Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“ genannt) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus Art. 28 DSGVO im Zusammenhang mit der Bereitstellung des Cloud-Dienstes durch die bi excellence software GmbH (nachfolgend „Auftragsverarbeiter“) an den Kunden (nachfolgend „Verantwortlicher“) auf Grundlage der Allgemeinen Geschäftsbedingungen für die Bereitstellung von Cloud- und SaaS-Diensten (nachfolgend „Hauptvertrag“). Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder von ihm beauftragte Unterauftragsverarbeiter personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO verarbeiten, die der Verantwortliche im Rahmen der Nutzung des Cloud-Dienstes zur Verarbeitung überlässt.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor.

§ 1 Gegenstand und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist die Speicherung, Organisation, Bereitstellung, Übermittlung und sonstige Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung des Cloud-Dienstes einstellt oder generieren lässt, soweit dies zur Erbringung des Cloud-Dienstes gemäß Hauptvertrag erforderlich ist.

2. Die Dauer dieser Verarbeitung entspricht der Laufzeit des Hauptvertrags einschließlich etwaiger Übergangs- und Löschfristen gemäß § 15 des Hauptvertrags (Exit-Management) und § 10 dieses AVV.

§ 2 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten

1. Art und Zweck der Verarbeitung ergeben sich aus der Bereitstellung des Cloud-Dienstes gemäß Hauptvertrag, insbesondere Hosting, Speicherung, Anzeige, Auswertung und Sicherung der vom Verantwortlichen eingestellten Daten sowie Erbringung von Support- und Wartungsleistungen.

2. Kategorien betroffener Personen sind insbesondere: Mitarbeiter, Kunden, Interessenten und sonstige Ansprechpartner des Verantwortlichen sowie weitere von diesem im Cloud-Dienst verarbeitete natürliche Personen. Die konkreten Kategorien werden vom Verantwortlichen im Rahmen seiner Nutzung des Cloud-Dienstes bestimmt und sind, soweit erforderlich, in einem gesonderten Leistungsschein bzw. der PKL näher festzulegen.

3. Kategorien personenbezogener Daten sind insbesondere: Stammdaten (Name, Kontaktdaten), Vertrags- und Nutzungsdaten, Kommunikationsdaten sowie weitere vom Verantwortlichen im Rahmen der Nutzung des Cloud-Dienstes eingestellte Daten. Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO durch den Auftragsverarbeiter bedarf der vorherigen Vereinbarung in Textform.

§ 3 Weisungsgebundenheit

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht nach dem Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2. Der Hauptvertrag sowie dieser AVV stellen die erste dokumentierte Weisung des Verantwortlichen dar. Weitere Weisungen erteilt der Verantwortliche in Textform (einschließlich Weisungen über die vom Auftragsverarbeiter bereitgestellten Konfigurationsmöglichkeiten und Support-Kanäle) gegenüber der vom Auftragsverarbeiter benannten Kontaktstelle.

3. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich hierüber. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Personen nur im Rahmen der jeweiligen Zugriffsberechtigung auf die Daten zugreifen können.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 zu diesem AVV beschriebenen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

2. Der Auftragsverarbeiter ist berechtigt, die in Anlage 2 beschriebenen Maßnahmen unter Wahrung des vereinbarten Schutzniveaus an die technische und organisatorische Weiterentwicklung anzupassen. Wesentliche Verschlechterungen des Schutzniveaus teilt der Auftragsverarbeiter dem Verantwortlichen vorab in Textform mit.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz der in Anlage 3 zu diesem AVV genannten Unterauftragsverarbeiter.

2. Beabsichtigt der Auftragsverarbeiter, weitere Unterauftragsverarbeiter einzusetzen oder bestehende auszutauschen, informiert er den Verantwortlichen hierüber mit einer Frist von mindestens vier Wochen vor dem geplanten Einsatz in Textform bzw. über die Online-Informationsplattform der bi excellence. Der Verantwortliche kann dem Einsatz aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb dieser Frist in Textform widersprechen. Widerspricht der Verantwortliche form- und fristgerecht und können sich die Parteien nicht auf eine Lösung einigen, ist der Auftragsverarbeiter berechtigt, die betroffene Leistung nicht zu erbringen oder den Hauptvertrag insoweit außerordentlich zu kündigen.

3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in diesem AVV vereinbarten mindestens gleichwertig sind, insbesondere zu angemessenen technischen und organisatorischen Maßnahmen. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten der von ihm eingesetzten Unterauftragsverarbeiter verantwortlich.

