(1) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitet werden, unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die hinterlegte Ansprechperson. Gleiches gilt für schwerwiegende Störungen des Betriebsablaufs und den begründeten Verdacht auf Verstöße gegen diesen Vertrag.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben reicht der Auftragnehmer nach, sobald sie vorliegen.

(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt ausschließlich der Auftraggeber vor, es sei denn, er weist den Auftragnehmer dazu an.

(1) Die Verarbeitung findet grundsätzlich in der Europäischen Union, im Europäischen Wirtschaftsraum oder in Staaten mit einem Angemessenheitsbeschluss der EU-Kommission statt. Die Datenbank des 7-Zutaten Hub liegt in Zürich (Schweiz), die Anwendung wird aus Frankfurt am Main ausgeliefert.

(2) Eine Übermittlung in ein Drittland erfolgt nur an die in Anlage 3 genannten Unterauftragsverarbeiter für die dort genannten Leistungen und nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (etwa des EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln. Der Auftraggeber weist den Auftragnehmer mit diesem Vertrag an, diese Übermittlungen vorzunehmen.

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter. Die jeweils aktuelle Liste steht unter 7-zutaten.com/avv.

(2) Der Auftragnehmer unterrichtet den Auftraggeber mindestens vier Wochen im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Die Parteien suchen dann eine einvernehmliche Lösung; gelingt dies nicht, kann der Auftraggeber den Hauptvertrag für die betroffene Leistung zum Zeitpunkt des Wirksamwerdens der Änderung kündigen. Im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die dem Schutzniveau dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Bei Anbietern, die ihre Leistungen nur zu einheitlichen Bedingungen anbieten, werden Kontrollrechte vorrangig über deren Prüfberichte und Zertifikate wahrgenommen. Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten seiner Unterauftragsverarbeiter.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikations-, Post- und Transportdienste. Ebenfalls keine Unterauftragsverarbeiter des Auftragnehmers sind Dienste, die der Auftraggeber selbst gebucht hat und in denen der Auftragnehmer lediglich für ihn tätig wird, etwa ein eigenes Website-, Domain- oder E-Mail-Konto, eigene Werbekonten bei Meta oder Google, das eigene Google-Unternehmensprofil, eigene Reservierungs-, Kassen-, Shop- oder Gutscheinsysteme. Mit diesen Anbietern schließt der Auftraggeber eigene Verträge zur Auftragsverarbeitung bzw. ist für deren Einsatz selbst verantwortlich.

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist.

(2) Die Überprüfung erfolgt vorrangig anhand von Dokumenten, insbesondere dieses Vertrags mit seinen Anlagen, Auskünften in Textform sowie Testaten und Zertifikaten der Unterauftragsverarbeiter.

(3) Reicht das im Einzelfall nicht aus, ist eine Inspektion vor Ort nach Vorankündigung von in der Regel mindestens zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich, höchstens einmal im Kalenderjahr, es sei denn, ein konkreter Anlass wie eine Datenschutzverletzung rechtfertigt eine weitere. Die Vertraulichkeit der Daten anderer Kunden bleibt gewahrt.

(4) Für Unterstützungsleistungen, die über die gesetzlichen Pflichten hinausgehen, kann der Auftragnehmer eine angemessene Vergütung verlangen, es sei denn, ein Verstoß des Auftragnehmers hat sie erforderlich gemacht.