Vereinbarung zur Auftragsverarbeitung

1. Gegenstand, Dauer und Rangfolge

1.1Diese Vereinbarung konkretisiert die Pflichten aus dem Vertrag über die Nutzung des CAE42-Portals (Nutzungsvertrag), soweit die Keppler IT-Systems GmbH (Auftragsverarbeiter) dabei personenbezogene Daten im Auftrag des Mandanten (Verantwortlicher) verarbeitet. Die Rollenverteilung ist in Ziffer 2 der Datenschutzerklärung beschrieben.

1.2Sie gilt für die Dauer des Nutzungsvertrags und endet mit ihm. Sie kommt mit dem Nutzungsvertrag zustande; eine unterzeichnete Ausfertigung stellt der Auftragsverarbeiter auf Verlangen aus.

1.3Bei Widersprüchen geht diese Vereinbarung dem Nutzungsvertrag vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

2. Gegenstand und Zweck der Verarbeitung

2.1Gegenstand ist der Betrieb des CAE42-Portals für den Verantwortlichen: die Speicherung und Verarbeitung der Daten, die er und seine Benutzer im Portal erfassen, hochladen oder über angebundene Postfächer einlesen lassen, deren Darstellung und Auswertung im Portal, der Versand von E-Mails und SMS an die von ihm bestimmten Empfänger sowie die Datensicherung.

2.2Zweck ist ausschließlich die Erbringung dieser Leistung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, insbesondere keine Auswertung zu Werbe- oder Profilbildungszwecken und keine Weitergabe an Dritte außerhalb von Ziffer 8.

3. Art der Daten und Kreis der Betroffenen

3.1Verarbeitet werden, je nach den vom Verantwortlichen genutzten Bereichen: Bestands- und Kontaktdaten der Benutzer; Stamm- und Kontaktdaten von Geschäftspartnern und Ansprechpartnern; Vertrags-, Beleg-, Zahlungs- und Bankdaten; Projekt-, Termin- und Aufgabendaten; Personalstammdaten, Arbeitszeiten und Abwesenheiten; Daten freier Mitarbeiter einschließlich Sätzen, Verfügbarkeit, Verträgen und Einsätzen; Inhalte von Dokumenten, Nachrichten und angebundenen Postfächern.

3.2Zu den Abwesenheiten gehört die Art „Krankheit“; damit können Gesundheitsdaten nach Art. 9 DSGVO verarbeitet werden. Weitere besondere Kategorien sieht das Portal nicht vor, sie können aber in frei erfassten Texten, Dokumenten und E-Mails enthalten sein.

3.3Betroffene sind die Benutzer des Mandanten, seine Beschäftigten, freien Mitarbeiter und Bewerber, seine Kunden, Lieferanten und sonstigen Geschäftspartner mit ihren Ansprechpartnern sowie Absender und Empfänger von Nachrichten in angebundenen Postfächern.

4. Weisungen

4.1Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Diese Vereinbarung und die Bedienung des Portals durch den Verantwortlichen sind die Weisung; weitergehende Einzelweisungen bedürfen der Textform.

4.2Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen, bis sie bestätigt oder geändert wird.

4.3Ist er ausnahmsweise nach Unionsrecht oder deutschem Recht zu einer Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vorher, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5. Pflichten des Auftragsverarbeiters

5.1Er verarbeitet die Daten nur im Rahmen dieser Vereinbarung und trifft die Maßnahmen nach Art. 32 DSGVO, die in Ziffer 7 beschrieben sind.

5.2Er sieht Daten des Verantwortlichen nur ein, soweit dieser darum bittet oder Wartung und Fehlerbehebung es im Einzelfall erfordern, und nur im dafür nötigen Umfang.

5.3Er unterstützt den Verantwortlichen bei dessen Pflichten nach den Art. 32 bis 36 DSGVO, soweit dieser die erforderlichen Angaben nicht selbst aus dem Portal entnehmen kann.

5.4Er führt ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO und stellt es dem Verantwortlichen auf Verlangen zur Verfügung.

5.5Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Ansprechpartner in Datenschutzfragen ist die Geschäftsführung unter info@keppler.de.

6. Vertraulichkeit

6.1Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind und die mit den einschlägigen Bestimmungen des Datenschutzrechts vertraut sind.

6.2Die Verpflichtung besteht auch nach dem Ende der jeweiligen Tätigkeit fort.

7. Technische und organisatorische Maßnahmen

7.1Vertraulichkeit der Übertragung - Zugriff auf das Portal ausschließlich über TLS; E-Mails werden verschlüsselt an den Versanddienst übergeben.

7.2Zugangskontrolle - Anmeldung mit Kennwort, gespeichert als Streuwert mit modernem Verfahren; Zwei-Faktor-Anmeldung per E-Mail, SMS oder Passkey, die der Verantwortliche für seinen Mandanten vorschreiben kann; Beschränkung auf IP-Bereiche wählbar; Drosselung wiederholter Fehlversuche.

