— gemeinsam auch „die Parteien" —
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt. Er findet Anwendung auf alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder durch ihn beauftragte Sub-Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten.
Gegenstand ist die Bereitstellung der DisplayMetric-Plattform für Digital Signage mit anonymer Audience-Analytics. Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software-as-a-Service-Lösung zur Verfügung, die folgende Funktionen umfasst:
Die Dauer dieses Vertrages richtet sich nach der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages über die Nutzung der DisplayMetric-Plattform. Endet der Hauptvertrag, endet auch dieser AVV automatisch mit allen sich daraus ergebenden Rechten und Pflichten zur Datenlöschung gemäß Ziffer 10.
Folgende Verarbeitungen werden im Auftrag durchgeführt:
Zweck ist die Bereitstellung der vertraglich vereinbarten Software-Plattform und die Ermöglichung von Reichweitenmessung digitaler Inhalte. Die Verarbeitung erfolgt ausschließlich zu den vom Verantwortlichen festgelegten Zwecken im Rahmen dieses Vertrages.
Ausdrücklich NICHT verarbeitet werden: biometrische Identifizierungsdaten, Fotos, Videos, Audio, demografische Schätzungen (Stand: 2026-05-01). Bilddaten verlassen das Edge-Gerät niemals und werden nach der Live-Auswertung im Arbeitsspeicher sofort verworfen.
Es werden keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet. Sollte sich daran etwas ändern, wird dieser Vertrag entsprechend angepasst und der Verantwortliche zuvor informiert.
Der Auftragsverarbeiter verpflichtet sich,
Der Auftragsverarbeiter trifft die in Anlage 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO. Die TOM werden regelmäßig überprüft und bei Bedarf an den Stand der Technik angepasst. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.
Der Verantwortliche genehmigt mit Abschluss dieses Vertrages den Einsatz folgender Unter-Auftragsverarbeiter:
| Unternehmen | Sitz | Leistung | Datentyp |
|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Server-Hosting, Off-Site-Backup-Storage | Alle Daten gemäß Ziffer 4 |
| Heinlein Hosting GmbH (mailbox.org) | Berlin, Deutschland | E-Mail-Empfang für datenschutz@displaymetric.de | E-Mails an die Datenschutz-Kontaktadresse |
| Resend Inc. | USA, Kalifornien | Versand transaktionaler E-Mails | E-Mail-Adresse + Inhalt der Systemnachricht |
Bezüglich Resend Inc. (USA) gilt: Die Datenübermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Adequacy Decision der EU-Kommission vom 10. Juli 2023). Resend Inc. ist DPF-zertifiziert. Zusätzlich wurden Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als Absicherung für den Fall eines Wegfalls des Adequacy-Status geschlossen.
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unter-Auftragsverarbeiter hinzuzuziehen oder bestehende auszutauschen. Der Auftragsverarbeiter wird den Verantwortlichen mindestens vier Wochen im Voraus per E-Mail über geplante Änderungen informieren. Der Verantwortliche kann der Beauftragung innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen.
Der Auftragsverarbeiter wird mit allen Unter-Auftragsverarbeitern Verträge schließen, die mindestens dasselbe Schutzniveau wie dieser AVV gewährleisten und insbesondere die Pflichten aus Art. 28 Abs. 3 DSGVO enthalten.
Der Verantwortliche
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Meldung erfolgt per E-Mail an die vom Verantwortlichen benannte Datenschutzkontaktadresse.
Die Meldung enthält mindestens:
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder nationalem Recht eine Verpflichtung zur Speicherung besteht.
Der Verantwortliche kann seine Daten jederzeit über die DSGVO-Export-Funktion im CMS exportieren. Eine vollständige Löschung des Accounts inklusive aller Daten kann der Verantwortliche eigenständig über die Account-Löschungs-Funktion im CMS auslösen oder schriftlich beim Auftragsverarbeiter beantragen. Die Löschung erfolgt innerhalb von 30 Tagen nach Beendigung des Vertrages, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
Backups werden gemäß der in Anlage 1 (TOM) festgelegten Retention nach maximal 30 Tagen automatisch überschrieben.
Die Parteien haften gegenüber betroffenen Personen nach den Bestimmungen der Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für eigenes Verschulden nach den allgemeinen gesetzlichen Vorschriften. Die Haftung des Auftragsverarbeiters ist im Übrigen auf die Bestimmungen des Hauptvertrages beschränkt.
Bei Widersprüchen zwischen diesem AVV und Bestimmungen anderer Vereinbarungen, insbesondere des Hauptvertrages, gehen die Regelungen dieses AVV vor.
Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Klausel.
Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit gesetzlich zulässig, Reutlingen, Deutschland.
Bestandteil dieses Vertrages sind: