Vertragsbedingungen der rabbit mobile GmbH für die Nutzung von quicklead (Stand: )

Transkript

1 Vertragsbedingungen der rabbit mobile GmbH für die Nutzung von quicklead (Stand: ) Präambel rabbit mobile ist Hersteller und Betreiber von quicklead, einem Service zur Erfassung, Auswertung und zum Export von Leads, also Kontakten mit Relevanz für das Geschäft des Kunden. Der Kunde möchte quicklead in der Variante nutzen, die er gegenüber einem Mitarbeiter der rabbit mobile GmbH oder im Internet-Bestellformular in seinem Account auf admin.quicklead.de bezeichnet hat. 1 Definitionen (1) Unter rabbit mobile ist die rabbit mobile GmbH, Kaiserstraße 65, Frankfurt zu verstehen. Mit Kunde wird die natürliche oder juristische Person verstanden, die schriftlich per an einen Mitarbeiter der rabbit mobile GmbH, per Brief an o. g. Adresse oder per Fax an oder auf dem Web-Formular unter admin.quicklead.de erklärt, dass sie quicklead nutzen möchte. (2) Mit Lead bzw. Leads werden die mit quicklead erfassten, verwalteten, exportierten oder in sonstiger Weise verarbeiteten oder genutzten Gesprächs- und Kontaktdaten bezeichnet. (3) App bezeichnet die quicklead-applikation für ein mobiles Endgerät zur Erfassung von Leads, z. B. die App für ios zur Verwendung auf einem ipad der Apple Inc., unabhängig von Versionsnummer oder Veröffentlichungsdatum. (4) Plattform bezeichnet den von rabbit mobile auf der Domain admin.quicklead.de betriebenen Internet-Service quicklead, mit dem der Kunde die mit App(s) erfassten Leads zusammen führen, verwalten, verarbeiten und exportieren kann. (5) quicklead bezeichnet die Gesamtheit der Services der App bzw. Apps und der Plattform. (6) Unter CRM-System wird ein beliebiges Drittsystem verstanden, in das der Kunde die mit quicklead erfassten Leads überführen möchte. (7) Mit Nutzer wird jede Person im Einflussbereich des Kunden verstanden, der von ihm über den Hauptvertrag zur Nutzung von quicklead, unabhängig von der Rolle oder den zur Verfügung gestellten Rechten, angemeldet wird. (8) Dieser Vertrag im Ganzen wird im Folgenden Hauptvertrag genannt. 2 Vertragsgegenstand (1) Gegenstand des Hauptvertrages ist die Bereitstellung a) der App bzw. Apps und b) der Plattform inkl. ihrer Exportmöglichkeiten in ihrer jeweils aktuellen Version. (2) Gegenstand des Hauptvertrages ist weder a) die Anbindung der Plattform an ein CRM-System, sofern diese Anbindung nicht Gegenstand von 2 Abs. 1 ist, noch b) die Bereitstellung von Internet-Zugang zur Plattform noch Nutzungsvertrag quicklead (Stand: ) 1 von 17

2 c) zusätzliche Dienstleistungen wie Einrichtung, Schulung des Kunden oder seines Personals oder Programmierung von Schnittstellen. Solche Aufträge vereinbaren der Kunde und rabbit mobile separat; noch d) die Erreichung konkreter Ziele des Kunden, die mit der Nutzung von quicklead verfolgt werden. 3 Nutzungsrechte des Kunden (1) Der Kunde erklärt, dass er entweder eine mindestens 18 (achtzehn) Jahre alte natürlich Person oder eine juristische Person ist und mit der Nutzung von quicklead zu anderen als privaten Zwecken nutzen wird. (2) Der Kunde erhält, aufschiebend bedingt durch die Zahlung der jeweils nach diesem Vertrag anfallenden Gebühren, ein einfaches, nicht übertragbares, räumlich unbegrenztes, zeitlich auf die Dauer des Hauptvertrages begrenztes, nicht übertragbares Nutzungsrecht sowohl an der/den jeweils von ihm eingesetzten App(s) und an der Plattform inklusive aller ihrer Funktionalitäten, und zwar jeweils in dem Umfang, der zu dem von ihm gewählten Nutzerpaket passt. Zu keiner Zeit hat der Kunde Anspruch auf Zurverfügungstellung jedweden Quellcodes von quicklead oder von Maschinencode der Plattform. (3) Nutzung im Sinne des genannten Nutzungsrechtes bedeutet in Bezug auf Apps eine Möglichkeit zum Abruf der jeweiligen App über den App Store des jeweiligen Anbieters oder einer von rabbit mobile benannten Webseite zur Installation und zum Betrieb auf dem jeweiligen Endgerät und in Bezug auf die Plattform eine reine Nutzung aller Dienste über einen Browser bei funktionierender Internet-Verbindung, ohne dass es eines Downloads bzw. der Installation von Software bedürfte. (4) Der Kunde weiß und akzeptiert, dass rabbit mobile quicklead (also die App(s) und die Plattform) stetig weiter entwickelt und ihm die App(s) und die Plattform ausschließlich in der jeweils aktuellen Version zur Nutzung bereit stellt. Der Kunde hat keinen Anspruch auf Nutzung einer bestimmten Version der App(s) oder der Plattform und nicht auf die Zurverfügungstellung von Updates oder Ergänzungen von quicklead. (5) Die dem Kunden zur Nutzung von quicklead zur Verfügung gestellten Zugangsdaten muss er sicher aufbewahren und darf er niemandem weitergeben. rabbit mobile ermöglicht dem Kunden, für jeden Nutzer von quicklead einen personengebundenen Satz von Zugangsdaten zu generieren, die jeweils nicht auf eine andere Person übertragen werden oder von einer anderen Person genutzt werden dürfen. (6) rabbit mobile sichert die ordnungsgemäße Funktion der Plattform während durchschnittlich 98 % pro Kalendermonat zu. Wartungsarbeiten und sonstige geplante Ausfallzeiten werden mit angemessener Frist angekündigt und nach Möglichkeit während Zeiträumen mit erwartungsgemäß niedriger Nutzungsintensität durchgeführt. Geplante Ausfallzeiten gelten nicht als Zeiten der Nichtfunktion im Sinne dieses Satzes 1. 4 Datahosting-Leistungen (1) rabbit mobile überlässt dem Kunden Speicherplatz, der durch den Kunden eigenständig zur Speicherung der Daten genutzt wird ( Datahosting ). rabbit mobile wird für den Kunden ausschließlich als Auftragsdatenverarbeiterin nach 11 BDSG tätig und wird dessen personenbezogene Daten abgesehen von entsprechender schriftlicher Weisung des Kunden nicht verändern, bearbeiten oder nutzen. (2) rabbit mobile erstellt täglich Sicherungskopien des im Rahmen des Datahostings genutzten Speicherplatzes und betreibt Sicherungsmaßnahmen nach aktuellem Stand der Technik. Verlangt der Kunde zusätzliche Sicherungsmaßnahmen, muss er etwaige Zusatzkosten tragen. Diese Zusatzkosten weist rabbit mobile dem Kunden nach. Nutzungsvertrag quicklead (Stand: ) 2 von 17

3 (3) Während der gesamten Dauer der Nutzung hat der Kunde die Möglichkeit, alle von ihm in quicklead eingebrachten Lead- und Gesprächsdaten zu exportieren. Alle Daten des Kunden auf der Plattform werden bei Ende der Nutzung (Löschen des Accounts) von quicklead gelöscht. Bei dieser Löschung werden gegebenenfalls in Backups befindliche Daten dem regulären Turnus entsprechend gelöscht. 5 Zusatzleistungen: Support, Software-Erstellung (1) Soweit der Kunde rabbit mobile mit Zusatzleistungen wie zum Beispiel Beratung, Support oder Schulung seiner Nutzer beauftragt, wird die jeweils beauftragte Leistung vorbehaltlich anderer Regelung nach dem in 7 Abs. 2 genannten Turnus nach den jeweils aktuellen Stundensätzen nach angefangenen halben Stunden abgerechnet. Die Stundensätze betragen aktuell: Projektmanagement und Organisation: Kundenberatung: Grafik und Design: Programmierung: IT-Consulting, Konzeption: 95,- Euro 110,- Euro 110,- Euro 125,- Euro 140,- Euro (2) Gegebenenfalls gewünschte Erstellung von über quicklead hinaus gehender Software ist Gegenstand einer gesonderten Vereinbarung zwischen den Vertragsparteien. 6 Vertragsdauer (1) Der Vertrag läuft auf unbestimmte Zeit. Mindestlaufzeiten und Kündigungsfristen gelten wie folgt: Der Vertrag hat eine Mindestlaufzeit von einem Monat. Wenn der Vertrag nicht gekündigt wird, verlängert er sich automatisch um jeweils einen weiteren Monat ( Verlängerungszeit ). Er kann zum Ende der Mindestlaufzeit oder jeder Verlängerungszeit mit einer Frist von 1 (einer) Woche gekündigt werden. (2) Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn eine Vertragspartei die im Hauptvertrag ausdrücklich geregelten Pflichten grob verletzt, sowie dann, wenn die andere Vertragspartei insolvent wird, also Zahlungsunfähigkeit droht oder bereits eingetreten ist. Ein wichtiger Grund liegt ferner dann vor, wenn der Kunde mit der Entrichtung von Entgelt im Verzug ist, das das durchschnittliche Entgelt für 2 (zwei) Leistungsmonate erreicht. (3) In der Nichtausübung eines Rechts zur Kündigung aus wichtigem Grund seitens rabbit mobile ist keine Billigung des Verhaltens des Kunden zu sehen. rabbit mobile behält sich in diesem Fall ausdrücklich das Recht zur Kündigung für den Fall fortlaufenden oder wiederholten Verstoßes vor. 7 Vergütung (1) Der Kunde entrichtet an rabbit mobile für die Nutzung von quicklead die Vergütung, die sich gemäß seines Nutzungsumfangs (Anzahl Lizenzen) nach zum Zeitpunkt der Bestellung geltender Preisliste ergibt. Ihm wurde diese Summe in einer Bestellbestätigung per mitgeteilt. (2) Für die Nutzung von quicklead entstehen Gebühren abhängig von der Zahl von Nutzern, die quicklead gleichzeitig nutzen dürfen, unabhängig von der Rolle des jeweiligen Nutzers ( Parallelnutzungslizenzen ). rabbit mobile rechnet jeweils zu Beginn eines jeden Abrechnungszeitraums (Monats- oder Jahrespaket) Zeitraum ab. Nutzungsvertrag quicklead (Stand: ) 3 von 17

