Auftragsverarbeitungsvertrag (AVV)

Parteien: (1) der Kunde, der Verantwortliche („Verantwortlicher“), und (2) die PASO CLEANING EOOD, die unter der Bezeichnung IT bugsolutions auftritt, ul. Musala 8, 5138 Polikraishte, Bulgarien, BG202091716, contact@itbugsolutions.com („Auftragsverarbeiter“). Begriffe wie „personenbezogene Daten“, „Verarbeitung“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung der DSGVO. Dieser Vertrag erfüllt die Anforderungen des Art. 28 Abs. 3 DSGVO.

1. Gegenstand, Dauer, Art und Zweck

1.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Durchführung des Auftrags oder Wartungsplans erforderlich ist: Diagnose und Reparatur der Website oder Software, Erstellung und Speicherung von Backups, Updates, Überwachung und Sicherheitsprüfungen (Anlage 1).

1.2 Dauer: entsprechend der Laufzeit des Auftrags oder Wartungsplans, zuzüglich des für Rückgabe oder Löschung erforderlichen Zeitraums (Ziffer 9).

1.3 Der Auftragsverarbeiter bestimmt Zwecke und Mittel der Verarbeitung nicht über das hinaus, was zur Erbringung der Leistung erforderlich ist. Tut er es doch, wird er für diese Verarbeitung selbst Verantwortlicher.

2. Weisungen

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen: das Angebot, die AGB, dieser Vertrag und spätere Weisungen in Textform (E-Mail genügt).

2.2 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Vorschriften verstößt, und darf die Ausführung dieser Weisung aussetzen, bis die Angelegenheit geklärt ist.

2.3 Gesetzlich vorgeschriebene Verarbeitung: Der Auftragsverarbeiter informiert den Verantwortlichen vorab, es sei denn, das Gesetz verbietet dies.

2.4 Der Verantwortliche stellt sicher, dass er eine Rechtsgrundlage, die gegebenenfalls erforderlichen Informationen an Betroffene und das Recht hat, dem Auftragsverarbeiter Zugang zu gewähren.

3. Vertraulichkeit

Personen, die für den Auftragsverarbeiter handeln und Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet (vertraglich oder gesetzlich) und haben nur insoweit Zugang, wie es für den Auftrag erforderlich ist.

4. Sicherheit

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO), mindestens die in Anlage 2, und hält sie auf dem aktuellen Stand. Der Verantwortliche bleibt für die Sicherheit seiner eigenen Systeme und für die von ihm bereitgestellten Zugangsdaten verantwortlich (Ziffer 6 der AGB).

5. Unterauftragsverarbeiter

5.1 Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der in Anlage 3 aufgeführten oder nach dieser Ziffer ergänzten Unterauftragsverarbeiter.

5.2 Der Auftragsverarbeiter kündigt beabsichtigte Hinzufügungen oder Ersetzungen mindestens 14 Tage im Voraus an (per E-Mail oder auf der Liste auf der Website). Innerhalb dieser Frist kann der Verantwortliche in Textform unter Angabe von Gründen widersprechen. Findet sich keine Lösung, kann der Verantwortliche die betroffene Leistung für den verbleibenden Teil kostenlos beenden.

5.3 Der Auftragsverarbeiter legt dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie in diesem Vertrag und haftet gegenüber dem Verantwortlichen für die Leistung des Unterauftragsverarbeiters.

6. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei: (a) Anfragen Betroffener (Auskunft, Löschung usw.): Erhält der Auftragsverarbeiter eine solche Anfrage, leitet er sie unverzüglich weiter und beantwortet sie nicht selbst; (b) Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32 bis 36 DSGVO). Angemessene Unterstützung ist inbegriffen; umfangreiche Unterstützung kann zu einem vorab vereinbarten Satz berechnet werden.

7. Verletzungen des Schutzes personenbezogener Daten

7.1 Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich und strebt dies innerhalb von 48 Stunden nach Feststellung an, per E-Mail.

7.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und Anzahl, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechperson. Fehlende Angaben folgen so bald wie möglich.

7.3 Der Verantwortliche entscheidet über die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und an Betroffene (Art. 34 DSGVO). Der Auftragsverarbeiter wirkt mit.

8. Übermittlung außerhalb des EWR

8.1 Der Auftragsverarbeiter und seine Unterauftragsverarbeiter verarbeiten personenbezogene Daten vorzugsweise innerhalb des EWR. Eine Übermittlung in ein Land außerhalb des EWR erfolgt nur mit einem geeigneten Mechanismus: einem Angemessenheitsbeschluss oder Standardvertragsklauseln (SCC) der Europäischen Kommission mit ergänzenden Maßnahmen, wo nötig. Zur Liste der Unterauftragsverarbeiter und Standorte: Anlage 3.

