Auftragsverarbeitungsvertrag

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der SaaS-Plattform kurzhand.de.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag (AGB) geregelten Leistungen. Das umfasst sämtliche Funktionen des gewählten Tarifs:

• Erstellung, Speicherung, Berechnung und Versand von Angeboten, Aufträgen und Rechnungen sowie zugehöriger kaufmännischer Dokumente (PDF und separate XML-Dateien), einschließlich Mahnungen, Serienrechnungen und Wartungsserien
• Team-Funktion: Einladung, Rollenverwaltung, Auftragszuweisung und Selbstbedienungsbereich der Monteure
• Zeiterfassung, Abwesenheiten, Urlaubskonto, Korrekturanträge und die zugehörigen Änderungsprotokolle
• Digitale Angebotsannahme und Abnahme nach § 640 BGB einschließlich einfacher elektronischer Signatur, Mängelerfassung und Gewährleistungsfristen
• Foto-Dokumentation an Auftrag und Abnahme einschließlich der darauf erkennbaren Personen und Objekte
• Öffentliche Dokumentlinks zum Abruf von Angebot, Rechnung und Abnahme durch die vom Verantwortlichen bestimmten Empfänger
• Mail-Eingang: Empfang und Auswertung eingehender E-Mails Dritter an die betriebseigene Eingangsadresse, soweit der Verantwortliche die Funktion aktiviert
• KI-Assistent und „Angebot aus Sprache/Foto", soweit der Verantwortliche sie aktiviert
• Datenexport, Anbieterwechsel und die dafür erzeugten Exportzugänge

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des kurzhand-Nutzungsvertrags. Die Kündigung eines kostenpflichtigen Tarifs beendet diesen Hauptvertrag nicht; das Konto wird lediglich in den Tarif „Kostenlos“ zurückgestuft. Bei Löschung des Kontos gilt § 8 dieses Vertrags.

(1) Zweck der Verarbeitung ist die technische Unterstützung des Verantwortlichen bei der Erstellung und Verwaltung kaufmännischer Dokumente gegenüber seinen Kunden, bei der Dokumentation von Aufträgen, Abnahmen und Mängeln einschließlich zugehöriger Fotos, bei der digitalen Annahme und Unterzeichnung freigegebener Dokumente sowie — bei Nutzung der Team-Funktion — bei der Verwaltung seines Teams und der Erfassung von Arbeitszeiten seiner Monteure (einschließlich Änderungsprotokollen zur Unterstützung gesetzlicher Aufzeichnungspflichten des Verantwortlichen).

(2) Es werden folgende Kategorien personenbezogener Daten verarbeitet, soweit sie vom Verantwortlichen eingegeben werden:

• Stammdaten: Vor- und Nachname, Firmenname, Anschrift (Straße, PLZ, Ort)
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Kaufmännische Daten: Angebots- und Rechnungsnummern, Leistungsbeschreibungen, Netto- und Bruttobeträge, Zahlungsstatus, Fälligkeitsdaten
• Beschäftigtendaten der Team-Funktion: E-Mail-Adresse und Name eingeladener Monteure, Team-Zugehörigkeit und Auftragszuweisungen, Arbeitszeitdaten (Datum, Beginn/Ende, Pausen, Dauer, Tätigkeit) einschließlich Änderungs- und Team-Protokollen (Korrekturgründe, ändernde Person, Einladungs-, Zuweisungs- und Anmelde-Ereignisse), Abwesenheiten (Urlaubskontingent sowie Zeitraum, Kategorie und Status einer Abwesenheit — Urlaub, Krankheit, Berufsschule, Fortbildung, Sonderurlaub oder sonstige Abwesenheit —, Korrektur-Anträge und die zugehörigen Entscheidungen)
• Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO): bei Krankmeldungen ausschließlich der Zeitraum der Arbeitsunfähigkeit („von–bis"), der Bearbeitungsstatus und die Angabe, ob eine Bescheinigung vorliegt (ja/nein) — keine Diagnose, keine Beschwerden, keine Behandlung, keine Medikamente, kein Arztname, kein Ausstellungsdatum und keine Datei. Ein Freitextfeld zur Krankmeldung gibt es nicht; die Anwendung weist entsprechende Eingaben serverseitig zurück
• Leistungsort: Baustellen- bzw. Einsatzadresse eines Auftrags, soweit sie vom Verantwortlichen erfasst wird
• Dokumentations- und Nachweisdaten: Fotos zur Auftrags- und Abnahmedokumentation (einschließlich der darauf erkennbaren Personen und Objekte), Mängelbeschreibungen sowie das Ergebnis einer Abnahme
• Unterschriftsdaten bei digitaler Angebotsannahme und Abnahme: Unterschriftsbild, eingegebener Name des Unterzeichners, Zeitpunkt der Unterzeichnung, IP-Adresse und Browserkennung (User-Agent) des Unterzeichners sowie eine Prüfsumme und eine inhaltliche Momentaufnahme des unterzeichneten Dokuments (Beweissicherung und Schutz vor nachträglicher Veränderung)
• Zugriffszeitpunkte: Zeitpunkt des ersten Aufrufs eines über einen öffentlichen Link freigegebenen Angebots oder einer Abnahme durch den Empfänger
• Technische Daten: Download- und Bestätigungs-Token für den Dokumentabruf und die Angebotsannahme (zeitlich befristet, kryptographisch generiert) sowie das Protokoll der öffentlichen Dokumentlinks (Erstellung, Ablauf, Widerruf, Zeitpunkt eines Abrufs)
• Inhalte der KI-Funktionen, soweit der Verantwortliche sie aktiviert hat: die von ihm oder seinen Beschäftigten eingegebenen Anfragen und übergebenen Kontextdaten (Kunden-, Angebots-, Auftrags- und Rechnungsdaten), hochgeladene Sprachaufnahmen und Fotos sowie die daraus erzeugten Entwürfe und Antworten. Diese Inhalte werden zur Verarbeitung an den KI-Unterauftragsverarbeiter übermittelt und vom Auftragsverarbeiter nicht dauerhaft gespeichert: Weder Anfragen noch Antworten, Sprachaufnahmen oder Fotos werden bei kurzhand persistiert. Gespeichert werden ausschließlich ein monatlicher Verbrauchszähler, das Guthaben, der Nachweis bestätigter schreibender Aktionen sowie ein Herkunftsnachweis je erzeugter Ausgabe (Funktion, Modell, Systemversion, Zeitpunkt und eine Prüfsumme über den erzeugten Inhalt — nicht der Inhalt selbst). Der Herkunftsnachweis dient der Transparenzpflicht nach Art. 50 der Verordnung (EU) 2024/1689 und ist im Datenexport enthalten. Übernimmt der Nutzer einen Vorschlag, wird dessen Inhalt Teil des jeweiligen Angebots, Auftrags oder der Rechnung und unterliegt deren Speicherung
• Inhalte des Mail-Eingangs, soweit der Verantwortliche die Funktion aktiviert hat: Betreff, Absender, ein Textauszug und Anhang-Metadaten eingehender E-Mails Dritter an die betriebseigene Eingangsadresse. Anhänge werden ausschließlich vorübergehend für die Auswertung abgerufen

(3) Über die Krankmeldungen der Team-Funktion hinaus ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO nicht bestimmungsgemäß vorgesehen. Für Krankmeldungen beschränkt sich die Verarbeitung auf Zeitraum, Status und das Vorliegen einer Bescheinigung; Rechtsgrundlage ist Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Arbeitsrecht), für die der Verantwortliche einzustehen hat. Der Auftragsverarbeiter setzt diese Beschränkung technisch durch: An einer Krankmeldung ist kein Freitext möglich; ein solcher Versuch wird auf Ebene der Anwendung und der Datenbank zurückgewiesen. Da andere Freitextfelder und versandte Dokumente gleichwohl besondere Kategorien enthalten können, darf der Verantwortliche solche Angaben nur eingeben, wenn hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht und er den Auftragsverarbeiter entsprechend angewiesen hat.

