Teil IV - Auftragsabwicklung durch Vendoren

1. Einleitung, Anwendungsbereich, Definitionen
   1.1. CopeCart Pro Ltd (für diesen Teil IV "Auftraggeber") lässt personenbezogene Daten durch den Vendor (für diesen Teil IV "Auftragnehmer") zum Zwecke der Durchführung von Geschäften (der jeweilige "Hauptvertrag") im Auftrag des Auftraggebers verarbeiten. Zur Durchführung des Hauptvertrages beauftragt der Auftraggeber den Auftragnehmer mit der Auftragsverarbeitung gemäß Art. 28 DSGVO, soweit die gesetzlichen Voraussetzungen hierfür erfüllt sind. Im Falle von Widersprüchen hat dieser Auftragsverarbeitungsvertrag Vorrang vor dem Hauptvertrag.
   1.2. Die in diesem Vertrag verwendeten Begriffe sind gemäß ihrer Definition in der EU-Datenschutzgrundverordnung zu verstehen. In diesem Sinne ist der Auftraggeber der "Verantwortliche" und der Auftragnehmer der "Auftragsverarbeiter". Soweit Erklärungen im Folgenden "schriftlich" abzugeben sind, ist die Schriftform gemäß § 126 BGB gemeint. Im Übrigen können Erklärungen auch in einer anderen Form abgegeben werden, eine entsprechende Nachprüfbarkeit gewährleistet ist.

2. Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung
   2.1. Art und Zweck der Verarbeitung. Es handelt sich um folgende Verarbeitungen: Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen oder Verändern, Cross-Selling, Upselling, Auslesen, Verwenden, Offenlegen durch Übermittlung , Verbreiten oder sonstiges Zugänglichmachen, Abgleichen oder Zusammenführen, Einschränken, Löschen oder Vernichten von Daten. Die Verarbeitung dient folgendem Zweck: Vertragserfüllung, Vertragsabwicklung. Von der Verarbeitung sind die Dateninhaber betroffen.

3. Gegenstand und Dauer der Verarbeitung
   3.1. Gegenstand der Verarbeitung. Der Auftragnehmer übernimmt die folgende Verarbeitung:
   3.2. Allgemeine personenbezogene Daten:
   3.2.1. Name
   3.2.2. Datum und Ort der Geburt
   3.2.3. oder der Wohnsitz einer Person
   3.3. Identifikationsnummern
   3.4. Online-Daten
   3.5. Die Verarbeitung erfolgt auf der Grundlage der zwischen den Parteien bestehenden Hauptverträge.
   3.6. Dauer: Die Verarbeitung beginnt mit dem Datum des Abschlusses des jeweiligen Hauptvertrags und läuft auf unbestimmte Zeit, bis dieser Vertrag oder der Hauptvertrag von einer der Parteien gekündigt wird.‍

