Auftragsverarbeitungsvertrag

Gültig ab: Juni 2026

Diese Anlage ist integraler Bestandteil der jeweils geltenden Service Club Nutzungsbedingungen für Geschäftskunden oder der Allgemeinen Geschäftsbedingungen für Kunden. Sie gilt automatisch, soweit Service Club personenbezogene Daten im Auftrag des Kunden als Auftragsverarbeiter im Sinne von Artikel 28 der Verordnung (EU) 2016/679 verarbeitet. Sie gilt nicht für Verarbeitungen, die Service Club als eigenständiger Verantwortlicher durchführt, und auch nicht für Verarbeitungen, für die die Parteien eigenständige Verantwortliche oder gemeinsam Verantwortliche sind, sofern nicht ausdrücklich etwas anderes bestimmt ist.

1. Status und Einbeziehung

• 1.1. Dieser Auftragsverarbeitungsvertrag (DPA) ist Bestandteil der Vereinbarung zwischen Service Club und dem Kunden, soweit Service Club personenbezogene Daten im Auftrag des Kunden als Auftragsverarbeiter im Sinne von Artikel 4 Nummer 8 und Artikel 28 DSGVO verarbeitet.
• 1.2. Dieser DPA gilt nur für Verarbeitungstätigkeiten, bei denen der Kunde die Zwecke und die wesentlichen Mittel der Verarbeitung festlegt und Service Club auf dokumentierte Weisung des Kunden handelt.
• 1.3. Handelt Service Club als eigenständiger Verantwortlicher, gilt dieser DPA nicht für diese Verarbeitung. Für eine solche Verarbeitung als Verantwortlicher gelten die Datenschutzerklärung von Service Club und das anwendbare Datenschutzrecht. Legen die Parteien die Zwecke und Mittel gemeinsam fest, vereinbaren sie eine gesonderte Regelung nach Artikel 26 DSGVO.

2. Gegenstand, Dauer, Art und Zweck

• 2.1. Gegenstand, Dauer, Art und Zweck der Verarbeitung ergeben sich aus dem, was zur Erbringung der jeweiligen Dienste von Service Club nach den geltenden Geschäftsbedingungen, dem Auftragsformular und Anhang A zu diesem DPA erforderlich ist.
• 2.2. Die Verarbeitung dauert für die Laufzeit der jeweiligen Dienste sowie für jeden Zeitraum nach Beendigung an, der für Löschung, Rückgabe, gesetzliche Aufbewahrung, Streitbeilegung, Sicherheit, Prüfungen oder Compliance-Pflichten erforderlich ist.

2.3. Beschreibung der Verarbeitung

3. Kategorien betroffener Personen und personenbezogener Daten

• 3.1. Zu den betroffenen Personen können Arbeitskräfte, Kuriere, Logistikmitarbeiter, Lagermitarbeiter, Fulfilment-Mitarbeiter, Staplerfahrer, Schulungsteilnehmer, Kandidaten, Administratoren des Kunden, Beschäftigte des Kunden, Trainer, Supportkontakte und andere Personen gehören, deren Daten im Zusammenhang mit den Diensten verarbeitet werden.
• 3.2. Zu den Kategorien personenbezogener Daten können Identifikationsdaten, Kontaktangaben, Lebenslauf-/Profilangaben, Nachweise der Arbeitserlaubnis, fahrzeugbezogene Angaben, Berechtigungsdaten, Daten zu Rolle/Standort, Kontodaten, Schulungsanwesenheit, VR- und Telematikdaten, aufmerksamkeitsbezogene Indikatoren, KI-gestützte Lernanalysen, Einlösedaten, Bewerbungsdaten, Dokumentenmetadaten, Kommunikation, Supportunterlagen, Sicherheitsprotokolle, Betrugsindikatoren und andere in Anhang A vereinbarte Daten gehören.
• 3.3. Daten besonderer Kategorien, Daten über Straftaten, Gesundheitsdaten, Daten zur Gewerkschaftszugehörigkeit, biometrische Daten zur Identifizierung, Daten von Kindern oder andere Hochrisikodaten werden nicht verarbeitet, es sei denn, dies ist ausdrücklich schriftlich vereinbart, unbedingt erforderlich und durch eine Rechtsgrundlage und geeignete Garantien abgesichert.

