Auftragsverarbeitungsvertrag (AVV)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software-as-a-Service-Plattform “Servicewin” (erreichbar unter app.service-win.de). Der Vertrag gilt für die Dauer des Servicewin-Vertrags einschließlich der erforderlichen Rückgabe- und Löschprozesse. Die Vertragsparteien sind der im Betriebskonto bezeichnete Geschäftskunde als Verantwortlicher und die nachstehende Betreibergesellschaft als Auftragsverarbeiter. Einzelne eingeladene Beschäftigte schließen keinen eigenen AVV für ihren Arbeitgeber.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten zur Bereitstellung der Servicewin-Plattform. Dies umfasst insbesondere:

• Kundenverwaltung (CRM)
• Auftragsverwaltung und Einsatzplanung
• Rechnungserstellung und Zahlungsverwaltung
• Mitarbeiterverwaltung
• Kommunikation und Benachrichtigungen
• Authentifizierung, Benutzerverwaltung, Support, Fehleranalyse und Wartung, soweit dafür ein Zugriff auf Kundendaten erforderlich ist

• Stammdaten (Name, Anschrift, Kontaktdaten)
• Vertragsdaten und Geschäftsdaten
• Auftrags- und Leistungsdaten
• Zahlungsinformationen
• Kommunikationsdaten
• Standortdaten (Adressen von Einsatzorten)
• Mitarbeiterdaten (Name, Kontakt, Einsatzzeiten und Vergütung), Accountdaten sowie zulässige Freitexte und Dateianhänge

• Endkunden des Verantwortlichen
• Mitarbeiter und Subunternehmer des Verantwortlichen
• Geschäftspartner des Verantwortlichen
• Leads und Interessenten

Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen zu verarbeiten. Er gewährleistet:

• Die Vertraulichkeit der Verarbeitung gemäß Art. 28 Abs. 3 lit. b DSGVO
• Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO
• Unterstützung des Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO
• Unverzügliche Information bei Verletzungen des Schutzes personenbezogener Daten
• Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung des Vertrags

Weisungen werden durch vertragsgemäße Nutzung und Konfiguration oder dokumentiert über Support und E-Mail an hi@service-win.de erteilt. Servicewin informiert vor gesetzlich vorgeschriebener abweichender Verarbeitung, soweit dies zulässig ist, und weist unverzüglich auf nach seiner Auffassung rechtswidrige Weisungen hin. Zugriffsberechtigte Personen werden zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

Die Anlage zu technischen und organisatorischen Maßnahmen ist verbindlicher Bestandteil dieses AVV. Technische Funktionen und betriebliche Schutzmaßnahmen werden regelmäßig geprüft und dokumentiert. Änderungen dürfen das vereinbarte Schutzniveau nicht absenken.

Der Verantwortliche erteilt eine allgemeine Genehmigung für die in der Anlage Unterauftragnehmer bezeichneten Leistungen. Optionale Integrationen werden nur bei Nutzung einbezogen. Servicewin verpflichtet Unterauftragnehmer vertraglich zu den einschlägigen Datenschutzpflichten und bleibt für deren Erfüllung verantwortlich.

Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen bei den Unterauftragsverarbeitern mindestens 30 Tage vor dem beabsichtigten Einsatz per E-Mail an die im Betriebskonto hinterlegte Vertrags- oder Kontaktadresse. Der Verantwortliche kann aus datenschutzrechtlichen Gründen vor dem Einsatz widersprechen. Die Parteien suchen eine geeignete Alternative; falls keine Lösung möglich ist, kann der betroffene Leistungsteil beendet werden. Gesetzliche Rechte bleiben unberührt. Versand, Inhalt und betroffene Vertragsfassung der Mitteilung werden dokumentiert.

Soweit Daten in Drittländer übertragen werden (insbesondere USA), erfolgt dies auf Grundlage eines anwendbaren Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere Standardvertragsklauseln und gegebenenfalls zusätzlicher Maßnahmen. Die konkrete Grundlage und die Verarbeitungsorte werden in der Anlage benannt; ungeprüfte Zertifizierungen werden nicht zugesichert.

Der Verantwortliche hat das Recht:

• Auskunft über die Verarbeitung zu verlangen
• Audits und Kontrollen durchzuführen (mit angemessener Vorankündigung)
• Weisungen zur Verarbeitung zu erteilen
• Den Vertrag bei Verstößen außerordentlich zu kündigen
• Erforderliche Nachweise zur Einhaltung dieses AVV zu erhalten; Kontrollen einschließlich Inspektionen erfolgen nach Abstimmung unter Schutz anderer Kunden und vertraulicher Informationen. Dokumenten- und Remote-Prüfungen können vorgeschaltet werden, schließen gesetzliche Vor-Ort-Rechte aber nicht aus. Bei dringendem Anlass ist keine gewöhnliche Vorankündigung erforderlich.

Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Insbesondere stellt er sicher, dass:

• Eine gültige Rechtsgrundlage für die Verarbeitung besteht
• Betroffene Personen ordnungsgemäß informiert wurden
• Erforderliche Einwilligungen eingeholt wurden
• Anfragen Betroffener (Auskunft, Löschung etc.) ordnungsgemäß bearbeitet werden

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden über jede Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen
• Wahrscheinliche Folgen
• Ergriffene oder vorgeschlagene Maßnahmen

Der Kunde bleibt für Betroffenenanfragen verantwortlich. Servicewin unterstützt ihn unter Berücksichtigung der Verarbeitung und verfügbarer Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit sowie Sicherheit, Vorfällen, Folgenabschätzungen und Behördenkonsultation. Direkt eingehende Anfragen zu Auftragsdaten werden an den Kunden weitergeleitet.

Nach Vertragsende werden die Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht und verbleibende Kopien gelöscht, soweit keine gesetzliche Speicherungspflicht besteht. Die im Hauptvertrag vorgesehene Rückgabefrist bleibt maßgeblich. Aufbewahrungspflichten des Kunden begründen keine pauschale eigene Speicherungspflicht von Servicewin.

Ein betriebsbezogener Export und eine dokumentierte Datenschutzanfrage sind in den Kontoeinstellungen vorhanden. Umfang und sichere Übergabe werden im Rahmen der Beendigung abgestimmt. Nach Ablauf der vereinbarten Rückgabe- oder Exportfrist werden produktive Auftragsdaten gelöscht. Sicherungskopien laufen entsprechend der beim jeweiligen Anbieter konfigurierten und im internen Betriebsregister dokumentierten Aufbewahrungsfrist aus; eine Wiederherstellung darf dokumentierte Löschungen nicht dauerhaft rückgängig machen. Durchführung und Abschluss des Rückgabe- und Löschprozesses werden dokumentiert.

Die Haftung richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO sowie den allgemeinen Geschäftsbedingungen des Auftragsverarbeiters.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.

Es gilt deutsches Recht. Gerichtsstand ist Berlin.

Dieser AVV wird elektronisch durch die ausdrückliche Annahme der verlinkten Nutzungsbedingungen und dieses AVV durch den Kunden bzw. seinen bevollmächtigten Vertreter einbezogen. Die Bestätigung erfasst Versionen und Zeitpunkt. Eine neue Veröffentlichung allein ersetzt keine bestehende Vertragsfassung. Die Datenschutzhinweise informieren über eigene Verarbeitungen des Anbieters; ihre Kenntnisnahme ist keine pauschale Einwilligung in Kundendatenverarbeitungen.

Bei Fragen zum Auftragsverarbeitungsvertrag wenden Sie sich an: hi@service-win.de