Auftragsverarbeitungsvertrag (AVV gemäß Art. 28 DSGVO)

Präambel & Vertragsparteien

Diese Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 Abs. 3 DSGVO regelt die datenschutzrechtlichen Rechte und Pflichten der Vertragsparteien im Rahmen der Nutzung der Software-as-a-Service (SaaS)-Plattform zwischen:

§ 1 Gegenstand, Gegenstandsbereich & Dauer des Auftrags

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Der Gegenstand, die Art und der Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten und Betroffener ergeben sich aus dieser Vereinbarung und dem zugrunde liegenden Hauptvertrag (AGB / Nutzungsvertrag über die SaaS-Plattform).

(2) Die Dauer dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages. Nach Beendigung des Hauptvertrages gelten die Bestimmungen dieser Vereinbarung fort, solange personenbezogene Daten beim Auftragsverarbeiter oder dessen Unterauftragsverarbeitern verarbeitet werden.

(3) Nicht Gegenstand dieser Vereinbarung sind personenbezogene Daten, die der Auftragsverarbeiter als eigener Verantwortlicher über den Auftraggeber und dessen administrative Nutzer verarbeitet — insbesondere die Vertrags-, Abrechnungs- und Supportdaten des Mandanten, die bei der Registrierung festgehaltene Herkunft (Kanalkategorie, Kampagnencode und aufrufende Seite) sowie freiwillige Angaben aus dem Willkommensdialog zu Aufmerksamkeitsquelle, Branche und Unternehmensgröße. Für diese Verarbeitungen gilt die Datenschutzerklärung des Auftragsverarbeiters; sie unterliegen nicht den Weisungen des Verantwortlichen nach dieser Vereinbarung.

(4) Ebenfalls nicht Gegenstand der Auftragsverarbeitung ist die Zugangsverifikation der Angebotsempfänger im Angebotsportal (Telefonnummer, SMS-Einmal-Code, Missbrauchsprävention sowie Anmeldekonten und Sitzungen des Portals). Für sie sind Verantwortlicher und Auftragsverarbeiter gemeinsam Verantwortliche nach Art. 26 DSGVO; es gilt die Anlage „Vereinbarung über die gemeinsame Verantwortlichkeit für die Zugangsverifikation im Angebotsportal“. Die Inhalte des Angebots und die Kontaktdaten des Empfängers verarbeitet der Auftragsverarbeiter weiterhin nach dieser Vereinbarung.

§ 2 Gegenstand, Art & Zweck der Verarbeitung, Datenkategorien & Betroffene

(1) Art und Zweck der Verarbeitung: Der Auftragsverarbeiter stellt dem Verantwortlichen eine cloudbasierte Software-Plattform zur Verfügung. Die Verarbeitung personenbezogener Daten umfasst das Erheben, Speichern, Verwalten, Auslesen, Übermitteln, Bereitstellen und Löschen von Daten zur Durchführung von Kundenmanagement (CRM), Rechnungs- und Angebotserstellung, Zeiterfassung, Belegerfassung per KI-OCR, Kundenkommunikation und interne Kommunikation der Mitglieder eines Arbeitsbereichs (Team-Chat).

(2) Kategorien personenbezogener Daten:

• Stammdaten & Kontaktdaten (z. B. Vor- und Nachname, Anrede, geschäftliche Anschrift, E-Mail-Adresse, Telefonnummer, Funktion/Rolle im Unternehmen)
• Vertrags-, Rechnungs- & Zahlungsdaten (z. B. Rechnungsanschriften, USt-IdNr., IBAN/BIC, Zahlungsverläufe, Mahnstatus, Kundennummern)
• Projekt- & Zeiterfassungsdaten (z. B. Arbeits- und Buchungszeiten, Tätigkeitsbeschreibungen, Stundensätze, Projektzuordnungen)
• Inhalts- & Dokumentendaten (z. B. Angebote, Rechnungsbelege, Notizen, Korrespondenzen, Dateien)
• System-, Nutzungs- & Protokolldateien (z. B. IP-Adressen, Login-Zeitstempel, Browserinformationen, Audit-Logs)
• Kommunikationsdaten (Nachrichteninhalte, Dateianhänge, Teilnehmer, Gruppennamen, Zeitpunkte, Lesestatus)
• Präsenz- und Aktivitätssignale (online, schreibt gerade)

(3) Kategorien betroffener Personen:

• Kunden, Interessenten, Lieferanten, Dienstleister und Vertragspartner des Verantwortlichen
• Mitarbeiter, Beschäftigte, Vertretungsberechtigte und Erfüllungsgehilfen des Verantwortlichen

§ 3 Pflichten des Auftragsverarbeiters / Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage der dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist durch das Recht der Europäischen Union oder das Recht der Bundesrepublik Deutschland hierzu verpflichtet (Art. 28 Abs. 3 S. 2 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich.

(3) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 S. 2 lit. b DSGVO).

§ 4 Technische und Organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO

(1) Der Auftragsverarbeiter ergreift vor Beginn der Verarbeitung alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau für die Rechte und Freiheiten der betroffenen Personen zu gewährleisten.

(2) Die Schutzmaßnahmen umfassen insbesondere:

§ 5 Unterauftragsverhältnisse (Unterauftragsverarbeiter)

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) gemäß Art. 28 Abs. 2 und 4 DSGVO hinzuzuziehen. Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter ist auf der öffentlich zugänglichen Informationsseite Unterauftragsverarbeiter abrufbar.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage, bevor der betreffende Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten beginnt. Die Information erfolgt in Textform durch Aufnahme des Unterauftragsverarbeiters in die Informationsseite Unterauftragsverarbeiter — unter Angabe der Fassungskennung und des Veröffentlichungstags, die dort in der Änderungshistorie geführt werden — sowie durch einen Hinweis an die administrativen Nutzer des Verantwortlichen in der Anwendung. Andere Kanäle schuldet der Auftragsverarbeiter nicht; die Administratoren des Verantwortlichen sind gehalten, die in der Anwendung angezeigten Hinweise zur Kenntnis zu nehmen.

(3) Dem Verantwortlichen steht das Recht zu, der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information zu widersprechen. Im Falle eines berechtigten Widerspruchs bemüht sich der Auftragsverarbeiter um eine einvernehmliche Abhilfe; kommt eine solche nicht zustande, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich des Hauptvertrages zu, das er innerhalb von 14 Tagen nach Scheitern der Abhilfe ausüben kann.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind.

(5) Eine Verarbeitung von Daten in Drittländern (außerhalb der EU bzw. des EWR) erfolgt ausschließlich unter Einhaltung der besonderen Voraussetzungen der Art. 44 ff. DSGVO (insbesondere auf Grundlage von Angemessenheitsbeschlüssen der EU-Kommission, EU-Standardvertragsklauseln SCCs oder dem EU-U.S. Data Privacy Framework).

§ 6 Meldepflichten, Unterstützungspflichten & Rechte der Betroffenen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter.

(3) Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO): Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Verantwortungsbereich des Auftragsverarbeiters oder eines seiner Unterauftragsverarbeiter eingetreten ist, unverzüglich nach Kenntniserlangung, spätestens jedoch innerhalb von 48 Stunden. Die Meldung erfolgt in Textform an die im Mandanten hinterlegten administrativen Nutzer des Verantwortlichen.

(4) Die Meldung enthält, soweit die Angaben zum Zeitpunkt der Meldung verfügbar sind: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die Kontaktdaten einer Auskunftsstelle, eine Beschreibung der wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Minderung nachteiliger Folgen (Art. 33 Abs. 3 DSGVO). Liegen einzelne Angaben noch nicht vor, erfolgt die Meldung zunächst ohne diese und wird unverzüglich ergänzt; die Frist nach Absatz 3 darf dadurch nicht überschritten werden. Der Auftragsverarbeiter dokumentiert jede Verletzung einschließlich der ergriffenen Abhilfemaßnahmen und stellt diese Dokumentation dem Verantwortlichen zur Erfüllung seiner Nachweispflicht nach Art. 33 Abs. 5 DSGVO zur Verfügung. Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen obliegt dem Verantwortlichen; der Auftragsverarbeiter nimmt sie nicht in eigenem Namen vor.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen an Aufsichtsbehörden und Betroffene, Durchführung von Datenschutz-Folgenabschätzungen).

(6) Löschung aus Sicherungskopien: Ein Löschersuchen nach Art. 17 DSGVO wird unverzüglich auf den Live-Daten umgesetzt; die betroffenen personenbezogenen Daten sind ab diesem Zeitpunkt über die Plattform nicht mehr abrufbar. Aus technischen Gründen können Restkopien in automatisierten Sicherungskopien (Backups, Point-in-Time-Recovery, GCS-Exporte) fortbestehen; diese werden nicht selektiv nach einzelnen betroffenen Personen durchsucht oder bearbeitet. Restkopien werden gemäß der jeweils geltenden Aufbewahrungsfrist automatisch gelöscht, spätestens jedoch innerhalb von 98 Tagen nach dem Löschersuchen — der längsten im Sicherungskonzept vorgesehenen Aufbewahrungsfrist.

§ 7 Kontrollrechte & Nachweispflichten

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen und Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Der Nachweis der Einhaltung der vereinbarten Datenschutzmaßnahmen kann auch durch Vorlage aktueller Testate, Zertifikate (z. B. ISO 27001) oder unabhängiger Audit-Berichte erbracht werden.

