Auftragsverarbeitungsvertrag (AVV/DPA)

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Partnerbedingungen und/oder der Vereinbarung zwischen:

1. Lookster, KvK 94593051, Piet Heinstraat 12, 7511JE Enschede („Auftragsverarbeiter“ oder „Lookster“); und
2. dem Salon/Partner, der die Lookster-Salonsoftware bzw. das Dashboard nutzt („Verantwortlicher“ oder „Partner“).

Zusammen: „Parteien“.

1. Diese DPA gilt, wenn Lookster personenbezogene Daten im Namen des Partners im Zusammenhang mit der Bereitstellung der Salon-Software/des Salon-Dashboards und damit verbundenen Dienstleistungen (wie Support, Wartung und Sicherheit) verarbeitet.
2. Die Parteien erkennen an, dass:
   1. der Partner Verantwortlicher für personenbezogene Daten von (potenziellen) Kunden und Kontaktpersonen ist, die der Partner im Dashboard verarbeitet; und
   2. Lookster fungiert als Auftragsverarbeiter, soweit Lookster diese personenbezogenen Daten im Auftrag des Partners verarbeitet.
3. Diese DPA gilt nicht für Verarbeitungen, bei denen Lookster den Zweck und die Mittel selbstständig bestimmt (z. B. eigene Geschäftsverwaltung, Rechnungsstellung, Sicherheit/Betrugsprävention für seine eigenen Systeme oder Lookster-Website-Analysen). Lookster fungiert für diese Verarbeitungsvorgänge als (unabhängiger) Verantwortlicher.

1. DSGVO: die Datenschutz-Grundverordnung (EU) 2016/679.
2. Personenbezogene Daten, Verarbeitung, Auftragsverarbeiter, Verantwortlicher, betroffene Person: wie in der DSGVO definiert.
3. Unterauftragsverarbeiter: ein von Lookster beauftragter Auftragsverarbeiter, der Teile der Verarbeitung im Auftrag des Partners durchführt.

1. Die Einzelheiten der Verarbeitung (Kategorien personenbezogener Daten, betroffene Personen, Zwecke und Dauer) sind in Anlage 1 dieses Auftragsverarbeitungsvertrags aufgeführt.

1. Lookster verarbeitet personenbezogene Daten nur:
   1. auf der Grundlage schriftlicher Weisungen des Partners; und
   2. soweit dies zur Erbringung der Dienste gemäß der Vereinbarung bzw. den Partnerbedingungen erforderlich ist.
2. Anweisungen können sich aus der Nutzung der Dashboard-Funktionen und den vom Partner festgelegten Konfigurationen ergeben.
3. Wenn Lookster der Ansicht ist, dass eine Anweisung gegen die DSGVO oder anderes geltendes Recht verstößt, wird Lookster den Partner hierüber informieren (soweit gesetzlich zulässig).

1. Lookster ergreift geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, unbefugtem Zugriff, Änderung oder Offenlegung zu schützen, wobei der Stand der Technik, die Implementierungskosten sowie die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung berücksichtigt werden.
2. Zu den „geeigneten Maßnahmen“ gehören in jedem Fall (sofern zutreffend):
   1. Zugriffssicherheit (Konten, Rollen/Rechte);
   2. Transportsicherheit (z. B. TLS/HTTPS, wo möglich);
   3. Protokollierung/Überwachung zu Sicherheits- und Stabilitätszwecken;
   4. Backups und Wiederherstellungsmaßnahmen (Best Effort);
   5. organisatorische Maßnahmen (Need-to-know, Vertraulichkeit).
3. Der Partner ist für die sichere Konfiguration und Nutzung auf seiner Seite verantwortlich, darunter:
   1. Verwaltung der Seats/Mitarbeiterkonten und Verwendung sicherer Passwörter;
   2. Verhinderung der gemeinsamen Nutzung von Konten;
   3. Rollen/Rechte im Dashboard korrekt festlegen;
   4. Verarbeitung personenbezogener Daten im Einklang mit der eigenen Datenschutzrichtlinie und den gesetzlichen Verpflichtungen.

1. Lookster garantiert, dass Personen, die in seinem Verantwortungsbereich personenbezogene Daten verarbeiten (Mitarbeiter, Auftragnehmer), zur angemessenen Vertraulichkeit verpflichtet sind.

1. Der Partner erteilt Lookster hiermit die allgemeine Erlaubnis, Unterauftragsverarbeiter zu beauftragen, soweit dies für die Bereitstellung der Dienste erforderlich ist.
2. Lookster bleibt für die Einhaltung der Verpflichtungen aus dieser DPA durch die Unterauftragsverarbeiter verantwortlich.
3. Aktuelle (bekannte) Unterauftragsverarbeiter im Geltungsbereich dieser DPA:
   1. Hosting/Infrastruktur: Hetzner (Rechenzentrum/Hosting).

   Erläuterung: Google Analytics wird von Lookster ausschließlich zur Analyse der Lookster-Website verwendet und fällt daher nicht unter diese DPA (siehe Artikel 1.3).