4. Pflichten des Auftragnehmers
   4.1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den vertraglichen Vereinbarungen oder den Anweisungen des Auftraggebers, es sei denn, der Auftragnehmer ist gesetzlich verpflichtet, sie in einer bestimmten Weise zu verarbeiten. Bestehen solche Verpflichtungen für den Auftragnehmer, so hat er den Auftraggeber vor der Verarbeitung darüber zu unterrichten, es sei denn, die Unterrichtung ist gesetzlich verboten. Darüber hinaus darf der Auftragnehmer die zur Verarbeitung überlassenen Daten nicht für andere Zwecke, insbesondere nicht für eigene Zwecke, verwenden.
   4.2. Der Auftragnehmer bestätigt, dass ihm die einschlägigen allgemeinen Datenschutzbestimmungen bekannt sind. Er wird die Grundsätze der ordnungsgemäßen Datenverarbeitung beachten.
   4.3. Der Auftragnehmer verpflichtet sich, bei der Bearbeitung von strengste Vertraulichkeit zu wahren.
   4.4. Personen, die von den im Auftrag verarbeiteten Daten Kenntniserlangen können, müssen sich schriftlich zur Verschwiegenheitverpflichten,soweit sie nicht bereits durch Gesetz einer entsprechenden Geheimhaltungspflicht unterliegen.
   4.5. Der Auftragnehmer sichert zu, dass die von ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den einschlägigen Bestimmungen des Datenschutzes und dieses Vertrages vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind in regelmäßigen zu wiederholen. Der Auftragnehmer stellt sicher, dass die zur Auftragsabwicklung eingesetzten Personen im Hinblick auf die Erfüllung der datenschutzrechtlichen Anforderungen angemessen unterwiesen und fortlaufend überwacht werden.
   4.6. Im Zusammenhang mit der Auftragsverarbeitung unterstützt der Auftragnehmer den Auftraggeber bei der Erstellung und Aktualisierung des Verzeichnisses der Verarbeitungstätigkeiten und bei der Durchführung der Datenschutz-Folgenabschätzung. Alle erforderlichen Informationen und Unterlagen sind bereitzuhalten und dem Auftraggeber auf Verlangen unverzüglich zu übermitteln.
   4.7. Unterliegt der Auftraggeber einer Kontrolle durch Aufsichtsbehörden oder andere Stellen oder machen Betroffene Rechte gegen ihn geltend, verpflichtet sich der Auftragnehmer, den Auftraggeber im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.
   4.8. Der Auftragnehmer darf Dritten oder der betroffenen Person nur mit vorheriger Zustimmung des Auftraggebers Auskunft erteilen. Der Auftragnehmer wird direkt an ihn gerichtete Anfragen unverzüglich an den Auftraggeber weiterleiten.
   4.9. Soweit gesetzlich vorgeschrieben, hat der Auftragnehmer eine kompetente und zuverlässige Person als Datenschutzbeauftragten zu benennen. Es muss sichergestellt sein, dass keine Interessenkonflikte für den Beauftragten bestehen. In Zweifelsfällen kann sich der Auftraggeber direkt an den Datenschutzbeauftragten wenden. Der Auftragnehmer teilt dem Auftraggeber unverzüglich die Kontaktdaten des Datenschutzbeauftragten mit oder erklärt, warum kein Datenschutzbeauftragter benannt wurde. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über jede Änderung in Person oder in den internen Aufgaben des Beauftragten.
   4.10. Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU bzw. des EWR. Eine Verlagerung in ein Drittland darf nur mit ausdrücklicher Zustimmung des Auftraggebers und unter den Voraussetzungen des Kapitels V der Datenschutz-Grundverordnung sowie unter Einhaltung der Bestimmungen dieses Vertrages erfolgen.
   4.11. Ist der Auftragnehmer nicht in der Europäischen Union ansässig, benennt er einen verantwortlichen Ansprechpartner in der Europäischen Union gemäß Art. 27 der Datenschutz-Grundverordnung. Die Kontaktdaten des Ansprechpartners sowie jede Änderung in der Person des Ansprechpartners sind dem Auftraggeber unverzüglich mitzuteilen.

5. Meldepflichten
   5.1. Der Auftragnehmer hat den Auftraggeber unverzüglich über Verstöße gegen den Schutz personenbezogener Daten zu informieren. Auch begründete Verdachtsmomente sind zu melden. Die Meldung muss innerhalb von 24 Stunden, nachdem der Auftragnehmer von dem betreffenden Ereignis Kenntnis erlangt hat, an eine vom Auftraggeber angegebene Adresse gesandt werden. Sie muss mindestens die folgenden Angaben enthalten:
   5.1.1. Eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, einschließlich, soweit möglich, der betroffenen Schutzkategorien und der ungefähren Anzahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze;
   5.1.2. Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktstelle für weitere Informationen;
   5.1.3. Eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
   5.1.4. Eine Beschreibung der Maßnahmen, die der Auftragnehmer ergriffen hat oder zu ergreifen gedenkt, um die Verletzung des Schutzes personenbezogener Daten zu beheben, sowie gegebenenfalls Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen.
   5.2. Erhebliche Störungen in der Auftragserfüllung sowie Verstöße des Auftragnehmers oder seiner Erfüllungsgehilfen gegen datenschutzrechtliche Vorschriften oder gegen die Bestimmungen dieses Vertrages sind ebenfalls unverzüglich zu melden.
   5.3. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden oder sonstigen Dritten, soweit diese im Zusammenhang mit der Auftragsabwicklung stehen.
   5.4. Der Auftragnehmer sichert zu, den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 33 und 34 der Datenschutz- Grundverordnung zu unterstützen, soweit dies erforderlich ist.

