Vollmacht zur DSGVO-Bearbeitung

(1) Diese Vollmacht ergänzt den zwischen den Parteien geschlossenen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. (2) Der Verantwortliche bevollmächtigt BauFin gemäß Art. 28 Abs. 3 Satz 2 lit. e DSGVO i.V.m. einer schriftlichen Regelung zur operativen Bearbeitung und Beantwortung im Namen und nach dokumentierter Weisung des Verantwortlichen von Anfragen betroffener Personen zu folgenden Rechten: Art. 15 (Auskunft), Art. 16 (Berichtigung), Art. 17 (Löschung), Art. 18 (Einschränkung), Art. 20 (Datenübertragbarkeit), Art. 21 (Widerspruch), Art. 22 (Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden). (3) Die Bearbeitung erfolgt im Namen, im Auftrag und nach dokumentierter Weisung des Verantwortlichen durch geschultes Personal. Die Vollmacht umfasst die Recherche in den Datenbeständen des Verantwortlichen innerhalb der BauFin-Plattform, die Vorbereitung und Versendung der Antwort sowie die Dokumentation im Audit-Log (Art. 5 Abs. 2, Art. 12 Abs. 3 DSGVO). Das Verzeichnis nach Art. 30 DSGVO bleibt unberührt.

(1) BauFin ist berechtigt: a) Anfragen entgegenzunehmen, die Identität zu prüfen (Art. 12 Abs. 6 DSGVO) und auf Plausibilität zu bewerten; b) Daten im Tenant des Verantwortlichen zu recherchieren, zu berichtigen, zu löschen, einzuschränken oder zu exportieren — soweit die Anfrage berechtigt ist; c) innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO, verlängerbar um zwei Monate) zu antworten; d) die Antwort mit der Signatur „im Auftrag und mit Vollmacht des Verantwortlichen, vertreten durch BauFin / Krone Baustein e.K." zu versehen; e) Eingang, Bearbeitung, Entscheidung und Antwort im Audit-Log zu dokumentieren. (2) Nicht umfasst sind: a) Entscheidungen über die reine Bearbeitung hinaus (z. B. Vertragsbeendigung); b) Reaktionen auf Beschwerden bei Aufsichtsbehörden (Art. 77 DSGVO) — unverzügliche Weiterleitung an den Verantwortlichen; c) Auskünfte über Daten außerhalb der BauFin-Plattform (Papier, andere Systeme, lokale Daten); d) Anfragen mit Identitätszweifeln — Weiterleitung zur Klärung an den Verantwortlichen.

(1) BauFin bearbeitet jede Anfrage sorgfältig und rechtskonform gemäß Kapitel III DSGVO (Art. 12–23). (2) BauFin prüft, ob gesetzliche Aufbewahrungspflichten (insb. § 147 AO — 10 Jahre für Rechnungen, § 257 HGB — 6 Jahre für Geschäftskorrespondenz) der Löschung entgegenstehen; die betroffene Person wird informiert (Art. 17 Abs. 3 lit. b DSGVO). (3) BauFin informiert den Verantwortlichen unverzüglich über: a) Anfragen über den Standardrahmen hinaus; b) Datenschutzverletzungen (Art. 33 DSGVO) — innerhalb von 48 Stunden; c) technisch/organisatorisch nicht durchführbare Anfragen. (4) BauFin stellt monatliche Berichte über alle bearbeiteten Anfragen bereit (Anzahl, Art, Status, Bearbeitungszeit). (5) Das betraute Personal ist geschult und zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).

(1) Der Verantwortliche bleibt gemäß Art. 4 Nr. 7 und Art. 5 Abs. 2 DSGVO rechtlich verantwortlich für die Datenverarbeitung in seinem Tenant. (2) Er stellt sicher, dass die in der Plattform gespeicherten Daten vollständig und aktuell sind. (3) Er informiert betroffene Personen in seiner Datenschutzerklärung darüber, dass DSGVO-Anfragen durch BauFin als beauftragten Dienstleister bearbeitet werden. (4) Anfragen, die der Verantwortliche selbst erhält (z. B. per Post), kann er in BauFin einstellen oder selbst bearbeiten; die Vollmacht greift nicht automatisch außerhalb der Plattform.

(1) Die Haftung von BauFin richtet sich nach Art. 82 DSGVO und den allgemeinen Bestimmungen des AVV. (2) BauFin haftet für Vorsatz und grobe Fahrlässigkeit; die Haftung für leichte Fahrlässigkeit ist auf typische und vorhersehbare Schäden begrenzt. (2a) Ansprüche betroffener Personen nach Art. 82 DSGVO sowie zwingende gesetzliche Haftungsvorschriften im Außenverhältnis bleiben unberührt. (3) BauFin unterhält eine IT-Berufshaftpflichtversicherung mit ausreichender Deckung. (4) Im Innenverhältnis: gegenseitige Information bei drohenden Bußgeldern (Art. 83 DSGVO) und einvernehmliche Verteidigung gegenüber Aufsichtsbehörden.

(1) Der Verantwortliche kann die Vollmacht jederzeit ohne Angabe von Gründen in Textform widerrufen, insbesondere per E-Mail an [email protected]. (2) Der Widerruf wirkt mit sofortiger Wirkung für neu eingehende Anfragen; laufende Anfragen werden nach Wahl des Verantwortlichen zu Ende bearbeitet oder mit Bearbeitungsstand übergeben. (3) Nach Widerruf werden neue Anfragen automatisch an den Verantwortlichen weitergeleitet.

(1) Die Vollmacht tritt mit der Annahme durch den Verantwortlichen (elektronischer Klick mit Datums- und IP-Protokollierung) in Kraft und gilt bis zum Widerruf oder bis zur Beendigung des SaaS-Vertrages. (2) Änderungen bedürfen der Textform (§ 126b BGB); Aktualisierungen werden mit 30 Tagen Vorlauf angekündigt und gelten als angenommen, wenn kein Widerspruch erfolgt (Opt-out). (3) Salvatorische Klausel: Unwirksamkeit einzelner Bestimmungen berührt die Übrigen nicht. (4) Es gilt deutsches Recht. Gerichtsstand ist Hamburg.