Art. 28 DSGVO

Auftragsverarbeitungsvertrag (AVV)

Version PLATZHALTER: 1.0 — Stand: PLATZHALTER: Datum

Hinweis: Diese AVV-Vorlage enthält PLATZHALTER für unternehmensspezifische Angaben. Vor dem produktiven Einsatz sollte der AVV durch einen Datenschutzexperten oder Rechtsanwalt geprüft werden. Der AVV wird Bestandteil des Hauptvertrags (AGB).

Präambel

Zwischen dem Kunden (nachfolgend „Auftraggeber" oder „Verantwortlicher") und PLATZHALTER: Firmenname, PLATZHALTER: Anschrift (nachfolgend „Auftragnehmer" oder „Auftragsverarbeiter") wird gemäß Art. 28 DSGVO dieser Auftragsverarbeitungsvertrag (AVV) geschlossen.

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der in § 1 beschriebenen Leistungen.

§ 1 Gegenstand, Dauer und Art der Verarbeitung

(1) Gegenstand: Der Auftragnehmer stellt dem Auftraggeber Hosting-Infrastruktur und das Kundenportal zur Verfügung. Im Rahmen dieser Tätigkeit verarbeitet der Auftragnehmer personenbezogene Daten ausschließlich auf Weisung des Auftraggebers.

(2) Dauer: Die Laufzeit des AVV entspricht der Laufzeit des Hauptvertrags (AGB). Nach Vertragsende gelten die Regelungen in § 9.

(3) Art der Verarbeitung: Speicherung, Übermittlung, Verarbeitung und Verwaltung personenbezogener Daten im Rahmen des Betriebs von:

§ 2 Art der Daten und Kategorien betroffener Personen

Kategorien personenbezogener Daten

Kategorien betroffener Personen

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragnehmer verpflichtet sich:

§ 4 Weisungsrecht des Auftraggebers

(1) Der Auftraggeber ist gegenüber dem Auftragnehmer weisungsberechtigt hinsichtlich der Verarbeitung personenbezogener Daten. Weisungen sind schriftlich oder per E-Mail zu erteilen.

(2) Der Auftragnehmer verarbeitet personenbezogene Daten nicht für eigene Zwecke, es sei denn, dies ist gesetzlich vorgeschrieben.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO).

(2) Die aktuell eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mit einer Frist von mindestens 30 Tagen vorab. Der Auftraggeber kann Änderungen aus berechtigten Datenschutzgründen widersprechen.

(3) Der Auftragnehmer legt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf wie in diesem AVV vereinbart (Art. 28 Abs. 4 DSGVO).

§ 6 Datenpannen (Art. 33/34 DSGVO)

(1) Der Auftragnehmer meldet dem Auftraggeber Datenpannen, die personenbezogene Daten des Auftraggebers betreffen, unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 24 Stunden, damit der Auftraggeber seine Meldefrist von 72 Stunden gemäß Art. 33 DSGVO gegenüber der Aufsichtsbehörde einhalten kann.

(2) Die Meldung enthält mindestens: Art der Panne, betroffene Datenkategorien und betroffene Personen (soweit bekannt), voraussichtliche Folgen sowie ergriffene und geplante Maßnahmen.

§ 7 Audits und Kontrollen

Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV durch den Auftragnehmer zu kontrollieren. Der Auftragnehmer kann der Durchführung von Audits durch Vorlage aktueller Zertifikate (z. B. ISO 27001, SOC 2) oder Prüfberichte anerkannter Prüfer entsprechen.

§ 8 Haftung

Die Haftungsregelungen des Hauptvertrags gelten entsprechend. Im Außenverhältnis haften Auftraggeber und Auftragnehmer gemäß Art. 82 DSGVO nach Maßgabe der dort festgelegten Anforderungen.

§ 9 Rückgabe und Löschung nach Vertragsende

Nach Beendigung des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber alle personenbezogenen Daten in einem gängigen Exportformat zur Verfügung und löscht danach alle Kopien, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Verlangen schriftlich bestätigt.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat folgende TOMs gemäß Art. 32 DSGVO implementiert:

Zugangskontrolle

Zugriffskontrolle

Transportverschlüsselung

Datenschutz durch Technikgestaltung

Protokollierung und Nachvollziehbarkeit

Verfügbarkeit

Trennungskontrolle

Anlage 2: Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden eingesetzt:

PLATZHALTER: Diese Liste muss vor dem Go-Live vollständig ausgefüllt werden. Typische Einträge: Rechenzentrum/Hoster, SMTP-Dienstleister, DNS-Provider, Monitoring-Dienst.