6. Technische und organisatorische Maßnahmen
   6.1. Die in Anlage 1 beschriebenen Datensicherheitsmaßnahmen sind als verbindlich definiert. Sie definieren das vom Auftragnehmer geschuldete Minimum. Die Beschreibung der Maßnahmen muss so detailliert sein, dass ein sachkundiger Dritter allein aufgrund der Beschreibung jederzeit zweifelsfrei erkennen kann, welches Minimum geschuldet wird. Eine Bezugnahme auf Angaben, die nicht unmittelbar aus dieser Vereinbarung oder ihren Anhängen entnommen werden können, ist nicht zulässig.
   6.2. Die Datensicherheitsmaßnahmen können an die technische und organisatorische Entwicklung angepasst werden, solange sie das hier vereinbarte Niveau nicht unterschreiten. Änderungen, die zur Aufrechterhaltung der Informationssicherheit erforderlich sind, hat der Auftragnehmer unverzüglich umzusetzen. Änderungen sind dem Auftraggeber unverzüglich mitzuteilen. Wesentliche Änderungen müssen zwischen den Parteien abgestimmt werden.
   6.3. Entsprechen die getroffenen Sicherheitsmaßnahmen nicht oder nicht mehr den Anforderungen des Auftraggebers , so hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren.
   6.4. Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten strikt von anderen Datenbeständen getrennt werden.
   6.5. Kopien oder Vervielfältigungen dürfen nicht ohne Wissen des Auftraggebers angefertigt werden. Dies gilt nicht für technisch notwendige, vorübergehende Kopien, sofern eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist.
   6.6. Die Verarbeitung von Daten in Privatwohnungen ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers im Einzelfall zulässig. Erfolgt solche Verarbeitung, so stellt der Auftragnehmer sicher, dass ein diesem Vertrag entsprechendes Datenschutz- und Datensicherheitsniveau eingehalten wird und die in diesem Vertrag genannten Kontrollrechte des Auftraggebers auch in den betreffenden Privatwohnungen uneingeschränkt ausgeübt werden können. Die Verarbeitung von Daten im Auftrag des Auftraggebers mit privaten Geräten ist in keinem Fall zulässig.
   6.7. Dedizierte Datenträger, die vom Kunden stammen oder für den Kunden verwendet werden, sind besonders zu kennzeichnen und unterliegen einer laufenden Verwaltung. Sie müssen jederzeit ordnungsgemäß aufbewahrt werden und Unbefugten nicht zugänglich sein. Inputs und Outputs werden dokumentiert.
   6.8. Der Auftragnehmer hat die Erfüllung seiner Verpflichtungen, insbesondere die vollständige Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen und deren Wirksamkeit, regelmäßig nachzuweisen. Der Nachweis ist dem Auftraggeber spätestens alle 12 Monate und ansonsten jederzeit auf Verlangen zu erbringen. Der Nachweis kann durch genehmigte  Verhaltenskodizes oder ein genehmigtes Zertifizierungsverfahren erbracht werden.

