Vertrag über die Auftragsverarbeitung

1. Gegenstand, Dauer und Rangverhältnis

Dieser Vertrag konkretisiert die Pflichten aus Artikel 28 DSGVO für diejenigen personenbezogenen Daten, die der Anbieter im Auftrag des Kunden verarbeitet.

Verantwortlicher im Sinne des Artikels 4 Nummer 7 DSGVO ist der Kunde. Er entscheidet über Zwecke und Mittel der Verarbeitung derjenigen Inhalte und Konten, die er in der Plattform anlegt. Der Anbieter ist insoweit Auftragsverarbeiter nach Artikel 4 Nummer 8 DSGVO.

Der Kunde ist dafür verantwortlich, dass er die Daten rechtmäßig erhoben hat, dass er für ihre Verarbeitung in der Plattform eine Rechtsgrundlage besitzt und dass die von ihm angezeigten Inhalte zulässig sind. Er benennt in seinem Konto eine Adresse, an die der Anbieter Meldungen nach diesem Vertrag richten kann, und hält sie aktuell.

Für die Daten, die bei der Registrierung, der Kontoverwaltung, der Abrechnung, der Kommunikation und beim Besuch der Website des Anbieters anfallen, ist der Anbieter selbst Verantwortlicher. Dasselbe gilt für die Betriebsdaten der Geräte — Zustand, Softwarestand, Auslastung, Fehlermeldungen, technische Kennungen und ungefährer Standort —, die der Anbieter erhebt, um seine Flotte zu versorgen und den Dienst betriebssicher zu halten. Für diese Verarbeitungen gilt nicht dieser Vertrag, sondern die Datenschutzerklärung.

Der Vertrag kommt mit dem Vertrag über die Nutzung der Plattform zustande und endet mit ihm. Er kann nicht gesondert gekündigt werden, solange der Kunde die Plattform nutzt. Die Pflichten aus Ziffer 4 und Ziffer 9 gelten über das Ende hinaus, bis sie erfüllt sind.

Soweit dieser Vertrag und die Allgemeinen Geschäftsbedingungen einander widersprechen, geht dieser Vertrag vor — allerdings nur für die Verarbeitung im Auftrag. Für die Haftung der Parteien untereinander bleibt es bei Ziffer 11.

2. Art, Zweck und Umfang der Verarbeitung

Zweck der Verarbeitung ist der Betrieb digitaler Anzeigeflächen für den Kunden: Inhalte speichern, ordnen, zeitlich planen und an die Geräte des Kunden ausspielen, Benutzerkonten seiner Beschäftigten verwalten sowie die Geräte des Kunden fernwarten und unterstützen.

Art der Verarbeitung sind das Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an die Geräte des Kunden, Einschränken und Löschen der Daten.

Verarbeitet werden im Auftrag: Stammdaten der vom Kunden angelegten Benutzer (Name, E-Mail-Adresse, Rolle), Anmelde- und Sitzungsdaten, Nutzungs- und Protokolldaten der Plattform, die Zugangsberechtigungen für Konten, die der Kunde mit der Plattform verbindet, Bildschirmfotos des jeweils angezeigten Inhalts sowie die Inhalte selbst, die der Kunde einstellt.

Nicht Gegenstand des Auftrags sind die Anschriften der Standorte des Kunden und die daraus bestimmten Koordinaten. Sie sind Angaben über den Kunden selbst; für sie ist der Anbieter Verantwortlicher, und die Datenschutzerklärung beschreibt sie. Der Anbieter benennt die dafür eingesetzte Schnittstelle gleichwohl in Ziffer 6, damit der Kunde die Übermittlung kennt.

Die eingestellten Inhalte können personenbezogene Daten enthalten, ohne dass der Anbieter darauf Einfluss hat — etwa Fotos von Beschäftigten, Namen auf einer Aushangseite oder Angaben in einer eingebundenen Datenquelle. Welche das sind, bestimmt allein der Kunde.

