Vereinbarung zur Auftragsverarbeitung

Gegenstand ist die Verarbeitung von Redaktions- und Nutzerdaten im Rahmen der Bereitstellung der Plattform. Die Dauer entspricht der Laufzeit des Hauptvertrags.

Speichern, Ordnen, Auswerten und Versenden von Pressemitteilungen an Redaktionen. Kategorien betroffener Personen: Nutzende der Plattform und Redaktionskontakte.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich einer Übermittlung in Drittländer, es sei denn, er ist hierzu nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). Weisungen erfolgen in Textform über die Plattform oder an info@bvsv-gewerbezentrum.de. Ist eine Weisung nach Auffassung des Auftragsverarbeiters rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht und werden regelmäßig datenschutzrechtlich unterwiesen (Art. 28 Abs. 3 lit. b DSGVO).

Zugriffskontrolle über Mandantentrennung und Rollen, verschlüsselte Übertragung, Protokollierung sicherheitsrelevanter Aktionen, Sperrlisten für Abmeldungen und Bounces.

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der nachstehenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Änderungen werden mindestens 30 Tage vorab mitgeteilt; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall außerordentlich kündigen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 Abs. 4 DSGVO; bei Verarbeitungen außerhalb der EU/des EWR werden die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. ein Angemessenheitsbeschluss zugrunde gelegt.

Supabase Inc. (Datenbank, Auth, Dateispeicher, EU-Region) · Cloudflare Germany GmbH (Hosting, CDN, DNS) · Mailgun Technologies Inc. / Sinch (E-Mail-Versand über notify.pressehub24.de) · Stripe Payments Europe Ltd. (Zahlungsabwicklung) · Digistore24 GmbH (Bestell- und Rechnungsabwicklung)

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 28 Abs. 3 lit. e DSGVO) sowie bei Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 28 Abs. 3 lit. f, Art. 32–36 DSGVO). Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, in der Regel binnen 24 Stunden nach Kenntnis, mit allen zur Meldung nach Art. 33, 34 DSGVO erforderlichen Angaben. Er stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen nach angemessener Vorankündigung (Art. 28 Abs. 3 lit. h DSGVO).

Nach Beendigung des Vertrags werden die verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Export gespeicherter Daten ist innerhalb von 30 Tagen nach Vertragsende möglich; danach erfolgt die Löschung einschließlich Backups im Rahmen der regulären Backup-Zyklen. Einträge der Sperr-/Suppressionsliste bleiben zum Schutz der betroffenen Personen bestehen.

Weisungsrecht, Kontrollrechte, Unterstützung bei Betroffenenanfragen sowie Löschung oder Rückgabe der Daten nach Vertragsende.