AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

1. Vertragsgegenstand

1.1. Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten (nachstehend „Daten“ genannt) durch den Auftragnehmer für den Auftraggeber in dessen Auftrag und nach dessen Weisung. Die Beauftragung durch den Auftraggeber wird durch den Hauptvertrag bestimmt.

1.2. Die konkreten Verarbeitungstätigkeiten der Auftragsverarbeitung im Zusammenhang mit dem Hauptvertrag, insbesondere die Art der Daten, der Zweck der Datenerhebung, Datenverarbeitung und -nutzung, sowie der Kreis der Betroffenen sind in Anlage 1 festgelegt.

1.3. Der vorliegende Vertragstext einschließlich aller Anlagen regelt den Vertragsinhalt.

2. Verantwortlichkeit

2.1. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen als Verantwortlicher der Verarbeitung im Sinne des Art. 4 Nr. 7 DSGVO allein verantwortlich. Dieses gilt insbesondere für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der Betroffenen nach den Art. 12 bis 22 DSGVO.

2.2. Der Auftragnehmer ist für die Einhaltung der jeweils für ihn als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO einschlägigen Datenschutzvorschriften, insbesondere des Art. 28 DSGVO, verantwortlich.

2.3. Der Auftraggeber informiert den Auftragnehmer unverzüglich und vollständig, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

3. Weisungsbefugnis des Auftraggebers

3.1. Die Weisungen bezüglich der Verarbeitung personenbezogener Daten werden anfänglich durch den Hauptvertrag festgelegt und können vom Auftraggeber danach in Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden („Einzelweisung“). Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Die Weisungen sind von den Parteien in Textform zu dokumentieren.

3.2. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen bestätigt der Auftraggeber im Nachgang unverzüglich in Textform.

3.3. Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung, so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

4. Pflichten des Auftragnehmers

4.1. Der Auftragnehmer verpflichtet sich, personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers sowie im Rahmen der vertraglichen Pflichten des Hauptvertrages zu verarbeiten, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO. Der dem Auftragnehmer hierfür entstehende Aufwand wird durch den Auftraggeber aufwandsabhängig vergütet. Hierfür vereinbaren die Parteien einen Stundensatz von 120,00 Euro. Der Auftragnehmer ist berechtigt seine Aufwände in 15-Minuten-Intervallen, d.h. pro angefangener 15 Minuten abzurechnen. Er ist verpflichtet, die Aufwände zu dokumentieren. Er wird dem Auftraggeber am Ende eines jeden Kalendermonats eine entsprechende Abrechnung vorlegen, die vom Auftraggeber innerhalb von 14 Kalendertagen ab Erhalt zu begleichen ist.

4.3. Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die zur Verarbeitung der personenbezogenen Daten Befugten zur Vertraulichkeit und falls erforderlich auf das Fernmeldegeheimnis (§ 3 TDDDG) verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheit unterliegen. Die Vertraulichkeits-/Verschwiegenheitspflicht besteht auch nach Beendigung des Hauptvertrages fort.

4.4. Der Auftragnehmer verpflichtet sich, den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person zu unterstützen, ihm in diesem Zusammenhang sämtliche relevanten Informationen unverzüglich zur Verfügung zu stellen und Anfragen von Betroffenen unverzüglich an den Auftraggeber weiterzuleiten. Die dem Auftragnehmer hierfür entstehenden Aufwände werden vom Auftraggeber entsprechend der Regelung in Ziff. 4.2 vergütet.

4.5. Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke, als die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht vom Auftraggeber zuvor genehmigt wurden. Legt der Auftragnehmer unter Verstoß gegen die DSGVO Zwecke und Mittel selbst fest, gilt er in Bezug auf die Verarbeitung als Verantwortlicher.

4.6. Sollten die personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als Verantwortlichem im Sinne der DSGVO liegen.

4.7. Der Auftragnehmer verpflichtet sich, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln.

4.8. Der Auftraggeber ist berechtigt die Erfüllung der vorgenannten Pflichten höchstens einmal im Jahr durch eine Kontrolle, welche den Betriebsablauf des Auftragnehmers nicht stört, zu überprüfen. Der Zeitpunkt der Kontrolle wird jeweils zwischen den Parteien mit einer angemessen Vorlaufzeit vereinbart.

