Auftragsverarbeitung My Pixelart

Bei Bestellung der individualisierten Artikel My Pixelart Bastelset und Event, werden im Bestell- und Liefervorgang personenbezogene Daten durch den
Auftragnehmer im Auftrag des Auftraggebers verarbeitet (Auftragsverarbeitung). 
Diese Anlage konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus beschriebenen Auftragsverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die in Zusammenhang stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer
Beauftragte personenbezogene Daten (nachstehend Daten genannt) des Auftraggebers verarbeiten.

Definitionen
Für alle in dieser Vereinbarung genannten Begriffe, für die Art. 4 Datenschutz-Grundverordnung (nachstehend DSGVO) eine Begriffsbestimmung vorsieht, gilt diese gesetzliche Definition auch für diesen Vertrag.

§ 1 Gegenstand und Dauer des Auftrags
(1) Gegenstand und Dauer des Auftrags sowie Art und Zweck der Verarbeitung ergeben sich aus der Dauer, die zur Abwicklung der Bestellung nötig ist. Darüber hinaus noch um die Dauer von 30 Tagen, falls bei der Lieferung Beschädigungen auftreten und eine Neuproduktion nötig wird. 

§ 2 Pflichten des Auftragnehmers
(1) Der Auftragnehmer und jede ihm unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen Daten von betroffenen Personen ausschließlich im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten, es sei denn es liegt ein Ausnahmefall im Sinne des Artikel 28 Abs. 3 a) DSGVO vor. In einem solchen Fall teilt der
Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
a. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der
Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt.

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen der Datenschutz-
Grundverordnung (Art. 32 DSGVO) genügen. Der Auftragnehmer hat technische und organisatorische Maßnahmen zu treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen.

(3) Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technisch-organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte. Er darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken.
Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

§ 3 Pflichten des Auftraggebers
(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

(2) Der Auftraggeber hat als Verantwortlicher dafür Sorge zu tragen, dass die stattfindende Datenverarbeitung den Anforderungen der DGVO Rechnung trägt. Dazu gehören unter anderem die Rechtmäßigkeit der Datenverarbeitung (insb. die Rechtsgrundlage der Verarbeitung nach Art. 6 DSGVO) selbst sowie die Informationserteilung gegenüber dem betroffenen Dritten (gemäß Art. 13 und 14 DSGVO). Dies ist insbesondere in den Fällen von Bedeutung, in denen die hochgeladenen Bilder personenbezogene Daten Dritter enthalten.