Auftragsverarbeitungsvereinbarung (Entwurf)

1. Vertragsgegenstand und Geltungsbereich

Diese Vereinbarung zur Auftragsverarbeitung (AVV) regelt gemäß Art. 28 DSGVO die Verarbeitung personenbezogener Daten durch die BeviClean GmbH (Auftragsverarbeiter) im Auftrag der jeweiligen Servicefirma, die BeviCloud nutzt (Verantwortlicher).

Diese AVV ergänzt den BeviCloud-Nutzungsvertrag (AGB) und wird durch Bestätigung der entsprechenden Checkbox bei der Registrierung bzw. beim ersten Login des Firmeninhabers wirksam geschlossen (elektronische Form gemäß Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zwischen dieser AVV und den AGB gehen für die Auftragsverarbeitung personenbezogener Daten die Regelungen dieser AVV vor.

Die AVV gilt für die gesamte Dauer der Nutzung von BeviCloud durch die Servicefirma.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung und Betrieb der SaaS-Plattform BeviCloud zur Dokumentation von Reinigungs- und Prüfprotokollen für Schankanlagen.

Dauer: Für die Laufzeit des Nutzungsvertrags zzgl. der in §9 geregelten Lösch-/Rückgabefristen nach Vertragsende.

Art und Zweck der Verarbeitung: Speicherung, Anzeige, Export (PDF) und Archivierung von Stammdaten, Reinigungs- und Prüfprotokollen, GPS-Standortdaten und Fotodokumentation im Rahmen der vertragsgemäßen Nutzung von BeviCloud.

Kategorien betroffener Personen:

• Wirte/Betreiber der dokumentierten Schankanlagen
• Mitarbeiter des Verantwortlichen (Reiniger), soweit personenbezogen in Protokollen erfasst

Kategorien personenbezogener Daten:

• Kontaktdaten (Name, E-Mail, Telefon, Adresse) von Wirten
• Namen der protokollierenden Mitarbeiter
• GPS-Standortdaten und Zeitstempel der Protokollierung
• Fotodokumentation im Rahmen der Reinigungs-/Prüfprotokolle
• Zugangsdaten (Benutzerkonten, gehasht)

Der Verantwortliche ist allein dafür verantwortlich, dass die Erhebung und Eingabe dieser Daten in BeviCloud auf einer wirksamen Rechtsgrundlage beruht (insbesondere gegenüber dem Wirt und dessen Mitarbeitern).

3. Pflichten und Rechte des Verantwortlichen (Servicefirma)

Der Verantwortliche

• ist allein verantwortlich für die Rechtmäßigkeit der Erhebung und Eingabe personenbezogener Daten von Wirten und deren Mitarbeitern in BeviCloud, einschließlich etwaiger erforderlicher Einwilligungen oder Informationspflichten gegenüber diesen Personen;
• erteilt dem Auftragsverarbeiter Weisungen zur Verarbeitung ausschließlich über die Funktionen der BeviCloud-Plattform sowie in Textform;
• informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten feststellt;
• trägt die Verantwortung für die Zugriffsrechte, die er seinen eigenen Mitarbeitern (Reinigern) innerhalb von BeviCloud einräumt.

Der Auftragsverarbeiter haftet nicht für Schäden, die daraus entstehen, dass der Verantwortliche Daten ohne ausreichende Rechtsgrundlage erhebt oder eingibt, oder dass er seinen eigenen Mitarbeitern unzutreffende Zugriffsrechte einräumt.

4. Pflichten des Auftragsverarbeiters (BeviClean)

Der Auftragsverarbeiter

• verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen an ein Drittland, es sei denn, er ist nach geltendem Recht zur Verarbeitung verpflichtet;
• gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• trifft die in Anlage 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO;
• unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (§7) und seinen Pflichten nach Art. 32–36 DSGVO;
• stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Kontrollen (§10);
• informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

5. Technische und organisatorische Maßnahmen (Anlage 1)

Der Auftragsverarbeiter setzt für BeviCloud insbesondere folgende Maßnahmen um:

