gemäß Art. 28 DSGVO, zwischen dem Kunden von SmoovOps ("Verantwortlicher") und der ··· ("Auftragsverarbeiter")
Dieser Auftragsverarbeitungsvertrag ("Vertrag" oder "AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung von SmoovOps und ergänzt die Allgemeinen Geschäftsbedingungen (AGB) zwischen den Parteien. Er gilt für sämtliche Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung von SmoovOps vornimmt.
Im Fall von Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV in Bezug auf die Verarbeitung personenbezogener Daten vor.
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SmoovOps-Anwendung, insbesondere der Module Partner (CRM), Produktkatalog, Verträge, Dokumente (einschließlich Rechnungen, Angebote, Lieferscheine, Briefe und Belege), Notizen, Zahlungen und Dashboard.
(2) Einzelheiten zu Art, Umfang und Zweck der Verarbeitung, der Art der personenbezogenen Daten sowie der Kategorien betroffener Personen ergeben sich aus Anlage 1.
(3) Die Laufzeit dieses Vertrags entspricht der Laufzeit des zwischen den Parteien bestehenden Hauptvertrags (Nutzungsvertrag über SmoovOps gemäß AGB). Er endet automatisch mit Beendigung des Hauptvertrags, vorbehaltlich fortbestehender Pflichten nach § 10.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zur Verarbeitung verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Nutzung von SmoovOps gemäß der vertraglich vereinbarten Funktionen sowie die vom Verantwortlichen über die Benutzeroberfläche vorgenommenen Konfigurationen und Dateneingaben gelten als Weisung im Sinne dieses Vertrags. Darüberhinausgehende Weisungen bedürfen der Textform (z. B. E-Mail an ···).
(3) Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für rechtswidrig, informiert er den Verantwortlichen unverzüglich hierüber. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Personen nur im erforderlichen Umfang Zugang zu den betreffenden personenbezogenen Daten haben.
(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten.
(2) Der Auftragsverarbeiter ist berechtigt, die TOM anzupassen, sofern das ursprünglich vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.
Der Auftragsverarbeiter verpflichtet sich, unter Berücksichtigung der Art der Verarbeitung, den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Erhält der Auftragsverarbeiter eine solche Anfrage direkt von einer betroffenen Person, leitet er diese unverzüglich an den Verantwortlichen weiter, ohne sie selbst zu beantworten, sofern der Verantwortliche nichts anderes weisungsgemäß festlegt.
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (u. a. Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung).
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden.
(2) Die Meldung enthält, soweit dem Auftragsverarbeiter bekannt, mindestens die Angaben gemäß Art. 33 Abs. 3 DSGVO und wird an die im Kundenkonto hinterlegte Kontaktadresse übermittelt.
(3) Der Verantwortliche bleibt für die Beurteilung, ob eine Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO bzw. eine Benachrichtigungspflicht gegenüber betroffenen Personen nach Art. 34 DSGVO besteht, sowie für die entsprechende Umsetzung selbst verantwortlich.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern im Sinne von Art. 28 Abs. 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens 14 Tagen vor der geplanten Änderung, z. B. per E-Mail oder über das Kundenkonto bzw. eine entsprechende Statusseite. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus berechtigtem, sachlich nachvollziehbarem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
(3) Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in diesem Vertrag vereinbarten Pflichten gleichwertig sind, insbesondere hinsichtlich angemessener technischer und organisatorischer Maßnahmen.
(4) Sofern Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, stellt der Auftragsverarbeiter sicher, dass hierfür geeignete Garantien im Sinne der Art. 44 ff. DSGVO vorliegen (z. B. Angemessenheitsbeschluss der EU-Kommission oder EU-Standardvertragsklauseln).
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt hierzu bei.
(2) Nachweise können, soweit ausreichend, auch durch die Vorlage aktueller Zertifizierungen, Testate oder Auditberichte unabhängiger Prüfer (z. B. zu vom Auftragsverarbeiter genutzten Hosting-Anbietern) erbracht werden, sofern diese eine Beurteilung der Einhaltung der in diesem Vertrag vereinbarten Pflichten ermöglichen.
(3) Vor-Ort-Kontrollen sind mit angemessenem Vorlauf (mindestens 2 Wochen) schriftlich anzukündigen und finden während der üblichen Geschäftszeiten statt, ohne den Betrieb des Auftragsverarbeiters unangemessen zu beeinträchtigen. Der Verantwortliche trägt die Kosten einer solchen Kontrolle, sofern diese nicht Anlass für die Feststellung eines erheblichen Verstoßes des Auftragsverarbeiters gegen diesen Vertrag war.
Weisungsbefugt beim Verantwortlichen ist die bei der Registrierung angegebene bzw. im Kundenkonto hinterlegte Kontaktperson. Ansprechpartner beim Auftragsverarbeiter ist:
···
z. Hd. ···
E-Mail: ···
(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
(2) Dem Verantwortlichen wird hierzu die in den AGB (§ 8) beschriebene Exportmöglichkeit für einen Zeitraum von 30 Tagen nach Vertragsende zur Verfügung gestellt. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die verbleibenden Daten, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. für Rechnungsdaten gemäß § 147 AO, § 257 HGB) entgegenstehen.
(1) Es gelten die gesetzlichen Haftungsregelungen der Art. 82, 28 Abs. 10 sowie Art. 83 DSGVO.
(2) Im Übrigen gelten die in den AGB vereinbarten Haftungsbeschränkungen entsprechend, soweit dem nicht zwingende gesetzliche Vorgaben der DSGVO entgegenstehen.
(1) Änderungen und Ergänzungen dieses Vertrags sowie aller seiner Bestandteile – einschließlich etwaiger Zusicherungen des Auftragsverarbeiters – bedürfen einer schriftlichen oder elektronisch dokumentierten Vereinbarung.
(2) Bei Widersprüchen zwischen diesem AVV und Regelungen aus sonstigen Vereinbarungen zwischen den Parteien, insbesondere den AGB, gehen die Regelungen dieses AVV im Hinblick auf datenschutzrechtliche Fragestellungen vor.
(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.
(4) Es gilt das Recht der Bundesrepublik Deutschland.
Bereitstellung der SmoovOps-Anwendung als Software-as-a-Service über die Vertragslaufzeit des Hauptvertrags.
Erfassung, Speicherung, Organisation, Anzeige, Änderung, Export und Löschung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung der folgenden SmoovOps-Module einträgt bzw. hochlädt:
| Unterauftragsverarbeiter | Leistung | Verarbeitungsort | Garantie bei Drittlandtransfer |
|---|---|---|---|
| Amazon Web Services (AWS) | Hosting, Infrastruktur (u. a. AWS Lambda, DynamoDB, S3) sowie Content Delivery/Angriffsschutz (CloudFront, WAF) | eu-central-1 (Frankfurt am Main); WAF-WebACL aus technischen Gründen in us-east-1 (Nord-Virginia) verwaltet, verarbeitet dort nur Anfragemetadaten | EU-US Data Privacy Framework (Zertifizierung), ergänzend EU-Standardvertragsklauseln als Rückfallmechanismus |
| Stripe Payments Europe, Ltd. (ggf. verbundenes Unternehmen Stripe, Inc., USA) | Zahlungsabwicklung | Dublin, Irland (Stripe, Inc.: USA) | EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO |
| Amazon Web Services (AWS SES) | Versand von Transaktions-E-Mails | eu-central-1 (Frankfurt am Main) | entfällt (EU-Region) |
Stand: 29.07.2026