8.2 Ist der Verantwortliche außerhalb des EWR niedergelassen, wirken die Parteien an der Herstellung eines gültigen Übermittlungsmechanismus mit und unterzeichnen, wo nötig, SCC. Ist der Verantwortliche in der Schweiz niedergelassen, gelten die Regelungen dieses Vertrags sinngemäß auch für Zwecke des Schweizer Datenschutzgesetzes (nDSG), soweit dieses anwendbar ist.

9. Rückgabe und Löschung

9.1 Nach Ende des Auftrags oder Plans löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie auf Wunsch des Verantwortlichen zurück, und zwar wie folgt: Zugangsdaten innerhalb von 7 Tagen; Arbeitsdateien und Kopien innerhalb von 30 Tagen; Backups innerhalb von 30 Tagen nach dem Ende (oder der früheren Ablauffrist des Plans), es sei denn, der Verantwortliche verlangt die Rückgabe früher oder das Gesetz verlangt die Aufbewahrung.

9.2 Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

9.3 Daten, die der Auftragsverarbeiter als Verantwortlicher behält (wie Akte und Rechnungen), unterliegen der Datenschutzerklärung.

10. Nachweise und Überprüfungen

10.1 Der Auftragsverarbeiter stellt auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung und ermöglicht Überprüfungen (einschließlich Inspektionen) durch den Verantwortlichen oder einen von ihm beauftragten Prüfer.

10.2 Überprüfungen werden mindestens 30 Tage im Voraus angekündigt, finden während der Geschäftszeiten statt, höchstens einmal im Jahr (außer nach einer Verletzung oder auf Anordnung einer Aufsichtsbehörde), ohne unangemessene Störung der Leistung, unter Vertraulichkeit und auf Kosten des Verantwortlichen. Der Auftragsverarbeiter darf zunächst einen Fragebogen oder eigene Berichte anbieten.

11. Haftung

Für die Haftung aus diesem Vertrag gilt Ziffer 16 der AGB, soweit gesetzlich zulässig und unbeschadet der Rechte Betroffener und der gesetzlichen Haftungsverteilung (Art. 82 DSGVO).

12. Schlussbestimmungen

12.1 Bei Widerspruch zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit es um personenbezogene Daten geht.

12.2 Anwendbares Recht und Gerichtsstand: wie in den AGB (Ziffer 22), unbeschadet zwingenden Rechts.

12.3 Dieser Vertrag gilt ab Annahme des Angebots und endet mit den Pflichten nach Ziffer 9.

Anlage 1 - Beschreibung der Verarbeitung

Anlage 2 - Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Zugriffskontrolle: minimale Rechte, getrennte Zugangsschlüssel je Kunde, wo möglich Zwei-Faktor-Authentifizierung, persönliche Konten, Zugang nach Abschluss entzogen.
2. Zugangsdaten: nur in einem verschlüsselten Passwortmanager; nie im Chat oder per einfacher E-Mail; innerhalb von 7 Tagen nach Abschluss gelöscht.
3. Verschlüsselung: Verbindungen über TLS/SSH/SFTP; Backups werden verschlüsselt gespeichert.
4. Backups: vor Änderungen und (Wartungsplan) täglich; Lesbarkeitsprüfung; Aufbewahrung je nach Plan; Speicherung bei einem Backup-Speicheranbieter im EWR.
5. Geräte: Festplattenverschlüsselung, Bildschirmsperre, aktuelle Betriebssysteme und Sicherheitssoftware auf den Geräten der Mitarbeiter.
6. Protokoll: wer, wann, welche Prüfung und Änderung je Auftrag; als Nachweis aufbewahrt.
7. Trennung: Kundendaten werden nicht für andere Kunden oder eigene Zwecke verwendet; keine Produktivdaten in Testumgebungen ohne Notwendigkeit.
8. KI-Werkzeuge: Kundenkommunikation und erste Analyse können durch KI unterstützt werden (Anthropic Claude); die Arbeit läuft so automatisiert wie möglich innerhalb von Menschen festgelegter Regeln; eine Person kann eingreifen und prüft Ausnahmen; keine Passwörter, keine personenbezogenen Daten von Endnutzern und möglichst wenige Daten; Maskierung, wo möglich; Anbieter vertraglich gebunden.
9. Mitarbeiter und Subunternehmer: Vertraulichkeit, Datenschutzunterweisung.
10. Vorfallverfahren: Erkennung, Bewertung, Meldung mit einem Zielwert von 48 Stunden (Ziffer 7), Wiederherstellung, Auswertung.
11. Löschung: sichere Löschung von Arbeitsdateien und Kopien am Ende (Ziffer 9).
12. Regelmäßige Überprüfung dieser Maßnahmen, mindestens jährlich.

Anlage 3 - Unterauftragsverarbeiter (allgemeine Genehmigung, Ziffer 5)

Tawk.to, Google und Stripe/PayPal verarbeiten Daten über unseren eigenen Kontakt mit dem Kunden (wir sind dann Verantwortlicher), nicht Daten aus Kundensystemen. Sie sind aus Transparenzgründen aufgeführt. Die aktuelle Liste stellen wir auf Anfrage zur Verfügung.