§ 8 Löschung und Rückgabe von Daten nach Vertragsende

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen oder nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie dem Verantwortlichen zurück, sofern keine gesetzliche Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 S. 2 lit. g DSGVO).

(2) Soweit gesetzliche Aufbewahrungspflichten nach deutschem Handels- oder Steuerrecht (§ 147 AO, § 257 HGB) einer Löschung entgegenstehen, werden die betroffenen Daten für sonstige Verarbeitungszwecke gesperrt und nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht.

(3) Unterhaltungen des Team-Chats werden nicht an den Verantwortlichen herausgegeben; sie sind nur ihren Teilnehmern zugänglich. Jedes Mitglied kann seine eigenen Unterhaltungen in der Anwendung herunterladen, solange der Arbeitsbereich die App Team-Chat nutzt. Endet die App, werden die Unterhaltungen 90 Tage danach gelöscht; wird die App innerhalb dieser Frist erneut gebucht, bleiben sie erhalten. Mit der Löschung des Arbeitsbereichs werden sie in jedem Fall gelöscht.

§ 9 Haftung & Schlussbestimmungen

(1) Für den Ersatz von Schäden, die eine Partei durch eine datenschutzrechtswidrige Verarbeitung erleidet, gelten die Bestimmungen des Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrages.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform (Art. 28 Abs. 9 DSGVO).

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage — Vereinbarung über die gemeinsame Verantwortlichkeit für die Zugangsverifikation im Angebotsportal (Art. 26 DSGVO)

(1) Gegenstand: Versendet der Verantwortliche (nachfolgend in dieser Anlage „Mandant“) ein Angebot über das Angebotsportal, legen er und der Auftragsverarbeiter (nachfolgend in dieser Anlage „Plattformbetreiber“) die Zwecke und Mittel der Zugangsverifikation gemeinsam fest: Der Mandant bestimmt, dass und an welche Telefonnummer das Angebot gebunden wird; der Plattformbetreiber bestimmt Gestaltung und Mittel des Verfahrens. Die gemeinsame Verarbeitung umfasst die Erhebung der vom Empfänger eingegebenen Telefonnummer und ihren Abgleich mit der hinterlegten Nummer, den Versand und die Prüfung des SMS-Einmal-Codes, die Prüfung auf automatisierte Zugriffe und die Ratenbegrenzung, die Anmeldekonten und Sitzungsdaten des Portals sowie deren Löschung.

(2) Pflichten des Plattformbetreibers: Der Plattformbetreiber verantwortet die technische Gestaltung und den Betrieb der gemeinsamen Verarbeitung, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Auswahl und vertragliche Bindung der eingesetzten Dienstleister einschließlich der Absicherung von Drittlandübermittlungen nach Art. 44 ff. DSGVO, die Löschung der Anmeldekonten des Portals, die Informationen nach Art. 13 DSGVO gegenüber den Empfängern in seiner Datenschutzerklärung einschließlich des wesentlichen Inhalts dieser Vereinbarung (Art. 26 Abs. 2 DSGVO) sowie Meldungen nach Art. 33 und 34 DSGVO bei Verletzungen des Schutzes personenbezogener Daten in der gemeinsamen Verarbeitung. Über eine solche Verletzung unterrichtet er den Mandanten unverzüglich.

(3) Pflichten des Mandanten: Der Mandant verantwortet die Rechtmäßigkeit der Erhebung und Hinterlegung der Telefonnummer, an die er ein Angebot bindet, sowie deren Richtigkeit. Er weist Empfänger in seinen eigenen Datenschutzhinweisen auf die Nutzung des Angebotsportals und auf die Datenschutzerklärung des Plattformbetreibers hin.

(4) Betroffenenrechte: Betroffene Personen können ihre Rechte nach Art. 15 bis 22 DSGVO bei und gegenüber jedem der Verantwortlichen geltend machen (Art. 26 Abs. 3 DSGVO). Anlaufstelle für Anfragen zur gemeinsamen Verarbeitung ist der Plattformbetreiber. Geht eine solche Anfrage beim Mandanten ein, leitet er sie unverzüglich an den Plattformbetreiber weiter. Die Parteien unterstützen sich gegenseitig, soweit die Beantwortung Informationen der jeweils anderen Partei erfordert.

(5) Haftung: Gegenüber betroffenen Personen haften die Parteien nach Art. 82 Abs. 4 DSGVO. Im Innenverhältnis trägt jede Partei einen Schaden, soweit er auf einer Verletzung der ihr nach dieser Anlage zugewiesenen Pflichten beruht (Art. 82 Abs. 5 DSGVO); die Haftungsregelungen des Hauptvertrages bleiben unberührt.

(6) Laufzeit: Diese Anlage gilt, solange der Mandant das Angebotsportal nutzt und Anmeldekonten des Portals aus seinen Angeboten bestehen. § 9 Abs. 2 und 3 gelten entsprechend.