Vertrag über Auftragsverarbeitung im Sinne von Art. 28 Abs. 3 DSGVO

1. Allgemeine Bestimmungen und Vertragsgegenstand

1.1Gegenstand des vorliegenden Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer (Art. 28 DSGVO). Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Auftraggeber.

1.2Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten sowie Zweck der Vereinbarung sind Anlage 1 zu entnehmen.

1.3Die Verarbeitung der Daten durch den Auftragnehmer findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, einem Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des EWR-Abkommens statt. Die Verarbeitung außerhalb dieser Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit vorheriger Zustimmung oder nach vorheriger Weisung des Auftraggebers.

2. Vertragslaufzeit und Kündigung

Der vorliegende Vertrag wird auf unbestimmte Zeit geschlossen und kann von jeder Vertragspartei mit einer Frist von drei Monaten ordentlich gekündigt werden. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Sofern und soweit nach Beendigung dieses Vertrags die in Anlage 1 beschriebenen Daten weiterhin verarbeitet werden, gilt dieser Vertrag für diese Verarbeitungen bis zur Beendigung der Verarbeitung fort.

3. Weisungen des Auftraggebers

3.1Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung ggü. dem Auftragnehmer zu. Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren Rechtmäßigkeit der Auftragnehmer aus objektiv nachvollziehbaren Gründen anzweifelt, ist der Auftragnehmer berechtigt, deren Ausführung vorübergehend auszusetzen, bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert. Besteht die Möglichkeit, dass dem Auftragnehmer durch das Befolgen der Weisung ein Haftungsrisiko oder sonstige Schäden drohen, kann die Durchführung der Weisung bis zur Klärung der Haftung im Innenverhältnis – oder bis zu einer Einräumung sonstiger angemessener Sicherheiten durch den Auftraggeber zur Abwendung von Schäden des Auftragnehmers – ausgesetzt werden.

3.2Eine von den Weisungen oder ohne Weisungen des Auftraggebers abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zur Datenverarbeitung verpflichtet ist. Im Falle einer solchen Verarbeitung informiert der Auftragnehmer den Auftraggeber unverzüglich über die beabsichtigte oder bereits eingeleitete Verarbeitung, es sei denn, dass das betreffende Recht der Europäischen Union oder des Mitgliedstaates eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet; in diesem Fall erfolgt die Mitteilung unverzüglich, sobald die rechtlichen Hindernisse nicht mehr bestehen.

3.3Weisungen sind grundsätzlich schriftlich oder in einem elektronischen Format (z.B. per E-Mail) zu erteilen. Mündliche Weisungen sind in begründeten Einzelfällen zulässig und werden vom Auftraggeber unverzüglich schriftlich oder in einem elektronischen Format bestätigt. In der Bestätigung ist ausdrücklich zu begründen, warum keine Weisung in Textform erfolgen konnte. Der Auftraggeber hat Person, Datum und Uhrzeit der erteilten Weisung in angemessener Form zu dokumentieren.

3.4Der Auftraggeber benennt auf Verlangen des Auftragnehmers eine oder mehrere weisungsberechtigte Personen. Personelle Änderungen sind dem Auftragnehmer unverzüglich mitzuteilen.

4. Kontrollbefugnisse des Auftraggebers

4.1Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig, im erforderlichen Umfang, zu kontrollieren. Der Auftragnehmer hat diese Überprüfungen – einschließlich Inspektionen – die vom Auftraggeber oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, zu ermöglichen und zu diesen beizutragen.

4.2Der Auftraggeber hat dafür zu sorgen, dass die Kontrollmaßnahmen verhältnismäßig sind und nicht zu einer übermäßigen Beeinträchtigung des Geschäftsbetriebs führen. In der Regel soll eine Prüfung nur nach vorheriger Anmeldung erfolgen, es sei denn, die vorherige Anmeldung würde den Kontrollzweck gefährden. Wenn der Auftraggeber einen Prüfer bestellt, darf dieser nicht im unmittelbaren Wettbewerbsverhältnis zum Auftragnehmer stehen.

