Vertrag zur Auftrags­verarbeitung

nach Artikel 28 Absatz 3 DSGVO · Fassung vom 04.10.2026

zwischen dem Betrieb, der DachPost nutzt (Verantwortlicher, im Folgenden „Betrieb“), und DachPost, Beecker Straße 83, 41179 Mönchengladbach (Auftragsverarbeiter, im Folgenden „DachPost“). Der Vertrag gilt, sobald der Betrieb ihm in der App zustimmt, spätestens mit der ersten Bestellung, und ergänzt die Allgemeinen Geschäftsbedingungen.

§ 1 Gegenstand, Dauer, Art und Zweck

DachPost verarbeitet personenbezogene Daten im Auftrag des Betriebs, um für ihn Werbekampagnen mit adressierten Postkarten oder Flyern durchzuführen: Häuser in einem vom Betrieb gewählten Gebiet auswählen und analysieren, Karten gestalten und drucken lassen, die Seite hinter dem QR-Code betreiben, Anfragen von Haushalten entgegennehmen und an den Betrieb weitergeben, Widersprüche beachten. Art, Umfang und Betroffene beschreibt Anlage 1. Der Vertrag läuft, solange der Betrieb DachPost nutzt, und endet mit dem Nutzungsvertrag; die Pflichten zur Löschung (§ 9) gelten darüber hinaus.

§ 2 Weisungen

DachPost verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs. Weisungen sind die Einstellungen und Handlungen des Betriebs in der App (zum Beispiel Gebiet, Auswahl der Häuser, Bestellung, Löschen) und Weisungen in Textform. Hält DachPost eine Weisung für rechtswidrig, sagt DachPost das dem Betrieb unverzüglich und darf sie aussetzen, bis der Betrieb sie bestätigt oder ändert. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, mit Ausnahme der übergreifenden Sperrliste und der Kontaktbremse, die DachPost in eigener Verantwortung für alle Betriebe führt (Datenschutzhinweise, Abschnitt 2), und anonymer Zahlen ohne Anschrift.

§ 3 Vertraulichkeit

DachPost setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind und die Daten nur für den Auftrag verarbeiten.

§ 4 Sicherheit der Verarbeitung

DachPost trifft die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO, die Anlage 2 beschreibt, und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

§ 5 Unterauftragsverarbeiter

Der Betrieb erlaubt DachPost, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. Neue oder geänderte Unterauftragsverarbeiter kündigt DachPost mindestens vier Wochen vorher in Textform an; der Betrieb kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen. DachPost verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Für Unterauftragsverarbeiter außerhalb der EU sorgt DachPost für geeignete Garantien (Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder Standardvertragsklauseln).

§ 6 Rechte der betroffenen Personen

DachPost unterstützt den Betrieb bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch). Einen Widerspruch gegen Werbung nimmt die Seite hinter dem QR-Code selbst entgegen und setzt ihn sofort um; der Betrieb kann Widersprüche, die ihn anders erreichen, in der App eintragen. Richtet sich jemand mit einem anderen Anliegen an DachPost, leitet DachPost es unverzüglich an den Betrieb weiter.

§ 7 Weitere Unterstützung

DachPost unterstützt den Betrieb bei den Pflichten nach Artikel 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit es um die Verarbeitung bei DachPost geht.

§ 8 Verletzungen des Schutzes

Bemerkt DachPost eine Verletzung des Schutzes personenbezogener Daten des Betriebs, meldet DachPost sie dem Betrieb unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben nach Artikel 33 Absatz 3 DSGVO, soweit bekannt, und ergreift die nötigen Maßnahmen.

§ 9 Löschung und Rückgabe

DachPost löscht die Daten nach den Fristen in Anlage 1, spätestens mit dem Ende des Vertrags, es sei denn, eine gesetzliche Pflicht verlangt die Aufbewahrung. Vorher kann der Betrieb seine Anfragen in der App als Liste exportieren. Gesicherte Kopien (Backups) laufen nach dem Rhythmus des Anbieters aus.

§ 10 Nachweise und Kontrollen

DachPost stellt dem Betrieb die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen durch den Betrieb oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Absprache und mit angemessener Vorankündigung. Vorrangig genügen schriftliche Auskünfte und Nachweise der Unterauftragsverarbeiter (etwa Zertifikate).

§ 11 Haftung und Schlussbestimmungen

Für die Haftung gilt Artikel 82 DSGVO. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen; bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag vor. Änderungen bedürfen der Textform.

Anlage 1: Was verarbeitet wird

Anlage 2: Technische und organisatorische Maßnahmen

• Trennung der Betriebe: Jede Abfrage prüft in der Datenbank, ob der angemeldete Nutzer zum Betrieb gehört (Row-Level Security); automatische Tests mit zwei Betrieben prüfen das bei jeder Änderung. Rollen im Betrieb: Inhaber, Admin, Mitarbeiter.
• Zugang: Anmeldung mit bestätigter E-Mail-Adresse und Passwort; Sitzungen in sicheren Cookies; Zugriff von DachPost-Mitarbeitenden nur über eigene Admin-Konten, protokolliert; Admin-Konten nur mit Zwei-Faktor-Anmeldung (Code aus einer Authenticator-App).
• Übertragung und Speicherung: nur verschlüsselt (TLS); Datenbank und Dateien in der EU (Irland), dort verschlüsselt gespeichert; Druckdateien in einem nicht öffentlichen Speicher, nur der Druckprozess hat Zugriff.
• Geheimnisse: Schlüssel und Passwörter nur in den Geheimnisspeichern der Dienste, nie im Code; automatische Suche nach versehentlich eingecheckten Schlüsseln.
• Datensparsamkeit: keine Namen von Haushalten; an die KI nur Luftbild-Ausschnitte bzw. die Texte und Dateien des Betriebs, nie Anschriften; in Protokollen nur Zahlen.
• Löschung: täglicher Löschlauf nach den Fristen in Anlage 1.
• Verfügbarkeit: tägliche Sicherung der Datenbank durch den Anbieter; Überwachung der Dienste mit Benachrichtigung.
• Webseite: Content-Security-Policy, keine fremden Skripte, kein Tracking; die Seite hinter dem QR-Code setzt keine Cookies.
• Änderungen: jede Änderung am Code läuft durch automatische Prüfungen (Rechte, Sicherheit, Tests) und wird protokolliert.

Anlage 3: Unterauftragsverarbeiter

Die Deutsche Post stellt die Karten als eigener Dienst zu; sie ist kein Unterauftragsverarbeiter.