Auftragsverarbeitungsvertrag

für Cloud-Dienste (SaaS) und Dienstleistungsaufträge nach Art. 28 Abs. 3 DS-GVO

Auftraggeber (Verantwortlicher):
Der Auftraggeber im Sinne dieser Vereinbarung ist der jeweilige Vertragspartner der DocHouse GmbH, der Cloud-Lösungen des Auftragnehmers einschließlich der damit verbundenen Hosting- und Supportleistungen beauftragt. Die konkreten Vertragsdaten (Unternehmen, Anschrift) ergeben sich aus dem Hauptvertrag bzw. der Beauftragung.

Auftragnehmer (Auftragsverarbeiter):
DocHouse GmbH, Talstraße 33, 88250 Weingarten, Deutschland

Der Auftrag umfasst Folgendes:
Gegenstand der Vereinbarung ist die Bereitstellung von IT-Infrastruktur / Hosting auf einem (oder mehreren) dedizierten Server(n) sowie der damit im Zusammenhang stehenden Leistungen. Dies bietet dem Auftraggeber die Möglichkeit, Daten zu verarbeiten (zu speichern, zu verändern, zu übermitteln und zu löschen). Gegenstand des Vertrages ist nicht die originäre Nutzung und Verarbeitung von personenbezogenen Daten durch den Auftragnehmer. Im Zuge der Leistungserbringung des Auftragnehmers als zentraler IT-Dienstleister im Bereich des Hostings, des Supports bzw. der Administration von Server-Systemen des Auftraggebers, kann ein Zugriff auf personenbezogene Daten jedoch nicht ausgeschlossen werden.

Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO auf Grundlage dieses Vertrages. Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union, in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum oder – soweit es die in der Anlage genannte Bereitstellung von IT-Infrastruktur / Hosting durch die cross-works AG betrifft – in der Schweizerischen Eidgenossenschaft erbracht. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission, sodass die Datenverarbeitung dort gemäß Art. 45 DS-GVO zulässig ist. Jede sonstige Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

Dauer des Auftrags
Der Vertrag wird auf unbestimmte Zeit geschlossen. Kündigungsfrist entnehmen Sie dem Hauptvertrag.
Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

Art der Verarbeitung (entsprechend der Definition von Art. 4 Nr. 2 DS-GVO):
Der Auftraggeber beauftragt den Auftragnehmer mit der ordnungsgemäßen und datenschutzgerechten Erledigung folgender Arbeiten, die durch die Zur Verfügungstellung von Cloud-Lösungen des Auftragnehmers (Software über einen Cloud-Dienst) und die mit der Softwarenutzung verbundene Datenspeicherung anfallen.
Der Auftragnehmer stellt lediglich Software und Plattform zur Verfügung. Für das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung der Daten sind nicht Bestandteil der Auftragsverarbeitung. Sollte eine Verarbeitung von personenbezogenen Daten durch den Auftragnehmer gewünscht sein, wird das explizit durch den Auftraggeber angewiesen. Im Zuge technischer Unterstützung kann es zu einer Einsichtnahme in personenbezogene Daten kommen.
Die Mitarbeitenden des Auftragnehmers sind auf das Datengeheimnis und Vertraulichkeit verpflichtet und werden über eventuell eingesehene Daten Stillschweigen bewahren. Der Auftragnehmer stellt sicher, dass seine mit der Verarbeitung betrauten Mitarbeitende über die für Ihre Tätigkeit notwendigen Fachkenntnisse, auch im Bereich der Informationssicherheit, verfügen und entsprechend ausgebildet sind.

Art der personenbezogenen Daten (entsprechend der Definition von Art. 4 Nr. 1, 13, 14 und 15 DSGVO): Die Art der personenbezogenen Daten hängt davon ab, welche Arten vom Auftraggeber gespeichert werden.

Kategorien betroffener Personen (entsprechend der Definition von Art. 4 Nr. 1 DS-GVO): Die Kategorien der betroffenen Personen hängt davon ab, welche Arten vom Auftraggeber gespeichert werden.

Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragnehmer verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.

Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.

Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

Der Auftraggeber ist berechtigt, sich wie unter Nr. 5 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.

Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.

Weisungsberechtigt ist der Auftraggeber selbst. Er übermittelt seine Weisungen über die von ihm benannten und im Hauptvertrag bzw. in der Beauftragung bezeichneten Ansprechpartner oder über die vertraglich vereinbarten Kommunikationskanäle. Eine gesonderte Benennung und Eintragung einzelner weisungsberechtigter Personen in dieser Vereinbarung erfolgt nicht; der Auftragnehmer hat Weisungen entgegenzunehmen, die nachweisbar vom Auftraggeber oder einer von diesem autorisierten Person stammen.

Weisungsempfänger beim Auftragnehmer sind:

Support & Entwicklung

Für Weisungen zu nutzende Kommunikationskanäle:
Postanschrift: DocHouse GmbH, Talstraße 33, 88250 Weingarten
E-Mail: spprtdchsd

Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen werden nach Beendigung des Vertrags gemäß gesetzlicher Aufbewahrungspflichten aufbewahrt.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).

Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt. Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.

Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert.

Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten, bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers sowie der vorherigen Konsultation der Aufsichtsbehörde nach Art. 36, hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e und f DS-GVO).

Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.

Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen.

Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen.

Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber – grundsätzlich nach Terminvereinbarung – berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DS-GVO).

Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DS-GVO bekannt sind. Er verpflichtet sich, die für die Auftragsverarbeitung einschlägigen gesetzlichen Geheimhaltungs- und Vertraulichkeitsverpflichtungen zu beachten, insbesondere die Regelungen zum Datengeheimnis nach Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 und 32 Abs. 4 DS-GVO sowie – soweit anwendbar – die Bestimmungen zum Schutz von Geschäfts- und Betriebsgeheimnissen nach dem Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG). Sollten dem Auftraggeber darüber hinausgehende besondere gesetzliche Geheimnisschutzpflichtigkeiten obliegen (z. B. nach § 203 StGB oder dem SGB), wird der Auftragnehmer diese im Rahmen der auftragsgegenständlichen Verarbeitung berücksichtigen, sobald ihn der Auftraggeber hierauf in einem dokumentierten elektronischen Format hinweist.

Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort.

Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeitenden vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO). Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.

Beim Auftragnehmer ist als Beauftragte für den Datenschutz Frau Ulrike Eben, Danubis Datenschutz, Telefon +49 151 17640968 bestellt. Ein Wechsel der Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen bei der Verarbeitung personenbezogener Daten sowie Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen mit. Dies gilt auch für den Verdacht auf Datenschutzverletzungen oder sonstige Unregelmäßigkeiten bei der Verarbeitung sowie für Verletzungen des Schutzes personenbezogener Daten. Die Mitteilung erfolgt in einer Weise, die es dem Auftraggeber ermöglicht, seinen eventuellen Melde- und Benachrichtigungspflichten nach Art. 33 und Art. 34 DS-GVO fristgerecht nachzukommen, insbesondere durch Angaben zu Art der Verletzung, soweit möglich den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, den wahrscheinlichen Folgen sowie den getroffenen oder geplanten Maßnahmen. Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DS-GVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen nach Art. 33 oder 34 DS-GVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziff. 4 dieses Vertrages durchführen.

Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern.

Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).

Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunternehmer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DSGVO bezüglich seiner Beschäftigten erfüllt hat.

Mit der Beauftragung einer Cloud-Lösung erteilt der Auftraggeber eine Generalgenehmigung für die in der Anlage zu dieser Vereinbarung genannten Subunternehmer. Die Beauftragung weiterer, neuer Subunternehmer zur Verarbeitung von Daten des Auftraggebers teilt der Auftragnehmer dem Auftraggeber vor deren Ersteinbindung in dokumentierter elektronischer Form mit; hierzu sind Name und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers anzugeben. Der Auftraggeber kann innerhalb von vier Wochen nach Mitteilung Einwände gegen die Einbindung erheben; die Einbindung unterbleibt bis zur Klärung. Im Übrigen muss der Auftragnehmer dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Auftraggeber auf Anfrage zur Verfügung zu stellen.

Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Art. 32 Abs. 1 DS-GVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.

Die vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen (TOM), die die Auswahl der Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele nach Stand der Technik detailliert und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim Auftragnehmer darstellen, sind unter folgender Adresse abrufbar und werden durch Verweisung Vertragsbestandteil dieser Vereinbarung:

Technische und organisatorische Maßnahmen

Die jeweils aktuelle Fassung der TOM auf der Website des Auftragnehmers gilt. Der Auftragnehmer informiert den Auftraggeber im Falle wesentlicher Änderungen der TOM.

Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind zwischen Auftragnehmer und Auftraggeber abzustimmen.

Soweit die beim Auftragnehmer getroffenen Maßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich.

Die Maßnahmen beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten.

Nach Abschluss der vertraglich geschuldeten Arbeiten hat der Auftragnehmer nach Wahl des Auftraggebers alle relevanten personenbezogenen Daten die im Zusammenhang mit der Verarbeitung stehen, auszuhändigen, zu löschen oder zu vernichten, wenn nicht nach einer Rechtsvorschrift die Verpflichtung zur Speicherung der Daten besteht (Art. 28 Abs. 3 Satz 2 lit. g DS-GVO). Auf Verlangen des Auftraggebers ist die Vollständigkeit der Aushändigung, die Löschung oder Vernichtung der vorgenannten Daten zumindest in entsprechend zu dokumentierender elektronischer Form zu bestätigen. Die Bestätigung hat sich gegebenenfalls auch auf die Erfüllung der vorstehenden Verpflichtung durch den Unterauftragnehmer zu erstrecken.

Ausgenommen von vorstehender Verpflichtung sind Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung bzw. Vertragserfüllung dienen. Diese sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Die datenschutzrechtlichen Verpflichtungen zum Schutz der Daten bleiben hiervon unberührt.

Auf Art. 82 DS-GVO wird verwiesen.

Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.

Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.

Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Diese Vereinbarung bedarf keiner gesonderten Unterschrift. Sie tritt mit der Beauftragung einer Cloud-Lösung des Auftragnehmers automatisch in Kraft und wird mit der Beauftragung Vertragsbestandteil des Hauptvertrages. Mit der Beauftragung akzeptiert der Auftraggeber die Regelungen dieser Vereinbarung. Die Vereinbarung endet automatisch mit der Beendigung des Hauptvertrages, unabhängig von einer etwaigen Löschung bzw. Rückgabe der Daten gemäß Ziff. 9. 

cross-works AG, Technoparkstrasse 2, 8406 Winterthur, Schweiz
Für die Bereitstellung von IT-Infrastruktur / Hosting in den Rechenzentren für Deutschland, Österreich und der Schweiz.

TeamViewer Germany GmbH, Bahnhofsplatz 2, 73033 Göppingen, Deutschland

Im Rahmen von Fernwartungen kommt TeamViewer zum Einsatz. Hier finden Sie die technischen und organisatorischen Maßnahmen:
teamviewer.com/de/legal/dpa-annex/

Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung von Subauftragnehmern durchgeführt, nämlich: 

Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USA 
Für Audio- und Videokonferenzen nutzen wir Microsoft Teams. Die Übermittlung personenbezogener Daten an Microsoft Corporation in die USA erfolgt auf Grundlage der EU-Standarddatenschutzklauseln (Art. 46 Abs. 2 lit. c DS-GVO). Sicherheitsmaßnahmen finden Sie auf der Website „Microsoft Products and Services Data Protection Addendum (DPA)“ zum Download in verschiedenen Sprachen, darunter auch Deutsch: 

microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA