Auftragsverarbeitungsvertrag

(1) Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien für Verarbeitungen, die SecBüro GmbH als Auftragsverarbeiter im Auftrag des Verantwortlichen ausführt.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und betroffener Personen ergeben sich aus Anlage 1. Die Anlagen sind Bestandteil dieses Vertrags.

(3) Der Vertrag beginnt mit dem Nutzungsvertrag beziehungsweise mit der ersten Verarbeitung personenbezogener Daten und gilt für deren Dauer. Soweit SecBüro GmbH Daten für eigene, gesetzlich festgelegte Zwecke verarbeitet – insbesondere Vertrags-, Abrechnungs-, Steuer-, Betrugspräventions- oder Nachweisdaten – handelt SecBüro GmbH insoweit nicht als Auftragsverarbeiter. Diese Verarbeitungen richten sich nach der Datenschutzerklärung.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Nutzungsvertrag, dieser Vertrag sowie die vom Verantwortlichen vorgenommenen Einstellungen und zulässigen Bedienhandlungen in SecPlaner bilden die anfänglichen Weisungen.

(2) Ergänzende Weisungen können in Textform über die vereinbarten Kontaktwege erteilt werden. Weisungsberechtigt sind die vom Verantwortlichen benannten Personen und Benutzer mit einer hierfür ausreichenden Administratorberechtigung. Der Verantwortliche hält diesen Personenkreis aktuell.

(3) Ist der Auftragsverarbeiter durch Unionsrecht oder deutsches Recht zu einer nicht angewiesenen Verarbeitung verpflichtet, informiert er den Verantwortlichen vorab, sofern das betreffende Recht die Mitteilung nicht verbietet.

(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen. Erkennbar rechtswidrige Weisungen müssen nicht ausgeführt werden.

(5) Weisungen außerhalb des vereinbarten Leistungsumfangs können nach vorheriger Mitteilung des voraussichtlichen Aufwands gesondert vergütet werden. Notwendige Unterstützung nach Art. 28 DSGVO bleibt hiervon unberührt.

(1) Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er stellt insbesondere sicher, dass:

• für die Verarbeitung und die Nutzung der gewählten SecPlaner-Funktionen eine geeignete Rechtsgrundlage besteht
• betroffene Personen ordnungsgemäß informiert und erforderliche Beteiligungs- oder Mitbestimmungsrechte beachtet werden
• besondere Kategorien personenbezogener Daten nur auf einer tragfähigen Grundlage nach Art. 9 DSGVO verarbeitet werden
• Standort-, Wachbuch-, Sicherheits- und Beschäftigtendaten nur im erforderlichen Umfang erhoben werden
• Benutzer, Berechtigungen, Aufbewahrungsentscheidungen und eingegebene Daten sachlich richtig und aktuell sind

(2) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über erkannte Fehler, Unregelmäßigkeiten oder unzulässige Verarbeitungen und benennt einen erreichbaren Ansprechpartner für Datenschutz- und Sicherheitsfragen.

(1) Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, soweit keine gesetzliche Verarbeitungspflicht besteht
• nur Personen einzusetzen, die auf Vertraulichkeit verpflichtet und angemessen unterwiesen wurden
• die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen aufrechtzuerhalten
• die Voraussetzungen für den Einsatz weiterer Auftragsverarbeiter einzuhalten
• den Verantwortlichen bei Betroffenenrechten und den Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen
• die für den Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereitzustellen
• ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten zu führen, soweit Art. 30 Abs. 2 DSGVO dies verlangt

(2) Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte Personen Daten nur innerhalb ihrer Aufgaben und Weisungen verarbeiten. Produktivzugriffe werden auf das erforderliche Maß beschränkt.

(3) Er informiert den Verantwortlichen, soweit rechtlich zulässig, unverzüglich über datenschutzrechtlich relevante Anfragen oder Maßnahmen einer Aufsichtsbehörde, die die Verarbeitung für den Verantwortlichen betreffen.

(1) Personen, die Zugang zu im Auftrag verarbeiteten personenbezogenen Daten haben, werden vor dem Zugang auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Die Verpflichtung wirkt nach Ende ihrer Tätigkeit fort.

(2) Der Auftragsverarbeiter unterweist diese Personen entsprechend ihrer Aufgaben in den einschlägigen Datenschutz- und Sicherheitsanforderungen. Besondere, dem Verantwortlichen obliegende Geheimhaltungspflichten sind dem Auftragsverarbeiter vor der betreffenden Verarbeitung mitzuteilen.

(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung angemessene Maßnahmen nach Art. 32 DSGVO. Der bei Vertragsschluss vereinbarte Stand ist in Anlage 3 beschrieben.

(2) Schutzmaßnahmen dürfen entsprechend technischer und organisatorischer Entwicklungen angepasst werden, sofern das vereinbarte Sicherheitsniveau insgesamt nicht unterschritten wird. Über wesentliche Änderungen mit nachteiliger Auswirkung auf Vertraulichkeit, Integrität oder Verfügbarkeit informiert der Auftragsverarbeiter rechtzeitig.

(3) Die Wirksamkeit der Maßnahmen wird regelmäßig und anlassbezogen überprüft, bewertet und bei Bedarf verbessert. Verarbeitung im Rahmen genehmigter mobiler oder dezentraler Arbeit unterliegt denselben Zugriffs-, Vertraulichkeits- und Sicherheitsvorgaben.

(1) Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter führt die Liste aktuell.

(2) Beabsichtigte Hinzuziehungen oder Ersetzungen werden grundsätzlich mindestens 30 Tage vor ihrem Wirksamwerden über einen dauerhaft zugänglichen Hinweis oder an die hinterlegte Administrationsadresse mitgeteilt. Bei sicherheitskritischen oder zwingenden Änderungen kann die Frist angemessen verkürzt werden; der Grund wird erläutert.

(3) Der Verantwortliche kann innerhalb der Mitteilungsfrist aus objektiven datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen eine zumutbare Lösung. Ist eine solche nicht möglich, kann der Verantwortliche die konkret betroffene Leistung zum Wirksamwerden der Änderung außerordentlich beenden.

(4) Unterauftragsverarbeiter werden durch Vertrag im Wesentlichen denselben Datenschutzpflichten unterworfen. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten verantwortlich. Auf begründete Anfrage werden einschlägige Vertragsnachweise bereitgestellt; Geschäftsgeheimnisse, Sicherheitsinformationen und Daten Dritter dürfen geschwärzt werden.

(1) Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Je nach Empfänger kommen insbesondere Angemessenheitsbeschlüsse einschließlich des EU-US Data Privacy Framework oder Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 mit erforderlichen ergänzenden Maßnahmen zum Einsatz.

(2) Die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern nach dem Durchführungsbeschluss (EU) 2021/915 ersetzen für sich allein keine Übermittlungsgarantie nach Kapitel V DSGVO.

(3) Rechtlich bindende Zugriffsersuchen öffentlicher Stellen werden, soweit zulässig, auf Rechtmäßigkeit und Verhältnismäßigkeit geprüft. Der Verantwortliche wird informiert, sofern dies nicht gesetzlich untersagt ist. Übermittelte Daten werden auf das erforderliche Maß begrenzt.

(1) Der Verantwortliche ist für die Beantwortung von Anträgen betroffener Personen verantwortlich. Der Auftragsverarbeiter unterstützt ihn unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen.

(2) Geht ein Antrag unmittelbar beim Auftragsverarbeiter ein und ist erkennbar der Verantwortliche zuständig, wird der Antrag unverzüglich weitergeleitet. Eine inhaltliche Antwort erfolgt nur auf Weisung oder aufgrund einer gesetzlichen Pflicht.

(3) SecPlaner stellt im Rahmen des Leistungsumfangs Funktionen zur Berichtigung, Einschränkung, Löschung und zum Export bereit. Darüber hinaus erforderliche Maßnahmen werden nach dokumentierter Weisung unterstützt.

(1) Der Auftragsverarbeiter informiert den Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten, die dessen Auftragsdaten betrifft, unverzüglich und grundsätzlich spätestens innerhalb von 24 Stunden nach Bekanntwerden. Eine Erstmeldung darf durch später verfügbare Informationen ergänzt werden.

(2) Die Meldung enthält, soweit zu diesem Zeitpunkt verfügbar:

• Art und Umfang der Verletzung sowie Zeitpunkt oder Zeitraum
• betroffene Datenkategorien und ungefähre Zahl betroffener Personen und Datensätze
• wahrscheinliche Folgen und eine Kontaktstelle für Rückfragen
• bereits ergriffene oder vorgeschlagene Abhilfe- und Minderungsmaßnahmen

(3) Der Auftragsverarbeiter dokumentiert Vorfall, Auswirkungen und Abhilfemaßnahmen und unterstützt den Verantwortlichen bei Pflichten nach Art. 33 und 34 DSGVO. Er informiert betroffene Personen oder Aufsichtsbehörden nicht im Namen des Verantwortlichen, sofern keine Weisung oder gesetzliche Pflicht besteht.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Sicherheitsbewertungen, Datenschutz-Folgenabschätzungen, vorherigen Konsultationen nach Art. 36 DSGVO sowie bei datenschutzrechtlich relevanten Behördenanfragen. Umfangreiche Leistungen außerhalb des üblichen Leistungsumfangs können nach vorheriger Abstimmung angemessen vergütet werden.

