Datenschutzvertrag
Auftragsverarbeitungsvertrag
Arbeitsfassung der Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.
Dieser Text ist noch nicht rechtlich beziehungsweise datenschutzrechtlich freigegeben und darf nicht als abschließend geprüfte Vertragsgrundlage verstanden werden.
Auftragsverarbeitungsvertrag – Arbeitsentwurf
Nicht datenschutzrechtlich oder rechtlich freigegeben. Nicht als AVV abschließen.
1. Gegenstand und Dauer
Dieser Entwurf beschreibt die Verarbeitung personenbezogener Daten im Rahmen der Nutzung von GerüstKontor. Gegenstand, Laufzeit und Beendigung folgen dem Hauptvertrag.
2. Rollen
Der Kunde ist Verantwortlicher im Sinne der DSGVO. Der Betreiber von GerüstKontor verarbeitet die vom Kunden eingestellten personenbezogenen Daten grundsätzlich als Auftragsverarbeiter nach dokumentierten Weisungen.
Eigene Verarbeitungszwecke des Betreibers, insbesondere Vertragsverwaltung, Abrechnung, Missbrauchsabwehr und gesetzliche Pflichten, müssen vor Freigabe gesondert abgegrenzt werden.
3. Arten von Daten und betroffene Personen
Typische Datenkategorien sind Stamm-, Kontakt-, Kommunikations-, Projekt-, Dokument-, Abrechnungs-, Zahlungs-, Protokoll- und Benutzungsdaten. Betroffen sein können Mitarbeiter, Ansprechpartner, Kunden, Lieferanten und sonstige Projektbeteiligte des Kunden.
4. Weisungen und Unterstützung
GerüstKontor verarbeitet Auftragsdaten nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht. Verfahren für Betroffenenrechte, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Behördenanfragen sind vor einer verbindlichen Verwendung zu ergänzen.
5. Vertraulichkeit und technische Maßnahmen
Der Betreiber verpflichtet berechtigte Personen auf Vertraulichkeit. Die Anlage zu technischen und organisatorischen Maßnahmen muss mindestens Zugriffsschutz, Mandantentrennung, Verschlüsselung, Protokollierung, Sicherung, Wiederherstellung, Schwachstellenmanagement und Löschverfahren konkret und überprüfbar beschreiben.
6. Unterauftragsverarbeiter und Übermittlungen
Eine aktuelle, vollständige Liste aller Unterauftragsverarbeiter, Standorte und Übermittlungsgrundlagen ist vor Freigabe beizufügen. Änderungen benötigen ein festgelegtes Informations- und Widerspruchsverfahren.
7. Nachweise und Prüfungen
Der Betreiber stellt geeignete Nachweise bereit und unterstützt angemessene Prüfungen. Umfang, Vorlauf, Vertraulichkeit und Kostentragung sind vor einer verbindlichen Verwendung festzulegen.
8. Rückgabe und Löschung
Nach Vertragsende stellt GerüstKontor einen Abschluss-Export bereit. Der Mandant bleibt nach aktueller Produktentscheidung grundsätzlich 90 Tage read-only. Anschließend erfolgt eine kontrollierte Löschung, soweit keine gesetzliche Pflicht, Sicherheitskopierfrist oder dokumentierte Löschsperre entgegensteht. Details und Fristen müssen mit dem Löschkonzept übereinstimmen.
9. Noch zu ergänzende Anlagen
- technische und organisatorische Maßnahmen
- Unterauftragsverarbeiter mit Verarbeitungsort
- konkrete Weisungs- und Meldekanäle
- Lösch- und Sicherungsfristen
- Ansprechpartner und Datenschutzkontaktdaten