Auftragsverarbeitungsvereinbarung (AVV) BOS-ID

 

gem. Art. 28 Datenschutzgrundverordnung (DSGVO) zwischen Ihnen

[im Folgenden „Verantwortlicher“ genannt]

und

MP-BOS GmbH – Lauchwasenstr. 4 – 76709 Kronau (Deutschland)

[im Folgenden „Auftragsverarbeiter“ genannt]

Kunden nehmen zur Kenntnis und akzeptieren, dass sie durch Nutzung des BOS-ID-Portals die MP-BOS GmbH beauftragen, personenbezogene Daten als “Auftragsverarbeiter” gem. Europäischen Datenschutzbestimmungen zu verarbeiten. Die Bedingungen des Auftrags sind in dieser Auftragsverarbeitungsvereinbarung geregelt.

 1. Gegenstand, Hauptvertrag und Vertragsdauer

Der Gegenstand dieser AVV ergibt sich aus dem von den Parteien geschlossenen Hauptvertrag über die Erbringung von BOS-ID Leistungen (“Vertrag”). Der Auftragsverarbeiter wird die darin beschriebenen Verarbeitungstätigkeiten durchführen

  • hinsichtlich folgender Daten:
    • Stammdaten, Kontakt- und Kommunikationsdaten
    • Zahlungsdaten für die Rechnungsstellung
    • Daten, die für die Zwecke des unternehmensinternen Datenschutzmanagements (Internal Privacy Management) benötigt werden
    • Angaben über die Nutzung der Webseite von BOS-ID, wie z.B. Angaben zur Nutzung des Supports oder Analysedaten usw.
    • Daten zu den Nutzern des Kunden, einschließlich Angaben über deren Interaktionen mit BOS-ID
     
  • hinsichtlich folgender Kategorien von Betroffenen:
    • Kunde
    • Dritte, die im Auftrag des Kunden tätig sind (z.B. Sachbearbeiter)
    • Mitglieder des Kunden
     

Die Vertragsdauer dieser AVV entspricht der Dauer des Vertrages.

 2. Weisungsgebundenheit

Verarbeitungstätigkeiten werden nur nach Weisung des Verantwortlichen durchgeführt. Derartige Weisungen sind im Vertrag und in dieser AVV niedergelegt. Verarbeitungstätigkeiten nach dieser AVV finden innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraumes (EWR) statt. Etwaige Datenübermittlungen außerhalb der EU oder des EWR finden ausschließlich unter Einhaltung der Bedingungen aus Art. 44 ff. DSGVO statt.

 3. Technische und Organisatorische Maßnahmen

Der Verarbeiter hat technische und organisatorische Maßnahmen ergriffen, um sicherzustellen, dass die Verarbeitungstätigkeiten im Rahmen dieser AVV in Übereinstimmung mit den geltenden Datenschutzbestimmungen durchgeführt werden. Der Auftragsverarbeiter hat insbesondere Sicherheitsmaßnahmen ergriffen, um Schutzstandards zu gewährleisten, die den Risiken für die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme angemessen sind, wobei die Wahrscheinlichkeit von Datenverletzungen und die Schwere der daraus möglicherweise resultierenden Risiken für die Rechte und Freiheiten natürlicher Personen berücksichtigt werden. Technische und organisatorische Maßnahmen sind stets zu überwachen und entsprechend dem technischen Fortschritt und der technischen Entwicklung zu aktualisieren, um die Datenschutzstandards aufrechtzuerhalten oder zu erhöhen.

4. Berichtigung, Einschränkung und Datenlöschung

Der Auftragsverarbeiter darf Daten, die in den Anwendungsbereich dieser Vereinbarung fallen, nicht berichtigen oder löschen oder deren Verarbeitung einschränken, es sei denn, er erhält vom Verantwortlichen eine entsprechende Anweisung. Wenden sich Betroffene an den Auftragsverarbeiter bezüglich Datenverarbeitungstätigkeiten nach dieser AVV, leitet der Auftragsverarbeiter diese Anfrage direkt an den für die Verarbeitung Verantwortlichen weiter.

