Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Zwischen

— Firma des Kunden —
— Anschrift des Kunden —

— nachfolgend Auftraggeber —
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO

und

SafetyTron, Inhaber Benedict Schwing
Hammer Landstraße 48, 20537 Hamburg

— nachfolgend Auftragnehmer —
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO

wird die nachfolgende Vereinbarung über die Auftragsverarbeitung im Sinne des Art. 28 Abs. 3 DSGVO geschlossen.

Hauptvertrag im Sinne dieser Vereinbarung — nachfolgend Vertrag — ist der zwischen den Parteien geschlossene Nutzungsvertrag über die SaaS-Plattform safetytron.com. Er ist durch die Registrierung des Auftraggebers auf safetytron.com unter Einbeziehung der Allgemeinen Geschäftsbedingungen des Auftragnehmers (nachfolgend AGB) zustande gekommen. Die Leistungsbeschreibung ergibt sich aus § 2 der AGB.

Präambel

Diese Vereinbarung ist eine Anlage zum Vertrag. Sie ergänzt und konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Vertrag in ihren Einzelheiten beschriebenen Auftragsverarbeitung gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG — DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ergeben.

Sie findet Anwendung auf alle Tätigkeiten, die zur Erfüllung des Vertrags im Auftrag des Auftraggebers dienen und bei denen personenbezogene Daten (Daten) des Auftraggebers durch Beschäftigte des Auftragnehmers oder durch vom Auftragnehmer Beauftragte und deren Beschäftigte verarbeitet werden.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

• (1) Aus Anlage 1.1 zu dieser Vereinbarung sowie aus dem Vertrag einschließlich der Leistungsbeschreibung ergeben sich der Gegenstand des Auftrags, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und der verarbeiteten Daten.

• (2) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Vertrags, sofern sich aus dieser Vereinbarung keine abweichenden Verpflichtungen ergeben.

§ 2 Anwendungsbereich und Verantwortlichkeit

• (1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag und nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaates, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor Beginn der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Dies umfasst Tätigkeiten, die im Vertrag und gegebenenfalls in einer gesonderten Leistungsbeschreibung konkretisiert sind.

Der Auftraggeber und der Auftragnehmer sind jeweils selbst für die Einhaltung des geltenden Datenschutzrechts verantwortlich.

Der Auftraggeber bleibt für die Beurteilung der Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Beurteilung der Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO).

• (2) Die Weisungen werden durch Vertrag festgelegt und können vom Auftraggeber danach schriftlich oder in Textform (z. B. E-Mail) an den vom Auftragnehmer bezeichneten Kontakt durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform vom Auftraggeber zu bestätigen.

§ 3 Pflichten des Auftragnehmers

• (1) Der Auftragnehmer darf personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrags und der Weisungen des Auftraggebers verarbeiten, außer es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 Buchst. a DSGVO vor und dessen Voraussetzungen werden gewahrt.

• (2) Der Auftragnehmer wird den Auftraggeber informieren, wenn nach seiner Auffassung eine Weisung des Auftraggebers gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde. Der Auftragnehmer ist indessen nicht verpflichtet, eine umfassende rechtliche Prüfung durchzuführen. Der Auftraggeber trägt alle Mehrkosten, die dem Auftragnehmer durch eine zusätzliche oder abweichende Weisung entstehen, es sei denn, die Weisung ist erforderlich, um die geltenden gesetzlichen Anforderungen zu erfüllen.

• (3) Der Auftragnehmer wird technische und organisatorische Maßnahmen (TOM) zum angemessenen Schutz der personenbezogenen Daten des Auftraggebers treffen, die den Anforderungen des Art. 32 DSGVO genügen. Der Auftragnehmer hat insbesondere TOM zu treffen, gemessen am Risiko für die Rechte und Freiheiten der betroffenen Personen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer gewährleisten.

