Vertrag zur Auftragsverarbeitung

Entwurf – keine Rechtsberatung. Dieser Text ist ein Vorschlag und vor der Verwendung anwaltlich zu prüfen. Gelb markierte Stellen sind noch zu ergänzen.

§ 1 Gegenstand und Dauer

1. Der Anbieter (Gebäude- & Montageservice Florian Hoppe, Bornaer Straße 114, 09114 Chemnitz) betreibt für den Kunden die Software HOPJEKTO. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Der Kunde ist Verantwortlicher, der Anbieter Auftragsverarbeiter im Sinne der DSGVO.
2. Der Vertrag gilt, solange der Hauptvertrag über die Nutzung von HOPJEKTO oder ein Testzugang besteht, und darüber hinaus, bis alle Daten nach § 9 zurückgegeben oder gelöscht sind.

§ 2 Art, Zweck und betroffene Daten

1. Art und Zweck: Speichern, Anzeigen, Übermitteln und Löschen von Daten, damit der Kunde Objekte verwalten, Hausmeister und Handwerker einsetzen und Arbeiten nachweisen kann. Eine Verarbeitung für eigene Zwecke des Anbieters findet nicht statt.
2. Betroffene Personen: Beschäftigte des Kunden, Mieter, Eigentümer, Ansprechpartner, Dienstleister und Interessenten.
3. Datenarten: Stamm- und Kontaktdaten, Rollen und Rechte, Arbeits- und Abwesenheitszeiten, Einsatz- und Auftragsdaten, Fotos mit Zeitstempel, Zählerstände, Fahrzeug- und Schlüsselzuordnungen, Meldungen und Dokumente.
4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Krankmeldungen werden nur als Abwesenheit ohne Diagnose erfasst; der Kunde stellt sicher, dass keine weitergehenden Angaben eingetragen werden.

§ 3 Weisungen des Kunden

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, außer er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. Die Nutzung der Software und dieser Vertrag gelten als Weisung; weitere Weisungen erteilt der Kunde in Textform.
2. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten des Anbieters

1. Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
2. Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, nachdem er davon erfahren hat, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.
3. Die Verarbeitung findet ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt.

§ 5 Technische und organisatorische Maßnahmen

1. Der Anbieter trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:
   • verschlüsselte Übertragung (HTTPS) und strikte Trennung der Kundendaten auf Datenbankebene;
   • Rollen und Rechte, Zwei-Faktor-Anmeldung für Administratoren, Geschäftsführer und Betreiber, unveränderliches Änderungsprotokoll;
   • tägliche verschlüsselte Datensicherung, regelmäßig geprüfte Wiederherstellung;
   • Rechenzentrum in der EU mit Zutritts- und Zugangsschutz; [TOM-Beschreibung des Hosters als Anlage beifügen]
2. Der Anbieter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragnehmer

1. Der Kunde stimmt dem Einsatz dieser Unterauftragnehmer zu:
   • IONOS SE, Elgendorfer Str. 57, 56410 Montabaur: Server, Datenspeicher und E-Mail-Versand, Standort EU.
   • [Weitere Unterauftragnehmer ergänzen, falls vorhanden]
2. Neue oder geänderte Unterauftragnehmer kündigt der Anbieter mindestens [30] Tage vorher in Textform an. Der Kunde kann aus wichtigem Datenschutzgrund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag außerordentlich kündigen.
3. Der Anbieter verpflichtet Unterauftragnehmer vertraglich auf die Pflichten dieses Vertrags.

§ 7 Unterstützung des Kunden

1. Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Geht eine solche Anfrage beim Anbieter ein, leitet er sie an den Kunden weiter.
2. Er unterstützt den Kunden außerdem bei Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32 bis 36 DSGVO), soweit ihm das nach Art der Verarbeitung möglich ist.

§ 8 Kontrollen

1. Der Anbieter stellt die Informationen bereit, die zum Nachweis seiner Pflichten nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung.
2. [Rechtlich prüfen: Kostentragung und Häufigkeit von Vor-Ort-Kontrollen]

§ 9 Rückgabe und Löschung

1. Nach Vertragsende kann der Kunde seine Daten über die Exportfunktionen herunterladen. Der Anbieter löscht die Daten danach innerhalb der in den AGB genannten Frist, soweit keine gesetzliche Aufbewahrungspflicht besteht.
2. Datensicherungen werden nach Ablauf ihrer Aufbewahrungszeit überschrieben. Die Löschung wird auf Anfrage bestätigt.
3. Die Daten eines Testzugangs ohne anschließenden Vertrag werden 14 Tage nach dem Ende der Testzeit gelöscht.

§ 10 Vertragsschluss und Schlussbestimmungen

1. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Administrator oder Geschäftsführer des Kunden stimmen im Portal zu. Der Anbieter speichert Fassung, Zeitpunkt und zustimmende Person als Nachweis.
2. Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.
3. Ohne diesen Vertrag kommt kein Hauptvertrag zustande.