Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Parteien

• Verantwortlicher („Kunde"): [Kunde gemäß Hauptvertrag].
• Auftragsverarbeiter („Auftragnehmer"): Reg-Bytes GmbH, In den Weihern 22, 66687 Wadern, Deutschland.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der im Hauptvertrag vereinbarten Leistungen ([z. B. Entwicklung, Betrieb, Wartung, Automatisierung, Support]). Die Laufzeit entspricht der des Hauptvertrags.

2. Art und Zweck der Verarbeitung

[Konkrete Verarbeitungstätigkeiten beschreiben, z. B. Entwicklung/Test mit Kundendaten, Betrieb/Wartung von Systemen, Migration, Support, Prozessautomatisierung.]

3. Art der personenbezogenen Daten

[Projektabhängig, z. B. Stammdaten, Kontaktdaten, Vertrags-/Nutzungsdaten, Kommunikationsdaten. Besondere Kategorien (Art. 9 DSGVO) nur, soweit ausdrücklich vereinbart.]

4. Kategorien betroffener Personen

[Projektabhängig, z. B. Beschäftigte, Kunden, Interessenten, Lieferanten des Kunden.]

5. Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern keine gesetzliche Verpflichtung besteht.

6. Pflichten des Auftragnehmers

• Verpflichtung der befugten Personen auf Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1).
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Meldepflichten.
• Unverzügliche Meldung von Datenschutzverletzungen.

7. Unterauftragsverarbeiter

Allgemeine Genehmigung mit Informations- und Widerspruchsrecht des Kunden; Weitergabe der Pflichten aus Art. 28 DSGVO. Aktuell eingesetzte Unterauftragsverarbeiter: siehe Anlage 2.

8. Drittlandübermittlungen

Verarbeitung vorrangig in der EU/im EWR. Übermittlungen in Drittländer nur auf Grundlage geeigneter Garantien (Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln).

9. Rechte der betroffenen Personen

Unterstützung des Kunden bei der Erfüllung von Betroffenenrechten mit geeigneten Maßnahmen.

10. Löschung und Rückgabe

Nach Vertragsende Löschung oder Rückgabe der personenbezogenen Daten nach Wahl des Kunden, sofern keine gesetzliche Aufbewahrungspflicht besteht.

11. Nachweise und Kontrollen

Bereitstellung der erforderlichen Nachweise; Ermöglichung von Audits in angemessenem Rahmen.

12. Haftung

Es gelten die Haftungsregelungen des Hauptvertrags sowie Art. 82 DSGVO.

13. Schlussbestimmungen

Deutsches Recht. Bei Widersprüchen gehen in Datenschutzfragen die Regelungen dieses AVV vor.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung bei Übertragung (TLS) und, soweit einschlägig, im Ruhezustand.
• Zugangs-, Zugriffs- und Berechtigungskonzept; Mehr-Faktor-Authentifizierung, soweit möglich.
• Trennung von Mandanten-/Projektdaten.
• Protokollierung sicherheitsrelevanter Vorgänge.
• Regelmäßige Backups; Wiederherstellungsverfahren.
• Verpflichtung der Mitarbeitenden auf Vertraulichkeit; Sensibilisierung/Schulung.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Maßnahmen.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

[Projektabhängig — hier die tatsächlich eingesetzten Unterauftragsverarbeiter mit Zweck und Verarbeitungsort auflisten, z. B. Hosting-/Cloud-Anbieter.]