Auftragsverarbeitungsvertrag (AVV)

(2) Zweck der Verarbeitung: Zweck der Verarbeitung ist das vereinbarte Hosting von Dateien, Dokumenten, Kontaktdaten und kollaborativen Inhalten im Auftrag des Auftraggebers sowie die Bereitstellung eines performanten Cloud-Speichers für den Geschäftsbetrieb des Auftraggebers.

(3) Laufzeit: Dieser AVV tritt mit seiner Zustimmung in Kraft und entspricht in seiner Laufzeit der Laufzeit des Hauptvertrages. Er endet automatisch mit dem Ende des Hauptvertrages.

(4) Art der personenbezogenen Daten: Gegenstand der Verarbeitung sind alle personenbezogenen Daten, die der Auftraggeber oder dessen autorisierte Nutzer in der Cloud-Instanz speichert. Dazu gehören insbesondere: Bestandsdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer), Inhaltsdaten (Dokumente, Bilder, Nachrichten, Kalendereinträge), Vertragsdaten, Nutzungs- und Metadaten (IP-Adressen, Log-Daten) sowie sonstige im System hochgeladene geschäftliche Daten.

(5) Kategorien betroffener Personen: Betroffen von der Datenverarbeitung sind alle Personen, deren Daten durch den Auftraggeber in der Instanz verarbeitet werden. Dies können sein: Kunden, Mitarbeiter, Partner, Lieferanten, Dienstleister, Webseitenbesucher sowie sonstige Kontakte des Auftraggebers.

(2) Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn er der Ansicht ist, dass eine vom Auftraggeber erteilte Weisung gegen datenschutzrechtliche Vorschriften der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

(3) Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke, insbesondere nicht für eigene Zwecke, und gibt diese nicht an Dritte weiter, es sei denn, dies ist vertraglich oder gesetzlich zulässig.

(2) Diese Verpflichtung zur Verschwiegenheit besteht auch nach Beendigung der Tätigkeit oder dieses AVV fort.

(2) Der Auftragnehmer implementiert insbesondere folgende Sicherheitskontrollen (Detaillierte Übersicht der TOM):

• Zutrittskontrolle (Physische Sicherheit): Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen durch Zäune, Chipkarten-Leser, Videoüberwachung, 24/7-Sicherheitsdienst und biometrische Zugangssysteme in den Rechenzentren der in § 5 Abs. 1 genannten Subunternehmer in Deutschland.
• Zugangskontrolle (Systemische Sicherheit): Verhinderung der unbefugten Systemnutzung durch restriktive Firewall-Regeln (UFW/iptables), SSH-Schlüssel-Authentifizierung (Verbot von Passwort-Logins für Administratoren) und strenge Passwortrichtlinien für Konten.
• Zugriffskontrolle (Daten-Schnittstellen): Gewährleistung, dass Zugriffsberechtigte nur auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können. Dies erfolgt durch rollenbasierte Berechtigungskonzepte (RBAC) in den Datenbanken und der Nextcloud-Instanz sowie logische Trennung aller Mandantendaten.
• Weitergabekontrolle (Transportsicherheit): Gewährleistung, dass personenbezogene Daten bei der elektronischen Übertragung oder beim Transport nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Dies wird durch eine erzwungene TLS-Verschlüsselung für alle Web-Schnittstellen und verschlüsselte Verbindungen (SSH) zwischen den Servern des Auftragnehmers sichergestellt.
• Eingabekontrolle (Protokollierung): Gewährleistung, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Hierzu werden administrative Zugriffe lückenlos protokolliert.
• Verfügbarkeitskontrolle & Belastbarkeit: Gewährleistung, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Dies wird durch RAID-Festplattenverbunde, unterbrechungsfreie Stromversorgung (USV) in den Rechenzentren und proaktives System-Monitoring realisiert. Eine zusätzliche Datensicherung der Instanz ist nicht Bestandteil der Leistung, sofern sie nicht gesondert vereinbart ist (§ 6 Abs. 2 AGB).
• Trennungskontrolle (Mandantenfähigkeit): Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden. Dies erfolgt durch getrennte Virtualisierungskanäle (dedizierte VPS-Server und separate Datenbanken für jeden Kunden).