Von der Verarbeitung betroffen sind:

• Kunden des Verantwortlichen — natürliche Personen und Ansprechpartner von Unternehmen, die im Rahmen von Handwerksleistungen mit ihm in Geschäftsbeziehung stehen
• Interessenten — Personen, für die ein Angebot erstellt wurde, ohne dass es zu einem Auftrag kam
• Beschäftigte und beauftragte Monteure des Verantwortlichen bei Nutzung der Team-Funktion, einschließlich ihrer Arbeitszeit- und Abwesenheitsdaten
• Unterzeichnende Personen bei digitaler Angebotsannahme und Abnahme — auch wenn sie nicht der Kunde selbst sind, etwa ein Bevollmächtigter oder eine vor Ort anwesende Person
• Empfänger öffentlicher Dokumentlinks — jede Person, die einen freigegebenen Link abruft; erfasst wird der Zeitpunkt des ersten Abrufs
• Absender eingehender E-Mails an die betriebseigene Eingangsadresse, soweit der Verantwortliche den Mail-Eingang aktiviert hat — auch dann, wenn sie in keiner Geschäftsbeziehung zu ihm stehen
• Auf Fotos erkennbare Personen — Dritte, die auf Auftrags- oder Abnahmefotos abgebildet sind, ohne selbst Vertragspartner zu sein

Der Verantwortliche informiert seine Beschäftigten und die übrigen betroffenen Personen nach Art. 13 und 14 DSGVO über die Verarbeitung ihrer Daten in kurzhand. Für Absender eingehender E-Mails und für auf Fotos erkennbare Dritte trifft ihn diese Pflicht ebenso; der Auftragsverarbeiter kann sie nicht für ihn erfüllen, weil er zu diesen Personen keine Beziehung hat.

(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung der Kundendaten im Verhältnis zu seinen Kunden. Er stellt sicher, dass für die Eingabe, Speicherung und Verarbeitung der Kundendaten in kurzhand eine geeignete Rechtsgrundlage nach Art. 6 DSGVO besteht (regelmäßig Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung mit dem Kunden des Verantwortlichen).

(2) Der Verantwortliche erteilt dem Auftragsverarbeiter Weisungen über Art, Umfang und Verfahren der Verarbeitung. Weisungen erfolgen in der Regel durch Nutzung der Systemfunktionen (konkludente Weisung durch Bedienung der Software). Weitergehende Weisungen sind in Textform an datenschutz@kurzhand.de zu richten.

(3) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags beim Auftragsverarbeiter zu kontrollieren (§ 7 dieses Vertrags).

(1) Weisungsgebundenheit. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Verantwortlichen ausschließlich auf dokumentierte Weisung des Verantwortlichen und nicht für eigene Zwecke. Das gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit.

(1a) Gesetzliche Ausnahme. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung oder zu einer Übermittlung in ein Drittland verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit — es sei denn, das betreffende Recht verbietet eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses (Art. 28 Abs. 3 lit. a DSGVO).

(2) Vertraulichkeit. Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen einer angemessenen Vertraulichkeitsverpflichtung unterliegen.

(3) Technisch-organisatorische Maßnahmen (Art. 32 DSGVO). Der Auftragsverarbeiter implementiert und unterhält geeignete technische und organisatorische Maßnahmen zur Sicherung der verarbeiteten Daten. Maßgeblich ist Anlage 2 zu diesem Vertrag (unten). Der Auftragsverarbeiter ist berechtigt, die Maßnahmen im Laufe der Zeit anzupassen, sofern das erreichte Sicherheitsniveau nicht unterschritten wird.

(4) Unterstützung bei Betroffenenrechten. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflichten aus den Art. 12–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch), soweit diese Pflichten Daten betreffen, die über kurzhand verarbeitet werden. Anfragen Betroffener, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

(4a) Unterstützung nach Art. 32 bis 36 DSGVO. Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Das umfasst die Sicherheit der Verarbeitung (Art. 32), die Meldung von Verletzungen an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen (Art. 33 und 34) sowie die Datenschutz-Folgenabschätzung und die vorherige Konsultation (Art. 35 und 36). Die Absätze 5 und 6 konkretisieren das.

