Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag konkretisiert die Pflichten aus Artikel 28 DSGVO für die Verarbeitung personenbezogener Daten, die die DeskCore Software GmbH, Frankfurter Str. 42, 53773 Hennef (Sieg), nachfolgend Auftragsverarbeiter, im Auftrag des Auftraggebers vornimmt.

(2) Gegenstand ist die Entwicklung, der Test und der Betrieb der im Hauptvertrag beschriebenen Anwendung sowie die dazugehörige Betreuung.

(3) Die Dauer entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

§ 2 Art und Zweck der Verarbeitung

Verarbeitet wird ausschließlich zum Zweck der vertraglich vereinbarten Leistung. Typische Vorgänge sind das Erheben, Speichern, Anpassen, Auslesen, Übermitteln innerhalb der Anwendung und das Löschen von Daten sowie die Migration bestehender Datenbestände in die neue Anwendung.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen sind je nach Anwendungsfall insbesondere:

• Beschäftigte des Auftraggebers
• Kunden, Interessenten und Lieferanten des Auftraggebers
• Ansprechpartner bei Geschäftspartnern

Verarbeitete Datenarten sind insbesondere:

• Stammdaten wie Name, Anschrift, Kundennummer
• Kontaktdaten wie E-Mail-Adresse und Telefonnummer
• Vertrags- und Abrechnungsdaten
• Nutzungs-, Protokoll- und Zeiterfassungsdaten

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO werden nur verarbeitet, wenn dies zwischen den Parteien gesondert in Textform vereinbart ist.

§ 4 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag samt Lastenheft gilt als Erstweisung.

(2) Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Weisungen können über das System erteilt werden; sie sind dort protokolliert.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

(4) Eine Übermittlung in ein Drittland erfolgt nur auf Weisung des Auftraggebers oder wenn eine gesetzliche Pflicht besteht; in diesem Fall informiert der Auftragsverarbeiter vorab, soweit rechtlich zulässig.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Artikel 32 DSGVO erforderlichen Maßnahmen, insbesondere:

• verschlüsselte Übertragung über TLS mit aktuellen Verfahren
• Passwörter ausschließlich als nicht rückrechenbare Hashwerte, Zugangsdaten Dritter verschlüsselt
• rollenbasierte Zugriffskontrolle, Zugriff nur auf den jeweils eigenen Datenbestand
• Protokollierung jeder Änderung an Datensätzen mit Zeitpunkt und handelnder Person
• getrennte Umgebungen für Entwicklung, Test und Betrieb
• tägliche Sicherung mit dokumentierter Wiederherstellung
• Serverstandorte ausschließlich innerhalb der Europäischen Union
• Begrenzung der Anmeldeversuche und Schutz vor automatisierten Zugriffen
• regelmäßige Aktualisierung eingesetzter Komponenten und Prüfung auf bekannte Schwachstellen

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu.

Hosting und Objektspeicher

Anbieter mit Rechenzentren in Deutschland, konkrete Benennung im Hauptvertrag

Zahlungsabwicklung

Stripe Payments Europe, Limited, Dublin, Irland

E-Mail-Versand

Twilio SendGrid, Übermittlung auf Grundlage der EU-Standardvertragsklauseln

Strukturierung von Projektangaben

Anthropic PBC, Verarbeitung über Rechenzentren in der Europäischen Union, kein Training mit Kundendaten

(2) Weitere Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum geplanten Wechsel ordentlich kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 8 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen nach den Artikeln 15 bis 22 DSGVO. Richtet sich eine Anfrage direkt an den Auftragsverarbeiter, leitet er sie unverzüglich weiter.

(2) Er unterstützt bei Datenschutz-Folgenabschätzungen nach Artikel 35 DSGVO und bei einer vorherigen Konsultation nach Artikel 36 DSGVO.

(3) Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen für eine Meldung nach Artikel 33 DSGVO erforderlichen Angaben.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage nach, in der Regel durch aktuelle Dokumentation der technischen und organisatorischen Maßnahmen.

(2) Der Auftraggeber kann sich vor Ort von der Einhaltung überzeugen. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Auftraggebers heraus oder löscht sie. Die Herausgabe erfolgt in einem gängigen, maschinenlesbaren Format.

(2) Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt. Für die Dauer der Aufbewahrung bleiben die Pflichten dieses Vertrags bestehen.

(3) Sicherungskopien werden im Rahmen der üblichen Rotationszyklen gelöscht, spätestens 90 Tage nach Vertragsende.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Artikel 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht.