Vertrag zur Auftragsverarbeitung (AVV)
gemäß Art. 28 DSGVO zwischen dem Kunden (im Folgenden: "Verantwortlicher") und Instando Software, Julian Diel (im Folgenden: "Auftragsverarbeiter").
1. Gegenstand, Dauer und Spezifizierung
(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus dem zwischen den Parteien geschlossenen Hauptvertrag ("Nutzungsvertrag Instando") ergeben. Er findet Anwendung auf alle Tätigkeiten, bei denen Mitarbeiter des Auftragsverarbeiters oder durch ihn beauftragte Unterauftragnehmer personenbezogene Daten des Verantwortlichen verarbeiten.
(2) Die Dauer dieses Auftrags entspricht der Laufzeit des Hauptvertrages bzw. gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet.
2. Anwendungsbereich und Verantwortlichkeit
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.
(2) Der Verantwortliche ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO).
3. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung, des Betriebs, der Wartung und des Supports der Software-Plattform Instando (Erfassung, ergonomische Analyse und Nachverfolgung von Montage- und Arbeitsplatzmaßnahmen). Dies umfasst:
- Bereitstellung und Betrieb der Server-Infrastruktur
- Technischer Support, Fehlerbehebung und Systemwartung
- Datensicherung und Wiederherstellung
- Automatisierte Erstellung von Berichten und Maßnahmen-Tracking
4. Kategorien betroffener Personen und Daten
Betroffene Personen:
- Beschäftigte und autorisierte Systemnutzer des Verantwortlichen (Planer, Führungskräfte, TOS/Ergonomie, Administratoren)
- Kooperationspartner und beauftragte Dienstleister
Arten personenbezogener Daten:
- Personenstammdaten (Name, Vorname)
- Geschäftliche Kontaktdaten (geschäftliche E-Mail-Adresse)
- Rollen- und Berechtigungsdaten
- IT-Nutzungsdaten (IP-Adressen, Zeitstempel, Login-Logs)
- Prozessbezogene Arbeitsplatz- und Montagebewertungen (keine personenbezogenen Leistungs- oder Verhaltenskontrollen)
Hinweis: Besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO (z. B. Gesundheitsdaten) werden im Rahmen des Moduls Montage- und Ergonomie-Management nicht verarbeitet.
5. Pflichten des Auftragsverarbeiters
(1) Weisungsgebundenheit: Der Auftragsverarbeiter darf Daten nur im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen verarbeiten, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist. Weisungen bedürfen der Textform.
(2) Hinweispflicht: Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere datenschutzrechtliche Bestimmungen verstößt.
(3) Vertraulichkeit: Der Auftragsverarbeiter sichert zu, dass die zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 S. 2 lit. b DSGVO).
(4) Sicherheit: Der Auftragsverarbeiter trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe Anlage TOM).
(5) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten (Kapitel III DSGVO) sowie bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten.
6. Technisch-organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter setzt folgende Maßnahmen nach Art. 32 DSGVO um:
- Zutrittskontrolle: ISO/IEC 27001 zertifizierte Rechenzentren (Hetzner Online GmbH, Falkenstein/Nürnberg), Videoüberwachung, biometrische Zutrittskontrolle, Vereinzelungsanlagen.
- Zugangskontrolle & Zugriffskontrolle: Rollenbasierte Zugriffsberechtigungen (RBAC), bcrypt Passwort-Hashing, erzwungene TLS-Verbindungen, Session-Timeouts.
- Verschlüsselung: Durchgehende Transportverschlüsselung via TLS 1.3 / HTTPS mit Perfect Forward Secrecy; Festplattenverschlüsselung (AES-256).
- Verfügbarkeit & Belastbarkeit: Redundante Serverinfrastruktur, tägliche verschlüsselte Off-Site-Backups, Disaster-Recovery-Konzept.
- Trennungskontrolle: Mandantenfähige, logisch isolierte Speicherung der Daten in der PostgreSQL-Datenbank.
7. Unterauftragsverhältnisse & Drittlandtransfer
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter heranzuziehen. Aktuell eingesetzte Unterauftragsverarbeiter:
| Dienstleister | Leistung | Sitz / Standort | Zertifizierung |
|---|---|---|---|
| Hetzner Online GmbH | Cloud-Server & Hosting | Gunzenhausen / RZ Nürnberg & Falkenstein, Deutschland | DIN ISO/IEC 27001 |
| Strato AG | E-Mail- & SMTP-Versand | Berlin, Deutschland | ISO/IEC 27001 |
(2) Informationspflicht & Widerspruchsrecht: Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor der Hinzuziehung oder Ersetzung eines neuen Unterauftragsverarbeiters in Textform (aktive Push-Benachrichtigung per E-Mail). Der Verantwortliche hat das Recht, innerhalb dieser Frist aus wichtigem Grund Einspruch einzulegen.
(3) Gleichwertige Pflichten: Dem Unterauftragsverarbeiter werden dieselben Datenschutzpflichten auferlegt, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).
(4) Kein Drittlandtransfer: Sämtliche Datenverarbeitungen finden ausschließlich innerhalb der Bundesrepublik Deutschland bzw. der EU/des EWR statt. Eine Übermittlung in Drittländer (Art. 44 ff. DSGVO) ist vertraglich ausgeschlossen.
8. Kontrollrechte und Meldung von Verstößen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten gemäß Art. 28 DSGVO zur Verfügung.
(2) Er ermöglicht Überprüfungen – einschließlich Vor-Ort-Inspektionen nach angemessener Vorankündigung –, die vom Verantwortlichen oder einem beauftragten Prüfer durchgeführt werden.
(3) Verstöße gegen Datenschutzvorschriften oder vertragliche Vereinbarungen meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden.
9. Beendigung und Löschung
Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück und vernichtet vorhandene Kopien, sofern keine gesetzliche Pflicht zur Aufbewahrung nach Unions- oder nationalem Recht besteht.
10. Haftung
Die Parteien haften nach den gesetzlichen Bestimmungen des Art. 82 DSGVO. Haftungsbegrenzungen aus dem Hauptvertrag finden auf gesetzliche Schadensersatzansprüche nach Art. 82 DSGVO keine Anwendung.