Vereinbarung zum Datenschutz für Auftragsverarbeiter (AVV)

zwischen

Customer Name
Str. PLZ & Ort
(im Folgenden „Verantwortlicher")

und

Alexander Thamm GmbH
Sapporobogen 6-8, 80637 München
(im Folgenden „Auftragsverarbeiter")

(im Folgenden werden „Verantwortlicher" und „Auftragsverarbeiter" zusammen auch als „Parteien" bezeichnet)

Präambel

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien im Zusammenhang mit der Datenverarbeitung durch den Auftragsverarbeiter für den Verantwortlichen. Die hierin enthaltenen Vereinbarungen finden Anwendung auf alle Tätigkeiten, bei denen Mitarbeiter des Auftragsverarbeiters oder durch den Auftragsverarbeiter beauftragte Dritte („Unterauftragsverarbeiter") mit personenbezogenen Daten des Verantwortlichen in Berührung kommen können.

Die deutsche Sprachversion dieser Vereinbarung hat Vorrang gegenüber der englischen.

§1 Gegenstand und Dauer des Auftrags; Umfang, Art und Zweck der Datenverarbeitung; Art der Daten und Kreis der Betroffenen

(1) Der Gegenstand des Auftrags zum Datenumgang und zur Datenverarbeitung im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO ist die Durchführung der in Anhang 1 Abschnitt 1 beschriebenen Aufgaben durch den Auftragsverarbeiter (Beschreibung der Verarbeitungen).

(2) Die Dauer des Auftrags bestimmt sich nach den Regelungen von Anhang 1 Abschnitt 2.

(3) Umfang, Art und Zweck der Datenverarbeitung bestimmt sich nach der Beschreibung der Verarbeitungen in Anhang 1 Abschnitt 1 in Verbindung mit den Weisungen des Verantwortlichen.

(4) Betroffen von der Verarbeitung sind die in Anhang 1 Abschnitt 1 beschriebenen Kategorien von Betroffenen (entsprechend der Definition von Art. 4 Nr. 1 DSGVO), von denen die genannten Arten von Daten (entsprechend der Definition von Art. 4 Nr. 1, 13, 14 und 15 DSGVO) verarbeitet werden.

(5) Die Weisungen werden anfänglich durch die Beschreibung der Verarbeitungen in Anhang 1 Abschnitt 1 festgelegt und können vom Verantwortlichen danach in schriftlicher Form oder in einem elektronischen Format (Textform) an den im Anhang 1 Abschnitt 4 aufgeführten Weisungsempfänger des Auftragsverarbeiters durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

(6) Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union („EU") oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum („EWR") statt. Dies gilt auch für die Datenverarbeitung durch Unterauftragsverarbeiter. Jede Verlagerung, auch von Teilarbeiten, in ein Drittland einschließlich der Beauftragung eines Unterauftragsverarbeiters mit Sitz in einem Drittland bedarf der vorherigen schriftlichen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Artt. 44 ff. DSGVO (z.B. Angemessenheitsbeschluss der Europäischen Kommission, Standardvertragsklauseln, genehmigte Verhaltensregeln) erfüllt sind.

(7) Erbringt der Auftragsverarbeiter die vertraglich vereinbarte Datenverarbeitung in nicht ausschließlich vom Auftragsverarbeiter genutzten Räumen (z. B. Co-Working-Space, Privatwohnung), ist der Auftragsverarbeiter verpflichtet, dies dem Verantwortlichen in Anhang 1 Abschnitt 1 anzuzeigen.

§2 Technisch-organisatorische Maßnahmen

(1) Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Der Auftragsverarbeiter hat technische und organisatorische Maßnahmen gem. Artt. 28 Abs. 3 lit. c, 32 DSGVO zu treffen, welche insbesondere die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen.

(2) Der Auftragsverarbeiter sichert in seinem Verantwortungsbereich die Umsetzung und Einhaltung der allgemeinen und technischen und organisatorischen Maßnahmen zu, die erforderlich sind, um ein den jeweils geltenden Datenschutzvorschriften entsprechendes Datenschutzniveau bzw. Datensicherheit zu gewährleisten. Der Auftragsverarbeiter gewährleistet, seinen Pflichten nach Art. 32 Abs. 1 lit. d) DSGVO nachzukommen, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen. Insbesondere wird der Auftragsverarbeiter seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen der jeweils geltenden Datenschutzvorschriften gerecht wird.