7. Beziehungen zu Unterauftragnehmern
   7.1. Die Beauftragung von Unterauftragnehmern ist nur mit schriftlicher Zustimmung des Auftraggebers im Einzelfall zulässig.
   7.2. Eine Einwilligung ist nur möglich, wenn der Unterauftragnehmer vertraglich zu Datenschutzverpflichtungen verpflichtet wurde, die mindestens mit in diesem Vertrag vereinbarten vergleichbar sind. Auf Anfrage erhält der Auftraggeber Einsicht in die entsprechenden Verträge zwischen dem Auftragnehmer und dem Unterauftragnehmer.
   7.3. Die Rechte des Auftraggebers müssen auch gegenüber dem Unterauftragnehmer wirksam ausgeübt werden können. Insbesondere muss der Auftraggeber befugt seinin dem hier festgelegten Umfang jederzeit Kontrollen bei den Subunternehmern durchzuführen oder durch Dritte durchführen zu lassen.
   7.4. Die Verantwortlichkeiten des Auftragnehmers und Unterauftragnehmers müssen klar abgegrenzt sein.
   7.5. Die Weitervergabe von Unteraufträgen durch den Unterauftragnehmer im Rahmen eines weiteren Unterauftrag ist nicht zulässig.
   7.6. Der Auftragnehmer wählt den Unterauftragnehmer sorgfältig aus und achtet dabei insbesondere auf die Eignung der technischen und organisatorischen Maßnahmen des Unterauftragnehmers.
   7.7. Die Weitergabe von im Auftrag verarbeiteten Daten an den Unterauftragnehmer ist nur zulässig, wenn der Auftragnehmer dokumentiert hat, dass der Unterauftragnehmer seine Verpflichtungen vollständig erfüllt hat. Der Auftragnehmer hat dem Auftraggeber die Dokumentation unaufgefordert vorzulegen.
   7.8. Die Beauftragung von Unterauftragnehmern, die nicht ausschließlich Verarbeitungsleistungen aus dem Gebiet der EU oder des EWR erbringen, ist nur zulässig, wenn die in Teil IV Abschnitte 4.10. und 4.11. dieser Datenschutzverordnung genannten Bedingungen eingehalten werden. Sie ist insbesondere nur zulässig, wenn und solange der Unterauftragnehmer angemessene Datenschutzgarantien bietet. Der Auftragnehmer teilt dem Auftraggeber unter mit, welche konkreten Datenschutzgarantien der Unterauftragnehmer bietet und wie der Nachweis dafür erbracht werden kann.
   7.9. Der Auftragnehmer führt regelmäßig, mindestens alle 12 Monate, eine angemessene Überprüfung der Einhaltung der Verpflichtungen des Unterauftragnehmers durch. Das Audit und seine Ergebnisse müssen so aussagekräftig dokumentiert werden, dass sie für einen sachkundigen Dritten nachvollziehbar sind. Die Dokumentation erfolgt in Form eines im System zur Verfügung gestellten Audits, das vom Auftragnehmer in Form eines Selbstaudits durchgeführt wird.
   7.10. Kommt der Unterauftragnehmer seinen Datenschutzverpflichtungen nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber dafür.
   7.11. Derzeit werden die in Anlage 2 mit Namen, Anschrift und Auftragsinhalt genannten Unterauftragnehmer in dem dort genannten und vom Auftraggeber genehmigten Umfang mit der Verarbeitung personenbezogener Daten beauftragt. Die sonstigen hier genannten Verpflichtungen des Auftragnehmers gegenüber den Unterauftragnehmern bleiben unberührt.
   7.12. Als Unterauftragsverhältnisse im Sinne dieses Vertrages gelten nur solche Leistungen, die unmittelbar mit der Erbringung der Hauptleistung verbunden sind. Nebenleistungen wie z.B. Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdiensten oder Nutzerdiensten sind nicht erfasst. Die Verpflichtung des Auftragnehmers zur Einhaltung des Datenschutzes und der Datensicherheit bleibt in diesen Fällen unberührt.

