Auftragsverarbeitungsvertrag (AVV)

Gegenstand und Dauer

1. Der Auftragnehmer stellt dem Auftraggeber die cloudbasierte Bürosoftware Toolyte bereit.

2. Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung von Toolyte, insbesondere durch Speicherung, Strukturierung, Änderung, Bereitstellung, KI-Verarbeitung, Transkription, Protokollierung und Löschung.

3. Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrags. Verpflichtungen zur Vertraulichkeit, Löschung und Nachweisführung bestehen fort, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet.

Art und Zweck

Die Verarbeitung umfasst insbesondere:

• Bereitstellung von Organisationskonten,
• Benutzer- und Berechtigungsverwaltung,
• Speicherung von Datensätzen und Schemas,
• Datei- und Dokumentenspeicherung,
• Verarbeitung von Sprachaufnahmen und Transkripten,
• KI-gestützte Verarbeitung,
• Audit-Protokollierung,
• Datensicherung,
• Support nach Freigabe,
• technische Fehler- und Sicherheitsanalyse,
• Löschung und Rückgabe.

Datenarten

Verarbeitet werden können insbesondere:

• Stamm- und Kontaktdaten,
• Organisationsdaten,
• Beschäftigtendaten,
• Kunden- und Lieferantendaten,
• Kommunikationsdaten,
• Termine, Aufgaben und Notizen,
• Datei- und Dokumenteninhalte,
• Sprachaufnahmen und Transkripte,
• Benutzer-, Rollen- und Berechtigungsdaten,
• Nutzungs- und Protokolldaten,
• IP-Adressen und technische Kennungen,
• vom Auftraggeber individuell definierte Daten.

Betroffenengruppen

Betroffene Personen können insbesondere sein:

• Beschäftigte und freie Mitarbeiter des Auftraggebers,
• Kunden, Interessenten und Lieferanten,
• Ansprechpartner bei Geschäftspartnern,
• Benutzer und Administratoren,
• Personen, deren Stimmen aufgenommen werden,
• sonstige Personen, deren Daten der Auftraggeber eingibt oder hochlädt.

Ausgeschlossene Daten und Nutzungen

1. Ohne vorherige ausdrückliche Vereinbarung dürfen nicht verarbeitet werden:

• besondere Kategorien nach Art. 9 DSGVO,
• strafrechtliche Daten nach Art. 10 DSGVO,
• Sozialdaten,
• besonders schutzbedürftige Daten Minderjähriger.

2. Der Auftraggeber darf Toolyte nicht für ausschließlich automatisierte Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung verwenden.

3. Untersagt sind insbesondere automatisierte Entscheidungen über:

• Bewerberauswahl,
• Beschäftigung und Kündigung,
• Kreditwürdigkeit,
• Versicherungen,
• medizinische Diagnosen,
• sonstige wesentliche persönliche Angelegenheiten.

4. Werden ausgeschlossene Daten versehentlich verarbeitet, informiert der Auftraggeber den Auftragnehmer und veranlasst unverzüglich die erforderliche Löschung oder vereinbart zusätzliche Schutzmaßnahmen.

Weisungen

1. Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung entgegensteht.

2. Die erstmalige Weisung ergibt sich aus dem Hauptvertrag, dieser Vereinbarung, der Funktionsbeschreibung und der Nutzung durch berechtigte Benutzer.

3. Einzelweisungen können in Textform oder über dafür vorgesehene Funktionen erteilt werden.

4. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber. Er kann die Ausführung bis zur Bestätigung oder Änderung aussetzen.

Pflichten des Auftraggebers

Der Auftraggeber ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Verarbeitung,
• geeignete Rechtsgrundlagen,
• Informationspflichten,
• Betroffenenrechte,
• Datenminimierung,
• Berechtigungsvergabe,
• Kontrolle von KI-Ergebnissen,
• rechtmäßige Sprachaufnahmen,
• gesetzliche Aufbewahrungspflichten,
• die Zulässigkeit erteilter Weisungen.

Pflichten des Auftragnehmers

Der Auftragnehmer:

• verarbeitet Daten nur zweck- und weisungsgebunden,
• verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit,
• setzt angemessene TOM ein,
• unterstützt bei Betroffenenrechten,
• unterstützt bei Datenschutzverletzungen und Datenschutz-Folgenabschätzungen,
• löscht oder gibt Daten nach Vertragsende zurück,
• stellt erforderliche Nachweise bereit,
• kontrolliert Unterauftragsverarbeiter.

Vertraulichkeit

Alle Personen, die Zugriff auf personenbezogene Daten erhalten können, werden vor Beginn ihrer Tätigkeit zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

Sicherheit

Der Auftragnehmer setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen ein.

Die Maßnahmen dürfen geändert werden, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird.

Betroffenenrechte

1. Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen nach Art. 12 bis 22 DSGVO.

