Vertrag zur Auftragsverarbeitung

Verantwortlicher („Auftraggeber“): der Kunde, wie im Hauptvertrag bezeichnet.
Auftragsverarbeiter („Auftragnehmer“): Mike Möhler & Jamy Fritzler GbR („MJF Partners“), Markgrafenstraße 147, 79211 Denzlingen, vertreten durch Mike Möhler und Jamy Fritzler.

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die im Hauptvertrag vereinbarten Leistungen zu erbringen, insbesondere Kundenservice, Retouren- und Beschwerdemanagement. Die Laufzeit entspricht der Laufzeit des Hauptvertrags.

• Zweck: Beantwortung von Kundenanfragen, Abwicklung von Retouren und Beschwerden, Vorbereitung von Entscheidungen, Berichte an den Auftraggeber.
• Datenarten: Namen, Kontaktdaten, Bestell- und Versanddaten, Kommunikationsinhalte, Angaben zu Retouren und Erstattungen.
• Betroffene: Kundinnen, Kunden und Interessenten des Auftraggebers.
• Besondere Kategorien nach Art. 9 DSGVO werden nicht gezielt verarbeitet. Teilen Betroffene solche Daten von sich aus mit, werden sie nur zur Bearbeitung des Anliegens verwendet.

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Das Regelwerk im Kundenportal gilt als dokumentierte Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und im Datenschutz unterwiesen.

Der Auftragnehmer trifft Maßnahmen nach Art. 32 DSGVO, unter anderem: rollenbasierte Zugriffsrechte, Trennung der Daten verschiedener Auftraggeber, verschlüsselte Übertragung, verschlüsselte Ablage von Zugangsschlüsseln, Protokollierung aller Aktionen, regelmäßige Datensicherung. Details stehen in Anlage 1. [Anlage 1: TOM-Beschreibung erstellen]

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragnehmer vorab in Textform; der Auftraggeber kann innerhalb von [14] Tagen aus wichtigem Grund widersprechen.

Anlage 2 (Stand November 2026):

• Supabase Inc. – Datenbank, Anmeldung; Serverstandort [Region]
• Postmark (ActiveCampaign, LLC, USA) – E-Mail-Versand und -Empfang
• Anthropic, PBC (USA) – automatisierte Textverarbeitung
• Meta Platforms Ireland Ltd. – WhatsApp, Instagram, Facebook (nur bei Nutzung)
• [Hosting-Anbieter der Anwendung]

Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

Nach Ende des Hauptvertrags löscht der Auftragnehmer die Daten oder gibt sie nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Das Protokoll der Aktionen wird für [Frist] aufbewahrt.

Der Auftragnehmer stellt die zum Nachweis der Pflichten erforderlichen Informationen bereit und ermöglicht Überprüfungen durch den Auftraggeber oder einen beauftragten Prüfer nach angemessener Vorankündigung.

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Datenschutz geht. Änderungen bedürfen der Textform.