Vertrag zur Auftragsverarbeitung (AVV)

Dieser Auftragsverarbeitungsvertrag wird zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der Sempercode UG (haftungsbeschränkt) i.G., Glück-Auf-Str. 24, 57555 Mudersbach (nachfolgend „Auftragsverarbeiter“), geschlossen. Er ist Anlage zum jeweiligen Hauptvertrag (Softwareentwicklung, IT-Infrastruktur, Hosting oder Wartung). Gegenstand, Datenkategorien, betroffene Personen und die technischen und organisatorischen Maßnahmen werden für jeden Auftrag individuell in den Anlagen 1 und 2 festgelegt.

§ 1 Gegenstand, Dauer und Zweck der Verarbeitung

(1) Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen sowie die Art der personenbezogenen Daten ergeben sich aus Anlage 1 zu diesem Vertrag.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, unbeschadet der in § 8 geregelten Lösch- und Rückgabepflichten, die über das Vertragsende hinaus fortwirken.

§ 2 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung von Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch Unions- oder mitgliedstaatliches Recht hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Verpflichtung wirkt auch nach Beendigung der jeweiligen Tätigkeit fort.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Der Auftragsverarbeiter darf die Maßnahmen anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

§ 5 Unterauftragsverarbeitung

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der in Anlage 3 aufgeführten weiteren Auftragsverarbeiter (Subunternehmer).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung oder Ersetzung eines Subunternehmers) mindestens vier Wochen vor deren Wirksamwerden in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen.

(3) Der Auftragsverarbeiter legt jedem Subunternehmer die gleichen Datenschutzpflichten auf, die in diesem Vertrag vereinbart sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO).

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 7 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung.

(2) Die Meldung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben.

§ 8 Löschung und Rückgabe von Daten

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück und löscht bestehende Kopien, sofern nicht nach Unions- oder mitgliedstaatlichem Recht eine Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Die Löschung bzw. Rückgabe erfolgt innerhalb von sechs Wochen nach Vertragsende. Personenbezogene Daten in turnusmäßigen Sicherungen werden im Rahmen des regulären Backup-Löschzyklus überschrieben; eine gesonderte vorzeitige Löschung aus Sicherungen erfolgt nur, soweit technisch mit vertretbarem Aufwand möglich.

(3) Der Auftragsverarbeiter bestätigt dem Verantwortlichen die vollständige Löschung in Textform (Löschbestätigung).

§ 9 Kontrollrechte des Verantwortlichen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.

(2) Vor-Ort-Kontrollen sind mit einer Frist von mindestens zwei Wochen anzukündigen und auf die Geschäftszeiten des Auftragsverarbeiters zu beschränken. Anstelle einer Vor-Ort-Kontrolle kann der Nachweis auch durch die Vorlage aktueller Zertifizierungen oder eines Auditberichts geführt werden.

§ 10 Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, sowie ergänzend nach den Haftungsregelungen des Hauptvertrags bzw. der AGB des Auftragsverarbeiters, soweit diese mit zwingendem Datenschutzrecht vereinbar sind.

§ 11 Schlussbestimmungen

(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.

(2) Änderungen und Ergänzungen bedürfen der Textform.

(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

Anlagen

• Anlage 1: Gegenstand, Art und Zweck der Verarbeitung, Kategorien betroffener Personen, Art der Daten – individuell je Auftrag.
• Anlage 2: Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO – individuell je Auftrag.
• Anlage 3: Liste der genehmigten Subunternehmer.

Den vollständigen, auf Ihren Auftrag zugeschnittenen AVV mit ausgefüllten Anlagen erhalten Sie im Rahmen des Vertragsschlusses. Anfragen an hallo@sempercode.de.