4 (3) rabbit mobile behält sich vor, Preise und Tarifstruktur zu ändern. Sie informiert den Kunden über jede Veränderung von Preisen oder Tarifen, die ihn betreffen, per . Bei jeder Preisoder Tarifanpassung, die seine Position verschlechtert also die ihn absolut mehr kostet oder seine Nutzungsmöglichkeiten bei gleichem Preis schmälert darf der Kunde mit Wirkung zum Ende der Gültigkeit der bisherigen Preise oder Tarifstruktur kündigen. (4) Wenn und solange der Kunde mit der Zahlung von mindestens 2 (zwei) Monatsvergütungen in Verzug ist, darf rabbit mobile sämtliche Leistungen an den Kunden verweigern, ohne dass hierdurch seine Leistungspflicht gehemmt würde. Das beinhaltet eine Sperre der Nutzung von quicklead, durch die die Verfügungsgewalt über personenbezogene Daten des Kundenkontos auf eine Person (den so genannten agent ) beschränkt wird. 8 Pflichten des Kunden (1) Der Kunde hat auf allen Computern, von denen aus auf die Plattform zugegriffen wird (inkl. aller Endgeräte, auf denen eine quicklead-app läuft) für Datensicherheitsmaßnahmen nach aktuellem Stand der Technik zu sorgen, z. B. Virenschutzprogramme in aktueller Version einzusetzen. (2) Der Kunde hat außerdem sicher zu stellen, dass Unbefugten der Zugriff auf quicklead verwehrt ist und bleibt, und sichert zu, dass er, soweit vorhanden, seine Mitarbeiter, Erfüllungsgehilfen und Unterauftragnehmer zur Einhaltung dieser vorgenannten Pflichten verpflichtet hat. Der Kunde muss die ihm von rabbit mobile übermittelten Zugangsdaten sorgfältig vor dem Zugriff Unbefugter aufbewahren und rabbit mobile bei Verlust oder Gefahr unbefugten Zugriffs unverzüglich schriftlich oder per Telefax über diesen Umstand informieren. (3) Der Kunde unterrichtet rabbit mobile unverzüglich schriftlich oder per Telefax, wenn für ihn der Verdacht besteht, dass eine Sicherheitsmaßnahme (z. B. Virenschutz oder Firewall) nicht einwandfrei funktioniert hat, es zu einem unbefugten Zugriff kam bzw. kommt oder eine sonstige Gefährdung aus seiner Sphäre für rabbit mobile oder ihre Systeme bestehen kann. 9 Gewährleistung (1) rabbit mobile gewährleistet, dass quicklead (also jede App und die Plattform) der sich aus der Produktbeschreibung ergebenden vereinbarten Beschaffenheit entspricht und entsprechend eingesetzt werden kann. Hinsichtlich der vereinbarten Beschaffenheit und auch darüber hinaus ist jegliche Zusicherung schriftlich von rabbit mobile zu erklären. (2) Mängel von quicklead werden von rabbit mobile innerhalb angemessener Zeit behoben, nachdem der Kunde rabbit mobile über den Mangel in Textform schriftlich, per Telefax oder per so detailliert informiert wurde, dass rabbit mobile den Mangel lokalisieren und reproduzieren kann. Der Kunde muss rabbit mobile bei der Eingrenzung von Fehlern unterstützen. (3) Zum Zwecke der Mängelprüfung und -beseitigung gestattet der Kunde rabbit mobile den Zugriff auf seinen Daten in der Plattform und muss rabbit mobile, soweit erforderlich, die betroffenen Endgeräte, auf denen eine quicklead-app läuft, zur Verfügung stellen. (4) Die Gewährleistungsrechte des Kunden sind ausgeschlossen, soweit er ohne Zustimmung von rabbit mobile Änderungen an einer App vornimmt oder vornehmen lässt. Dies gilt nicht, sofern der Vertragspartner zu Änderungen, insbesondere nach 536 Abs. 2 BGB, berechtigt ist und sämtliche Änderungen fachgerecht ausgeführt und nachvollziehbar dokumentiert werden. Nutzungsvertrag quicklead (Stand: ) 4 von 17

5 10 Haftung (1) rabbit mobile haftet für sich und ihre Erfüllungsgehilfen, gleich aus welchem Rechtsgrund, nur, falls eine wesentliche Vertragspflicht schuldhaft in einer den Vertragszweck gefährdenden Weise verletzt wurde oder der Schaden auf grobe Fahrlässigkeit oder Vorsatz zurückzuführen ist. Als wesentliche Vertragspflicht gilt eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Hauptvertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Wird eine solche wesentliche Vertragspflicht nicht grob fahrlässig oder vorsätzlich verletzt, ist die Haftung der Höhe nach auf solche vertragstypischen Schäden begrenzt, die zum Zeitpunkt des Vertragsschlusses vernünftigerweise vorhersehbar waren, jedoch wertmäßig begrenzt auf ,00 für Vermögensschäden und auf ,00 für Personen- und Sachschäden pro Fall und auf ,00 für Vermögensschäden und auf ,00 für Personen- und Sachschäden für die gesamte Kundenbeziehung. (2) Die Haftung von rabbit mobile für zugesicherte Eigenschaften, arglistig verschwiegene Mängel oder Personenschäden (Leben, Körper und Gesundheit) sowie nach den Vorschriften des Produkthaftungsgesetzes bleibt unberührt. (3) Soweit die Haftung von rabbit mobile nach den vorstehenden Regelungen dieses 10 wirksam ausgeschlossen oder beschränkt ist, gilt dies auch für die persönliche Haftung der Arbeitnehmer, der sonstigen Mitarbeiter, Organe, Vertreter und Erfüllungsgehilfen von rabbit mobile. 11 Datenschutz (1) rabbit mobile wird für den Kunden als Auftragsdatenverarbeiterin isv. 11 BDSG nach Maßgabe des Hauptvertrages und der Vereinbarung über Auftragsdatenverarbeitung (Anlage 1) tätig. rabbit mobile weist den Kunden darauf hin, dass der als verantwortliche Stelle nach 3 Abs. 7 BDSG für die Einhaltung des Datenschutzrechts in Bezug auf alle seine personenbezogenen Daten verantwortlich ist. (2) rabbit mobile speichert folgende Daten des Kunden zu Verwaltungs- und Datensicherheitszwecken: -Adresse, Anrede, Vor- und Nachname, Firmenname, Postanschrift, Umsatzsteuer-Identifikationsnummer, Nutzungshistorie inklusive Login- und Logout-Historie, genutzte IP-Adressen, Gerätetyp und Gerätekennung des/der genutzten mobilen Endgeräte, Browsertyp und version, außerdem (bei Kunden mit zahlungspflichtigen Konten) die Tarifhistorie und Zahlungshistorie. (3) Der Kunde muss bei der Nutzung von quicklead geltendes Recht, insbesondere Datenschutzund Wettbewerbsrecht einhalten. (4) Zu Kundensupport- und Qualitätssicherungszwecken darf rabbit mobile Einsicht in sämtliche Daten der Nutzerkonten des Kunden nehmen. 12 Freistellung (1) Der Kunde sichert ausdrücklich zu, alle rechtlichen Vorschriften einzuhalten, die ihn bei dem Einsatz von quicklead treffen, insbesondere solche, die den Umgang mit personenbezogenen Daten regeln. (2) Sollte rabbit mobile von einem Dritten auf Grund einer Rechtsverletzung des Kunden, gleich welcher Art, in Anspruch genommen werden (z. B. wegen unzumutbarer Belästigung nach 7 UWG), stellt der Kunde rabbit mobile auf erste Aufforderung von allen Kosten frei bzw. erstattet alle Kosten (insbesondere Rechtsanwalts-, Gerichts-, Behörden- und Gutachterkosten), die im Rahmen der Abwehr bzw. dem Umgang mit den erhobenen Ansprüchen entstehen. rabbit mobile wird in einem solchen Fall das Vorgehen mit dem Kunden abstimmen, behält sich jedoch die Entscheidungsfreiheit vor. Nutzungsvertrag quicklead (Stand: ) 5 von 17

