§ 1 Gegenstand und Geltungsbereich

1. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, soweit der Auftragsverarbeiter im Rahmen der vom Verantwortlichen gebuchten Finanzmanager24 Tools oder digitalen Dienste personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
2. Die Vereinbarung gilt insbesondere für die Erfassung, Übermittlung, Speicherung, Bereitstellung und technische Verarbeitung von Interessenten- und Lead-Daten über Rechner, Landingpages, Formulare, Lead-Portale und vergleichbare Funktionen, soweit Finanzmanager24 hierbei nicht selbst über Zwecke und wesentliche Mittel der Verarbeitung entscheidet.
3. Die Beschreibung der konkreten Verarbeitung ergibt sich aus Anlage 1. Die technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 2. Genehmigte Unterauftragsverarbeiter werden in Anlage 3 dokumentiert.
4. Soweit Finanzmanager24 personenbezogene Daten für eigene Zwecke und in eigener datenschutzrechtlicher Verantwortlichkeit verarbeitet, ist diese Vereinbarung auf diese Verarbeitung nicht anwendbar.

§ 2 Dauer der Verarbeitung

1. Die Auftragsverarbeitung beginnt mit der Freischaltung derjenigen Leistung, bei der personenbezogene Daten im Auftrag verarbeitet werden, und besteht für die Dauer des zugrunde liegenden Hauptvertrages.
2. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen, insbesondere Vertraulichkeits-, Lösch- und Nachweispflichten, bleiben unberührt.

§ 3 Weisungsgebundene Verarbeitung

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.
2. Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag, der Produktbeschreibung, dieser Vereinbarung und Anlage 1. Weitere Weisungen können in Textform erteilt werden.
3. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich. Die Ausführung der betreffenden Weisung kann bis zur Klärung ausgesetzt werden.
4. Der Verantwortliche bleibt für die Rechtmäßigkeit der Erhebung und Verarbeitung der personenbezogenen Daten, die Rechtsgrundlagen, Informationspflichten gegenüber betroffenen Personen und die Rechtmäßigkeit seiner Weisungen verantwortlich.

§ 4 Vertraulichkeit

1. Der Auftragsverarbeiter stellt sicher, dass Personen, die Zugang zu personenbezogenen Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Der Zugriff auf personenbezogene Daten wird auf diejenigen Personen beschränkt, die ihn zur Erbringung der vereinbarten Leistungen benötigen.
3. Die Vertraulichkeitspflichten bestehen auch nach Beendigung der Tätigkeit fort.

§ 5 Sicherheit der Verarbeitung

1. Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.
2. Die vereinbarten Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf diese Maßnahmen im Zuge technischer Weiterentwicklung ändern, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. Der Verantwortliche prüft vor Beginn der Verarbeitung, ob die dokumentierten Maßnahmen im Hinblick auf die von ihm verarbeiteten Daten und Risiken ein angemessenes Schutzniveau gewährleisten.

§ 6 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten nach der DSGVO.
2. Dies umfasst insbesondere die Unterstützung bei Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch, soweit die im Auftrag verarbeiteten Daten betroffen sind.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen und zumutbaren Umfang bei Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Behandlung von Datenschutzverletzungen und gegebenenfalls Datenschutz-Folgenabschätzungen.
4. Anfragen betroffener Personen, die unmittelbar beim Auftragsverarbeiter eingehen und die Auftragsverarbeitung betreffen, werden grundsätzlich an den Verantwortlichen weitergeleitet, sofern keine abweichende Weisung besteht.

§ 7 Datenschutzverletzungen

1. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit die im Auftrag verarbeiteten Daten betroffen sind.
2. Die Mitteilung enthält, soweit zu diesem Zeitpunkt verfügbar, die für die Beurteilung des Vorfalls erforderlichen Informationen, insbesondere Art des Vorfalls, betroffene Daten und Personengruppen, voraussichtliche Folgen sowie bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen.
3. Noch nicht verfügbare Informationen können ohne unangemessene Verzögerung nachgereicht werden.

§ 8 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter, soweit diese in Anlage 3 aufgeführt sind oder nach dem nachfolgenden Verfahren aufgenommen werden.
2. Der Auftragsverarbeiter informiert den Verantwortlichen vor einer beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche erhält Gelegenheit, aus wichtigem datenschutzrechtlichem Grund innerhalb einer angemessenen Frist zu widersprechen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den für die jeweilige Verarbeitung einschlägigen Pflichten dieser Vereinbarung entsprechen.
4. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten des Unterauftragsverarbeiters im gesetzlich vorgesehenen Umfang verantwortlich.

§ 9 Drittlandübermittlungen

1. Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Verantwortlichen oder wenn eine gesetzliche Verpflichtung besteht und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
2. Soweit genehmigte Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten oder zugänglich machen, werden die hierfür maßgeblichen Garantien in Anlage 3 dokumentiert.
3. Ändern sich die rechtlichen Grundlagen einer Drittlandübermittlung, werden die Parteien die erforderlichen Maßnahmen zur Aufrechterhaltung eines angemessenen Datenschutzniveaus treffen.

