Stand März 2026
1.1 Gegenstand der Vereinbarung ist die Bereitstellung von Hosting und Cloud Leistungen im Rahmen des mit dem Kunden vereinbarten Umfangs (nachfolgend auch „Hauptvertrag“) bzw. Zusatzbeauftragungen im Rahmen des Hauptvertrages und dieser Vereinbarung zum Datenschutz.
1.2 Gegenstand der Vereinbarung ist nicht die originäre Nutzung oder Verarbeitung von personenbezogenen Daten durch die INTERSHOP (Intershop Communications AG). Im Zuge der Leistungserbringung der INTERSHOP als zentraler IT-Dienstleister im Bereich des Hostings, des Supports bzw. der Administration von Server-Systemen, der Erbringung von Entwicklungsleistungen, der Durchführung von Tätigkeiten im Rahmen des Business Managements und der Speicherung von Daten des Kunden kann ein Zugriff auf personenbezogene Daten jedoch nicht ausgeschlossen werden bzw. kann auf ausdrückliche Beauftragung zugegriffen werden.
1.3 Die Laufzeit und die Kündigung dieser Vereinbarung richten sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrages. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieser Vereinbarung. Eine isolierte Kündigung dieser Vereinbarung ist ausgeschlossen.
2.1 Umfang, Art und Zweck der Zugriffsmöglichkeit der INTERSHOP auf Daten des Kunden ergeben sich aus den Leistungsbeschreibungen der einzelnen Auftragsbestätigungen der INTERSHOP. Zusammengefasst entsteht die Zugriffsmöglichkeit:
Zum Zwecke der Vertragserfüllung kann ein Zugriff der INTERSHOP auf die unter 2.2 aufgeführten Daten nicht ausgeschlossen werden bzw. erfolgt ein Zugriff nach 1.2.
2.2 Art der Daten
Die von der Auftragstätigkeit betroffenen Datenkategorien von Kunden und deren Endkunden, Lieferanten, Geschäftspartnern und Beschäftigten des Kunden lauten wie folgt:
2.3 Kategorien betroffener Personen
Die Kategorien der durch den Umgang mit ihren Daten im Rahmen dieser Vereinbarung Betroffenen umfasst:
Soweit im Hinblick auf die Aufzählung unter 2.2 und 2.3. Anpassungsbedarf besteht, werden die Parteien dies in einem Anhang zu diesem Auftrag regeln.
3.1 Die INTERSHOP gestaltet die innerbetriebliche Organisation in der Weise, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Die INTERSHOP hat die Sicherheit gem. Art. 28 Abs. 3 lit. c. sowie gem. Art. 32 DS-GVO, insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO, herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen. Die INTERSHOP trifft hierzu insbesondere die in der Anlage 1 definierten technisch-organisatorischen Maßnahmen zur angemessenen Sicherung der personenbezogenen Daten vor Missbrauch und Verlust.
3.2 Die Parteien sind sich einig, dass die technischen und organisatorischen Maßnahmen dem technischen Fortschritt und der Weiterentwicklung unterliegen. Insoweit ist es der INTERSHOP gestattet, alternative adäquate Maßnahmen umzusetzen. Sie muss die Auftraggeberin hierüber zeitnah informieren und sicherstellen, dass das Sicherheitsniveau der festgelegten Maßnahme nicht unterschritten wird. Wesentliche Änderungen sind mit dem Kunden vorab abzustimmen und von der INTERSHOP zu dokumentieren.
3.3. Die Auftraggeberin stimmt zu, dass zum Zwecke der Vertragserfüllung die Verarbeitung in Privatwohnungen der Mitarbeiter der INTERSHOP oder im Rahmen von Telearbeit erfolgen darf, soweit dies erforderlich ist. Die INTERSHOP stellt sicher, dass bei in der Privatwohnung oder in Form von Telearbeit erbrachten Diensten oder Arbeiten ausschließlich verschlüsselte Systeme der INTERSHOP genutzt werden (VPN-Verschlüsselung etc.).
