Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz. Der Auftragnehmer erbringt die folgende Dienstleistung: Betrieb von cloudbasierten Softwarelösungen.
Somit verarbeitet / erhebt / nutzt der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers (Auftragsdatenverarbeitung im Sinne von Art. 28 DSGVO).
Die Vereinbarung gilt für die Dauer des Lizenzvertrags.
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand für alle sich aus diesem Vertrag ergebenden Streitigkeiten ist, sofern der Kunde Vollkaufmann im Sinne des HGB, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist, der Sitz des Auftragnehmers.
Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung); gültig ab 25.05.2018.
Verwaltung von Mitarbeitern, Kunden, Objekten, Aufträgen, Angeboten und Rechnungen des Auftraggebers.
Mitarbeiter, Lieferanten, Interessenten und Kunden des Auftraggebers sowie sonstige Personen, die den Auftraggeber anrufen.
3.1 Die Beurteilung der Zulässigkeit der Datenverarbeitung und die Wahrung der Rechte der Betroffenen ist die Pflicht des Auftraggebers.
3.2 Jede Weisung bedarf der Schriftform.
3.3 Der Auftraggeber hat das Recht, Weisungen zu erteilen, die die Datenverarbeitung betreffen, insbesondere die unter Punkt 7 genannten sowie die Rückgabe von Daten. Die Weisung, Daten endgültig zu löschen (einschließlich aller Sicherungen), bleibt bis zum Vertragsende dem Auftraggeber vorbehalten.
3.4 Falls Weisungen die getroffenen Festlegungen dieses Vertrages ändern, aufheben oder ergänzen, sind sie nur zulässig, wenn eine entsprechende neue Festlegung erfolgt.
4.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Der Auftragnehmer darf die zur Verarbeitung überlassenen Daten nicht für andere Zwecke verarbeiten oder nutzen. Eine Nutzung der überlassenen Daten zum Training der Modelle eingesetzter KI-Unterauftragsverarbeiter findet nicht statt.
4.2 Mündliche Weisungen sind zu ignorieren, jede Weisung bedarf der Textform.
4.3 Die Verarbeitung und Nutzung der Daten findet grundsätzlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union (EU) oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Es ist dem Auftragnehmer gestattet, Kundendaten auch außerhalb der EU bzw. des EWR zu verarbeiten, sofern der Auftragnehmer den Auftraggeber vorab über den Ort der Datenverarbeitung informiert. Jede Verlagerung der Verarbeitung von Kundendaten in ein Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standardvertragsklauseln, genehmigte Verhaltensregeln) und im Einklang mit den Bestimmungen dieser AVV.
4.4 Der Auftragnehmer verpflichtet sich, bei der Verarbeitung der Daten des Auftraggebers die Vertraulichkeit zu wahren. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter auf die Vertraulichkeit gemäß Art. 29 DSGVO verpflichtet (ehemals Datengeheimnis gemäß § 5 BDSG). Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind und überwacht deren Einhaltung.
4.5 Der Auftragnehmer kontrolliert regelmäßig die Verpflichtung auf das Datengeheimnis und die Einhaltung der technischen und organisatorischen Maßnahmen.
4.6 Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen eine Vorschrift verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
4.7 Der Auftragnehmer darf die Daten nicht länger speichern, als der Auftraggeber schriftlich bestimmt hat (Ausschluss von Aufbewahrungspflichten z. B. nach HGB).
4.8 Der Auftragnehmer hat einen Datenschutzbeauftragten zu benennen. Seine Kontaktdaten sowie ein Wechsel sind dem Auftraggeber anzuzeigen (siehe Punkt 17).
5.1 Der Auftragnehmer beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen.
5.2 Der Auftragsverarbeiter unterhält technische und organisatorische Maßnahmen (entsprechend Art. 32 DSGVO) zum Schutz der verarbeiteten Daten. Auf Anfrage können diese bereitgestellt werden.
5.3 Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Sofern bei dieser Anpassung das Schutzniveau erhalten bleibt oder verbessert wird, ist der Auftraggeber nicht gesondert zu informieren; wesentliche Änderungen sind dem Auftraggeber schriftlich anzuzeigen. Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind mit dem Auftraggeber abzustimmen.
5.4 Der Auftraggeber kann durch Weisung eine Ergänzung der technischen und organisatorischen Maßnahmen verlangen. Entstehende Kosten hat der Auftraggeber zu tragen.