6 13 Sonstiges (1) Jede Willenserklärung, die diesen Vertrag oder eine Anlage oder Erweiterung ändert, insbesondere Mahnungen, Mängelrügen und Kündigungen, erfordern Schriftform. (2) rabbit mobile darf die vorliegenden Geschäftsbedingungen ändern, wenn sie den Kunden mindestens 4 (vier) Wochen vor Wirksamwerden der neuen Geschäftsbedingungen auf die Änderung hinweist und ihm die neuen Geschäftsbedingungen zur Verfügung stellt. (3) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand für alle in Verbindung mit der Geschäftsbeziehung der Parteien stehenden Ansprüche ist Frankfurt am Main (Deutschland). (4) Es bestehen keine Nebenabreden, und zur Vereinbarung von Nebenabreden ist Schriftform erforderlich; Letzteres gilt auch für das Abbedingen dieses Schriftformerfordernisses. (5) Sollte eine Klausel dieses Vertrages unwirksam sein oder werden, berührt das den Rest des Vertrages nicht, und an Stelle der unwirksamen Klausel tritt eine solche, die bei objektiver Betrachtung bei Vertragsschluss von beiden Parteien bei Kenntnis der Unwirksamkeit gewollt gewesen wäre. Vor Beauftragung hat der Kunde eine Kopie dieses Nutzungsvertrages erhalten. Mit der Nutzung von quicklead erklärt der Kunde, dass er diese Nutzungsbedingungen akzeptiert. Anlagen Anlage 1: Anlage 2: Vereinbarung über Auftragsdatenverarbeitung (ADV) nach 11 BDSG Technische und organisatorische Maßnahmen der ADV Nutzungsvertrag quicklead (Stand: ) 6 von 17

7 Anlage 1 zu den Vertragsbedingungen der rabbit mobile GmbH für die Nutzung von quicklead Vereinbarung über Auftragsdatenverarbeitung (ADV) nach 11 BDSG Diese Anlage konkretisiert die datenschutzrechtlichen Verpflichtungen zwischen rabbit mobile (hier als Auftragnehmerin bezeichnet), die anlässlich ihrer Tätigkeit für den Kunden (hier als Auftraggeber bezeichnet) als Herrn seiner personenbezogenen Daten Zugriff auf diese Daten hat. rabbit mobile ist sich ihrer Pflichten als Auftragsdatenverarbeiterin bewusst und legt großen Wert auf Datenschutzkonformität, um dem Kunden den vertrauensvollen Umgang mit seinen Daten auch außerhalb seiner Organisation zu ermöglichen. 1 Überblick, Zweck der ADV und Datenschutzbeauftragter (1) rabbit mobile stellt dem Kunden die im Hauptvertrag definierte Software zur Erfassung, Verwaltung und zum Export von Leads zur Verfügung. Diese Anlage regelt die Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Sinne des 3 BDSG (im Folgenden: pbd ) durch rabbit mobile für den Kunden. (2) Die Auftragnehmerin ist nicht im engeren Sinne des 11 Abs. 1 BDSG mit der Erhebung, Verarbeitung oder Nutzung personbezogener Daten beauftragt, sondern stellt dem Auftraggeber lediglich einen Dienst zur Verfügung, mit dem er dies selbst tun kann. Die Auftragnehmerin hat aber anlässlich ihrer Systemadministrations- und Wartungstätigkeit für den Auftraggeber jedenfalls technisch Zugriff auf personenbezogene Daten nach 11 Abs. 5 BDSG. (3) Das Erfordernis der Bestellung eines Datenschutzbeauftragten nach 4f Abs. 1 S. 4 BDSG ist bei der Auftragnehmerin aktuell nicht gegeben. Sie hält sich dennoch selbstverständlich an geltendes Datenschutzrecht. 2 Betroffenenkreis und betroffene Datenkategorien (1) Die datenschutzrechtlich betroffenen natürlichen Personen (im Folgenden: Betroffene ) der hier definierten ADV sind: a) vom Auftraggeber zur Nutzung von quicklead autorisierte Nutzer; b) von quicklead erfasste Personen, mit denen der jeweilige Nutzer Kontakte hatte (Leads); c) möglicherweise Namen und/oder Kontaktdaten in vom Auftraggeber individuell erstellten Formularen zur Nutzung in quicklead ( Leadbögen ), zum Beispiel Daten von Personen, an die bestimmte Leaddaten weitergegeben werden sollen. Nutzungsvertrag quicklead (Stand: ) 7 von 17

