Auftragsverarbeitungsvertrag

1. Gegenstand, Dauer und Art der Verarbeitung

Gegenstand ist die Bereitstellung der SaaS-Anwendung Gearventory, einschließlich Speicherung, Anzeige, Auswertung und Übermittlung der vom Kunden eingegebenen Daten über die bereitgestellten Funktionen (z. B. Inventar, Projekte, Kontakte, Belege, Personalplanung, Mietkatalog, Kundencenter, Schnittstellen).

Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags. Nach Vertragsende gelten die Regelungen zur Rückgabe und Löschung.

2. Art der Daten und Kategorien betroffener Personen

Der Kunde entscheidet, welche personenbezogenen Daten er in Gearventory speichert. Typischerweise können dies insbesondere sein:

• Stammdaten und Kontaktdaten von Kundinnen, Kunden, Lieferanten und Ansprechpersonen (Name, Adresse, E-Mail, Telefon, Steuerdaten),
• Daten zu Mitarbeitenden und Einsatzplanung (Name, Rolle, Einsatzzeiten, Stundensätze, Zeiterfassung),
• Inhalte von Belegen, Projekten, Notizen, E-Mails und Dateianhängen,
• Anfragen und Aufrufe von Besucherinnen und Besuchern des Mietkatalogs und des Kundencenters,
• Nutzungsdaten der vom Kunden angelegten Benutzerkonten innerhalb des Workspace.

Betroffene Personen sind je nach Nutzung insbesondere Kundinnen und Kunden des Verantwortlichen, deren Mitarbeitende, Lieferanten sowie Nutzerinnen und Nutzer des Workspace. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Vertragsgegenstand und dürfen nicht in der Anwendung gespeichert werden, sofern nicht ausdrücklich etwas anderes vereinbart ist.

3. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erfolgen über die Softwarefunktionen, die Kontoeinstellungen oder in Textform an [email protected]. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere,

• Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, auf Vertraulichkeit zu verpflichten,
• die Sicherheit der Verarbeitung gemäß Art. 32 DSGVO durch geeignete technische und organisatorische Maßnahmen zu gewährleisten,
• den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12 bis 22 DSGVO), bei Meldepflichten und bei Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO) im Rahmen des Zumutbaren zu unterstützen,
• den Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten zu informieren und ihm die für eine Meldung nach Art. 33 DSGVO nötigen Angaben zur Verfügung zu stellen,
• auf die Daten des Workspace nur zuzugreifen, soweit dies für Betrieb, Fehlerbehebung oder Support auf Anfrage des Verantwortlichen erforderlich ist,
• nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzliche Speicherpflicht besteht.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos geeignete Maßnahmen. Dazu gehören insbesondere:

• Zutrittskontrolle: Die Server stehen ausschließlich in den Rechenzentren des Unterauftragsverarbeiters netcup in Deutschland, die über eigene Zutrittskontrollen, Videoüberwachung und Sicherheitspersonal verfügen. Der Auftragsverarbeiter betreibt keine eigenen Serverräume; Kundendaten werden nicht auf lokalen Arbeitsgeräten gespeichert.
• Zugangskontrolle: Administrativer Zugang zu den Servern hat nur der Auftragsverarbeiter selbst; Nutzerpasswörter werden nur als Hash gespeichert, Zwei-Faktor-Anmeldung, Passkeys und Single Sign-on stehen den Nutzern zur Verfügung.
• Zugriffskontrolle: strikte Trennung der Workspaces je Mandant, Rollen und Berechtigungen innerhalb des Workspace, die der Verantwortliche selbst festlegt; Zugangsdaten zu Fremdsystemen (z. B. SMTP, Lexware) werden verschlüsselt gespeichert.
• Weitergabekontrolle: Übertragungsverschlüsselung (TLS) für jeden Zugriff auf die Anwendung und die Schnittstellen; Datenexporte nur durch berechtigte Nutzer.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse wie Anmeldungen und aktiver Sitzungen, die Nutzer selbst einsehen und beenden können.
• Verfügbarkeitskontrolle: regelmäßige Datensicherungen, die an einem zweiten, räumlich getrennten Standort aufbewahrt werden, Wiederherstellbarkeit, zeitnahe Sicherheitsupdates, Schutz vor Überlastungsangriffen über Cloudflare.
• Trennungskontrolle: Daten verschiedener Kunden werden logisch getrennt verarbeitet; Test- und Entwicklungssysteme arbeiten nicht mit Kundendaten.

Der Auftragsverarbeiter darf die Maßnahmen anpassen, solange das Schutzniveau nicht abgesenkt wird.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, können beide Seiten den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

Mit Unterauftragsverarbeitern werden Verträge geschlossen, die denselben Datenschutzpflichten unterliegen wie dieser AVV. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten verantwortlich.

7. Ort der Verarbeitung

Die Anwendungs- und Kundendaten werden in Rechenzentren in Deutschland gespeichert. Soweit eine Übermittlung in Drittländer erfolgt (im Zusammenhang mit Cloudflare), geschieht dies nur bei Vorliegen eines Angemessenheitsbeschlusses oder geeigneter Garantien gemäß Art. 46 DSGVO.

8. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der in Art. 28 DSGVO festgelegten Pflichten zur Verfügung. Der Nachweis erfolgt vorrangig durch

• diesen AVV einschließlich der technischen und organisatorischen Maßnahmen,
• Zertifikate und Prüfberichte der Unterauftragsverarbeiter, insbesondere des Rechenzentrumsbetreibers,
• schriftliche Auskünfte des Auftragsverarbeiters zu konkreten Fragen des Verantwortlichen.

9. Löschung und Rückgabe

Der Verantwortliche kann Daten während der Vertragslaufzeit über die Anwendung exportieren oder löschen; weitere Daten stellt der Auftragsverarbeiter nach den AGB (Abschnitt „Datenexport und Anbieterwechsel“) bereit. Nach Vertragsende bleiben die im Workspace gespeicherten personenbezogenen Daten 90 Tage gespeichert, damit der Verantwortliche sie abrufen kann, und werden danach gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Kopien in Datensicherungen entfallen mit dem Ablauf des regulären Sicherungszyklus. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

10. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Regelungen der AGB, soweit diese den zwingenden Vorgaben der DSGVO nicht entgegenstehen.

11. Schlussbestimmungen

Änderungen dieses AVV bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Kontakt zum Datenschutz: [email protected]