Vertrag zur Auftragsverarbeitung

zwischen dem Unternehmen, das ein Kundenkonto bei Rivetly führt (im Folgenden „Verantwortlicher“), und Martin Mühl, Einzelunternehmer, Trinkhausstrasse 10/1/29, 1110 Wien, Österreich (im Folgenden „Rivetly“ oder „Auftragsverarbeiter“).

1. Gegenstand und Dauer

1. Der Verantwortliche nutzt Rivetly, um Gewinnspiele (Kampagnen) zu erstellen und zu veröffentlichen. Dabei verarbeitet Rivetly personenbezogene Daten der Teilnehmenden im Auftrag des Verantwortlichen. Dieser Vertrag regelt diese Verarbeitung gemäß Art. 28 DSGVO.
2. Der Vertrag gilt, solange das Kundenkonto besteht. Er endet mit der Auflösung des Kundenkontos, frühestens aber, wenn Rivetly keine Daten des Verantwortlichen mehr verarbeitet.
3. Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen stehen in Anlage 1.

2. Weisungen des Verantwortlichen

1. Rivetly verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag und die Einstellungen, die der Verantwortliche im Kundenbereich vornimmt (z. B. Formularfelder, Löschfrist, Export, Löschen einzelner Teilnehmender). Weitere Weisungen erteilt der Verantwortliche in Textform.
2. Ist Rivetly der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert Rivetly den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.
3. Rivetly verarbeitet die Daten nicht für eigene Zwecke. Ausgenommen sind Verarbeitungen, zu denen Rivetly gesetzlich verpflichtet ist. In diesem Fall informiert Rivetly den Verantwortlichen vorab, soweit das Gesetz dies nicht verbietet.

3. Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Teilnahmebedingungen, die Information der Teilnehmenden und die Inhalte seiner Kampagnen.
2. Der Verantwortliche nennt in seiner Datenschutzerklärung das Gewinnspiel und Rivetly als Auftragsverarbeiter.
3. Der Verantwortliche informiert Rivetly unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

4. Vertraulichkeit

Rivetly stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht besteht nach Ende dieses Vertrags fort.

5. Sicherheit der Verarbeitung

1. Rivetly trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Rivetly darf die Maßnahmen an den Stand der Technik anpassen. Das Schutzniveau der Anlage 2 darf dabei nicht unterschritten werden.

6. Weitere Auftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 3 genannten weiteren Auftragsverarbeiter.
2. Rivetly darf weitere Auftragsverarbeiter hinzuziehen oder ersetzen. Rivetly informiert den Verantwortlichen darüber mindestens 30 Tage vorher per E-Mail an die Ansprechperson des Kundenkontos. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem Grund widersprechen. Findet sich keine Lösung, kann der Verantwortliche das Kundenkonto zum Zeitpunkt der Änderung kündigen.
3. Rivetly verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet dem Verantwortlichen gegenüber für dessen Pflichtverletzungen.
4. Daten werden nur dann in ein Land außerhalb der EU bzw. des EWR übermittelt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die derzeitigen Übermittlungen stehen in Anlage 3.

7. Rechte der betroffenen Personen

1. Rivetly unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten. Dazu gehören im Kundenbereich die Liste der Teilnehmenden, der Export und das Löschen einzelner Teilnehmender sowie der Link „Meine Daten löschen“ in jeder E-Mail an Teilnehmende.
2. Wendet sich eine betroffene Person direkt an Rivetly, leitet Rivetly die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

8. Unterstützung und Meldung von Datenschutzverletzungen

1. Rivetly unterstützt den Verantwortlichen bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit es die Verarbeitung durch Rivetly betrifft.
2. Wird Rivetly eine Verletzung des Schutzes der Daten des Verantwortlichen bekannt, meldet Rivetly sie dem Verantwortlichen unverzüglich per E-Mail an die Ansprechperson des Kundenkontos. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

9. Löschung und Rückgabe

1. Während der Vertragslaufzeit löscht Rivetly die Daten der Teilnehmenden nach den Fristen in Anlage 1.
2. Vor Ende des Vertrags kann der Verantwortliche die Daten im Kundenbereich als CSV-Datei exportieren. Mit der Auflösung des Kundenkontos löscht Rivetly alle Daten des Verantwortlichen, einschließlich der Daten der Teilnehmenden und hochgeladener Bilder.
3. In Sicherungskopien werden gelöschte Daten mit dem regelmäßigen Überschreiben der Sicherungen entfernt. Bis dahin werden sie nicht mehr verarbeitet.
4. Gesetzliche Aufbewahrungspflichten von Rivetly bleiben unberührt.