Die Vertragsparteien haben die in Anlage 2 zum Vertrag — „Dokumentation des Schutz-Niveaus der SaaS-Plattform safetytron.com" beschriebenen TOM vereinbart. Sie sind sich darüber einig, dass die Umsetzung der beschriebenen TOM ein angemessenes Schutzniveau in Übereinstimmung mit der DSGVO gewährleistet und ausreichende Garantien zum Schutz der Rechte der betroffenen Personen bietet.

Die Beurteilung des angemessenen Schutzniveaus trägt dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie der für die betroffenen Personen unterschiedlichen Eintrittswahrscheinlichkeit und Schwere von Risiken gebührend Rechnung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Diese sowie Änderungen und Ergänzungen sind vom Auftragnehmer entsprechend zu dokumentieren und dem Auftraggeber auf Anfrage zur Kenntnis zu geben. Dabei darf das Sicherheitsniveau der in Anlage 2 zum Vertrag genannten Maßnahmen nicht unterschritten werden.

• (4) Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten TOM bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gemäß Kapitel III der DSGVO; siehe hierzu die ergänzenden Regelungen in § 5.

• (5) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.

Der Auftragnehmer stellt sicher, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Beschäftigten und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner stellt der Auftragnehmer sicher, dass sich die mit der Verarbeitung der personenbezogenen Daten zuständigen Personen zur Vertraulichkeit verpflichtet haben und diese Vertraulichkeitsverpflichtung auch nach Beendigung des Auftrags fortbesteht.

• (6) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden, und zwar in der Art und Weise, dass der Auftraggeber seinen gesetzlichen Pflichten, insbesondere nach Art. 33 und 34 DSGVO, sowohl hinsichtlich des Umfangs als auch hinsichtlich der Frist nachkommen kann.

Eine Meldung von Datenschutzverletzungen muss mindestens enthalten:

- eine Beschreibung des Vorfalls, soweit möglich mit Angabe der Art der Verletzung des Schutzes personenbezogener Daten, Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der vermutlichen Zahl der betroffenen personenbezogenen Datensätze,

- Kontaktdaten einer Anlaufstelle für weitere Informationen über die Verletzung des Schutzes personenbezogener Daten,

- eine Beschreibung der voraussichtlichen Folgen des gemeldeten Vorfalls sowie eine Beschreibung der ergriffenen oder zur Behebung vorgeschlagenen Maßnahmen und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen aus Sicht des Auftragnehmers.

Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, können diese ohne unangemessene weitere Verzögerung schrittweise zur Verfügung gestellt werden. Für die Meldung verwenden die Parteien die Vorlagen der Anlage 1.3 zu dieser Vereinbarung.

• (7) Der Auftragnehmer nennt dem Auftraggeber einen verantwortlichen Kontakt für im Rahmen der Vereinbarung anfallende Datenschutzfragen. Kontakt beim Auftragnehmer ist Benedict Schwing, info@safetytron.com.

• (8) Nach Beendigung des Auftrags gibt der Auftragnehmer sämtliche Daten, Datenträger und Dokumente, soweit sie vom Auftraggeber stammen oder diesem zur Verfügung zu stellen sind, auf Verlangen des Auftraggebers heraus oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Bestehen gesetzliche oder vertragliche Aufbewahrungsfristen, erfolgt eine Sperrung der Daten bis zum Ablauf der Aufbewahrungsfrist; anschließend werden die Daten gelöscht. Der Auftragnehmer bestätigt dem Auftraggeber die Löschung auf Anfrage. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese der Auftraggeber.

§ 4 Pflichten des Auftraggebers

• (1) Der Auftraggeber nennt dem Auftragnehmer einen Kontakt für im Rahmen der Vereinbarung anfallende Datenschutzfragen. Der Auftraggeber trägt Sorge für die Aktualität dieser Informationen.

• (2) Der Auftraggeber stellt keine personenbezogenen Daten besonderer Kategorien im Sinne des Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO in die Anwendung ein, ohne dies zuvor gesondert mit dem Auftragnehmer zu vereinbaren. Die Anwendung sieht für solche Daten keine eigenen Datenfelder vor.

