Auftragsverarbeitungs-Vereinbarung (AVV)

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO. Gegenstand ist die Zustellung von Kündigungserklärungen sowie das zugehörige Reporting und die Bereitstellung der Zustellnachweise.

Die Leistung wird ausschließlich in einem Mitgliedstaat der EU bzw. des EWR erbracht. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und ist nur unter den Voraussetzungen der Art. 44 ff. DS-GVO zulässig.

Die Vereinbarung gilt für die Dauer des jeweiligen Auftragsverhältnisses. Der Auftraggeber kann sie bei schwerwiegenden Datenschutzverstößen des Auftragnehmers jederzeit fristlos kündigen.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art der Verarbeitung: Übermittlung, Bearbeitung, Protokollierung und Speicherung im Rahmen der Zustellung.

Art der personenbezogenen Daten: Namen und Adressen der von der Kündigung betroffenen Personen sowie zustellrelevante Angaben.

Kategorien betroffener Personen: Mitarbeitende bzw. Empfänger der Kündigung des Auftraggebers.

3. Weisungsrechte des Auftraggebers

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, soweit nicht gesetzlich zu einer anderen Verarbeitung verpflichtet.

Weisungen erfolgen in der Regel schriftlich oder in dokumentierter elektronischer Form (z. B. per E-Mail oder über das Kundenprotokoll bei der Beauftragung). Der Auftraggeber bleibt für die Zulässigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich.

4. Pflichten des Auftragnehmers

Der Auftragnehmer verwendet die überlassenen Daten für keine eigenen Zwecke und trennt sie strikt von sonstigen Datenbeständen. Kopien werden ohne Wissen des Auftraggebers nicht erstellt.

Der Auftragnehmer wahrt die Vertraulichkeit; diese besteht auch nach Vertragsende fort. Eingesetzte Mitarbeitende werden vor Aufnahme der Tätigkeit auf das Datengeheimnis verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DS-GVO).

Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DS-GVO) und leitet erkennbar an den Auftraggeber gerichtete Anfragen unverzüglich weiter.

5. Meldung bei Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber unverzüglich Störungen, Verstöße oder den Verdacht auf eine Verletzung des Schutzes personenbezogener Daten und unterstützt ihn erforderlichenfalls bei seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DS-GVO.

6. Unterauftragsverhältnisse

Die Beauftragung von Subunternehmern (z. B. ausführende Kuriere) ist zulässig; der Auftragnehmer verpflichtet diese vertraglich auf ein gleichwertiges Datenschutzniveau nach Art. 28 DS-GVO. Über beabsichtigte Änderungen im Kreis der Subunternehmer wird der Auftraggeber informiert und kann Einspruch erheben.

7. Technische und organisatorische Maßnahmen (Art. 32 DS-GVO)

Der Auftragnehmer gewährleistet ein dem Risiko angemessenes Schutzniveau (Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit) durch geeignete technische und organisatorische Maßnahmen, u. a. verschlüsselte Datenübertragung, Zugriffsbeschränkungen und protokollierte Verarbeitung.

8. Löschung und Rückgabe nach Auftragsende

Nach Abschluss der Leistung händigt der Auftragnehmer dem Auftraggeber die zugehörigen Ergebnisse (insbesondere die Zustellnachweise) aus. Eine Kopie wird zu Beweiszwecken im Rahmen der gesetzlichen Aufbewahrungs- und Verjährungsfristen archiviert.

9. Haftung und Sonstiges

Für die Haftung gilt Art. 82 DS-GVO. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Vereinbarung unberührt. Nebenabreden bedürfen der Schrift- oder dokumentierten elektronischen Form.