Auftragsverarbeitungsvertrag

Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung personenbezogener Daten in den Leistungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen. Für seine eigene Kundenverwaltung und Rechnungsstellung ist der Auftragsverarbeiter eigenständiger Verantwortlicher; hierfür gilt dieser AVV nicht.

Gegenstand: Hosting, Betrieb, Wartung, Support und Weiterentwicklung der Leistungen.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Abfragen, Übermitteln (zum Beispiel per E-Mail- oder Messenger-Benachrichtigung), Löschen und sonstiges Verarbeiten von Daten innerhalb der Leistungen.

Zweck: Erbringung der im Leistungsvertrag vereinbarten Leistungen.

Dauer: für die Laufzeit des Leistungsvertrags und bis zur Löschung oder Rückgabe der Daten nach Ziffer 10.

Betroffene Personen: Website-Besucher, Interessenten und Leads, Kunden und Käufer, Veranstaltungsteilnehmer, Newsletter-Abonnenten, Bewerbende, Beschäftigte und Nutzer des Verantwortlichen sowie weitere Personen, deren Daten der Verantwortliche in den Leistungen verarbeitet.

Datenkategorien: Kontakt- und Identifikationsdaten, Kommunikationsinhalte, Anfrage-, Projekt- und Kaufdaten, Veranstaltungs- und Einwilligungsdaten, Bewerbungsdaten einschließlich Lebensläufen, im Kundenportal hochgeladene Dokumente, Nutzungs- und Protokolldaten sowie Kontodaten. Der Verantwortliche nutzt die Leistungen nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), sofern nicht gesondert vereinbart.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich dazu verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet. Weisungen werden durch die Konfiguration der Leistungen, den Leistungsvertrag und in Textform erteilt. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen Datenschutzrecht verstößt.

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im für ihre Aufgaben erforderlichen Umfang auf Daten zugreifen.

Der Auftragsverarbeiter trifft die in der Anlage beschriebenen, dem Risiko angemessenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die unten und auf der Seite der Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; wird keine Lösung gefunden, kann jede Partei die betroffenen Leistungen kündigen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf und haftet für deren Einhaltung.

Dienste, die der Verantwortliche mit seinem eigenen Konto anbindet (zum Beispiel sein E-Mail-Anbieter, Werbeplattformen, Newsletter- oder Analysetools), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; der Verantwortliche schließt mit ihnen direkt Verträge.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) sowie bei der Einhaltung der Art. 32–36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen. Anträge betroffener Personen, die den Auftragsverarbeiter erreichen, leitet er unverzüglich an den Verantwortlichen weiter.

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist, und stellt die Informationen bereit, die der Verantwortliche für eigene Meldungen benötigt (Art. 33 und 34 DSGVO).

Nach Beendigung der Leistungen löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Speicherpflicht besteht. Daten in Sicherungskopien werden mit dem regulären Sicherungszyklus gelöscht. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer nach angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. Der Auftragsverarbeiter kann diese Pflicht durch aktuelle Zertifikate oder Prüfberichte über sich und seine Unterauftragsverarbeiter erfüllen.

Der Auftragsverarbeiter verarbeitet Daten in der EU/im EWR. Übermittlungen an Unterauftragsverarbeiter in Drittländern erfolgen nur nach Art. 44 ff. DSGVO (zum Beispiel auf Grundlage des EU-US Data Privacy Framework oder von Standardvertragsklauseln). Hat der Verantwortliche seinen Sitz außerhalb der EU/des EWR, gelten für die Übermittlung von Daten vom Auftragsverarbeiter an den Verantwortlichen die EU-Standardvertragsklauseln, Modul 4 (Auftragsverarbeiter an Verantwortlichen), die die Parteien durch Verweis in diesen AVV einbeziehen.

Dieser AVV gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Die Haftung richtet sich nach Art. 82 DSGVO und dem Leistungsvertrag. Bei Widersprüchen geht dieser AVV in Datenschutzfragen dem Leistungsvertrag vor. Der Auftragsverarbeiter kann diesen AVV ändern, soweit Änderungen der Rechtslage oder der Leistungen dies erfordern; über wesentliche Änderungen informiert er den Verantwortlichen vorab.

• Zugriffskontrolle: rollenbasierte Berechtigungen je Modul, Mandantentrennung durch Row-Level-Security in der Datenbank, getrennte Server- und Browser-Zugangsdaten, kein Service-Role-Zugriff in nutzerseitigem Code
• Authentifizierung: passwortlose Anmeldelinks und Passkeys; administrativer Zugang zu den Infrastrukturanbietern auf den Betreiber beschränkt und durch starke Authentifizierung geschützt
• Verschlüsselung: TLS für alle Verbindungen; Verschlüsselung ruhender Daten durch Hosting- und Datenbankanbieter; Geheimnisse verschlüsselt in einem Vault gespeichert
• Speicherung: Datenbank und Dateispeicher in Frankfurt (Deutschland); private Buckets für Dokumente und Lebensläufe, nur über kurzlebige signierte Links zugänglich
• Eingabekontrolle: Aktivitätsprotokolle für Änderungen an Datensätzen, Laufprotokolle für automatisierte Prozesse
• Verfügbarkeit: verwaltete Infrastruktur mit Redundanz, Datenbanksicherungen, Überwachung geplanter Jobs
• Datenminimierung und Löschung: automatisierte Löschjobs, wo Aufbewahrungsfristen festgelegt sind (zum Beispiel Bewerbungen), Löschung verwaister Uploads
• Spam- und Missbrauchsschutz: Bot-Schutz für öffentliche Formulare, Dateityp-Prüfung bei Uploads
• Organisation: Vertraulichkeitsverpflichtungen, Zugriff nach dem Prinzip der minimalen Rechte, dokumentierte Reaktion auf Sicherheitsvorfälle