Präambel & Vertragspartner
Diese Vereinbarung regelt die datenschutzrechtlichen Pflichten der Vertragsparteien bei der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Umfrage-Plattform (nachfolgend "Auftragnehmer") durch den registrierten Kunden (nachfolgend "Auftraggeber").
Der Auftraggeber verarbeitet im Rahmen von Umfragen personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Diese Vereinbarung stellt das Bestehen der gesetzlichen Anforderungen an einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO sicher.
§ 1 Gegenstand, Dauer und Zweck der Verarbeitung
- Gegenstand: Bereitstellung der Software-as-a-Service (SaaS) Plattform zur Erstellung, Durchführung und Auswertung von Online-Umfragen.
- Dauer: Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Nutzungsvertrages (Kunden-Accounts).
- Zweck: Erfassung, Speicherung, Anonymisierung und statistische Auswertung von Antworten der Umfrageteilnehmer im Auftrag des Auftraggebers.
§ 2 Art der Daten & Kategorien betroffener Personen
Art der personenbezogenen Daten:
- Freitext-Antworten und ausgewählte Optionen von Umfrageteilnehmern
- Metadaten (IP-Adresse anonymisiert/pseudonymisiert, Zeitstempel der Teilnahme, User-Agent)
- Kontodaten des Auftraggebers (Name, E-Mail-Adresse, Passwort-Hash, Logfiles)
Kategorien betroffener Personen: Umfrageteilnehmer, Kunden, Mitarbeiter, Öffentlichkeit.
§ 3 Pflichten des Auftragnehmers
- Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (einschließlich bezüglich der Übermittlung).
- Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
- Der Auftragnehmer ergreift alle erforderlichen Sicherheitsmaßnahmen gemäß Art. 32 DSGVO (siehe TOM-Dokument).
- Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Anfragen betroffener Personen zur Wahrnehmung ihrer Rechte (Kapitel III DSGVO).
- Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 DSGVO).
§ 4 Unterauftragsverhältnisse (Subprozessoren)
Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Subprozessoren) einzusetzen. Der Auftragnehmer informiert den Auftraggeber über alle beabsichtigten Änderungen bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern.
Genehmigte Unterauftragnehmer:
- Host Europe / Hetzner Online GmbH (Deutschland): Webhosting & Server-Infrastruktur im ISO 27001 zertifizierten Rechenzentrum.
- Google Ireland Limited (EU): Optionale OAuth2 Authentifizierung (sofern vom Nutzer verwendet).
§ 5 Löschung und Rückgabe von Daten
Nach Beendigung der Erbringung der Verarbeitungsleistungen oder bei Löschung einer Umfrage/Accounts durch den Auftraggeber löscht der Auftragnehmer alle personenbezogenen Daten unverzüglich gemäß dem Löschkonzept (Art. 17 DSGVO), sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.
Digitale Bestätigung & Dokumentation
Dieser Vertrag wird durch die digitale Bestätigung bei der Registrierung oder im Kunden-Dashboard rechtwirksam geschlossen. Die Zustimmung wird mit Zeitstempel, IP-Adresse und AVV-Version im System des Auftragnehmers dokumentiert.