(3) Der Auftragsverarbeiter hat dem Verantwortlichen vor Erteilung des Auftrages ein umfassendes und aktuelles Datenschutz- und Datensicherheitskonzept bzw. getroffene technische und organisatorische Maßnahmen für diese Datenverarbeitung zur Verfügung gestellt. Eine Beschreibung des Datenschutz- und Datensicherheitskonzeptes bzw. der getroffenen technisch-organisatorischen Maßnahmen ist als Anhang 2 Bestandteil dieser Vereinbarung. Der Auftragsverarbeiter ergreift mindestens diese in Anhang 2 aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten und erhält diese während der gesamten Dauer des Auftrags aufrecht.

(4) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren und dem im Anhang 1 Abschnitt 4 aufgeführten weisungsbefugten Ansprechpartner des Verantwortlichen mitzuteilen. Solche Dokumentationen sind für die Dauer dieser Vereinbarung aufzubewahren und dem im Anhang 1 Abschnitt 4 aufgeführten weisungsbefugten Ansprechpartner des Verantwortlichen auf Anfrage bereitzustellen.

§3 Berichtigung, Sperrung und Löschung / Betroffenenrechte

(1) Der Auftragsverarbeiter hat nur nach dokumentierter Weisung des Verantwortlichen (nicht eigenmächtig) die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu sperren oder zu löschen.

(2) Der Auftragsverarbeiter wird den Verantwortlichen nach Maßgabe der jeweils geltenden Datenschutzvorschriften dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Person („Betroffenenrechte") nachzukommen. Zu den Betroffenenrechten können insbesondere gehören: Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten; Recht auf Berichtigung, Löschung (Vergessenwerden) und Datenübertragbarkeit (Datenportabilität); Widerspruchsrecht und Recht auf nicht ausschließlich automatisierte Entscheidungsfindung im Einzelfall.

(3) Soweit ein Betroffener sich in Bezug auf Daten, welche durch den Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet werden, unmittelbar an den Auftragsverarbeiter wendet zwecks Ausübung seiner Betroffenenrechte, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den im Anhang 1 Abschnitt 4 aufgeführten weisungsbefugten Ansprechpartner des Verantwortlichen weiterleiten. Der Auftragsverarbeiter beantwortet das Ersuchen nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

§4 Pflichten und Kontrollen des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen Zwecke als für die in der Beschreibung der Verarbeitungen in Anhang 1 Abschnitt 1 oder durch dokumentierte Einzelweisung festgelegten und insbesondere nicht für eigene Zwecke, sofern er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten der Europäischen Union, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Auftragsverarbeiter bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind.

(3) Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Verantwortlichen die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung dieser Vereinbarung fort.

(4) Der Auftragsverarbeiter bestellt – soweit von den jeweils geltenden Datenschutzvorschriften vorgeschrieben – schriftlich einen Datenschutzbeauftragten. Die Kontaktdaten des bestellten Datenschutzbeauftragten sind in Anhang 1 Abschnitt 3 aufgeführt. Über Änderungen des Datenschutzbeauftragten und/oder von dessen Kontaktdaten wird der Auftragsverarbeiter den Verantwortlichen unverzüglich schriftlich informieren. Die Information ist an den im Anhang 1 Abschnitt 4 aufgeführten weisungsbefugten Ansprechpartner des Verantwortlichen zu richten.

(5) Der Auftragsverarbeiter sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit, wie auch nach Beendigung des Beschäftigungsverhältnisses, in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 lit. b, 29, 32 DSGVO).

(6) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen, Ermittlungen und Maßnahmen der datenschutzrechtlichen Aufsichtsbehörden, soweit sie sich auf diese Vereinbarung beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragsverarbeiter ermittelt.

(7) Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich darauf aufmerksam machen, wenn eine vom Verantwortlichen erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den im Anhang 1 Abschnitt 4 aufgeführten weisungsbefugten Ansprechpartner des Verantwortlichen nach Überprüfung bestätigt oder geändert wird.

