Vertrag zur Auftragsverarbeitung (AVV)

Verantwortlicher (im Folgenden „Auftraggeber"): die Schule, der Träger, der Verein oder die sonstige Einrichtung, die eine Bücherei bei miniBib betreibt.

Auftragsverarbeiter (im Folgenden „Auftragnehmer"): miniBib UG (haftungsbeschränkt), In der Duhr 2, 54484 Maring-Noviand, vertreten durch die Geschäftsführerin Jaqueline Girardi-Pauly.

Der Auftragnehmer stellt dem Auftraggeber die Bibliothekssoftware miniBib bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers. Einzelheiten zu Art und Zweck der Verarbeitung, zu den Daten und zu den betroffenen Personen stehen in Anlage 1.

Dieser Vertrag gilt, solange der Auftraggeber miniBib nutzt – einschließlich der kostenlosen Testphase – und endet, wenn alle Daten des Auftraggebers gelöscht oder zurückgegeben sind.

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Bedienung der Software durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail).

Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke – insbesondere nicht für Werbung, Profilbildung oder Auswertungen über einzelne Kinder – und gibt sie nicht an Dritte weiter.

Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

Ist der Auftragnehmer durch Recht der EU oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, soweit das Recht eine solche Mitteilung nicht verbietet.

Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich – etwa dafür, dass er die Namen der Kinder in der Bücherei verwenden darf und die Eltern informiert sind. Er trägt nur die Daten ein, die für die Bücherei nötig sind.

Der Auftraggeber sorgt dafür, dass Zugangsdaten und Zugangskarten nur dem Team der Bücherei zugänglich sind und miniBib auf einem Gerät der Einrichtung genutzt wird.

Der Auftragnehmer stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt auch nach Ende dieses Vertrags.

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

Der Auftraggeber stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu. Der Auftragnehmer hat mit ihnen Verträge geschlossen, die denselben Datenschutzpflichten entsprechen wie dieser Vertrag.

Über einen neuen oder ausgetauschten Unterauftragsverarbeiter informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen vorher per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich keine Lösung finden, kann der Auftraggeber den Vertrag zum Zeitpunkt des Wechsels kündigen; bereits bezahlte Beiträge für die Restlaufzeit werden dann anteilig erstattet.

Die Daten der Leserinnen und Leser werden ausschließlich in Rechenzentren innerhalb der Europäischen Union gespeichert. Soweit ein Unterauftragsverarbeiter seinen Sitz außerhalb der EU hat, ist die Übermittlung nach Art. 44 ff. DSGVO abgesichert (siehe Anlage 3).

Der Auftragnehmer unterstützt den Auftraggeber dabei, Anfragen betroffener Personen zu erfüllen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Die meisten Anfragen kann der Auftraggeber direkt in der Software erledigen – etwa Daten berichtigen, Leserinnen und Leser löschen oder anonymisieren.

Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei dessen Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung).

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers bekannt, meldet er sie unverzüglich, möglichst innerhalb von 24 Stunden, an die im Konto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen sowie ergriffene und empfohlene Maßnahmen.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

Der Auftraggeber darf die Einhaltung selbst oder durch eine beauftragte, zur Verschwiegenheit verpflichtete Prüferin oder einen Prüfer kontrollieren. In der Regel geschieht das durch schriftliche Auskünfte und Nachweise. Kontrollen vor Ort sind nach vorheriger Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten möglich.

Nach Ende der Nutzung löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück (Export), sofern keine gesetzliche Pflicht zur Speicherung besteht.

• Auf Weisung des Auftraggebers: Löschung unverzüglich, spätestens innerhalb von 30 Tagen.
• Testphase ohne anschließende Buchung: Löschung 60 Tage nach der Registrierung.
• Nach Ende eines bezahlten Vertrags ohne Weisung: Der Auftragnehmer fragt beim Auftraggeber nach. Bis zu dessen Entscheidung bleiben die Daten gesperrt gespeichert, längstens 12 Monate nach Vertragsende; danach werden sie gelöscht.

Der Auftragnehmer bestätigt die Löschung auf Wunsch in Textform.

Dieser Vertrag geht bei Widersprüchen in Fragen des Datenschutzes den AGB vor. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Für die Suche nach Buchdaten wird ausschließlich die ISBN an öffentliche Buchkataloge übermittelt – keine personenbezogenen Daten.