8. Rechte und Pflichten des Auftraggebers
   8.1. Der Auftraggeber ist allein verantwortlich für die Beurteilung der Zulässigkeit der Auftragsverarbeitung und für die Wahrung der Rechte der betroffenen Personen.
   8.2. Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Anweisungen in dokumentierter Form. In dringenden Fällen können Anweisungen mündlich erteilt werden. Der Auftraggeber hat solche Anweisungen unverzüglich schriftlich zu bestätigen.
   8.3. Der Auftraggeber hat den Auftragnehmer unverzüglich zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten feststellt.
   8.4. Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Bestimmungen und der vertraglichen Vereinbarungen durch den Auftragnehmer in angemessenem Umfang selbst oder durch Dritte zu kontrollieren, insbesondere durch Einholung von Auskünften und Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch sonstige Kontrollen vor Ort. Den mit der Kontrolle betrauten Personen ist vom Auftragnehmer im erforderlichen Umfang Zutritt und Einsicht zu gewähren. Der Auftragnehmer ist verpflichtet, die zur Durchführung einer Kontrolle erforderlichen Auskünfte zu erteilen, Abläufe darzustellen und Nachweise zu erbringen.

9. Anweisungen
   9.1. Der Auftraggeber behält sich das Recht vor, umfassende Weisungen für die Auftragsabwicklung zu erteilen.
   9.2. Der Auftraggeber und der Auftragnehmer benennen in Anlage 3 die Personen, die ausschließlich zur Erteilung und Entgegennahme von Weisungen befugt sind.
   9.3. Im Falle eines Wechsels oder einer längerfristigen Abwesenheit der genannten Personen ist die andere Partei unverzüglich über etwaige Nachfolger oder Vertreter zu informieren.
   9.4. Der Auftragnehmer wird den Auftraggeber unverzüglich benachrichtigen, wenn eine Weisung des Auftraggebers nach seiner Auffassung gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch die zuständige Person des Auftraggebers auszusetzen.
   9.5. Der Auftragnehmer dokumentiert die ihm erteilten Anweisungen und deren Umsetzung.

10. Dienstbezüge
    Die Aufgaben und Maßnahmen des Auftragnehmers im Rahmen der Auftragsabwicklung werden unentgeltlich durchgeführt. Eine Vergütung wird nicht gezahlt.

11. Besonderes Widerrufsrecht
    11.1. Der Auftraggeber kann den Hauptvertrag und diesen Vertrag jederzeit fristlos kündigen ("außerordentliche Kündigung"), wenn der Auftragnehmer in schwerwiegender Weise gegen datenschutzrechtliche Vorschriften oder die Bestimmungen dieses Vertrages verstößt, wenn der Auftragnehmer nicht in der Lage oder nicht willens ist, eine rechtmäßige Weisung des Auftraggebers auszuführen oder wenn der Auftragnehmer sich vertragswidrig weigert, die Kontrollrechte des Auftraggebers zu erfüllen.
    11.2. Ein schwerwiegender Verstoß liegt insbesondere dann vor, wenn der Auftragnehmer die in diesem Vertrag genannten Verpflichtungen, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen, in erheblichem Umfang nicht erfüllt oder erfüllt hat.
    11.3. Bei unerheblichen Verstößen hat der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Abhilfe zu setzen. Erfolgt die Abhilfe nicht rechtzeitig, hat der Auftraggeber das Recht zur außerordentlichen Kündigung nach Maßgabe dieses Abschnitts.
    11.4.  Der Auftragnehmer erstattet dem Auftraggeber alle Kosten, die Auftraggeber durch die vorzeitige Beendigung des Hauptvertrages oder die vorzeitige Beendigung des Hauptvertrages entstehen.

12. Beendigung des Auftrags
    12.1. Bei Beendigung des Vertragsverhältnisses oder jederzeit auf Verlangen des Auftraggebers wird der Auftragnehmer die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers entweder vernichten oder dem Auftraggeber aushändigen. Alle vorhandenen Kopien der Daten sind ebenfalls zu vernichten. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Die physische Vernichtung hat nach DIN 66399 zu erfolgen, wobei mindestens die Schutzklasse 2 gilt.
    12.2. Der Auftragnehmer ist verpflichtet, die unverzügliche Rückgabe der Ware sicherzustellen. auch für Subunternehmer.
    12.3. Der Auftragnehmer hat den Nachweis der ordnungsgemäßen Vernichtung zu erbringen und dem Auftraggeber unverzüglich vorzulegen.
    12.4. Dokumentation, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind vom Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über Vertragsende hinaus aufzubewahren. Der Auftragnehmer kann sie dem Auftraggeber bei Vertragsende zur Entlastung des Auftraggebers aushändigen.

