AUFTRAGSVERARBEITUNGSVEREINBARUNG (AVV)
gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
zwischen
Elektrotechnik Schmitt Gondrom GmbH
Sonnenweg 8, 30916 Isernhagen, Deutschland
– nachfolgend „Auftragnehmer“ –
und
dem jeweiligen Kunden der Software „ValuNex“
– nachfolgend „Auftraggeber“ –
gemeinsam auch die „Parteien“.
§ 1 Gegenstand der Vereinbarung
(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Sinne des Art. 28 DSGVO im Zusammenhang mit der Nutzung der webbasierten Software „ValuNex“.
(2) Die Verarbeitung erfolgt ausschließlich zur Erbringung der im zugrunde liegenden Nutzungsvertrag (AGB und Lizenzbedingungen) geschuldeten Leistungen.
(3) Diese Vereinbarung ist akzessorisch zum Hauptvertrag und stellt kein eigenständiges Vertragsverhältnis dar.
§ 2 Dauer der Verarbeitung
(1) Die Verarbeitung beginnt mit Wirksamwerden des Hauptvertrags und dauert für dessen Laufzeit an.
(2) Sie endet mit der Beendigung des Hauptvertrags, sofern sich aus dieser Vereinbarung oder gesetzlichen Vorgaben keine weitergehenden Pflichten ergeben.
§ 3 Art und Zweck der Verarbeitung
(1) Art der Verarbeitung:
Erheben, Erfassen, Speichern, Strukturieren, Anpassen, Auslesen, Verwenden, Übermitteln, Löschen.
(2) Zweck der Verarbeitung ist die:
– Bereitstellung, der Betrieb und die Wartung der Software,
– Durchführung der vereinbarten SaaS-Leistungen,
– Sicherstellung von Stabilität, Sicherheit und Weiterentwicklung der Systeme.
(3) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.
§ 4 Art der personenbezogenen Daten und betroffene Personen
(1) Verarbeitete Datenarten können insbesondere sein:
– Stammdaten (Name, Kontaktdaten, Unternehmenszuordnung),
– Nutzungs- und Zugriffsdaten,
– Objekt-, Projekt- und Bewertungsdaten,
– Kommunikations- und Metadaten.
(2) Betroffene Personen sind insbesondere:
– Mitarbeiter des Auftraggebers,
– Kunden, Auftraggeber oder sonstige Kontaktpersonen des Auftraggebers.
§ 5 Weisungsrecht des Auftraggebers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.
(2) Weisungen erfolgen regelmäßig durch die Nutzung der Software sowie durch deren Konfiguration.
(3) Der Auftragnehmer ist berechtigt, Weisungen zurückzuweisen, wenn diese gegen datenschutzrechtliche Vorschriften verstoßen.
§ 6 Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet sich insbesondere,
- personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung zu verarbeiten,
- Vertraulichkeit zu wahren und nur befugtes Personal einzusetzen,
- geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen,
- den Auftraggeber bei der Wahrnehmung von Betroffenenrechten im angemessenen Umfang zu unterstützen,
- Datenschutzverletzungen unverzüglich mitzuteilen,
- keine unbefugte Weitergabe an Dritte vorzunehmen.
§ 7 Pflichten des Auftraggebers
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich.
(2) Er stellt sicher, dass:
– eine gültige Rechtsgrundlage für die Verarbeitung besteht,
– Informationspflichten gegenüber betroffenen Personen erfüllt sind,
– keine Rechte Dritter verletzt werden.
(3) Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO.
§ 8 Unterauftragsverarbeiter
(1) Der Auftragnehmer ist berechtigt, Unterauftragsverarbeiter, insbesondere Hosting- und IT-Dienstleister, einzusetzen.
(2) Der Auftragnehmer stellt sicher, dass Unterauftragsverarbeiter vertraglich entsprechend Art. 28 DSGVO verpflichtet werden.
(3) Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.
(4) Sofern ausnahmsweise eine Verarbeitung in Drittstaaten erfolgt, werden geeignete Garantien gemäß Art. 44 ff. DSGVO sichergestellt.
§ 9 Einsatz KI-gestützter Technologien
(1) Der Auftragnehmer ist berechtigt, im Rahmen der Leistungserbringung KI-gestützte Technologien einzusetzen.
(2) Die Verarbeitung erfolgt ausschließlich im Auftrag des Auftraggebers.
(3) Eine inhaltliche Verantwortung für durch KI erzeugte Ergebnisse übernimmt der Auftragnehmer nicht.
§ 10 Meldung von Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich über ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten.
§ 11 Kontroll- und Nachweispflichten
(1) Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung in angemessenem Umfang zu überprüfen.
(2) Der Auftragnehmer kann geeignete Nachweise (z. B. Eigenerklärungen, Prüfberichte) anstelle von Vor-Ort-Prüfungen vorlegen.
§ 12 Beendigung der Verarbeitung
(1) Nach Beendigung des Hauptvertrags werden personenbezogene Daten gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
(2) Datensicherungen werden im Rahmen der regulären Löschzyklen überschrieben.
§ 13 Haftung
Die Haftung der Parteien richtet sich ausschließlich nach den Haftungsregelungen des Hauptvertrags.
§ 14 Schlussbestimmungen
(1) Änderungen und Ergänzungen bedürfen der Textform.
(2) Es gilt deutsches Recht.
(3) Gerichtsstand ist Hannover, soweit gesetzlich zulässig.
(4) Die Anlage 1 (Technische und organisatorische Maßnahmen) ist Bestandteil dieser Vereinbarung.
ANLAGE 1
TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN (TOM)
gemäß Art. 32 DSGVO
- Zutrittskontrolle
Der Zutritt zu Server- und Betriebsräumen ist auf autorisierte Personen beschränkt und durch geeignete physische Sicherheitsmaßnahmen geschützt. - Zugangskontrolle
Der Zugang zu IT-Systemen erfolgt ausschließlich über personalisierte Benutzerkonten unter Verwendung sicherer Authentifizierungsverfahren. - Zugriffskontrolle
Der Zugriff auf personenbezogene Daten ist rollenbasiert geregelt und auf das erforderliche Maß beschränkt (Need-to-know-Prinzip). - Weitergabekontrolle
Personenbezogene Daten werden ausschließlich verschlüsselt übertragen (z. B. TLS/HTTPS). Eine unbefugte Übermittlung wird verhindert. - Eingabekontrolle
Zugriffe und relevante Systemereignisse werden protokolliert, um die Nachvollziehbarkeit von Verarbeitungsvorgängen sicherzustellen. - Verfügbarkeitskontrolle
Es bestehen Maßnahmen zur Sicherstellung der Verfügbarkeit, einschließlich regelmäßiger Datensicherungen und Wiederherstellungsverfahren. - Trennungsgebot
Daten verschiedener Auftraggeber werden logisch voneinander getrennt verarbeitet. - Auftragskontrolle
Unterauftragsverarbeiter werden ausschließlich auf Grundlage vertraglicher Vereinbarungen gemäß Art. 28 DSGVO eingesetzt.