5. Technische und organisatorische Maßnahmen

5.1. Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen („TOM“) vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung, gemäß Anlage 2 zu erfüllen.

5.2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind dem Auftraggeber rechtzeitig vorab in einer zur Überprüfung geeigneten Form mitzuteilen und zu dokumentieren.

6. Unterauftragsverhältnisse

6.1. Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Beauftragung der in Anlage 3 aufgeführten Unterauftragnehmer gemäß Artikel 28 Abs. 2 S. 2 DSGVO.

6.2. Über jede weitere Hinzuziehung oder Ersetzung von Unterauftragnehmern informiert der Auftragnehmer den Auftraggeber. Der Auftraggeber kann der Hinzuziehung oder Ersetzung innerhalb eines Zeitraums von 14 Kalendertagen ab Zugang der Mitteilung widersprechen, wenn der objektiv begründete Verdacht besteht, dass der betreffende Unterauftragnehmer seinen datenschutzrechtlichen Pflichten nicht bzw. nicht ausreichend nachkommen wird. Diesen Widerspruch muss der Auftraggeber begründen; er darf nicht aus unbilligen Gründen erhoben werden.

6.3. Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichtigung der Eignung hinsichtlich der Erfüllung der zwischen Auftraggeber und Auftragnehmer vereinbarten technischen und organisatorischen Maßnahmen gewissenhaft auswählen. Dies gilt sowohl für den Unterauftragnehmer selbst als auch für alle in der Folge eingesetzten weiteren Unterauftragnehmer.

7. Berichtigung, Einschränkung und Löschung von Daten

7.1. Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

7.2. Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt und sind streng untersagt. Hierfür bedarf es einer vorherigen Genehmigung des Auftraggebers in Textform. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

7.3. Nach Abschluss der vertraglichen Arbeiten – oder früher nach Aufforderung durch den Auftraggeber – hat der Auftragnehmer

• sämtliche im Rahmen des Auftrags in seinen Besitz gelangte Unterlagen oder Datenträger,
• erstellte Verarbeitungsergebnisse,
• Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen

dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers datenschutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Gleiches gilt für alle Daten, die Betriebs- oder Geschäftsgeheimnisse des Auftraggebers beinhalten. Das Protokoll der Löschung ist auf Anforderung vorzulegen und mindestens drei Jahre aufzubewahren.

7.4. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen, jedoch mindestens drei Jahre über das Vertragsende hinaus, aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

7.5. Sofern zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten entstehen, bedarf es einer vorherigen Vereinbarung in Textform über die Kostentragung.

8. Leistungsort

8.1. Die konkreten Angaben zum Leistungsort sind in Anlage 1 festgelegt.

8.2. Der Auftraggeber stimmt einer Verlagerung des Ortes der Leistungserbringung innerhalb des Leistungslandes, für das eine Zustimmung besteht, zu, wenn dort nachweislich ein gleiches Sicherheitsniveau gegeben ist und keine für den Auftraggeber geltenden gesetzlichen Bestimmungen gegen diese Verlagerung sprechen. Die Nachweispflicht hierzu liegt bei dem Auftragnehmer.

8.3. Soweit im Rahmen der Auftragsverarbeitung personenbezogene Daten in sog. Drittländer außerhalb des EU/EWR-Raumes übermittelt werden, garantiert der Auftragnehmer die Einhaltung der Art. 44 ff. DSGVO.

9. Haftung

9.1. Es gelten die Haftungsregelungen des Artikel 82 DSGVO.

9.2. Hiervon abweichende Haftungsregelungen – im Hauptvertrag oder andernorts – finden in Bezug auf die Verarbeitung von personenbezogenen Daten und die Regelungen der DSGVO keine Anwendung.

10. Laufzeit und Kündigung

10.1. Die Laufzeit des vorliegenden AV-Vertrags richtet sich nach der Laufzeit des entsprechenden Hauptvertrages.

10.2. Es ist den Vertragsparteien bewusst, dass ohne Vorliegen eines gültigen AV-Vertrages, z. B. bei Beendigung des Hauptvertrages, keine (weitere) Auftragsverarbeitung durchgeführt werden darf.

10.3. Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.