4.3Die Ergebnisse der Kontrollen sind vom Auftraggeber in geeigneter Weise zu protokollieren.

4.4Der Auftragnehmer verpflichtet sich, dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Verpflichtungen zur Verfügung zu stellen.

5. Allgemeine Pflichten des Auftragnehmers

5.1Die Verarbeitung der vertragsgegenständlichen Daten durch den Auftragnehmer erfolgt ausschließlich auf Grundlage der vertraglichen Vereinbarungen in Verbindung mit den ggf. erteilten Weisungen des Auftraggebers. Eine hiervon abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Datenverarbeitung verpflichtet ist. Im Falle einer solchen Verarbeitung informiert der Auftragnehmer den Auftraggeber unverzüglich über die beabsichtigte oder bereits eingeleitete Verarbeitung, es sei denn, dass das betreffende Recht der Europäischen Union oder des Mitgliedstaates eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet; in diesem Fall erfolgt die Mitteilung unverzüglich, sobald die rechtlichen Hindernisse nicht mehr bestehen.

5.2Der Auftragnehmer hat zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der Unterwerfung unter die Verschwiegenheitspflicht dürfen die betreffenden Personen keinen Zugang zu den vom Auftraggeber überlassenen personenbezogenen Daten erhalten.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und diese in Anlage 2 dieses Vertrags festgehalten. Die dort beschriebenen Maßnahmen wurden unter Beachtung der Vorgaben nach Art. 32 DSGVO ausgewählt. Der Auftragnehmer wird die technischen und organisatorischen Maßnahmen bei Bedarf und/oder anlassbezogen überprüfen und anpassen.

7. Unterstützungspflichten des Auftragnehmers

7.1Der Auftragnehmer verpflichtet sich gem. Art. 28 Abs. 3 lit. e DSGVO, den Auftraggeber unter Berücksichtigung der Art der Vereinbarung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III, Art. 12 – 22 DSGVO genannten Rechte der betroffenen Personen nachzukommen. Dies gilt insbesondere für die Erteilung von Auskünften und die Löschung, Berichtigung oder Einschränkung personenbezogener Daten.

7.2Der Auftragnehmer wird den Auftraggeber ferner gem. Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32-36 DSGVO (insb. Meldepflichten) unterstützen. Die Reichweite dieser Unterstützungspflichten bestimmt sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung und der Informationen, die dem Auftragnehmer zur Verfügung stehen.

8. Einsatz von Unterauftragsverarbeitern (Subunternehmer)

8.1Der Auftragnehmer ist zum Einsatz von Unterauftragsverarbeitern (Subunternehmern) berechtigt. Alle zum Zeitpunkt des Vertragsschlusses bereits bestehenden Subunternehmerverhältnisse des Auftragnehmers sind diesem Vertrag abschließend in Anlage 3 beigefügt. Für die in Anlage 3 aufgezählten Subunternehmer gilt die Zustimmung mit Abschluss dieses Vertrags als erteilt.

8.2Beabsichtigt der Auftragnehmer den Einsatz weiterer Subunternehmer, wird der Auftragnehmer dies dem Auftraggeber rechtzeitig – spätestens jedoch zwei Wochen – vor deren Einsatz in schriftlicher oder elektronischer Form anzeigen. Der Auftraggeber hat nach dieser Mitteilung zwei Wochen Zeit, der Hinzuziehung des/der Subunternehmer zu widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Hinzuziehung des/der Subunternehmer(s) als genehmigt. In dringenden Fällen (z.B. bei kurzfristig benötigten Fehleranalysen oder Mängelbeseitigungen) kann der Auftragnehmer die Anzeige- und Widerspruchsfrist für Subunternehmer angemessen verkürzen. Erfolgt ein fristgerechter Widerspruch, dürfen die betroffenen Subunternehmer nicht eingesetzt werden. Widersprüche sind nur bei Vorliegen eines sachlichen Grundes zulässig, der der Widerspruchsbenachrichtigung beizulegen ist.

