Auftragsverarbeitungsvertrag (AVV)
Nach Art. 28 DSGVO. Ergänzung zum Hosting-/SaaS-Vertrag.
ENTWURF. Sorgfältig erstellte Vorlage nach deutschem Recht, keine Rechtsberatung. Vor dem ersten echten Einsatz prüfen und Platzhalter (in eckigen Klammern) befüllen.
Präambel und Parteien
Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien aus dem zugrunde liegenden Hauptvertrag (Hosting, Website-/App-Betreuung, SaaS-Nutzung) im Hinblick auf die Verarbeitung personenbezogener Daten. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde: [Kunde/Firma], [Anschrift]. Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist WEBESOR, David Krölls, Georgstraße 38, 30159 Hannover, info@webesor.de.
1. Gegenstand, Dauer und Weisungsbindung
Gegenstand und Dauer der Verarbeitung ergeben sich aus dem Hauptvertrag. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.
2. Art, Zweck und Kategorien
Art der Verarbeitung: Erheben, Speichern, Hosten, Anzeigen, Übermitteln und Löschen. Zweck: Bereitstellung und Betrieb von Website, App und zugehörigen Diensten. Betroffene: Nutzer, Mitglieder, Kunden und Ansprechpartner des Verantwortlichen. Datenkategorien: Stammdaten (Name, Kontaktdaten), Nutzungs- und Zugangsdaten, Inhaltsdaten, ggf. Zahlungsbezugsdaten. Besondere Kategorien nach Art. 9 DSGVO werden nur verarbeitet, soweit ausdrücklich beauftragt.
3. Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen: verschlüsselte Übertragung (TLS) und verschlüsselte Ablage sensibler Zugangsdaten, Zugriffs- und Rollenkonzepte, regelmäßige Datensicherung, getrennte Verarbeitung von Mandanten, Protokollierung administrativer Zugriffe sowie Verfahren zur Wiederherstellung nach Zwischenfällen. Die Maßnahmen werden dem Stand der Technik angepasst; eine Anpassung darf das Schutzniveau nicht unterschreiten.
4. Vertraulichkeit
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorgaben vertraut gemacht wurden.
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern für Infrastruktur, Hosting, E-Mail-Versand und Push-Zustellung (u. a. [Hosting-Anbieter], [Mail-Anbieter], [Push-Dienst]). Der Auftragsverarbeiter informiert vor einem Wechsel/einer Hinzunahme in Textform; der Verantwortliche kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Schutzniveau. Verarbeitungen finden innerhalb der EU/des EWR statt oder auf Basis geeigneter Garantien (EU-Standardvertragsklauseln).
6. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12-23 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35) und bei der Meldung von Datenschutzverletzungen. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich.
7. Kontrollrechte
Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage nach, vorrangig durch aktuelle Nachweise/Zertifikate oder eine Selbstauskunft. Vor-Ort-Kontrollen sind nach angemessener Vorankündigung, während der Geschäftszeiten und ohne Störung des Betriebs zulässig.
8. Löschung und Rückgabe
Nach Abschluss der Verarbeitung gibt der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen bestätigt.
9. Haftung und Schlussbestimmungen
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags. Änderungen dieses AVV bedürfen der Textform. Bei Widerspruch zwischen Hauptvertrag und AVV gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Es gilt deutsches Recht.