Auftragsverarbeitungsvertrag

Diese Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen und regelt die Verarbeitung personenbezogener Daten im Auftrag nach Artikel 28 der Verordnung (EU) 2016/679 (DSGVO). Begriffe, die in den Allgemeinen Geschäftsbedingungen definiert sind, gelten hier in derselben Bedeutung.

1. Parteien und Rollen

Verantwortlicher: der Kunde, der den Dienst nutzt.

Auftragsverarbeiter: Aster Idea Kft., Vörösvári út 13, 1035 Budapest, Ungarn.

Der Kunde bestimmt Zwecke und Mittel der Verarbeitung der Kundendaten. Der Anbieter verarbeitet diese Daten ausschließlich im Auftrag des Kunden.

Für die Daten, die der Anbieter zur Begründung und Abwicklung des Vertragsverhältnisses selbst verarbeitet – Konto-, Unternehmens- und Abrechnungsdaten –, ist der Anbieter eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.

2. Wirksamwerden

Diese Vereinbarung wird mit Annahme der Allgemeinen Geschäftsbedingungen wirksam und gilt, solange der Anbieter Kundendaten verarbeitet. Eine gesonderte Unterzeichnung ist möglich, aber nicht erforderlich.

3. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung und Betrieb des Dienstes für den Kunden.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an vom Kunden bestimmte Empfänger, Einschränken, Löschen und Vernichten – jeweils durch automatisierte Verfahren.

Zweck: Abbildung des Auftragsablaufs des Kunden, insbesondere Kundenverwaltung, Angebote, Disposition, Auftragsausführung im Außendienst, Rechnungsstellung, Zahlungsverfolgung sowie zugehörige Benachrichtigungen und Auswertungen.

4. Dauer

Die Verarbeitung beginnt mit der Bereitstellung des Dienstes und endet mit der Löschung oder Rückgabe der Kundendaten nach Abschnitt 13.

5. Kategorien personenbezogener Daten

Der Kunde bestimmt den Inhalt. Typischerweise verarbeitet werden:

• Stammdaten der Auftraggeber des Kunden: Name, Anschrift, Kontaktdaten, Steuernummern, Ansprechpartner
• Auftragsdaten: Leistungsort, Beschreibung, Termine, Notizen, Fotos vom Einsatzort, Unterschrift zur Abnahme
• Kaufmännische Daten: Angebote, Rechnungen, Zahlungen, offene Posten
• Beschäftigtendaten des Kunden: Name, geschäftliche Kontaktdaten, Rolle, Arbeitszeiten, Abwesenheiten, Qualifikationen mit Ablaufdatum, Belege der Handkasse, Fahrzeugzuordnung
• Kommunikationsdaten: Versandzeitpunkt, Kanal, Status und Empfänger von Nachrichten aus dem Dienst
• Protokolldaten: Zeitpunkt, handelnde Person und Art schreibender Vorgänge

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sind nicht Gegenstand des Dienstes. Der Kunde stellt sicher, dass solche Daten nicht eingestellt werden. Krankmeldungen werden ohne Angabe einer Diagnose erfasst.

6. Kategorien betroffener Personen

• Auftraggeber des Kunden und deren Ansprechpartner
• Beschäftigte des Kunden, einschließlich Außendienst und Verwaltung
• weitere Personen, die der Kunde im Dienst erfasst

7. Weisungen

1. Der Anbieter verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Diese Vereinbarung und die Nutzung des Dienstes gelten als solche Weisung.
2. Einzelweisungen erteilt der Kunde in Textform an den Datenschutzkontakt des Anbieters.
3. Ist der Anbieter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies dem Kunden unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
4. Ist der Anbieter durch Unionsrecht oder mitgliedstaatliches Recht zu einer Verarbeitung verpflichtet, informiert er den Kunden vorher, sofern das Recht dies nicht verbietet.

8. Vertraulichkeit

Der Anbieter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und stellt sicher, dass sie über ihre Pflichten belehrt sind. Der Zugriff auf Kundendaten ist auf Personen beschränkt, die ihn zur Erbringung der Leistung benötigen.

9. Technische und organisatorische Maßnahmen

Der Anbieter trifft die nach Artikel 32 DSGVO erforderlichen Maßnahmen und berücksichtigt dabei Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Maßnahmen im Produkt, die sich aus der Funktionsweise des Dienstes ergeben:

• Mandantentrennung: Daten werden je Unternehmen getrennt geführt; jeder Zugriff ist an die Zugehörigkeit zu einem Unternehmen gebunden.
• Rollen- und Rechtekonzept: drei Rollen mit serverseitig geprüften Grenzen. Monteure erhalten keinen Zugriff auf Preise, Rechnungen, Angebote oder Daten anderer Beschäftigter.
• Authentifizierung: Anmeldung über einen externen Identitätsdienst; der Anbieter speichert keine Passwörter, Passkeys oder Sitzungsschlüssel.
• Nachvollziehbarkeit: schreibende Vorgänge werden mit handelnder Person, Zeitpunkt und betroffenem Datensatz protokolliert.
• Unveränderlichkeit kaufmännischer Dokumente: ausgestellte Rechnungen werden nicht verändert oder gelöscht; Korrekturen erfolgen ausschließlich über Gutschriften.
• Datenübertragbarkeit: vollständiger Export der Kundendaten in offene Formate, jederzeit und ohne Zusatzkosten.