13. Haftung
    13.1. Der Auftragnehmer trägt die Beweislast dafür, dass ein Schaden nicht auf einen von ihm zu vertretenden Umstand zurückzuführen ist, soweit die betreffenden Daten von ihm im Rahmen dieses Vertrages verarbeitet wurden. Solange dieser Nachweis nicht erbracht ist, hat der Auftragnehmer den Auftraggeber von allen Ansprüchen freizustellen, die im Zusammenhang mit der Auftragsverarbeitung gegen den Auftraggeber geltend gemacht werden. Unter diesen Voraussetzungen erstattet der Auftragnehmer dem Auftraggeber auch alle entstandenen Rechtsverteidigungskosten.
    13.2. Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter oder die von ihm mit der Vertragserfüllung beauftragten Nachunternehmer oder die von ihm eingesetzten Nachunternehmer im Zusammenhang mit der Erbringung der beauftragten Vertragsleistung schuldhaft verursachen.
    13.3. Teil IV Ziffern 13.1. und 13.2. gelten nicht, wenn der Schaden durch die ordnungsgemäße Ausführung der beauftragten Leistung oder eine Weisung des Auftraggebers verursacht wurde.
    13.4. Der Auftraggeber gibt keine Garantien, Zusicherungen oder Empfehlungen in Bezug auf die Produkte des Auftragnehmers, ihre Eignung für den Verkauf oder sonstige Nebenforderungen und übernimmt keinerlei Haftung in Bezug auf die zu verkaufenden Produkte.

14. Vorschriften über die Berichtigung, Löschung und Sperrung von Daten
    14.1. Der Auftragnehmer berichtigt, löscht oder sperrt die im Rahmen des Auftrags verarbeiteten Daten nur nach Maßgabe der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers.
    14.2. Der Auftragnehmer hat die entsprechenden Weisungen des Auftraggebers jederzeit und auch über die Beendigung dieses Vertrages hinaus zu befolgen.

15. Konventionalstrafe
    Für jede schuldhafte Verletzung einer Verpflichtung aus diesem Datenverarbeitungsvertrag verpflichtet sich der Auftragnehmer, an den Auftraggeber eine Vertragsstrafe zu zahlen, deren Festsetzung im billigen Ermessen des Auftraggebers steht und die im Streitfall der gerichtlichen Überprüfung unterliegt. Ansprüche, die über die Vertragsstrafe hinausgehen, bleiben davon unberührt. Die Vertragsstrafe hat keinen Einfluss auf andere Ansprüche des Auftraggebers.

16. Übermittlung an Drittländer
    Um ein angemessenes Datenschutzniveau bei der Übermittlung von personenbezogenen Daten in Drittländer zu gewährleisten, verwendet die CopeCart Pro Ltd. die von der Europäischen Kommission genehmigten Standardvertragsklauseln. Diese Klauseln regeln die Verarbeitung personenbezogener Daten durch unsere Auftragsverarbeiter und gewährleisten die Einhaltung der Datenschutzbestimmungen sowohl der EU als auch des jeweiligen Drittlandes. Wir verweisen auch auf unsere Allgemeinen Geschäftsbedingungen und unsere Datenschutzrichtlinie.

17. Sonstiges
    17.1. Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der anderen Partei auch nach Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie so lange vertraulich zu behandeln, bis sie von der anderen Partei schriftlich freigegeben wird.
    17.2. Wird das Eigentum des Auftraggebers durch Maßnahmen Dritter (z. B. Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet, so hat der Auftragnehmer den Auftraggeber unverzüglich zu unterrichten.
    17.3. Zusätzliche Vereinbarungen müssen schriftlich getroffen werden.
    17.4. Die Einrede des Zurückbehaltungsrechts im Sinne des § 273 BGB ist hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
    17.5. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

18. Anlage 1 – Technische und organisatorische Maßnahmen
    Die auftragsbezogenen technischen und organisatorischen Maßnahmen zur Gewährleistung des Datenschutzes und der Datensicherheit, die der Auftragnehmer mindestens einrichten und fortlaufend aufrechterhalten muss, sind nachfolgend aufgeführt. Ziel ist es insbesondere, die Vertraulichkeit, Integrität und Verfügbarkeit der im Auftrag verarbeiteten Informationen sicherzustellen.
    Geheimhaltung (Art. 32 Abs. 1 lit. b DSGVO)
    18.1. Zugangskontrolle: Kein unberechtigter Zugang zu Datenverarbeitungssystemen, z.B. Magnet- oder Chipkarten: Magnet- oder , Schlüssel, elektrische Türöffner, Werkschutz oder Pförtner, Alarmanlagen, Videosysteme;
    18.2. Zugangskontrolle: Keine unbefugte Systemnutzung, z.B. (sichere) Passwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern: (sichere) Passwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern;
    18.3. Zugangskontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung des Zugriffs;
    18.4. Trennungskontrolle Getrennte Verarbeitung von Daten, die für unterschiedliche Zwecke erhoben wurden, z. B. Mandantenfähigkeit, Sandboxing;
    18.5. Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO) Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen getrennt aufbewahrt werden und geeigneten technischen und organisatorischen Maßnahmen unterliegen;
    Integrität (Art. 32 Abs. 1 lit. b GDPR)
    18.6. Übertragungskontrolle Kein unbefugtes Lesen, Kopieren, Ändern der Entfernen während der elektronischen Übertragung oder des Transports, z. B. Verschlüsselung, virtuelle private Netzwerke (VPN), elektronische Signatur: Verschlüsselung, Virtuelle Private Netze (VPN), Elektronische Signatur;
    18.7. Eingabekontrolle Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, geändert oder entfernt , z. B. Protokollierung, Dokumentenmanagement: Protokollierung, Dokumentenverwaltung;
    Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b GDPR)
    18.8. Verfügbarkeitskontrolle Schutz vor zufälliger oder vorsätzlicher Zerstörung oder Verlust, z. B. Backup-Strategie (online/offline; on-site/off-site): Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;
    Schnelle Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c GDPR);
    18.9. Verwaltung des Datenschutzes;
    18.10. Management der Reaktion auf Vorfälle;
    18.11. Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 GDPR);

19. Auftragskontrolle
    19.1. Keine Auftragsdatenverarbeitung im Sinne von Art. 28 GDPR ohne entsprechende Weisung des Auftraggebers, z.B: Klare Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Überzeugungspflicht im Vorfeld, Nachkontrollen.

