Auftragsverarbeitung

Worum es geht

Wenn Folocy für Sie Bewerbungen oder Anfragen von Interessenten entgegennimmt, Bewerber oder Interessenten anruft und an Sie übergibt, verarbeitet Folocy personenbezogene Daten in Ihrem Auftrag. Die DSGVO verlangt dafür einen Vertrag über die Auftragsverarbeitung. Dieses Muster wird Teil Ihres Vertrags mit Folocy und wird vor dem Kampagnenstart unterschrieben.

Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

[Firma des Kunden], [Anschrift]
(nachfolgend „Auftraggeber“, Verantwortlicher)

und

Julia Krebs, Folocy, c/o IP-Management #12195, Ludwig-Erhard-Str. 18, 20459 Hamburg
(nachfolgend „Auftragnehmer“, Auftragsverarbeiter)

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen in den Bereichen Social Recruiting und Kundengewinnung auf Grundlage des zwischen den Parteien geschlossenen Vertrags (nachfolgend „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus so lange, wie der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Zweck und Art der Verarbeitung: Entgegennahme und Speicherung von Bewerbungen aus Kampagnen des Auftraggebers, telefonische Vorqualifizierung von Bewerbern, Weiterleitung geeigneter Bewerbungen an den Auftraggeber, Beantwortung von Kommentaren und Nachrichten zu den Anzeigen, Erstellung von Berichten sowie Herstellung und Bearbeitung von Bild- und Videoaufnahmen für die Kampagnen. Bei Kampagnen zur Kundengewinnung zusätzlich: Entgegennahme und Speicherung von Anfragen von Interessenten, telefonische Rückfrage nur mit ausdrücklicher Einwilligung des Interessenten und Weiterleitung der Anfragen einschließlich des Nachweises der Einwilligung an den Auftraggeber.

(2) Arten personenbezogener Daten:

• Stammdaten und Kontaktdaten (zum Beispiel Name, Telefonnummer, E-Mail-Adresse, Wohnort oder Postleitzahl)
• Angaben aus dem Bewerbungsformular (zum Beispiel Ausbildung, Berufserfahrung, aktuelle berufliche Situation, gewünschte Arbeitszeit, Arbeitsweg, Verfügbarkeit, Wünsche an den Arbeitgeber)
• Angaben aus Anfrageformularen der Kundengewinnung (zum Beispiel Art des Vorhabens, Ort, gewünschter Zeitpunkt) sowie die Einwilligung in Anrufe mit Zeitpunkt und Wortlaut
• Notizen aus der telefonischen Vorqualifizierung
• freiwillig übermittelte Unterlagen (zum Beispiel Lebenslauf, Zeugnisse)
• Kommunikationsinhalte und Profilnamen bei Kommentaren und Nachrichten zu den Anzeigen
• Bild- und Tonaufnahmen von Beschäftigten des Auftraggebers, die an Dreharbeiten mitwirken

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO werden nicht gezielt erhoben. Die Parteien achten darauf, dass Bewerbungs- und Anfrageformulare keine solchen Daten abfragen.

(3) Betroffene Personen: Bewerber und Interessenten, Personen, die mit den Anzeigen interagieren, sowie Beschäftigte und Ansprechpersonen des Auftraggebers.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag. Einzelweisungen erteilt der Auftraggeber in Textform.

(2) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(3) Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt. Zulässig ist die Auswertung vollständig anonymisierter Daten (zum Beispiel Anzahl der Bewerbungen) zur Verbesserung der eigenen Leistungen. Ausgenommen ist außerdem das Zeigen fertiger Videos und Anzeigen als Referenz nach § 12 der AGB. Dafür ist der Auftragnehmer selbst verantwortlich. Es setzt die Einwilligung der abgebildeten Personen voraus.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht unterschritten wird.

(3) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(5) Der Auftragnehmer informiert den Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Mitteilung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

(6) Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vorher in Textform, wenn er einen Unterauftragsverarbeiter hinzuziehen oder ersetzen will. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, können beide den Hauptvertrag außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Datenschutzpflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO).

