Auftragsverarbeitungsvertrag (AVV / DPA)

Präambel & Vertragsparteien

Diese Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 Abs. 3 DSGVO regelt die datenschutzrechtlichen Rechte und Pflichten der Vertragsparteien im Rahmen der Nutzung der Software-as-a-Service (SaaS)-Plattform zwischen:

§ 1 Gegenstand, Gegenstandsbereich & Dauer des Auftrags

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Der Gegenstand, die Art und der Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten und Betroffener ergeben sich aus dieser Vereinbarung und dem zugrunde liegenden Hauptvertrag (AGB / Nutzungsvertrag über die SaaS-Plattform).

(2) Die Dauer dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages. Nach Beendigung des Hauptvertrages gelten die Bestimmungen dieser Vereinbarung fort, solange personenbezogene Daten beim Auftragsverarbeiter oder dessen Unterauftragsverarbeitern verarbeitet werden.

(3) Nicht Gegenstand dieser Vereinbarung sind personenbezogene Daten, die der Auftragsverarbeiter als eigener Verantwortlicher über den Auftraggeber und dessen administrative Nutzer verarbeitet — insbesondere die Vertrags-, Abrechnungs- und Supportdaten des Mandanten, die bei der Registrierung festgehaltene Herkunft (Kanalkategorie, Kampagnencode und aufrufende Seite) sowie freiwillige Angaben aus dem Willkommensdialog zu Aufmerksamkeitsquelle, Branche und Unternehmensgröße. Für diese Verarbeitungen gilt die Datenschutzerklärung des Auftragsverarbeiters; sie unterliegen nicht den Weisungen des Verantwortlichen nach dieser Vereinbarung.

§ 2 Gegenstand, Art & Zweck der Verarbeitung, Datenkategorien & Betroffene

(1) Art und Zweck der Verarbeitung: Der Auftragsverarbeiter stellt dem Verantwortlichen eine cloudbasierte Software-Plattform zur Verfügung. Die Verarbeitung personenbezogener Daten umfasst das Erheben, Speichern, Verwalten, Auslesen, Übermitteln, Bereitstellen und Löschen von Daten zur Durchführung von Kundenmanagement (CRM), Rechnungs- und Angebotserstellung, Zeiterfassung, Belegerfassung per KI-OCR und Kundenkommunikation.

(2) Kategorien personenbezogener Daten:

• Stammdaten & Kontaktdaten (z. B. Vor- und Nachname, Anrede, geschäftliche Anschrift, E-Mail-Adresse, Telefonnummer, Funktion/Rolle im Unternehmen)
• Vertrags-, Rechnungs- & Zahlungsdaten (z. B. Rechnungsanschriften, USt-IdNr., IBAN/BIC, Zahlungsverläufe, Mahnstatus, Kundennummern)
• Projekt- & Zeiterfassungsdaten (z. B. Arbeits- und Buchungszeiten, Tätigkeitsbeschreibungen, Stundensätze, Projektzuordnungen)
• Inhalts- & Dokumentendaten (z. B. Angebote, Rechnungsbelege, Notizen, Korrespondenzen, Dateien)
• System-, Nutzungs- & Protokolldateien (z. B. IP-Adressen, Login-Zeitstempel, Browserinformationen, Audit-Logs)

(3) Kategorien betroffener Personen:

• Kunden, Interessenten, Lieferanten, Dienstleister und Vertragspartner des Verantwortlichen
• Mitarbeiter, Beschäftigte, Vertretungsberechtigte und Erfüllungsgehilfen des Verantwortlichen

§ 3 Pflichten des Auftragsverarbeiters / Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage der dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist durch das Recht der Europäischen Union oder das Recht der Bundesrepublik Deutschland hierzu verpflichtet (Art. 28 Abs. 3 S. 2 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich.

(3) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 S. 2 lit. b DSGVO).

§ 4 Technische und Organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO

(1) Der Auftragsverarbeiter ergreift vor Beginn der Verarbeitung alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau für die Rechte und Freiheiten der betroffenen Personen zu gewährleisten.

(2) Die Schutzmaßnahmen umfassen insbesondere:

§ 5 Unterauftragsverhältnisse (Unterauftragsverarbeiter)

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) gemäß Art. 28 Abs. 2 und 4 DSGVO hinzuzuziehen. Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter ist auf der öffentlich zugänglichen Informationsseite Unterauftragsverarbeiter abrufbar.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage, bevor der betreffende Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten beginnt. Die Information erfolgt in Textform durch Aufnahme des Unterauftragsverarbeiters in die Informationsseite Unterauftragsverarbeiter — unter Angabe der Fassungskennung und des Zeitpunkts — sowie durch einen Hinweis an die administrativen Nutzer des Verantwortlichen in der Anwendung. Andere Kanäle schuldet der Auftragsverarbeiter nicht; die Administratoren des Verantwortlichen sind gehalten, die in der Anwendung angezeigten Hinweise zur Kenntnis zu nehmen.