(5) Unterstützung bei Datensicherheitsverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen Datensicherheitsverletzungen, die die verarbeiteten Kundendaten betreffen, unverzüglich nach Kenntniserlangung unter Angabe der verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO. Geschuldet ist die unverzügliche Meldung; im Regelfall erfolgt sie innerhalb von 24 Stunden nach Kenntniserlangung. Stehen zum Zeitpunkt der Meldung noch nicht alle Informationen zur Verfügung, werden sie ohne unangemessene weitere Verzögerung nachgereicht (Art. 33 Abs. 4 DSGVO). Dies dient der Einhaltung der Meldefrist des Verantwortlichen nach Art. 33 Abs. 1 DSGVO (72 Stunden an die Aufsichtsbehörde).

(6) DSFA- und Vorab-Konsultations-Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO sowie bei der Vorab-Konsultation nach Art. 36 DSGVO, soweit die Verarbeitung durch kurzhand betroffen ist.

(7) Keine weiteren Datenübermittlungen. Der Auftragsverarbeiter übermittelt personenbezogene Daten des Verantwortlichen nicht an Dritte, es sei denn, dies ist zur Leistungserbringung erforderlich und durch den Einsatz genehmigter Unterauftragsverarbeiter gedeckt (§ 6 dieses Vertrags) oder der Verantwortliche hat ausdrücklich zugestimmt.

(1) Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu, die für die Kernfunktionalität von kurzhand eingesetzt werden. Die Zustimmung wird durch die aktive Einbeziehung dieses AVV bei Vertragsschluss erteilt (Art. 28 Abs. 2 DSGVO).

Hinweis:Stripe Payments Europe, Limited ist kein Unterauftragsverarbeiter von kurzhand für Endkundendaten des Nutzers. Endkundendaten des Nutzers werden nicht an Stripe übermittelt. Stripe verarbeitet ausschließlich Daten aus dem Vertragsverhältnis zwischen dem Nutzer und der Rolsing & Kokorin GbR. Die Rolle von Stripe ist dabei nach Verarbeitungszweck geteilt; sie ist in Abschnitt 3 d) der Datenschutzhinweise im Einzelnen beschrieben.

Die optionale Spracheingabe wird durch die Web-Speech-Funktion des vom Nutzer gewählten Browsers bereitgestellt. Google bzw. Apple werden dabei nicht von kurzhand als Unterauftragsverarbeiter beauftragt. Der Nutzer erhält vor Aktivierung des Mikrofons einen Hinweis und kann stattdessen jederzeit die Texteingabe verwenden.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen der Unterauftragsverarbeiter-Liste (Hinzufügen oder Ersetzen) mindestens 30 Tage im Voraus in Textform, z. B. per E-Mail; die Liste in Anlage 3 wird zugleich aktualisiert.

(2a) Der Verantwortliche kann der beabsichtigten Änderung innerhalb von 14 Kalendertagen nach Bekanntgabe widersprechen. Der Widerspruch ist zu begründen; anzugeben sind die datenschutzrechtlichen Gründe, aus denen der Einsatz des neuen Unterauftragsverarbeiters aus Sicht des Verantwortlichen nicht in Betracht kommt. Die kürzere Widerspruchsfrist gegenüber der Ankündigungsfrist ist beabsichtigt: Erst dadurch bleibt zwischen Widerspruch und geplantem Einsatz überhaupt Zeit für eine Lösung.

(2b) Bis zur Klärung eines fristgerechten Widerspruchs werden Daten dieses Verantwortlichen nicht durch den neuen Unterauftragsverarbeiter verarbeitet. Die Parteien suchen gemeinsam nach einer Lösung, insbesondere nach einer zumutbaren Alternative oder nach ergänzenden Schutzmaßnahmen. Ist bis zum geplanten Einsatz keine Lösung erreicht, verzichtet der Auftragsverarbeiter für diesen Verantwortlichen auf den Einsatz, oder der Verantwortliche kann die betroffenen Leistungen spätestens zum Einsatzzeitpunkt außerordentlich kündigen. Bereits im Voraus gezahlte Entgelte werden für den nicht genutzten Zeitraum anteilig erstattet. (Diese Regelung ersetzt die frühere Zustimmungsfiktion; sie ist so gefasst, dass dem Widerspruch eine tatsächliche Folge zukommt.)

(2c) Widerspricht der Verantwortliche nicht innerhalb der Frist nach Absatz 2a, wird die Änderung mit Ablauf der Ankündigungsfrist wirksam. Ein unterbliebener Widerspruch ist keine gesonderte Einwilligung, sondern lässt die nach Absatz 1 bereits erteilte allgemeine Genehmigung unberührt. Das Recht, dem Einsatz später aus wichtigem datenschutzrechtlichem Grund zu widersprechen, bleibt bestehen.