(4) Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind Leistungen von Plattformen, mit denen der Auftraggeber selbst ein Vertragsverhältnis hat (zum Beispiel ein eigenes Werbekonto bei Meta), sowie reine Nebenleistungen wie Telekommunikations- oder Postdienste.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU oder des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, zum Beispiel aufgrund eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln. Anlage 2 nennt die betroffenen Unterauftragsverarbeiter.

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Der Auftraggeber kann nach rechtzeitiger Anmeldung, in der Regel mindestens 14 Tage vorher, während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Überprüfungen sollen den Geschäftsbetrieb nicht unverhältnismäßig stören.

(3) Für einen außergewöhnlichen Aufwand, der dem Auftragnehmer durch Überprüfungen entsteht, kann er eine angemessene Vergütung verlangen.

§ 8 Löschung und Rückgabe

(1) Daten von Bewerbern und Interessenten löscht der Auftragnehmer, sobald sie für den Zweck nicht mehr benötigt werden, spätestens sechs Monate nach ihrer Übergabe an den Auftraggeber, sofern der Auftraggeber nichts anderes anweist. Den Nachweis einer Einwilligung in Anrufe übergibt der Auftragnehmer mit der Anfrage an den Auftraggeber, der ihn nach § 7a UWG aufbewahrt.

(2) Nach Ende des Hauptvertrags gibt der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zurück (zum Beispiel als Export) oder löscht sie. Ohne Weisung löscht er sie spätestens 30 Tage nach Vertragsende. Die Löschung bestätigt er auf Anfrage in Textform.

(3) Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt. Bild- und Videoaufnahmen dürfen im Rahmen der Nutzungsrechte und Einwilligungen nach dem Hauptvertrag weiter genutzt werden.

§ 9 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrags, soweit gesetzlich zulässig.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(2) Änderungen dieses Vertrags bedürfen der Textform.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

[Ort, Datum] — Auftraggeber: ______________________

[Ort, Datum] — Auftragnehmer: ______________________

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle. Die Arbeit erfolgt in abschließbaren Räumen. Unterlagen und Datenträger werden nicht offen zugänglich aufbewahrt.

Zugangskontrolle. Alle Geräte und Konten sind durch individuelle, starke Passwörter geschützt (mindestens 12 Zeichen, verwaltet in einem Passwortmanager). Für alle Konten, in denen Bewerber- und Interessentendaten liegen, ist die Zwei-Faktor-Authentifizierung aktiviert. Bildschirme sperren sich automatisch nach kurzer Inaktivität. Die Festplatten von Laptops und Smartphones sind verschlüsselt.

Zugriffskontrolle. Zugriff auf Bewerber- und Interessentendaten hat nur die Inhaberin. Unterauftragnehmer erhalten nur die Rechte, die sie für ihre Aufgabe brauchen, und nur so lange wie nötig.

Weitergabekontrolle. Daten werden nur verschlüsselt übertragen (TLS). Bewerber- und Interessentendaten werden an den Auftraggeber nur per E-Mail über das Postfach beim Hoster des Auftragnehmers (Anlage 2) oder über einen anderen vereinbarten, verschlüsselten Weg weitergegeben. Es werden keine unverschlüsselten mobilen Datenträger genutzt.

Eingabekontrolle. Änderungen an Bewerber- und Interessentendaten sind in den eingesetzten Systemen nachvollziehbar (zum Beispiel über Versionsverlauf).

Auftragskontrolle. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Verfügbarkeitskontrolle. Betriebssysteme und Programme werden aktuell gehalten. Es wird ein Virenschutz eingesetzt. Daten werden regelmäßig und verschlüsselt gesichert.

Trennungskontrolle. Daten verschiedener Auftraggeber werden in getrennten Formularen, Tabellen und Ordnern verarbeitet.

Datensparsamkeit und Löschung. Bewerbungsformulare fragen nur ab, was für die Vorqualifizierung nötig ist. Berichte enthalten personenbezogene Daten nur, soweit es erforderlich ist. Daten werden nach den Fristen aus § 8 gelöscht.

Überprüfung. Die Maßnahmen werden mindestens einmal jährlich und bei wesentlichen Änderungen überprüft.

Anlage 2: Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter, zum Beispiel für Schnitt oder Dreh, kommen nur nach Mitteilung gemäß § 5 Abs. 2 hinzu.