10. Nachweise und Überprüfungen

1. Rivetly stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen.
2. Der Verantwortliche darf die Einhaltung selbst oder durch eine zur Verschwiegenheit verpflichtete Prüferin oder einen solchen Prüfer kontrollieren. Überprüfungen werden mindestens 14 Tage vorher angekündigt, finden zu üblichen Geschäftszeiten statt und stören den Betrieb nicht mehr als nötig. Rivetly kann zunächst auf aktuelle Nachweise verweisen, etwa auf die Beschreibung der Maßnahmen in Anlage 2 und auf Zertifikate der weiteren Auftragsverarbeiter.

11. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Vereinbarung über die Nutzung von Rivetly.

12. Schlussbestimmungen

1. Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Rivetly speichert dazu die Fassung des Vertrags, den Zeitpunkt, die abschließende Person und deren IP-Adresse. Die abschließende Person erhält den Vertrag als PDF per E-Mail. Der Verantwortliche kann ihn außerdem jederzeit im Kundenbereich unter „Konto“ abrufen.
2. Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen der Parteien geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Rivetly kann diesen Vertrag ändern, wenn sich die Rechtslage oder der Dienst ändert. Rivetly kündigt die neue Fassung mindestens 30 Tage vorher per E-Mail an. Sie gilt erst, wenn der Verantwortliche sie abgeschlossen hat.
4. Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen wirksam.
5. Es gilt österreichisches Recht.

Anlage 1: Beschreibung der Verarbeitung

Zweck	Durchführung der Gewinnspiele des Verantwortlichen: Teilnahme, Ermittlung und Zustellung der Gewinne per E-Mail, Einhaltung des Teilnahme-Limits, Einholen und Nachweis einer Einwilligung in Werbung, Bereitstellung der Daten für den Verantwortlichen.
Art der Verarbeitung	Erheben über das Teilnahmeformular, Speichern, Auslesen, Versand von E-Mails, Bereitstellen im Kundenbereich und als Export, Löschen.
Betroffene Personen	Teilnehmende der Gewinnspiele des Verantwortlichen.
Art der Daten	E-Mail-Adresse (immer) Je nach Einstellung des Verantwortlichen: Vorname, Nachname, Telefonnummer, Postleitzahl und Ort, Straße und Hausnummer Teilnahmen: Zeitpunkt, Ergebnis, Gewinn und Gewinncode, Übergabe eines Sachpreises Bestätigung des Mindestalters und der Teilnahmebedingungen mit Zeitpunkt Einwilligung in Werbung: Wortlaut, Zeitpunkt und IP-Adresse der Einwilligung und ihrer Bestätigung Es gibt keine Freitextfelder und kein Geburtsdatum. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.
Löschfristen	Daten von Teilnehmenden ohne bestätigte Einwilligung in Werbung werden nach der Frist gelöscht, die der Verantwortliche je Kampagne festlegt (1 bis 12 Monate nach Ende der Kampagne). Daten mit bestätigter Einwilligung bleiben gespeichert, bis die Person widerruft oder der Verantwortliche sie löscht. Teilnahmen bleiben nach dem Löschen ohne Personenbezug für die Statistik erhalten.

Nicht Teil dieses Vertrags sind Daten, die Rivetly in eigener Verantwortung verarbeitet: das Kundenkonto des Verantwortlichen sowie Daten zum sicheren Betrieb der Seiten (Server-Logfiles, Begrenzung von Anfragen, Schutz vor Bots). Dazu informiert die Datenschutzerklärung von Rivetly.

Anlage 2: Technische und organisatorische Maßnahmen

Zutritt und Betrieb

• Anwendung und Datenbank laufen in Rechenzentren des Hosting-Anbieters (Anlage 3). Zutrittsschutz, Stromversorgung, Brandschutz und Netzwerksicherheit verantwortet der Anbieter.
• Rivetly betreibt keine eigenen Server.

Zugang zu den Systemen

• Betreiberzugang zur Plattform nur mit Passkey oder mit Passwort und zweitem Faktor (TOTP). Betreiberkonten lassen sich nicht über das Web anlegen.
• Kundenzugang mit Passwort (mindestens 12 Zeichen) oder Passkey. Passwörter werden nur als Hashwert gespeichert (Argon2id).
• Begrenzung der Anmeldeversuche je IP-Adresse und je Konto, zusätzlich eine Bot-Prüfung ohne Drittanbieter.
• Sitzungen enden automatisch nach Inaktivität. Eine Passwortänderung beendet alle anderen Sitzungen des Kontos.
• Einladungs- und Rücksetzlinks sind einmalig, zeitlich befristet und werden nur als Hashwert gespeichert.