8 (2) Die im Rahmen dieser ADV betroffenen Kategorien personenbezogener Daten hängen davon ab, welche Datenkategorien der jeweilige quicklead-nutzer festlegt. Regelmäßig sind dies voraussichtlich: a) vollständiger Name; b) Kontaktdaten von Visitenkarten der Kontaktpersonen, z. B. Firmenname, Postund/oder -Adresse, Telefon- und/oder Faxnummern als Text- und/oder als Bildinformation; c) Fotos der Kontaktpersonen; d) Zeitpunkt und Ort des Gespräches inkl. Bezeichnung des Events (z. B. der Messe). 3 Datenverarbeitung durch die Auftragnehmerin (1) Grundsätzlich erhebt, verarbeitet und nutzt die Auftragnehmerin keinerlei Daten für den Auftraggeber, sondern hat anlässlich des für ihre Wartungs- und Pflegetätigkeiten erforderlichen Systemzugriffs gegebenenfalls Zugriff auf alle in 2 dieser Anlage definierten pbd des Auftraggebers. (2) Die Auftragnehmerin verarbeitet pbd ausschließlich im Rahmen des Hauptvertrages und der Weisungen des Auftraggebers. Sie verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, die ihr überlassenen Daten an Dritte weiterzugeben. Die Auftragnehmerin erstellt keine Kopien ohne Wissen des Auftraggebers mit Ausnahme der erforderlichen Sicherheitskopien zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung und der geforderten Sicherheit. (3) Die Datenverarbeitung nach dieser Vereinbarung findet ausschließlich innerhalb der EU statt. Datenverarbeitungen in so genannten Drittstaaten außerhalb der EU müssen vom Auftraggeber unter Einhaltung der einschlägigen Vorschriften, insbesondere 4b BDSG, beauftragt werden. 4 Nutzungsrechte an Daten, Sicherungsübereignung, Rückgabe, Zurückbehaltungsrecht (1) Sämtliche Rechte an Daten und Inhalten von Datenbanken, die im Rahmen dieses Vertrages generiert und verarbeitet werden, stehen ausschließlich und ab Zeitpunkt der Entstehung dem Auftraggeber zu. Im Verhältnis zur Auftragnehmerin ist der Auftraggeber alleiniger Eigentümer dieser Daten und der Inhalte dieser Datenbanken und ist Datenbankhersteller im Sinne der 87a ff. UrhG. (2) Die Auftragnehmerin darf personenbezogene Daten des Auftraggebers im Rahmen und ausschließlich für die Zwecke dieses Vertrages und gemäß der darin geregelten Verarbeitung nutzen. (3) Während der gesamten Dauer der Nutzung kann der Auftraggeber alle seine in quicklead eingebrachten oder darin verwalteten Lead-Daten exportieren. Mit Ende der Nutzung (Löschung des Accounts) werden die bis dahin eingebrachten und eventuell noch im System vorhandenen Lead-Daten gelöscht. Mit dem Ende der vertraglichen Leistungen der Auftragnehmerin werden sämtliche erfassten personenbezogenen Daten gelöscht. (4) Eine Löschungsverpflichtung gilt als erfüllt, wenn und soweit die Löschung im Rahmen eines verwendeten Backup-Turnus geschieht. Löschungsverpflichtungen entstehen nicht, wenn und solange die Auftragnehmerin eine zwingende gesetzliche Aufbewahrungspflicht trifft. (5) Die Einrede des Zurückbehaltungsrechts isv. 273 BGB wird hinsichtlich der im Rahmen dieser ADV verarbeiteten personenbezogenen Daten des Auftraggebers ausgeschlossen. Nutzungsvertrag quicklead (Stand: ) 8 von 17

9 5 Informations- und Auskunftspflichten der Auftragnehmerin, Kontrollen (1) Die Auftragnehmerin stellt dem Auftraggeber auf Anforderung die Angaben zu ihrer IT- Infrastruktur, insbesondere zu Zugriffsberechtigungen und Schnittstellen bezüglich der Verarbeitung der Daten des Auftraggebers zur Verfügung, die für eine Verfahrensübersicht gemäß 4g Abs. 2 S. 1 BDSG erforderlich sind. (2) Die Auftragnehmerin informiert den Auftraggeber unverzüglich über Fälle schwerwiegender Betriebsstörungen und bei Verdacht auf Datenschutzverletzungen oder andere Unregelmäßigkeiten bei der Verarbeitung der Daten des Auftraggebers. (3) Macht ein Betroffener gegenüber der Auftragnehmerin sein Recht auf Berichtigung, Löschung oder Sperrung seiner Daten geltend, nimmt die Auftragnehmerin in Abstimmung mit dem Auftraggeber die Berichtigung, Sperrung oder Löschung vor oder leitet die Anfrage an ihn weiter, soweit ihr die Vornahme der Anpassungen nicht möglich oder vertraglich nicht erlaubt ist. (4) Ist der Auftraggeber gegenüber einer staatlichen Stelle oder einer Person verpflichtet, Auskünfte über die Verarbeitung von Daten zu geben, so wird die Auftragnehmerin ihn darin unterstützen, diese Auskünfte zu erteilen. Im Fall von Datenschutzverletzungen, die mit der Datenerhebung bzw. -verarbeitung durch die Auftragnehmerin im Zusammenhang stehen, unterstützt sie den Auftraggeber auf Aufforderung bei der Benachrichtigung Betroffener und der Aufsichtsbehörde. Die Auftragnehmerin informiert den Auftraggeber außerdem unverzüglich über jegliche Kommunikation der Aufsichtsbehörden (z. B. Anfragen, Mitteilung von Maßnahmen oder Auflagen) gegenüber der Auftragnehmerin im Zusammenhang mit der Datenerhebung oder -verarbeitung im Rahmen dieses Vertrages. Auskünfte an Dritte, auch an Aufsichtsbehörden, darf die Auftragnehmerin nur nach vorheriger schriftlicher Zustimmung durch und in Abstimmung mit dem Auftraggeber erteilen. (5) Der Auftraggeber kann die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarung durch die Auftragnehmerin, auch in ihren Betriebsstätten, kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in seine gespeicherten Daten und die Datenverarbeitungsprogramme bei der Auftragnehmerin, mit denen seine Daten verarbeitet werden. Der Auftraggeber wird das Ergebnis der Kontrollen dokumentieren. Die Auftragnehmerin ist entsprechend zur Auskunft und Mitwirkung verpflichtet, sie unterstützt den Auftraggeber insbesondere bei Datenschutzkontrollen durch die Aufsichtsbehörde, soweit es sich um die Datenverarbeitung im Rahmen dieser Vereinbarung handelt, und er leistet Aufforderungen der Aufsichtsbehörde in Abstimmung mit dem Auftraggeber unverzüglich Folge. (6) Soweit Einblick in bzw. Zutritt zu Unterlagen, Daten, Systemen oder Bereichen verlangt wird, die Geschäftsgeheimnisse enthalten oder Daten anderer Kunden der Auftragnehmerin betreffen, kann der Auftraggeber verlangen, dass eine Überwachung und Kontrolle insoweit von einem durch ihn beauftragten, unabhängigen Dritten vorgenommen wird. Dieser muss nach seinem Berufsrecht einer gesetzlichen Schweigepflicht unterliegen. Bei Ausübung des Kontrollrechts wird der Kunde die Belange der Auftragnehmerin angemessen berücksichtigen, insbesondere den laufenden Geschäftsbetrieb nicht unangemessen beeinträchtigen. 6 Mitwirkung durch den Auftraggeber (1) Für die Beurteilung der Zulässigkeit jeder Datenerhebung und -verarbeitung im Rahmen der Leistungen der Auftragnehmerin für den Auftraggeber und für die Wahrung der Rechte der Betroffenen ist der Auftraggeber verantwortlich. Die Auftragnehmerin unterstützt ihn bei der Wahrung der Betroffenenrechte (s. 5 Abs. 3). Nutzungsvertrag quicklead (Stand: ) 9 von 17

