Auftragsverarbeitung

Allgemeine Vertragsbedingungen zur Auftragsverarbeitung nach Art. 28 DSGVO durch Klar Schack Design, Inh. Ben Leon Schack, Hagenbreite 21, 37124 Rosdorf (nachfolgend „Auftragnehmer“)

1. Allgemeine Bestimmungen und Vertragsgegenstand

1.1 Der Auftragnehmer stellt seinen Kunden (nachfolgend „Auftraggeber“) die in der nachfolgenden Tabelle beschriebenen Leistungen zur Verfügung. Hierbei verarbeitet der Auftragnehmer u. a. personenbezogene Daten von Dritten (Drittdaten) im Auftrag des Auftraggebers. Für die Verarbeitung dieser Drittdaten, gelten die vorliegenden Allgemeinen Vertragsbedingungen zur Auftragsverarbeitung (nachfolgend „AVB“).

1.2 Die primäre Speicherung der vertragsgegenständlichen personenbezogenen Daten und der Betrieb der Anwendung erfolgen in der Bundesrepublik Deutschland. Eine Verarbeitung in einem Drittstaat oder durch einen Unterauftragsverarbeiter mit Sitz in einem Drittstaat ist nur zulässig, sofern die Voraussetzungen der Art. 44 ff. DSGVO erfüllt und die Vorgaben der Ziffer 8 eingehalten sind. Die allgemeine Genehmigung nach Ziffern 8.1 und 8.2 erstreckt sich auch auf Unterauftragsverarbeiter mit Drittstaatenbezug; die Anforderungen der Art. 44 ff. DSGVO sowie die dort geregelten Informations- und Widerspruchsrechte bleiben unberührt.

2. Laufzeit und Kündigung

Die Laufzeit der Auftragsverarbeitung richtet sich nach der Laufzeit des Hauptvertrags. Soweit und solange nach Beendigung des Hauptvertrags personenbezogene Daten des Auftraggebers im Auftrag weiterverarbeitet werden, gilt diese Vereinbarung bis zu dem Zeitpunkt, zu dem die Verarbeitung dieser Daten durch den Auftragnehmer endet. Das Recht auf außerordentliche fristlose Kündigung aus wichtigem Grund bleibt hiervon unberührt.

3. Weisungen des Auftraggebers

3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung ggü. dem Auftragnehmer zu. Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren Rechtmäßigkeit der Auftragnehmer substantiiert anzweifelt, ist der Auftragnehmer berechtigt, deren Ausführung vorübergehend auszusetzen, bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert. Besteht die Möglichkeit, dass der Auftragnehmer durch das Befolgen der Weisung einem Haftungsrisiko ausgesetzt wird, kann die Durchführung der Weisung bis zur Klärung der Haftung im Innenverhältnis ausgesetzt werden.

3.2 Weisungen sind grundsätzlich schriftlich oder in einem elektronischen Format (z.B. per E-Mail) zu erteilen. Mündliche Weisungen sind in begründeten Einzelfällen zulässig und werden vom Auftraggeber unverzüglich schriftlich oder in einem elektronischen Format bestätigt. In der Bestätigung ist ausdrücklich zu begründen, warum keine Weisung in Textform erfolgen konnte. Der Auftragnehmer hat Person, Datum und Uhrzeit der mündlichen Weisung in angemessener Form zu protokollieren.

4. Kontrollbefugnisse des Auftraggebers

4.1 Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig, im erforderlichen Umfang, zu kontrollieren. Der Auftragnehmer hat diese Überprüfungen – einschließlich Inspektionen – die vom Auftraggeber oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, zu ermöglichen und zu diesen beizutragen.

4.2 Der Auftraggeber hat dafür zu sorgen, dass die Kontrollmaßnahmen verhältnismäßig sind und nicht zu einer übermäßigen Beeinträchtigung des Geschäftsbetriebs führen. In der Regel soll eine Prüfung nur nach vorheriger Anmeldung erfolgen, es sei denn, die vorherige Anmeldung würde den Kontrollzweck gefährden. Wenn der Auftraggeber einen Prüfer bestellt, darf dieser nicht im unmittelbaren Wettbewerbsverhältnis zum Auftragnehmer stehen.