Kategorien betroffener Personen sind die Beschäftigten des Kunden und die von ihm angelegten Benutzer, Personen, die auf den eingestellten Inhalten erkennbar oder benannt sind, sowie Personen, die in einem vom Kunden verbundenen Konto erscheinen.

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sind nicht Gegenstand des Auftrags. Stellt der Kunde gleichwohl solche Daten ein, geschieht das in seiner Verantwortung; er hat dafür die erforderliche Rechtsgrundlage und unterrichtet den Anbieter, wenn daraus zusätzliche Schutzanforderungen folgen.

Die Verarbeitung findet auf eigener Hardware des Anbieters in Deutschland statt. Verarbeitungen außerhalb dieses Rahmens erfolgen ausschließlich durch die in Ziffer 6 genannten Unterauftragsverarbeiter.

3. Verarbeitung auf Weisung

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Das gilt auch für eine Übermittlung in ein Drittland.

Dieser Vertrag ist mit der Leistungsbeschreibung der Plattform die dokumentierte Rahmenweisung des Kunden. Innerhalb ihres Rahmens weist der Kunde durch die Nutzung der Plattform an: Die Einstellungen, die er wählt, die Funktionen, die er auslöst, und die Inhalte, die er einstellt, sind Weisungen im Sinne dieses Vertrages. Die Plattform hält diese Vorgänge in ihrem Prüfprotokoll fest; der Kunde kann das Protokoll jederzeit einsehen und ausleiten, so dass seine Weisungen dokumentiert sind.

Weisungen, die über diesen Rahmen hinausgehen, erteilt der Kunde in Textform an support@szenera.com. Der Anbieter führt sie aus, soweit ihm das technisch und rechtlich möglich ist. Verursacht eine solche Weisung einen Aufwand, der über die vertraglich geschuldete Leistung hinausgeht, kann der Anbieter ihn nach Zeit berechnen; er weist vorher darauf hin.

Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

Ist der Anbieter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er den Kunden vor der Verarbeitung über diese Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Für eigene Zwecke verwendet der Anbieter die Daten des Kunden nicht. Kennzahlen über den Betrieb der Plattform bildet er nur aus Angaben, die keinen Bezug zu einer bestimmten oder bestimmbaren Person mehr zulassen.

4. Vertraulichkeit

Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten des Kunden erhalten, schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.

Zugang zu Daten des Kunden haben derzeit der Geschäftsführer des Anbieters und die für seine Abwesenheit benannte Vertretung; die Vertretung ist gesondert zur Vertraulichkeit verpflichtet. Kommen weitere Personen hinzu, werden sie vor dem ersten Zugriff verpflichtet.

Zugriff erhält nur, wer ihn für seine Aufgabe braucht, und nur in dem dafür nötigen Umfang. Zugriffe von Beschäftigten und Beauftragten des Anbieters auf Daten eines Kunden werden protokolliert; arbeitet der Anbieter im Konto eines Kunden, wird die Begründung mit protokolliert.

5. Technische und organisatorische Maßnahmen

Der Anbieter trifft die nach Artikel 32 DSGVO erforderlichen Maßnahmen. Die vollständige Beschreibung führt er im Dokument „Technische und organisatorische Maßnahmen“; dieses Dokument ist Anlage zu diesem Vertrag und wird dem Kunden auf Verlangen in der jeweils geltenden Fassung überlassen. Die folgenden Absätze nennen den tragenden Bestand dieser Maßnahmen.

Die Anwendung läuft auf Hardware, die dem Anbieter gehört und in Deutschland steht; der Zutritt ist auf einen benannten Personenkreis beschränkt. Ein Rechenzentrumsbetreiber als Auftragsverarbeiter für die Anwendungsdaten ist nicht eingebunden.

Verbindungen zur Plattform sind durchgehend verschlüsselt. Ein Gerät weist sich gegenüber der Plattform mit einem eigenen Zertifikat aus, und die Software-Bündel, die es lädt, sind signiert; ein Gerät prüft die Signatur, bevor es ein Bündel auspackt.