Vertraulichkeit / Zugriffskontrolle

• Verschlüsselte Datenübertragung (TLS/HTTPS, Zertifikate via Let's Encrypt)
• Rollenbasiertes Berechtigungskonzept (Admin, Servicefirma-Inhaber, Reiniger) mit getrennten Zugriffsrechten je Firma
• Passwörter werden ausschließlich gehasht (bcrypt) gespeichert, nicht im Klartext
• Automatischer Logout bei Inaktivität

Integrität

• Protokollierung von Änderungen über die Anwendung (z. B. Reinigungs-/Prüfhistorie)

Verfügbarkeit und Belastbarkeit

• Betrieb auf Hetzner Cloud (Ubuntu-Server), Prozess-Management via pm2
• Automatisierte, regelmäßige Backups der Datenbank
• Backup-Intervall täglich; Aufbewahrungsdauer: 30 Tage; Serverstandort(e): Nürnberg, DE]

Verfahren zur Überprüfung und Evaluierung

• Die Aktualität der Sicherheitsstandards wird in regelmäßigen Abständen geprüft

Diese Anlage ist bei wesentlichen Änderungen der Infrastruktur zu aktualisieren.

6. Unterauftragsverarbeitung (Anlage 2)

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz der nachfolgend gelisteten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen vorab über die Hinzuziehung weiterer oder die Ersetzung bestehender Unterauftragsverarbeiter; der Verantwortliche kann einer solchen Änderung innerhalb einer Frist von 14 Tagen widersprechen.

Aktuell eingesetzte Unterauftragsverarbeiter (zu bestätigen):

Mit jedem Unterauftragsverarbeiter muss der Auftragsverarbeiter seinerseits eine Vereinbarung mit mindestens gleichwertigem Datenschutzniveau abschließen (Art. 28 Abs. 4 DSGVO).

7. Unterstützung bei Betroffenenrechten und Folgenabschätzungen

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen auf Wahrnehmung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei Datenschutz-Folgenabschätzungen und etwaigen vorherigen Konsultationen der Aufsichtsbehörde, soweit diese Pflichten unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bestehen.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Verarbeitung unverzüglich, spätestens innerhalb von 48h nachKe nntniserlangung, über E-Mail an die hinterlegte Kontaktadresse der Servicefirma.

Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die absehbaren Folgen sowie die bereits ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Der Verantwortliche bleibt für etwaige Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigungen Betroffener (Art. 34 DSGVO) selbst verantwortlich; der Auftragsverarbeiter unterstützt ihn dabei.

9. Löschung und Rückgabe von Daten nach Vertragsende

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die er im Auftrag des Verantwortlichen verarbeitet hat, oder gibt sie auf Wahl des Verantwortlichen zurück, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

10. Nachweis- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt hierzu bei. Vor-Ort-Kontrollen sind mit angemessenem zeitlichem Vorlauf von 4 Wochen anzukündigen und auf das erforderliche Maß zu beschränken; die Kosten trägt, soweit nicht anders vereinbart, der Verantwortliche.

11. Haftung

Im Außenverhältnis gegenüber betroffenen Personen haften Verantwortlicher und Auftragsverarbeiter nach Maßgabe von Art. 82 DSGVO; eine vertragliche Beschränkung dieser gesetzlichen Haftung gegenüber Betroffenen ist nicht möglich.

Im Innenverhältnis zwischen den Parteien gilt: Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter (einschließlich Bußgeldern) frei, soweit diese darauf beruhen, dass der Verantwortliche personenbezogene Daten ohne ausreichende Rechtsgrundlage erhoben, in BeviCloud eingegeben oder seinen eigenen Mitarbeitern unzutreffende Zugriffsrechte eingeräumt hat. Der Auftragsverarbeiter haftet im Innenverhältnis für Schäden, die auf einer schuldhaften Verletzung seiner Pflichten aus dieser AVV oder aus den ihn als Auftragsverarbeiter unmittelbar treffenden Pflichten der DSGVO beruhen.

12. Laufzeit, Kündigung, Schlussbestimmungen

Diese AVV beginnt mit Bestätigung durch den Firmeninhaber und endet automatisch mit Beendigung des BeviCloud-Nutzungsvertrags, vorbehaltlich der in §9 geregelten Nachwirkungen (Löschung/Rückgabe).

Änderungen dieser AVV bedürfen der Textform; dies gilt auch für eine Änderung dieses Schriftformerfordernisses. Sollten einzelne Bestimmungen dieser AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht.