Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand der Verarbeitung

WiderrufButton verarbeitet als Auftragsverarbeiter im Auftrag des Shopbetreibers (Verantwortlicher) personenbezogene Daten, die von Endkunden (Verbrauchern) im Rahmen der Widerrufserklärung übermittelt werden.

Zweck der Verarbeitung: Entgegennahme, Speicherung und Weiterleitung von Widerrufserklärungen gemäß § 356a BGB sowie die Versendung einer Eingangsbestätigung per E-Mail an den Verbraucher.

2. Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:

3. Betroffene Personen

Betroffene Personen sind die Endkunden (Verbraucher) des Shopbetreibers, die über das WiderrufButton-Widget eine Widerrufserklärung abgeben.

4. Dauer der Verarbeitung

Die Auftragsverarbeitung beginnt mit dem Vertragsschluss und endet mit der Beendigung des Nutzungsverhältnisses (Kündigung des WiderrufButton-Abonnements).

Nach Vertragsende werden die Widerrufsdaten gemäß den gesetzlichen Aufbewahrungspflichten gespeichert und anschließend gelöscht, sofern der Verantwortliche keine frühere Löschung verlangt.

5. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter setzt folgende Maßnahmen zum Schutz der personenbezogenen Daten um:

6. Subunternehmer

Folgende Subunternehmer werden zur Erfüllung des Auftrags eingesetzt:

Über Änderungen bei den Subunternehmern wird der Verantwortliche vorab informiert und erhält die Möglichkeit zum Widerspruch.

6a. Agentur-/Unter-Auftragsverarbeitung

Nutzt der Auftraggeber WiderrufButton als Agentur zur Verwaltung von Shops Dritter (seiner Kunden), gilt ergänzend:

(1) Rollenkette. Der jeweilige Händler-Kunde der Agentur ist Verantwortlicher für die personenbezogenen Daten der Verbraucher seines Shops. Die Agentur ist insoweit dessen Auftragsverarbeiterin; WiderrufButton (Cambium Holding UG) ist Unter-Auftragsverarbeiter der Agentur.

(2) Eigene AVV der Agentur. Die Agentur sichert zu, mit jedem von ihr eingebundenen Händler-Kunden einen wirksamen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen zu haben, der die Einschaltung von WiderrufButton als Unter-Auftragsverarbeiter (samt dessen Sub-Auftragnehmern Hetzner und IONOS) gestattet, sowie ihre Kunden über die eingesetzten Sub-Auftragnehmer zu informieren und etwaige Widerspruchsrechte zu wahren.

(3) Weisungsgebundenheit. WiderrufButton verarbeitet die Verbraucherdaten ausschließlich auf dokumentierte Weisung der Agentur, die ihrerseits die Weisung des jeweiligen verantwortlichen Händler-Kunden umsetzt. Die in Sektion 5 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) gelten für alle Kunden-Shops gleichermaßen.

(4) Rechenschaft (Art. 5 Abs. 2 DSGVO). WiderrufButton führt pro Shop ein Zugriffsprotokoll über jeden Export bzw. Abruf der Verbraucherdaten (wer, wann, welche Felder, wie viele Datensätze) und stellt es dem jeweils zugriffsberechtigten Verantwortlichen bzw. der Agentur bereit. Verbraucherdaten selbst werden im Protokoll nicht gespeichert.

(5) Verantwortlichkeit der Agentur. Die Agentur ist allein dafür verantwortlich, dass die Einbindung jedes Kunden-Shops auf einer gültigen Rechtsgrundlage beruht und die je Shop konfigurierten Angaben (insbesondere Markt und Rechtsgrundlage des Widerrufs) zutreffen.

7. Pflichten des Auftragsverarbeiters

• Verarbeitung der Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.
• Gewährleistung, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.
• Umsetzung aller gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen.
• Unterstützung des Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO).
• Unterstützung bei Meldepflichten (Art. 33, 34 DSGVO).
• Löschung oder Rückgabe aller Daten nach Ende der Verarbeitung.
• Ermöglichung von Audits und Inspektionen durch den Verantwortlichen.

8. Rechte des Verantwortlichen

• Recht auf Auskunft über die verarbeiteten Daten.
• Recht auf Überprüfung der technischen und organisatorischen Maßnahmen.
• Weisungsrecht gegenüber dem Auftragsverarbeiter.
• Recht auf Löschung oder Rückgabe der Daten bei Vertragsende.
• Widerspruchsrecht bei Änderungen der Subunternehmer.

9. Vollständiger AVV