4. Pflichten des Kunden

• 4.1. Der Kunde stellt sicher, dass die Verarbeitungsweisungen rechtmäßig, dokumentiert und spezifisch sind und mit der DSGVO, dem LOPDGDD und dem anwendbaren Recht im Einklang stehen.
• 4.2. Der Kunde ist dafür verantwortlich, die Rechtsgrundlage festzulegen, die erforderlichen Transparenzinformationen bereitzustellen, die eigenen Betroffenenrechte zu bearbeiten, Aufbewahrungsfristen festzulegen, die Datenminimierung sicherzustellen, Hochrisikoverarbeitungen zu bewerten und für Zwecke auf Kundenseite jede nach Artikel 35 DSGVO erforderliche DPIA durchzuführen.
• 4.3. Der Kunde weist Service Club nicht an, personenbezogene Daten unrechtmäßig, übermäßig, intransparent, diskriminierend oder in einer Weise zu verarbeiten, die gegen die geltenden Vorschriften in den Bereichen Arbeitsrecht, Datenschutz, elektronische Kommunikation, KI oder Grundrechte verstößt.

5. Pflichten des Auftragsverarbeiters

• 5.1. Service Club verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung an ein Drittland oder eine internationale Organisation, sofern nicht das Recht der Union oder der Mitgliedstaaten dies vorschreibt. In einem solchen Fall teilt Service Club dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
• 5.2. Service Club stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• 5.3. Service Club setzt geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO um und berücksichtigt dabei die Art der Verarbeitung, die Risiken, den Stand der Technik, die Implementierungskosten und die Kategorien personenbezogener Daten.
• 5.4. Service Club unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Service Club zur Verfügung stehenden Informationen bei Betroffenenanfragen, bei der Sicherheit, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten, bei DPIAs und bei Konsultationen von Aufsichtsbehörden, soweit dies nach den Artikeln 28, 32 bis 36 DSGVO erforderlich ist.

5.5. Unterauftragsverarbeiter

1. Der Kunde ermächtigt Service Club, Unterauftragsverarbeiter für Hosting, Kommunikation, Analyse, Zahlung, Support, Sicherheit, Infrastruktur, CRM, LMS, VR-Plattformen, Bereitstellung von KI-Modellen, Telematik, Messaging, Dokumentenmanagement und ähnliche, zur Erbringung der Dienste erforderliche Leistungen einzusetzen.
2. Service Club erlegt Unterauftragsverarbeitern datenschutzrechtliche Pflichten auf, die nicht weniger schutzintensiv sind als die in diesem DPA festgelegten, insbesondere die Pflicht, hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zu bieten.
3. Service Club führt eine aktuelle Liste der wesentlichen Unterauftragsverarbeiter und stellt sie dem Kunden zur Verfügung (z. B. über einen eigenen Link, einen Plattformbereich oder auf Anfrage). Service Club informiert den Kunden über beabsichtigte wesentliche Änderungen mindestens vierzehn (14) Tage, bevor die Änderung wirksam wird, und gibt dem Kunden Gelegenheit, aus angemessenen datenschutzrechtlichen Gründen zu widersprechen.

5.6. Internationale Datenübermittlungen

1. Service Club übermittelt personenbezogene Daten nicht in Länder außerhalb des EWR, es sei denn, die Übermittlung entspricht Kapitel V DSGVO, einschließlich eines Angemessenheitsbeschlusses, der Standardvertragsklauseln, erforderlichenfalls ergänzender Maßnahmen, von Ausnahmen oder eines anderen rechtmäßigen Übermittlungsmechanismus.
2. Der Kunde nimmt zur Kenntnis, dass bestimmte Anbieter Support-, Kommunikations- oder Infrastrukturleistungen von außerhalb des EWR erbringen können. Soweit anwendbar, setzt Service Club Garantien für die Übermittlung um und stellt dem Kunden auf Anfrage angemessene Informationen zur Verfügung.

5.7. Sicherheitsmaßnahmen

1. Service Club unterhält dem Risiko angemessene Maßnahmen, zu denen Zugriffskontrollen, Authentifizierung, rollenbasierte Berechtigungen, Verschlüsselung bei der Übertragung, Backups, Protokollierung, Trennung, sichere Entwicklungspraktiken, Schwachstellenmanagement, Vertraulichkeitsverpflichtungen, Vorfallsreaktion und Prozesse zur sicheren Löschung gehören können.
2. Die konkreten Maßnahmen können sich im Laufe der Zeit weiterentwickeln, sofern das Schutzniveau nicht wesentlich verringert wird. Anhang B beschreibt die grundlegenden Maßnahmen.

5.8. Verletzung des Schutzes personenbezogener Daten

1. Service Club benachrichtigt den Kunden unverzüglich, nachdem Service Club Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die im Auftrag des Kunden verarbeitet werden.
2. Die Benachrichtigung enthält, soweit bekannt und verfügbar, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle. Der Kunde bleibt für Meldungen an Aufsichtsbehörden oder für Benachrichtigungen betroffener Personen verantwortlich, soweit der Kunde Verantwortlicher ist.

5.9. Rechte der betroffenen Personen

1. Service Club unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, auf Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Rechte im Zusammenhang mit automatisierten Entscheidungen zu reagieren.
2. Erhält Service Club eine Anfrage, die eine vom Kunden verantwortete Verarbeitung betrifft, kann Service Club die betroffene Person an den Kunden verweisen oder den Kunden informieren, sofern dies nicht rechtlich untersagt ist.

5.10. KI, automatisierte Tools und Hochrisikoverarbeitung

1. Setzt Service Club als Auftragsverarbeiter im Auftrag des Kunden KI-gestützte oder automatisierte Tools ein, ist der Kunde dafür verantwortlich, den beabsichtigten Zweck, die Rechtsgrundlage, die Transparenz, die Verhältnismäßigkeit, die menschliche Aufsicht und jede nach der DSGVO, dem LOPDGDD, dem Arbeitsrecht und dem AI Act erforderliche Bewertung zu bestätigen.
2. Service Club ist nicht verpflichtet, KI-Tools oder automatisierte Tools für beschäftigungsbezogene Entscheidungen, für Ranking, für Kündigungen, für den Zugang zu Arbeit oder für ähnliche rechtlich erhebliche Zwecke zu konfigurieren, sofern dies nicht gesondert vereinbart und rechtmäßig bewertet wurde. Setzt der Kunde die KI-Tools oder automatisierten Tools von Service Club für solche Zwecke ein, bleibt der Kunde allein für die Einhaltung von Artikel 22 DSGVO, der geltenden arbeitsrechtlichen Vorschriften und des AI Act verantwortlich.

6. Prüfungs- und Informationsrechte

• 6.1. Service Club stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO und dieses DPA nachzuweisen.
• 6.2. Prüfungen unterliegen einer angemessenen Vorankündigung, der Vertraulichkeit, Sicherheitsbeschränkungen, der Beschränkung auf die Geschäftszeiten und der Vermeidung von Betriebsstörungen. Der Kunde darf nicht auf Daten anderer Kunden, auf vertrauliche Plattformarchitektur, auf Geschäftsgeheimnisse oder auf Informationen zugreifen, die die Sicherheit beeinträchtigen würden.

7. Löschung und Rückgabe

• 7.1. Nach Wahl des Kunden und vorbehaltlich der technischen Machbarkeit, der gesetzlichen Aufbewahrung und der Pflichten von Service Club als Verantwortlichem löscht Service Club die im Auftrag des Kunden verarbeiteten personenbezogenen Daten nach Beendigung der Dienste oder gibt sie zurück.
• 7.2. Service Club darf Kopien aufbewahren, soweit dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist oder für Rechtsansprüche, Sicherheitsprotokolle, die Buchhaltung, die Betrugsprävention oder Compliance-Zwecke erforderlich ist, sofern die aufbewahrten Daten geschützt bleiben und nicht für unvereinbare Zwecke verarbeitet werden.

