Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Stand: [Datum einsetzen], Version 1.0

zwischen dem Kunden laut Registrierung in Cockpita („Auftraggeber“) und Felix Thoennessen GmbH, Gilbachstraße 8, 40219 Düsseldorf, Mail: hallo@cockpita.com („Auftragnehmer“)

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer stellt dem Auftraggeber die Software Cockpita bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.
2. Dieser Vertrag gilt für die Dauer des Hauptvertrags (AGB) und endet mit diesem.

§ 2 Art, Zweck und Betroffene

1. Zweck: Bereitstellung, Betrieb, Wartung und Support von Cockpita.
2. Art der Verarbeitung: Speichern, Abrufen, Anzeigen, Ordnen, Abgleichen mit verbundenen Kalendern, Versenden von Mails und Benachrichtigungen, Löschen.
3. Datenarten: Stammdaten (Name, Firma, Position), Kontaktdaten (Mail, Telefon, Adresse), Termin und Kalenderdaten, Kommunikationsinhalte (Chat, Notizen, Kommentare), Vertriebsdaten (Deals, Aktivitäten), Buchungsdaten, Dateien und Bilder, Nutzungs und Protokolldaten.
4. Betroffene: Beschäftigte des Auftraggebers, seine Kunden, Interessenten, Geschäftspartner sowie Personen, die über Buchungsseiten Termine buchen.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen von Cockpita.
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verpflichtet alle Personen mit Zugriff auf Vertraulichkeit.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1.
3. Er unterstützt den Auftraggeber bei Anfragen Betroffener, insbesondere durch Export und Löschfunktionen in Cockpita.
4. Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
5. Er unterstützt den Auftraggeber bei Datenschutz Folgenabschätzungen, soweit erforderlich.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
2. Der Auftragnehmer informiert den Auftraggeber mindestens [4] Wochen vor dem Einsatz neuer Unterauftragsverarbeiter, zum Beispiel per Mail oder über die Liste unter /unterauftragsverarbeiter. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Hauptvertrag kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss wie das EU US Data Privacy Framework oder durch Standardvertragsklauseln.

§ 7 Kontrollrechte

1. Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen. Dazu stellt der Auftragnehmer auf Anfrage geeignete Nachweise bereit, etwa Zertifikate der Hosting Partner oder eine aktuelle Beschreibung der Maßnahmen.
2. Vor Ort Kontrollen sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich. Der Auftragnehmer kann dafür eine angemessene Vergütung verlangen.

§ 8 Löschung und Rückgabe

1. Nach Vertragsende kann der Auftraggeber seine Daten [30] Tage lang exportieren.
2. Danach löscht der Auftragnehmer alle Daten des Auftraggebers, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im regulären Zyklus von höchstens [30] Tagen überschrieben.

§ 9 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

§ 10 Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Vertraulichkeit:

1. Hosting in zertifizierten Rechenzentren der Unterauftragsverarbeiter (Zutrittskontrolle durch diese).
2. Anmeldung mit persönlichem Konto und Passwort, Passwörter nur als Hash gespeichert. [Zwei Faktor Anmeldung, sobald verfügbar.]
3. Rollen und Rechtekonzept (Owner, Admin, Mitglied). Private Inhalte nur für den Besitzer sichtbar.
4. Strikte technische Trennung der Daten jeder Firma durch Zugriffsregeln direkt in der Datenbank (Row Level Security).
5. Zugangsschlüssel zu Drittdiensten zusätzlich verschlüsselt gespeichert.
6. Administrativer Zugriff durch den Auftragnehmer nur, wenn für Betrieb oder Support nötig.

Integrität:

1. Verschlüsselte Übertragung aller Daten per TLS.
2. Prüfungen in der Datenbank verhindern Verknüpfungen zwischen Daten verschiedener Firmen.
3. Protokollierung sicherheitsrelevanter Vorgänge [Aktivitätsprotokoll, sobald verfügbar].

Verfügbarkeit und Belastbarkeit:

1. Regelmäßige automatische Datensicherungen durch den Hosting Partner.
2. Fehler in einzelnen Modulen werden isoliert, der Rest der Anwendung bleibt nutzbar.
3. Schutz öffentlicher Formulare durch Begrenzung der Anfragen.

Überprüfung:

1. Sicherheitsprüfung der Zugriffsregeln vor jeder Veröffentlichung neuer Module.
2. Verträge zur Auftragsverarbeitung mit allen Unterauftragsverarbeitern.
3. Prozess zur Meldung von Datenpannen innerhalb von 72 Stunden an die Aufsichtsbehörde.

Anlage 2: Unterauftragsverarbeiter