Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

zwischen

dem Unternehmen, das im elektronischen Annahmeformular angegeben ist („Auftraggeber“, Verantwortlicher)

und

MKBurg Process Experiences GmbH, Fahrenkrön 122a, 22179 Hamburg, vertreten durch den Geschäftsführer Mirko Kloppenburg, Amtsgericht Hamburg HRB 185292 („Auftragnehmer“, Auftragsverarbeiter)

Beide gemeinsam „Parteien“.

Präambel

Der Auftraggeber nutzt die Software-as-a-Service-Lösung RocketBPM (app.rocketbpm.com) des Auftragnehmers zur Modellierung, Veröffentlichung und Pflege von Prozessen. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Rechte und Pflichten der Parteien dabei. Er ergänzt den Hauptvertrag über die Nutzung von RocketBPM (Allgemeine Geschäftsbedingungen oder individueller Vertrag, „Hauptvertrag“).

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs von RocketBPM für den Auftraggeber.

(2) Der Vertrag gilt ab Annahme im elektronischen Formular. Er endet mit dem Hauptvertrag. Pflichten, die ihrer Natur nach darüber hinauswirken (insbesondere Vertraulichkeit, Löschung, Nachweise), bleiben bestehen.

§ 2 Art, Zweck, Daten und Betroffene

(1) Art, Zweck, Datenarten und betroffene Personen ergeben sich aus Anlage 1.

(2) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistung und nicht zu eigenen Zwecken, soweit Absatz 4 nichts anderes bestimmt.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO) sind nicht Gegenstand dieses Vertrags. Der Auftraggeber darf solche Daten nicht in RocketBPM eintragen, auch nicht in Freitexten, Bewertungen oder Beschreibungen.

(4) Abgrenzung: Für Konto-Stammdaten der Nutzer (Name, E-Mail-Adresse, Spracheinstellung, Newsletter-Wahl) nutzt der Auftragnehmer diese Daten außerdem in eigener Verantwortung zur Betreuung von Nutzern und Kunden und, bei Einwilligung der betreffenden Person, für den Newsletter. Dafür ist er selbst Verantwortlicher. Einzelheiten stehen in der Datenschutzerklärung von RocketBPM. Die übrigen Daten (insbesondere Inhalte in Process Worlds) nutzt er dafür nicht.

(5) Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Betroffenen und, soweit erforderlich, die Beteiligung von Betriebsrat oder Personalvertretung. Das gilt vor allem für Daten zu Rollenzuordnungen, Teams, Qualifikationen und Kontaktdaten von Beschäftigten.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei der Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.

(2) Der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen von RocketBPM durch den Auftraggeber und seine Nutzer sind die Weisungen. Zusätzliche Einzelweisungen erteilt der Auftraggeber in Textform (E-Mail genügt) an info@mkburg.de.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Pflichten des Auftragnehmers

(1) Vertraulichkeit: Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Das gilt auch für Personen des Unterauftragnehmers.

(2) Datenschutz-Ansprechperson: Ansprechperson des Auftragnehmers für Datenschutzfragen ist Mirko Kloppenburg, info@mkburg.de.

(3) Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten für Auftragsverarbeitung (Art. 30 Abs. 2 DSGVO).

(4) Zusammenarbeit: Der Auftragnehmer arbeitet mit Aufsichtsbehörden zusammen und informiert den Auftraggeber über Kontrollen oder Maßnahmen, soweit sie diese Auftragsverarbeitung betreffen.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen zur Sicherheit der Verarbeitung (Art. 32 DSGVO).

(2) Die Maßnahmen entwickeln sich mit dem Stand der Technik weiter. Der Auftragnehmer darf sie ändern, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er auf Anfrage mit.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt eine allgemeine Genehmigung für den Einsatz der in Anlage 3 genannten Unterauftragnehmer.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzunahme oder Ersetzung. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen, ohne dass ihm Kosten entstehen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Er haftet gegenüber dem Auftraggeber für dessen Pflichterfüllung.

§ 7 Drittlandübermittlung

(1) Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Ausnahmen sind die in Anlage 3 genannten Zugriffe von Unterauftragnehmern in Drittländern.