8. Haftung und Vorrang

• 8.1. Die Haftung nach diesem DPA richtet sich nach den Haftungsbestimmungen der geltenden Geschäftsbedingungen oder der schriftlichen Vereinbarung, unbeschadet zwingender Haftungsregeln der DSGVO, die nicht ausgeschlossen werden können.
• 8.2. Bei Widersprüchen zwischen diesem DPA und den Geschäftsbedingungen hinsichtlich der Pflichten des Auftragsverarbeiters geht dieser DPA für die betreffende Verarbeitung vor.

9. Anwendbares Recht

Dieser DPA unterliegt spanischem Recht und dem anwendbaren EU-Datenschutzrecht. Zuständig sind die in den geltenden Geschäftsbedingungen bezeichneten Gerichte, unbeschadet zwingender Befugnisse der Aufsichtsbehörden und der Rechte betroffener Personen.

Anhang A - Einzelheiten der Verarbeitung

Dieser Anhang ist Bestandteil des Auftragsverarbeitungsvertrags und beschreibt die Verarbeitung personenbezogener Daten, die Service Club im Auftrag des Kunden durchführt.

1. Gegenstand und Dauer der Verarbeitung

• Gegenstand: Die Verarbeitung personenbezogener Daten erfolgt, um die Service Club Plattform und die damit verbundenen Dienste (einschließlich Perks, Jobs, Academy, Micro Academy, Marketplace und Shop) bereitzustellen, wie im jeweiligen Auftragsformular oder in den Nutzungsbedingungen vereinbart.
• Dauer: Die Verarbeitung dauert für die Laufzeit der jeweiligen Dienste sowie für jeden Zeitraum nach Beendigung an, der für Löschung, Rückgabe, gesetzliche Aufbewahrung, Streitbeilegung, Sicherheit, Prüfungen oder Compliance-Pflichten unbedingt erforderlich ist.

2. Art und Zweck der Verarbeitung

Die Art der Verarbeitung umfasst das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung, das Auslesen, die Verwendung, die Offenlegung und das Löschen personenbezogener Daten. Zu den Zwecken gehören:

• Einrichtung von Konten, Zugriffskontrolle und Verwaltung der Berechtigung.
• Recruiting-Unterstützung, Matching von Kandidaten und Unterstützung beim Onboarding.
• Durchführung von Schulungen (einschließlich Präsenz-, virtueller, VR-, Fahrpraxis- und KI-gestützter Schulungen).
• Plattformkommunikation, Reporting, Support, Sicherheit und Betrugsprävention.

3. Kategorien betroffener Personen

Die übermittelten personenbezogenen Daten betreffen die folgenden Kategorien betroffener Personen:

• Arbeitskräfte, Kuriere, Zusteller, Lagermitarbeiter, Fulfilment-Mitarbeiter und Staplerfahrer.
• Schulungsteilnehmer, Kandidaten und Logistikmitarbeiter.
• Administratoren des Kunden, Beschäftigte des Kunden, Trainer und Supportkontakte.

4. Arten der verarbeiteten personenbezogenen Daten

Die übermittelten personenbezogenen Daten betreffen die folgenden Datenkategorien:

• Identifikations- und Kontaktdaten: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Standort und Kontokennungen.
• Profil- und Berechtigungsdaten: Lebenslaufangaben, beruflicher Werdegang, Verfügbarkeit, Berechtigungskriterien, Führerscheine und, soweit angefordert, Nachweise der Arbeitserlaubnis.
• Schulungs- und Leistungsdaten: Anmeldeunterlagen, Anwesenheit, Schulungsergebnisse, VR- und Telematikdaten, aufmerksamkeitsbezogene Indikatoren und KI-gestützte Lernanalysen.
• Betriebsdaten: Einlösedaten für Perks, Bewerbungsstatus, Dokumentenmetadaten, Supporttickets, Kommunikation, Sicherheitsprotokolle und Betrugsindikatoren.