4.1 Die Rechte der durch den Datenumgang bei der INTERSHOP betroffenen Personen insbesondere auf Berichtigung, Einschränkung und Löschung sind gegenüber dem Kunden geltend zu machen. Sie ist allein verantwortlich für die Wahrung dieser Rechte. Die INTERSHOP darf personenbezogene Daten nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Kunden berichtigen, löschen oder deren Verarbeitung einschränken. Die INTERSHOP hat entsprechende Weisungen des Kunden unverzüglich umzusetzen, sofern nicht eine gesetzliche Verpflichtung der INTERSHOP zur Speicherung der personenbezogenen Daten besteht.
4.2 Die INTERSHOP ist verpflichtet, im Rahmen ihrer Tätigkeit für die Auftraggeberin an sie gerichtete Ersuchen Betroffener oder Aufsichtsbehörden zur sachgerechten Bearbeitung unverzüglich an die Auftraggeberin weiterzuleiten. Sie ist nicht verpflichtet, diese Ersuchen ohne Abstimmung mit dem Kunden selbständig zu bescheiden.
4.3 Die INTERSHOP wird die Auftraggeberin auf deren Aufforderung nach besten Kräften bei der Erfüllung der Rechte der betroffenen Personen unterstützen, insb. im Hinblick auf das Recht auf Vergessenwerden und das Recht auf Datenübertragbarkeit. Die Berichtigung, Einschränkung und Löschung der betroffenen Daten während der Leistungserbringung erfolgt durch die INTERSHOP in Namen des Kunden.
4.4 Für die Unterstützung des Kunden bei der Wahrung der Rechte der betroffenen Personen steht der INTERSHOP eine Vergütung zu. Diese richtet sich mangels anderweitiger Vereinbarung nach dem Zeitaufwand und den Vergütungssätzen der jeweils aktuellen Preisliste der INTERSHOP.
5.1 Die INTERSHOP erhebt, verarbeitet und nutzt personenbezogene Daten im Rahmen des Hauptvertrags sowie der speziellen Einzelweisungen des Kunden.
5.2 Die INTERSHOP hat im Zusammenhang mit der Erfüllung der Meldepflicht des Kunden entsprechend Art. 33 und 34 DS-GVO dieser unverzüglich schriftlich Meldung zu erstatten in allen Fällen, in denen durch sie oder die bei ihr beschäftigten Personen oder Unterauftragsverarbeiter Verstöße gegen Vorschriften zum Schutz personenbezogener Daten des Kunden oder gegen die in der Vereinbarung getroffenen Festlegungen vorgefallen sind. Dies gilt auch im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten und bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten des Kunden. Dies gilt weiter auch für den Fall von Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 58 DS-GVO. Dies gilt auch, soweit eine zuständige Behörde nach Art. 82, 83 DS-GVO bei der INTERSHOP ermittelt.
5.3 Die INTERSHOP unterrichtet die Auftraggeberin unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diese Vereinbarung beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeiten- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung bei der INTERSHOP ermittelt.
5.4 Soweit die Auftraggeberin ihrerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung bei der INTERSHOP ausgesetzt ist, unterstützt sie die INTERSHOP nach besten Kräften.
5.5 Die INTERSHOP wird unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen die Auftraggeberin bei der Einhaltung der in den Artikeln 32 bis 36 DS-GVO genannten gesetzlichen Pflichten unterstützen. Hierzu gehören u.a.
Für Unterstützungsleistungen, die nicht auf ein Fehlverhalten der INTERSHOP zurückzuführen sind, kann die INTERSHOP eine Vergütung beanspruchen. Diese richtet sich mangels anderweitiger Vereinbarung nach dem Zeitaufwand und den Vergütungssätzen der jeweils aktuellen Preisliste der INTERSHOP.
5.6 Die Auftraggeberin ist jederzeit berechtigt, eine Berichtigung, Löschung und Sperrung von personenbezogenen Daten zu verlangen.
5.7 Die INTERSHOP dokumentiert die Datenverarbeitung und stellt dem Kunden die Dokumentation auf Wunsch zur Verfügung.
5.8 Die INTERSHOP verpflichtet sich zum Führen eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO. Das Verzeichnis ist schriftlich oder in einem elektronischen Format zu führen und dem Kunden und/oder dessen Datenschutzbeauftragten jederzeit auf Verlangen vorzulegen.
6.1 Die INTERSHOP gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Wahrung des Datengeheimnisses und zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die INTERSHOP hat die von ihr eingesetzten Mitarbeiter vorsorglich über die Einhaltung des Telekommunikationsgeheimnisses gemäß § 3 TTDSG informiert.