(3) Der Auftragsverarbeiter stellt durch vertragliche Vereinbarungen mit den Unterauftragsverarbeitern sicher, dass diese denselben Datenschutzpflichten unterliegen wie der Auftragsverarbeiter gegenüber dem Verantwortlichen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter diesen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung in vollem Umfang.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags durch den Auftragsverarbeiter zu kontrollieren. Vorrang haben Dokumenten- und Fernprüfungen, soweit sie einen ausreichenden Nachweis ermöglichen; der Auftragsverarbeiter kann hierfür aktuelle Nachweise vorlegen, etwa das Auditergebnis eines qualifizierten Dritten, sofern es die fraglichen Bereiche abdeckt. Eine Vor-Ort-Prüfung bleibt zulässig, wenn sie objektiv erforderlich ist. Kontrollen sind auf das Notwendige zu beschränken und dürfen den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen.

(2a) Die regelmäßige Ankündigungsfrist für eine Kontrolle beträgt 14 Tage. Sie gilt nicht bei einer Anordnung der Aufsichtsbehörde, bei einer Verletzung des Schutzes personenbezogener Daten oder bei begründeter Dringlichkeit. Der Auftragsverarbeiter arbeitet mit der Aufsichtsbehörde auf deren Anfrage zusammen (Art. 31 DSGVO).

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Vorschriften der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 lit. h DSGVO).

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt über die in der Anwendung vorhandenen Exportfunktionen (Absatz 2); der Verantwortliche teilt seine Wahl vor der Kontolöschung mit oder nutzt den Export unmittelbar selbst. Trifft er keine Wahl, gilt die Löschung als gewählt. Mit der Kontolöschung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Kunden-, Beschäftigten- und Dokumentdaten aus den aktiven Systemen. Die Löschung kann nicht rückgängig gemacht werden. Fristen und Ablauf des Anbieterwechsels regelt zusätzlich der Anhang B zu den AGB.

(2) Der Verantwortliche kann die verarbeiteten Daten während der Vertragslaufzeit über die in der Anwendung vorhandenen Exportfunktionen selbst herunterladen: als Gesamtpaket im ZIP-Format (alle Datensätze als JSON, alle Dateien mit Prüfsummen und Manifest), als reinen JSON-Export sowie als CSV-, PDF- und XML-Download. Zusätzlich kann er einen zeitlich begrenzten, widerrufbaren Zugang erzeugen, über den ein von ihm beauftragter Zielanbieter das Paket abholt, ohne Zugangsdaten zum Konto zu erhalten; Aufbau und Grenzen beschreibt die technische Beschreibung der Exportschnittstelle. Ein Export ist eine Kopie: Er beendet weder den Vertrag noch löst er eine Löschung aus. Auch eine Tarifkündigung löst keine Löschung aus, weil das Konto im Tarif „Kostenlos“ fortbesteht.

(3) Eigene steuer- oder handelsrechtliche Unterlagen der Rolsing & Kokorin GbR zum Vertrags- und Abrechnungsverhältnis sind keine Kundendokumente des Verantwortlichen. Soweit solche eigenen Nachweisdaten gesetzlich aufzubewahren sind, werden sie getrennt und zweckgebunden gespeichert. Gesetzliche Aufbewahrungspflichten des Verantwortlichen für seine eigenen Geschäftsunterlagen rechtfertigen keine weitere Speicherung dieser Inhalte durch den Auftragsverarbeiter.

(4) Soweit Infrastruktur-Unterauftragsverarbeiter nach einer Löschung noch technisch unvermeidbare, vorübergehende Kopien führen, bleiben diese bis zur Überschreibung nach deren vertraglich dokumentierten Löschzyklen vor produktivem Zugriff gesperrt. Eine darüber hinausgehende Nutzung findet nicht statt. Wird ein solcher Bestand wiederhergestellt, führt der Auftragsverarbeiter zuvor angeordnete Löschungen erneut aus, bevor die Daten wieder produktiv genutzt werden.

(5) Daten, die der Auftragsverarbeiter aufgrund einer Rechtsvorschrift der Union oder eines Mitgliedstaats weiter aufbewahren muss, werden nicht gelöscht, sondern gesperrt und ausschließlich für den gesetzlichen Zweck verarbeitet.

Die Haftung der Parteien für Verstöße gegen diesen Auftragsverarbeitungsvertrag richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, sowie den Haftungsregelungen des Hauptvertrags (§ 9 AGB), soweit diese nicht gegen zwingendes Recht verstoßen.

(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Zuständige Datenschutz-Aufsichtsbehörde für den Auftragsverarbeiter ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.

(1a) Rangfolge der Dokumente: Für die Verarbeitung personenbezogener Daten im Auftrag gehen die Bestimmungen dieses Vertrags den AGB vor. Für Übermittlungen in Drittländer gehen die jeweils vereinbarten EU-Standardvertragsklauseln einschließlich ihrer Anhänge diesem Vertrag vor. Die Datenschutzhinweise dienen der Information nach Art. 13 und 14 DSGVO; sie ändern weder die Rollenverteilung noch den Umfang der Weisungen. Für den Anbieterwechsel und die Datenherausgabe nach Kapitel VI des Data Act gilt zusätzlich Anhang B zu den AGB; er lässt die Pflichten aus diesem Vertrag unberührt.

(2) Soweit einzelne Bestimmungen dieses Vertrags unwirksam sind, berührt dies die Wirksamkeit des Vertrags im Übrigen nicht.

(3) Änderungen dieses Vertrags bedürfen der Textform. Rein redaktionelle oder für den Verantwortlichen ausschließlich vorteilhafte Änderungen können nach vorheriger Information wirksam werden. Materielle Änderungen bedürfen einer erneuten aktiven Einbeziehung. Für Änderungen der Unterauftragsverarbeiterliste gilt § 6 Abs. 2.

Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich abschließend aus § 1, § 2 und § 3 dieses Vertrags. Eine gesonderte Wiederholung unterbleibt bewusst, damit keine zwei Fassungen auseinanderlaufen können.

Diese Anlage ist die maßgebliche Fassung der technischen und organisatorischen Maßnahmen für die Verarbeitung im Auftrag.

Offener Punkt — Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO): Für die Produktionsdatenbank bestehen derzeit keine erprobten, wiederherstellbaren Sicherungen. Ein automatisierter, verschlüsselter Sicherungsablauf für Datenbank und Dateispeicher ist eingerichtet, aber noch nicht in Betrieb genommen; ein Tarifwechsel beim Datenbank-Dienstleister und ein dokumentierter Wiederherstellungstest stehen aus. Diese Anlage wird ergänzt, sobald ein erfolgreicher Lauf und ein durchgeführter Wiederherstellungstest dokumentiert sind — und nicht vorher. Der Verantwortliche wird hierüber bewusst offen informiert, damit er dies bei seiner eigenen Risikobewertung berücksichtigen kann.

Maßgeblich ist die Tabelle in § 6 Abs. 1 dieses Vertrags. Änderungen richten sich nach § 6 Abs. 2 bis 2c.

Die eingesetzten Transfermechanismen sind je Unterauftragsverarbeiter in der Spalte „Transfermechanismus“ der Tabelle in § 6 Abs. 1 angegeben. Verwendet werden die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 sowie, soweit der jeweilige Empfänger nachweislich zertifiziert ist, ergänzend der Angemessenheitsbeschluss zum EU-US Data Privacy Framework.

Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework ist in Kraft; gegen das ihn bestätigende Urteil des Gerichts der Europäischen Union ist ein Rechtsmittel beim Gerichtshof anhängig. Die Übermittlungen sind deshalb durchgehend zusätzlich auf Standardvertragsklauseln gestützt und blieben auch bei einem Wegfall des Beschlusses abgesichert.

Anwendungsdaten werden in der Europäischen Union gespeichert (Irland). Übermittlungen in Drittländer erfolgen nur, soweit sie für den Betrieb erforderlich sind — insbesondere technische Verbindungsdaten beim Anwendungshosting, Fehlerprotokolle im Monitoring und Inhalte beim E-Mail-Versand.