(3) Dem Verantwortlichen steht das Recht zu, der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information zu widersprechen. Im Falle eines berechtigten Widerspruchs bemüht sich der Auftragsverarbeiter um eine einvernehmliche Abhilfe; kommt eine solche nicht zustande, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich des Hauptvertrages zu, das er innerhalb von 14 Tagen nach Scheitern der Abhilfe ausüben kann.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind.

(5) Eine Verarbeitung von Daten in Drittländern (außerhalb der EU bzw. des EWR) erfolgt ausschließlich unter Einhaltung der besonderen Voraussetzungen der Art. 44 ff. DSGVO (insbesondere auf Grundlage von Angemessenheitsbeschlüssen der EU-Kommission, EU-Standardvertragsklauseln SCCs oder dem EU-U.S. Data Privacy Framework).

§ 6 Meldepflichten, Unterstützungspflichten & Rechte der Betroffenen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter.

(3) Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO): Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Verantwortungsbereich des Auftragsverarbeiters oder eines seiner Unterauftragsverarbeiter eingetreten ist, unverzüglich nach Kenntniserlangung, spätestens jedoch innerhalb von 48 Stunden. Die Meldung erfolgt in Textform an die im Mandanten hinterlegten administrativen Nutzer des Verantwortlichen.

(4) Die Meldung enthält, soweit die Angaben zum Zeitpunkt der Meldung verfügbar sind: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die Kontaktdaten einer Auskunftsstelle, eine Beschreibung der wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Minderung nachteiliger Folgen (Art. 33 Abs. 3 DSGVO). Liegen einzelne Angaben noch nicht vor, erfolgt die Meldung zunächst ohne diese und wird unverzüglich ergänzt; die Frist nach Absatz 3 darf dadurch nicht überschritten werden. Der Auftragsverarbeiter dokumentiert jede Verletzung einschließlich der ergriffenen Abhilfemaßnahmen und stellt diese Dokumentation dem Verantwortlichen zur Erfüllung seiner Nachweispflicht nach Art. 33 Abs. 5 DSGVO zur Verfügung. Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen obliegt dem Verantwortlichen; der Auftragsverarbeiter nimmt sie nicht in eigenem Namen vor.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen an Aufsichtsbehörden und Betroffene, Durchführung von Datenschutz-Folgenabschätzungen).

(6) Löschung aus Sicherungskopien: Ein Löschersuchen nach Art. 17 DSGVO wird unverzüglich auf den Live-Daten umgesetzt; die betroffenen personenbezogenen Daten sind ab diesem Zeitpunkt über die Plattform nicht mehr abrufbar. Aus technischen Gründen können Restkopien in automatisierten Sicherungskopien (Backups, Point-in-Time-Recovery, GCS-Exporte) fortbestehen; diese werden nicht selektiv nach einzelnen betroffenen Personen durchsucht oder bearbeitet. Restkopien werden gemäß der jeweils geltenden Aufbewahrungsfrist automatisch gelöscht, spätestens jedoch innerhalb von 98 Tagen nach dem Löschersuchen — der längsten im Sicherungskonzept vorgesehenen Aufbewahrungsfrist.

§ 7 Kontrollrechte & Nachweispflichten

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen und Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Der Nachweis der Einhaltung der vereinbarten Datenschutzmaßnahmen kann auch durch Vorlage aktueller Testate, Zertifikate (z. B. ISO 27001) oder unabhängiger Audit-Berichte erbracht werden.

§ 8 Löschung und Rückgabe von Daten nach Vertragsende

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen oder nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie dem Verantwortlichen zurück, sofern keine gesetzliche Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 S. 2 lit. g DSGVO).

(2) Soweit gesetzliche Aufbewahrungspflichten nach deutschem Handels- oder Steuerrecht (§ 147 AO, § 257 HGB) einer Löschung entgegenstehen, werden die betroffenen Daten für sonstige Verarbeitungszwecke gesperrt und nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht.

§ 9 Haftung & Schlussbestimmungen

(1) Für den Ersatz von Schäden, die eine Partei durch eine datenschutzrechtswidrige Verarbeitung erleidet, gelten die Bestimmungen des Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrages.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform (Art. 28 Abs. 9 DSGVO).

(3) Es gilt das Recht der Bundesrepublik Deutschland.