2. Anfragen, die unmittelbar beim Auftragnehmer eingehen und Kundendaten betreffen, werden grundsätzlich an den Auftraggeber weitergeleitet.

3. Der Auftragnehmer nimmt keine eigenständige Berichtigung oder Löschung von Kundendaten ohne Weisung vor, soweit keine gesetzliche Pflicht besteht.

Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich über festgestellte Verletzungen des Schutzes personenbezogener Daten.

Die Mitteilung enthält, soweit verfügbar:

• Art des Vorfalls,
• betroffene Daten und Personen,
• Zeitpunkt und Dauer,
• wahrscheinliche Folgen,
• ergriffene oder vorgeschlagen Maßnahmen,
• Ansprechpartner.

Unterauftragsverarbeiter

1. Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

2. Änderungen werden grundsätzlich mindestens 30 Tage im Voraus mitgeteilt.

3. Der Auftraggeber kann aus berechtigten datenschutzrechtlichen Gründen widersprechen.

4. Kann keine zumutbare Lösung gefunden werden, können die betroffenen Leistungen ausgesetzt oder gekündigt werden.

5. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter gemäß Art. 28 Abs. 4 DSGVO.

Drittlandübermittlungen

Drittlandübermittlungen erfolgen nur unter den Voraussetzungen von Kapitel V DSGVO.

Der Auftragnehmer verwendet insbesondere:

• Angemessenheitsbeschlüsse,
• EU-US Data Privacy Framework,
• Standardvertragsklauseln,
• zusätzliche technische und organisatorische Maßnahmen.

Supportzugriffe

1. Ein Zugriff auf Kundeninhalte erfolgt nur aufgrund einer Supportfreigabe oder wenn dies zur Abwehr eines konkreten Sicherheitsvorfalls gesetzlich oder vertraglich erforderlich ist.

2. Supportfreigaben sind:

• durch einen Administrator zu erteilen,
• zweckgebunden,
• zeitlich begrenzt,
• widerrufbar,
• zu protokollieren.

3. Zugriffe werden auf das erforderliche Maß beschränkt.

Sprachaufnahmen

1. Der Auftraggeber stellt sicher, dass Sprachaufnahmen rechtmäßig erfolgen.

2. Heimliche oder unbefugte Aufnahmen sind unzulässig.

3. Der Auftraggeber informiert betroffene Personen vor Beginn der Aufnahme und holt erforderliche Einwilligungen oder sonstige Erlaubnisse ein.

4. Ein sichtbarer Aufnahmeindikator entbindet den Auftraggeber nicht von seinen gesetzlichen Pflichten.

KI-Verarbeitung

1. Die KI verarbeitet Daten nur im Berechtigungskontext des auslösenden Benutzers.

2. Kundeninhalte werden nicht zum Training der eingesetzten Modelle verwendet.

3. KI-Ergebnisse sind durch den Auftraggeber beziehungsweise seine Benutzer auf Richtigkeit und Zulässigkeit zu prüfen.

4. KI-ausgelöste Änderungen werden im Audit-Protokoll gekennzeichnet.

Audit-Protokolle

1. Der Auftraggeber weist den Auftragnehmer an, Änderungen manipulationsgeschützt zu protokollieren.

2. Das Audit-Protokoll kann vorherige und neue Feldwerte enthalten.

3. Das Löschen eines Datensatzes führt nicht automatisch zur Löschung der zugehörigen Audit-Historie.

4. Audit-Protokolle werden bis zur Löschung der Organisation gespeichert.

5. Der Auftraggeber prüft, ob diese Aufbewahrung für die von ihm verarbeiteten Daten angemessen und erforderlich ist.

Kontrollen und Nachweise

Der Auftragnehmer stellt auf Anforderung geeignete Informationen und Nachweise zur Verfügung. Kontrollen erfolgen vorrangig durch:

• TOM-Dokumentation,
• Fragebögen,
• Zertifikate und Prüfberichte,
• abgestimmte Remote-Prüfungen.

Vor-Ort-Prüfungen erfolgen nach angemessener Ankündigung und dürfen den Betrieb nicht unverhältnismäßig beeinträchtigen.

Löschung und Rückgabe

1. Nach Vertragsende löscht der Auftragnehmer die Kundendaten, sofern der Auftraggeber keine Rückgabe verlangt und keine gesetzlichen Pflichten entgegenstehen.

2. Produktivdaten werden nach Organisationslöschung entfernt.

3. Sicherungskopien und nicht aktuelle S3-Versionen werden innerhalb von längstens 30 Tagen überschrieben oder gelöscht.

4. Bis zur Löschung dürfen Sicherungsdaten nicht für gewöhnliche betriebliche Zwecke verwendet werden.

5. Gesetzlich aufzubewahrende eigene Vertrags- und Abrechnungsdaten des Auftragnehmers bleiben unberührt.

Schlussbestimmungen

Änderungen dieser Vereinbarung bedürfen der Textform. Es gilt deutsches Recht.