(8) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Sicherstellung der Einhaltung der Verpflichtungen gemäß Art. 32, 35 und 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen, insbesondere bei der Unterstützung bei der Gewährleistung der Sicherheit der Datenverarbeitung, der Durchführung von Datenschutz-Folgenabschätzungen (falls relevant) und der Konsultation der zuständigen Aufsichtsbehörde, falls erforderlich (falls relevant).

§5 Unterauftragsverhältnisse (Unterauftragsverarbeiter)

(1) Als Unterauftragsverhältnisse im Sinne dieser Vereinbarung sind solche Verarbeitungen zu verstehen, die sich unmittelbar auf die Durchführung der beschriebenen Verarbeitungen in Anhang 1 Abschnitt 1 bzw. dokumentierte Einzelweisungen beziehen, soweit durch den Unterauftragsverarbeiter, welcher Verarbeitungen durchführt, im Auftrag des Auftragsverarbeiters personenbezogene Daten verarbeitet werden, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet.

(2) Der Auftragsverarbeiter darf bei der Datenverarbeitung die in Anhang 1 Abschnitt 5 aufgeführten Unterauftragsverarbeiter bei den jeweils genannten Verarbeitungen beauftragen.

(3) Der Auftragsverarbeiter ist gegenüber dem Verantwortlichen für sämtliche Handlungen und Unterlassungen der von ihm eingesetzten Unterauftragsverarbeiter verantwortlich. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters (Art. 28 Abs. 4 Satz 2 DSGVO).

(4) Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter zu beauftragen oder bereits beauftragte zu ersetzen. Die Weiterleitung von Daten an den Unterauftragsverarbeiter ist erst zulässig, wenn der Unterauftragsverarbeiter die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DSGVO bezüglich seiner Beschäftigten erfüllt hat. Der Auftragsverarbeiter wird den Verantwortlichen mindestens vier (4) Wochen vorab in schriftlicher Form über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters informieren, Art. 28 Abs. 2 DSGVO. Die Information ist an den im Anhang 1 Abschnitt 4 aufgeführten weisungsbefugten Ansprechpartner des Verantwortlichen zu richten. Der Verantwortliche kann gegen eine beabsichtigte Änderung Einspruch erheben, wobei dies nicht ohne wichtigen Grund erfolgen darf. Erhebt der Verantwortliche Einspruch, wird der Auftragsverarbeiter den betroffenen Unterauftragsverarbeiter nicht beauftragen bzw. ersetzen und mit dem Verantwortlichen eine Lösung suchen. Liegt ein wichtiger Grund vor und sofern eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich ist, wird dem Verantwortlichen ein Sonderkündigungsrecht eingeräumt.

(5) Außerdem muss der Auftragsverarbeiter dafür Sorge tragen, dass er den Unterauftragsverarbeiter unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO sorgfältig auswählt.

(6) Wenn Unterauftragsverarbeiter durch den Auftragsverarbeiter beauftragt werden, müssen die vertraglichen Vereinbarungen mit den Unterauftragsverarbeitern so gestaltet werden, dass sie den Anforderungen zu Vertraulichkeit, Datenschutz und Datensicherheit zwischen den Vertragspartnern dieses Vertrages entsprechen. Dem Verantwortlichen sind Kontroll- und Überprüfungsrechte entsprechend §6 dieser Vereinbarung mit den Unterauftragsverarbeitern in der Weise einzuräumen, dass sie den Verantwortlichen, unbeschadet der Verantwortlichkeit des Auftragsverarbeiters für die Unterauftragsverarbeiter, unmittelbar auch gegenüber den Unterauftragsverarbeitern berechtigen. Der Auftragsverarbeiter ist verpflichtet, dem Verantwortlichen auf eine entsprechende Anforderung hin Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen durch die Unterauftragsverarbeiter zu erteilen bzw. (soweit ausdrücklich verlangt) eine Kopie des Vertrages mit dem Unterauftragsverarbeiter bereitzustellen. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen notwendig ist, kann der Auftragsverarbeiter den betreffenden Wortlaut vor der Weitergabe unkenntlich machen. Die Informationen bzw. die Kopie sind an den im Anhang 1 Abschnitt 4 aufgeführten weisungsbefugten Ansprechpartner des Verantwortlichen zu richten.

(7) Erbringt der Unterauftragsverarbeiter die vereinbarte Leistung außerhalb der EU/des EWR, stellt der Auftragsverarbeiter die Einhaltung von Kapitel V der DSGVO sicher. Werden personenbezogene Daten auf Grundlage geeigneter Garantien (Art. 46 DSGVO) in ein Land außerhalb der EU/des EWR übermittelt, ist die datenschutzrechtliche Zulässigkeit durch die Vereinbarung und Implementierung zusätzlicher technischer und organisatorischer Maßnahmen zur Gewährleistung eines angemessenen Datenschutzniveaus außerhalb der EU/des EWR durch den Auftragsverarbeiter sicherzustellen, soweit die gewählte geeignete Garantie dazu nicht ausreicht.

(8) Der Auftragsverarbeiter bestätigt in Bezug auf Datenübermittlungen an Unterauftragsverarbeiter auf Grundlage geeigneter Garantien (§5 (7) dieser Vereinbarung) eine Datentransferfolgenabschätzung (engl.: „(Data) Transfer Impact Assessment", kurz „TIA") durchgeführt zu haben und dabei zum Ergebnis gekommen zu sein, dass ein angemessenes Datenschutz-Niveau für die übermittelten personenbezogenen Daten im Zielland gewährleistet ist. Ein TIA ist bei solchen Datenübermittlungen erforderlich vor dem Hintergrund der Schrems II Entscheidung des Europäischen Gerichtshofes (16. Juli 2020, Rechtssache C-311/18) sowie gem. Klausel 14 der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021) bzw. einer entsprechenden Klausel in Standardvertragsklauseln, die die bisherigen Standardvertragsklauseln ersetzen bzw. modifizieren. Der Auftragsverarbeiter bestätigt, dass das TIA den in der Schrems II Entscheidung formulierten und in Artikel 14 der genannten Standardvertragsklauseln festgehaltenen Anforderungen genügt. Der Auftragsverarbeiter wird die Dokumentation des TIA auf Anfrage des Verantwortlichen gegenüber diesem bereitstellen.

§6 Kontrollrechte des Verantwortlichen

(1) Der Auftragsverarbeiter weist dem Verantwortlichen die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten mit geeigneten Mitteln nach. Zum Nachweis der Einhaltung der vereinbarten Pflichten kann der Auftragsverarbeiter dem Verantwortlichen insbesondere folgende Informationen vorlegen:

Resultate eines Selbstaudits
Resultate eines externen Audits
unternehmensinterne Verhaltensregeln einschließlich eines externen Nachweises über deren Einhaltung
Zertifikat zu Datenschutz und Informationssicherheit
genehmigte Verhaltensregeln nach Art. 40 DSGVO
Zertifikate nach Art. 42 DSGVO

(2) Der Verantwortliche ist berechtigt, geeignete Nachweise für die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten zu verlangen. Dies gilt insbesondere für Nachweise zur Implementierung und Wirksamkeit der durch den Auftragsverarbeiter nach §2 dieser Vereinbarung implementierten technischen und organisatorischen Maßnahmen.

(3) Sollten im Einzelfall Kontrollen zur Einhaltung dieser Vereinbarung und der Pflichten nach Art. 28 DSGVO durch den Verantwortlichen oder einen von diesem beauftragten Prüfer erforderlich sein (z. B. Vor-Ort-Kontrollen), werden diese zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung innerhalb einer angemessenen Frist die erforderlichen Auskünfte zu erteilen. Soweit für Kontrollen im Einzelfall die Zustimmung Dritter erforderlich ist, ist der Auftragsverarbeiter verpflichtet, eine solche Zustimmung vor Beginn der Verarbeitung einzuholen.

(4) Der Auftragsverarbeiter darf die Kontrolle von der vorherigen Anmeldung mit angemessener Vorlaufzeit und von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden abhängig machen. Sollte der durch den Verantwortlichen beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragsverarbeiter stehen, hat der Auftragsverarbeiter gegen diesen ein Einspruchsrecht.

§7 Mitteilung bei Verstößen des Auftragsverarbeiters

(1) Der Auftragsverarbeiter erstattet in allen Fällen dem Verantwortlichen eine Meldung, wenn durch ihn oder die bei ihm beschäftigten Personen Verstöße gegen Vorschriften zum Schutz personenbezogener Daten des Verantwortlichen, der Verdacht auf Datenschutzverletzungen, Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten oder gegen die hier getroffenen Festlegungen vorgefallen sind.

