungsbedingungen haben die Bestimmungen dieses AVV in Bezug auf Angelegenheiten im Zusammenhang mit der Verarbeitung personenbezogener Daten Vorrang.

3. Pflichten des Kunden

Der Kunde als Verantwortlicher sichert zu, gewährleistet und verpflichtet sich, dass:

1. Der Kunde eine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten gemäß dem anwendbaren Datenschutzrecht festgelegt hat und aufrechterhalten wird, einschließlich, aber nicht beschränkt auf die Einholung aller erforderlichen Einwilligungen oder die Festlegung einer anderen geeigneten Rechtsgrundlage vor der Übermittlung personenbezogener Daten an die Dienste.
2. Alle an MailLand übermittelten personenbezogenen Daten richtig, vollständig und aktuell sind und der Kunde angemessene Schritte unternimmt, um die fortlaufende Richtigkeit dieser Daten sicherzustellen.
3. Der Kunde betroffenen Personen alle erforderlichen Datenschutzhinweise und -informationen gemäß dem anwendbaren Datenschutzrecht bereitgestellt hat, einschließlich Informationen über die Nutzung von MailLand als Auftragsverarbeiter für E-Mail-Zustellungszwecke.
4. Der Kunde die volle Befugnis hat, MailLand anzuweisen, die personenbezogenen Daten wie in diesem AVV und den Nutzungsbedingungen vorgesehen zu verarbeiten.
5. Der Kunde bei der Nutzung der Dienste und bei allen an MailLand erteilten Verarbeitungsanweisungen das gesamte anwendbare Datenschutzrecht einhalt.
6. Der Kunde MailLand keine sensiblen Daten oder besonderen Kategorien personenbezogener Daten (wie in Article 9 der DSGVO definiert) zur Verfügung stellt, übermittelt oder anderweitig zugänglich macht, es sei denn, die Parteien haben eine gesonderte schriftliche Vereinbarung getroffen, die die Verarbeitung solcher Daten ausdrücklich regelt.

4. Pflichten von MailLand

Als Auftragsverarbeiter erfüllt MailLand die folgenden Verpflichtungen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen dieses AVV:

1. Verarbeitung nach Weisungen. MailLand verarbeitet personenbezogene Daten nur auf dokumentierte Weisungen des Kunden, einschließlich der in den Nutzungsbedingungen und diesem AVV beschriebenen, es sei denn, die Verarbeitung ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats, dem MailLand unterliegt, erforderlich. In diesem Fall informiert MailLand den Kunden vor der Verarbeitung über diese gesetzliche Anforderung, es sei denn, dieses Recht verbietet eine solche Benachrichtigung aus wichtigen Gründen des öffentlichen Interesses.
2. Vertraulichkeit. MailLand stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Mitarbeiter sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugang zu personenbezogenen Daten wird auf die Mitarbeiter beschränkt, die diesen Zugang zur Erbringung der Dienste benötigen.
3. Sicherheitsmaßnahmen. MailLand setzt geeignete technische und organisatorische Sicherheitsmaßnahmen gemäß Article 32 der DSGVO um und hält diese aufrecht, wie in Abschnitt 5 dieses AVV näher beschrieben, um personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor zufälligem Verlust, Vernichtung oder Beschädigung zu schützen.
4. Einbindung von Unterauftragsverarbeitern. MailLand beauftragt keinen Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten ohne vorherige allgemeine oder spezifische schriftliche Genehmigung des Kunden, vorbehaltlich der Bestimmungen in Abschnitt 8 dieses AVV.
5. Rechte betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt MailLand den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Pflicht des Kunden, auf Anfragen betroffener Personen zur Ausübung ihrer Rechte nach dem anwendbaren Datenschutzrecht zu reagieren (einschließlich der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenubertragbarkeit und Widerspruch).
6. Datenschutz-Folgenabschatzungen. MailLand leistet dem Kunden angemessene Unterstützung bei Datenschutz-Folgenabschatzungen und vorherigen Konsultationen mit Aufsichtsbehörden, soweit dies nach den Articles 35 und 36 der DSGVO erforderlich ist, unter Berücksichtigung der Art der Verarbeitung und der MailLand zur Verfügung stehenden Informationen.
7. Löschung oder Rückgabe von Daten. Nach Beendigung oder Ablauf der Dienste wird MailLand auf schriftliche Anweisung und nach Wahl des Kunden alle personenbezogenen Daten innerhalb von dreißig (30) Tagen löschen oder an den Kunden zurückgeben und vorhandene Kopien löschen, es sei denn, die Aufbewahrung ist nach geltendem Recht erforderlich. Soweit eine gesetzliche Aufbewahrung erforderlich ist, beschränkt MailLand die Verarbeitung dieser aufbewahrten Daten ausschließlich auf den gesetzlich vorgeschriebenen Zweck.
8. Prüfung und Compliance. MailLand stellt dem Kunden alle vernünftigerweise erforderlichen Informationen zum Nachweis der Einhaltung der in diesem AVV und nach Article 28 der DSGVO festgelegten Verpflichtungen zur Verfügung und ermöglicht und trägt zu Audits, einschließlich Inspektionen, bei, die vom Kunden oder einem vom Kunden beauftragten Prüfer durchgeführt werden. Solche Audits erfordern eine angemessene vorherige Ankündigung von mindestens dreißig (30) Tagen, werden während der normalen Geschäftszeiten durchgeführt und dürfen den Geschäftsbetrieb von MailLand nicht unangemessen beeinträchtigen.
9. Benachrichtigung über Rechtsverstöße. MailLand informiert den Kunden unverzüglich, wenn nach Ansicht von MailLand eine vom Kunden erteilte Weisung gegen anwendbares Datenschutzrecht verstößt. MailLand kann die Ausführung der betreffenden Weisung aussetzen, bis der Kunde diese bestätigt oder ändert.

5. Sicherheitsmaßnahmen

MailLand setzt die folgenden technischen und organisatorischen Sicherheitsmaßnahmen zum Schutz personenbezogener Daten gemäß Article 32 der DSGVO um und hält diese aufrecht. Diese Maßnahmen sind darauf ausgelegt, ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung.

6. Benachrichtigung über Datenpannen

Im Falle einer Datenpanne erfüllt MailLand die folgenden Benachrichtigungs- und Kooperationspflichten:

1. Rechtzeitige Benachrichtigung. MailLand benachrichtigt den Kunden über eine Datenpanne unverzüglich und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden, nachdem MailLand von der Datenpanne Kenntnis erlangt hat. Die Benachrichtigung wird an den vom Kunden benannten Sicherheitskontakt oder, falls kein solcher benannt wurde, an den primären Kontokontakt des Kunden gerichtet.
2. Inhalt der Benachrichtigung. Die Benachrichtigung enthält, soweit zum Zeitpunkt der Benachrichtigung vernünftigerweise verfügbar:
   • Eine Beschreibung der Art der Datenpanne, einschließlich der Kategorien personenbezogener Daten und der ungefähren Anzahl der betroffenen Personen;
   • Den Namen und die Kontaktdaten der Anlaufstelle bei MailLand, von der weitere Informationen eingeholt werden können;
   • Eine Beschreibung der wahrscheinlichen Folgen der Datenpanne;
   • Eine Beschreibung der von MailLand ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenpanne, einschließlich Maßnahmen zur Minderung möglicher nachteiliger Auswirkungen.
3. Stufenweise Offenlegung. Soweit es nicht möglich ist, alle erforderlichen Informationen innerhalb des Zeitraums von zweiundsiebzig (72) Stunden bereitzustellen, wird MailLand die Informationen in Phasen ohne weitere ungebührliche Verzögerung bereitstellen, sobald sie verfügbar werden.
4. Zusammenarbeit. MailLand wird mit dem Kunden zusammenarbeiten und alle wirtschaftlich angemessenen Schritte unternehmen, um bei der Untersuchung, Schadensbegrenzung und Behebung der Datenpanne zu unterstützen.
5. Dokumentation. MailLand dokumentiert alle Datenpannen, einschließlich der Fakten im Zusammenhang mit der Datenpanne, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen, und stellt diese Dokumentation dem Kunden und auf Anfrage den Aufsichtsbehörden zur Verfügung.