6.2 Es ist sicherzustellen, dass die Verpflichtung zur Wahrung des Datengeheimnisses und zur Vertraulichkeit auch nach Beendigung dieser Vereinbarung fortbesteht.
7.1 Die INTERSHOP hat einen Datenschutzbeauftragten bestellt. Zum Zeitpunkt des Vertragsschlusses ist dies:
datenschutz nord GmbH
Standort Berlin
Kurfürstendamm 212
10719 Berlin
E-Mail: datenschutzbeauftragter@intershop.de
7.2 Die INTERSHOP wird dem Kunden von einer Abberufung bzw. einer Neubestellung des Datenschutzbeauftragten unverzüglich schriftlich in Kenntnis zu setzen.
8.1 Vorbehaltlich der Regelungen in Ziffer 9.4 , 9.5 und 9.6 ist die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten durch die INTERSHOP räumlich auf Mitgliedsstaaten der Europäischen Union oder einen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum beschränkt. Die Übermittlung von personenbezogenen Daten durch die INTERSHOP an eine im EWR-Ausland belegene Stelle, d.h. ein Unternehmen mit Sitz außerhalb des EWR, ist nur unter Einhaltung der gesetzlichen Vorschriften, der vorherigen Information dem Kunden und einem nicht erklärten Widerspruch möglich. Ausnahmen hiervon sind nur in den in Art. 28 Abs. 3 lit a. DS-GVO genannten Fällen unter den dort genannten zusätzlichen Voraussetzungen möglich.
8.2 Ist die INTERSHOP nach dem anwendbaren Recht eines Mitgliedstaates oder der Europäischen Union verpflichtet, Daten an eine im EWR-Ausland belegene Stelle zu übermitteln, teilt die INTERSHOP dies entsprechend ihrer Verpflichtung aus Art. 28 Abs. 3 lit. a DS-GVO dem Kunden vor der Verarbeitung mit, sofern das anwendbare Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
8.3 Auf den Einsatz von Microsoft (Azure Dienste), Atlassian (Cloud Dienstleistung Confluence) und New Relic (Monitoring Dienstleistungen) als Subunternehmer im Sinne der Ziffer 9 wird ausdrücklich hingewiesen.
9.1 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die die INTERSHOP bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Hierzu zählen z.B. Telekommunikationsdienstleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern. Die INTERSHOP ist jedoch verpflichtet, auch bei fremd vergebenen Nebenleistungen angemessene und gesetzkonforme vertragliche Vereinbarungen zu treffen, um den Schutz und die Sicherheit der Daten des Kunden zu gewährleisten.
9.2 Die INTERSHOP darf Unterauftragnehmer (weitere Auftragsverarbeiter) beauftragen, bestimmte oder unterstützende Dienstleistungen für die INTERSHOP zu erbringen.
Die Auftraggeberin ist damit einverstanden, dass die INTERSHOP zur Erfüllung ihrer vertraglich vereinbarten Leistungen verbundene Unternehmen der INTERSHOP zur Leistungserfüllung heranzieht bzw. andere dritte Unternehmen mit Leistungen unterbeauftragt, wenn die INTERSHOP mit dem Unterauftragnehmer eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO schließt, deren Schutzniveau mindestens demjenigen dieses Auftrags entspricht. Die vorgenannten Autorisierungen stellen die vorherige allgemeine schriftliche Zustimmung des Kunden zur Untervergabe der Verarbeitung von Kundendaten und personenbezogenen Daten durch die INTERSHOP dar, wenn eine solche allgemeine Zustimmung nach den Standardvertragsklauseln oder den Bestimmungen der DS-GVO erforderlich ist.
9.3 Die INTERSHOP beauftragt gelegentlich möglicherweise neue Unterauftragnehmer. Über jeden neuen Unterauftragnehmer informiert die INTERSHOP die Auftraggeberin mindestens 1 Monat bevor dieser Zugriff auf Kundendaten erhält (durch Bereitstellung eines Mechanismus zur Benachrichtigung des Kunden über diese Aktualisierung).
