Auftragsverarbeitungsvertrag (AVV) – Vorlage

Präambel

Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Beauftragung von [Platzhalter: Auftragsverarbeiter, z. B. ThinkShip-Betreiber] (nachfolgend „Auftragsverarbeiter“) durch [Platzhalter: Kunde] (nachfolgend „Verantwortlicher“) ergeben. Er gilt ergänzend zum Hauptvertrag über [Platzhalter: Bezeichnung Hauptvertrag/Lizenzvertrag].

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen des Betriebs der ThinkShip-Plattform für den Verantwortlichen, insbesondere bei selbst gehosteten Instanzen die Unterstützung durch den Auftragsverarbeiter bei Einrichtung, Wartung und Support. Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art und Zweck, Kategorien betroffener Personen und Daten

Art und Zweck: [Platzhalter: z. B. Betrieb, Wartung und Support einer selbst gehosteten Workflow-/Agenten-Plattform; Verarbeitung erfolgt ausschließlich innerhalb der vom Verantwortlichen betriebenen Infrastruktur, nicht in einer geteilten Cloud-Umgebung des Auftragsverarbeiters.]
Kategorien betroffener Personen: [Platzhalter: z. B. Mitarbeitende, Kund:innen des Verantwortlichen, je nach eingesetzten Workflows.]
Art der Daten: [Platzhalter: z. B. Kontaktdaten, Vorgangsdaten, ggf. besondere Kategorien – abhängig vom konkreten Einsatz.]

§ 3 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die in Art. 32 DSGVO geforderten Maßnahmen. Da die ThinkShip-Plattform self-hosted betrieben wird, liegt die Verantwortung für die Infrastruktur-Maßnahmen (Zutritt, physische Sicherheit, Netzwerksegmentierung) überwiegend beim Verantwortlichen als Betreiber der Infrastruktur; der Auftragsverarbeiter verantwortet die Anwendungs- und Prozessebene (u. a. Rollen- und Rechtekonzept, Verschlüsselung, Protokollierung). Die konkreten TOM sind in [Platzhalter: Anlage 1 – TOM-Dokument] beschrieben.

§ 4 Berichtigung, Einschränkung und Löschung von Daten

Der Auftragsverarbeiter darf personenbezogene Daten nur nach dokumentierter Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken, es sei denn, eine unionsrechtliche oder mitgliedstaatliche Vorschrift verpflichtet ihn zur Verarbeitung.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen bzw. nach Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), gewährleistet die Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b und Art. 29 DSGVO und unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei Folgenabschätzungen (Art. 35, 36 DSGVO), soweit im vereinbarten Umfang möglich.

§ 6 Unterauftragsverhältnisse

Der Einsatz von Unterauftragsverarbeitern bedarf der vorherigen schriftlichen oder dokumentierten Zustimmung des Verantwortlichen. Aktuell eingesetzte Unterauftragsverarbeiter: [Platzhalter: Liste, z. B. „keine, da vollständig self-hosted“ oder konkrete Anbieter samt Zweck und Standort]. Bei Cloud-KI-Providern, die der Verantwortliche selbst mit eigenem Schlüssel anbindet, handelt es sich nicht um Unterauftragsverarbeiter des Auftragsverarbeiters, sondern um eine eigenständige Auftragsbeziehung des Verantwortlichen mit dem jeweiligen Provider.

§ 7 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag festgelegten Pflichten des Auftragsverarbeiters zu überzeugen, u. a. durch Einholung von Auskünften und Einsicht in vorhandene Nachweise. Da die Plattform self-hosted betrieben wird, betrifft dies vor allem die vom Auftragsverarbeiter bereitgestellte Software und den Support, nicht die eigene Infrastruktur des Verantwortlichen.

§ 8 Meldung von Verstößen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von [Platzhalter: z. B. 48 Stunden] nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten in seinem Verantwortungsbereich und unterstützt bei der Erfüllung der Meldepflichten nach Art. 33, 34 DSGVO.

§ 9 Weisungsbefugnis

Der Verantwortliche erteilt Weisungen grundsätzlich schriftlich oder in Textform. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.

§ 10 Löschung und Rückgabe nach Vertragsende

Nach Beendigung der vereinbarten Leistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die in seinem eigenen Verantwortungsbereich (z. B. Support-Tickets, Diagnosedaten) verarbeitet wurden, oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Da die Kerndaten auf der self-hosted Infrastruktur des Verantwortlichen verbleiben, betrifft dies primär Daten, die dem Auftragsverarbeiter selbst im Rahmen von Support/Wartung zugänglich waren.

§ 11 Haftung

Es gelten die gesetzlichen Haftungsregelungen der Art. 82 DSGVO sowie ergänzend die im Hauptvertrag vereinbarten Haftungsregelungen, soweit rechtlich zulässig. [Platzhalter: ggf. Haftungshöchstsumme / -ausschlüsse nach individueller Prüfung ergänzen.]

§ 12 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform bzw. Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag hinsichtlich der Verarbeitung personenbezogener Daten vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

[Platzhalter: Ort, Datum, Unterschrift Verantwortlicher] · [Platzhalter: Ort, Datum, Unterschrift Auftragsverarbeiter]