Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Vereinbarung zwischen der Kundenorganisation ("Verantwortlicher") und Aron-Frederic Seiffert und Markus Ehret GbR (Geschäftsbezeichnung: Logistry GbR) ("Auftragsverarbeiter") über die Nutzung von SpecMCP.

Dieser AVV gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen im Sinne von Art. 28 DSGVO verarbeitet.

1. Gegenstand und Dauer

Der Auftragsverarbeiter erbringt den SpecMCP-Dienst und verarbeitet personenbezogene Daten, soweit dies zur Bereitstellung, Absicherung, Wartung und Unterstützung des Dienstes erforderlich ist.

Die Verarbeitung erfolgt für die Dauer der Nutzung des Dienstes durch den Kunden, sofern sich aus Lösch-, Rückgabe- oder Beendigungspflichten nach diesem AVV kein kürzerer Zeitraum ergibt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung kann insbesondere umfassen:

• Hosting und Speicherung,
• Authentifizierung und Zugriffskontrolle,
• Organisations- und Benutzerverwaltung,
• Nutzungsprotokollierung,
• Support und Fehleranalyse,
• E-Mail-Versand,
• Abrechnungsverwaltung,
• sowie technisch notwendige Datenübertragungen im Rahmen der Nutzung des Dienstes.

Zweck der Verarbeitung ist die Bereitstellung des SpecMCP-Dienstes für den Verantwortlichen und seine berechtigten Benutzer.

3. Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

• Beschäftigte, Auftragnehmer und berechtigte Benutzer des Verantwortlichen,
• Administratoren und Workspace-Owner,
• Rechnungs- und Kontaktpersonen,
• sowie gegebenenfalls Personen, deren Daten in vom Kunden bereitgestellten Inhalten enthalten sind.

4. Kategorien personenbezogener Daten

Verarbeitet werden können insbesondere:

• Name,
• geschäftliche E-Mail-Adresse,
• Account-Identifikatoren,
• Organisationszugehörigkeit und Rollendaten,
• Authentifizierungs- und Sitzungsdaten,
• Nutzungs- und Protokolldaten,
• Supportkommunikation,
• Rechnungs- und Kontaktdaten,
• sowie Kundeninhalte oder Metadaten, die über den Dienst übermittelt werden.

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sind nicht zur Verarbeitung vorgesehen. Der Verantwortliche bleibt dafür verantwortlich zu beurteilen, ob solche Daten hochgeladen oder übermittelt werden und ob dies rechtmäßig ist.

5. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen an ein Drittland oder eine internationale Organisation, sofern er nicht durch Unionsrecht oder das Recht der Mitgliedstaaten hierzu verpflichtet ist.

Der Vertrag, die Kundenkonfiguration und die Nutzung des Dienstes gelten als dokumentierte Weisungen des Verantwortlichen, ergänzt um etwaige schriftlich vereinbarte Weisungen zwischen den Parteien.

Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, wird er den Verantwortlichen hierauf hinweisen, soweit dies rechtlich zulässig ist.

6. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Sicherheitsmaßnahmen

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung.

Zu diesen Maßnahmen können je nach Fall insbesondere gehören:

• Zugriffskontrollen,
• rollenbasierte Berechtigungen,
• Verschlüsselung bei der Übertragung,
• sichere Handhabung von Zugangsdaten,
• Logging und Monitoring,
• Backup-Verfahren,
• und Maßnahmen zur rechtzeitigen Wiederherstellung der Verfügbarkeit und des Zugangs nach Vorfällen.

Der Auftragsverarbeiter darf Sicherheitsmaßnahmen im Laufe der Zeit aktualisieren und verbessern, sofern das Schutzniveau insgesamt nicht wesentlich abgesenkt wird.

8. Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung der Pflichten des Verantwortlichen in Bezug auf:

• Betroffenenrechte,
• Sicherheit der Verarbeitung,
• Verletzungen des Schutzes personenbezogener Daten,
• Datenschutz-Folgenabschätzungen,
• und gegebenenfalls Konsultationspflichten.

Der Verantwortliche bleibt für die Bearbeitung von Betroffenenanfragen und regulatorischen Pflichten in seiner Rolle als Verantwortlicher verantwortlich.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die personenbezogene Daten unter diesem AVV betrifft.

Die Mitteilung enthält die dem Auftragsverarbeiter zu diesem Zeitpunkt vernünftigerweise verfügbaren Informationen und kann ergänzt werden, sobald weitere Informationen vorliegen.

10. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern.

Die aktuellen Unterauftragsverarbeiter sind auf der öffentlichen Subprocessor-Seite des Auftragsverarbeiters aufgeführt. Der Auftragsverarbeiter darf Unterauftragsverarbeiter hinzufügen oder austauschen, soweit dies für den Betrieb des Dienstes sachgerecht ist.

Soweit nach Art. 28 DSGVO erforderlich, wird der Auftragsverarbeiter den Unterauftragsverarbeitern Datenschutzpflichten auferlegen, die den in diesem AVV beschriebenen Pflichten im Wesentlichen entsprechen, soweit dies für die Art der vom Unterauftragsverarbeiter erbrachten Leistungen einschlägig ist.

11. Internationale Datenübermittlungen

Soweit personenbezogene Daten an Empfänger in Drittländern übermittelt werden, stellt der Auftragsverarbeiter sicher, dass ein geeigneter Übermittlungsmechanismus besteht, soweit das anwendbare Recht dies verlangt, etwa ein Angemessenheitsbeschluss, Standardvertragsklauseln oder ein sonstiger zulässiger Mechanismus.

12. Löschung und Rückgabe

Nach Beendigung der Leistungen löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen zurück, sofern nicht Unionsrecht oder das Recht der Mitgliedstaaten zur Speicherung verpflichtet.

Technisch bedingt können Daten bis zum Ablauf des jeweiligen Backup-Zyklus in Sicherungen verbleiben. Im Übrigen werden Kundendaten gemäß den Aufbewahrungs- und Löschpraktiken des Auftragsverarbeiters gelöscht.

13. Nachweise und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.

Audits oder Inspektionen sind in angemessener, verhältnismäßiger Weise auszuüben und dürfen den Betrieb, die Sicherheit oder Verpflichtungen gegenüber anderen Kunden nicht unangemessen beeinträchtigen. Die Parteien können Vertraulichkeit, Vorankündigungsfristen, Umfangsbeschränkungen und die Erstattung angemessener Kosten vereinbaren.

14. Vorrang

Soweit zwischen diesem AVV und sonstigen vertraglichen Regelungen zwischen den Parteien hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen ein Widerspruch besteht, geht dieser AVV insoweit vor.