Fassung 0.1-entwurf · Entwurf, noch nicht in Kraft
Vertrag über die Auftragsverarbeitung
Verantwortlicher: der Kunde laut Digipost-Konto — im Folgenden „Auftraggeber"
Auftragsverarbeiter: [Firma und Rechtsform des Lettershops], [Straße Hausnummer], [PLZ] Hardheim — im Folgenden „Auftragnehmer"
1. Gegenstand
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die Digipost-Leistungen nach dem Hauptvertrag zu erbringen. Dieser Vertrag gilt, solange der Hauptvertrag besteht.
2. Art der Verarbeitung
Annahme, Erfassung, Öffnen, Scannen, Texterkennung, Speicherung und Bereitstellung eingehender Briefsendungen; Druck, Kuvertierung und Versand ausgehender Dokumente; Verwahrung und Vernichtung von Originalen.
3. Betroffene Personen und Datenarten
- Betroffene: Absender und Empfänger von Briefsendungen, in Dokumenten genannte Personen, Beschäftigte und Nutzer des Auftraggebers.
- Datenarten: Namen, Anschriften, Kommunikationsdaten und alle Daten, die in Briefen und hochgeladenen Dokumenten enthalten sind. [Besondere Kategorien — Festlegung durch den Anbieter]
4. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Einstellungen im Digipost-Konto gelten als Weisung. Weitere Weisungen erteilt der Auftraggeber in Textform.
5. Vertraulichkeit
Alle Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
6. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen und passt sie dem Stand der Technik an, ohne das vereinbarte Schutzniveau zu unterschreiten.
7. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der in der Unterauftragsverarbeiter-Liste genannten Dienstleister zu. Über geplante Änderungen informiert der Auftragnehmer mindestens [Frist] vorher; der Auftraggeber kann aus wichtigem Grund widersprechen.
8. Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen im Rahmen seiner Möglichkeiten.
9. Meldung von Verletzungen
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis.
10. Löschung und Rückgabe
Nach Ende des Hauptvertrags löscht der Auftragnehmer die Daten bzw. gibt sie nach Wahl des Auftraggebers heraus, soweit keine Pflicht zur Aufbewahrung besteht. Originale werden zugestellt oder vernichtet.
11. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung.
Anlage 1 — Technische und organisatorische Maßnahmen
[Beschreibung der Maßnahmen: Zutritt, Zugang, Zugriff, Weitergabe, Eingabe, Verfügbarkeit, Trennung, Verschlüsselung]