5. Sensible Daten / Besondere Kategorien von Daten

• Service Club verarbeitet im Auftrag des Kunden keine Daten besonderer Kategorien, keine Daten über Straftaten, keine biometrischen Daten zur Identifizierung und keine Gesundheitsdaten, es sei denn, dies ist ausdrücklich schriftlich vereinbart, unbedingt erforderlich und durch eine Rechtsgrundlage und geeignete Garantien abgesichert.

Anhang B - Technische und organisatorische Maßnahmen (TOMs)

Dieser Anhang ist Bestandteil des Auftragsverarbeitungsvertrags und beschreibt die technischen und organisatorischen Sicherheitsmaßnahmen, die Service Club umgesetzt hat, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie es Artikel 32 DSGVO verlangt. Diese grundlegenden Maßnahmen können durch eine ausführlichere interne Dokumentation zur Informationssicherheit ergänzt werden, die Service Club dem Kunden auf angemessene Anfrage und vorbehaltlich von Vertraulichkeitsbeschränkungen zur Verfügung stellen kann.

1. Maßnahmen zur Sicherstellung der dauerhaften Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste

• Zugriffskontrollen: Umsetzung rollenbasierter Zugriffskontrollen (RBAC), die sicherstellen, dass Beschäftigte nur auf die für ihre Rolle erforderlichen Daten zugreifen können.
• Verschlüsselung: Personenbezogene Daten werden bei der Übertragung mit TLS 1.3 und im Ruhezustand mit AES-256 verschlüsselt.
• Systembelastbarkeit: Die Infrastruktur wird auf AWS (Irland) gehostet. Zur Sicherstellung der Belastbarkeit sind die Systeme so konfiguriert, dass sie den Betrieb bei einem Ausfall in einer alternativen Availability Zone im Einklang mit den geltenden SLAs wieder aufnehmen.

2. Maßnahmen zur Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen

• Backups: Automatisierte, verschlüsselte Backups kritischer Datenbanken werden täglich durchgeführt und mit einer Aufbewahrungsfrist von 7 Tagen vorgehalten.

3. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen

• Schwachstellenmanagement: Umsetzung von Sicherheitsscans in der CI/CD-Pipeline; Code wird vor dem Produktivbetrieb automatisch auf Schwachstellen geprüft, und Deployments werden blockiert, wenn Schwachstellen festgestellt werden.
• Penetrationstests: Jährliche Penetrationstests der Service Club Plattform durch Dritte.
• Sicherheitsprotokolle: Aktive Protokollierung von Systemaktionen und Sicherheitsereignissen innerhalb der Kerninfrastruktur.

4. Maßnahmen zur Benutzeridentifikation und zur Autorisierung

• Umsetzung eigener, individueller Benutzerkonten und Zugangsdaten für alle Beschäftigten.
• Dokumentierte Checklistenprozesse für IT-Onboarding und IT-Offboarding, um sicherzustellen, dass Systemzugänge angemessen gewährt und bei Beendigung des Arbeitsverhältnisses oder bei einem Rollenwechsel eines Beschäftigten manuell entzogen werden.

5. Maßnahmen zum Schutz der Daten während der Übertragung

• Alle über externe Netze übertragenen personenbezogenen Daten werden mit Verschlüsselungsprotokollen nach TLS 1.3 gesichert.

6. Maßnahmen zur Gewährleistung der physischen Sicherheit der Orte, an denen personenbezogene Daten verarbeitet werden

• Service Club nutzt erstklassige Cloud- und SaaS-Anbieter (AWS, Google Workspace, Holded), die in ihren jeweiligen Rechenzentren strenge physische Sicherheitsmaßnahmen auf Unternehmensniveau unterhalten (z. B. biometrische Zugangskontrolle, Sicherheitspersonal rund um die Uhr).
• Für die Unternehmensbüros von Service Club ist ein Zugang per Schlüsselkarte erforderlich, um unbefugten physischen Zutritt zu verhindern.