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Dem Auftragnehmer ist es gestattet, alternative adäquate Maßnahmen umzusetzen, sofern das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragnehmer dem Auftraggeber mit.

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung anderer Subunternehmer mindestens 14 Tage vor der Änderung. Dem Auftraggeber steht ein Einspruchsrecht gegen die Hinzuziehung zu. Erhebt der Auftraggeber innerhalb von 14 Tagen nach Zugang der Benachrichtigung keinen Einspruch aus wichtigem datenschutzrechtlichem Grund, gilt die Hinzuziehung als genehmigt. Bei Einspruch ist der Auftragnehmer berechtigt, den Hauptvertrag mit einer Frist von 14 Tagen zum Ende des laufenden Abrechnungsmonats zu kündigen.

(3) Dem Subunternehmer sind dieselben datenschutzrechtlichen Verpflichtungen aufzuerlegen, die in diesem AVV festgelegt sind, insbesondere die Bereitstellung hinreichender Garantien dafür, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt. Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Subunternehmers.

(2) Zur Einsparung von Aufwänden kann der Auftragnehmer verlangen, dass der Nachweis der Einhaltung der technischen und organisatorischen Maßnahmen primär über aktuelle Zertifizierungen (z. B. ISO/IEC 27001), Testate oder Berichte unabhängiger Instanzen erbracht wird, sofern diese das Sicherheitsniveau adäquat belegen.

(3) Vor-Ort-Kontrollen des Auftraggebers oder seiner Prüfer müssen mit einer angemessenen Frist von mindestens 14 Tagen schriftlich angekündigt werden und dürfen den regulären Betriebsablauf des Auftragnehmers nicht unverhältnismäßig stören. Die Kosten des Audits trägt der Auftraggeber.

(2) Verletzungen des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich (in der Regel innerhalb von 48 Stunden), nachdem ihm diese bekannt geworden ist. Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO geforderten Angaben.

(3) Datenschutz-Folgenabschätzung: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen sowie vorherige Konsultation der Aufsichtsbehörde).

(2) Die Daten auf dem Server der Instanz werden vierzehn (14) Tage nach Beendigung des Hauptvertrages gelöscht (§ 9 Abs. 3 AGB). Die Daten auf dem Speichersystem (Storage Box) löscht der Auftragnehmer spätestens dreißig (30) Tage nach Beendigung des Hauptvertrages, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Auftragnehmer bestätigt dem Auftraggeber die Löschung auf Anfrage.

(3) Seine Wahl nach Absatz 1 übt der Auftraggeber im Kundenportal unter „Datenexport“ aus. Er bestimmt dort, ob die Daten ihm herausgegeben, ihm herausgegeben und anschließend gelöscht oder ohne Herausgabe gelöscht werden sollen; der Auftragnehmer hält die Wahl zum Vorgang fest und verfährt nach ihr. Der Weg steht dem Auftraggeber auch während der Laufzeit dieses AVV offen; die Ausübung der Wahl setzt das Ende des Hauptvertrages nicht voraus. Für das Verfahren, die Form der Bereitstellung und die Fristen gilt § 9 Abs. 4 bis 7 der Allgemeinen Geschäftsbedingungen; eine Einschränkung des Anspruchs aus Absatz 1 folgt daraus nicht.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so wird dadurch die Gültigkeit der übrigen Bestimmungen nicht berührt. Anstelle der unwirksamen Bestimmung gilt eine rechtlich zulässige Regelung als vereinbart, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der ursprünglichen Regelung am nächsten kommt.

(3) Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.