Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

zwischen

dem jeweiligen Kunden der Software „TrackSuite“ gemäß dem bestehenden Hauptvertrag (AGB der Software „TrackSuite“)

– im Folgenden: Auftraggeber –

und

Louis Herger – IT-Consulting
Inhaber: Louis Herger
Hörgelstraße 1A
76228 Karlsruhe
E-Mail: info@track-suite.com

– im Folgenden: Auftragnehmer –

– gemeinsam: Parteien –

§ 1 Einleitung, Geltungsbereich, Definitionen

(1) Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (im Folgenden „Parteien“ genannt) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag gemäß Art. 28 DSGVO.

(2) Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen der Auftragnehmer oder durch ihn beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Auftraggebers in dessen Auftrag verarbeiten.

(3) In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der EU Datenschutz-Grundverordnung (DSGVO) zu verstehen. In diesem Sinne ist der Auftraggeber der „Verantwortliche“, der Auftragnehmer der „Auftragsverarbeiter“. Soweit Erklärungen im Folgenden „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.

§ 2 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand
Der Auftragnehmer betreibt die Software „TrackSuite“ als Software-as-a-Service (SaaS). Im Rahmen dieser Leistungserbringung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Die Verarbeitung umfasst insbesondere:

• die Speicherung und Verwaltung von Nutzerdaten in der zentralen Backend-Datenbank (gehostet bei Hetzner Online GmbH, Deutschland),
• die Bereitstellung und den Betrieb der TrackSuite App und der zugehörigen API,
• die Übermittlung von Push-Benachrichtigungen, Crash-Reports und Nutzungsanalysen über Firebase-Dienste (Google),
• die Speicherung von Dateien (Object Storage) über Amazon Web Services (AWS),
• den Versand von E-Mails über IONOS SE (Mailserver),

Die Verarbeitung beruht auf dem zwischen den Parteien bestehenden Nutzungsvertrag gemäß den Allgemeinen Geschäftsbedingungen der Software „TrackSuite“ (im Folgenden „Hauptvertrag“).

(2) Dauer
Die Verarbeitung beginnt mit der Freischaltung des Benutzerkontos des Auftraggebers und erfolgt auf unbestimmte Zeit bis zur Beendigung des Hauptvertrags. Nach Beendigung des Hauptvertrags richtet sich die Löschung der Daten nach § 9 dieses Vertrags sowie § 6 Abs. 5 des Hauptvertrags (AGB).

§ 3 Art, Zweck und Betroffene der Datenverarbeitung

(1) Art der Verarbeitung
Die Verarbeitung umfasst folgende Vorgänge: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung, Auslesen, Abfragen, Verwendung, Übermittlung (an Subdienstleister gemäß Anlage 2), Einschränkung, Löschen und Vernichtung von Daten.

(2) Zweck der Verarbeitung
Die Verarbeitung dient der Erbringung der im Hauptvertrag vereinbarten SaaS-Leistung, insbesondere:

• der Verwaltung von Benutzerkonten und Zugangsdaten,
• der Bereitstellung der Funktionalitäten der TrackSuite App,
• dem Versand von Push-Benachrichtigungen,
• der Fehleranalyse und Stabilitätsüberwachung (Crashlytics),
• der anonymisierten/pseudonymisierten Nutzungsanalyse (Analytics).

Hinweis: Die Zahlungsabwicklung über den Zahlungsdienstleister Stripe erfolgt in eigener datenschutzrechtlicher Verantwortlichkeit des Anbieters (Controller-to-Controller-Verhältnis) und ist nicht Gegenstand dieses Auftragsverarbeitungsvertrags.

(3) Art der Daten
Es werden folgende Kategorien personenbezogener Daten verarbeitet:

• Stammdaten (Vor- und Nachname, Firmenname, Anschrift),
• Kontaktdaten (E-Mail-Adresse, ggf. Telefonnummer),
• Zugangsdaten (Benutzername, gehashte Passwörter, Authentifizierungs-Token),
• Nutzungsdaten (Zeitpunkt und Art der Nutzung, App-Version, Geräteinformationen),
• Inhaltsdaten (vom Auftraggeber in der Software eingegebene oder hochgeladene Daten),
• Technische Protokolldaten (IP-Adressen, Log-Dateien, Crash-Reports).

(4) Kategorien der betroffenen Personen
Von der Verarbeitung betroffen sind:

• Mitarbeiter und Beauftragte des Auftraggebers, die die Software nutzen,
• ggf. Kunden, Geschäftspartner oder sonstige Kontakte des Auftraggebers, deren Daten der Auftraggeber in die Software eingibt.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.

(2) Der Auftragnehmer bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

(3) Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.

(4) Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

(5) Der Auftragnehmer sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind angemessen regelmäßig zu wiederholen.

(6) Im Zusammenhang mit der beauftragten Verarbeitung unterstützt der Auftragnehmer den Auftraggeber soweit erforderlich bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten, bei Durchführung der Datenschutzfolgeabschätzung und einer notwendigen Konsultation der Aufsichtsbehörde. Die erforderlichen Angaben und Dokumentationen sind vorzuhalten und dem Auftraggeber auf Anforderung unverzüglich zuzuleiten.

(7) Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Auftragnehmer, den Auftraggeber im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.

(8) Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an ihn gerichtete Anfragen wird er unverzüglich an den Auftraggeber weiterleiten.

(9) Der Auftragnehmer ist als Einzelunternehmer (Kleingewerbe) tätig und derzeit nicht gesetzlich zur Bestellung eines Datenschutzbeauftragten verpflichtet, da er in der Regel nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG). Sollte sich dies ändern, wird der Auftragnehmer den Auftraggeber unverzüglich über die Bestellung und die Kontaktdaten des Datenschutzbeauftragten informieren.

(10) Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU oder des EWR. Soweit für die Erbringung der vertraglichen Leistung Dienste von Subunternehmern eingesetzt werden, die Daten in Drittländer übermitteln (insbesondere Firebase/Google, AWS), erfolgt dies nur unter den in Kapitel V der DSGVO (Art. 44 ff.) enthaltenen Bedingungen, insbesondere auf Grundlage von Angemessenheitsbeschlüssen der EU-Kommission, Standardvertragsklauseln oder vergleichbaren geeigneten Garantien.

§ 5 Sicherheit der Verarbeitung

(1) Die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum.

(2) Die Datensicherheitsmaßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen hat der Auftragnehmer unverzüglich umzusetzen. Wesentliche Änderungen sind dem Auftraggeber mitzuteilen.

(3) Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr genügen, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

(4) Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen logisch getrennt werden.

(5) Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen (z. B. Backups), soweit eine Beeinträchtigung des vereinbarten Datenschutzniveaus ausgeschlossen ist.

(6) Der Auftragnehmer führt den regelmäßigen Nachweis der Erfüllung seiner Pflichten, insbesondere der vollständigen Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen sowie ihrer Wirksamkeit. Der Nachweis ist dem Auftraggeber auf Anforderung zu überlassen.

§ 6 Regelungen zur Berichtigung, Löschung und Sperrung von Daten

(1) Im Rahmen des Auftrags verarbeitete Daten wird der Auftragnehmer nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren.

(2) Den entsprechenden Weisungen des Auftraggebers wird der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.

§ 7 Unterauftragsverhältnisse (Subunternehmer)

(1) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subunternehmer sind in Anlage 2 aufgeführt und gelten mit Abschluss dieses Vertrags als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber in Textform (z. B. per E-Mail) über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Subunternehmern. Der Auftraggeber kann der Änderung innerhalb von 30 Kalendertagen nach Zugang der Mitteilung in Textform widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Zustimmung als erteilt. Widerspricht der Auftraggeber, ist der Auftragnehmer berechtigt, den Hauptvertrag und diesen Vertrag mit einer Frist von einem Monat zum Monatsende außerordentlich zu kündigen.

(3) Subunternehmer dürfen nur eingesetzt werden, wenn ihnen vertraglich mindestens Datenschutzpflichten auferlegt wurden, die den in diesem Vertrag vereinbarten vergleichbar sind. Der Auftraggeber erhält auf Verlangen Einsicht in die relevanten Verträge zwischen Auftragnehmer und Subunternehmer.

(4) Die Rechte des Auftraggebers müssen auch gegenüber dem Subunternehmer wirksam ausgeübt werden können. Insbesondere muss der Auftraggeber berechtigt sein, auf Anforderung Kontrollen in dem hier festgelegten Umfang auch bei Subunternehmern durchzuführen oder durch Dritte durchführen zu lassen.

(5) Die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers sind eindeutig voneinander abzugrenzen.

(6) Der Auftragnehmer wählt den Subunternehmer unter besonderer Berücksichtigung der Eignung der vom Subunternehmer getroffenen technischen und organisatorischen Maßnahmen sorgfältig aus.

(7) Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, so haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

(8) Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen, wie beispielsweise Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdienstleistungen oder Benutzerservice sind nicht erfasst. Die Pflicht des Auftragnehmers, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

§ 8 Rechte und Pflichten des Auftraggebers

(1) Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich.

