Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

— gemeinsam die „Parteien" —

Präambel

Der Auftragsverarbeiter erbringt gegenüber dem Verantwortlichen Leistungen im Rahmen der Nutzungsbedingungen für die Software cuvento AZAV (Hauptvertrag). Im Zuge dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die diesbezüglichen datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO und ist Bestandteil des Hauptvertrags.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Anwendung cuvento AZAV.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet nicht automatisch mit Beendigung einzelner Leistungen, sondern erst mit vollständiger Löschung oder Rückgabe aller im Auftrag verarbeiteten Daten gemäß § 8.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere folgende Vorgänge, wie sie zur Erbringung der vertraglich geschuldeten Funktionen erforderlich sind:

• Speicherung, Anzeige und Verwaltung von Teilnehmer-, Interessenten- und Mitarbeiterdaten
• Erstellung von Dokumenten (Verträge, Bescheinigungen, Meldeformulare an Kostenträger)
• Durchführung und Auswertung von Befragungen
• Versand von E-Mail-Benachrichtigungen und -Erinnerungen
• Bereitstellung optionaler KI-gestützter Textassistenzfunktionen (nur soweit vom Verantwortlichen aktiviert; siehe § 6 zur Unterauftragsverarbeitung)
• technische Speicherung und Datensicherung im Rahmen des Hostings

Zweck der Verarbeitung ist ausschließlich die Erbringung der in den Nutzungsbedingungen beschriebenen Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, mit Ausnahme anonymisierter oder aggregierter Daten zur Weiterentwicklung und Fehleranalyse der Software, aus denen kein Rückschluss auf betroffene Personen möglich ist.

§ 3 Art der personenbezogenen Daten

Im Rahmen der Nutzung können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

• Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten)
• Vertrags- und Maßnahmendaten (Maßnahmenzuordnung, Anwesenheit, Vertragsdaten)
• Sozialdaten im Zusammenhang mit Förderleistungen (Kostenträger, Gutscheinnummern, Kundennummern)
• Kommunikationsdaten (E-Mail-Verkehr, Notizen)
• ggf. Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, soweit der Verantwortliche solche Angaben (z. B. im Rahmen der Eingangsdiagnostik zu gesundheitlichen oder sozialen Aspekten) in die Software einträgt

§ 4 Kategorien betroffener Personen

• Teilnehmer und Interessenten von Bildungsmaßnahmen des Verantwortlichen
• Mitarbeitende des Verantwortlichen (Coaches/Dozenten, Verwaltungspersonal)
• Kontaktpersonen bei Arbeitgebern, Kostenträgern und Netzwerkpartnern des Verantwortlichen

§ 5 Pflichten des Auftragsverarbeiters

5.1 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. Die Nutzungsbedingungen sowie die Konfigurationsmöglichkeiten innerhalb der Software (z. B. Aktivierung optionaler Module durch den Verantwortlichen) gelten als dokumentierte Weisung im Sinne dieser Vorschrift.

5.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugriff auf personenbezogene Daten auf das für die jeweilige Tätigkeit erforderliche Maß beschränkt ist (Need-to-know-Prinzip, technisch umgesetzt durch das rollenbasierte Berechtigungssystem der Software).

5.3 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 3 aufgeführten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und passt diese bei Bedarf an den Stand der Technik an, ohne das vereinbarte Schutzniveau zu unterschreiten.

5.4 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von dessen Pflichten gemäß Art. 32 bis 36 DSGVO, insbesondere bei der Beantwortung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung oder Datenübertragbarkeit, sowie bei Datenschutz-Folgenabschätzungen, soweit dem Auftragsverarbeiter hierfür die erforderlichen Informationen vorliegen.

5.5 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt ihn bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und betroffenen Personen gemäß Art. 33, 34 DSGVO.

5.6 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle zur Nachweisführung der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Der Verantwortliche kündigt Vor-Ort-Kontrollen mit angemessenem zeitlichem Vorlauf (mindestens zwei Wochen) an und nimmt auf den Geschäftsbetrieb des Auftragsverarbeiters angemessen Rücksicht; angemessene Kosten der Kontrolle trägt der Verantwortliche.

