Auftragsverarbeitungsvertrag (AVV)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software-as-a-Service-Plattform “Servicewin” (erreichbar unter app.service-win.de). Der Vertrag gilt für die Dauer der Nutzung der Plattform.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten zur Bereitstellung der Servicewin-Plattform. Dies umfasst insbesondere:

• Kundenverwaltung (CRM)
• Auftragsverwaltung und Einsatzplanung
• Rechnungserstellung und Zahlungsverwaltung
• Mitarbeiterverwaltung
• Kommunikation und Benachrichtigungen
• Marketing- und Kanalverwaltung

• Stammdaten (Name, Anschrift, Kontaktdaten)
• Vertragsdaten und Geschäftsdaten
• Auftrags- und Leistungsdaten
• Zahlungsinformationen
• Kommunikationsdaten
• Standortdaten (Adressen von Einsatzorten)
• Mitarbeiterdaten (Name, Kontakt, Einsatzzeiten)

• Endkunden des Verantwortlichen
• Mitarbeiter und Subunternehmer des Verantwortlichen
• Geschäftspartner des Verantwortlichen
• Leads und Interessenten

Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen zu verarbeiten. Er gewährleistet:

• Die Vertraulichkeit der Verarbeitung gemäß Art. 28 Abs. 3 lit. b DSGVO
• Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO
• Unterstützung des Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO
• Unverzügliche Information bei Verletzungen des Schutzes personenbezogener Daten
• Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung des Vertrags

Vertraulichkeit:

• Zugangskontrolle: Verschlüsselte Authentifizierung, Passwort-Policy
• Zutrittskontrolle: Rechenzentren mit Zugangsschutz (Subprozessoren)
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (Row Level Security)
• Trennungskontrolle: Mandantenfähige Architektur (Multi-Tenant)

Integrität:

• Eingabekontrolle: Audit-Logs bei kritischen Operationen
• Weitergabekontrolle: TLS-Verschlüsselung bei Datenübertragung

Verfügbarkeit:

• Verfügbarkeitskontrolle: tarif- und systemabhängige automatische Sicherungen
• Wiederherstellbarkeit: dokumentierte Wiederherstellungsverfahren der Infrastruktur
• Belastbarkeit: Skalierbare Cloud-Infrastruktur

Verfahren zur regelmäßigen Überprüfung:

• Regelmäßige Sicherheitsupdates
• Penetrationstests durch Subprozessoren

Der Verantwortliche stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:

Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen bei den Unterauftragsverarbeitern mit einer Frist von 30 Tagen. Der Verantwortliche kann widersprechen; in diesem Fall steht ihm ein außerordentliches Kündigungsrecht zu.

Soweit Daten in Drittländer übertragen werden (insbesondere USA), erfolgt dies auf Grundlage von Standardvertragsklauseln (Standard Contractual Clauses) gemäß Art. 46 Abs. 2 lit. c DSGVO oder im Rahmen des EU-U.S. Data Privacy Framework.

Der Verantwortliche hat das Recht:

• Auskunft über die Verarbeitung zu verlangen
• Audits und Kontrollen durchzuführen (mit angemessener Vorankündigung)
• Weisungen zur Verarbeitung zu erteilen
• Den Vertrag bei Verstößen außerordentlich zu kündigen

Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Insbesondere stellt er sicher, dass:

• Eine gültige Rechtsgrundlage für die Verarbeitung besteht
• Betroffene Personen ordnungsgemäß informiert wurden
• Erforderliche Einwilligungen eingeholt wurden
• Anfragen Betroffener (Auskunft, Löschung etc.) ordnungsgemäß bearbeitet werden

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden, über jede Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen
• Wahrscheinliche Folgen
• Ergriffene oder vorgeschlagene Maßnahmen

Nach Beendigung des Vertrags werden alle personenbezogenen Daten innerhalb von 90 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Für Buchungsbelege gelten regelmäßig 8 Jahre, für Jahresabschlüsse und bestimmte weitere Unterlagen 10 Jahre und für Handels- und Geschäftsbriefe regelmäßig 6 Jahre (§ 147 AO, § 257 HGB); abweichende Fristen im Einzelfall bleiben möglich.

Auf Wunsch des Verantwortlichen werden die Daten vor Löschung in einem maschinenlesbaren Format zur Verfügung gestellt.

Die Haftung richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO sowie den allgemeinen Geschäftsbedingungen des Auftragsverarbeiters.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.

Es gilt deutsches Recht. Gerichtsstand ist Berlin.

Dieser Vertrag wird mit Annahme der Nutzungsbedingungen von Servicewin und Aktivierung des Nutzeraccounts wirksam.

Bei Fragen zum Auftragsverarbeitungsvertrag wenden Sie sich an: hi@service-win.de