Vertrag zur Auftragsverarbeitung

Der Auftragnehmer (AMP EnergyConsult GmbH) stellt dem Auftraggeber (Energieberatungsbüro) die Software zur Verwaltung von Anfragen, Kunden, Projekten, Förderanträgen, Dokumenten und Portalen als Online-Dienst bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet, einschließlich der Testphase und der Zeit bis zur Löschung nach Vertragsende.

Art: Speichern, Ordnen, Anzeigen, Übermitteln (E-Mail-Versand), Sichern und Löschen von Daten in der Software.

Zweck: Bereitstellung, Betrieb, Wartung und Support der Software nach dem Hauptvertrag. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt, ausgenommen anonymisierte Nutzungsstatistiken und Daten zur Abrechnung des Hauptvertrags.

Kategorien betroffener Personen: Interessenten, Kunden und deren Ansprechpartner, Miteigentümer, Bewohner, Handwerks- und Kooperationspartner, freie Mitarbeitende und Beschäftigte des Auftraggebers.

Arten von Daten: Stamm- und Kontaktdaten, Objekt- und Gebäudedaten, Fotos, Videos und Grundrisse, Vertrags- und Abrechnungsdaten, Förderunterlagen, Kommunikationsinhalte, Unterschriften mit Protokoll, Nutzungs- und Protokolldaten. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen; der Auftraggeber speichert solche Daten nicht in der Software.

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Auftraggeber in der Software vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform.

Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

Ist der Auftragnehmer gesetzlich zu einer Verarbeitung verpflichtet, teilt er dies vorher mit, sofern das Gesetz das nicht verbietet.

Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff nur, soweit es für den Auftrag nötig ist.

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2 und hält sie auf dem Stand der Technik. Änderungen sind zulässig, wenn das Schutzniveau nicht sinkt.

Der Auftraggeber genehmigt die Unterauftragsverarbeiter aus Anlage 1. Optional verbundene Dienste (z. B. Microsoft, Aircall, E-Signatur, Buchhaltung) nutzt der Auftraggeber in eigener Verantwortung; sie verarbeiten Daten erst, wenn er sie in der Software verbindet.

Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage vorher per E-Mail bzw. in der Software. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau. Bei Übermittlungen in Drittländer sorgt er für geeignete Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss, EU-U.S. Data Privacy Framework oder Standardvertragsklauseln).

Die Software stellt Funktionen bereit, mit denen der Auftraggeber Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragung selbst erledigen kann (u. a. Datenexport je Kunde). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich weiter.

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO), soweit es ihn betrifft.

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten innerhalb von 30 Tagen vollständig exportieren (strukturierte, gängige Formate; siehe auch Anbieterwechsel nach Art. 23 ff. Data Act). Danach löscht der Auftragnehmer die Daten einschließlich Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im regulären Zyklus überschrieben.

Die Löschung bestätigt der Auftragnehmer auf Verlangen in Textform.

Der Auftragnehmer stellt alle nötigen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist während der Geschäftszeiten möglich; vorrangig genügen aktuelle Nachweise der Unterauftragsverarbeiter (z. B. SOC-2- oder ISO-27001-Berichte).

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich (Rechtsgrundlage, Informationspflichten nach Art. 13, 14 DSGVO, eigene Datenschutzerklärung, Verzeichnis nach Art. 30 DSGVO) und vergibt Zugänge an seine Beschäftigten selbst.

Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags zum Datenschutz vor. Haftung nach Art. 82 DSGVO; im Übrigen gilt die Haftungsregelung des Hauptvertrags. Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Der Vertrag wird elektronisch geschlossen, indem der Auftraggeber ihn bei der Buchung bzw. unter „Zugang verwalten“ bestätigt (Art. 28 Abs. 9 DSGVO).

Nur wenn der Auftraggeber sie selbst verbindet (in seiner Verantwortung, eigener Vertrag mit dem Anbieter): Microsoft Ireland Operations Ltd., Aircall SAS, Frankreich, Calendly LLC, USA, Haufe-Lexware GmbH & Co. KG, Deutschland, sevDesk GmbH, Deutschland, Skribble AG, Schweiz, Yousign SAS, Frankreich, DocuSign, Inc., USA.