§ 10 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.
2. Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung in angemessenem Umfang selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer zu kontrollieren.
3. Prüfungen sind grundsätzlich mit angemessener Vorankündigung während üblicher Geschäftszeiten durchzuführen und so zu gestalten, dass der Geschäftsbetrieb nicht unangemessen beeinträchtigt wird.
4. Soweit geeignete aktuelle Nachweise, Prüfberichte oder Zertifizierungen die erforderlichen Informationen liefern, können diese zur Vermeidung unnötiger Vor-Ort-Prüfungen herangezogen werden.
5. Gesetzliche Kontrollrechte der Aufsichtsbehörden bleiben unberührt.

§ 11 Rückgabe und Löschung

1. Lead- und Tool-Daten werden während der Dauer des aktiven Tool-Kontos bzw. des zugrunde liegenden Hauptvertrages in der für das Tool eingesetzten WordPress-Datenbank gespeichert.
2. Nach Abschluss der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
3. Daten in technisch erforderlichen Sicherungskopien können bis zum regulären Überschreiben bzw. Ablauf des Sicherungszyklus verbleiben. Sie dürfen in dieser Zeit nicht für andere Zwecke verarbeitet werden.
4. Der Verantwortliche hat vor Vertragsende diejenigen Daten zu exportieren oder zu sichern, die er weiterhin benötigt, soweit eine Exportfunktion oder ein anderer vereinbarter Übertragungsweg zur Verfügung steht.

§ 12 Schlussbestimmungen

1. Änderungen und Ergänzungen dieser Vereinbarung einschließlich ihrer Anlagen bedürfen mindestens der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist.
2. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich der Auftragsverarbeitung die datenschutzrechtlichen Bestimmungen dieser Vereinbarung vor.
3. Im Übrigen gelten die Regelungen des Hauptvertrages, soweit sie dieser Vereinbarung nicht widersprechen.

Anlage 1 – Beschreibung der Auftragsverarbeitung

1. Gegenstand

Technische Bereitstellung und Betrieb der vom Verantwortlichen gebuchten Finanzmanager24 Tools und digitalen Dienste, soweit dabei personenbezogene Daten von Interessenten, Leads oder Kunden im Auftrag verarbeitet werden.

2. Zweck der Verarbeitung

• Bereitstellung von Online-Rechnern, Landingpages und Formularfunktionen
• Erfassung von Kontakt- und Lead-Daten im Auftrag des Verantwortlichen
• Zuordnung von Leads zum jeweiligen Tool-Kunden bzw. Partner
• Speicherung und Bereitstellung von Leads im vorgesehenen Kunden- bzw. Leadbereich
• Versand technischer E-Mail-Benachrichtigungen über IONOS SMTP
• technische Administration, Fehleranalyse, Sicherung und Wiederherstellung der Systeme

3. Kategorien betroffener Personen

• Interessenten und Leads des Verantwortlichen
• Kunden des Verantwortlichen, soweit sie ein bereitgestelltes Tool nutzen
• Ansprechpartner und Nutzerkonten des Verantwortlichen

4. Kategorien personenbezogener Daten

• Stammdaten, insbesondere Name
• Kontaktdaten, insbesondere E-Mail-Adresse und Telefonnummer
• vom Nutzer eingegebene produkt- und beratungsbezogene Angaben
• Ergebnis- und Berechnungsdaten aus dem jeweiligen Tool
• Zuordnungsdaten, insbesondere Partner-/Affiliate-Code, Quelle und Zeitstempel
• technische Protokoll- und Nutzungsdaten, soweit für Betrieb, Sicherheit oder Fehleranalyse erforderlich

5. Dauer und Löschung

Die Verarbeitung erfolgt für die Dauer des aktiven Tool-Kontos bzw. des zugrunde liegenden Hauptvertrages. Lead- und Tool-Daten werden während dieser Dauer in der WordPress-Datenbank gespeichert. Nach Beendigung des Accounts bzw. Hauptvertrages erfolgt die Löschung oder Rückgabe nach Maßgabe dieser AVV. Daten in Sicherungskopien werden im regulären Backup-Zyklus überschrieben bzw. gelöscht.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Werden künftig weitere Unterauftragsverarbeiter hinzugezogen oder bestehende ersetzt, informiert Finanzmanager24 den Verantwortlichen nach Maßgabe von § 8 dieser Vereinbarung.

Elektronischer Abschluss der Vereinbarung

Diese Vereinbarung kann im Rahmen des elektronischen Bestellprozesses für ein Finanzmanager24 Tool abgeschlossen werden. Der Verantwortliche bestätigt dabei ausdrücklich den Abschluss dieser Vereinbarung einschließlich ihrer Anlagen in der zum Zeitpunkt der Bestellung bereitgestellten Fassung.

Die konkrete Vertragspartei auf Seiten des Verantwortlichen ergibt sich aus den bei der Bestellung angegebenen Unternehmens- und Kontaktdaten.