4. Nicht als zustimmungspflichtige Unterauftragsverarbeitung im Sinne dieses Paragraphen gelten Nebenleistungen wie Telekommunikationsdienstleistungen, Wartung und Support von Hard- und Software sowie vergleichbare Maßnahmen, sofern eine Verarbeitung personenbezogener Daten hierbei nicht ausgeschlossen werden kann; der Auftragsverarbeiter trifft jedoch auch insoweit angemessene vertragliche und technische Vorkehrungen zum Schutz der Daten.

§ 7 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Pflicht des Verantwortlichen, Anträge auf Ausübung der in Kapitel III DSGVO genannten Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten.

2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde).

3. Über den in Abs. 1 und 2 beschriebenen Umfang hinausgehende Unterstützungsleistungen kann der Auftragsverarbeiter nach dem für vergleichbare Leistungen in der jeweils gültigen PKL vorgesehenen Aufwand gesondert in Rechnung stellen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO, die die vom Auftragsverarbeiter für den Verantwortlichen verarbeiteten Daten betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden.

2. Die Meldung enthält, soweit dem Auftragsverarbeiter zu diesem Zeitpunkt bekannt, mindestens eine Beschreibung der Art der Verletzung, der betroffenen Kategorien und der ungefähren Zahl betroffener Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Ergänzende Informationen übermittelt der Auftragsverarbeiter unverzüglich, sobald sie ihm vorliegen.

§ 9 Kontroll- und Nachweispflichten

1. Der Auftragsverarbeiter weist die Einhaltung der in diesem AVV vereinbarten Pflichten, insbesondere der Umsetzung der in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, gegenüber dem Verantwortlichen durch geeignete Nachweise nach, insbesondere durch Vorlage aktueller Zertifizierungen, Testate oder Prüfberichte unabhängiger Dritter, sofern und soweit solche vorliegen.

2. Soweit die vorgelegten Nachweise gemäß Abs. 1 zur Erfüllung der Kontrollpflichten des Verantwortlichen nicht ausreichen, kann der Verantwortliche nach vorheriger Ankündigung mit angemessenem zeitlichem Vorlauf (in der Regel mindestens vier Wochen), höchstens einmal jährlich sowie zusätzlich anlassbezogen bei Vorliegen konkreter Anhaltspunkte für einen Verstoß, selbst oder durch einen zur Verschwiegenheit verpflichteten Dritten Prüfungen der Einhaltung dieses AVV während der üblichen Geschäftszeiten des Auftragsverarbeiters durchführen bzw. durchführen lassen. Der Verantwortliche trägt die Kosten solcher Prüfungen; der Auftragsverarbeiter kann für die dabei entstehende Unterstützung eine angemessene Vergütung nach der jeweils gültigen PKL verlangen, sofern die Prüfung nicht durch eine nachgewiesene Pflichtverletzung des Auftragsverarbeiters veranlasst war.

§ 10 Löschung und Rückgabe personenbezogener Daten

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die für den Verantwortlichen verarbeitet wurden, bzw. gibt sie nach Wahl des Verantwortlichen zurück und löscht vorhandene Kopien, soweit nicht nach dem Recht der Europäischen Union oder der Mitgliedstaaten eine Verpflichtung zur weiteren Speicherung besteht. Für Zeitpunkt und Verfahren des Datenexports und der Löschung gilt § 15 des Hauptvertrags (Exit-Management).

§ 11 Übermittlung in Drittländer, Hosting auf Wunsch des Kunden

1. Der Auftragsverarbeiter verarbeitet und speichert personenbezogene Daten des Verantwortlichen grundsätzlich ausschließlich in den in Anlage 3 benannten, eigenen bzw. von ihm dauerhaft beauftragten Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (vgl. § 13 Abs. 4 des Hauptvertrags). Eine Verarbeitung oder Speicherung auf Plattformen oder in Rechenzentren sonstiger Dritter, die nicht in Anlage 3 aufgeführt sind, findet nicht statt.