(2) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln der EU-Kommission (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) mit geeigneten zusätzlichen Maßnahmen.

(3) Soweit der Auftraggeber selbst in einem Drittland sitzt, gelten die Standardvertragsklauseln nach Absatz 2 nur im Verhältnis zum Unterauftragnehmer.

§ 8 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Anfragen Betroffener leitet er unverzüglich an den Auftraggeber weiter, ohne selbst zu antworten, soweit nicht anders vereinbart.

(2) Er unterstützt außerdem bei Sicherheit der Verarbeitung, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO), soweit die Informationen beim Auftragnehmer vorliegen.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten in diesem Auftrag unverzüglich, spätestens 48 Stunden nach Kenntnis, an die im Annahmeformular genannte Kontaktadresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Daten und Personen (ungefähr), wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Der Auftraggeber darf Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Er kündigt sie mit mindestens 30 Tagen Frist an, führt sie zu den üblichen Geschäftszeiten ohne wesentliche Störung durch, höchstens einmal jährlich, außer bei konkretem Anlass wie einer Datenschutzverletzung.

(3) Der Auftragnehmer darf zunächst durch aktuelle Nachweise genügen (zum Beispiel Zertifikate, Prüfberichte, Beschreibung der Maßnahmen), sofern sie die Prüfziele abdecken. Dem Auftraggeber entstehende Kosten trägt dieser, der Auftragnehmer erhält angemessenen Ersatz für erheblichen Mehraufwand.

§ 11 Rückgabe und Löschung

(1) Nach Vertragsende gibt der Auftragnehmer dem Auftraggeber auf Wunsch die Daten in einem gängigen, maschinenlesbaren Format heraus, soweit RocketBPM einen Export bietet. Das Verlangen muss innerhalb von 30 Tagen nach Vertragsende gestellt werden.

(2) Danach löscht der Auftragnehmer die Daten des Auftraggebers aus den Produktivsystemen und bestätigt dies auf Anfrage in Textform. Daten in Sicherungen werden spätestens nach 90 Tagen überschrieben.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Betroffen sind nur Daten, für die der Auftragnehmer selbst Verantwortlicher ist (Abrechnung, § 2 Abs. 4). Protokolle (Audit- und Aktivitätsprotokoll) werden nach 12 Monaten gelöscht.

§ 12 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und im Innenverhältnis nach den Haftungsregeln des Hauptvertrags.

§ 13 Vergütung

Für die Erfüllung dieses Vertrags fällt keine gesonderte Vergütung an. Für Unterstützungsleistungen, die über den üblichen Rahmen hinausgehen (z. B. individuelle Prüfungen nach § 10 Abs. 2, außergewöhnliche Auskunfts- oder Löschwünsche), kann der Auftragnehmer eine angemessene Vergütung nach Aufwand verlangen.

§ 14 Schlussbestimmungen

(1) Form: Der Vertrag kommt elektronisch zustande, indem die vertretungsberechtigte Person des Auftraggebers ihn im Annahmeformular bestätigt und der Auftragnehmer die Annahme bestätigt (Art. 28 Abs. 9 DSGVO). Änderungen und Ergänzungen bedürfen der Textform.

(2) Rangfolge: Bei Widersprüchen im Datenschutzrecht geht dieser Vertrag dem Hauptvertrag vor.

(3) Recht und Gerichtsstand: Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit zulässig, Hamburg.

(4) Salvatorische Klausel: Ist eine Regelung unwirksam, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Regelung durch eine wirksame mit möglichst gleichem Zweck.

(5) Sprache: Der Vertrag liegt auf Deutsch und Englisch vor. Bei Abweichungen gilt die deutsche Fassung.

Anlage 1 – Gegenstand der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

Anlage 3 – Unterauftragnehmer

Ergänzung: Anmeldung über Google oder Microsoft sowie Einbettung von YouTube erfolgen nur auf Veranlassung der Nutzer. Die Anbieter sind dann eigene Verantwortliche und keine Unterauftragnehmer.