Vertrag zur Auftragsverarbeitung

Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen dem im jeweiligen Hauptvertrag/Angebot benannten Auftraggeber (Verantwortlicher) und dem Auftragnehmer Jannik Frankenberger (Auftragsverarbeiter).

Jannik Frankenberger
Frankenberger IT-Consulting
Am Steinmäuerlein 16
74706 Osterburken

1. Allgemeine Bestimmungen und Vertragsgegenstand

1.1 Gegenstand des vorliegenden Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer (Art. 28 DSGVO). Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Auftraggeber.

1.2 Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten sowie Zweck der Vereinbarung sind Anlage 1 zu entnehmen.

1.3 Die Verarbeitung der Daten durch den Auftragnehmer findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, einem Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des EWR-Abkommens statt. Die Verarbeitung außerhalb dieser Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit vorheriger Zustimmung oder nach vorheriger Weisung des Auftraggebers.

2. Vertragslaufzeit und Kündigung

Der vorliegende Vertrag wird auf unbestimmte Zeit geschlossen und kann von jeder Vertragspartei mit einer Frist von drei Monaten ordentlich gekündigt werden. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

3. Weisungen des Auftraggebers

3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung ggü. dem Auftragnehmer zu. Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung des Auftraggebers gegen gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren Rechtmäßigkeit der Auftragnehmer substantiiert anzweifelt, ist der Auftragnehmer berechtigt, deren Ausführung vorübergehend auszusetzen, bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert.

3.2 Eine von den Weisungen oder ohne Weisungen des Auftraggebers abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Datenverarbeitung verpflichtet ist.

3.3 Weisungen sind grundsätzlich schriftlich oder in einem elektronischen Format (z. B. per E-Mail) zu erteilen. Mündliche Weisungen sind in begründeten Einzelfällen zulässig und werden vom Auftraggeber unverzüglich schriftlich oder elektronisch bestätigt.

3.4 Der Auftraggeber benennt auf Verlangen des Auftragnehmers eine oder mehrere weisungsberechtigte Personen. Personelle Änderungen sind dem Auftragnehmer unverzüglich mitzuteilen.

4. Kontrollbefugnisse des Auftraggebers

4.1 Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig, im erforderlichen Umfang, zu kontrollieren.

4.2 Die Ergebnisse der Kontrollen und Weisungen sind vom Auftraggeber in geeigneter Weise zu protokollieren.

5. Allgemeine Pflichten des Auftragnehmers

5.1 Die Verarbeitung der vertragsgegenständlichen Daten durch den Auftragnehmer erfolgt ausschließlich auf Grundlage der vertraglichen Vereinbarungen in Verbindung mit den ggf. erteilten Weisungen des Auftraggebers.

5.2 Der Auftragnehmer hat zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und diese in Anlage 2 dieses Vertrags festgehalten. Die dort beschriebenen Maßnahmen wurden unter Beachtung der Vorgaben nach Art. 32 DSGVO ausgewählt.

7. Unterstützungspflichten des Auftragnehmers

Der Auftragnehmer wird den Auftraggeber gem. Art. 28 Abs. 3 lit. e DSGVO bei dessen Pflichten zur Wahrung der Betroffenenrechte aus Kapitel III, Art. 12–22 DSGVO, unterstützen. Dies gilt insbesondere für die Erteilung von Auskünften und die Löschung, Berichtigung oder Einschränkung personenbezogener Daten. Der Auftragnehmer wird den Auftraggeber ferner gem. Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32–36 DSGVO (insb. Meldepflichten) unterstützen.

8. Einsatz von Unterauftragsverarbeitern (Subunternehmer)

8.1 Der Auftragnehmer ist zum Einsatz von Unterauftragsverarbeitern (Subunternehmern) berechtigt. Alle zum Zeitpunkt des Vertragsschlusses bereits bestehenden Subunternehmerverhältnisse sind diesem Vertrag abschließend in Anlage 3 aufgeführt.

8.2 Beabsichtigt der Auftragnehmer den Einsatz weiterer Subunternehmer, wird er dies dem Auftraggeber rechtzeitig – spätestens jedoch zwei Wochen – vor deren Einsatz in schriftlicher oder elektronischer Form anzeigen. Der Auftraggeber hat danach zwei Wochen Zeit, der Hinzuziehung zu widersprechen.

8.3 Subunternehmer werden vom Auftragnehmer unter Beachtung der gesetzlichen und vertraglichen Vorgaben ausgewählt. Sämtliche Verträge zwischen Auftragsverarbeiter und Unterauftragsverarbeiter müssen den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen.

8.4 Sämtliche Verträge zwischen dem Auftragnehmer und dem Unterauftragsverarbeiter müssen den Anforderungen dieses Vertrags und den gesetzlichen Vorschriften genügen.

8.5 Die Beauftragung von Subunternehmern in Drittstaaten ist nur zulässig, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO gegeben sind und der Auftraggeber zugestimmt hat.

9. Mitteilungspflichten des Auftragnehmers

9.1 Verstöße gegen diesen Vertrag, gegen Weisungen des Auftraggebers oder gegen sonstige datenschutzrechtliche Bestimmungen sind dem Auftraggeber unverzüglich mitzuteilen; das gleiche gilt bei Vorliegen eines entsprechenden begründeten Verdachts.

9.2 Ersucht ein Betroffener, eine Behörde oder ein sonstiger Dritter den Auftragnehmer um Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung, wird der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiterleiten.

9.3 Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn Aufsichtshandlungen oder sonstige Maßnahmen einer Behörde bevorstehen, von denen auch die Verarbeitung der überlassenen Daten betroffen sein könnte.

10. Vertragsbeendigung, Löschung und Rückgabe der Daten

Nach Abschluss der vertragsgegenständlichen Datenverarbeitung bzw. nach Beendigung dieses Vertrags hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern für den Auftragnehmer keine rechtliche Verpflichtung zur Speicherung mehr besteht.

11. Datengeheimnis und Vertraulichkeit

Der Auftragnehmer ist unbefristet und über das Ende dieses Vertrages hinaus verpflichtet, die im Rahmen der vorliegenden Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln.

12. Schlussbestimmungen

12.1 Änderungen dieses Vertrags und Nebenabreden bedürfen der schriftlichen oder elektronischen Form.

12.2 Sind die Vertragsparteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist der Sitz des Auftragnehmers Gerichtsstand für alle Streitigkeiten aus diesem Vertrag; ausschließliche Gerichtsstände bleiben hiervon unberührt.

12.3 Sollte sich die DSGVO oder sonstige in Bezug genommene gesetzliche Regelungen während der Vertragslaufzeit ändern, gelten die hiesigen Verweise auch für die jeweiligen Nachfolgeregelungen.

12.4 Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

12.5 Sämtliche Anlagen zu diesem Vertrag sind Vertragsbestandteil.

Anlage 1 – Auftragsdetails

Leistungen, bei denen Daten im Auftrag verarbeitet werden	Verarbeitete Datenarten	Betroffene Personenkategorien
Wartung von Webseiten	IP-Adressen von Webseitenbesuchern; Analysen zum Nutzerverhalten	Webseitenbesucher des Auftraggebers
Webhosting	IP-Adressen von Webseitenbesuchern; Analysen zum Nutzerverhalten	Webseitenbesucher des Auftraggebers
Strategische IT-Beratung, Bedarfsanalyse und Unterstützung beim Software-/Hardware-Erwerb	Personenstammdaten; Kontaktdaten (E-Mail, Telefon); Unternehmens- und Bestandsdaten	Auftraggeber; Beschäftigte des Auftraggebers; Ansprechpartner vom Auftraggeber
Technischer IT-Support, Fehlersuche, Fernwartung von Endgeräten sowie Konfiguration	Personenstammdaten; Kontaktdaten; Authentifizierungsdaten; Inhaltsdaten; Geräte- und Systemdaten	Auftraggeber; Beschäftigte des Auftraggebers; Kunden des Auftraggebers; Kommunikationspartner
Administration von Microsoft 365 Mandanten (Tenants)	Personenstammdaten; Kontaktdaten; Geräte- und Systemdaten; Authentifizierungsdaten; Vertrags- & Abrechnungsdaten; IT-Nutzungsdaten/Metadaten	Auftraggeber; Mitarbeiter des Auftraggebers; externe Kooperationspartner; Lieferanten/Dienstleister

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer setzt folgende technische und organisatorische Maßnahmen zum Schutz der vertragsgegenständlichen personenbezogenen Daten um:

1. Zutrittskontrolle

• Manuelles Schließsystem / Türschlösser
• Schließsystem mit Codesperre
• Bewegungsmelder
• Videoüberwachung der Zugänge

2. Zugangskontrolle

• Passwortvergabe und Passwort-Richtlinien
• Benutzerprofile mit individuellem Login
• Zugriffsregeln / Berechtigungskonzept
• Anti-Viren-Software, Hardware- und Software-Firewall
• Festplattenverschlüsselung
• Verschlüsselung mobiler und externer Datenträger
• Sichere Aufbewahrung von Datenträgern

3. Eingabekontrolle

• Protokollierung von Zugriffen und Änderungen (Log-Protokolle)
• Nachvollziehbarkeit durch individuelle Benutzernamen

4. Sichere Löschung von Daten

• Löschkonzept
• Einsatz von Aktenvernichtern (mindestens Stufe P-4)
• Ordnungsgemäße Bereinigung von Datenträgern vor Wiederverwendung

5. Datenschutz bei Subunternehmern

• Auswahl der Subunternehmer unter Sorgfaltsgesichtspunkten
• Abschluss von DSGVO-konformen Auftragsverarbeitungsverträgen
• Sicherstellung der Vernichtung der Daten nach Beendigung des Auftrags

6. Weitergabekontrolle

• Einsatz von VPN-Tunneln
• Verschlüsselung des E-Mail-Verkehrs und sonstiger Kommunikationswege
• Verschlüsselung physischer Datenträger beim Transport

7. Datensicherung und Backups

• Backup- & Wiederherstellungskonzept
• Aufbewahrung von Datensicherungen an einem sicheren, ausgelagerten Ort
• Schutzsteckdosenleisten sowie Feuer- und Rauchmeldeanlagen in Serverräumen

8. Überprüfung und Anpassung

Der Auftragsverarbeiter wird die in dieser Anlage beschriebenen technischen und organisatorischen Maßnahmen im Abstand von 6 Monaten und anlassbezogen prüfen, evaluieren und bei Bedarf anpassen.

Anlage 3 – Bestehende Subunternehmer

(Unternehmens-)Name und Anschrift	Beschreibung der Leistung	Land der Leistungserbringung
Keine Subunternehmen beschäftigt.

Status: Dieses Dokument ist die Grundlage für alle IT-Dienstleistungen von Frankenberger IT-Consulting, bei denen eine Verarbeitung personenbezogener Daten im Auftrag erfolgt. Dieser AVV wird wirksam durch ausdrückliche Bezugnahme im Angebot und dessen Annahme durch den Kunden (Textform gemäß Art. 28 Abs. 9 DSGVO).