Anlagen:

• Anlage 1 – Gegenstand, Art, Zweck und Schutzniveau der betroffenen Daten
• Anlage 2 – TOM des Auftragnehmers
• Anlage 3 – Unterauftragnehmer

Anlage 1 – Gegenstand, Art, Zweck und Schutzniveau der betroffenen Daten

Die vorliegende Anlage konkretisiert Gegenstand, Art, Zweck und Schutzniveau in Bezug auf die personenbezogenen Daten, die auf Basis des Hauptvertrags durch den Auftragnehmer im Auftrag des Auftraggebers verarbeitet werden.

Art der Verarbeitung (detailliertere Beschreibung der stattfindenden Datenverarbeitungen und des Verarbeitungsablaufs):

Aufnahme, Speicherung u. Analyse von Angaben bei der Verantwortlichen Stelle beschäftigten Personen zu ihrer Position und Aufgaben bei der Verantwortlichen sowie relevanten Tätigkeiten und deren Background(wissen) zum Aufbau einer Wissensdatenbank

Leistungsort

Der Auftragnehmer wird die vertraglichen Leistungen in Deutschland erbringen.

Etwaige Unterauftragnehmer erbringen die sie betreffenden Leistungen zum Teil in einem Drittland. Der Auftragnehmer sichert die Einhaltung der diesbezüglichen Vorgaben der DSGVO zu und weist dies auf Verlangen nach.

Anlage 2 – Technische und organisatorische Maßnahmen

I. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1. Zutrittskontrolle (Räume und Gebäude)

• Keine eigenen Serverräume. Die Speicherung der Kundendaten (Konten, Wissensprofile, PDF-Exporte) erfolgt ausschließlich in zertifizierten Rechenzentren (ISO 27001 / SOC 2) in Deutschland (EU). Einzelne Verarbeitungsschritte – insbesondere die KI-gestützte Verarbeitung von Gesprächsinhalten (Anthropic) sowie Spracherkennung und -ausgabe (OpenAI) – erfolgen bei Unterauftragnehmern teils in Drittländern (USA); diese Übermittlungen sind durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert
• Physische Zutritts- und Gebäudesicherheit liegt bei den Rechenzentrumsbetreibern und ist durch deren Zertifizierungen nachgewiesen
• Arbeitsplatz des Auftragnehmers in abschließbarem, alarmgesichertem Büro; Zutritt ausschließlich durch den Geschäftsführer
• Arbeitsgeräte mit vollständiger Festplattenverschlüsselung und Passwortsperre
• Keine Papierunterlagen mit Personenbezug

2. Zugangskontrolle (IT-Systeme u. Anwendungen)

• Zentrale Benutzerauthentifizierung; Passwörter werden ausschließlich gehasht gespeichert
• Passwortpflicht mit festgelegten Mindestanforderungen an Länge und Komplexität
• Erzwungener Passwortwechsel beim Erst-Login eingeladener Nutzer
• Gesicherte Sitzungsverwaltung; Sitzungs-Cookies sind vor clientseitigem Zugriff geschützt
• Zwei-Faktor-Authentifizierung (2FA) für administrative Zugänge
• System- und Dienstschlüssel werden ausschließlich serverseitig vorgehalten und nicht im Quellcode gespeichert

3. Zugriffskontrolle (Auf Daten und Informationen)

• Verbindliches Rollen- und Berechtigungskonzept: Mitarbeiter sehen ausschließlich eigene Daten, Führungskräfte ausschließlich die ihnen zugeordneten Profile
• Berechtigungen werden auf Datenbankebene erzwungen (Row Level Security), nicht allein in der Anwendung
• Privilegierte Datenbankfunktionen sind internen Dienstprozessen vorbehalten
• Privater Dateispeicher; Zugriff ausschließlich über zeitlich begrenzte, signierte Abruflinks bzw. authentifizierte Abrufe mit Berechtigungsprüfung

4. Trennbarkeit

• Logische Mandantentrennung: Datenbestände verschiedener Auftraggeber werden auf Datenbankebene strikt voneinander getrennt verarbeitet und gespeichert
• Die Trennung wird systemseitig erzwungen und durch automatisierte Tests regelmäßig überprüft

5. Pseudonymisierung

• Automatischer Filter bei der Erfassung: Kontaktdaten Dritter (Name, E-Mail, Telefon, Anschrift) sowie besondere Datenkategorien (u. a. Gesundheit, Religion, politische Meinung, Gehalt) werden ausgefiltert und nicht in die Wissensinhalte übernommen
• Pseudonymisierung ausgeschiedener Mitarbeiter nach sechs Monaten: Der Klarname wird in allen Wissensinhalten durch einen Platzhalter ersetzt, die E-Mail durch eine nicht zustellbare Kennung anonymisiert, der Zugang dauerhaft gesperrt sowie Sitzungsprotokolle und PDF-Exporte gelöscht. Das berufsbezogene Fachwissen bleibt als Eigentum des Auftraggebers erhalten, ist jedoch keiner Person mehr unmittelbar zugeordnet. Eine Re-Identifikation ist ausschließlich dem Auftragnehmer über privilegierte Dienstprozesse (Service-Rolle) technisch möglich und vertraglich untersagt; den betroffenen Personen werden keine Zuordnungsschlüssel offengelegt

II. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

6. Weitergabekontrolle

• Durchgehende Transportverschlüsselung (TLS/HTTPS, HSTS erzwungen)
• Verschlüsselung der Daten im Ruhezustand in den Rechenzentren
• Übermittlungen in Drittländer ausschließlich auf Basis von EU-Standardvertragsklauseln (Art. 46 DSGVO)
• Content-Security-Policy und weitere Sicherheits-Header zum Schutz vor unbefugtem Auslesen

7. Eingabekontrolle

• Protokollierung sicherheitsrelevanter Vorgänge, u. a. automatisierte Hintergrundprozesse, Lösch-Nachweise, Zahlungsereignisse und Datenexporte
• Sitzungsprotokolle mit Zeitstempel; Erstellungs- und Änderungszeitpunkte auf allen Datenbeständen
• Protokollierung der Anmeldevorgänge auf Infrastrukturebene

III. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

8. Verfügbarkeitskontrolle

• Betrieb auf hochverfügbarer, redundanter Cloud-Infrastruktur
• Tägliche automatische Datenbank-Backups mit sieben Tagen Aufbewahrung
• Redundante Speicherung in ausschließlich privaten Speicherbereichen

9. Wiederherstellbarkeit

• Wiederherstellung aus täglichen Backups; optional zeitpunktgenaue Wiederherstellung
• Gegen doppelte Ausführung abgesicherte Zahlungsverarbeitung
• Automatische Wiederanlauf-Mechanismen für unterbrochene Hintergrundprozesse

IV. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

10. Leitlinie(n), Richtlinien, Arbeitsanweisungen und Sicherheitskonzepte

• Dokumentiertes IT-Sicherheits- und Datenschutzkonzept; Überprüfung vierteljährlich
• Datenschutz-Dossier sowie dokumentierte Lösch- und Aufbewahrungsregeln
• Auftragsverarbeitungsverträge mit allen Unterauftragnehmern

11. Regelmäßige Kontrollen, Dokumentation und ggf. Optimierung

• Vierteljährliche sowie anlassbezogene Kontrollen: Einspielen von Sicherheitsupdates, Abgleich der Unterauftragnehmer-Liste mit den tatsächlich eingesetzten Diensten, Überprüfung von Zugriffsrechten und Schlüsseln
• Dokumentation jeder Kontrolle mit Datum und Ergebnis

12. Datenschutzfreundliche Voreinstellung (Art. 25 DSGVO)

• Restriktive Standardeinstellungen: teamweite Wissensabfrage standardmäßig deaktiviert; Dateispeicher privat
• Datenminimierung: Erfassung ausschließlich berufsbezogenen Wissens; automatischer Kontaktdaten-Filter
• Verpflichtende Einwilligung mit Hinweis vor jeder Chat-Sitzung

13. Kontrolle der Unterauftragnehmer

• Sorgfältige Auswahl nach Zertifizierung (ISO 27001 / SOC 2) und EU-Region, wo möglich
• Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit jedem Unterauftragnehmer, einschließlich EU-Standardvertragsklauseln bei Drittlandbezug
• Zentrale Archivierung der Nachweise; regelmäßige Überprüfung der Liste

Anlage 3 – Unterauftragnehmer

Für Übermittlungen in Drittländer bestehen geeignete Garantien gemäß Art. 46 DSGVO (EU-Standardvertragsklauseln).