Die Daten verschiedener Kunden sind getrennt: Jeder Datensatz ist einer Organisation zugeordnet, und die Trennung wird auf der Ebene des Datenbankzugriffs erzwungen, nicht erst in der Anwendung. Fehlt einer Anfrage die Zuordnung, schlägt sie fehl.

Der Zugang ist rollenbasiert; für Konten mit erhöhten Rechten ist ein zweiter Faktor vorgeschrieben, dessen Geheimnisse verschlüsselt gespeichert sind. Die Zahl der Anmeldeversuche ist begrenzt, und sicherheitsrelevante Vorgänge werden protokolliert.

Von den Daten werden täglich verschlüsselte Sicherungen erstellt; die Wiederherstellung wird erprobt. Geräte, die zurückgegeben oder weitergegeben werden, setzt der Anbieter vorher zurück und überschreibt dabei die auf ihnen abgelegten Geheimnisse.

Der Anbieter überprüft die Wirksamkeit dieser Maßnahmen regelmäßig, mindestens einmal im Kalenderjahr, und dokumentiert das Ergebnis.

Der Anbieter darf die Maßnahmen fortentwickeln. Das dabei erreichte Schutzniveau darf das hier beschriebene nicht unterschreiten.

6. Unterauftragsverarbeiter

Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Artikel 28 Absatz 2 Satz 2 DSGVO). Zum Zeitpunkt des Vertragsschlusses sind dies die nachfolgend genannten; angegeben sind Sitz, Leistung und die Grundlage einer etwaigen Übermittlung in ein Drittland.

Brevo (Sendinblue SAS), Paris, Frankreich — Versand der E-Mails an die Benutzer des Kunden, etwa Anmeldelinks und Benachrichtigungen. Die Verarbeitung findet in der Europäischen Union statt; eine Übermittlung in ein Drittland ist damit nicht verbunden.

Cloudflare, Inc., San Francisco, Vereinigte Staaten — Erreichbarkeit der Adressen im Internet und Abwehr von Angriffen; dabei fallen Verbindungsdaten an. Grundlage der Übermittlung ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, in dessen Register das Unternehmen am 7. September 2026 als aktiv geführt war, ergänzend die Standardvertragsklauseln aus dem Datenschutzanhang des Vertrages.

Functional Software, Inc. (Sentry), San Francisco, Vereinigte Staaten — Fehlerdiagnose; übermittelt werden technische Angaben zum Fehler, zur eingesetzten Software und zur betroffenen Sitzung. Grundlage der Übermittlung ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, in dessen Register das Unternehmen am 7. September 2026 als aktiv geführt war, ergänzend die Standardvertragsklauseln.

Google Ireland Limited, Dublin, Irland — Standortbestimmung von Displays ohne eigenen Satellitenempfänger anhand der in der Umgebung sichtbaren Funknetz-Kennungen. Eine Verarbeitung durch die Google LLC in den Vereinigten Staaten ist möglich; Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, in dessen Register die Google LLC am 7. September 2026 als aktiv geführt war, ergänzend die Standardvertragsklauseln mit Google Ireland.

CARTO (Carto DB Inc.), New York, Vereinigte Staaten — Kartenkacheln für die Standortkarte in den Portalen; der Kartendienst erhält die IP-Adresse des abrufenden Browsers und den angefragten Kartenausschnitt. Das Unternehmen war am 7. September 2026 im Register des EU-US Data Privacy Framework nicht eingetragen; Grundlage der Übermittlung sind deshalb die Standardvertragsklauseln der Europäischen Kommission.

OpenStreetMap Foundation (Nominatim), Vereinigtes Königreich — Geocoding der Standortanschriften des Kunden über den öffentlichen Dienst; übermittelt werden ausschließlich Straße, Postleitzahl, Ort und Land eines Standorts, keine Inhalte und keine Benutzerdaten des Kunden. Für das Vereinigte Königreich gilt der Angemessenheitsbeschluss der Europäischen Kommission. Die Stiftung betreibt die öffentliche Schnittstelle in eigener Verantwortung und schließt dafür keinen Vertrag nach Artikel 28 DSGVO; der Anbieter führt sie hier gleichwohl auf, damit der Kunde die Übermittlung kennt und ihr nach Absatz 11 widersprechen kann.