4. Lookster kann Unterauftragsverarbeiter ändern oder hinzufügen. Lookster wird den Partner darüber durch ein Update auf der Plattform, per E-Mail oder über eine aktuelle Liste (z. B. auf einer Support-Seite) informieren, sofern dies nicht unverhältnismäßig ist. Wenn der Partner berechtigterweise ernsthafte Einwände gegen einen neuen Unterauftragsverarbeiter hat, werden die Parteien Konsultationen aufnehmen, um eine Lösung zu finden. Wenn keine Lösung möglich ist, kann der Partner (als letztes Mittel) die Vereinbarung mit Wirkung zum Einführungsdatum dieses Unterauftragsverarbeiters ohne Vertragsstrafe kündigen, sofern dies gesetzlich zulässig ist.

1. Eine „Datenschutzverletzung“ ist eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 DSGVO.
2. Lookster meldet dem Partner eine Datenschutzverletzung unverzüglich, nachdem Lookster davon Kenntnis erlangt hat, und stellt dabei, soweit verfügbar, folgende Informationen bereit:
   1. Art der Datenschutzverletzung;
   2. (wahrscheinliche) Konsequenzen;
   3. (vorgeschlagene) Maßnahmen zur Eindämmung der Datenschutzverletzung;
   4. Anlaufstelle für die Weiterverfolgung.
3. Der Partner ist für alle Meldungen an die niederländische Datenschutzbehörde und/oder betroffene Personen verantwortlich, sofern die Parteien nichts anderes schriftlich vereinbaren. Lookster wird den Partner angemessen mit den Informationen unterstützen, die der Partner für diese Benachrichtigungen benötigt.

1. Lookster unterstützt den Partner, soweit dies vernünftigerweise möglich und der Art der Verarbeitung angemessen ist, bei:
   1. Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch);
   2. Sicherheitspflichten und Meldepflichten;
   3. Datenschutz-Folgenabschätzungen (DSFA) und vorherige Konsultationen der Aufsichtsbehörde, soweit die Verarbeitung durch Lookster dies erfordert.
2. Wenn Lookster eine Anfrage direkt von einer betroffenen Person erhält, die sich auf Daten bezieht, für die der Partner der Verantwortliche ist, leitet Lookster diese Anfrage (soweit zulässig) an den Partner weiter und Lookster wird der betroffenen Person nicht inhaltlich antworten, es sei denn, der Partner weist Lookster dazu an oder gesetzliche Verpflichtungen sehen etwas anderes vor.

1. Lookster wird keine personenbezogenen Daten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten oder verarbeiten lassen, es sei denn:
   1. Der Partner erteilt hierzu seine Zustimmung oder erteilt Weisungen; oder
   2. dies ist für einen Unterauftragsverarbeiter erforderlich und es werden geeignete Garantien (z. B. EU-Standardvertragsklauseln) gemäß DSGVO angewendet.

1. Lookster verarbeitet personenbezogene Daten während der Vertragslaufzeit und danach nur so lange und in dem Umfang, wie:
   1. zur Erbringung der Leistungen erforderlich (z. B. eingeschränkte technische Nachbetreuung);
   2. aufgrund gesetzlicher Verpflichtungen erforderlich; oder
   3. die für die Sicherheit/Backups erforderlich sind, innerhalb angemessener Fristen.
2. Vor Beendigung der Dienste kann der Partner Daten über das Dashboard exportieren (soweit verfügbar). Auf Anfrage kann Lookster, soweit dies vernünftigerweise möglich ist, gegebenenfalls gegen angemessene Kosten einen Export bereitstellen (wie in den Partnerbedingungen vereinbart).
3. Lookster löscht oder anonymisiert personenbezogene Daten im Namen des Partners innerhalb einer angemessenen Frist nach der Kündigung, es sei denn:
   1. gesetzliche Aufbewahrungspflichten oder Sicherheits-/Backup-Zyklus verhindern dies vorübergehend; oder
   2. der Partner schriftlich eine längere Aufbewahrung verlangt.

1. Der Partner hat das Recht, die Einhaltung dieser DPA zu überprüfen. Die Parteien vereinbaren, dass Audits:
   1. höchstens einmal im Jahr stattfinden, es sei denn, es liegt ein schwerwiegender Vorfall oder ein triftiger Grund vor;
   2. während der Geschäftszeiten und mit angemessener Vorankündigung stattfinden;
   3. die Sicherheit und Vertraulichkeit anderer Kunden/Partner wahren.
2. Anstelle eines physischen Audits kann Lookster auch (zunächst) angemessene Nachweise anbieten, wie etwa einen Überblick über Maßnahmen, Richtlinien oder (sofern verfügbar) Auditberichte/Zertifizierungen.
3. Die Kosten für Audits trägt der Partner, es sei denn, ein Audit zeigt eine wesentliche Nichteinhaltung seitens Lookster.

1. Die Haftung der Parteien aus dieser DPA richtet sich nach den Haftungsbestimmungen der Partnerbedingungen bzw. der Hauptvereinbarung, sofern nicht zwingendes Recht etwas anderes vorsieht.

1. Im Falle eines Widerspruchs zwischen dieser DPA und anderen Datenschutzvertragsdokumenten hat diese DPA Vorrang.
2. Diese DPA gilt, solange Lookster personenbezogene Daten im Auftrag des Partners verarbeitet.