(2) Dem Auftragsverarbeiter sind die geltenden datenschutzrechtlichen Melde- bzw. Benachrichtigungspflichten (u.a. nach Art. 33 und Art. 34 DSGVO) gegenüber Aufsichtsbehörden und Betroffenen, insbesondere deren zeitliche und inhaltliche Vorgaben, bekannt. Deshalb sind solche Vorfälle ohne Ansehen der Verursachung unverzüglich dem Verantwortlichen mitzuteilen. Darüber hinaus unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der Verpflichtungen gemäß Art. 33 und Art. 34 DSGVO. Dabei wird der Auftragsverarbeiter dem Verantwortlichen insbesondere folgende Informationen bereitstellen:

die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; und
die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.

§8 Rechte und Pflichten sowie Weisungsbefugnisse des Verantwortlichen

(1) Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen. Der Verantwortliche behält sich im Rahmen der in dieser Vereinbarung getroffenen Beschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, welches er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Die weisungsbefugten Ansprechpartner des Verantwortlichen und die Weisungsempfänger auf Seiten des Auftragsverarbeiters sind in Anhang 1 Abschnitt 4 aufgeführt. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

(2) Soweit Weisungen des Verantwortlichen Ermessensspielräume enthalten sollten, ist der Auftragsverarbeiter verpflichtet, hierzu die Entscheidung des Verantwortlichen einzuholen. Eine eigenständige Ermessensausübung oder Kulanzentscheidung steht dem Auftragsverarbeiter nicht zu.

(3) Mündliche Weisungen wird der Verantwortliche unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben oder ohne eine entsprechende, ausdrückliche und schriftliche Weisung des Verantwortlichen an Stellen außerhalb der Mitgliedsstaaten des EWR zu übermitteln, es sei denn eine in §4 (1) dieser Vereinbarung dargestellte Ausnahme ist einschlägig. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind.

§9 Löschung von Daten und Rückgabe von Datenträgern

(1) Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Verantwortlichen – spätestens mit Beendigung der Leistungsvereinbarung in Anhang 1 Abschnitt 1 – hat der Auftragsverarbeiter sämtliche in seinen Besitz sowie an Subunternehmen gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten, sofern der Auftragsverarbeiter nicht nach dem Unionsrecht oder dem Recht der EU-Mitgliedstaaten zur Speicherung der personenbezogenen Daten verpflichtet ist (Art. 28 Abs. 3 lit. g DSGVO). Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

(2) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben.

§10 Kosten

(1) Der Auftragsverarbeiter trägt alle Kosten, welche ihm durch die Erfüllung der in dieser Vereinbarung vorgesehenen Verpflichtungen entstehen.

(2) Die Parteien sind sich einig, dass der Auftragsverarbeiter auch für die Erfüllung der in dieser Vereinbarung geregelten Verpflichtungen durch die im Auftrag vorgesehene Vergütung entlohnt wird und dass der Auftragsverarbeiter im Hinblick auf diese Vereinbarung keine darüberhinausgehende Vergütung erhält.

§11 Sonstiges, Allgemeines

(1) Sollten die personenbezogenen Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren. Der Auftragsverarbeiter wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit an den personenbezogenen Daten des Verantwortlichen bei dem Verantwortlichen liegt.

(2) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragsverarbeiters – bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Die Regelungen dieser Vereinbarung gelten auch nach einer Beendigung des Auftrages bis zur vollständigen Vernichtung oder Rückgabe aller personenbezogenen Daten des Verantwortlichen an den Verantwortlichen fort.

(4) Im Übrigen gelten die Bestimmungen des Auftrages entsprechend.

(5) Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Verantwortlichen verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

(6) Die Parteien haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung. Im Falle einer Inanspruchnahme des Verantwortlichen durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, verpflichtet sich der Auftragsverarbeiter den Verantwortlichen bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.

(7) Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

(8) Es gilt deutsches Recht.

(9) Der Verantwortliche kann den Auftrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Verantwortlichen vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in dieser Vereinbarung vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

(10) Im Falle von Widersprüchen zwischen den Bestimmungen dieser Vereinbarung und anderer zwischen den Parteien geschlossener Verträge haben die Bestimmungen dieser Vereinbarung Vorrang.

