Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

[Firmenname Auftraggeber]
[Straße Hausnummer]
[PLZ Ort]
– Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO –
(nachfolgend „Auftraggeber“)

und

LightPalmMedia GmbH
Margot-Kalinke-Straße 3
80939 München
Kontakt Datenschutz: info@lightpalmmedia.de
Telefon: +49 89 4132 44 6 99
– Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO –
(nachfolgend „Auftragnehmer“)

gemeinsam die „Parteien“.

Präambel

Der Auftraggeber nutzt die Software-as-a-Service-Plattform Sunvault des Auftragnehmers auf Grundlage eines gesonderten Nutzungsvertrags (Hauptvertrag). Im Rahmen der Leistungserbringung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser AVV regelt die datenschutzrechtlichen Rechte und Pflichten gemäß Art. 28 DSGVO und ist Anlage und integraler Bestandteil des Hauptvertrags.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs von Sunvault (u. a. CRM, Projektverwaltung, Angebots-/Auftrags-/Rechnungswesen, Dokumentenerzeugung und -speicherung, E-Mail-Funktionen, Kundenportal/Signaturprozess), wie im Hauptvertrag beschrieben.

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet auch dieser AVV, unbeschadet fortbestehender Pflichten (insbesondere Löschung/Rückgabe, Vertraulichkeit, Nachweispflichten).

(3) Art, Zweck, Art der Daten und Kreis der Betroffenen ergeben sich aus Anlage 1.

§ 2 Weisungsgebundenheit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Auftraggebers und gemäß diesem AVV sowie dem Hauptvertrag, es sei denn, eine Verpflichtung zur Verarbeitung besteht nach dem Recht der Union oder der Mitgliedstaaten (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Weisungen erfolgen in Textform (E-Mail genügt). Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich.

(4) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte gegenüber den betroffenen Personen verantwortlich. Er stellt sicher, dass eine geeignete Rechtsgrundlage für die Übermittlung an und die Verarbeitung durch den Auftragnehmer besteht.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Die aktuellen technischen und organisatorischen Maßnahmen (TOMs) sind in Anlage 2 beschrieben. Der Auftragnehmer darf die TOMs dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen teilt er dem Auftraggeber mit.

(3) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten gegenüber betroffenen Personen gemäß Kapitel III DSGVO (Art. 28 Abs. 3 lit. e).

(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f).

(5) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht sowie trägt zu Überprüfungen – einschließlich Inspektionen – bei, die vom Auftraggeber oder einem anderen von diesem beauftragten Prüfer durchgeführt werden. Audits erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal jährlich, es sei denn, ein konkreter Anlass (insbesondere Sicherheitsvorfall) rechtfertigt eine zusätzliche Prüfung. Betriebs- und Geschäftsgeheimnisse des Auftragnehmers sowie Daten anderer Mandanten sind zu schützen; bei Bedarf erfolgen Audits durch unabhängige Dritte unter NDA.

(6) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g). Details: Anlage 1 Ziffer 5 und § 8.

§ 4 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(2) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern rechtzeitig in Textform (E-Mail genügt), sodass der Auftraggeber Widerspruch erheben kann. Erhebt der Auftraggeber innerhalb von 14 Kalendertagen nach Zugang der Information begründeten Widerspruch und können die Parteien keine einvernehmliche Lösung finden, kann der Auftraggeber den Hauptvertrag außerordentlich mit einer Frist von 30 Tagen kündigen. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich entsprechend den Anforderungen des Art. 28 Abs. 4 DSGVO. Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb der EU/des EWR, stellt der Auftragnehmer ein angemessenes Schutzniveau sicher (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

(4) Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung der Pflichten der Unterauftragsverarbeiter verantwortlich.

§ 5 Ort der Verarbeitung / Drittlandtransfers

(1) Die Verarbeitung erfolgt vorrangig in der Europäischen Union bzw. im EWR (derzeit insbesondere: Hetzner Cloud Falkenstein/Deutschland; Impossible Cloud Object Storage Central Europe).

(2) Drittlandtransfers (Verarbeitung außerhalb der EU/des EWR) finden derzeit nicht statt. Sollten künftig Unterauftragsverarbeiter mit Drittlandbezug eingesetzt werden, werden diese in Anlage 3 ausgewiesen und dem Auftraggeber gemäß § 4 Abs. 2 mitgeteilt; es werden geeignete Garantien (insbesondere Angemessenheitsbeschluss oder EU-Standardvertragsklauseln) eingesetzt.

(3) Weitere Drittlandtransfers bedürfen der vorherigen Information des Auftraggebers gemäß § 4 Abs. 2, sofern sie nicht bereits in Anlage 3 enthalten sind.

§ 6 Meldepflichten bei Datenschutzverletzungen

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die im Auftrag verarbeiteten Daten betrifft.