8.3Subunternehmer werden vom Auftragnehmer unter Beachtung der gesetzlichen und vertraglichen Vorgaben ausgewählt. Sämtliche Verträge zwischen Auftragsverarbeiter (Auftragnehmer) und Unterauftragsverarbeiter (Subunternehmerverträge) müssen den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen; dies betrifft insbesondere die Implementierung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO im Betrieb des Subunternehmers. Nebenleistungen, welche der Auftragnehmer zur Ausübung von geschäftlichen Tätigkeiten in Anspruch nimmt, stellen keine Unterauftragsverhältnisse im Sinne des Art. 28 DSGVO dar. Nebentätigkeiten in diesem Sinne sind insbesondere Telekommunikationsleistungen ohne konkreten Bezug zur Hauptleistung, Post- und Transportdienstleistungen sowie sonstige Maßnahmen, welche die Vertraulichkeit und/oder Integrität der Hard- und Software sicherstellen sollen und keinen konkreten Bezug zur Hauptleistung aufweisen. Der Auftragnehmer wird jedoch auch bei diesen Drittleistungen die Einhaltung der gesetzlichen Datenschutzstandards (insbesondere durch entsprechende Vertraulichkeitsvereinbarungen) sicherstellen.

8.4Sämtliche Verträge zwischen dem Auftragnehmer und dem Unterauftragsverarbeiter (Subunternehmerverträge) müssen den Anforderungen dieses Vertrags und den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen.

8.5Die Beauftragung von Subunternehmern in Drittstaaten ist nur zulässig, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO gegeben sind und der Auftraggeber zugestimmt hat.

9. Mitteilungspflichten des Auftragnehmers

9.1Verstöße gegen diesen Vertrag, gegen Weisungen des Auftraggebers oder gegen sonstige datenschutzrechtliche Bestimmungen sind dem Auftraggeber unverzüglich mitzuteilen; das gleiche gilt bei Vorliegen eines entsprechenden begründeten Verdachts. Diese Pflicht gilt unabhängig davon, ob der Verstoß vom Auftragnehmer selbst, einer beim Auftragnehmer angestellten Person, einem Subunternehmer oder einer sonstigen Person, die der Auftragnehmer zur Erfüllung vertraglicher Pflichten eingesetzt hat, begangen wurde.

9.2Ersucht ein Betroffener, eine Behörde oder ein sonstiger Dritter den Auftragnehmer um Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung, wird der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiterleiten und das weitere Vorgehen mit ihm abstimmen.

9.3Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn Aufsichtshandlungen oder sonstige Maßnahmen einer Behörde bevorstehen, von denen auch die Verarbeitung, Nutzung oder Erhebung der durch den Auftraggeber zur Verfügung gestellten personenbezogenen Daten betroffen sein könnten. Darüber hinaus hat der Auftragnehmer den Auftraggeber unverzüglich über alle Ereignisse oder Maßnahmen Dritter zu informieren, durch welche die vertragsgegenständlichen Daten gefährdet oder beeinträchtigt werden könnten.

10. Vertragsbeendigung, Löschung und Rückgabe der Daten

Der Auftragnehmer verpflichtet sich, nach Abschluss der Erbringung der Verarbeitungsleistungen alle vertragsgegenständlichen personenbezogenen Daten nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben und die vorhandenen Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

11. Datengeheimnis und Vertraulichkeit

Der Auftragnehmer ist unbefristet und über das Ende dieses Vertrages hinaus verpflichtet, die im Rahmen der vorliegenden Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln. Der Auftragnehmer hat hierbei insbesondere durch geeignete Maßnahmen dafür zu sorgen, dass die ihm überlassenen auftragsgegenständlichen Daten nicht gegenüber unbefugten Dritten offengelegt werden; innerhalb seines Betriebs hat er durch geeignete Maßnahmen dafür zu sorgen, dass die vertragsgegenständlichen Daten nur denjenigen Personen gegenüber offengelegt werden, die die Daten zur Erfüllung ihrer Aufgaben benötigen (Need-to-Know-Prinzip). Der Auftragnehmer verpflichtet sich, Mitarbeiter mit den einschlägigen Datenschutzbestimmungen und Geheimnisschutzregeln vertraut zu machen und sie zur Verschwiegenheit zu verpflichten, bevor diese ihre Tätigkeit beim Auftragnehmer aufnehmen.

12. Schlussbestimmungen

12.1Änderungen dieses Vertrags und Nebenabreden bedürfen der schriftlichen oder elektronischen Form, die eindeutig erkennen lässt, dass und welche Änderung oder Ergänzung der vorliegenden Bedingungen durch sie erfolgen soll.

12.2Sollte sich die DSGVO oder sonstige in Bezug genommene gesetzliche Regelungen während der Vertragslaufzeit ändern, gelten die hiesigen Verweise auch für die jeweiligen Nachfolgeregelungen.

12.3Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

12.4Sämtliche Anlagen zu diesem Vertrag sind Vertragsbestandteil.

Anlage 1 – Auftragsdetails

Anlage 2 – Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Der Auftragnehmer setzt folgende technische und organisatorische Maßnahmen zum Schutz der vertragsgegenständlichen personenbezogenen Daten um. Die Maßnahmen wurden im Einklang mit Art. 32 DSGVO festgelegt.

1. Sicherung der Arbeitsstätte des Auftragsverarbeiters (Zutrittskontrolle)

• Abgetrennter, abschließbarer Büroraum
• Arbeitsrechner passwortgeschützt mit automatischer Bildschirmsperre bei Abwesenheit
• Produktive Verarbeitung und Speicherung bei einem professionellen Hosting-Dienstleister mit zertifiziertem Rechenzentrum in Deutschland (siehe Anlage 3)
• Lokal im Büro ausschließlich verschlüsselte Backup-Kopien (AES-256); Datenträger werden nicht offen zugänglich aufbewahrt

2. Sicherung der IT-Systeme des Auftragsverarbeiters (Zugangskontrolle)

• Passwortvergabe und Passwort-Richtlinien (Mindestlänge, Komplexität) für die Benutzerkonten der Anwendung
• Individuelle Benutzerkonten; Login mit individuellem Benutzernamen und Passwort
• Passwörter ausschließlich als bcrypt-Hash gespeichert
• Brute-Force-Schutz beim Login (Account-Sperre + IP-Rate-Limit)
• Rollentrennung (Administrator/Kunde); Anzahl der Administratoren auf das Notwendigste reduziert
• Anti-Viren-Software und Software-Firewall auf dem Arbeitsrechner
• Sichere Aufbewahrung von Datenträgern
• Zwei-Faktor-Authentifizierung (2FA) für administrative Zugänge

3. Protokollierung von Datenverarbeitungsprozessen (Eingabekontrolle)

• Protokollierung fehlgeschlagener Login-Versuche; Speicherung des letzten erfolgreichen Logins als Zeitstempel
• Protokollierung des E-Mail-Versands (Empfänger, Betreff, Zeitpunkt, Status)
• Audit-Protokoll erteilter Einwilligungen und Vertragszustimmungen (Dokument, Version, Zeitstempel, IP-Hash)
• Protokollierung von Zahlungs- und Abo-Ereignissen
• Aufbewahrung der Protokolle für festgelegte Fristen mit anschließender automatischer Löschung
• Protokollierung datenschutzrelevanter Administrator-Aktionen (Zugriff auf, Export und Löschung personenbezogener Daten)

