Vereinbarung zur Auftragsverarbeitung

1. Gegenstand und Dauer der Verarbeitung

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Sinne von Art. 28 Datenschutz-Grundverordnung („DSGVO“).
2. Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung und der Support der SaaS-Plattform CustCom einschließlich damit verbundener technischer und organisatorischer Leistungen. CustCom ist eine webbasierte Business-Softwareplattform für Aufgabenmanagement, Zeiterfassung, Rechnungsstellung, Reporting und Kundenkommunikations-Workflows.
3. Die Verarbeitung erfolgt ausschließlich auf Grundlage dieser Vereinbarung, des Hauptvertrags über die Nutzung der SaaS-Plattform CustCom sowie dokumentierter Weisungen des Auftraggebers.
4. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags. Diese Vereinbarung endet automatisch mit vollständiger Beendigung der Verarbeitung personenbezogener Daten durch den Auftragnehmer, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

2. Art und Zweck der Verarbeitung

1. Die Verarbeitung dient der Nutzung der SaaS-Plattform CustCom durch den Auftraggeber, insbesondere zur Verwaltung von Aufgaben, Projekten, Zeiterfassung, Rechnungsstellung, Reporting, Kundenkommunikation und vergleichbaren Geschäftsvorgängen.
2. Der Auftragnehmer verarbeitet personenbezogene Daten insbesondere durch:
   • Speicherung
   • Organisation
   • Strukturierung
   • Änderung
   • Auslesen
   • Abfrage
   • Nutzung
   • Übermittlung im Rahmen der Plattformfunktionen
   • Einschränkung
   • Löschung oder Vernichtung
3. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt, soweit diese Vereinbarung oder der Hauptvertrag nichts anderes ausdrücklich zulassen.

3. Kategorien betroffener Personen

Je nach Nutzung der SaaS-Plattform CustCom durch den Auftraggeber können insbesondere folgende Kategorien betroffener Personen betroffen sein:

1. Mitarbeitende und freie Mitarbeitende des Auftraggebers
2. Kunden, Interessenten und Geschäftspartner des Auftraggebers
3. Ansprechpartner bei Unternehmen
4. Projekt- und Aufgabenbeteiligte
5. Nutzer der SaaS-Plattform CustCom
6. Sonstige Personen, deren Daten der Auftraggeber in der Plattform verarbeitet

4. Kategorien personenbezogener Daten

Je nach Nutzung durch den Auftraggeber können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

1. Stammdaten, z. B. Name, Firma, Anschrift
2. Kontaktdaten, z. B. E-Mail-Adresse, Telefonnummer
3. Nutzer- und Zugangsdaten, z. B. Benutzername, Rollen, Berechtigungen
4. Aufgaben- und Projektdaten
5. Zeit- und Leistungsdaten
6. Rechnungs- und Abrechnungsdaten
7. Kommunikations-, Dokumentations- und Notizdaten
8. KI-Assistenten-Daten, soweit der Auftraggeber diese Funktion nutzt
9. Technische Nutzungsdaten, z. B. Logdaten, IP-Adresse, Zeitstempel
10. Support- und Kommunikationsinhalte, soweit vom Auftraggeber bereitgestellt

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind nicht Gegenstand der vereinbarten Verarbeitung, sofern der Auftraggeber diese nicht eigenverantwortlich in die Plattform eingibt. In diesem Fall bleibt der Auftraggeber für die Rechtmäßigkeit der Eingabe und Verarbeitung verantwortlich.

5. Verantwortlichkeit und Weisungsrecht des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten sowie für die Wahrung der Rechte betroffener Personen verantwortlich.
2. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist.
3. Weisungen können sich aus dem Hauptvertrag, dieser Vereinbarung, der Nutzung der Plattformfunktionen oder gesonderten schriftlichen Weisungen ergeben.
4. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
5. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

6. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere:

1. personenbezogene Daten nur im Rahmen dieser Vereinbarung und der dokumentierten Weisungen des Auftraggebers zu verarbeiten
2. Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO sicherzustellen
3. geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen
4. den Auftraggeber nach Möglichkeit bei der Erfüllung von Betroffenenrechten zu unterstützen
5. den Auftraggeber bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden angemessen zu unterstützen, soweit dies die Verarbeitung durch den Auftragnehmer betrifft
6. personenbezogene Daten nach Abschluss der Verarbeitung nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine gesetzliche Pflicht zur Speicherung besteht
7. dem Auftraggeber die zur Prüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen bereitzustellen
8. Unterauftragsverarbeiter nur nach Maßgabe dieser Vereinbarung einzusetzen

7. Vertraulichkeit

1. Der Auftragnehmer stellt sicher, dass Personen, die mit der Verarbeitung personenbezogener Daten befasst sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Tätigkeit fort.
3. Der Auftragnehmer beschränkt den Zugriff auf personenbezogene Daten auf diejenigen Personen, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen.

8. Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
2. Die Maßnahmen berücksichtigen insbesondere:
   • Vertraulichkeit
   • Integrität
   • Verfügbarkeit
   • Belastbarkeit der Systeme und Dienste
   • Wiederherstellbarkeit bei Zwischenfällen
   • regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen
3. Die konkret vereinbarten technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 1.
4. Der Auftragnehmer darf technische und organisatorische Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

9. Unterstützung bei Betroffenenrechten

1. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Ansprüchen betroffener Personen.
2. Dies betrifft insbesondere Anfragen auf:
   • Auskunft
   • Berichtigung
   • Löschung
   • Einschränkung der Verarbeitung
   • Datenübertragbarkeit
   • Widerspruch
3. Geht eine Anfrage einer betroffenen Person unmittelbar beim Auftragnehmer ein und betrifft diese Daten des Auftraggebers, wird der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiterleiten, sofern eine Zuordnung möglich ist.
4. Der Auftragnehmer beantwortet solche Anfragen nicht eigenständig, es sei denn, der Auftraggeber hat ihn hierzu angewiesen oder eine gesetzliche Pflicht besteht.

10. Datenschutzverletzungen und Sicherheitsvorfälle

1. Der Auftragnehmer informiert den Auftraggeber unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Auftraggebers betrifft.
2. Die Information soll, soweit verfügbar, insbesondere enthalten:
   • Art des Vorfalls
   • betroffene Datenkategorien
   • betroffene Personengruppen
   • voraussichtliche Folgen
   • ergriffene oder vorgeschlagene Gegenmaßnahmen
3. Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung gesetzlicher Melde- und Benachrichtigungspflichten gemäß Art. 33 und 34 DSGVO.
4. Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen sind unverzüglich einzuleiten.

11. Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt den Einsatz von Unterauftragsverarbeitern durch den Auftragnehmer, soweit diese zur Bereitstellung, zum Betrieb, zur Wartung, zur Sicherheit oder zum Support der SaaS-Plattform CustCom erforderlich sind.
2. Der Auftragnehmer stellt sicher, dass mit Unterauftragsverarbeitern Vereinbarungen geschlossen werden, die ein mit dieser Vereinbarung vergleichbares Datenschutzniveau gewährleisten.
3. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung der Pflichten durch Unterauftragsverarbeiter verantwortlich.
4. Eine Liste der zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ist in Anlage 2 enthalten.
5. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen beim Einsatz von Unterauftragsverarbeitern in angemessener Weise. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
6. Erfolgt kein Widerspruch innerhalb von 14 Kalendertagen nach Information, gilt die Änderung als genehmigt.

12. Drittlandübermittlungen

1. Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
2. Der Auftragnehmer stellt sicher, dass geeignete Garantien bestehen, insbesondere durch:
   • Angemessenheitsbeschluss der Europäischen Kommission
   • EU-Standardvertragsklauseln
   • verbindliche interne Datenschutzvorschriften
   • sonstige nach der DSGVO zulässige Instrumente
3. Details zu möglichen Drittlandübermittlungen ergeben sich aus Anlage 2.

13. Kontroll- und Nachweispflichten

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.
2. Nachweise können insbesondere erfolgen durch:
   • Dokumentation technischer und organisatorischer Maßnahmen
   • geeignete Zertifizierungen
   • Prüfberichte
   • Sicherheitskonzepte
   • Selbstauskünfte
3. Vor-Ort-Kontrollen sind nur nach angemessener vorheriger Ankündigung, während üblicher Geschäftszeiten und unter Wahrung der Betriebs- und Geschäftsgeheimnisse des Auftragnehmers zulässig.
4. Kontrollen dürfen den Geschäftsbetrieb des Auftragnehmers nicht unverhältnismäßig beeinträchtigen.
5. Der Auftraggeber trägt die durch eine Kontrolle entstehenden angemessenen Kosten, sofern die Kontrolle nicht aufgrund eines begründeten Verdachts auf einen Datenschutzverstoß erforderlich ist.

14. Löschung und Rückgabe von Daten

1. Nach Beendigung des Hauptvertrags oder auf Weisung des Auftraggebers löscht der Auftragnehmer personenbezogene Daten oder gibt sie an den Auftraggeber zurück, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht.
2. Die Löschung erfolgt nach Ablauf technisch erforderlicher Sicherungs- und Backup-Zyklen, soweit eine frühere Löschung technisch nicht möglich oder wirtschaftlich unverhältnismäßig ist.
3. Während dieser Übergangszeit werden die Daten nicht mehr aktiv verarbeitet und nur noch zur Wiederherstellung, Sicherheit oder Erfüllung gesetzlicher Pflichten genutzt.
4. Der Auftragnehmer bestätigt die Löschung auf Anfrage in geeigneter Form.

15. Mitwirkungspflichten des Auftraggebers

Der Auftraggeber verpflichtet sich:

1. personenbezogene Daten nur rechtmäßig in der SaaS-Plattform CustCom zu verarbeiten
2. sicherzustellen, dass die betroffenen Personen ordnungsgemäß informiert wurden
3. Zugriffsrechte innerhalb der Plattform eigenverantwortlich zu verwalten
4. nur solche Daten einzugeben, deren Verarbeitung für den jeweiligen Zweck erforderlich ist
5. keine besonderen Kategorien personenbezogener Daten einzugeben, sofern dies nicht ausdrücklich vereinbart und rechtlich abgesichert ist
6. Weisungen klar, nachvollziehbar und dokumentiert zu erteilen
7. den Auftragnehmer unverzüglich zu informieren, wenn Datenschutzrisiken oder unzulässige Nutzungen bekannt werden

16. Haftung

1. Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften sowie nach den Regelungen des Hauptvertrags.
2. Soweit zwischen Regelungen des Hauptvertrags und dieser Vereinbarung Widersprüche bestehen, gehen die Datenschutzregelungen dieser Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten vor.

17. Vergütung für Zusatzaufwände

1. Leistungen des Auftragnehmers, die über die vertraglich geschuldete Bereitstellung der SaaS-Plattform CustCom hinausgehen, können gesondert vergütet werden.
2. Dies gilt insbesondere für umfangreiche Unterstützungsleistungen bei Betroffenenanfragen, Audits, Datenschutz-Folgenabschätzungen oder Sonderauswertungen, soweit der Aufwand nicht vom Auftragnehmer zu vertreten ist.
3. Die Parteien stimmen sich vor Entstehung erheblicher Zusatzkosten ab.

18. Rangfolge und Schlussbestimmungen

1. Diese Vereinbarung ergänzt den Hauptvertrag zwischen den Parteien über die Nutzung der SaaS-Plattform CustCom.
2. Im Fall von Widersprüchen gehen die Regelungen dieser Vereinbarung vor, soweit sie datenschutzrechtliche Anforderungen an die Auftragsverarbeitung betreffen.
3. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist.
4. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
5. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Osnabrück, soweit zwingendes Recht nicht entgegensteht.

Anlage 1: Technische und organisatorische Maßnahmen

Die folgenden technischen und organisatorischen Maßnahmen beschreiben das grundsätzliche Schutzniveau des Auftragnehmers für die SaaS-Plattform CustCom.

Anlage 2: Unterauftragsverarbeiter

Der Auftragnehmer setzt folgende Unterauftragsverarbeiter zum Zeitpunkt dieser Fassung ein. Wesentliche Änderungen werden gemäß Ziffer 11 mitgeteilt.

Der Auftragnehmer informiert den Auftraggeber über wesentliche Änderungen dieser Liste gemäß Ziffer 11 dieser Vereinbarung.

Anlage 3: Beschreibung der Verarbeitung

Anlage 4: Weisungs- und Kontaktstellen

Weisungen des Auftraggebers sind grundsätzlich in Textform an die benannte Kontaktstelle des Auftragnehmers zu richten.