Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
zwischen
………………………………………….. (Firma, Anschrift) – nachfolgend „Verantwortlicher“
und
Intercabo Soluciones S.L., Calle Retama 60, 30833 Sangonera la Verde (Murcia), Spanien, NIF B73960379 – nachfolgend „Auftragsverarbeiter“
1. Gegenstand und Dauer
1.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des zwischen den Parteien geschlossenen Hauptvertrags (angenommenes Angebot, Projekt- oder SaaS-Vertrag).
1.2 Dieser Vertrag gilt für die Dauer des Hauptvertrags.
2. Art, Zweck und Umfang
- Zweck: Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere Betrieb von NSpaces, Konnektoren und Automatisierungen, Einführung und Betreuung von Business Central, Support
- Datenarten: Kontakt- und Stammdaten (Name, Anschrift, E-Mail, Telefon), Bestell-, Buchungs- und Vertragsdaten, Zahlungsstatus, Kommunikationsdaten
- Betroffene: Kunden, Gäste, Interessenten, Lieferanten und Mitarbeiter des Verantwortlichen
- Verarbeitungsort: EU/EWR, Ausnahmen nur nach Ziffer 7
3. Weisungen
3.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.
3.2 Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit
Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
5. Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an.
6. Unterauftragsverarbeiter
6.1 Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
6.2 Über neue oder ausgetauschte Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht zumutbar fortzuführen, kann jede Partei den betroffenen Vertrag kündigen.
6.3 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.
7. Drittlandübermittlung
Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, z. B. EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln).
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im gesetzlich erforderlichen Umfang bei Anfragen Betroffener (Art. 12–22 DSGVO) und bei den Pflichten nach Art. 32–36 DSGVO. Leistungen, die über die Weiterleitung von Anfragen hinausgehen, werden nach Aufwand vergütet.
9. Datenschutzverletzungen
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis (Art. 33 Abs. 2 DSGVO).
10. Löschung und Rückgabe
Nach Ende der Leistungen löscht der Auftragsverarbeiter die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Wünscht der Verantwortliche eine Rückgabe, muss er sie vor Vertragsende in Textform verlangen; die Rückgabe wird nach Aufwand vergütet.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags vorrangig durch geeignete Unterlagen nach. Vor-Ort-Prüfungen sind höchstens einmal jährlich möglich, nach einer Ankündigung von mindestens 30 Tagen, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Die Kosten trägt der Verantwortliche; der Aufwand des Auftragsverarbeiters wird nach Aufwand vergütet.
12. Haftung
Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
13. Schlussbestimmungen
Es gilt spanisches Recht. Gerichtsstand ist Murcia. In Datenschutzfragen hat dieser Vertrag Vorrang vor dem Hauptvertrag.
Ort, Datum
Verantwortlicher: ……………………………………………
Auftragsverarbeiter: ……………………………………………
Anlage 1 – Technische und organisatorische Maßnahmen
- Zutritt und Zugang: Server bei professionellen Hosting-Anbietern, passwortgeschützte Zugänge
- Zugriff: Berechtigungen nur für Personen, die sie für ihre Aufgabe benötigen
- Weitergabe: verschlüsselte Übertragung per TLS
- Verfügbarkeit: regelmäßige Datensicherungen
- Trennung: logische Trennung der Daten verschiedener Kunden
- Überprüfung: regelmäßige Updates der eingesetzten Systeme
Anlage 2 – Unterauftragsverarbeiter
Der Auftragsverarbeiter teilt dem Verantwortlichen vor Vertragsschluss in Textform mit, welche Unterauftragsverarbeiter er einsetzt (insbesondere für Hosting, E-Mail, Microsoft Dynamics 365 und KI-Dienste). Diese Liste gilt mit Abschluss dieses Vertrags als genehmigt; Änderungen richten sich nach Ziffer 6.2.