Auftragsverarbeitungsvertrag
Dieser Vertrag wird am 1. Dezember 2026 geschlossen zwischen:
- Brightwater Analytics Ltd, mit Sitz in 20 Harbour Street, Dublin D02 AB12, Irland, Kontakt privacy@brightwater.example („der Kunde“); und
- CloudMail Services GmbH, mit Sitz in Hauptstrasse 14, 10115 Berlin, Deutschland, Kontakt dpo@cloudmail.example („der Anbieter“).
Er ist Bestandteil von der Vertrag über die E-Mail-Plattformdienste vom 3. März 2026 („der Hauptvertrag“). Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag hinsichtlich des Umgangs mit personenbezogenen Daten gilt dieser Vertrag.
1. Begriffsbestimmungen
In diesem Vertrag haben „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ die Bedeutung, die ihnen die anwendbaren Datenschutzgesetze geben, oder, wenn diese Gesetze für dieselben Begriffe andere Wörter verwenden, die nächstliegende Bedeutung. „Datenschutzgesetze“ bezeichnet alle Gesetze zum Datenschutz und zur Privatsphäre, die für die Verarbeitung personenbezogener Kundendaten nach diesem Vertrag gelten, einschließlich der Gesetze, die für eine Partei aufgrund des Aufenthaltsorts der betroffenen Personen gelten. „Personenbezogene Kundendaten“ bezeichnet die personenbezogenen Daten, die der Anbieter für den Kunden nach dem Hauptvertrag verarbeitet. „Unterauftragsverarbeiter“ bezeichnet einen Dritten, den der Anbieter zur Verarbeitung personenbezogener Kundendaten einsetzt.
2. Rollen und Umfang
2.1 Für personenbezogene Kundendaten ist der Kunde der Verantwortliche und der Anbieter der Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter für einen anderen Verantwortlichen, sichert er zu, dass er die Befugnis dieses Verantwortlichen hat, die Weisungen in diesem Vertrag zu erteilen, und der Anbieter handelt als Unterauftragsverarbeiter.
2.2 Jede Partei befolgt die für sie geltenden Datenschutzgesetze.
2.3 Der Kunde ist dafür verantwortlich, eine rechtmäßige Grundlage für die Verarbeitung zu haben, den betroffenen Personen die nach den Datenschutzgesetzen erforderlichen Mitteilungen zu machen und für die Richtigkeit und Rechtmäßigkeit der personenbezogenen Daten zu sorgen, die er dem Anbieter zur Verfügung stellt.
3. Einzelheiten der Verarbeitung
3.1 Gegenstand und Zweck. Der Anbieter verarbeitet personenbezogene Kundendaten ausschließlich zur Erbringung der Dienste nach dem Hauptvertrag, und zwar wie folgt:
Versendet und speichert die Marketing- und Service-E-Mails des Kunden und erfasst Öffnungen und Klicks, um die E-Mail-Plattform bereitzustellen.
3.2 Dauer. Die Verarbeitung dauert solange der Hauptvertrag läuft, zuzüglich der Zeit, die für die Rückgabe oder Löschung der Daten erforderlich ist.
3.3 Arten personenbezogener Daten:
Namen, E-Mail-Adressen, Firmennamen sowie Aufzeichnungen über versendete, geöffnete und angeklickte E-Mails.
3.4 Kategorien betroffener Personen: die Kunden, Interessenten und Newsletter-Abonnenten des Kunden.
3.5 Sensible personenbezogene Daten, die verarbeitet werden: Gesundheitsdaten, die Patientinnen und Patienten in Terminnachrichten schreiben.
3.6 Ort der Verarbeitung. Der Anbieter verarbeitet und speichert personenbezogene Kundendaten in Rechenzentren in Frankfurt, Deutschland.
3.7 Der Kunde wird dem Anbieter ohne dessen schriftliche Zustimmung keine anderen Arten personenbezogener Daten oder andere als die oben aufgeführten sensiblen personenbezogenen Daten überlassen.
4. Weisungen des Kunden
4.1 Der Anbieter verarbeitet personenbezogene Kundendaten ausschließlich nach dokumentierten Weisungen des Kunden. Diese Weisungen bestehen aus diesem Vertrag, dem Hauptvertrag sowie der Nutzung und den Einstellungen der Dienste durch den Kunden, es sei denn, ein für den Anbieter geltendes Gesetz schreibt etwas anderes vor. In diesem Fall unterrichtet der Anbieter den Kunden vor der Verarbeitung, sofern das Gesetz dies nicht verbietet.
4.2 Der Anbieter unterrichtet den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die Datenschutzgesetze verstößt. Er kann die Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.
4.3 Der Anbieter verwendet personenbezogene Kundendaten nicht für eigene Zwecke, verkauft sie nicht und führt sie nicht mit Daten aus anderen Quellen zusammen, außer soweit die Datenschutzgesetze dies für seine eigenen gesetzlichen Pflichten erlauben.