5. Gewährleistung für Qualität und weitere Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter hat die Bestimmungen dieser AVV, einschlägige gesetzliche Vorschriften, insbesondere die sich aus Art. 28-33 DSGVO ergebenden, einzuhalten. Insbesondere stellt der Auftragsverarbeiter sicher, dass

  • Personen, die personenbezogene Daten verarbeiten, einer vertraglichen oder gesetzlichen Vertraulichkeitsverpflichtung unterliegen;
  • Sicherheitsmaßnahmen gemäß Art. 32 DSGVO ergriffen worden sind;
  • unter Berücksichtigung der Art der Verarbeitung, er den Verantwortlichen soweit wie möglich bei der Erfüllung seiner Verpflichtungen, Anträge von Betroffenen auf Wahrnehmung ihrer Rechte zu beantworten, durch geeignete technische und organisatorische Maßnahmen unterstützt;
  • er den Verantwortlichen bei der Einhaltung der Verpflichtungen gemäß Artikel 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen unterstützt;
  • dem Verantwortlichen alle Informationen zur Verfügung gestellt werden, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen und Prüfungen, einschließlich Inspektionen, wie in Artikel 7 dieser Vereinbarung festgelegt, ermöglicht werden.
 

6.Unterbeauftragung

Der Auftragsverarbeiter hat Dritte mit der Durchführung bestimmter Aspekte oder Teile der eigenen Leistungen beauftragt. Solche Dritte unterliegen – soweit gesetzlich vorgeschrieben – den gleichen Verpflichtungen und Garantien, wie sie in dieser AVV und den einschlägigen gesetzlichen Vorschriften vorgesehen sind. Der Verantwortliche kann die Liste der derzeit vom Auftragsverarbeiter eingesetzten Unterauftragsverarbeiter anfordern. Jede Änderung dieser Liste ist dem Verantwortlichen unverzüglich mitzuteilen, wobei der Verantwortliche die Möglichkeit hat, Widerspruch einzulegen. Im Falle eines Widerspruchs behält sich der Auftragsverarbeiter das Recht vor, den Vertrag mit dem Verantwortlichen fristlos zu kündigen.

7. Kontrollrechte

Bei Vorliegen eines triftigen Grundes, kann der Verantwortliche verlangen, dass die vom Auftragsverarbeiter nach dieser AVV durchgeführten Verarbeitungstätigkeiten von einer unabhängigen und anerkannten Stelle geprüft und begutachtet werden. Inspektionen und Audits sind im Voraus mit dem Auftragsverarbeiter zu planen und finden in der Regel ohne Beeinträchtigung des regulären Geschäftsbetriebs des Auftragsverarbeiters statt. Der Auftragsverarbeiter kann die Kosten für solche Audits oder Inspektionen dem Verantwortlichen in Rechnung stellen. Die Einhaltung der Verpflichtungen gemäß Art. 32-36 DSGVO kann auch nachgewiesen werden durch

  • Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;
  • eine Zertifizierung nach einem anerkannten Zertifizierungsverfahren gemäß Art. 42 DSGVO
  • Bescheinigungen des aktuellen Datenschutzprüfers des Auftragsverarbeiters, Berichte oder Auszüge aus Berichten, die von unabhängigen Stellen zur Verfügung gestellt werden;
  • eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutz-Auditierung.
 

8. Datenschutzverstöße

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Verpflichtungen in Bezug auf die Sicherheit personenbezogener Daten, die Meldung von Datenschutzverstößen, bei der Durchführung von Datenschutzfolgenabschätzungen und im Rahmen vorheriger Konsultationen gemäß den Artikeln 32 bis 36 des DSGVO, indem er insbesondere

  • angemessene Schutzstandards durch technische und organisatorische Maßnahmen unter Berücksichtigung der Art, der Umstände und der Zwecke der Verarbeitung, der Wahrscheinlichkeit von Datenverletzungen und der Schwere des möglicherweise daraus resultierenden Risikos für natürliche Personen gewährleistet;
  • die umgehende Erkennung von Verstößen sicherstellt;
  • Datenverletzungen ohne grundlose Verzögerung dem Verantwortlichen meldet
  • den Verantwortlichen bei der Beantwortung von Anträgen der Betroffener oder bei der Wahrnehmung ihrer Rechte unterstützt.
 

