Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Reunitems stellt dem Betrieb einen Online-Fundbürodienst bereit: eine öffentliche Betriebsseite mit Formularen für verlorene und gefundene Gegenstände, einen Bereich für das Team zum Verwalten und Zuordnen von Meldungen sowie E-Mails an Gäste und Finder. Dabei verarbeitet Reunitems personenbezogene Daten im Auftrag des Betriebs. Dieser Vertrag gilt, solange der Betrieb Reunitems nutzt, und endet automatisch, wenn der Betrieb gelöscht wird.

2. Art und Zweck der Verarbeitung

Entgegennahme von Meldungen über die Formulare des Betriebs; Speicherung zusammen mit Fotos und Notizen des Teams; Anzeige für das Team des Betriebs; Berechnung von Zuordnungsvorschlägen; Versand von E-Mails zu einer Meldung im Namen des Betriebs; automatische Löschung nach der Aufbewahrungseinstellung des Betriebs. Zweck ist, verlorene Gegenstände ihren Eigentümern zurückzugeben.

3. Art der Daten und betroffene Personen

Gäste, die etwas verloren haben: Name, E-Mail-Adresse, Beschreibung und Kategorie des Gegenstands, Datum und ungefähre Uhrzeit, ein freiwilliges Foto, Zeitpunkt der Einwilligung und bevorzugte Sprache.

Finder: dieselben Angaben zum gefundenen Gegenstand, ob er abgegeben oder aufbewahrt wird, sowie, falls angegeben, Name und E-Mail-Adresse.

Die Konten des Teams des Betriebs fallen nicht unter diesen Vertrag: Dafür ist Reunitems selbst verantwortlich (siehe Datenschutzerklärung).

4. Pflichten des Betriebs

Der Betrieb ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er legt fest, wie lange abgeschlossene Meldungen aufbewahrt werden (Aufbewahrungseinstellung), und sorgt dafür, dass nur berechtigte Personen zu seinem Team gehören.

Der Betrieb erteilt seine Weisungen über die Einstellungen und Funktionen des Team-Bereichs und bei Bedarf per E-Mail. Er informiert Reunitems unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Pflichten von Reunitems

Reunitems verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs, sofern nicht Unionsrecht oder deutsches Recht etwas anderes verlangt; in diesem Fall informiert Reunitems den Betrieb vorab, soweit das Gesetz es erlaubt. Reunitems weist den Betrieb darauf hin, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Alle Personen, die für Reunitems arbeiten und Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Reunitems nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht und verwendet sie weder für Werbung noch für Analysen.

Reunitems unterstützt den Betrieb, soweit möglich, bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) und bei der Einhaltung seiner Pflichten nach Art. 32–36 DSGVO.

Reunitems informiert den Betrieb unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten des Betriebs bekannt geworden ist, mit den Angaben, die der Betrieb für eine Meldung benötigt.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Hosting in Rechenzentren in Frankfurt am Main; verschlüsselte Übertragung (HTTPS) und verschlüsselte Speicherung bei den Hosting-Anbietern.

Zugriffskontrolle: Datenbankregeln stellen sicher, dass das Team eines Betriebs nur dessen eigene Meldungen sieht; persönliche Konten mit Passwörtern von mindestens 10 Zeichen und optionaler Zwei-Faktor-Authentifizierung; Fotos in privatem Speicher, nur über kurzlebige Links abrufbar, ohne Metadaten wie den Aufnahmeort.

Datenminimierung und Löschung: Die Formulare fragen nur das Nötige ab; abgeschlossene Meldungen werden nach der Aufbewahrungsfrist des Betriebs automatisch gelöscht, Meldungen, die 180 Tage nicht bearbeitet wurden, automatisch abgeschlossen. Sicherheitsrelevante Aktionen werden protokolliert; das Protokoll wird nach 730 Tagen gelöscht.

Reunitems darf diese Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Betrieb ist damit einverstanden, dass Reunitems diese Unterauftragsverarbeiter einsetzt: Supabase Inc. (Datenbank, Dateispeicher und Anmeldung; Server in Frankfurt am Main), DigitalOcean, LLC (Hosting der Anwendung; Server in Frankfurt am Main) und Mailjet SAS, Teil der Sinch AB (E-Mail-Versand; Server in der EU).

Supabase und DigitalOcean haben ihren Sitz in den USA und sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO). Reunitems hat mit allen Unterauftragsverarbeitern Auftragsverarbeitungsverträge geschlossen, die dieselben Datenschutzpflichten wie dieser Vertrag vorsehen.

Reunitems informiert den Betrieb per E-Mail, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Betrieb kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; findet sich keine Lösung, kann jede Seite die Nutzung von Reunitems beenden.

8. Löschung bei Vertragsende

Wenn der Betrieb Reunitems nicht mehr nutzt, werden der Betrieb und alle seine Meldungen, Fotos und Notizen gelöscht. Vorher stellt Reunitems dem Betrieb auf Anfrage einen Export seiner Daten als ZIP-Datei bereit (Meldungen, Notizen, Team und Kategorien als CSV-Dateien sowie die Fotos). Kopien in den Datensicherungen der Hosting-Anbieter werden in deren regulärem Zyklus überschrieben.

9. Nachweise und Kontrollen

Reunitems stellt dem Betrieb die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen durch den Betrieb oder einen von ihm beauftragten Prüfer nach angemessener Vorankündigung und ohne Störung des Betriebs. In der Regel genügen diese Seite und schriftliche Auskünfte von Reunitems.

10. Schlussbestimmungen

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem der Betrieb beim Antrag oder im Team-Bereich das Kästchen ankreuzt. Reunitems speichert, welche Version wann von welchem Konto akzeptiert wurde.

Ändert Reunitems diesen Vertrag, wird die Admin-Person des Betriebs bei der nächsten Anmeldung gebeten, der neuen Version zuzustimmen. Die Haftung richtet sich nach Art. 82 DSGVO. Es gilt deutsches Recht; Gerichtsstand ist München, soweit gesetzlich zulässig. Ist eine Bestimmung unwirksam, bleibt der Rest des Vertrags wirksam.

Fragen zu diesem Vertrag: [email protected].