§ 5 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte an den Auftragnehmer, wird der Auftragnehmer die betroffene Person unverzüglich an den Auftraggeber verweisen und leitet den Antrag an den Auftraggeber weiter.

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten TOM bei seiner Pflicht zur Beantwortung dieser Anträge der betroffenen Personen auf Weisung.

Der Auftragnehmer behält sich vor, hierfür eine Vergütung zu verlangen, sofern diese Leistungen nicht bereits aufgrund des Vertrages abgegolten sind; § 3 Abs. 8 letzter Satz gilt entsprechend.

Auskünfte an Dritte darf der Auftragnehmer nicht erteilen, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe der Auskunft verpflichtet; in dem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtliche Anforderung vor der Auskunftserteilung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 6 Nachweismöglichkeiten

• (1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten mit geeigneten Mitteln nach. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung alle erforderlichen Informationen zur Verfügung zu stellen. Insbesondere ist die Umsetzung der TOM gemäß Art. 32 DSGVO nachzuweisen.

• (2) Kontrollrechte des Auftraggebers

a) Auf Verlangen des Auftraggebers gestattet der Auftragnehmer die Prüfung der unter diese Vereinbarung fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Der Auftraggeber kann die Überprüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen.

b) Prüfungen oder Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragnehmers sind ausgeschlossen und werden nur unter Vorlage eines entsprechenden Beschlusses einer hierzu autorisierten Stelle gewährt.

§ 7 Weitere Auftragsverarbeiter (Unterauftragsverarbeiter)

• (1) Die in Anlage 1.2 zu dieser Vereinbarung aufgeführten Unterauftragsverarbeiter gelten als genehmigt.

Ein zustimmungspflichtiges Unterauftragsverhältnis liegt vor, wenn der Auftragnehmer einen Unterauftragsverarbeiter mit im Vertrag vereinbarten Verarbeitungen personenbezogener Daten beauftragt. Der Auftragnehmer wird mit diesen Unterauftragsverarbeitern im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten.

• (2) Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Auftragnehmer informiert den Auftraggeber vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters schriftlich oder per E-Mail. Der Auftraggeber kann der Hinzuziehung oder Ersetzung innerhalb einer angemessenen Frist von mindestens 14 Kalendertagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Zustimmung als erteilt.

Für Notfallsituationen, zum Beispiel bei dringendem Sicherheitsrisiko oder unvorhergesehenem Ausfall eines Unterauftragsverarbeiters, darf der Auftragnehmer einen Unterauftragsverarbeiter auch ohne Einhaltung der oben genannten Frist hinzuziehen oder ersetzen. In einem solchen Fall informiert der Auftragnehmer den Auftraggeber unverzüglich über die Änderung.

• (3) Der Auftragnehmer stellt dem Auftraggeber eine aktuelle Liste aller eingesetzten Unterauftragsverarbeiter zur Verfügung. Diese Liste ist als Anlage 1.2 Bestandteil dieser Vereinbarung und wird zusätzlich unter safetytron.com/de/avv.php dauerhaft zugänglich bereitgehalten.

• (4) Erteilt der Auftragnehmer Aufträge an Unterauftragsverarbeiter, so obliegt es dem Auftragnehmer, dem Unterauftragsverarbeiter entsprechend Art. 28 Abs. 4 DSGVO dieselben datenschutzrechtlichen Pflichten aus dieser Vereinbarung zu übertragen.

Der Auftragnehmer stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragnehmer entsprechend dieser Vereinbarung und den Bestimmungen der DSGVO unterliegt. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer in vollem Umfang gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 8 Übermittlung in Drittstaaten

• (1) Eine Übermittlung findet nur auf dokumentierte Weisung des Verantwortlichen in Drittstaaten außerhalb der EU und des EWR statt, sofern die Voraussetzungen nach Art. 44 ff. DSGVO eingehalten werden.