Die Auftraggeberin kann der Verwendung eines neuen Unterauftragnehmers durch die INTERSHOP in angemessener Weise widersprechen (z. B. wenn die Bereitstellung personenbezogener Daten an den Unterauftragnehmer gegen geltende Datenschutzgesetze verstößt oder den Schutz solcher personenbezogenen Daten schwächt), indem sie der INTERSHOP unverzüglich schriftlich, spätestens jedoch innerhalb von 14 Kalendertagen, nachdem die Auftraggeberin von einer solchen Änderung Kenntnis erlangt hat, entsprechend benachrichtigt. Diese Mitteilung muss an die E-Mail Adresse Datenschutzbeauftragter@intershop.de gesendet werden, das Datum enthalten, an dem der Auftraggeber von dem neuen Unterauftragnehmer Kenntnis erlangt hat, und die angemessenen Gründe für den Widerspruch darlegen. Falls die Auftraggeberin entsprechend der vorstehenden Regelung einem neuen Unterauftragnehmer widerspricht, wird die INTERSHOP wirtschaftlich angemessene Anstrengungen unternehmen, um dem Kunden eine Änderung der Dienstleistungen von der INTERSHOP zur Verfügung zu stellen oder eine wirtschaftlich angemessene Änderung der Konfiguration oder der Nutzung der Dienstleistungen von der INTERSHOP empfehlen, um die Verarbeitung personenbezogener Daten durch den widersprochenen neuen Unterauftragnehmer ohne Grund zu vermeiden.
Sollte die INTERSHOP nicht in der Lage sein, eine solche Änderung innerhalb einer angemessenen Frist, die 14 Kalendertage ab dem Datum beträgt, an dem die INTERSHOP eine schriftliche Benachrichtigung des Kunden erhalten hat, zur Verfügung zu stellen, steht jeder Partei nur dann ein Recht zu, den Hauptvertrag zu kündigen, sofern die vertraglich aus dem Hauptvertrag geschuldeten Leistungen in ihren wesentlichen Bestandteilen nicht mehr erbracht werden können.
9.4 Microsoft Azure: Die Auftraggeberin gestattet hiermit der INTERSHOP die Einschaltung von Microsoft (Microsoft Ireland Operations Ltd., „Microsoft“) unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO als Unterauftragnehmer.
9.5 Atlassian: Die Auftraggeberin gestattet hiermit der INTERSHOP die Einschaltung der Atlassian (Atlassian PTY Ltd, Atlassian, Inc., Trello Inc., Dogwood Labs, Inc., OpsGenie, Inc., Agile Craft LLC and Halp Inc., which are all Atlassian entities, „Atlassian“) unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO als Unterauftragnehmer.
9.6 New Relic: Die Auftraggeberin gestattet hiermit der Auftragnehmerin die Einschaltung von New Relic (New Relic Inc. a Delaware corporation, 188 Spear Street, Suite 1000, San Francisco, CA 94105) unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO als Unterauftragnehmer.
10.1 Die Auftraggeberin hat das Recht, vor Beginn der Datenverarbeitung durch die INTERSHOP und sodann regelmäßig, auf eigene Kosten eine Auftragskontrolle im Benehmen mit der INTERSHOP in Bezug auf die von der INTERSHOP vorzunehmenden Datenverarbeitungsprozesse durchzuführen oder durch im Einzelfall von dem Kunden zu benennende Prüfer durchführen zu lassen, vorausgesetzt, die Auftraggeberin bzw. die benannten Prüfer verpflichtet sich zum Abschluss einer Geheimhaltungsvereinbarung gegenüber der INTERSHOP bzw. Unterauftragnehmern, es sei denn, die benannten Prüfer unterliegen einer beruflichen Verschwiegenheitsverpflichtung. Sollte der durch die Auftraggeberin bestellte Prüfer in einem Wettbewerbsverhältnis zur INTERSHOP stehen, hat die INTERSHOP gegen diesen ein Einspruchsrecht. Die Auftragsgeberin hat das Recht, sich durch Stichprobenkontrollen nach rechtzeitiger vorheriger Anmeldung (in der Regel mindestens 2 Wochen vorher) zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Einhaltung dieser Vereinbarung durch die INTERSHOP in ihrem Geschäftsbetrieb zu überzeugen. Einer vorherigen Anmeldung bedarf es in Fällen, bei denen der begründete Verdacht von Datenschutzverletzungen oder anderen Störungen besteht, nicht. Die Auftraggeberin darf in der Regel eine Kontrolle pro Kalenderjahr durchführen. Hiervon unbenommen ist das Recht des Kunden, weitere Kontrollen im Fall von besonderen Vorkommnissen durchzuführen. Die INTERSHOP verpflichtet sich, der Kunden auf Anforderung die zur Wahrung ihrer Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen, soweit dies möglich ist.
10.2 Die INTERSHOP stellt sicher, dass die Auftraggeberin sich von der Einhaltung der Pflichten der INTERSHOP nach Art. 28 DS-GVO überzeugen kann. Auf Anfrage weist die INTERSHOP die Implementierung der getroffenen technischen und organisatorischen Maßnahmen nach.
10.3 Die INTERSHOP verpflichtet sich, den Kunden auf Anforderung die zur Wahrung ihrer bei der Verarbeitung der oben genannten Daten bestehenden Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und Nachweise zu führen, soweit vorhanden. Der Nachweis der Umsetzung geeigneter Maßnahmen kann auch durch Vorlage aktueller Testate sowie von Berichten unabhängiger Prüfer (Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, etc.) erbracht werden. Dies gilt auch, soweit die INTERSHOP die Kontrolle ihrer Unterauftragnehmer für die Auftraggeberin durchführt.
10.4 Für die durch Subauftragnehmer erbrachten Leistungen gelten die Regelungen der Ziffer 9.
10.5 Stellt die Auftraggeberin im Rahmen der Auftragskontrolle Mängel bei der Einhaltung der technischen und organisatorischen Maßnahmen fest, beseitigt die INTERSHOP die Mängel unverzüglich. Die zur Mangelbeseitigung erforderlichen Kosten trägt die INTERSHOP.
11.1 Die INTERSHOP erhebt, verarbeitet und nutzt personenbezogene Daten im Auftrag und auf Weisung des Kunden zur Erfüllung der ihr aufgrund des Hauptvertrags obliegenden Leistungspflichten. Die Auftraggeberin ist im Rahmen dieser Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DS-GVO).
11.2 Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen. Die Auftraggeberin ist berechtigt, Weisungen über Art und Umfang der Datenverarbeitung im Hinblick auf die Umsetzung von Datenschutzanforderungen auch während des Auftrages (Einzelweisungen) zu erteilen. Die Weisungen bedürfen in jedem Fall der Textform und dürfen der vertraglich vereinbarten Leistungserbringung durch die INTERSHOP nicht zu wider laufen. Einzelweisungen, die von den Festlegungen dieses Auftrags abweichen oder zusätzlichen Anforderungen enthalten, bedürfen einer vorherigen Zustimmung der INTERSHOP.
11.3 Weisungen des Kunden sind von der INTERSHOP zu dokumentieren.
11.4 Ist die INTERSHOP der Ansicht, eine Weisung des Kunden verstoße gegen die DS-GVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, hat sie die Auftraggeberin schriftlich darauf hinzuweisen. Die INTERSHOP ist in diesen Fällen berechtigt, die Durchführung der Weisung auszusetzen, bis die Auftraggeberin die Weisung bestätigt oder abändert. Eine Rechtsberatung und/oder juristische Recherche durch die INTERSHOP ist jedoch nicht geschuldet.
11.5 Die INTERSHOP verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Kunden nicht erstellt. Hiervon ausgenommen sind Kopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Leistungserbringung erforderlich sind.
12.1 Mit Ende des Hauptvertrags gibt die INTERSHOP die betroffenen Daten an die Auftraggeberin heraus oder löscht sie auf Wunsch nach dem Stand der Technik, soweit nicht im Einzelfall etwas Abweichendes vereinbart wurde oder die INTERSHOP gesetzlich zur weiteren Aufbewahrung verpflichtet ist; entsprechende Daten sind dann jedoch zu sperren und gemäß den Bestimmungen dieser Vereinbarung zu verwahren. In jedem Fall werden die Daten spätestens 90 Tage nach Ablauf oder Kündigung des Hauptvertrages gelöscht. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
12.2 Zu einem Datenträgeraustausch zwischen den Beteiligten dieser Vereinbarung kommt es nicht. Insoweit ist eine Rückgabe hier nicht zu regeln. Anderenfalls werden sich die Parteien gesondert abstimmen.