10 (2) Der Auftraggeber erteilt bereits mit diesem Vertrag datenschutzrechtliche Weisungen über Art, Umfang und Verfahren der Datenverarbeitung. Wesentliche Weisungen des Auftraggebers sind die in 2 geregelten Datenkategorien, Verarbeitungsverfahren und Zweckbestimmungen. Der Umfang der Zweckbestimmung und -bindung ergibt sich als Weisung aus der begrenzten Zweckbestimmung des Hauptvertrages. (3) Darüber hinaus ist der Auftraggeber berechtigt, im Einzelfall datenschutzrechtliche Weisungen zu erteilen. Der Auftraggeber erteilt alle Aufträge oder Teilaufträge und Weisungen schriftlich, per Telefax oder per . 7 Technische und organisatorische Maßnahmen (1) Die Datenverarbeitung findet auf Datenverarbeitungsanlagen und in einer IT-Infrastruktur statt, für die technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten getroffen wurden. In diesem Zusammenhang stellt die Auftragnehmerin sicher und sichert dem Auftraggeber zu, alle Maßnahmen zu treffen, die für die Verarbeitung der überlassenen Daten auf den von der Auftragnehmerin genutzten Datenverarbeitungsanlagen gemäß der Anlage zu 9 BDSG für die Durchführung der nach dem Hauptvertrag geschuldeten Tätigkeiten erforderlich sind. Diese derzeit erforderlichen Maßnahmen sind in Anlage 2 dieses Vertrages beschrieben. (2) Stellt die Auftragnehmerin während der Laufzeit dieser Vereinbarung fest, dass eine vereinbarte Sicherheitsmaßnahme, insbesondere eine Maßnahme nach Anlage 2 dieses Vertrages nicht oder nicht mehr ausreicht oder unzweckmäßig ist, ist sie verpflichtet, den Auftraggeber darauf hinzuweisen und eine ausreichende und zweckmäßige Maßnahme umzusetzen. (3) Die Auftragnehmerin ist verpflichtet, ihre Sicherheitsmaßnahmen regelmäßig zu überprüfen und zu aktualisieren. Außerdem hat sie die Maßnahmen auf Hinweis des Auftraggebers an sich ändernde individuelle Vorgaben gegen Vergütung anzupassen. Die für die Sicherheit erheblichen Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind rechtzeitig mit dem Auftraggeber abzustimmen. (4) Der Auftraggeber behält sich vor, Maßnahmen zur Qualitätssicherung und Maßnahmen zur Missbrauchserkennung bezüglich der Systeme durchzuführen, mit denen seine Daten verarbeitet werden, ggf. auch unter Einsichtnahme in personenbezogene Daten (individuelle Kennungen und Name, Kontaktdaten) der auf die Systeme zugreifenden Personen. 8 Datengeheimnis (1) Die Auftragnehmerin verpflichtet sich, bei der Datenverarbeitung das Datengeheimnis zu wahren, das derzeit in 5 BDSG geregelt ist ( Datengeheimnis ). Sie verpflichtet sich außerdem, die jeweils geltenden gesetzlichen Datenschutzbestimmungen zu beachten, derzeit insbesondere die des BDSG, des Telekommunikationsgesetzes (im Folgenden: TKG ) und des Telemediengesetzes (im Folgenden: TMG ). (2) Die Auftragnehmerin bestätigt, dass ihr die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind, und sichert zu, dass sie die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter nachweislich zuvor mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und insbesondere auf das Datengeheimnis verpflichtet. Sie überwacht die Einhaltung der datenschutzrechtlichen Vorschriften. (3) Die Verpflichtung zum Datengeheimnis und Fernmeldegeheimnis gilt auch nach Beendigung dieses Vertrages fort. Nutzungsvertrag quicklead (Stand: ) 10 von 17

11 9 Genehmigte Subunternehmer Der Auftraggeber ist informiert und damit einverstanden, dass die Auftragnehmerin die folgenden Subunternehmer zur Erbringung ihrer Verpflichtungen aus dem Hauptvertrag einsetzt. Subunternehmer 1 ProfitBricks GmbH Greifswalder Str Berlin Fon: +49 (0) Fax: +49 (0) (1) Aufgaben des Subunternehmers a) Hosting der quicklead-plattform auf von ihm installierten, konfigurierten und verwalteten Servern. b) Bereistellung von Backup-Speicher für tägliches Backup, das jeweils 30 (dreißig) Tage vorgehalten und danach, vorbehaltlich zwingender gesetzlicher Regelungen, gelöscht wird. (2) Der Subunternehmer hat gesicherten Zugriff auf die Hardware, um im Supportfall rabbit mobile unterstützen zu können. (3) Der sichere Serverbetrieb wird neben einem Service Level Agreement durch eine Vereinbarung zur Auftragsdatenverarbeitung und durch definierte Mindestanforderungen an die Server sichergestellt. Subunternehmer 2 Paymill GmbH St.-Cajetan-Straße München Fon: +49 (0) 89 / Fax: +49 (0) 89 / (1) Aufgaben des Subunternehmers a) Online-Zahlungsdienstleistungen entsprechend der von rabbit mobile auf der Plattform angebotenen Zahlungsmöglichkeiten für quicklead (2) Die Übertragung aller zahlungsrelevanten Daten an Paymill geschieht über https Subunternehmer 3 Pactas GmbH Hanauer Landstraße Frankfurt am Main Fon: +49 (0) Fax: +49 (0) ) Aufgaben des Subunternehmers a. Regelmäßige Fakturierung und Mahnwesen gemäß dem vom Kunden gewählten Zahlungsrhythmus Nutzungsvertrag quicklead (Stand: ) 11 von 17

12 2) Alle Daten liegen in einem mehrfach gesicherten professionellen Rechenzentrum in Frankfurt/Main. Das Rechenzentrum ist ISO/IEC zertifiziert. 3) Der Zugang zur Pactas-Plattform ist nur über eine sichere Internet-Verbindung möglich. Pactas benutzt dabei ein Zertifikat mit Extended Validation der Firma Symantec. 4) Die Systeme sind durch eine Firewall vor unberechtigten Zugriffen geschützt. 5) Die Pactas-Plattform wird mit einem 24/7- Monitoring überwacht. 6) Die Pactas-Plattform verwendet kein SQL, was die Gefahr von SQL-Injections ausschließt Subunternehmer 4 domainfactory GmbH Oskar-Messter-Str Ismaning Fon: 089/ Fax: 089/ ) Aufgaben des Subunternehmers a. Domainhosting aller quicklead-web-domains b. Bereitstellung der SSL-Zertifikate Subunternehmer 5 The Rocket Science Group, LLC 512 Means St Suite 404 Atlanta, GA USA 1) Aufgaben des Subunternehmers a. Technischer Dienstleister für den Versand von quicklead-bezogenen s, die die Auftragnehmerin an seine Auftraggeber versendet. Dies können z. B. sein: i. notwendige Informationen für die Nutzung von quicklead ii. Ankündigung von Systemereignissen (geplante Downtimes etc.) iii. Informationen über neue Versionen iv. Tutorials v. Kundensupport vi. etc. b. Speicherung der -Adressen von quicklead-usern, deren Vor- und Nachname, Unternehmensname und ggf. Benutzerrolle bei quicklead Soweit die Auftragnehmerin freie Mitarbeiter zur Erbringung ihrer Tätigkeiten einsetzt, verpflichtet sie sie zur Einhaltung mindestens der selben Datenschutzstandards, die sie selbst dem Auftraggeber gegenüber unterliegt. Nutzungsvertrag quicklead (Stand: ) 12 von 17

13 10 Ansprechpartner für Fragen der Auftragsdatenverarbeitung (1) Weisungsberechtigte des Auftraggebers: Person 1 Name, Position: -Adresse: Telefonnummer: Person 2 Name, Position: -Adresse: Telefonnummer: (2) Weisungsempfänger der Auftragnehmerin: Name, Position: -Adresse: Telefonnummer: 11 Schlussbestimmungen (1) Die Laufzeit dieser Anlage richtet sich nach der Laufzeit des Hauptvertrages. (2) Dienstleistungen, die der Auftraggeber von der Auftragnehmerin im Rahmen der ADV fordert, werden vorbehaltlich anderer Vereinbarung nach den im Hauptvertrag vereinbarten Konditionen vergütet. (3) Im Fall von Widersprüchen datenschutzrelevanter Regelungen in dieser Vereinbarung mit sonstigen Vereinbarungen zwischen den Parteien gehen die Regelungen dieser Vereinbarung vor. Im Übrigen bleiben die Regelungen des Hauptvertrages unberührt und gelten für diese Vereinbarung entsprechend. Frankfurt, den [Ort], den [Name] rabbit mobile GmbH [Name] [Firma] Nutzungsvertrag quicklead (Stand: ) 13 von 17

14 Anlage 2 zu den Vertragsbedingungen der rabbit mobile GmbH für die Nutzung von quicklead Technische und organisatorische Datenschutzmaßnahmen der Auftragsdatenverarbeitung nach 9 BDSG Diese Anlage konkretisiert die Umsetzung der im Rahmen der ADV erforderlichen technischen und organisatorischen Maßnahmen. 1 Zutrittskontrolle Die Server zur Erbringung der beschriebenen Leistungen werden in zutrittsgesicherten Rechenzentrumsräumen betrieben. Folgende technische bzw. organisatorische Maßnahmen zur Zutrittskontrolle, insbesondere auch zur Legitimation der Berechtigten, werden an den RZ- Standorten eingesetzt: (1) Sicherheitspersonal 24/7 präsent (2) Videoüberwachung Aufnahmen werden 30 Tage vorgehalten (3) Störmeldesystem (4) 4 separate Brandabschnitte mit eigener Brandfrühesterkennungsanlage, an zentrale Löschanlage gekoppelt (5) Bauabschnitte sind vollständig redundant verkabelt und verfügen über Brand-, Wasserund Einbruchschutz sowie über Videoüberwachung mit Infrarotkameras (6) Zutritt über Zutrittskontrollsystem (7) Zugang nur mit ID-Karte (8) Einbruchsmeldeanlage 2 Zugangskontrolle Maßnahmen hinsichtlich der Benutzeridentifikation und Authentifizierung: (1) Für jeden administrativen Benutzer der Systeme ist ein eigener Benutzerstammsatz ( User Account ) erforderlich. Die Authentifizierung erfolgt über die -Adresse und ein nur dem Benutzer bekanntes Passwort. (2) Ein regelmäßiger Wechsel des Kennworts ist möglich, wird aber nicht erzwungen. (3) Alle Zugriffe auf das System sind verschlüsselt möglich. (4) Administratoren der Auftragnehmerin erhalten nur über besonders geschützte Zugänge (internes geschütztes Netz oder VPN, Mitgliedschaft in der Administratorengruppe und Besitz eines individuellen, personenbezogenen Schlüssels) Zugriff auf die Konsolen der Server- und Infrastruktursysteme. Nutzungsvertrag quicklead (Stand: ) 14 von 17