(2) Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird der Auftraggeber unverzüglich dokumentiert bestätigen.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

(4) Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst oder durch Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme. Den mit der Kontrolle betrauten Personen ist vom Auftragnehmer soweit erforderlich Zutritt und Einblick zu ermöglichen. Der Auftragnehmer ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind.

(5) Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen. Soweit nicht aus dringlichen, vom Auftraggeber zu dokumentierenden Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten des Auftragnehmers statt, sowie nicht häufiger als alle 12 Monate. Soweit der Auftragnehmer den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten gemäß § 5 Abs. 6 dieses Vertrages erbringt, soll sich eine Kontrolle auf Stichproben beschränken.

§ 9 Beendigung des Auftrags

(1) Befinden sich bei Beendigung des Auftragsverhältnisses im Auftrag verarbeitete Daten oder Kopien derselben noch in der Verfügungsgewalt des Auftragnehmers, hat dieser nach Wahl des Auftraggebers die Daten entweder zu löschen oder an den Auftraggeber zu übergeben. Die Wahl hat der Auftraggeber innerhalb von 14 Kalendertagen nach entsprechender Aufforderung durch den Auftragnehmer zu treffen. Trifft der Auftraggeber keine Wahl, werden die Daten gelöscht.

(2) Die Löschung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist.

(3) Der Auftragnehmer ist verpflichtet, die unverzügliche Löschung bzw. Rückgabe auch bei Subunternehmern herbeizuführen.

(4) Der Auftragnehmer hat den Nachweis der ordnungsgemäßen Löschung zu führen und dem Auftraggeber auf Verlangen vorzulegen.

(5) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer mindestens bis zum Ablauf des dritten Kalenderjahres nach Vertragsende aufzubewahren. Er kann sie zu seiner Entlastung dem Auftraggeber übergeben.

§ 10 Mitteilungspflichten

(1) Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes im Auftrag verarbeiteter personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle sind mitzuteilen. Die Mitteilung hat spätestens innerhalb von 48 Stunden ab Kenntnis des Auftragnehmers vom relevanten Ereignis an die vom Auftraggeber benannte E-Mail-Adresse zu erfolgen. Sie muss mindestens folgende Angaben enthalten:

• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze;
• den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der vom Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(2) Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.

(4) Der Auftragnehmer sichert zu, den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO im erforderlichen Umfang zu unterstützen.

§ 11 Weisungen

(1) Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

(2) Weisungen werden vom Auftraggeber in der Regel per E-Mail erteilt. In Eilfällen können Weisungen mündlich erteilt werden; solche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

(4) Der Auftragnehmer hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.

§ 12 Vergütung

Die Vergütung des Auftragnehmers ist abschließend im Hauptvertrag (AGB TrackSuite, § 5) geregelt. Eine gesonderte Vergütung oder Kostenerstattung im Rahmen dieses Vertrages erfolgt nicht.

§ 13 Haftung

(1) Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer gegenüber betroffenen Personen als Gesamtschuldner gemäß Art. 82 DSGVO.

(2) Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der Auftragnehmer nur für Schäden, die durch eine ihm zuzurechnende Verarbeitung unter Verstoß gegen die DSGVO oder gegen Weisungen des Auftraggebers verursacht wurden. Im Übrigen richtet sich die Haftung nach § 10 des Hauptvertrags (AGB).

(3) Die Haftungsbeschränkungen des Hauptvertrags (§ 10 AGB) gelten im Innenverhältnis zwischen den Parteien entsprechend, soweit nicht zwingende datenschutzrechtliche Vorschriften (insbesondere Art. 82 DSGVO) entgegenstehen.

§ 14 Sonderkündigungsrecht

(1) Der Auftraggeber kann den Hauptvertrag und diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen (außerordentliche Kündigung), wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrags vorliegt, der Auftragnehmer eine rechtmäßige Weisung des Auftraggebers nicht ausführen kann oder will, oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert.

(2) Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die in diesem Vertrag bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen, in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.

(3) Bei unerheblichen Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Auftraggeber zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt.

§ 15 Sonstiges

(1) Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur Freigabe durch die andere Partei als vertraulich zu behandeln.

(2) Sollte Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.

(3) Für Nebenabreden ist die Textform und die ausdrückliche Bezugnahme auf diesen Vertrag erforderlich.

(4) Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

(5) Sollten einzelne Teile dieses Vertrags unwirksam sein, so berührt dies die Wirksamkeit des Vertrags im Übrigen nicht.

(6) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand richtet sich nach § 17 des Hauptvertrags (AGB).

Dieser AVV tritt mit Abschluss des Hauptvertrags (AGB TrackSuite) in Kraft. Die Zustimmung erfolgt im Rahmen des Registrierungs- bzw. Bestellprozesses.