Vertrag zur Auftragsverarbeitung
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt Renquor Controlling als betriebliche Software- und Hostinglösung bereit und verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen. Gegenstand, Umfang und Laufzeit ergeben sich aus dem Hauptvertrag. Der AVV gilt für dessen Dauer und darüber hinaus, solange personenbezogene Daten des Verantwortlichen verarbeitet oder in Sicherungen vorgehalten werden.
2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst je nach Nutzung insbesondere Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abgleichen, Verknüpfen, Bereitstellen, Übermitteln auf Weisung, Einschränken, Exportieren und Löschen. Zwecke sind die technische Bereitstellung der gebuchten Module, Synchronisation, Dokumenten- und Belegverarbeitung, Personal- und Zeitverwaltung, Kommunikation, Support, Datensicherung, Wiederherstellung, Zugriffssteuerung und Sicherheitsprotokollierung.
3. Datenarten und betroffene Personen
| Kategorien personenbezogener Daten | Kategorien betroffener Personen |
|---|---|
| Stamm-, Kontakt-, Adress-, Kommunikations- und Vertragsdaten | Beschäftigte, Bewerber, Kunden, Interessenten, Lieferanten, Ansprechpartner |
| Benutzer-, Rollen-, Berechtigungs-, Anmelde- und Sicherheitsdaten | Administratoren, Benutzer und sonstige Zugriffsberechtigte |
| Dokument-, Rechnungs-, Zahlungs-, Buchungs- und Controllingdaten | Kunden, Lieferanten, Beschäftigte und weitere Dokumentbeteiligte |
| Arbeitszeit-, Abwesenheits-, Urlaubs- und gegebenenfalls Standortdaten zum Buchungszeitpunkt | Beschäftigte und freie Mitarbeiter |
| E-Mail-Inhalte, Metadaten und Anhänge bei eingerichteten E-Mail-Funktionen | Kommunikationspartner und Benutzer |
| Protokoll-, Geräte-, Browser-, IP- und Supportdaten | Benutzer, Administratoren und Supportkontaktpersonen |
Besondere Kategorien personenbezogener Daten sind nicht als regulärer Verarbeitungszweck vorgesehen. Werden sie vom Verantwortlichen dennoch gespeichert, muss dieser die Zulässigkeit und notwendigen zusätzlichen Schutzmaßnahmen sicherstellen.
4. Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich Übermittlungen in Drittländer, sofern keine gesetzliche Verpflichtung besteht. Der Hauptvertrag, Konfigurationen, Benutzerhandlungen und dokumentierte Supportanweisungen gelten als Weisungen.
Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
5. Pflichten des Verantwortlichen
Der Verantwortliche bestimmt Zwecke und Mittel der Verarbeitung, sorgt für Rechtsgrundlagen, Informationspflichten, Beteiligungsrechte, Lösch- und Berechtigungskonzepte und die Zulässigkeit von Beschäftigten-, Standort- und Kommunikationsdaten. Er erteilt nur rechtmäßige Weisungen und meldet Fehler oder unberechtigte Zugriffe unverzüglich.
6. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff erhalten nur Personen, die ihn für Betrieb, Sicherheit oder vereinbarten Support benötigen.
7. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter setzt die unter Technische und organisatorische Maßnahmen beschriebenen Kontrollen ein. Die Maßnahmen dürfen technisch weiterentwickelt werden, sofern das vereinbarte Sicherheitsniveau nicht abgesenkt wird.
8. Unterauftragnehmer
Der Verantwortliche erteilt eine allgemeine Genehmigung für die folgenden Unterauftragnehmer:
| Unterauftragnehmer | Leistung | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Straße 57, 56410 Montabaur | Server-, Rechenzentrums-, Netzwerk- und gegebenenfalls E-Mail-Infrastruktur | Deutschland/EWR gemäß gebuchter Infrastruktur |
Neue oder ersetzte Unterauftragnehmer werden mit angemessener Vorlaufzeit in Textform oder über eine dauerhaft abrufbare Unterauftragnehmerliste angekündigt. Der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Dienst nach den vertraglichen Regeln gekündigt werden.
Unterauftragnehmer werden vertraglich mindestens zu gleichwertigen Datenschutzpflichten verpflichtet. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für deren Pflichterfüllung verantwortlich.
9. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen angemessen bei:
- Anfragen und Rechten betroffener Personen,
- Sicherheit der Verarbeitung nach Art. 32 DSGVO,
- Meldung und Benachrichtigung von Datenschutzverletzungen,
- Datenschutz-Folgenabschätzungen und vorherigen Konsultationen,
- Nachweisen gegenüber Aufsichtsbehörden.
Anfragen betroffener Personen werden nicht eigenmächtig beantwortet, soweit der Verantwortliche zuständig ist, sondern unverzüglich weitergeleitet.
10. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde. Die Meldung enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten und Personen, mögliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie einen Ansprechpartner. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt auf Anfrage geeignete Nachweise zur Einhaltung dieses AVV bereit. Der Verantwortliche kann nach angemessener Vorankündigung und unter Wahrung von Betriebs-, Sicherheits- und Vertraulichkeitsinteressen Prüfungen durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Vorrangig werden Dokumentationen, Zertifikate und Remote-Prüfungen genutzt. Zusätzlicher Aufwand kann nach vorheriger Vereinbarung berechnet werden, sofern die Prüfung nicht durch einen nachgewiesenen Pflichtverstoß veranlasst ist.
12. Datenübermittlungen
Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf dokumentierte Weisung oder mit einer zulässigen Übermittlungsgrundlage und geeigneten Garantien. Vom Verantwortlichen selbst konfigurierte externe Dienste gelten als seine Weisung; er prüft deren Zulässigkeit.
13. Rückgabe und Löschung
Nach Ende der Leistungen werden personenbezogene Daten nach Wahl des Verantwortlichen in einem verfügbaren Standardformat bereitgestellt oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im dokumentierten Zyklus überschrieben und bis dahin vor regulärem Zugriff geschützt. Gesetzlich weiter zu speichernde Daten werden gesperrt und nur für den vorgeschriebenen Zweck verarbeitet.
14. Haftung und Rangfolge
Für Haftung gelten Art. 82 DSGVO und die Haftungsregelungen des Hauptvertrags. Bei Widersprüchen gehen zwingende Datenschutzvorschriften und dieser AVV hinsichtlich der Auftragsverarbeitung vor.
15. Dokumentierte Annahme
Für einen belastbaren Nachweis sollen der Verantwortliche, die Dokumentversion, Zeitpunkt, Benutzerkonto und technischer Kontext der Annahme protokolliert werden. Bis die elektronische Annahmefunktion vollständig aktiviert ist, erfolgt die Einbeziehung durch Angebot, Vertrag oder separate Bestätigung in Textform.