15 3 Zugriffskontrolle Für die von der Auftragnehmerin verwalteten Zugriffsrechte gilt: Benutzer werden in dem von der Auftragnehmerin für alle Auftraggeber betriebenen Verzeichnisdienst angelegt. Die Auftragnehmerin verwaltet die Zugriffsberechtigungen für alle Anwendungssysteme. Zugriffsrechte werden auf zwei Ebenen verwaltet: (1) Benutzer sind immer mindestens einem so genannten Firmenaccount zugeordnet. Neue Benutzer werden in den Firmenaccount des erstellenden Verwalters eingeladen. Diese Zuordnung kann nur von Administratoren der Auftragnehmerin verändert werden. (2) Einzelne Benutzer eines Firmenaccounts können als deren Verwalter ausgezeichnet werden. Dies können neben Administratoren der Auftragnehmerin auch vom Auftraggeber benannte Mitarbeiter oder Dritte sein. Der Verwalter eines Firmenaccounts kann Benutzer einladen, deren administrative Rolle ändern, sie deaktivieren oder löschen. Außerdem kann er Nutzer entweder einzeln oder über die Zuordnung zu sogenannten Gruppen mit unterschiedlichen Zugriffsrechten auf Messedaten und Leadbogenformulare ausstatten. (3) Ein Passwort-Reset wird durch jeden Benutzer selbst ausgelöst. Beim Reset erhält dieser sein neues Passwort über eine an ein vorher definiertes externes -Konto. 4 Weitergabekontrolle (1) Für den Datentransport von extern (Zugriff auf Anwendungen per HTTP-Protokoll, - Versand und -Abruf) wird Verschlüsselung (SSL bzw. TLS) angeboten, Tunnelverbindungen per VPN (Virtual Private Network) sind für Systemadministrations-Zwecke vorbehalten und ausschließlich in diesem Fall möglich. (2) Interner Datentransport findet ausschließlich über Datenverbindungen unter Kontrolle durch die Auftragnehmerin statt (eigene Leitungen oder VPN). Das gilt insbesondere auch für Datenbackups. (3) Eventuelle Zugriffe auf Systeme des Auftraggebers erfolgen über eine verschlüsselte Kommunikation via Internet. (4) Speichermedien werden bei Austausch durch den Hersteller vorher datenschutzgerecht gelöscht, oder es bestehen entsprechende Vereinbarungen mit den eingesetzten Dienstleistern, dass diese umgehend für eine datenschutzgerechte Löschung oder Vernichtung sorgen. Nutzungsvertrag quicklead (Stand: ) 15 von 17

16 5 Eingabekontrolle Eine Eingabekontrolle ist durch folgende Maßnahmen möglich: (1) Kontrolle der erfassten Daten auf dem Gerät selbst (jeweils durch den Nutzer, der die Daten erfasst hat) (2) Prüfung der an den Server übertragenen Daten durch den Datenerfasser und/oder einen Admin bzw. Agent auf Plausibilität (3) Abgleich der vom Server exportierten Daten mit den auf den Eingabegeräten erfassten Daten 6 Auftragskontrolle Im Regelbetrieb (keine Störung am System) greifen Mitarbeiter oder Subunternehmer der Auftragnehmerin nicht auf personenbezogene Daten des Auftraggebers zu. Störungen oder Fehlerkorrektur kann Zugriff erforderlich machen. Störungen führen in der Regel, aber im Fall des Bedarfs von Datenveränderungen in jedem Fall zur Eröffnung eines Tickets in einem Trouble- Ticket-System. Die Korrektur von fachlichen Fehlern durch Änderung von Dateninhalten wird ebenfalls durch Zuweisung eines Tickets in einem Trouble-Ticket-System beauftragt. Tickets können per , Telefon oder eine dafür zur Verfügung stehende Webplattform, erreichbar unter auch vom Auftraggeber erstellt werden. Im Ticket werden die ausgeführten Aktionen und Problemlösungen festgehalten. 7 Verfügbarkeitskontrolle Folgende Maßnahmen zur Datensicherung kommen zum Einsatz: (1) Backup-Verfahren, Vorhalten von mindestens zwei Versionen über 30 (dreißig) Tage (2) Einsatz von RAID. (3) Redundante, unterbrechungsfreie Stromversorgung (USV), Dieselgenerator. (4) Strikt redundante Auslegung aller zur Service-Erbringung benötigter Komponenten (Server, Speicher, Switches, Load-Balancer, Internet-Anbindung, Stromversorgung, Klimatisierung) 8 Datentrennung Die Anwendungen des Auftraggebers werden auf so genannter Shared Infrastructure betrieben, die auch für den Betrieb anderer Auftraggeber verwendet wird. Die Auftragnehmerin stellt sicher, dass keine Dritten Zugriff auf die Daten des Auftraggebers haben. Die Maßnahmen, die dies gewährleisten, sind: (1) Limitierung des Zugriffs auf einen Firmenaccount ( Account, umfasst Firmenstammdaten, Benutzerstammdaten, Gruppenzugehörigkeiten) auf Anwendungsebene über Zugehörigkeit des Nutzers zu einem Firmenaccount ( Membership, Mitgliedschaft). Diese Mitgliedschaft kann jederzeit vom Verwalter gesperrt werden. (2) Limitierung des Zugriffs auf Messen (Stammdaten, Gesprächsvorlagen/Leadbögen) auf Anwendungsebene über Zugehörigkeit zu dem Account (siehe Abs. 1), zu einer Gruppe und von der Gruppe zu der Messe ( Team, Mannschaft) (Trifft nur auf Nutzer mit der Rolle Member zu, Nutzer mit der Rolle admin oder agent haben Zugriff auf alle Messen eines Accounts). Nutzungsvertrag quicklead (Stand: ) 16 von 17

17 (3) Limitierung der Gesprächsdaten auf Anwendungsebene über die Kontrolle von Abs. 2 und der Historie des Gesprächs. Nutzer können die Daten nur bearbeiten, wenn sie das Gespräch erstellt haben. (Trifft nur auf Nutzer mit der Rolle Member zu, Nutzer mit der Rolle admin oder agent haben Zugriff auf alle Gesprächsdaten eines Accounts). Frankfurt, den [Name] rabbit mobile GmbH Nutzungsvertrag quicklead (Stand: ) 17 von 17