7.3Zugriffskontrolle und Mandantentrennung - Jede Abfrage ist auf den Mandanten des angemeldeten Zugangs begrenzt. Innerhalb eines Mandanten steuern Rollen den Zugriff auf Bereiche; Verwaltungsfunktionen verlangen zusätzlich den Administrator-Modus. Als vertraulich markierte Postfächer sehen nur ihr Inhaber und die Geschäftsleitung. Besonders schutzbedürftige Feldwerte liegen verschlüsselt in der Datenbank.

7.4Isolation - Das Portal läuft unter eigenem Systembenutzer mit eigenem PHP-Prozess und eigener Datenbank auf einem nach CIS-Vorgaben gehärteten Server.

7.5Eingabe- und Änderungskontrolle - Die Kerntabellen sind systemversioniert, Änderungen bleiben nachvollziehbar; Löschungen von Konten freier Mitarbeiter werden gesondert protokolliert.

7.6Verfügbarkeit - Betrieb in der AWS European Sovereign Cloud, Region Brandenburg. Tägliche Sicherung von Datenbank, Dokumenten und Konfiguration, verschlüsselt, 14 Tage auf dem Server und 90 Tage in einem Speicher in Deutschland, mit Alarm bei Fehlschlag. Die Betriebsprotokolle des Webservers werden nach 14 Tagen gelöscht.

7.7Trennung - Produktion und Entwicklung sind getrennt.

7.8Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

8.1Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu:

8.2Amazon Web Services - Betrieb der Server, der Datenbank, der Datensicherung und des KI-Dienstes Amazon Bedrock (Auslesen hochgeladener Unterlagen) in der AWS European Sovereign Cloud, Region Brandenburg (Deutschland).

8.3Amazon Web Services - Versand der E-Mails über Amazon SES in der Region Frankfurt (Deutschland).

8.4sms4.de - Versand von SMS (Anmelde- und Kennwort-Codes, Nachrichten) in Deutschland.

8.5Anthropic - KI-Assistent Claude für Wartungs- und Supportarbeiten am Portal. Dabei können im Einzelfall personenbezogene Daten an Anthropic in den USA übermittelt werden; Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Anthropic verwendet diese Daten nicht zum Training seiner Modelle.

8.6Weitere Unterauftragsverarbeiter teilt der Auftragsverarbeiter vorher in Textform mit. Der Verantwortliche kann binnen vier Wochen widersprechen; kann der Einsatz dann nicht vermieden werden, darf er den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

8.7Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht. Außer im Fall von Anthropic findet eine Verarbeitung außerhalb der Europäischen Union nicht statt.

8.8Keine Unterauftragsverarbeitung sind Dienste, die der Verantwortliche selbst anbindet, etwa seine E-Mail-Postfächer, sowie die Prüfung von Umsatzsteuer-Identifikationsnummern bei der Europäischen Kommission (VIES).

9. Unterstützung bei Betroffenenrechten

9.1Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

9.2Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit zu beantworten. Berichtigen und Löschen kann der Verantwortliche im Portal selbst; freie Mitarbeiter können ihre Daten selbst exportieren. Einen vollständigen Export der Daten des Mandanten stellt der Auftragsverarbeiter auf Anforderung bereit.

10. Verletzungen des Schutzes personenbezogener Daten

10.1Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die die Daten dieses Auftrags betrifft.

10.2Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

10.3Er unterstützt den Verantwortlichen bei dessen Meldung nach Art. 33 DSGVO und bei der Benachrichtigung Betroffener nach Art. 34 DSGVO.

11. Nachweise und Kontrollen

11.1Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung auf Verlangen nach, vorrangig durch Auskunft in Textform und durch die Beschreibung nach Ziffer 7.

11.2Reicht das nicht aus, ermöglicht er dem Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer eine Überprüfung. Sie wird mit angemessener Frist angekündigt, findet zu üblichen Geschäftszeiten statt und darf den Betrieb nicht unangemessen stören.

11.3Betriebsgeheimnisse und die Daten anderer Mandanten bleiben von der Prüfung ausgenommen.

12. Löschung und Rückgabe

12.1Nach Ende des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen auf Verlangen einen vollständigen Export seiner Daten bereit. Spätestens 30 Tage nach Vertragsende löscht er die Daten des Mandanten vollständig.

12.2Ausgenommen sind Daten, die der Auftragsverarbeiter selbst aufbewahren muss. Gesetzliche Aufbewahrungspflichten des Verantwortlichen, etwa für dessen Rechnungen, erfüllt dieser durch den Export.

12.3Sicherungskopien werden im Rahmen des üblichen Sicherungszyklus überschrieben, spätestens nach 120 Tagen.

13. Haftung und Schlussbestimmungen

13.1Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Nutzungsvertrags.

13.2Änderungen dieser Vereinbarung bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

13.3Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

13.4Es gilt das Recht der Bundesrepublik Deutschland.