4.3 Die Ergebnisse der Kontrollen sind vom Auftraggeber in geeigneter Weise zu protokollieren.

4.4 Der Auftragnehmer verpflichtet sich, dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Verpflichtungen zur Verfügung zu stellen.

5. Allgemeine Pflichten des Auftragnehmers

5.1 Die Verarbeitung der vertragsgegenständlichen Daten durch den Auftragnehmer erfolgt ausschließlich auf Grundlage der vertraglichen Vereinbarungen in Verbindung mit den ggf. erteilten Weisungen des Auftraggebers. Eine hiervon abweichende Verarbeitung ist nur aufgrund zwingender europäischer oder mitgliedsstaatlicher Rechtsvorschriften zulässig (z.B. im Falle von Ermittlungen durch Strafverfolgungs- oder Staatsschutzbehörden). Ist eine Verarbeitung aufgrund zwingenden Rechts erforderlich, teilt der Auftragnehmer dies dem Auftraggeber vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Der Auftragnehmer hat zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der Unterwerfung unter die Verschwiegenheitspflicht dürfen die betreffenden Personen keinen Zugang zu den vom Auftraggeber überlassenen personenbezogenen Daten erhalten.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und diese in Anlage 1 dieser AVB festgehalten. Die dort beschriebenen Maßnahmen wurden unter Beachtung der Vorgaben nach Art. 32 DSGVO ausgewählt. Der Auftragnehmer wird die technischen und organisatorischen Maßnahmen bei Bedarf und / oder anlassbezogen überprüfen und anpassen.

7. Unterstützungspflichten des Auftragnehmers

Der Auftragnehmer wird den Auftraggeber gem. Art. 28 Abs. 3 lit. e DSGVO bei dessen Pflichten zur Wahrung der Betroffenenrechte aus Kapitel III, Art. 12 – 22 DSGVO, unterstützen. Dies gilt insbesondere für die Erteilung von Auskünften und die Löschung, Berichtigung oder Einschränkung personenbezogener Daten. Der Auftragnehmer wird den Auftraggeber ferner gem. Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32 – 36 DSGVO (insb. Meldepflichten) unterstützen. Die Reichweite dieser Unterstützungspflichten bestimmt sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung und der Informationen, die dem Auftragnehmer zur Verfügung stehen.

8. Einsatz von Unterauftragsverarbeitern (Subunternehmer)

8.1 Der Auftragnehmer ist zum Einsatz von Unterauftragsverarbeitern (Subunternehmern) berechtigt. Alle zum Zeitpunkt des Vertragsschlusses bereits bestehenden Subunternehmerverhältnisse des Auftragnehmers sind diesen AVB abschließend in Anlage 2 beigefügt. Für die in Anlage 2 aufgezählten Subunternehmer gilt die Zustimmung mit Vereinbarung dieser AVB als erteilt.

8.2 Beabsichtigt der Auftragnehmer den Einsatz weiterer Subunternehmer, wird der Auftragnehmer dies dem Auftraggeber rechtzeitig - spätestens jedoch zwei Wochen - vor deren Einsatz in schriftlicher oder elektronischer Form anzeigen. Der Auftraggeber hat nach dieser Mitteilung zwei Wochen Zeit, der Hinzuziehung des / der Subunternehmer zu widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Hinzuziehung des / der Subunternehmer(s) als genehmigt. In dringenden Fällen (z.B. bei kurzfristig benötigten Fehleranalysen oder Mängelbeseitigungen), kann der Auftragnehmer die Anzeige- und Widerspruchsfrist für Subunternehmer angemessen verkürzen. Erfolgt ein fristgerechter Widerspruch, dürfen die betroffenen Subunternehmer nicht eingesetzt werden. Widersprüche sind nur zulässig, wenn der Auftraggeber begründete Anhaltspunkte dafür hat, dass durch den Einsatz des Unterauftragnehmers die Datensicherheit oder der Datenschutz eingeschränkt würde, die Einhaltung gesetzlicher oder vertraglicher Bestimmungen gefährdet wäre und / oder sonstige berechtigte Interessen des Auftraggebers entgegenstehen; die entsprechenden Verdachtsmomente sind dem Widerspruch beizufügen.

8.3 Subunternehmer werden vom Auftragnehmer unter Beachtung der gesetzlichen und vertraglichen Vorgaben ausgewählt. Sämtliche Verträge zwischen Auftragsverarbeiter (Auftragnehmer) und Unterauftragsverarbeiter (Subunternehmerverträge) müssen den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen; dies betrifft insbesondere die Implementierung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO im Betrieb des Subunternehmers. Nebenleistungen, welche der Auftragnehmer zur Ausübung von geschäftlichen Tätigkeiten in Anspruch nimmt, stellen keine Unterauftragsverhältnisse im Sinne des Art. 28 DSGVO dar. Nebentätigkeiten in diesem Sinne sind insbesondere Telekommunikationsleistungen ohne konkreten Bezug zur Hauptleistung, Post- und Transportdienstleistungen sowie sonstige Maßnahmen, welche die Vertraulichkeit und / oder Integrität der Hard- und Software sicherstellen sollen und keinen konkreten Bezug zur Hauptleistung aufweisen. Der Auftragnehmer wird jedoch auch bei diesen Drittleistungen die Einhaltung der gesetzlichen Datenschutzstandards (insbesondere durch entsprechende Vertraulichkeitsvereinbarungen) sicherstellen.

8.4 Sämtliche Verträge zwischen dem Auftragnehmer und dem Unterauftragsverarbeiter (Subunternehmerverträge) müssen den Anforderungen dieser AVB und den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen.

8.5 Die allgemeine Genehmigung nach Ziffern 8.1 und 8.2 gilt auch für die Beauftragung von Unterauftragsverarbeitern mit Sitz in einem Drittstaat sowie für Verarbeitungen in Drittstaaten. Sie ersetzt nicht die Einhaltung der Art. 44 ff. DSGVO. Der Auftragnehmer darf eine solche Verarbeitung nur veranlassen, wenn insbesondere ein Angemessenheitsbeschluss nach Art. 45 DSGVO besteht oder geeignete Garantien nach Art. 46 DSGVO einschließlich gegebenenfalls erforderlicher ergänzender Maßnahmen vorgesehen sind. Der Auftragnehmer informiert den Auftraggeber nach Maßgabe der Ziffer 8.2 insbesondere über den Drittstaat und die Grundlage der Übermittlung. Das dort geregelte Widerspruchsrecht bleibt unberührt.

9. Mitteilungspflichten des Auftragnehmers

9.1 Verstöße gegen diese AVB, gegen Weisungen des Auftraggebers oder gegen sonstige datenschutzrechtliche Bestimmungen sind dem Auftraggeber unverzüglich mitzuteilen; das gleiche gilt bei Vorliegen eines entsprechenden begründeten Verdachts. Diese Pflicht gilt unabhängig davon, ob der Verstoß vom Auftragnehmer selbst, einer beim Auftragnehmer angestellten Person, einem Unterauftragsverarbeiter oder einer sonstigen Person, die der Auftragnehmer zur Erfüllung vertraglicher Pflichten eingesetzt hat, begangen wurde.

9.2 Ersucht ein Betroffener, eine Behörde oder ein sonstiger Dritter den Auftragnehmer um Auskunft, Berichtigung oder Löschung von Daten, die der Auftragnehmer als Auftragsverarbeiter verarbeitet, wird der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiterleiten und das weitere Vorgehen mit ihm abstimmen.

9.3 Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn Aufsichtshandlungen oder sonstige Maßnahmen einer Behörde bevorstehen, von denen auch die Verarbeitung, Nutzung oder Erhebung der durch den Auftraggeber zur Verfügung gestellten personenbezogenen Daten betroffen sein könnten. Darüber hinaus hat der Auftragnehmer den Auftraggeber unverzüglich über alle Ereignisse oder Maßnahmen Dritter zu informieren, durch welche die vertragsgegenständlichen Daten gefährdet oder beeinträchtigt werden könnten.

10. Vertragsbeendigung, Löschung und Rückgabe der Daten

Nach Abschluss der vertragsgegenständlichen Datenverarbeitung bzw. nach Beendigung des Hauptvertrags hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine rechtliche Verpflichtung zur Speicherung der betreffenden Daten mehr besteht (z.B. gesetzliche Aufbewahrungsfristen).

11. Datengeheimnis und Vertraulichkeit

Der Auftragnehmer ist unbefristet und über das Ende des Hauptvertrags hinaus verpflichtet, die im Rahmen der vorliegenden Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln. Der Auftragnehmer verpflichtet sich, Mitarbeiter mit den einschlägigen Datenschutzbestimmungen und Geheimnisschutzregeln vertraut zu machen und sie zur Verschwiegenheit zu verpflichten, bevor diese ihre Tätigkeit beim Auftragnehmer aufnehmen.

12. Schlussbestimmungen

12.1 Sind die Vertragsparteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist der Sitz des Auftragnehmers Gerichtsstand für alle Streitigkeiten aus diesen AVB, sofern insoweit hierfür ein ausschließlicher Gerichtsstand nicht begründet wird.

12.2 Soweit personenbezogene Daten im Auftrag betroffen sind, gehen die Regelungen dieser AVB gegenüber den Regelungen der Hauptvereinbarung vor.

12.3 Sollte sich die DSGVO oder sonstige in Bezug genommenen gesetzlichen Regelungen während der Vertragslaufzeit ändern, gelten die hiesigen Verweise auch für die jeweiligen Nachfolgeregelungen.

12.4 Der Auftragnehmer ist berechtigt, die vorliegenden AVB aus sachlich gerechtfertigten Gründen (z.B. Änderungen in der Rechtsprechung, Gesetzeslage, Marktgegebenheiten oder der Geschäfts- oder Unternehmensstrategie) und unter Einhaltung einer angemessenen Frist zu ändern. Bestandskunden werden hierüber spätestens zwei Wochen vor Inkrafttreten der Änderung per E-Mail benachrichtigt. Sofern der Bestandskunde nicht innerhalb der in der Änderungsmitteilung gesetzten Frist widerspricht, gilt seine Zustimmung zur Änderung als erteilt. Im Falle des Widerspruchs ist der Auftragnehmer berechtigt, den Vertrag zum Zeitpunkt des Inkrafttretens der Änderung außerordentlich zu kündigen. Die Benachrichtigung über die beabsichtigte Änderung dieser AVB wird auf die Frist und die Folgen des Widerspruchs oder seines Ausbleibens hinweisen.

Anlage 1 – Liste der bestehenden technischen und organisatorischen Maßnahmen des Auftragsverarbeiters nach Art. 32 DSGVO

Der Auftragnehmer setzt die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der vertragsgegenständlichen personenbezogenen Daten um. Die Maßnahmen wurden im Einklang mit Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung festgelegt.

1. Sicherung der Arbeitsstätte des Auftragsverarbeiters (Zutrittskontrolle)

• Keine eigene Server-Hardware; Betrieb in Rechenzentren der Unterauftragsverarbeiter nach Anlage 2 mit deren physischen Zutrittskontrollen
• Arbeitsplatz in abgeschlossenen Räumen

