Vertrag zur Auftragsverarbeitung

(1) Gegenstand des Auftrags ist der Betrieb der Software RepairVision als Dienst auf einer Serverinstanz, die dem Verantwortlichen ausschließlich zugeordnet ist, einschließlich Speicherung, Sicherung und Bereitstellung der darin verarbeiteten Daten.

(2) Die Verarbeitung dient allein der Erbringung dieser Leistung. Eine Nutzung der Daten für eigene Zwecke des Auftragsverarbeiters findet nicht statt, insbesondere keine Auswertung zu Werbezwecken und keine Weitergabe an Dritte über §6 hinaus.

(3) Der Vertrag beginnt mit der Bestellung und läuft, solange der Hauptvertrag besteht. Er endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. §9 bleibt davon unberührt.

(4) Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland findet nicht statt.

(1) Verarbeitet werden diejenigen personenbezogenen Daten, die der Verantwortliche in seine Instanz einstellt oder dort erzeugen lässt. Das sind typischerweise:

• Stammdaten von Endkunden: Name, Anschrift, Telefonnummer, Mailadresse
• Auftragsdaten: Gerät, Schadensbeschreibung, Zustand, Fotos, Verlauf, Statusmeldungen
• Abrechnungsdaten: Angebote, Rechnungen, Zahlungsarten, Kassenbelege
• Beschäftigtendaten: Benutzerkonten, Rollen, Berechtigungen, erfasste Arbeitszeiten
• Kommunikationsdaten aus Tickets und Nachrichten an Endkunden

(2) Betroffene Personen sind Endkunden des Verantwortlichen, dessen Beschäftigte sowie Ansprechpartner von Lieferanten und Partnern.

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Stellt der Verantwortliche solche Daten dennoch ein, geschieht das in seiner Verantwortung.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und der Hauptvertrag sind die Grunderweisung.

(2) Weisungen erfolgen in Textform an datenschutz@repairvision.de. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

(4) Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vorher, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(1) Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet, soweit sie nicht ohnehin einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

(2) Der Zugriff auf Kundendaten ist auf die Personen und Fälle beschränkt, in denen er zur Erbringung der Leistung oder zur Störungsbeseitigung erforderlich ist.

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

(2) Die Maßnahmen unterliegen der technischen Weiterentwicklung. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er in Textform mit.

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten weiteren Auftragsverarbeiter.

(2) Vor der Hinzuziehung eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters unterrichtet der Auftragsverarbeiter in Textform mit einer Frist von vier Wochen. Der Verantwortliche kann innerhalb dieser Frist widersprechen. Widerspricht er, darf jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter dieselben Pflichten auf, die ihm nach diesem Vertrag obliegen.

(4) Keine Unterauftragsverarbeitung ist die Weitergabe von Daten an Schnittstellen, die der Verantwortliche selbst mit eigenen Zugangsdaten einrichtet, etwa an Lieferanten, an einen Kassen-Signaturdienst, an eine Buchhaltung, an Versanddienstleister oder an den von ihm hinterlegten Mailserver. In diesen Fällen handelt der Auftragsverarbeiter auf Weisung des Verantwortlichen, und die Empfänger sind dessen eigene Empfänger. Die datenschutzrechtliche Grundlage dafür schafft der Verantwortliche.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO. Die Software stellt dafür Auskunft, Berichtigung, Löschung und Export der gespeicherten Daten bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich weiter und antwortet nicht selbst.

(3) Er unterstützt ferner bei der Datenschutz-Folgenabschätzung (Art. 35) und der vorherigen Konsultation (Art. 36), soweit die dafür benötigten Angaben nur ihm vorliegen.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen. Fehlende Angaben werden nachgereicht.

(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der Betroffenen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

(1) Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter dem Verantwortlichen die Daten in einem gängigen, maschinenlesbaren Format zur Verfügung. Der Export ist innerhalb von 30 Tagen nach Vertragsende abzurufen.

(2) Nach Ablauf dieser Frist werden die Daten einschließlich der Instanz und ihrer Datenbank gelöscht. Sicherungen werden im Rahmen der üblichen Aufbewahrung überschrieben, spätestens nach weiteren 30 Tagen.

(3) Unberührt bleiben gesetzliche Aufbewahrungspflichten. Daten, die ihnen unterliegen, werden bis zum Ablauf der Frist gesperrt statt gelöscht.

(4) Die Löschung wird auf Verlangen in Textform bestätigt.

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch Auskunft und Vorlage der Anlage 1 in ihrer jeweils geltenden Fassung.

(2) Der Verantwortliche kann sich nach Ankündigung mit angemessener Frist von der Einhaltung überzeugen. Kontrollen erfolgen zu üblichen Geschäftszeiten, ohne den Betrieb erheblich zu stören und höchstens einmal je Kalenderjahr, es sei denn, es besteht ein besonderer Anlass.

(3) Kontrollen dürfen nicht dazu führen, dass Daten anderer Kunden offengelegt werden.

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.

(2) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt, was ihrem wirtschaftlichen Zweck am nächsten kommt.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(5) Es gilt deutsches Recht.