§ 6 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter durch den Auftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung anderer Unterauftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen innerhalb von 14 Tagen nach Information Einspruch zu erheben. Bei berechtigtem Einspruch wird der Auftragsverarbeiter die betreffende Änderung nicht umsetzen oder dem Verantwortlichen eine zumutbare Alternative anbieten; ist dies nicht möglich, sind beide Parteien berechtigt, die betroffene Leistung bzw. den Vertrag außerordentlich zu kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter im Wege einer Vereinbarung zu denselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind, insbesondere hinsichtlich hinreichender Garantien für geeignete technische und organisatorische Maßnahmen.

(4) Erfolgt die Verarbeitung durch einen Unterauftragsverarbeiter außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (Drittland), stellt der Auftragsverarbeiter sicher, dass die Übermittlung auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO erfolgt (z. B. Angemessenheitsbeschluss der EU-Kommission, EU-Standardvertragsklauseln oder eine vergleichbare Zertifizierung des Empfängers).

§ 7 Weisungsbefugnis

(1) Weisungen können durch den Verantwortlichen in Textform (E-Mail) oder durch die im Rahmen der Software vorgesehenen Konfigurationsmöglichkeiten erteilt werden.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Umsetzung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 8 Löschung und Rückgabe personenbezogener Daten

Nach Beendigung der Erbringung von Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Recht der Europäischen Union oder der Mitgliedstaaten eine Verpflichtung zur weiteren Speicherung der Daten besteht. Näheres zur Datenexport-Möglichkeit und den Fristen regelt § 12 der Nutzungsbedingungen.

§ 9 Haftung

Es gelten die Haftungsregelungen des Hauptvertrags (§ 11 der Nutzungsbedingungen) entsprechend. Die gesetzliche Haftung der Parteien gegenüber betroffenen Personen und Aufsichtsbehörden nach Art. 82, 83 DSGVO bleibt hiervon unberührt.

§ 10 Schlussbestimmungen

(1) Dieser Vertrag ist Bestandteil der Nutzungsbedingungen (Hauptvertrag). Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag hinsichtlich datenschutzrechtlicher Fragen vor.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für einen Verzicht auf dieses Formerfordernis.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Anlage 3 — Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

1. Vertraulichkeit

• Verschlüsselte Datenübertragung zwischen Nutzer und Anwendung mittels TLS/HTTPS
• Passwörter werden ausschließlich als Hash-Werte gespeichert (kein Klartext), unter Verwendung etablierter Hashing-Verfahren
• Rollenbasiertes Berechtigungssystem: Zugriff auf Daten ist auf die jeweils erforderlichen Funktionsrollen (z. B. Verwaltung, Coach, Teilnehmer) beschränkt
• Mandantentrennung: Daten verschiedener Bildungsträger (Mandanten) sind logisch voneinander getrennt und für andere Mandanten nicht einsehbar
• Zugriff auf die Serverinfrastruktur ist auf einen begrenzten Personenkreis beschränkt (Hosting-Zugangsdaten, SFTP-/Datenbank-Zugänge)
• Physische Sicherheit der Serverstandorte wird durch den Hosting-Anbieter IONOS SE (u. a. zertifizierte Rechenzentren) sichergestellt

2. Integrität

• Eingabevalidierung und Schutz vor gängigen Web-Angriffsvektoren (u. a. CSRF-Schutz durch Sitzungs-Tokens bei verändernden Anfragen)
• Protokollierung sicherheitsrelevanter Ereignisse (z. B. fehlgeschlagene Anmeldeversuche) im Rahmen des technisch Vorgesehenen

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung durch den Hosting-Anbieter im Rahmen des jeweiligen Hosting-Pakets
• Redundante Infrastruktur des Hosting-Anbieters (soweit im gebuchten Hosting-Paket vorgesehen)

4. Verfahren zur regelmäßigen Überprüfung

• Software-Updates und Sicherheitskorrekturen werden zeitnah nach Bekanntwerden relevanter Schwachstellen eingespielt
• Der Auftragsverarbeiter überprüft die Wirksamkeit der technischen und organisatorischen Maßnahmen in angemessenen Abständen und passt sie bei Bedarf an