Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO für Provomatic Managed-Hosted

Stand: (wird bei Abschluss eingesetzt)

Zwischen (wird bei Abschluss eingesetzt), (wird bei Abschluss eingesetzt), Kundennummer (wird bei Abschluss eingesetzt) („Auftraggeber“, Verantwortlicher), und Provomatic.de, Dülkener Straße 2, 41068 Mönchengladbach, Deutschland („Auftragnehmer“, Auftragsverarbeiter).

1. Gegenstand und Dauer

1.1 Der Auftragnehmer betreibt für den Auftraggeber eine Instanz der Software Provomatic im Rahmen des Vertrags über Provomatic Managed-Hosted (Hauptvertrag, Allgemeine Geschäftsbedingungen des Auftragnehmers). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

1.2 Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, bis alle Daten nach Nr. 12 zurückgegeben oder gelöscht sind.

2. Art und Zweck der Verarbeitung

Der Auftragnehmer speichert die Daten der Instanz, stellt die Instanz bereit, erstellt tägliche Sicherungen, wartet und aktualisiert die Software und leistet Support bei Störungen. Zweck ist allein der Betrieb der Software für den Auftraggeber. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

3. Daten und betroffene Personen

Die Kategorien der Daten und der betroffenen Personen stehen in Anlage 1.

4. Rechte und Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er erteilt Weisungen in Textform, zum Beispiel per E-Mail oder Ticket. Mündliche Weisungen bestätigt er unverzüglich in Textform. Die Einstellungen, die der Auftraggeber in der Instanz selbst vornimmt, gelten als Weisung.

5. Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, außer wenn ihn das Recht der Europäischen Union oder Deutschlands zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO). Hält er eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

6. Vertraulichkeit

Der Auftragnehmer stellt sicher, dass Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Anlage 2 (Art. 32 DSGVO). Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt, und dokumentiert wesentliche Änderungen.

8. Unterauftragsverarbeiter

8.1 Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

8.2 Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

8.3 Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau und haftet für ihn wie für eigenes Handeln.

9. Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

10. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat. Er teilt die Informationen mit, die der Auftraggeber für Meldungen nach Art. 33 und 34 DSGVO braucht, und unterstützt ihn dabei.

11. Datenschutz-Folgenabschätzung

Der Auftragnehmer unterstützt den Auftraggeber auf Anfrage bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO), soweit sie die Verarbeitung nach diesem Vertrag betreffen.

12. Rückgabe und Löschung

Nach Ende des Hauptvertrags stellt der Auftragnehmer die Daten 30 Tage lang zum Export bereit (Datenbankauszug, Dateien) und löscht sie danach; die Sicherungen werden innerhalb weiterer 14 Tage gelöscht. Auf Weisung des Auftraggebers löscht er früher. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt.

13. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Prüfungen vor Ort finden nach Anmeldung mindestens 14 Tage vorher während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören. Der Nachweis kann auch durch aktuelle Auskünfte und Dokumentation des Auftragnehmers erbracht werden.

14. Ort der Verarbeitung

Die Daten werden ausschließlich in Deutschland verarbeitet (Rechenzentren in Falkenstein und Nürnberg). Eine Übermittlung in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur nach vorheriger Information des Auftraggebers und unter den Voraussetzungen von Kapitel V DSGVO statt.

15. Ansprechpartner

Für den Auftragnehmer: Provomatic.de, E-Mail [email protected]. Für den Auftraggeber: die im Kundenkonto hinterlegte E-Mail-Adresse.

16. Haftung und Schlussbestimmungen

16.1 Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nichts anderes bestimmt.

16.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

16.3 Es gilt deutsches Recht.

Anlage 1: Daten und betroffene Personen

Anlage 2: Technische und organisatorische Maßnahmen

1. Rechenzentrum: Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland (Falkenstein, Nürnberg); Zutrittskontrolle durch Hetzner.
2. Trennung: Jeder Auftraggeber erhält einen eigenen Server mit eigener Datenbank.
3. Zugriff: Rollen und Berechtigungen in der Software; Mitarbeiter des Auftraggebers sehen nur, was ihre Rolle erlaubt. Für die Anmeldung in der Verwaltung steht eine Zwei-Faktor-Authentifizierung zur Verfügung.
4. Übertragung: Verschlüsselte Übertragung (HTTPS/TLS mit gültigem Zertifikat).
5. Gespeicherte Zugangsdaten: Zugangsdaten und API-Schlüssel angebundener Dienste werden verschlüsselt gespeichert.
6. Nachvollziehbarkeit: Protokoll der Änderungen durch Mitarbeiter, das nur ergänzt und per Prüfsumme verkettet wird.
7. Verfügbarkeit: Tägliche Sicherung der Instanz bei Hetzner, die letzten 14 Sicherungen werden aufbewahrt; Wiederherstellung auf Anforderung.
8. Firewall: Auf jedem Server sind nur die Ports 22 (SSH), 80 und 443 (HTTP/HTTPS) erreichbar.
9. Server-Zugang: Anmeldung per SSH nur mit Schlüssel; Anmeldung als root und mit Passwort ist abgeschaltet.
10. Schutz vor Anmeldeangriffen: Wiederholte fehlgeschlagene Anmeldungen werden automatisch gesperrt (fail2ban).
11. Aktualität: Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
12. Absicherung der Installation: Die Konfigurationsdatei ist nur für den Webserver lesbar, der Programmordner ist gegen Änderungen durch den Webserver geschützt, und die Anwendung sendet Sicherheits-Header; das TLS-Zertifikat stammt von Let’s Encrypt.

Anlage 3: Unterauftragsverarbeiter