(2) Die Meldung enthält – soweit verfügbar – die Angaben nach Art. 33 Abs. 3 DSGVO und wird fortlaufend ergänzt. Der Auftraggeber bleibt für die Meldung an Aufsichtsbehörde und Betroffene verantwortlich; der Auftragnehmer unterstützt ihn dabei angemessen.

§ 7 Unterstützung bei Betroffenenrechten

Anfragen betroffener Personen, die sich unmittelbar an den Auftragnehmer richten, leitet dieser unverzüglich an den Auftraggeber weiter. Der Auftragnehmer beantwortet solche Anfragen nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an oder es besteht eine gesetzliche Pflicht.

§ 8 Rückgabe und Löschung

(1) Während der Vertragslaufzeit kann der Auftraggeber einen Export seiner in Sunvault gespeicherten Daten in einem gängigen maschinenlesbaren Format verlangen (soweit technisch bereitgestellt).

(2) Nach Vertragsende stellt der Auftragnehmer innerhalb von 30 Tagen einen Abschluss-Export bereit (sofern nicht bereits erfolgt) und löscht die personenbezogenen Daten des Auftraggebers einschließlich Backups innerhalb von weiteren 90 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Über gesetzliche Aufbewahrung (z. B. steuerrelevante Belege in Dokumenten) informiert der Auftraggeber den Auftragnehmer; entsprechende Objekte können gesperrt statt gelöscht werden.

(3) Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 9 Haftung

Die Haftung der Parteien richtet sich nach dem Hauptvertrag und den zwingenden gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO. Dieser AVV begründet keine erweiterte Haftung über den Hauptvertrag hinaus, soweit gesetzlich zulässig.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, München.

(4) Bei Widersprüchen zwischen Hauptvertrag und diesem AVV gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

Ort, Datum

___________________________  ___________________________

Auftraggeber            Auftragnehmer
(Unterschrift, Name, Funktion)  (Unterschrift, Name, Funktion)

Anlage 1 — Beschreibung der Verarbeitung

1. Zweck der Verarbeitung

Bereitstellung der SaaS-Plattform Sunvault zur Verwaltung von Kunden-/Interessenten-, Projekt- und Dokumentendaten des Auftraggebers inkl. Erzeugung/Speicherung von Angeboten, Aufträgen, Rechnungen und Vollmachten sowie optionaler elektronischer Signatur über das Kundenportal.

2. Art der Verarbeitung

Erheben (durch Eingabe des Auftraggebers bzw. Imports), Speichern, Auslesen, Verändern, Abfragen, Übermitteln (z. B. E-Mail-Versand im Auftrag des Auftraggebers), Einschränken, Löschen, Protokollieren – jeweils weisungsgebunden.

3. Art der personenbezogenen Daten

• Personenstammdaten (Name, Anschrift, Geburtsdatum soweit erfasst)
• Kommunikationsdaten (Telefon, Mobil, E-Mail)
• Vertrags- und Projektdaten
• Dokumenteninhalte (PDFs) und Metadaten
• Signaturdaten (Signaturbild, Ort/Datum der Unterschrift)
• Abrechnungs-/Zahlungsdaten und Bankdaten (IBAN/BIC), soweit vom Auftraggeber gespeichert
• Nutzungs- und Protokolldaten (Login, IP, User-Agent von Mitarbeitern des Auftraggebers; Portalzugriffe)
• Kommunikationsinhalte (E-Mails), soweit über Sunvault versendet/gespeichert

4. Kategorien betroffener Personen

• Kunden und Interessenten des Auftraggebers
• Mitarbeiter und sonstige autorisierte Nutzer des Auftraggebers
• Lieferanten/Partner des Auftraggebers, soweit in Projekten erfasst
• Sonstige Dritte, deren Daten der Auftraggeber in Sunvault einstellt

5. Löschfristen (Default, sofern Auftraggeber nichts anderes weist)

Anlage 2 — Technische und organisatorische Maßnahmen (TOMs)

Es gelten die aktuellen TOMs des Auftragnehmers in der jeweils dokumentierten Fassung:

Dokument: 03_TOMs_Sunvault.md (LightPalmMedia GmbH), Stand siehe Dokumentenkopf.

Eine aktuelle Kopie wird dem Auftraggeber auf Anfrage zur Verfügung gestellt und kann diesem AVV als PDF-Auszug beigefügt werden.

Anlage 3 — Unterauftragsverarbeiter

Es gilt die Liste in 05_Unterauftragsverarbeiter.md. Zum Zeitpunkt der Unterzeichnung mindestens:

Ausfüllhilfe für Bestandskunden (Beispiel)

Auftraggeber: Solarland Bayern SLB GmbH / bzw. jeweiliger Firmenkunde
Vorlage: diesen AVV personalisieren, Anlagen beibehalten, unterschreiben, in Kundenakte ablegen.