Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO
1. Parteien
Verantwortlicher (Auftraggeber): der in der Dosch Solutions Zentrale registrierte Betrieb.
Auftragsverarbeiter (Auftragnehmer): Michael Dosch, Einzelunternehmen, Geschäftsbezeichnung Dosch Solutions, Am Zehentstadel 11, 82205 Gilching.
2. Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen des technischen Betriebs der gebuchten Module einschließlich Hosting, Speicherung, Auswertung, Benutzerverwaltung, Support, Datensicherung und Sicherheitsprotokollierung.
(2) Die Verarbeitung dauert für die Laufzeit des Hauptvertrags zuzüglich der vereinbarten Aufbewahrungs- und Löschfristen.
3. Art, Umfang und Zweck
(1) Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Auswerten, Exportieren, Berichtigen, Einschränken, Anonymisieren und Löschen.
(2) Zweck: Bereitstellung der vertraglich vereinbarten Softwarefunktionen für den Verantwortlichen.
(3) Betroffene Personen: Beschäftigte, Betriebsinhaber, Administratoren und sonstige vom Verantwortlichen berechtigte Nutzer.
(4) Datenarten: Name, geschäftliche E-Mail-Adresse, Rolle, Status, Standortzuordnung, Anmelde- und Sicherheitsdaten, betriebliche Erfassungs- und Messdaten, Kommentare, Ereignisse, Protokolldaten und Vertragsnachweise.
4. Weisungsbindung
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Bedienhandlungen der vom Verantwortlichen berechtigten Administratoren innerhalb der Anwendung gelten als dokumentierte Weisungen im Rahmen des vereinbarten Funktionsumfangs.
(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich.
5. Vertraulichkeit
Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind und nur die für ihre Aufgaben erforderlichen Zugriffsrechte erhalten.
6. Technische und organisatorische Maßnahmen
(1) Der Auftragnehmer trifft die erforderlichen Maßnahmen nach Art. 32 DSGVO.
(2) Die getroffenen Maßnahmen sind in der Anlage „Technische und organisatorische Maßnahmen“ beschrieben, die Bestandteil dieser Vereinbarung ist.
(3) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.
7. Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.
(2) Die eingesetzten Unterauftragsverarbeiter sind in der jeweils aktuellen Unterauftragnehmerliste ausgewiesen, die ohne Anmeldung abrufbar ist.
(3) Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens vier Wochen vorab. Der Verantwortliche kann aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Im Fall eines berechtigten Widerspruchs, der den Einsatz verhindert, kann jede Seite den Hauptvertrag außerordentlich kündigen.
(4) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht.
8. Unterstützung des Verantwortlichen
Der Auftragnehmer unterstützt den Verantwortlichen im angemessenen Umfang bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO), bei der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO), bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO) sowie bei der Erbringung von Nachweisen nach Art. 28 Abs. 3 lit. h DSGVO.
9. Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich mit den verfügbaren Informationen zu Art, betroffenen Datenkategorien, wahrscheinlichen Folgen und ergriffenen Maßnahmen.
10. Nachweise und Kontrollen
(1) Der Auftragnehmer stellt die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung.
(2) Überprüfungen sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten, unter Wahrung der Sicherheit und Vertraulichkeit anderer Kunden und ohne unverhältnismäßige Betriebsstörung durchzuführen.
11. Löschung und Rückgabe
(1) Nach Beendigung des Hauptvertrags stellt der Auftragnehmer die Daten für den im Dokument „Regelung bei Vertragsende“ genannten Zeitraum zum Export bereit.
(2) Anschließend werden die Daten nach Maßgabe des Lösch-, Aufbewahrungs- und Exportkonzepts gelöscht oder anonymisiert, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
(3) Daten in Sicherungskopien werden im Rahmen der regulären Sicherungsrotation überschrieben.