2. Abweichend von Abs. 1 hostet der Auftragsverarbeiter Daten des Verantwortlichen bei einem nicht in Anlage 3 aufgeführten Dritt-Rechenzentrumsbetreiber nur, wenn der Verantwortliche dies ausdrücklich in Textform wünscht – insbesondere weil er verlangt, dass seine Daten in einem bestimmten Land oder einer bestimmten Region gespeichert werden, in der der Auftragsverarbeiter kein eigenes bzw. dauerhaft beauftragtes Rechenzentrum betreibt. In diesem Fall weist der Auftragsverarbeiter den Verantwortlichen vor Beauftragung auf die datenschutzrechtlichen Rahmenbedingungen des betreffenden Standorts hin, schließt mit dem eingesetzten Dienstleister eine Vereinbarung entsprechend § 6 Abs. 3 dieses AVV und nimmt den Dienstleister für die Dauer der Beauftragung als Unterauftragsverarbeiter in die Liste gemäß Anlage 3 auf; das Genehmigungsverfahren des § 6 Abs. 2 gilt entsprechend. Die hierdurch entstehenden Mehrkosten kann der Auftragsverarbeiter dem Verantwortlichen nach der jeweils gültigen PKL gesondert in Rechnung stellen.

3. Soweit ein Hosting gemäß Abs. 2 oder der Einsatz eines in Anlage 3 benannten Unterauftragsverarbeiters zu einer Verarbeitung in einem Drittland im Sinne des Art. 44 DSGVO führt, erfolgt dies nur auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (z. B. hinsichtlich zertifizierter Unternehmen in den USA auf Grundlage des EU-U.S. Data Privacy Framework) oder geeigneter Garantien im Sinne des Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln, jeweils ergänzt um im Einzelfall erforderliche zusätzliche Maßnahmen.

4. Der Auftragsverarbeiter beobachtet die Entwicklung der Rechtsgrundlagen für Datenübermittlungen in Drittländer, insbesondere etwaiger gerichtlicher Entscheidungen zur Gültigkeit bestehender Angemessenheitsbeschlüsse, und informiert den Verantwortlichen unverzüglich in Textform, sobald die Rechtsgrundlage für eine konkrete Übermittlung entfällt oder ernsthaft in Zweifel steht, sowie über die daraufhin ergriffenen Maßnahmen (z. B. Umstellung auf EU-Standardvertragsklauseln oder Wechsel des Unterauftragsverarbeiters).

§ 12 Haftung

Für die Haftung der Parteien im Zusammenhang mit diesem AVV gelten die Haftungsregelungen des Hauptvertrags (§ 12) entsprechend, soweit nicht die Haftungsregelung des Art. 82 DSGVO zwingend etwas anderes vorsieht.

§ 13 Laufzeit, Schlussbestimmungen

1. Dieser AVV beginnt mit Wirksamwerden des Hauptvertrags und endet automatisch mit dessen Beendigung, frühestens jedoch mit vollständiger Erfüllung der Pflichten aus § 10 dieses AVV.

2. Für diesen AVV gelten ergänzend die Regelungen des Hauptvertrags zu Form, anwendbarem Recht und Gerichtsstand (§§ 2, 21 des Hauptvertrags) entsprechend.

3. Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

Anlage 2 zum AVV: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft für den Betrieb des Cloud-Dienstes insbesondere die nachfolgenden technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst; wesentliche Änderungen werden dem Verantwortlichen gemäß § 5 Abs. 2 mitgeteilt.

Anlage 3 zum AVV: Liste der eingesetzten Unterauftragsverarbeiter

Zum Zeitpunkt des Vertragsschlusses setzt der Auftragsverarbeiter keine Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO ein. Der Cloud-Dienst, einschließlich Hosting, Betrieb und Support, wird vollständig mit eigenen personellen und technischen Ressourcen der bi excellence software GmbH auf eigener Infrastruktur erbracht; eine Genehmigung nach § 6 Abs. 1 dieses AVV ist daher gegenwärtig nicht erforderlich.

Beabsichtigt der Auftragsverarbeiter künftig, einzelne Leistungen (z. B. Rechenzentrumsbetrieb, Versand von Benachrichtigungen, Support-Werkzeuge) durch Dritte erbringen zu lassen, gilt hierfür das Zustimmungs- und Informationsverfahren gemäß § 6 Abs. 2 und 3 dieses AVV. Die nachfolgende Tabelle wird ab dem Zeitpunkt des erstmaligen Einsatzes eines Unterauftragsverarbeiters von bi excellence geführt, dem Verantwortlichen mitgeteilt und auf der Online-Informationsplattform der bi excellence aktuell gehalten.

Dieser AVV ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen (Hauptvertrag).