Unterschriften

Unterschrift Verantwortlicher

1:
(Ort, Datum) (Unterschrift Verantwortlicher)

2:
(Ort, Datum) (Unterschrift Verantwortlicher)

Unterschrift Auftragsverarbeiter

(Ort, Datum) (Unterschrift Auftragsverarbeiter)

Anhang 1

Abschnitt 1 – Beschreibung der Verarbeitungen

Beschreibung der Verarbeitungen	Kategorien der betroffenen Personen	Art der personenbezogenen Daten
Casebase ist eine Software as a Service Lösung für Daten & KI Use Case Management, die beim Dokumentieren, Managen und Steuern entlang des gesamten Lebenszyklus von KI Use Cases unterstützt. Kunden legen bei Casebase ein Profil an mit Namen, E-Mail-Adresse und Passwort. Es gibt ein aktives Nutzermanagement und Admin-Rechte für die Softwareeinstellungen.	Nutzer: Beschäftigte des Auftraggebers	Benutzerkonten (z.B. Name, E-Mail, Passwort, Einstellungen) Organisationsdaten (z.B. Unternehmen, Abteilung, Team, Rolle) Profilangaben (z.B. Job-Titel)

Die Verarbeitung personenbezogener Daten erfolgt
☐ nicht ☒ teilweise ☐ vollständig
in nicht ausschließlich vom Auftragsverarbeiter genutzten Räumlichkeiten (z. B. Co-Working-Space, Privatwohnung).

Abschnitt 2 – Dauer des Vertrages

Die Dauer des Auftrags bestimmt sich nach den Regelungen des Hauptvertrages.

Abschnitt 3 – Datenschutzbeauftragter des Auftragsverarbeiters

Name: Thomas Regier │ DataCo GmbH
Kontakt: 089740045840 / datenschutz@dataguard.de

Abschnitt 4 – Weisungsberechtigte Personen des Verantwortlichen

Name	Fachbereich und Position	Kontakt
(vom Verantwortlichen auszufüllen)

Weisungsempfänger beim Auftragsverarbeiter:

Name	Fachbereich und Position	Kontakt
Marc Böggemann	Head of Business Operations	marc.boeggemann@alexanderthamm.com

Abschnitt 5 – Unterauftragsverarbeiter

Vollständige Firmierung, Adresse, Land	Verarbeitungen	Vertragliche Beziehung
Amazon Web Services (AWS) Frankfurt, Deutschland	Cloud Hosting	AWS_GDPR_DPA.pdf
Functional Software, Inc. d/b/a Sentry 45 Fremont Street, San Francisco, CA 94105, USA (Datenverarbeitung auf EU-Servern)	Fehlermonitoring und Stabilitätssicherung der Applikation	https://sentry.io/legal/dpa/ Kein Drittlandtransfer (Datenverarbeitung auf EU-Servern)
Pendo.io, Inc. 150 Fayetteville St, Raleigh, NC 27601, USA	Produktanalyse und Nutzungsstatistiken	https://www.pendo.io/legal/privacy-policy/ Drittlandtransfer USA – Grundlage: EU-US Data Privacy Framework und Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO

Anhang 2: Technisch-organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO

Allgemeines

Maßnahme	Umsetzung
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen	Jährliche interne Audits des gesamten Managementsystems, jährliche externe Überwachungsaudits im Rahmen der ISO 27001 Zertifizierung, dreijährige Rezertifizierung nach ISO 27001 und TISAX, jährliches Penetrationstesting, kontinuierliches Monitoring.
Maßnahmen zur Gewährleistung der Systemkonfiguration, einschließlich der Standardkonfiguration	Richtlinien für Standardkonfigurationen von IT-Systemen und Anwendungen; Verwendung von Images und Vorlagen; automatisierte Systembereitstellung; Implementierung von Härtungsmaßnahmen.
Maßnahmen für die interne Governance und Verwaltung der IT und der IT-Sicherheit	Entwicklung, Umsetzung und mindestens jährliche Überprüfung von Richtlinien und Prozessen; Risikomanagement; disziplinarische Trennung zwischen operativer IT und überwachender Funktion des Informationssicherheitsbeauftragten.
Maßnahmen zur Zertifizierung/Qualitätssicherung von Prozessen und Produkten	Zertifizierung nach internationalen Standards (ISO 27001, ISO 9001, TISAX); regelmäßige interne Audits; kontinuierlicher Verbesserungsprozess; Feedback- und Beschwerdemanagement.
Maßnahmen zur Gewährleistung der Datenminimierung	Erfassung von zweckgebundenen Daten; Beschränkung des Zugriffs; Verschlüsselung; Schulung der Mitarbeiter; regelmäßige automatisierte Bereinigung von Daten entsprechend des Löschkonzeptes.
Maßnahmen zur Vermeidung einer Vorratsdatenspeicherung	Datenminimierung; regelmäßige automatisierte Löschprozesse; Verschlüsselung; jährlich verpflichtende Schulung der Mitarbeiter.
Maßnahmen zur Gewährleistung der Rechenschaftspflicht	Jährlicher Review von Datenschutz- und Informationssicherheitsrichtlinien; Dokumentation von Datenschutzmaßnahmen (AVV, Risikomanagement, DSFA); Verzeichnis von Verarbeitungstätigkeiten.
Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur Gewährleistung der Löschung	Exportfunktionen; standardisierte Datenformate (JSON, XML, CSV); API-Zugriffe; gängige Übertragungsprotokolle (FTP, SFTP); zertifizierte und protokollierte Datenlöschung (z.B. Certus).

Vertraulichkeit

Maßnahme	Umsetzung
Maßnahmen der Pseudonymisierung und Verschlüsselung personenbezogener Daten	Austausch von direkten Identifikatoren durch pseudonyme Kennungen; Rotation von Pseudonymisierungsschlüsseln; separate Aufbewahrung der Schlüssel; AES-256-Verschlüsselung für gespeicherte Daten.
Maßnahmen zur Identifizierung und Autorisierung der Nutzer	Eindeutige Benutzerkennung; MFA; Single-Sign-On (SSO); zentrales Identity und Access Management (IAM); rollenbasierte Zugriffskontrolle (RBAC).
Maßnahmen zum Schutz der Daten während der Übermittlung	Verschlüsselte Kommunikation mittels HTTPS, SSL/TLS; VPN; sichere E-Mail; Ende-zu-Ende-Verschlüsselung bei sensitiven Übertragungen.
Maßnahmen zum Schutz der Daten während der Speicherung	Verschlüsselung at rest (AES-256); Segmentierung und Isolierung von Daten; Schulung der Mitarbeiter; mehrmals tägliche Datensicherung; sichere Konfiguration und regelmäßige Updates.
Maßnahmen zur Gewährleistung der physischen Sicherheit	Mehrstufiges Zonenkonzept; Begleitung von Besuchern; abschließbare Türen; Sichtschutz; Zutrittskontrolle per Chipkarte/Schlüssel; Videoüberwachung in Sicherheitsbereichen.

Integrität

Maßnahme	Umsetzung
Maßnahmen zur Gewährleistung der Protokollierung von Ereignissen	Protokollierungsrichtlinien; automatisierte und gesicherte Protokollierung; langfristige Speicherung von Logs; Zeitstempel; Verschlüsselung von Logs; regelmäßige Auswertung auf Auffälligkeiten.
Maßnahmen zur Gewährleistung der Datenqualität	Datenvalidierung durch Validierungsskripte, Datenbankconstraints oder reguläre Ausdrücke; standardisierte Qualitätsmetriken; automatisierte Bereinigung; Deduplizierung.
Maßnahmen zur Gewährleistung der Datentrennung	Netzwerktrennung; physische Trennung von Servern; Mandantentrennung mit strikter Datenisolation; rollenbasierte Zugriffssteuerung; Partitionierung von Datenbanken; Verschlüsselung.

Verfügbarkeit

Maßnahme	Umsetzung
Maßnahmen zur Gewährleistung der jederzeitigen Verfügbarkeit	Mehrmals tägliche Datensicherung (3-2-1- und Mehrgenerationenprinzip); jährlicher Review und Verprobung von DR/BCP-Plänen; redundante Infrastruktur; automatisches Failover.
Maßnahmen zur Sicherstellung der raschen Wiederherstellung bei Zwischenfällen	Disaster Recovery und Business Continuity Pläne inkl. regelmäßiger Übungen; Notfallteam; Fail-Over-Mechanismen; regelmäßiger Test von Backups; automatisierte mehrmals tägliche Datensicherung.

Legal