7. Internationale Datenübermittlungen

Im Rahmen dieses AVV verarbeitete personenbezogene Daten können in Länder ausserhalb des Europäischen Wirtschaftsraums ("EWR") und des Vereinigten Königreichs ("UK") übermittelt und dort verarbeitet werden. MailLand stellt sicher, dass jede solche Übermittlung in Übereinstimmung mit dem anwendbaren Datenschutzrecht durchgeführt wird und geeigneten Schutzmaßnahmen unterliegt, wie folgt:

8. Unterauftragsverarbeiter

Der Kunde erteilt hiermit eine allgemeine schriftliche Genehmigung für MailLand, Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Erbringung der Dienste zu beauftragen, vorbehaltlich der folgenden Bedingungen:

1. Liste der Unterauftragsverarbeiter. MailLand führt eine aktuelle Liste der Unterauftragsverarbeiter, die in Anlage A unten aufgeführt ist.
2. Vorherige Benachrichtigung. MailLand benachrichtigt den Kunden mindestens dreißig (30) Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters. Die Benachrichtigung enthält die Identität des vorgeschlagenen Unterauftragsverarbeiters, die Art der durchzuführenden Verarbeitung und den Verarbeitungsort.
3. Widerspruchsrecht. Der Kunde kann der Bestellung eines neuen Unterauftragsverarbeiters widersprechen, indem er MailLand innerhalb von dreißig (30) Tagen nach Erhalt der Benachrichtigung schriftlich darüber informiert. Der Widerspruch muss auf berechtigten datenschutzbezogenen Gründen beruhen. MailLand wird wirtschaftlich angemessene Anstrengungen unternehmen, um den Widerspruch des Kunden zu berücksichtigen. Können die Parteien den Widerspruch nicht innerhalb eines angemessenen Zeitrahmens beilegen, kann der Kunde die betroffenen Dienste ohne Strafgebühren kündigen, indem er MailLand schriftlich darüber informiert.
4. Vertragliche Verpflichtungen. MailLand auferlegt jedem Unterauftragsverarbeiter durch einen schriftlichen Vertrag Datenschutzpflichten, die mindestens das gleiche Schutzniveau für personenbezogene Daten bieten wie in diesem AVV festgelegt.
5. Haftung. MailLand bleibt dem Kunden gegenüber für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters in Bezug auf die Verarbeitung personenbezogener Daten in vollem Umfang verantwortlich.

9. Laufzeit und Kündigung

Dieser AVV tritt an dem Tag in Kraft, an dem der Kunde den Nutzungsbedingungen zustimmt, und bleibt für die Dauer des Dienstleistungsvertrags zwischen dem Kunden und MailLand in Kraft.

10. Anwendbares Recht

Dieser AVV unterliegt dem Recht, das die Nutzungsbedingungen regelt, insbesondere dem Recht von England und Wales, und ist nach diesem auszulegen. Für alle Streitigkeiten aus oder in Verbindung mit diesem AVV sind gemäß Abschnitt 15 der Nutzungsbedingungen ausschließlich die Gerichte von England und Wales zuständig.

Ungeachtet des Vorstehenden gilt, soweit Angelegenheiten im Rahmen dieses AVV der DSGVO unterliegen, das Recht des EU-Mitgliedstaats, in dem der Kunde seinen Sitz hat, für diese Angelegenheiten. Soweit Angelegenheiten im Rahmen dieses AVV der UK GDPR unterliegen, gilt das Recht von England und Wales für diese Angelegenheiten.

Alle Streitigkeiten, die sich aus oder im Zusammenhang mit diesem AVV ergeben, werden gemäß den Streitbeilegungsbestimmungen der Nutzungsbedingungen beigelegt.