Vereinbarung zur Auftragsverarbeitung

Fassung 1.0 vom 21.09.2026

Zwischen dem Unternehmen, das dieser Vereinbarung im Firmenportal von Geschenkkorb Guru zustimmt (im Folgenden „Auftraggeber“),

und der Finduna GmbH, Schwalbenweg 54, 78549 Spaichingen, eingetragen beim Amtsgericht Stuttgart unter HRB 780757, vertreten durch den Geschäftsführer Thomas Sartisohn, die unter der Marke Geschenkkorb Guru auftritt (im Folgenden „Auftragnehmer“).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber das Firmenportal zur Verfügung. Darin hinterlegt der Auftraggeber Angaben zu seinen Beschäftigten. Der Auftragnehmer errechnet daraus Anlässe wie Dienstjubiläen und runde Geburtstage, erinnert den Auftraggeber vor jedem Anlass und versendet auf dessen Freigabe Geschenke an die Beschäftigten.

(2) Diese Vereinbarung regelt die Pflichten beider Seiten beim Umgang mit den personenbezogenen Daten, die der Auftragnehmer dabei im Auftrag verarbeitet. Sie gilt, solange der Auftraggeber das Firmenportal nutzt, und darüber hinaus, bis alle Daten nach § 9 gelöscht oder zurückgegeben sind.

(3) Nicht Gegenstand dieser Vereinbarung sind die Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet: Kontakt-, Vertrags-, Bestell- und Rechnungsdaten des Auftraggebers sowie die Angaben zu einer einzelnen Sendung, soweit sie für Kaufvertrag, Rechnung und gesetzliche Aufbewahrung erforderlich sind. Hierfür gilt die Datenschutzerklärung des Auftragnehmers.

§ 2 Art der Daten, Zweck und betroffene Personen

(1) Art der Daten, Zweck der Verarbeitung und Kreis der betroffenen Personen ergeben sich aus Anlage 1.

(2) Der Auftraggeber übermittelt keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere keine Angaben zu Gesundheit, Allergien oder Unverträglichkeiten. Das Firmenportal sieht dafür keine Felder vor, und der Import übernimmt entsprechende Spalten nicht.

(3) Die Verarbeitung findet ausschliesslich in Deutschland statt. Eine Verlagerung in ein Land ausserhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur nach vorheriger Zustimmung des Auftraggebers und wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen sind diese Vereinbarung, die Einstellungen und Freigaben, die der Auftraggeber im Firmenportal vornimmt, sowie Anweisungen in Textform an info@geschenkkorb-guru.de.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugang zu den Daten erhalten nur Personen, die ihn für die Erbringung der Leistung benötigen.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft die technischen und organisatorischen Massnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.

(2) Die Massnahmen dürfen dem technischen Fortschritt angepasst werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragnehmer dem Auftraggeber mit.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Will der Auftragnehmer einen weiteren Unterauftragsverarbeiter einsetzen oder einen ersetzen, informiert er den Auftraggeber mindestens 30 Tage vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber das Firmenportal ohne Frist beenden.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, wie sie in dieser Vereinbarung festgelegt sind.

§ 7 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Massnahmen dabei, Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.

(2) Der Auftraggeber kann Daten im Firmenportal jederzeit selbst ansehen, ändern, herunterladen und löschen.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter. Ausgenommen sind Widersprüche gegen die Speicherung einer selbst hinterlegten Lieferanschrift nach Absatz 4, die der Auftragnehmer direkt umsetzt.

(4) Beschäftigte können ihre Lieferanschrift über einen Link selbst hinterlegen. Diese Anschrift zeigt der Auftragnehmer dem Auftraggeber nicht an und verwendet sie ausschliesslich für die Zustellung von Sendungen des Auftraggebers.

§ 8 Weitere Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit ihm das nach der Art der Verarbeitung und den ihm vorliegenden Informationen möglich ist.

(2) Stellt der Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten fest, meldet er sie dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

(1) Der Auftraggeber kann alle Mitarbeiterdaten jederzeit im Firmenportal als Tabelle herunterladen und löschen.

(2) Endet die Nutzung des Firmenportals, löscht der Auftragnehmer alle Daten nach Anlage 1 innerhalb von 30 Tagen, sofern der Auftraggeber sie nicht vorher herunterlädt oder keine gesetzliche Pflicht zur Aufbewahrung besteht. Das gilt auch für Kopien, mit Ausnahme von Datensicherungen, die im regulären Turnus überschrieben werden.