9. Vorrang gesetzlicher Vorschriften

Sollte der Verantwortliche bei der Verarbeitung personenbezogener Daten Änderungen der in Art. 2 genannten dokumentierten Anweisungen verlangen, hat der Auftragsverarbeiter den Verantwortlichen unverzüglich zu informieren, wenn er der Ansicht ist, dass diese Änderungen zu Verstößen gegen Datenschutzbestimmungen führen. Der Auftragsverarbeiter ist berechtigt, von jeder Tätigkeit absehen, die zu einem solchen Verstoß führen könnte.

10. Kündigung, Löschung und Rückgabe personenbezogener Daten

Nach Beendigung der Leistungserbringung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Rahmen dieser Vereinbarung erhobenen und verarbeiteten personenbezogenen Daten oder gibt sie dem Verantwortlichen zurück, es sei denn, eine anwendbare Rechtsvorschrift, der der Auftragsverarbeiter unterliegt, verpflichtet ihn zur Speicherung der personenbezogenen Daten. In jedem Fall kann der Auftragsverarbeiter alle Informationen, die zum Nachweis einer ordnungs- und rechtmäßigen Verarbeitung erforderlich sein könnten, über die Beendigung des Vertrags hinaus gemäß den gesetzlichen Aufbewahrungsfristen aufbewahren.

11. Schlussbestimmungen

Der Auftragsverarbeiter ist berechtigt, diese AVV bei Bedarf zu ändern, um ihn an geltendes Recht anzupassen oder den Dienst
weiterzuentwickeln, sofern diese Änderungen das Verhältnis zwischen dem Verantwortlichen und dem Auftragsverarbeiter nicht wesentlich zu Gunsten des Auftragsverarbeiter verändern würden. Der Auftragsverarbeiter informiert den Verantwortlichen mit einer Frist von 30 Tagen über etwaige Änderungen der Bedingungen dieser AVV, bevor diese in Kraft treten. Die Mitteilung kann per
E-Mail oder über den Kundenbereich erfolgen, in dem die AVV heruntergeladen und/oder ausgedruckt werden kann. Die geänderte DSGVO wird wirksam, wenn der Verantwortliche nicht innerhalb der in der Benachrichtigung genannten Frist in Textform (z. B. per E-Mail) widerspricht und den Dienst nach Ablauf der Frist weiter nutzt. Der Auftragsverarbeiter weist den Verantwortlichen in der
Benachrichtigung gesondert auf die Folgen der Nichtannahme hin. Die Kündigungsrechte sowohl des Verantwortlichen als auch des Auftragsverarbeiters bleiben unberührt.

Sollte eine Bestimmung dieser AVV ganz oder teilweise unwirksam oder undurchsetzbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, die unwirksame oder undurchsetzbare Bestimmung gemeinsam durch eine wirksame Bestimmung zu ersetzen, die der unwirksamen oder undurchsetzbaren Bestimmung am nächsten
kommt. Das Gleiche gilt für jede Lücke in dieser AVV.

Im Falle von Konflikten zwischen dieser AVV und anderen Vereinbarungen zwischen den Parteien, insbesondere dem Hauptvertrag, haben die Bestimmungen dieser AVV Vorrang.

Anlage 1: Allgemeine technische und organisatorische Maßnahmen nach DS-GVO

Anlage 2: Unterauftragnehmer

  • Hetzner Online GmbH – Industriestr. 25 – 91710 Gunzenhausen – Deutschland (TOMs)

 

Stand: 01.03.2022

WordPress Cookie Hinweis von Real Cookie Banner