Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen:

Der Kunde bestätigt, dass die handelnde Person zum Abschluss dieser Vereinbarung für das Kundenunternehmen berechtigt ist.

Gegenstand der Verarbeitung ist die Bereitstellung und der technische Betrieb der myBauManagement-Software. Die Plattform unterstützt die Verwaltung von Unternehmen, Mitarbeitern, Baustellen, Aufgaben, Arbeitseinsätzen, Arbeitszeiten sowie Urlaub und Abwesenheiten.

Die Verarbeitung beginnt mit der Nutzung der Plattform und dauert für die Laufzeit des Hauptvertrags an. Nach Vertragsende gelten die Regelungen zur Rückgabe und Löschung in Abschnitt 11.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich Übermittlungen in Drittländer, sofern keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.

Je nach Nutzung der Plattform können insbesondere folgende Verarbeitungsvorgänge stattfinden:

• Erheben und Eingeben von Daten durch Kunden und berechtigte Benutzer
• Speichern, Ordnen, Strukturieren und Aktualisieren von Daten
• Bereitstellen und Anzeigen von Informationen innerhalb der Plattform
• Verwalten von Benutzerkonten, Rollen und Zugriffsrechten
• Technischer Betrieb, Fehlerdiagnose, Wartung und Absicherung
• Export, Rückgabe und Löschung von Daten nach Maßgabe dieser Vereinbarung

Der Verantwortliche ist insbesondere dafür zuständig,

• eine Rechtsgrundlage für die Verarbeitung der Daten sicherzustellen;
• betroffene Personen ordnungsgemäß zu informieren und deren Rechte zu gewährleisten;
• nur erforderliche und zutreffende Daten in die Plattform einzugeben;
• Zugriffsberechtigungen seiner Benutzer zu verwalten und Zugangsdaten vertraulich zu behandeln;
• rechtmäßige, dokumentierte Weisungen an den Auftragsverarbeiter zu erteilen;
• die Rechtmäßigkeit der Nutzung und etwaige arbeitsrechtliche Anforderungen zu prüfen.

Der Auftragsverarbeiter verpflichtet sich im Rahmen der geltenden gesetzlichen Anforderungen:

• Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, sofern keine gesetzliche Pflicht entgegensteht;
• Personen mit Datenzugriff zur Vertraulichkeit zu verpflichten;
• angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen;
• den Verantwortlichen bei Betroffenenanfragen und den Pflichten nach Art. 32 bis 36 DSGVO im gesetzlich erforderlichen Umfang zu unterstützen;
• Verletzungen des Schutzes personenbezogener Daten dem Verantwortlichen ohne unangemessene Verzögerung nach Bekanntwerden mitzuteilen und verfügbare Informationen bereitzustellen;
• Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereitzustellen und angemessene Prüfungen nach Abschnitt 12 zu ermöglichen;
• nach Vertragsende Daten nach Maßgabe von Abschnitt 11 zurückzugeben oder zu löschen.

SmarterASP.NET veröffentlicht ein Data Processing Agreement (DPA), das nach Angaben des Anbieters Teil der Hosting-Nutzungsbedingungen ist und für personenbezogene Daten gilt, die SmarterASP.NET im Auftrag des Kunden verarbeitet und die dem EU-Datenschutzrecht unterliegen. Das veröffentlichte DPA beschreibt unter anderem Verarbeitung auf Weisung, den möglichen Einsatz von Unterauftragsverarbeitern, Sicherheitsmaßnahmen, internationale Übermittlungen sowie Rückgabe und Löschung. Ein gesondert auf Papier unterschriebener DPA/AVV wird nicht behauptet; maßgeblich ist, welche Online-Bedingungen für das konkrete Kundenkonto gelten.

Änderungen oder der Einsatz weiterer Unterauftragsverarbeiter werden dem Verantwortlichen nach Maßgabe der gesetzlichen und vertraglichen Anforderungen mitgeteilt; ihm wird eine angemessene Möglichkeit zum begründeten Widerspruch eingeräumt.

Laut veröffentlichtem DPA kann SmarterASP.NET Unterauftragsverarbeiter einsetzen; eine Liste der aktuell eingesetzten Unterauftragsverarbeiter kann beim Anbieter angefordert werden. Daher wird nicht behauptet, dass SmarterASP.NET der einzige Dienstleister mit möglichem Datenzugriff ist.

myBauManagement nutzt den Tarif „Premium Business Plan“. Laut einer Auskunft des Supports befindet sich das Rechenzentrum für dieses Konto in Amsterdam; die Hosting-Backups werden nach den vorliegenden Angaben im selben Rechenzentrum gespeichert. Der Anbieter hat seinen Sitz in den USA. Im veröffentlichten DPA erklärt SmarterASP.NET, dass Kundendaten in den USA und überall dort übertragen und verarbeitet werden können, wo der Anbieter oder seine Unterauftragsverarbeiter Datenverarbeitung betreiben. Der Standort möglicher Supportzugriffe und weiterer Verarbeitungsvorgänge ist daher nicht allein durch den Rechenzentrumsstandort Amsterdam bestimmt.

Das veröffentlichte DPA erklärt, dass SmarterASP.NET geeignete Garantien nach den anwendbaren Datenschutzgesetzen umsetzen werde. Die konkrete Rechtsgrundlage und die für das Kundenkonto geltenden Garantien für Drittlandübermittlungen sind anhand der tatsächlich geltenden Unterlagen des Anbieters zu beurteilen. Eine ausschließliche Verarbeitung innerhalb des Europäischen Wirtschaftsraums wird nicht zugesichert.

Das veröffentlichte DPA nennt als Stand den 21. Mai 2019. Die veröffentlichte Privacy Policy nennt als letzte Aktualisierung den 5. Juli 2012 und betrifft insbesondere Informationen, die bei der Nutzung der Website und Dienste erhoben werden. Diese Privacy Policy allein bestätigt weder den konkreten Speicherort der Kundendaten noch sämtliche Bedingungen der Auftragsverarbeitung.

Stripe wird zur Abonnement- und Zahlungsverwaltung eingesetzt. Nach der derzeitigen Beschreibung werden im Rahmen der myBauManagement- Abonnementverwaltung insbesondere die E-Mail-Adresse des Kunden sowie Informationen zum gebuchten Paket und Abonnement verarbeitet.

Stripe kann abhängig von der konkreten Integration zusätzliche technische, Transaktions- und Abrechnungsdaten verarbeiten. Die Rollen von Stripe als eigenständig Verantwortlicher bzw. Auftragsverarbeiter richten sich nach dem jeweils anwendbaren Stripe-Vertrag und der tatsächlichen Verarbeitung. Maßgeblich sind die jeweils geltenden Stripe-Vertragsunterlagen und Datenschutzbedingungen.

Stripe Data Processing Agreement

Der Auftragsverarbeiter muss geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO implementieren und aufrechterhalten. Die Maßnahmen müssen dem tatsächlichen Sicherheitsniveau der Anwendung und Infrastruktur entsprechen und dokumentiert werden.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

• Administrativer Zugriff: Administrative Zugriffe auf Hosting und Anwendung sind auf berechtigte Personen zu beschränken und angemessen zu schützen. Die tatsächlich eingerichteten Zugriffsrechte sind zu dokumentieren.
• Zugangsschutz: Benutzerkonten werden über die implementierte Authentifizierung verwaltet. Passwörter müssen mit den vorgesehenen Sicherheitsmechanismen des Authentifizierungssystems geschützt werden.
• Zugriffskontrolle: Der Plattformbetreiber kann administrative Zugriffsmöglichkeiten auf Kundendaten haben, soweit dies für Betrieb, Wartung und Support erforderlich ist. Zugriffe sind auf das erforderliche Maß zu beschränken.
• Übertragungssicherheit: Die Plattform wird über HTTPS mit TLS betrieben.
• Datensicherung und Backups: Für die Datenbank wird eine tägliche Datensicherung durchgeführt. Zusätzlich sollen Sicherungskopien auf einem externen USB-Datenträger gespeichert und vor unbefugtem Zugriff geschützt werden. Die USB-Sicherung ist erst dann als umgesetzt anzusehen, wenn sie tatsächlich eingerichtet ist.
• Mandantentrennung: Unternehmensdaten werden in der Anwendung anhand der CompanyId getrennt. Zugriffe auf Unternehmensdaten sind entsprechend den Berechtigungen des jeweiligen Unternehmens zu beschränken.
• Datenlöschung: Für gekündigte Kundenunternehmen ist ein automatisierter Löschprozess eingerichtet. Die Löschung erfolgt nach den in Abschnitt 11 beschriebenen Fristen und unter Berücksichtigung gesetzlicher Aufbewahrungspflichten. Sicherungskopien unterliegen gesonderten Aufbewahrungs- und Löschfristen.

Die technischen und organisatorischen Maßnahmen werden entsprechend der tatsächlichen Systemkonfiguration umgesetzt und bei relevanten Änderungen überprüft.

Nach Ende des Hauptvertrags wird der Auftragsverarbeiter nach Wahl des Verantwortlichen die personenbezogenen Daten zurückgeben oder löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die praktische Umsetzung und das Format der Rückgabe sind auf Anfrage abzustimmen.

Für myBauManagement ist vorgesehen, die einem Kundenunternehmen zugeordneten Daten drei Monate nach dem Ende des laufenden Abonnementzeitraums zu löschen, sofern die Kündigung wirksam ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Frist wird durch den in myBauManagement eingerichteten Löschprozess umgesetzt.

Vor der Löschung kann der Verantwortliche die Rückgabe seiner Daten anfordern. Die Rückgabe erfolgt nach Abstimmung in einem geeigneten Format. Gesetzlich aufzubewahrende Daten werden nur im erforderlichen Umfang und für die vorgeschriebene Dauer aufbewahrt. Sicherungskopien und technische Protokolle unterliegen gesonderten Aufbewahrungs- und Löschfristen.

Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Verantwortliche kann nach angemessener Vorankündigung und während üblicher Geschäftszeiten Prüfungen durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen, soweit dies zur Überprüfung der Einhaltung dieses AVV erforderlich und verhältnismäßig ist.

Prüfungen müssen die Sicherheit und Vertraulichkeit anderer Kunden sowie berechtigte Betriebsinteressen berücksichtigen. Gesetzliche Kontrollrechte bleiben unberührt.

Dieser AVV ergänzt den Hauptvertrag über die Nutzung von myBauManagement. Bei Widersprüchen bezüglich der Verarbeitung personenbezogener Daten gehen die Regelungen dieses AVV vor, soweit gesetzlich zulässig. Änderungen und Ergänzungen bedürfen einer nachvollziehbaren Dokumentation in Textform.

Sollten einzelne Bestimmungen unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.