Vereinbarung zur Auftragsverarbeitung (AVV)

Gegenstand sind die Marketingleistungen aus dem Hauptvertrag, insbesondere Social-Media-Betreuung, Content-Produktion, Werbekampagnen, Websites und Eventmarketing.

Die Vereinbarung gilt für die Laufzeit des Hauptvertrags. Ihre Pflichten gelten fort, solange Prime Marketing personenbezogene Daten des Kunden verarbeitet.

Prime Marketing verarbeitet personenbezogene Daten nur, soweit die vereinbarte Leistung es erfordert:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet Prime Marketing nur auf ausdrückliche Weisung des Kunden, zum Beispiel Gesundheitsangaben in Bewerbungen.

Die Verarbeitung findet in der EU und im EWR statt. In ein Drittland übermittelt Prime Marketing Daten nur nach § 5.4.

Prime Marketing verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Hauptvertrag; weitere Weisungen erteilt der Kunde in Textform.

Hält Prime Marketing eine Weisung für rechtswidrig, informiert es den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Eine Verarbeitung ohne Weisung ist nur zulässig, wenn ein Gesetz sie verlangt. Prime Marketing teilt dies dem Kunden vorher mit, soweit das Gesetz es nicht verbietet.

Vertraulichkeit: Alle Personen, die Zugang zu den Daten haben (Mitarbeitende, freie Mitarbeitende, Creator), sind schriftlich zur Vertraulichkeit verpflichtet. Sie erhalten nur Zugriff, soweit ihre Aufgabe es erfordert.

Sicherheit: Prime Marketing trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Es darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

Betroffenenrechte: Prime Marketing unterstützt den Kunden bei Anfragen von Betroffenen (Art. 12–22 DSGVO). Geht eine Anfrage direkt bei Prime Marketing ein, leitet es sie unverzüglich an den Kunden weiter.

Datenschutzverletzungen: Prime Marketing meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

Weitere Unterstützung: Prime Marketing unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde, soweit es um die Verarbeitung im Auftrag geht.

Ansprechpartner: Prime Marketing ist nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Ansprechpartner für den Datenschutz ist Björn Fehse, info@prime-marketing.com.

Prime Marketing führt ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

Über neue oder ersetzte Unterauftragsverarbeiter informiert Prime Marketing den Kunden mindestens 14 Tage vorher in Textform. Der Kunde kann in dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Ist keine Einigung möglich, können beide Parteien die betroffene Leistung kündigen.

Prime Marketing verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das dieser Vereinbarung entspricht.

Daten werden in ein Drittland außerhalb von EU und EWR nur übermittelt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere ein Angemessenheitsbeschluss (zum Beispiel EU-U.S. Data Privacy Framework) oder EU-Standardvertragsklauseln.

Keine Unterauftragsverarbeiter sind Nebenleistungen wie Telekommunikation oder Post sowie die Plattformen, die der Kunde mit eigenem Konto und eigenem Vertrag nutzt (Anlage 3).

Prime Marketing weist dem Kunden auf Anfrage nach, dass es die Pflichten aus dieser Vereinbarung einhält, zum Beispiel durch eine aktuelle Beschreibung der Maßnahmen aus Anlage 1 oder Nachweise der Unterauftragsverarbeiter.

Reicht das nicht aus, kann der Kunde nach Anmeldung mit mindestens 14 Tagen Vorlauf eine Prüfung während der Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Betrieb darf dabei nicht unverhältnismäßig gestört werden.

Den Aufwand einer Prüfung trägt der Kunde, es sei denn, sie deckt einen erheblichen Verstoß von Prime Marketing auf.

Nach dem Ende des Hauptvertrags gibt Prime Marketing die Daten nach Wahl des Kunden zurück oder löscht sie innerhalb von 30 Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Daten in Datensicherungen werden mit dem Ablauf der Sicherungen gelöscht, spätestens nach 30 Tagen.

Zugriffsrechte auf Konten und Plattformen des Kunden gibt Prime Marketing zum Vertragsende zurück bzw. entfernt sie.

Auf Anfrage bestätigt Prime Marketing die Löschung in Textform.

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags und der AGB (§ 14 AGB).

Bei Widersprüchen in Fragen des Datenschutzes geht diese Vereinbarung dem Hauptvertrag und den AGB vor.

Änderungen und Ergänzungen bedürfen der Textform.

Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht; Gerichtsstand wie im Hauptvertrag bzw. in den AGB (§ 17 AGB).