Verbindet der Kunde die Plattform mit einem externen Speicher- oder Kalenderdienst, etwa Microsoft OneDrive, richtet er diese Verbindung selbst ein. Der Anbieter ruft die freigegebenen Inhalte in seinem Auftrag ab; die Verarbeitung beim Dienst des Kunden richtet sich nach dessen Vertrag mit diesem Anbieter.

Nicht Unterauftragsverarbeiter ist der Zahlungsdienstleister Stripe: Die Abrechnung ist eine eigene Verarbeitung des Anbieters als Verantwortlicher und nicht Teil des Auftrags; die Datenschutzerklärung beschreibt sie.

Der Anbieter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die ihn selbst nach diesem Vertrag treffen. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet der Anbieter dafür.

Eine Änderung der Liste teilt der Anbieter dem Kunden mindestens dreißig Tage vor ihrem Wirksamwerden in Textform mit und weist dabei auf die Bedeutung seines Schweigens hin. Der Kunde kann der Änderung binnen dreißig Tagen aus einem datenschutzrechtlichen Grund widersprechen; widerspricht er nicht, gilt die Änderung als genehmigt. Wird nach einem Widerspruch keine Einigung erzielt, darf der Kunde den Vertrag über die Nutzung der Plattform zum Zeitpunkt des Wirksamwerdens außerordentlich kündigen.

Muss ein Unterauftragsverarbeiter aus einem wichtigen Grund kurzfristig ersetzt werden — etwa weil er ausfällt, kündigt oder sich als unsicher erweist —, darf der Anbieter ihn sofort austauschen. Er unterrichtet den Kunden unverzüglich; das Widerspruchsrecht nach Absatz 11 bleibt unberührt.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Anbieter für seinen eigenen Betrieb bezieht und bei denen ein Zugriff auf Daten des Kunden weder vorgesehen noch zu erwarten ist — etwa Telekommunikation, Post- und Zustelldienste, Reinigung, Steuer- und Rechtsberatung sowie die Wartung von Hardware, bei der die Datenträger beim Anbieter verbleiben.

7. Unterstützung bei Anfragen betroffener Personen

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen zu beantworten — insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

Die Plattform stellt dafür Funktionen bereit: Der Kunde kann die Daten eines Benutzers einsehen, berichtigen, in einem gängigen Format ausleiten und löschen, ohne den Anbieter einzuschalten. Soweit der Kunde damit auskommt, ist die Unterstützung für ihn kostenlos; für darüber hinausgehenden Aufwand kann der Anbieter seine Zeit berechnen.

Wendet sich eine betroffene Person unmittelbar an den Anbieter, beantwortet er die Anfrage nicht selbst, sondern leitet sie unverzüglich an den Kunden weiter und weist die Person auf ihn als Verantwortlichen hin.

8. Meldepflichten und weitere Unterstützung

Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, meldet er sie dem Kunden unverzüglich, also ohne schuldhaftes Zögern nach Kenntnisnahme. Die Meldung geht an die Adresse, die der Kunde dafür in seinem Konto hinterlegt hat.

Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Was zum Zeitpunkt der Meldung noch nicht feststeht, reicht der Anbieter unverzüglich nach.

Der Anbieter meldet eine solche Verletzung nicht selbst an die Aufsichtsbehörde und unterrichtet nicht selbst die betroffenen Personen; das ist Sache des Kunden als Verantwortlichem. Der Anbieter liefert ihm die Angaben, die er dafür braucht.

Der Anbieter unterstützt den Kunden bei der Einhaltung der Artikel 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, soweit die dafür nötigen Angaben allein dem Anbieter vorliegen.

Verlangt eine Behörde oder ein Gericht die Herausgabe von Daten des Kunden, unterrichtet der Anbieter den Kunden unverzüglich, soweit ihm das erlaubt ist, und gibt nichts heraus, wozu er nicht verpflichtet ist.