Zugriff auf die Daten und Trennung

• Mandantentrennung: Jede Abfrage von Kundendaten ist an das Kundenkonto der angemeldeten Person gebunden.
• Export und Löschen von Daten der Teilnehmenden sind der Ansprechperson des Kundenkontos vorbehalten und werden protokolliert.
• Betreiber- und Kundenkonten liegen in getrennten Tabellen mit getrennten Sitzungen.
• Die Spielseiten laufen auf einer eigenen Adresse ohne Sitzung und ohne Cookies.
• Die Anwendung greift mit einem Datenbankkonto zu, das nur die nötigen Rechte hat.

Verschlüsselung und Pseudonymisierung

• Alle Seiten sind ausschließlich über HTTPS erreichbar (TLS, HSTS). E-Mails werden verschlüsselt an den Versanddienst übergeben.
• Geheimnisse für die Zwei-Faktor-Anmeldung sind verschlüsselt gespeichert (AES-256-GCM).
• IP-Adressen zur Begrenzung von Anfragen werden nur als Hashwert mit geheimem Schlüssel gespeichert und nach 24 Stunden gelöscht.
• Links in E-Mails an Teilnehmende (Daten löschen, Einwilligung bestätigen oder widerrufen) sind kryptografisch signiert.

Integrität und Schutz vor Angriffen

• Datenbankabfragen ausschließlich mit vorbereiteten Anweisungen, Ausgaben werden maskiert.
• Schutz aller Formulare vor Cross-Site-Request-Forgery. Strenge Content-Security-Policy ohne Inline-Skripte.
• Keine Inhalte von Dritten: Schriften, Skripte und Symbole werden von den eigenen Servern ausgeliefert. Kein Tracking.
• Hochgeladene Bilder werden neu kodiert, Metadaten dabei entfernt, und außerhalb der öffentlich erreichbaren Verzeichnisse gespeichert.
• Öffentliche Formulare sind durch Begrenzung der Anfragen, unsichtbare Fallen-Felder und eine Bot-Prüfung geschützt.
• Sicherheitsrelevante Vorgänge (Anmeldungen, Fehlversuche, Passwortänderungen, Exporte, Löschungen, Eingriffe des Betreibers) werden protokolliert. Die Protokolle enthalten keine E-Mail-Adressen oder Passwörter und werden nach 90 Tagen gelöscht.

Verfügbarkeit und Wiederherstellung

• Regelmäßige Sicherungen der Datenbank durch den Hosting-Anbieter.
• Automatisierte, nachvollziehbare Auslieferung neuer Versionen aus der Versionsverwaltung.

Datenminimierung und Löschung

• Fester Katalog von Formularfeldern, keine Freitextfelder, kein Geburtsdatum.
• Automatische Löschung nach den Fristen der Anlage 1, täglich ausgeführt.
• Gewinncodes werden nur per E-Mail zugestellt und nie im Browser angezeigt.

Regelmäßige Überprüfung

• Vor jeder Auslieferung prüft ein automatischer Lauf die verwendeten Bibliotheken auf bekannte Schwachstellen und den Code mit statischer Analyse. Bekannte Schwachstellen blockieren die Auslieferung.
• Änderungen an Formularen und an der Datenerhebung werden vor der Veröffentlichung anhand fester Prüflisten für Sicherheit und Datenschutz geprüft.
• Weitere Auftragsverarbeiter werden sorgfältig ausgewählt und vertraglich nach Art. 28 DSGVO verpflichtet.

Anlage 3: Weitere Auftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung
IONOS SE, Hauptstraße 68, 02742 Friedersdorf, Deutschland	Hosting der Anwendung und der Datenbank, Sicherungen	EU
Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland (Brevo-Gruppe, Sendinblue SAS, Paris)	Versand der E-Mails an Teilnehmende (Empfängeradresse, Inhalt der E-Mail, Versandprotokoll)	Frankreich und Belgien. Für Support und Wartung können Unternehmen der Brevo-Gruppe und deren Dienstleister in Drittländern Zugriff erhalten, insbesondere in den USA und in Indien. Diese Übermittlungen sind durch EU-Standardvertragsklauseln abgesichert, bei Empfängern in den USA teilweise zusätzlich durch das EU-US Data Privacy Framework.