Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch max2 im Auftrag des Kunden im Rahmen des Betreuungs-Abonnements „max2 BewertungsImpuls“. Die Verarbeitung umfasst insbesondere das Monitoring von Bewertungen im Google-Unternehmensprofil des Kunden sowie die Unterstützung bei der Erstellung und, soweit vereinbart, Veröffentlichung von Antworten auf diese Bewertungen im Namen des Kunden.

(2) Die Verarbeitung erfolgt für die Dauer des zwischen den Parteien bestehenden Betreuungs-Abonnements. Mit Beendigung des Hauptvertrags endet auch dieser AVV, vorbehaltlich der in § 11 geregelten Löschungs- und Rückgabepflichten.

(1) Art der Verarbeitung: Erheben, Erfassen, Sichten, Auswerten, Beantworten und, soweit vereinbart, Veröffentlichen von Bewertungstexten sowie damit verbundenen Metadaten im Rahmen des Google-Unternehmensprofils des Kunden.

(2) Zweck der Verarbeitung: Unterstützung des Kunden bei der Beobachtung und Beantwortung von Kundenbewertungen zur Pflege seiner öffentlichen Reputation. max2 verarbeitet die Daten ausschließlich zu diesem vom Kunden vorgegebenen Zweck, nicht zu eigenen Zwecken.

Gegenstand der Verarbeitung sind insbesondere:

• Bewertungstexte (Freitext der Rezension),
• Namen bzw. Profilbezeichnungen der bewertenden Personen, soweit von diesen bei Google hinterlegt,
• ggf. Profilbilder der bewertenden Personen, soweit öffentlich bei Google sichtbar,
• Bewertungsdatum, Sternebewertung, ggf. Antworten des Kunden oder von max2,
• vom Kunden zur Beantwortung bereitgestellte Kontextinformationen zu einzelnen Bewertungen.

Sollte eine Bewertung Gesundheitsdaten oder sonstige Daten besonderer Kategorien nach Art. 9 DSGVO enthalten, gelten ergänzend die Besonderen Bedingungen für Praxen (separates Dokument, siehe Verweis unten).

Betroffene Personen sind Personen, die eine Bewertung im Google-Unternehmensprofil des Kunden abgegeben haben oder auf eine solche Bewertung durch den Kunden oder durch max2 im Namen des Kunden eine Antwort erhalten (Rezensentinnen und Rezensenten des Kunden).

(1) Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er trägt die alleinige Verantwortung für die Rechtmäßigkeit der Datenverarbeitung im Sinne des Art. 6 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen.

(2) Der Kunde ist berechtigt, max2 jederzeit weitere Weisungen zu Art und Umfang der Verarbeitung zu erteilen, insbesondere zur Freigabe, Änderung oder Ablehnung einzelner Antworttexte.

(3) Der Kunde entscheidet, ob max2 Antworten lediglich als Entwurf vorbereitet oder im Namen des Kunden unmittelbar veröffentlicht. Der jeweilige Freigabeprozess wird in der Leistungsbeschreibung zum Betreuungs-Abonnement festgelegt.

(1) max2 verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, max2 ist durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem max2 unterliegt, zu einer anderweitigen Verarbeitung verpflichtet; in einem solchen Fall teilt max2 dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Ist max2 der Auffassung, dass eine Weisung des Kunden gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt, informiert max2 den Kunden unverzüglich.

max2 verpflichtet sich, alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit zu verpflichten oder sicherzustellen, dass diese Personen einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch über das Ende des jeweiligen Beschäftigungsverhältnisses oder der jeweiligen Tätigkeit hinaus fort.

max2 trifft die erforderlichen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die konkreten Maßnahmen sind in [Anlage TOM] aufgeführt und Bestandteil dieses Vertrags.

(1) Der Kunde erteilt max2 die allgemeine Genehmigung, zur Erbringung der vertraglichen Leistungen weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen.

(2) max2 informiert den Kunden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern, wodurch der Kunde die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

(3) max2 verpflichtet jeden Unterauftragsverarbeiter im Wege einer Vereinbarung zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.

(4) Klarstellung zur Stellung von Google: Google ist im Rahmen der Nutzung des Google-Unternehmensprofils NICHT Unterauftragsverarbeiter von max2. Soweit personenbezogene Daten über Dienste von Google verarbeitet werden, unterliegt die eigenständige Datenverarbeitung durch Google den jeweils geltenden Bedingungen und Datenschutzbestimmungen von Google. Google wird durch diesen Vertrag nicht generell zum Unterauftragsverarbeiter der max2-consulting GmbH. Die datenschutzrechtliche Beziehung zwischen dem Kunden und Google im Rahmen des Google-Unternehmensprofils richtet sich nach den von Google bereitgestellten eigenen Nutzungs- und Datenschutzbedingungen, insbesondere den von Google benannten Controller-Controller Data Protection Terms, soweit diese Anwendung finden.

(1) max2 unterstützt den Kunden im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Personen (Art. 12 bis 23 DSGVO).

(2) max2 unterstützt den Kunden bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und an betroffene Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der max2 zur Verfügung stehenden Informationen.

(3) Wird max2 eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Verarbeitung nach diesem Vertrag bekannt, informiert max2 den Kunden hierüber unverzüglich, nach Kenntniserlangung in der Regel innerhalb von 24 Stunden.

Nach Beendigung des Betreuungs-Abonnements löscht max2 nach Wahl des Kunden alle personenbezogenen Daten, die im Rahmen dieses Vertrags verarbeitet wurden, oder gibt sie dem Kunden zurück, und löscht vorhandene Kopien, soweit nicht eine gesetzliche Verpflichtung zur weiteren Speicherung der personenbezogenen Daten besteht. Die Löschung bzw. Rückgabe erfolgt innerhalb von 30 Tagen nach Vertragsende.

(1) max2 stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) max2 ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Der Kunde kündigt eine solche Überprüfung mit angemessener Frist an und nimmt auf den laufenden Geschäftsbetrieb von max2 Rücksicht.

Für Kunden aus Heilberufen gelten zusätzlich die Besonderen Bedingungen für Praxen (separates Dokument).

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Es gilt deutsches Recht.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.