(3) Wird das Firmenportal zwölf Monate lang nicht genutzt, kündigt der Auftragnehmer die Löschung der Mitarbeiterdaten mit einer Frist von 30 Tagen per E-Mail an und erinnert sieben Tage vor Ablauf erneut. Meldet sich der Auftraggeber in dieser Zeit an, entfällt die Löschung. Als Nutzung gelten die Anmeldung, eine Freigabe und ein automatisch ausgelöster Versand.

(4) Einladungen zur Adresseingabe löscht der Auftragnehmer 90 Tage nach Ablauf ihrer Frist.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Auftraggeber kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach Anmeldung mit angemessener Frist und während der üblichen Geschäftszeiten. Vorrangig genügt eine schriftliche Auskunft.

§ 11 Schlussbestimmungen

(1) Diese Vereinbarung wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragnehmer speichert Zeitpunkt, Fassung und die Person, die zugestimmt hat, und bestätigt den Abschluss per E-Mail.

(2) Ändert der Auftragnehmer diese Vereinbarung, gilt die neue Fassung erst, wenn der Auftraggeber ihr im Firmenportal zustimmt. Bis dahin ruht die Nutzung des Firmenportals, gespeicherte Daten bleiben erhalten.

(3) Bei Widersprüchen zwischen dieser Vereinbarung und anderen Vereinbarungen der Parteien geht diese Vereinbarung in Fragen des Datenschutzes vor.

(4) Die Haftung richtet sich nach Art. 82 DSGVO.

(5) Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Anlage 1: Daten, Zweck und betroffene Personen

Betroffene Personen	Beschäftigte des Auftraggebers, die er im Firmenportal einträgt
Daten	Vor- und Nachname, dienstliche E-Mail-Adresse, Abteilung, Personalnummer, Wertstufe, Eintrittsdatum, Geburtsdatum, freiwillige Angabe „vegetarisch“ oder „vegan“, Lieferanschrift, Hinweis zur Zustellung, vom Auftraggeber eingetragene Anlässe wie Geburt oder Hochzeit
Zweck	Anlässe errechnen, den Auftraggeber vor jedem Anlass erinnern, passende Geschenke vorschlagen und nach Freigabe versenden, Lieferanschrift bei der beschenkten Person erfragen
Nicht erhoben	Angaben zu Gesundheit, Allergien, Unverträglichkeiten, Religion oder andere besondere Kategorien nach Art. 9 DSGVO

Anlage 2: Technische und organisatorische Massnahmen

• Ort: Server und Datenbank bei einem Hoster in Deutschland. E-Mails verschickt der eigene Server, kein Dienst ausserhalb der EU.
• Verschlüsselung: Jede Verbindung zum Firmenportal ist per TLS verschlüsselt.
• Zugang für den Auftraggeber: über das eigene Kundenkonto oder einen persönlichen Anmeldelink, der 30 Minuten gilt und nur einmal verwendbar ist. Eine Sitzung endet nach acht Stunden.
• Trennung: Jede Anfrage im Portal ist an genau ein Unternehmen gebunden. Ein Unternehmen sieht nur die eigenen Beschäftigten.
• Zugang beim Auftragnehmer: Verwaltungszugänge nur für namentlich benannte Personen, geschützt durch Zwei-Faktor-Anmeldung.
• Aktionen: Bestellungen und Änderungen nur nach Bestätigung per Formular mit Prüfnummer. Links in E-Mails lösen nichts aus, bevor die Seite bestätigt wird.
• Datensparsamkeit: keine Felder für besondere Kategorien. Der Import übernimmt nur bekannte Spalten und verwirft den Rest, ohne ihn zu speichern.
• Selbst hinterlegte Adressen: werden dem Auftraggeber nicht angezeigt.
• Löschung: Einladungen 90 Tage nach Fristende, Mitarbeiterdaten nach zwölf Monaten ohne Nutzung mit 30 Tagen Ankündigung, nach Vertragsende binnen 30 Tagen.
• Sicherung: regelmässige Datensicherung beim Hoster in Deutschland.

Anlage 3: Unterauftragsverarbeiter

Unternehmen	Leistung	Ort
Alfahosting GmbH	Server, Datenbank, E-Mail-Versand	Deutschland
Bender GmbH, Aldingen	Verpacken und Versandvorbereitung. Erhält je Sendung Name, Lieferanschrift und Hinweis zur Zustellung.	Deutschland

Versanddienstleister wie DHL erhalten Name und Lieferanschrift der jeweiligen Sendung und stellen als eigene Verantwortliche zu.