Auftragsverarbeitungsvertrag

Gültig ab: 24. September 2025
Parteien: Dieser DPA ist Bestandteil der Vereinbarung zwischen Furious („Auftragsverarbeiter“) und dem Kunden, der die Dienste erwirbt oder nutzt („Verantwortlicher“).

Durch die Ausführung einer Bestellung oder die Nutzung der Dienste stimmen Verantwortlicher und Auftragsverarbeiter diesem DPA zu.

1) Rollen, Umfang und Anweisungen

• Rollen. Der Verantwortliche bestimmt Zwecke und Mittel; der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen.
• Umfang. Die Verarbeitung beschränkt sich auf die Bereitstellung, Wartung und Unterstützung der Dienste, wie im Vertrag beschrieben.
• Anweisungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur gemäß den dokumentierten Anweisungen des Verantwortlichen (der Vertrag und dieser DPA stellen die vollständigen Anweisungen dar), einschließlich für internationale Übermittlungen.

2) Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung personenbezogener Daten befugte Personen an Vertraulichkeitspflichten gebunden sind.

3) Sicherheit

Der Auftragsverarbeiter implementiert geeignete technische und organisatorische Maßnahmen, die darauf ausgelegt sind, personenbezogene Daten vor versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen. (Detaillierte Maßnahmen können auf einer separaten Seite beschrieben werden und sind nicht Bestandteil dieses DPA.)

4) Unterauftragsverarbeiter

• Allgemeine Genehmigung. Der Verantwortliche ermächtigt den Auftragsverarbeiter, die in Abschnitt 12 aufgeführten Unterauftragsverarbeiter einzusetzen.
• Weitergabe. Der Auftragsverarbeiter legt den Unterauftragsverarbeitern Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem DPA.
• Aktualisierungen. Die Liste der Unterauftragsverarbeiter kann durch Aktualisierung dieser Seite aktualisiert werden.

5) Unterstützung

Unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen wird der Auftragsverarbeiter in angemessenem Umfang den Verantwortlichen bei Anfragen betroffener Personen und bei Pflichten gemäß den Artikeln 32–36 der DSGVO unterstützen. Der Auftragsverarbeiter kann angemessene Gebühren für Unterstützung erheben, die nicht Bestandteil der Dienste ist.

6) Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich benachrichtigen, nachdem er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die personenbezogene Daten betrifft, die im Auftrag des Verantwortlichen verarbeitet werden, und angemessen verfügbare Informationen bereitstellen, um den Verantwortlichen bei der Erfüllung seiner Pflichten zu unterstützen.

7) Rückgabe & Löschung

Bei Beendigung oder Ablauf der Dienste wird der Auftragsverarbeiter löschen personenbezogene Daten innerhalb einer wirtschaftlich angemessenen Frist, vorbehaltlich der gesetzlich vorgeschriebenen minimalen Sicherungs-/Archivierungsaufbewahrung. (Eine Rückgabe wird nicht angeboten, es sei denn, dies ist gesetzlich vorgeschrieben.)

8) Audits und Informationen

Der Auftragsverarbeiter wird Informationen zur Verfügung stellen, die erforderlich sind, um die Einhaltung dieses DPA nachzuweisen, und auf angemessene Anfrage aktuelle unabhängige Berichte oder andere Informationen (die Zusammenfassungen enthalten können) bereitstellen. Formelle Audits/Inspektionen finden nur statt, wenn dies gesetzlich vorgeschrieben ist oder wenn die bereitgestellten Informationen unzureichend sind, nicht öfter als einmal alle 12 Monate, nach angemessener Vorankündigung, während der normalen Geschäftszeiten und ohne unangemessene Störung. Jede Partei trägt ihre eigenen Kosten; der Verantwortliche erstattet dem Auftragsverarbeiter die angemessenen Kosten.

9) Internationale Übermittlungen

Werden personenbezogene Daten außerhalb des EWR/UK ohne Angemessenheitsbeschluss übermittelt, gelten die EU-Standardvertragsklauseln (2021/914, Module 2 und/oder 3) und, soweit anwendbar, der UK-Zusatz durch Verweis und sind Bestandteil dieses DPA, wobei der Verantwortliche als „Datenexporteur“ und der Auftragsverarbeiter (oder der betreffende Unterauftragsverarbeiter) als „Datenimporteur“ fungiert.

10) Aufzeichnungen und Zusammenarbeit

Der Auftragsverarbeiter führt die nach Art. 30 Abs. 2 DSGVO erforderlichen Aufzeichnungen und stellt diese auf Anfrage den Aufsichtsbehörden zur Verfügung.

11) Haftung und Vorrang

Die Haftung richtet sich nach den Beschränkungen und Ausschlüssen des Vertrages. Im Falle eines Konflikts ist dieser DPA maßgebend, soweit er die Verarbeitung personenbezogener Daten betrifft.

12) Unterauftragsverarbeiter (aktuelle Liste)

Verarbeitungsort: Standardmäßig EU.

Unterauftragsverarbeiter	Zweck	Verarbeitungsort	Kategorien personenbezogener Daten	Weitere Informationen
Amazon Web Services, Inc. (AWS)	Hosting & Infrastruktur für die Dienste	Standardmäßig EU-Regionen (z. B. Dublin/Frankfurt)	Kunden-/Endbenutzerkontodaten und Nutzungs-/Protokolldaten, die in den Diensten gespeichert sind	aws.amazon.com
Intercom R&D Unlimited Company	Tools für den Kundensupport (In-App-Messaging, Helpdesk)	Standardmäßig EU/EWR (vorbehaltlich des regionalen Routings von Intercom)	Kunden-/Admin-Kontaktdaten und Metadaten von Support-Konversationen	intercom.com/legal

Anhang A — Details zur Verarbeitung (DSGVO Art. 28 Abs. 3)

• Gegenstand: Bereitstellung und Unterstützung der Furious-Dienste.
• Dauer: Laufzeit des Vertrages zuzüglich begrenzter Sicherungs-/Archivierungsaufbewahrung.
• Art & Zweck: Hosting, Speicherung, Übermittlung, Anzeige und Verarbeitung, die zur Bereitstellung der Dienste erforderlich sind; Support; In-Produkt-Service-Analysen.
• Arten personenbezogener Daten: Kontaktdaten (z. B. Namen, E-Mails), Konto-/Profildaten, vom Verantwortlichen hochgeladene Inhalte (wie vom Verantwortlichen bestimmt), Dienstnutzungs-/Protokolldaten.
• Kategorien betroffener Personen: Mitarbeiter, Auftragnehmer und Endbenutzer des Verantwortlichen (wie vom Verantwortlichen bestimmt).
• Pflichten des Verantwortlichen: Rechtmäßige Anweisungen erteilen und eine gültige Rechtsgrundlage sicherstellen.