Auftrags­verarbeitung

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des Dienstes „Taitles" und ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags (AGB).

§ 1 Parteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (das Fitnessstudio bzw. der buchende Betrieb).

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:
Xtreeem Beteiligungsgesellschaft UG (haftungsbeschränkt)
Borkener Str. 64
46284 Dorsten
Deutschland

§ 2 Gegenstand, Art & Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung des vertraglich vereinbarten Music-Streaming-Dienstes (Bereitstellung von Nutzerkonten, Authentifizierung, Wiedergabe, Nutzungs-/Stream-Statistiken, Abrechnung) für den Verantwortlichen. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen.

§ 3 Dauer

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung.

§ 4 Art der Daten & Kategorien betroffener Personen

Verarbeitete Datenarten: Stammdaten der Nutzer (Name, E-Mail-Adresse, Rolle), Zugangsdaten, Nutzungs-/Wiedergabedaten (gehörte Titel, Stream-Zeitpunkte, Statistiken).

Kategorien betroffener Personen: Mitarbeitende und berechtigte Nutzer des Verantwortlichen.

§ 5 Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO);
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29);
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 (siehe Anlage 1);
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23) und bei den Pflichten aus Art. 32–36;
• Löschung oder Rückgabe aller Daten nach Abschluss der Leistung nach Wahl des Verantwortlichen;
• Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen.

§ 6 Technische & organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter unterhält angemessene Maßnahmen zur Sicherheit der Verarbeitung. Die konkreten Maßnahmen sind in Anlage 1 beschrieben: TLS-/HTTPS-Verschlüsselung sämtlicher Verbindungen; rollenbasierte Zugriffskontrolle (Admin/Manager/Studio/Nutzer); Passwörter ausschließlich gehasht gespeichert; Hosting ausschließlich in Rechenzentren innerhalb der EU (Deutschland); regelmäßige Datenbank-Backups; Protokollierung sicherheitsrelevanter Zugriffe; Zugriff auf Produktivsysteme nur für autorisiertes Personal.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz von Unterauftragsverarbeitern zu. Diese sind in Anlage 2 aufgeführt und werden sorgfältig ausgewählt und vertraglich nach Art. 28 verpflichtet. Über beabsichtigte Änderungen wird der Verantwortliche informiert und kann widersprechen.

Aktuell eingesetzte Unterauftragsverarbeiter (Anlage 2): Hetzner Online GmbH, Gunzenhausen, Deutschland (Hosting/Infrastruktur, EU); Stripe Payments Europe, Ltd., Dublin, Irland (Zahlungsabwicklung); ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, Deutschland (E-Mail-Versand).

§ 8 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen, und leitet an ihn gerichtete Anträge unverzüglich weiter.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO) und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten.

§ 10 Löschung & Rückgabe

Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 11 Nachweise & Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen.

§ 12 Haftung & Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Im Übrigen gelten die Haftungs- und Schlussbestimmungen des Hauptvertrags (AGB) entsprechend. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.