Vereinbarung zur Auftragsverarbeitung (AVV)

§ 1 Gegenstand und Dauer der Verarbeitung

1. Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der Plattform AngebotsPro.
2. Gegenstand der Verarbeitung ist die Bereitstellung einer SaaS-Plattform zur Erstellung, Speicherung, Bearbeitung, PDF-Erzeugung und – je nach Tarif – Versendung von Handwerksangeboten.
3. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags über die Nutzung von AngebotsPro sowie den dort und in dieser Vereinbarung geregelten Aufbewahrungs- und Löschfristen.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten für folgende Zwecke:

• Bereitstellung und Betrieb der Plattform
• Nutzerverwaltung und Authentifizierung
• Speicherung und Bearbeitung von Angebotsdaten
• PDF-Erstellung
• Transaktionaler E-Mail-Versand von Angeboten
• Technische Absicherung, Fehlersuche und Missbrauchsprävention
• KI-gestützte Erstellung von Angebotsvorschlägen im Rahmen der Nutzung durch den Verantwortlichen

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

§ 4 Weisungsgebundenheit

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen, soweit keine gesetzliche Verpflichtung zur abweichenden Verarbeitung besteht.
2. Die in Hauptvertrag, Produktfunktionalität und dieser AVV beschriebenen Verarbeitungsvorgänge gelten als dokumentierte Weisung des Verantwortlichen.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere,

1. personenbezogene Daten vertraulich zu behandeln,
2. Personen, die Zugang zu personenbezogenen Daten haben, zur Vertraulichkeit zu verpflichten,
3. geeignete technische und organisatorische Maßnahmen zu treffen,
4. den Verantwortlichen bei der Wahrnehmung von Betroffenenrechten im erforderlichen Umfang zu unterstützen,
5. den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen,
6. Datenschutzverletzungen, die die im Auftrag verarbeiteten Daten betreffen, unverzüglich nach Kenntniserlangung mitzuteilen,
7. nach Vertragsende personenbezogene Daten nach Maßgabe dieser Vereinbarung zu löschen oder zurückzugeben, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht.

§ 6 Pflichten des Verantwortlichen

Der Verantwortliche ist insbesondere dafür verantwortlich,

1. die Rechtmäßigkeit der Datenverarbeitung sicherzustellen,
2. betroffene Personen ordnungsgemäß zu informieren,
3. die Zulässigkeit der Verarbeitung einschließlich etwaiger Einwilligungen oder sonstiger Rechtsgrundlagen sicherzustellen,
4. Weisungen vollständig und datenschutzkonform zu erteilen,
5. keine unzulässigen oder offensichtlich rechtswidrigen Inhalte verarbeiten zu lassen.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere der Risiken geeignete technische und organisatorische Maßnahmen. Die derzeit wesentlichen Maßnahmen ergeben sich aus Anlage 1 zu dieser Vereinbarung.

§ 8 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen.
2. Der Auftragsverarbeiter wird den Verantwortlichen über beabsichtigte wesentliche Änderungen bei Unterauftragsverarbeitern in geeigneter Weise informieren.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die dem Wesensgehalt dieser Vereinbarung entsprechen.
4. Die zum Zeitpunkt dieser Vereinbarung eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.

§ 9 Drittlandtransfers

1. Soweit der Auftragsverarbeiter oder ein Unterauftragsverarbeiter personenbezogene Daten in einem Drittland verarbeitet, erfolgt dies nur auf Grundlage eines zulässigen Übermittlungsmechanismus.
2. Hierzu zählen insbesondere ein Angemessenheitsbeschluss nach Art. 45 DSGVO, Standardvertragsklauseln (SCC) sowie gegebenenfalls ergänzende Schutzmaßnahmen.

§ 10 Unterstützung bei Betroffenenrechten, DSFA und Behördenanfragen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei der Erfüllung von Anträgen betroffener Personen.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei Datenschutz-Folgenabschätzungen und etwaigen Konsultationen mit Aufsichtsbehörden, soweit dies aufgrund der Auftragsverarbeitung erforderlich ist.

§ 11 Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten, soweit Daten betroffen sind, die im Auftrag des Verantwortlichen verarbeitet werden.
2. Die Mitteilung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der betroffenen Daten, der betroffenen Personengruppen und der bereits ergriffenen oder vorgeschlagenen Maßnahmen.

§ 12 Nachweise und Audits

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
2. Audits sind grundsätzlich mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Betriebs- und Geschäftsgeheimnissen durchzuführen.
3. Der Auftragsverarbeiter kann Nachweise zunächst durch geeignete Unterlagen, Zertifikate, Dokumentationen, TOM-Beschreibungen oder aktuelle Datenschutz- und Sicherheitsinformationen erbringen.

§ 13 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung des Hauptvertrags löscht oder gibt der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.
2. Soweit im Produkt eine Nachhaltefrist vorgesehen ist, können Daten für bis zu 30 Tage nach Vertragsende zur Ermöglichung von Export oder Wiederherstellung vorgehalten werden.
3. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
4. Backup-Daten und technisch bedingte Restbestände werden nach den üblichen Überschreibungs- und Löschzyklen des jeweiligen Systems gelöscht.

§ 14 Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften sowie ergänzend nach dem Hauptvertrag, soweit dort zulässigerweise Regelungen getroffen wurden.

§ 15 Schlussbestimmungen

1. Im Übrigen gelten die Regelungen des Hauptvertrags.
2. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.