(1) Der Auftragsverarbeiter stellt auf Anfrage die notwendigen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit. Vorrangig werden aktuelle Dokumentationen, Prüfberichte, Zertifikate der Infrastrukturpartner und Antworten auf angemessene Sicherheitsfragebögen genutzt.

(2) Reichen diese Nachweise aus objektiven Gründen nicht aus, kann der Verantwortliche selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer eine weitergehende Kontrolle durchführen. Sie ist grundsätzlich mit angemessener Frist anzukündigen, auf den erforderlichen Umfang zu begrenzen und so durchzuführen, dass Betrieb, Sicherheit, Daten anderer Mandanten und Geschäftsgeheimnisse nicht unangemessen beeinträchtigt werden.

(3) Standardnachweise werden ohne gesondertes Entgelt bereitgestellt. Außergewöhnlicher Prüfaufwand kann nach vorheriger Mitteilung berechnet werden, es sei denn, die Prüfung weist einen erheblichen vom Auftragsverarbeiter zu vertretenden Verstoß nach. Befugnisse der zuständigen Aufsichtsbehörde bleiben uneingeschränkt.

(1) Während der Vertragslaufzeit kann der Verantwortliche Daten über die vorgesehenen Exportfunktionen herausgeben lassen. Nach Ende der Auftragsverarbeitung werden Auftragsdaten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, sofern Unionsrecht oder deutsches Recht keine weitere Speicherung verlangt.

(2) Produktiv verwendete Auftragsdaten werden grundsätzlich spätestens 30 Tage nach Vertragsende gelöscht. Sicherungskopien werden im Rahmen der dokumentierten Sicherungszyklen überschrieben und bis dahin isoliert sowie nicht erneut produktiv verarbeitet, sofern keine Wiederherstellung zur Störungsbehebung erforderlich ist.

(3) Gesetzlich aufzubewahrende Daten werden nur für den jeweiligen Aufbewahrungszweck gesperrt verarbeitet und nach Fristablauf gelöscht. Rechnungs- und steuerrechtliche Nachweise, die der Auftragsverarbeiter in eigener Verantwortlichkeit aufbewahren muss, sind keine Auftragsdaten im Sinne dieser Regelung.

(4) Die Löschung wird auf Verlangen in Textform bestätigt. Ein Zurückbehaltungsrecht an Auftragsdaten ist ausgeschlossen.

(1) Dieser Vertrag endet mit dem Hauptvertrag, ohne dass es einer gesonderten Kündigung bedarf. Datenschutz-, Vertraulichkeits-, Rückgabe- und Löschpflichten wirken fort, soweit ihr Zweck dies erfordert.

(2) Der Verantwortliche kann den Vertrag aus wichtigem datenschutzrechtlichem Grund außerordentlich beenden, insbesondere wenn ein erheblicher Verstoß trotz angemessener Abhilfefrist nicht behoben wird, eine rechtmäßige Weisung endgültig verweigert oder eine zulässige Aufsichtskontrolle verhindert wird.

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie den zwingenden gesetzlichen Verantwortungs- und Haftungsregeln nicht widersprechen.

(1) Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieses Vertrags für die Auftragsverarbeitung den allgemeinen Regelungen des Hauptvertrags vor. Individuelle dokumentierte Weisungen gehen diesem Vertrag nur vor, soweit sie rechtmäßig sind.

(2) Änderungen und Ergänzungen bedürfen der Textform. Aktualisierungen der Anlagen, die das vereinbarte Schutzniveau nicht absenken, können nach dem in diesem Vertrag vorgesehenen Informationsverfahren erfolgen.

(3) Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam. Es gilt deutsches Recht. Gerichtsstandsregelungen des Hauptvertrags bleiben unberührt.

Die folgende Liste beschreibt die für SecPlaner vorgesehenen Dienstleister. Ein Dienstleister ist nur insoweit Unterauftragsverarbeiter nach diesem Vertrag, wie er tatsächlich Auftragsdaten des Verantwortlichen verarbeitet. Tätigkeiten in eigener Verantwortlichkeit, insbesondere gesetzliche Zahlungs- und Complianceaufgaben von Stripe, fallen nicht unter diese Genehmigung.

Die Maßnahmen bilden den aktuellen vereinbarten Sicherheitsstand ab. Sie sind risikoorientiert und gelten für die von SecPlaner kontrollierten Systeme; bei Infrastrukturpartnern gelten ergänzend deren vertraglich zugesicherte Maßnahmen.

Ergänzende Erläuterungen sind in der dauerhaft abrufbaren Seite zu den technischen und organisatorischen Maßnahmen dokumentiert. Bei Abweichungen ist diese Anlage für den vertraglich zugesicherten Mindeststandard maßgeblich.