Weitere Maßnahmen der Betriebsumgebung – Verschlüsselung bei Übertragung und Speicherung, Sicherungskonzept, Wiederherstellungszeiten, Zutritts- und Zugangskontrolle, Schwachstellen- und Patch-Verwaltung, Protokollierung auf Infrastrukturebene: [UNRESOLVED: tatsächlich umgesetzte technische und organisatorische Maßnahmen der Betriebsumgebung, als Anlage zu dieser Vereinbarung]

Der Anbieter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

10. Unterauftragsverarbeiter

1. Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter nach Artikel 28 Absatz 2 DSGVO.
2. Die jeweils aktuelle Liste ist unter Unterauftragsverarbeiter veröffentlicht.
3. Der Anbieter informiert über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters vorab. Ankündigungsfrist: [UNRESOLVED: Frist für die Vorabinformation]
4. Der Kunde kann innerhalb der mitgeteilten Frist aus wichtigem, datenschutzrechtlichem Grund widersprechen. Kann der Widerspruch nicht ausgeräumt werden, ist der Kunde berechtigt, den betroffenen Teil des Vertrags zu kündigen.
5. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die den hier vereinbarten entsprechen, und haftet für dessen Verhalten wie für eigenes.

11. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden im Rahmen des technisch Möglichen

1. bei der Beantwortung von Anträgen betroffener Personen nach den Artikeln 15 bis 22 DSGVO. Der Dienst enthält hierfür Auskunfts-, Export- und Löschfunktionen, die der Kunde selbst ausführen kann;
2. bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation.

Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und antwortet nicht selbst in der Sache.

12. Verletzung des Schutzes personenbezogener Daten

1. Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Kundendaten betrifft.
2. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.
3. Meldeweg und interne Eskalation: [UNRESOLVED: Meldekanal, Erreichbarkeit und Reaktionsfrist]
4. Die Meldung an die Aufsichtsbehörde nach Artikel 33 DSGVO und die Benachrichtigung betroffener Personen nach Artikel 34 DSGVO obliegen dem Kunden.

13. Rückgabe und Löschung

1. Der Kunde kann seine Daten während der Vertragslaufzeit und für einen angemessenen Zeitraum danach vollständig exportieren.
2. Nach Beendigung des Vertrags löscht der Anbieter die Kundendaten einschließlich vorhandener Kopien. Frist: [UNRESOLVED: Löschfrist nach Vertragsende und Aufbewahrungsdauer von Sicherungskopien]
3. Eine Aufbewahrung bleibt zulässig, soweit Unionsrecht oder mitgliedstaatliches Recht sie vorschreibt; in diesem Fall beschränkt sich die Verarbeitung auf den Zweck der Aufbewahrung.
4. Der Anbieter bestätigt die Löschung auf Anforderung in Textform.

14. Nachweise und Überprüfung

1. Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlich sind.
2. Der Kunde kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Anbieters ist. Überprüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs.
3. Umfang, Häufigkeit und Kostentragung: [UNRESOLVED: Regelung zu Häufigkeit, Umfang und Kosten von Vor-Ort-Prüfungen]
4. Soweit Zertifikate oder Prüfberichte vorliegen, kann der Anbieter den Nachweis durch deren Vorlage führen. [UNRESOLVED: vorhandene Zertifizierungen oder Prüfberichte, sofern vorhanden]

15. Drittlandübermittlung

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur statt, soweit die Voraussetzungen des Kapitels V DSGVO erfüllt sind.

[UNRESOLVED: ob Drittlandübermittlungen stattfinden und auf welcher Grundlage – Angemessenheitsbeschluss, Standardvertragsklauseln nebst Folgenabschätzung, oder Ausnahme nach Artikel 49 DSGVO]

16. Haftung und Schlussbestimmungen

1. Die Haftung richtet sich nach den Allgemeinen Geschäftsbedingungen; Artikel 82 DSGVO bleibt unberührt.
2. Bei Widersprüchen zwischen dieser Vereinbarung und den Allgemeinen Geschäftsbedingungen geht diese Vereinbarung in datenschutzrechtlichen Fragen vor.
3. Anwendbares Recht und Gerichtsstand richten sich nach den Allgemeinen Geschäftsbedingungen.
4. Änderungen dieser Vereinbarung bedürfen der Textform.