Vertrag zur Auftragsverarbeitung (AVV)

Auftragsverarbeiter

E-Mail: kontakt@software-fuhrmeister.de

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand des Auftrags ist die Bereitstellung der Software Sicherheitspass zur Führung eines digitalen Sicherheitspasses gemäß den AGB. Im Rahmen der Bereitstellung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

(2) Art und Zweck der Verarbeitung umfassen das Speichern, Ordnen, Auslesen, Anzeigen und Löschen der vom Verantwortlichen eingegebenen Daten, den Versand von System-E-Mails an die vom Verantwortlichen angelegten Nutzer sowie das Bereitstellen der Pass-Ansicht gegenüber Empfängern, denen der Verantwortliche bzw. seine Mitarbeiter den tokenisierten Pass-Link (QR-Code) zu Nachweiszwecken zugänglich machen (z. B. Prüfer und Auftraggeber).

(3) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt, soweit in der Liste der Unterauftragsverarbeiter (Anlage 2) nichts anderes geregelt ist.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art der Daten und Kategorien betroffener Personen

Kategorien personenbezogener Daten

• Stammdaten der Mitarbeiter (Name, Geburtsdatum, Personalnummer, Position/Tätigkeit)
• Einträge zu Unterweisungen (Bezeichnung, Datum, Gültigkeit, unterweisende Person, Bemerkung)
• Einträge zu Schulungen und Qualifikationen (Bezeichnung, Datum, Gültigkeit, Anbieter, Bemerkung)
• Einträge zur arbeitsmedizinischen Vorsorge und Eignung (Bezeichnung/Anlass, Datum, Gültigkeit, ausstellende Stelle, Bemerkung)
• Anmelde- und Nutzungsdaten der vom Verantwortlichen angelegten Nutzer (E-Mail-Adresse, Anmeldezeitpunkte)

Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (Mitarbeiter mit Sicherheitspass)
• vom Verantwortlichen angelegte Nutzer (Administratoren, Mitarbeiter-Lesezugänge)

Gesundheitsbezogene Daten. Einträge zur arbeitsmedizinischen Vorsorge und Eignung können Gesundheitsdaten im Sinne des Art. 9 DSGVO darstellen (etwa die Aussage, dass für eine Person eine Eignung für bestimmte Tätigkeiten festgestellt wurde oder eine Vorsorge stattgefunden hat). Der Verantwortliche stellt sicher, dass er für diese Verarbeitung über eine geeignete Rechtsgrundlage verfügt (insbesondere Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG und den arbeitsschutzrechtlichen Pflichten, z. B. nach ArbMedVV und DGUV-Vorschriften), und dass ausschließlich die Zusammenfassung (Bezeichnung/Anlass, Datum, Gültigkeit, ausstellende Stelle) erfasst wird. Medizinische Befunde, Diagnosen oder sonstige darüber hinausgehende Gesundheitsdaten dürfen nicht – auch nicht in Freitextfeldern – eingegeben werden.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der durch die Nutzung der Software erteilten Weisungen (z. B. Anlegen, Ändern, Deaktivieren und Löschen von Mitarbeitern und Einträgen, Neu-Generieren von Pass-Links), sofern er nicht durch das Recht der EU oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 Pflichten des Auftragsverarbeiters

• Er verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits gesetzlich einer Verschwiegenheitspflicht unterliegen.
• Er ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1).
• Er unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, damit dieser seinen Pflichten nach Art. 33, 34 DSGVO nachkommen kann.
• Er stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen zur Verfügung.
• Er löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Er kann diese im Lauf der Zeit weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter hinzuziehen oder ersetzen. Er informiert den Verantwortlichen in Textform vorab über beabsichtigte Änderungen. Der Verantwortliche kann einer Änderung aus wichtigem, datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen.

(3) Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind.

§ 7 Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Der Auftragsverarbeiter weist die Einhaltung in der Regel durch Auskünfte und geeignete Nachweise nach. Vor-Ort-Prüfungen werden mit angemessener Vorankündigung und während der üblichen Geschäftszeiten durchgeführt, ohne den Betriebsablauf unverhältnismäßig zu beeinträchtigen.

§ 8 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die personenbezogenen Daten innerhalb von 90 Tagen, sofern der Verantwortliche nicht zuvor die Rückgabe (Datenkopie in einem gängigen, maschinenlesbaren Format) verlangt hat und soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann Mitarbeiter und Einträge außerdem jederzeit selbständig in der Anwendung löschen.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelung des Nutzungsvertrags (AGB), soweit gesetzlich zulässig.

(2) Bei Widersprüchen zwischen diesem AVV und den AGB gehen für Fragen des Datenschutzes die Regelungen dieses AVV vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb in einem Rechenzentrum in Deutschland mit Zutrittsschutz beim Hosting-Dienstleister.
• Zugangskontrolle: persönliche, passwortgeschützte Konten; Speicherung von Passwörtern ausschließlich als kryptografischer Hash (bcrypt); kryptografisch signierte Sitzungs-Token; Double-Opt-In bei der Registrierung mit Begrenzung der Fehlversuche je Bestätigungscode.
• Zugriffskontrolle: rollenbasiertes Rechtekonzept (Firmen-Admin, Mitarbeiter-Lesezugang, Betreiber); mandantengetrennte Speicherung, sodass jede Firma nur auf ihre eigenen Daten zugreifen kann.
• Pass-Ansicht: Abruf ausschließlich über einen langen, zufälligen Link (128 Bit Entropie) ohne Auflistung oder Suchmaschinenindexierung; Sperrung durch Deaktivieren des Mitarbeiters, Neu-Generieren des Links oder Vertragsende.

Integrität

• Verschlüsselte Übertragung sämtlicher Daten über TLS (HTTPS).
• Sicherheitsrelevante Einmal-Token (Passwort-Reset, Bestätigungscodes) werden nur als kryptografischer Hash gespeichert und sind zeitlich begrenzt gültig.

Verfügbarkeit und Belastbarkeit

• Regelmäßige, automatisierte Datensicherungen der Datenbank.
• Überwachung der Dienstverfügbarkeit.

Verfahren zur regelmäßigen Überprüfung

• Einsatz aktueller, sicherheitsgepflegter Softwarekomponenten.
• Trennung von Entwicklungs- und Produktivumgebung.
• Datenminimierung: Erhebung nur der für den Dienst erforderlichen Daten; keine Ablage von Nachweisdokumenten oder Befunden.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland – Hosting und Serverbetrieb (Verarbeitung in Deutschland).
• Brevo / Sendinblue GmbH, Köln, Deutschland (bzw. Brevo SAS, Paris, Frankreich) – Versand von System-E-Mails (Verarbeitung in der EU).

Die Abrechnung erfolgt per Rechnung ohne externen Zahlungsdienstleister; die dabei verarbeiteten Vertrags- und Rechnungsdaten des Verantwortlichen (Kontoinhabers) fallen in unsere eigene Verantwortlichkeit und sind nicht Gegenstand dieser Auftragsverarbeitung.