9. Löschung und Rückgabe nach Vertragsende

Der Kunde kann seine Inhalte während der gesamten Laufzeit über die Plattform in einem gängigen Format ausleiten.

Nach dem Ende des Vertrages hält der Anbieter die Inhalte des Kunden noch dreißig Tage zum Abruf bereit. Danach löscht er sie. Eine abweichende Weisung des Kunden — Rückgabe statt Löschung oder eine kürzere Frist — geht vor, sofern sie vor Ablauf der dreißig Tage in Textform vorliegt.

In Sicherungskopien bleiben die Daten bis zum Ablauf des jeweiligen Sicherungszyklus erhalten, längstens jedoch neunzig Tage. Innerhalb dieses Zeitraums werden sie nicht mehr verarbeitet, sondern nur noch vorgehalten; eine Wiederherstellung aus einer solchen Kopie führt der Anbieter nur durch, wenn der Kunde es verlangt oder ein Störfall es erfordert.

Unberührt bleiben gesetzliche Aufbewahrungspflichten, insbesondere für Rechnungen und Buchungsbelege. Solche Daten löscht der Anbieter erst nach Ablauf der jeweiligen Frist und verarbeitet sie bis dahin nur zu diesem Zweck.

Geräte des Kunden, die an den Anbieter zurückgehen, setzt er vor jeder weiteren Verwendung zurück.

Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

10. Nachweise und Überprüfungen

Der Anbieter stellt dem Kunden auf Verlangen die Informationen zur Verfügung, die dieser zum Nachweis der Einhaltung dieses Vertrages braucht, und antwortet darauf in Textform innerhalb angemessener Frist.

Der Kunde kann die Einhaltung überprüfen: durch Auskunft des Anbieters, durch Vorlage der Anlage nach Ziffer 5 und vorhandener Nachweise oder Prüfberichte und, soweit das nicht genügt, durch eine Prüfung vor Ort. Eine Prüfung vor Ort kündigt der Kunde mit angemessener Frist an und führt sie während der Geschäftszeiten des Anbieters durch, ohne dessen Betrieb unangemessen zu stören.

Prüfungen vor Ort finden ohne besonderen Anlass höchstens einmal im Kalenderjahr statt. Besteht ein konkreter Anlass — etwa eine Verletzung des Schutzes personenbezogener Daten, eine Anordnung einer Aufsichtsbehörde oder ein begründeter Verdacht auf einen Verstoß gegen diesen Vertrag —, kann der Kunde auch darüber hinaus prüfen. Das Recht auf Auskunft und auf Vorlage von Nachweisen ist der Zahl nach nicht beschränkt.

Setzt der Kunde für die Prüfung einen Dritten ein, darf dieser kein Wettbewerber des Anbieters sein und muss zur Verschwiegenheit verpflichtet werden.

Den eigenen Aufwand trägt jede Partei selbst. Für Prüfungen, die über eine jährliche Prüfung hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann der Anbieter seinen Aufwand nach Zeit berechnen; er weist vorher auf die zu erwartende Höhe hin.

11. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Artikel 82 DSGVO.

Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen. Danach haftet der Anbieter bei leichter Fahrlässigkeit nur für die Verletzung wesentlicher Vertragspflichten und begrenzt auf den vertragstypischen, vorhersehbaren Schaden, höchstens 10.000 Euro je Schadensfall und 25.000 Euro je Kalenderjahr; unbeschränkt haftet er bei Vorsatz, grober Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz sowie bei Garantie und Arglist.

Eine Freistellung im Innenverhältnis richtet sich nach dem Anteil, den jede Partei an dem Verstoß trägt.

12. Schlussbestimmungen

Anlage zu diesem Vertrag ist das Dokument „Technische und organisatorische Maßnahmen“ (Ziffer 5). Die Liste der Unterauftragsverarbeiter ist Bestandteil dieses Vertrages und wird nach Ziffer 6 fortgeschrieben.

Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

Ist eine Bestimmung dieses Vertrages unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt, was ihrem Zweck rechtlich zulässig am nächsten kommt.

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Anbieters, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.