4. Sichere Löschung von Daten

• Löschkonzept mit definierten Aufbewahrungsfristen
• Automatisierte Löschung nach Ablauf der Aufbewahrungsfristen (regelmäßige Bereinigungsroutinen)
• Self-Service-Löschung einzelner Feedback-Datensätze durch den Kunden im Portal sowie CSV-Export zur Unterstützung der Betroffenenrechte (Art. 15 und 17 DSGVO)
• Vollständige Löschung oder Rückgabe der Daten nach Vertragsende
• Automatische Rotation und Löschung verschlüsselter Backups nach Ablauf der Aufbewahrungsfrist

5. Datenschutz bei den Subunternehmern des Auftragsverarbeiters

• Auswahl der Subunternehmer unter Sorgfaltsgesichtspunkten (insbesondere Datensicherheit)
• Abschluss DSGVO-konformer Auftragsverarbeitungsverträge mit allen Subunternehmern
• Laufende und anlassbezogene Prüfung der Subunternehmer
• Sicherstellung der Löschung/Vernichtung der Daten beim Subunternehmer nach Beendigung des Auftrags
• Die eingesetzten Subunternehmer und die Grundlage einer etwaigen Drittlandübermittlung sind in Anlage 3 aufgeführt

6. Sicherung von Daten bei Transport und Übermittlung (Weitergabekontrolle)

• Übertragung aller Daten ausschließlich über verschlüsselte Verbindungen (HTTPS/TLS, HSTS aktiviert)
• Verschlüsselte Anbindung externer Dienste über HTTPS mit Zertifikatsprüfung
• Verschlüsselte Off-Site-Auslagerung der Datensicherungen (TLS); Backup-Archive zusätzlich AES-256-verschlüsselt
• E-Mail-Versand mit Transportverschlüsselung (TLS), soweit vom empfangenden Server unterstützt
• Keine Weitergabe personenbezogener Daten auf physischen Datenträgern

7. Datensicherung und Backups (Verfügbarkeit und Wiederherstellbarkeit)

• Automatisiertes Backup- und Wiederherstellungskonzept (regelmäßige Voll- und Datenbank-Sicherungen)
• Verschlüsselte Datensicherungen (AES-256), nur mit separatem Wiederherstellungs-Passwort entschlüsselbar
• Zusätzliche Aufbewahrung der Sicherungen an einem ausgelagerten Ort (verschlüsselte Off-Site-Kopie)
• Eigenständiger Restore-Mechanismus zur Wiederherstellung
• Aufbewahrung mehrerer Sicherungsstände (Rotation)
• Automatische Benachrichtigung über Erfolg und Fehler der Sicherungen
• Hosting bei einem professionellen deutschen Hosting-Anbieter, der die physische Verfügbarkeit der Serverinfrastruktur sicherstellt

8. Sonstige Datenschutzmaßnahmen

• Logische Mandantentrennung (softwareseitig)
• Datensicherheitskonzept und Wiederanlaufkonzept
• Pseudonymisierung (IP-Adressen ausschließlich als Hash)
• Schutz vor SQL-Injection, XSS und CSRF
• Sicherheits-Header inkl. Content-Security-Policy; ausschließlich HTTPS/TLS
• Sichere Session-Verwaltung (Secure-/HttpOnly-/SameSite-Cookies)
• Validierung von Datei-Uploads
• Verschlüsselte Speicherung sensibler Geheimnisse (z.B. Backup- und Off-Site-Passwörter, 2FA-Schlüssel) mittels AES-256; Konfigurationsdateien sind zugriffsgeschützt und ohne Web-Zugriff abgelegt
• Datenminimierung gegenüber Subunternehmern (Übermittlung nur der für die jeweilige Funktion erforderlichen Daten an den Subunternehmer)

9. Überprüfung, Evaluierung und Anpassung der Maßnahmen

Der Auftragsverarbeiter wird die in dieser Anlage beschriebenen technischen und organisatorischen Maßnahmen im Abstand von 12 Monaten und anlassbezogen prüfen, evaluieren und bei Bedarf anpassen.

Anlage 3 – Liste der bestehenden Subunternehmer zum Zeitpunkt des Vertragsschlusses