2. Sicherung der IT-Systeme des Auftragsverarbeiters (Zugangskontrolle)

• Passwortvergabe
• Passwort-Richtlinien
• Erstellen von Benutzerprofilen in den IT-Systemen
• Login in die IT-Systeme mit individuellem Benutzernamen und Passwort
• Zugriffsregeln für Benutzer / Benutzergruppen in den IT-Systemen (Berechtigungskonzept)
• Verwaltung der Berechtigungen durch Systemadministratoren
• Anzahl der Systemadministratoren ist auf das „Notwendigste“ reduziert
• regelmäßige und anlassbezogene Aktualisierung und Überprüfung der Zugriffsrechte, zusätzlich maschinell vor jeder Veröffentlichung
• Einsatz von Anti-Viren-Software
• Einsatz einer Software-Firewall

3. Protokollierung von Datenverarbeitungsprozessen (Eingabekontrolle)

• Protokollierung von Zugriffen auf die IT-Systeme des Auftragsverarbeiters (Log-Protokolle)
• Protokollierung von Eingaben, Änderungen und Löschungen (Log-Protokolle)
• Protokollierung der Aktionen einzelner Nutzer
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
• Protokollierung von Support-Zugriffen des Auftragnehmers auf Konten des Auftraggebers

4. Sichere Löschung von Daten

• Löschung in Datenbank und Dateispeicher; Datenbanksicherungen laufen nach ihrer Vorhaltezeit von sieben Tagen aus

5. Datenschutz bei den Subunternehmern des Auftragnehmers

• Auswahl der Subunternehmer unter Sorgfaltsgesichtspunkten (insb. hinsichtlich Datensicherheit)
• Abschluss von DSGVO-konformen Auftragsverarbeitungsverträgen mit dem Subunternehmer
• laufende und anlassbezogene Prüfung des Subunternehmers

6. Sicherung von Daten bei Transport und Übermittlung (Weitergabekontrolle)

• Transportverschlüsselung (TLS) aller Verbindungen zwischen Endgerät, Anwendung und Datenbank
• Transportverschlüsselung (TLS) beim E-Mail-Versand

7. Datensicherung und Backups (Verfügbarkeit und Wiederherstellbarkeit)

• Tägliche Sicherung der Datenbank mit sieben Tagen Vorhaltezeit; hochgeladene Dateien sind darin nicht enthalten
• Aufbewahrung der Datenbanksicherungen beim Datenbankanbieter, getrennt vom Anwendungsserver
• Aktualisierungen ohne Ausfallzeit und Rückkehrpunkte über Versionsstände der Anwendung
• Überwachung der Erreichbarkeit von außen mit Alarmierung
• Physische Sicherung der Rechenzentren (Stromversorgung, Klimatisierung, Brandschutz) durch die Unterauftragsverarbeiter nach Anlage 2

8. Sonstige Datenschutzmaßnahmen

• Logische Mandantentrennung in der Datenbank: Row-Level-Security auf jeder Tabelle, gebunden an die Kennung der Werkstatt
• Maschineller Abgleich der Datenbankrechte mit einem hinterlegten Soll-Stand vor jeder Veröffentlichung; Abgleich der Testumgebung mit der Produktivumgebung
• Geheime Abruf-Adressen für Geräte ohne Anmeldung (Kalender, Tischtelefone): 48-stellige Zufallszeichenfolge, nur für die eigene Werkstatt gültig, einzeln abschaltbar und erneuerbar
• Festschreibung ausgestellter Rechnungen und Kassenbelege gegen nachträgliche Änderung
• Trennung von Produktiv- und Testsystem
• Verschlüsselung besonders schutzbedürftiger Zugangsdaten (z. B. Schlüssel der TSE)
• Wiederanlaufkonzept
• interne Verhaltensregeln

9. Überprüfung, Evaluierung und Anpassung der vorliegenden Maßnahmen

Der Auftragsverarbeiter wird die in dieser Anlage beschriebenen technischen und organisatorischen Maßnahmen im Abstand von 12 Monaten und anlassbezogen, prüfen, evaluieren und bei Bedarf anpassen.

Anlage 2 – Liste der bestehenden Subunternehmer zum Zeitpunkt des Vertragsschlusses

Stand: Oktober 2026