20. Anhang 2 – Unterauftragsverarbeiter
    Marketing MBA, Büro 1906 Jumeirah Business Centre 3, Cluster Y, Jumeirah Lake Towers, Dubai, Vereinigte Arabische Emirate. rp@aiv.group (CEO Raoul Plickat)
    20.1. Vom Unteranbieter verwendete Tools und Programme, die personenbezogene Daten verarbeiten:
    20.1.1. Slack Technologies Limited: Salesforce Tower 60 R801, North Dock Dublin Irland privacy@slack.com
    20.1.2. Monday.com: MondayCom Ltd, 6 Yitzhak Sadeh Street, Tel Aviv-Yafo, 677750 https://monday.com/helpcenter/
    20.1.3. Notion: Hendrik Beck & Sascha Rehbock GbR, Hanauer Str.3,61118 Bad info@getgamma.app
    20.1.4. Google: Google Workspace Google Analytics Google Tag Manager Google Ireland Limited Gordon House, Barrow Street Dublin 4 Irland deutschland@google.com
    20.1.5. Zoom: Zoom Video Communications, Inc. 55 Almaden Blvd, Suite 600, San Jose, CA 95113, USA privacy@zoom.us
    20.1.6. Calendly: Calendly LLC,1315 Peachtree St NE, Atlanta, GA 30309, USA privacy@calendly.com
    20.1.7. WebinarJam: 7660 Fay Ave Ste H184, La Jolla, Kalifornien, 92037, Vereinigte Staaten support@webinarjam.com
    20.1.8. Close CRM: Elastic Inc, PO Box 1145, Jackson, WY 83001, USA dpo@close.com
    20.1.9. Keeping: Katsu Ventures LLC, 90 State Street, Suite 700, Albany, NY 12207 support@keeping.com
    20.1.10. Active Campaign: Active Campaign LLC, 1 N Dearborn St Fl 5, Chicago, Illinois, 60602, Vereinigte Staaten help@activecampaign.com
    20.1.11. WebSMS: LINK Mobility Austria GmbH, Brauquartier 5/13, 8055 Graz, ÖSTERREICH office.at@linkmobility.com
    20.1.12. Slido: Cisco Systems, Inc, Rechtsabteilung, 170 West Tasman Dr, San Jose, CA 95134 USA support@slido.com
    20.1.13. Jotform: Jotform Inc. 4 Embarcadero Centre, Suite 780, San Francisco CA 94111 support@jotform.com
    20.1.14. WebFlow: WebFlow Inc, 398 11th Street, Floor 2, San Francisco, CA 94103 support@webflow.com
    20.1.15. Clickfunnels: Clickfunnels LLC, 3443 W Bavria St, Eagle, Idaho 83616, US support@clickfunnels.com
    20.1.16. funnelcockpit: Denis Hoeger Caballero, Nobelstr- 3-5, 41189 Mönchengladbach, Deutschland support@funnelcockpit.com
    20.1.17. Kajabi: Kajabi LLC, 333 El Camino Real Ste 200 Tustin California 92780, US support@kajabi.com
    20.1.18. AkcademyOcean: Netpeak Group Ltd, 43 Cherni Vrah bld, Sofia, Bulgarien gdpr@netpeak.net
    20.1.19. CopeMember: CopeMember Technology Ltd, Gialousas 63, 3071 Limassol, Zypern info@copemember.com
    20.1.20. CopeCart Pro: CopeCart Pro Ltd. Erdgeschoss, 71 Lower Baggot Street, Dublin 2, Co. Dublin, D02 P593, Irland
    20.1.21. Matomo: Matomo Ltd, 150 Willis St, Mount Victoria, 6011, Neuseeland privacy@matomo.org
    20.1.22. cookiebot: Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark mail@cookiebot.com
    20.1.23. Hotjar: Hotjar Ltd, Dragonara Business Centre 5th Floor, Dragonara Road, Paceville St. Julian's STJ 3141 Malta support@hotjar.com
    20.1.24. Zapier: Zapier, Inc. 548 Market St. #62411. San Francisco, CA 94104- 5401, USA contact@zapier.com
    20.1.25. vimeo: Vimeo Inc, 330 W 34th St Fl 5, New York City, New York, 10001, USA support@vimeo.com
    20.1.26. vidalytics: Vidalytics LLC, 340 S Lemon Ave, Walnut, California, 91789,USA hi@vidalytics.com‍

21. Anlage 3 – Weisungsbefugte Personen
    Die folgenden Personen sind befugt, Weisungen zu erteilen und entgegenzunehmen: Der für die Verarbeitung Verantwortliche im Sinne von Art. 4 Nr. 7 GDPR22. Anhang 4 – Datenschutzbeauftragte
    Der Auftragnehmer hat derzeit einen externen Datenschutzbeauftragten: Williams-Connect Management Janko Williams Straße der Jugend 18 14974 Ludwigsfelde kontakt@williams-connect.eu‍