12.3 Die INTERSHOP hat kein Zurückbehaltungsrecht an den vertragsgegenständlichen Daten.
12.4 Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch die INTERSHOP entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Sie kann sie zu ihrer Entlastung bei Vertragsende dem Kunden übergeben. Die INTERSHOP wird auch über das Ende des Auftrages hinaus Stillschweigen über die Daten des Kunden bewahren.
Eine zwischen den Parteien im Leistungsvertrag (Hauptvertrag) vereinbarte Haftungsregelung gilt auch für die Auftragsverarbeitung, außer soweit ausdrücklich etwas anderes vereinbart ist. Im Übrigen gilt Art. 82 DSG-VO.
14.1 Die Parteien sind sich darüber einig, dass diese Auftragsverarbeitungsvereinbarung alle früheren Vereinbarungen zwischen den Parteien über die Auftragsverarbeitung zwischen den Parteien ersetzt.
14.2 Sollten die Daten des Kunden bei der INTERSHOP durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat die INTERSHOP die Auftraggeberin unverzüglich darüber zu informieren. Die INTERSHOP wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich bei dem Kunden als „Verantwortlicher“ im Sinne der DS-GVO liegen.
14.3 Soweit im Rahmen dieses Auftrages, insbesondere im Zusammenhang mit Unterstützungshandlungen, der Herausgabe oder der Löschung von Daten Kosten anfallen, trägt diese die Auftraggeberin.
14.4 Bei Änderungen der tatsächlichen Ausgestaltung der Leistungsbeziehungen zwischen den Parteien werden die Parteien die Anlagen entsprechend anpassen und einvernehmlich austauschen. Mit Unterzeichnung der geänderten Anlage durch die Parteien wird diese wirksam und ersetzt insoweit die bislang geltende Anlage.
14.5 Änderungen oder Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt für die Änderung oder Aufhebung des vorstehenden Schriftformerfordernisses entsprechend.
14.6 Änderungen in der Person oder der Zuständigkeit der Weisungsberechtigten sind der jeweils anderen Partei unverzüglich schriftlich mitzuteilen.
14.7 Es gilt deutsches Recht, Gerichtsstand ist Jena.
14.8 Dieser Vertrag hat folgende Bestandteile:
Im Falle von Unklarheiten und/oder Widersprüchen zwischen den einzelnen Dokumenten oder Vertragsbestandteilen gelten die Bestandteile in absteigender Reihenfolge.
14.9 Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der Vereinbarung im Übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die in ihrem wirtschaftlichen Gehalt der unwirksamen Bestimmung möglichst nahekommt. Entsprechendes gilt im Falle von Regelungslücken.
Anlage 1: Technisch-organisatorische Maßnahmen gem. Art. 32 DS-GVO
Anlage 2: Microsoft Bedingungen für Onlinedienste und Standardvertragsklauseln
Gem. Art. 32 Abs. 1 Verantwortliche (Art. 30 Abs. 1 lit. g) und Auftragsverarbeiter (Art. 30 Abs. 2 lit. d)gem. Art. 32 DS-GVO
Diese Anlage beschreibt die technischen und organisatorischen Sicherheitsmaßnahmen in der Betriebsstätte Jena von INTERSHOP. Für die Speicherung der Daten im Rechenzentrum gilt Ziffer 9.4.
Zugangskontrolle
Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte:
Datenträgerkontrolle
Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern:
Speicherkontrolle
Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten:
Benutzerkontrolle
Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte:
Zugriffskontrolle
Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben:
Übertragungskontrolle
Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können:
Eingabekontrolle
Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind:
Transportkontrolle
Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden:
Wiederherstellbarkeit
Zuverlässigkeit
Datenintegrität
Auftragskontrolle
Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können:
Verfügbarkeitskontrolle
Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind:
Trennbarkeit
Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können:
Vertraulichkeit
Schutz vor unbefugter Kenntnisnahme der Daten:
Verfahren regelmäßiger Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen
Die Nutzung der Microsoft-Dienste erfolgt durch die INTERSHOP im Rahmen der Nutzungsbedingungen und Sicherheitsmaßnahmen von Microsoft, die unter folgenden Links zu finden sind:
