Auftragsverarbeitungsvertrag

1. Begriffsbestimmungen

„Personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die in der DSGVO angegebene Bedeutung. „Plattformdaten“ bezeichnet die personenbezogenen Daten der Kunden, die dem Auftragsverarbeiter über die Plattform zum Zweck der Ausführung eines Auftrags zur Verfügung gestellt werden.

2. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet die Plattformdaten im Auftrag des Verantwortlichen für die Dauer des Auftragnehmervertrags und danach nur insoweit, wie dies zur Einhaltung von Abschnitt 10 (Rückgabe oder Löschung von Daten) erforderlich ist.

3. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Plattformdaten ausschließlich zur Erbringung der von Kunden über die Plattform angeforderten Abfallsammel- und verwandten Dienstleistungen, einschließlich Terminplanung, Standortzugang, Abholdurchführung und Nachweisdokumentation.

4. Kategorien betroffener Personen

• Kunden, die Abholanfragen stellen.
• Personen, die an einer Abholadresse anwesend sind (z. B. Gebäudebewohner), in dem begrenzten Umfang, in dem ihre Daten beiläufig in Abholnachweisen erscheinen.

5. Kategorien personenbezogener Daten

Es ist nicht beabsichtigt, besondere Kategorien von Daten (Art. 9 DSGVO) zu verarbeiten. Wird dem Auftragsverarbeiter bekannt, dass beiläufig Daten besonderer Kategorien erfasst wurden, muss er den Verantwortlichen unverzüglich benachrichtigen.

• Identifikationsdaten: Name, Telefonnummer.
• Standortdaten: Abholadresse und, sofern zutreffend, Standortkennung oder Zugangshinweise.
• Visuelle Daten: Vorher-/Nachher-Fotos des Abholstandorts.
• Auftragsbezogene Daten: Abfalleinstufung, Menge, über die Auftragsnachrichten ausgetauschte Notizen.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

• verarbeitet die Plattformdaten nur auf dokumentierte Weisung des Verantwortlichen, sofern nicht das Recht der EU oder eines Mitgliedstaats etwas anderes verlangt;
• stellt sicher, dass die zur Verarbeitung der Plattformdaten befugten Personen einer Vertraulichkeitspflicht unterliegen;
• setzt geeignete technische und organisatorische Maßnahmen um, um eine dem Risiko angemessene Sicherheit zu gewährleisten (Anhang 2);
• zieht keinen Unterauftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen hinzu und informiert den Verantwortlichen über jede beabsichtigte Änderung, damit dieser Einspruch erheben kann;
• unterstützt den Verantwortlichen, soweit vernünftigerweise möglich, bei der Beantwortung von Anträgen betroffener Personen zur Wahrnehmung ihrer Rechte;
• unterstützt den Verantwortlichen bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen und Datenschutz-Folgenabschätzungen;
• löscht oder gibt nach Wahl des Verantwortlichen alle Plattformdaten am Ende der Dienstleistungen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung erforderlich sind, und ermöglicht und trägt zu Audits mit angemessener Frist bei.

7. Unterauftragsverarbeiter

Der Auftragsverarbeiter darf Unterauftragsverarbeiter (z. B. beauftragte Teams, Entsorgungs- oder Behandlungsanlagen) nur dann hinzuziehen, wenn dies zur Ausführung eines Auftrags erforderlich ist und sofern diese durch Datenschutzpflichten gebunden sind, die nicht weniger schützend sind als die in diesem AVV. Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter voll verantwortlich.

8. Internationale Übermittlungen

Der Auftragsverarbeiter übermittelt Plattformdaten nicht ohne vorherige schriftliche Zustimmung des Verantwortlichen und, sofern erforderlich, ohne einen geeigneten Übermittlungsmechanismus (z. B. Standardvertragsklauseln) außerhalb des Europäischen Wirtschaftsraums.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Kenntniserlangung über jede Verletzung des Schutzes personenbezogener Daten, die Plattformdaten betrifft, und stellt ausreichende Informationen bereit, damit der Verantwortliche seine Pflichten nach den Artikeln 33 und 34 DSGVO erfüllen kann.

10. Rückgabe oder Löschung von Daten

Innerhalb von 30 Tagen nach Beendigung des Auftragnehmervertrags oder früher auf Verlangen des Verantwortlichen löscht oder gibt der Auftragsverarbeiter alle in seinem Besitz befindlichen Plattformdaten zurück und bestätigt die Löschung auf Verlangen schriftlich, sofern keine gesetzliche Aufbewahrungspflicht besteht.

11. Haftung

Jede Partei haftet für Schäden, die durch eine gegen die DSGVO verstoßende Verarbeitung verursacht werden, nur dann, wenn sie den speziell an Auftragsverarbeiter gerichteten Pflichten nicht nachgekommen ist oder außerhalb der bzw. entgegen den rechtmäßigen Weisungen des Verantwortlichen gehandelt hat. Nichts beschränkt die Haftung einer Partei gegenüber betroffenen Personen nach Artikel 82 DSGVO.

12. Laufzeit und anwendbares Recht

Dieser AVV tritt zum selben Zeitpunkt wie der Auftragnehmervertrag in Kraft und bleibt so lange in Kraft, wie der Auftragsverarbeiter Plattformdaten im Auftrag des Verantwortlichen verarbeitet. Er unterliegt dem Recht des Großherzogtums Luxemburg.

Anhang 2 — Technische und organisatorische Sicherheitsmaßnahmen

• Der Zugang zu Plattformdaten ist auf Personal beschränkt, das ihn zur Ausführung des jeweiligen Auftrags benötigt.
• Zum Zugriff auf die Plattform verwendete Geräte müssen durch einen Passcode oder eine biometrische Sperre geschützt sein.
• Fotos und Notizen dürfen nur über die Plattform eingereicht und nicht länger lokal gespeichert werden, als es zum Abschluss des Auftrags erforderlich ist.
• Unverzügliche Meldung verlorener oder gestohlener Geräte, die Plattformdaten enthalten haben könnten.
• Einhaltung der Vertraulichkeitspflichten in Abschnitt 10 des Auftragnehmervertrags.