• (2) Stützt sich eine solche Übermittlung auf Standardvertragsklauseln der EU-Kommission oder auf ein anderes Instrument nach Art. 46 DSGVO, verpflichtet sich der Auftragnehmer, vor der Übermittlung eine Bewertung der Rechtslage im Empfängerstaat (Transfer Impact Assessment, TIA) nach Vorgaben der EU-Kommission und der Aufsichtsbehörden durchzuführen und zu dokumentieren. Hierbei sind zusätzliche technische, organisatorische und vertragliche Maßnahmen zu ergreifen, wenn dies zur Herstellung eines angemessenen Datenschutzniveaus geboten ist. Das TIA sowie getroffene Zusatzmaßnahmen werden dem Auftraggeber auf Anfrage zur Verfügung gestellt.

• (3) Ist hierzu nichts im Vertrag vereinbart, ist die Verarbeitung in einem Drittstaat sowohl für den Auftragnehmer als auch für seine Unterauftragsverarbeiter nur mit vorheriger Zustimmung des Auftraggebers zulässig. Der Auftragnehmer teilt dem Auftraggeber vorab mit, um welche Drittstaaten es sich handelt und auf welche Weise das angemessene Schutzniveau im Sinne von Art. 44 ff. DSGVO für die Verarbeitung dort sichergestellt ist. Im Fall der Hinzuziehung eines Unterauftragsverarbeiters in einem Drittstaat gilt die Genehmigung nach § 7 auch als Genehmigung nach diesem § 8.

• (4) Zum Stand dieser Fassung findet keine Verarbeitung in einem Drittstaat statt. Die Verarbeitung erfolgt ausschließlich auf Servern innerhalb der Bundesrepublik Deutschland.

§ 9 Haftung

Eine zwischen den Parteien im Vertrag vereinbarte Haftungsregelung gilt auch für diese Vereinbarung.

§ 10 Informationspflichten, Schriftformklausel, Rechtswahl

• (1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit an den Daten ausschließlich beim Auftraggeber als Verantwortlichem im Sinne der DSGVO liegt.

• (2) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile — einschließlich etwaiger Zusicherungen des Auftragnehmers — bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung beziehungsweise Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

• (3) Bei etwaigen Widersprüchen gehen Regelungen dieser Vereinbarung den Regelungen des Vertrages vor. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Die Vertragsparteien vereinbaren und gestatten der jeweils anderen Vertragspartei, Informationen aus dieser Vereinbarung zum Zweck der Abwehr von Ansprüchen Dritter und zum Zweck des Nachweises, dass die jeweilige Vertragspartei in keinerlei Hinsicht für den Umstand, durch den ein Schaden eingetreten ist, verantwortlich ist, zu nutzen.

• (4) Es gilt deutsches Recht.

Anlagen zu dieser Vereinbarung

Die Anlage 2 zum Vertrag — „Dokumentation des Schutz-Niveaus der SaaS-Plattform safetytron.com" ist ein eigenständiges Dokument und wird nach § 3 Abs. 3 dieser Vereinbarung und nach § 17 Abs. 3 der AGB vereinbart.

Zustandekommen dieser Vereinbarung

Nach Art. 28 Abs. 9 DSGVO ist diese Vereinbarung schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Eine eigenhändige Unterschrift oder eine qualifizierte elektronische Signatur ist nicht erforderlich.

Die Vereinbarung kommt zustande, indem der Auftraggeber sie im Rahmen der Registrierung beziehungsweise in der Anwendung ausdrücklich bestätigt. Der Auftragnehmer zeichnet Fassung, Wortlaut, Zeitpunkt und IP-Adresse der Bestätigung auf und stellt dem Auftraggeber diesen Nachweis auf Anfrage zur Verfügung. Der Auftraggeber erhält die Vereinbarung nebst Anlagen zusätzlich in Textform.