6.1 Die vertraglich vereinbarten Leistungen können unter Einschaltung der im Annex zu dieser Vereinbarung genannten Unterauftragsverarbeiter durchgeführt werden, soweit diese für die jeweils erbrachten Leistungen eingesetzt werden. Der Verantwortliche erteilt dem Auftragsverarbeiter seine allgemeine Genehmigung im Sinne von Art. 28 Abs. 2 S. 1 DSGVO, im Rahmen seiner vertraglichen Verpflichtungen weitere Unterauftragsverarbeiter zu beauftragen oder bereits beauftragte zu ersetzen.
6.2 Der Auftragsverarbeiter wird den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters vorab in Textform (z. B. per E-Mail an die vom Verantwortlichen benannte Adresse) informieren. Die Information erfolgt so rechtzeitig, dass der Verantwortliche die Änderung prüfen und ihr aus wichtigem datenschutzrechtlichen Grund widersprechen kann. Der Verantwortliche kann gegen eine beabsichtigte Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters aus wichtigem datenschutzrechtlichen Grund Einspruch erheben.
6.3 Der Einspruch gegen die beabsichtigte Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters ist innerhalb von 2 Wochen nach Versand der Information im E-Mail-Newsletter zu erheben. Wird kein Einspruch erhoben, gilt die Hinzuziehung oder Ersetzung als genehmigt. Liegt ein wichtiger datenschutzrechtlicher Grund vor und ist eine einvernehmliche Lösungsfindung zwischen dem Verantwortlichen und dem Auftragsverarbeiter nicht möglich, steht dem Verantwortlichen ein Sonderkündigungsrecht zum auf den Einspruch folgenden Monatsende zu.
6.4 Der Auftragsverarbeiter hat bei der Einschaltung von Unterauftragsverarbeitern diese im Wesentlichen entsprechend den Regelungen dieser Vereinbarung zu verpflichten.
6.5 Ein Unterauftragsverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragsverarbeiter Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragsverarbeiter für den Verantwortlichen erbringt, und Bewachungsdienste. Wartungs- und Prüfleistungen stellen zustimmungspflichtige Unterauftragsverhältnisse dar, soweit diese für IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von Leistungen für den Verantwortlichen genutzt werden.
7.1 Der Auftragnehmer hat den Auftraggeber bei seinen Pflichten gegenüber betroffenen Personen zu unterstützen.
7.2 Der Auftraggeber erteilt Weisung über die Unterstützung bei:
7.3 Sofern nicht anders vereinbart (d. h. in einer Dienstleistung inklusive), trägt der Auftraggeber entstehende Kosten. Diese sind dem Auftraggeber vorher mitzuteilen.
8.1 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten. Diese sind:
8.2 Sofern der Auftragnehmer den Umstand nicht zu verantworten hat, trägt der Auftraggeber entstehende Kosten. Diese sind dem Auftraggeber vorher mitzuteilen. Bei Art. 32 DSGVO ist davon auszugehen, dass der Auftragnehmer dies zu verantworten hat, bei einer Datenschutzverletzung dann, wenn sich die Verletzung beim Auftragnehmer ereignete.
9.1 Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche, in seinen Besitz gelangten Unterlagen und erstellten Verarbeitungs- oder Nutzungsergebnisse (Daten und Datenträger), die im Zusammenhang mit dem Auftragsverhältnis stehen, wenn vom Auftraggeber schriftlich gefordert, zu löschen oder zu vernichten. Gesetzliche Aufbewahrungspflichten bleiben hiervon unberührt.
9.2 Alle Daten und ergänzend hinzugewonnene personenbezogene Daten/Unterlagen des Auftraggebers in Systemen des Auftragnehmers, die nicht mehr benötigt werden, sind, wenn vom Auftraggeber schriftlich gefordert, unwiderruflich zu löschen bzw. zu vernichten. Die Löschung betrifft nicht nur die Nutzsysteme, sondern auch alle damit verbundenen Dateien und Daten in allen Systemen und auf allen Speichermedien, insbesondere Backups, des Auftragnehmers. Datenträger (Papier, Festplatten, CDs, USB-Sticks usw. einschließlich sämtlicher Fehldrucke bzw. Fehlspeicherungen), die Daten des Auftraggebers enthalten, sind nach DIN-Norm 66399 zu vernichten.
9.3 Der Auftragnehmer ist verpflichtet, organisatorisch sicherzustellen, dass die Daten des Auftraggebers auch tatsächlich gelöscht bzw. vernichtet werden können. Der Auftragnehmer hat sämtliche Beschäftigten über diese Löschpflichten zu informieren.
9.4 Die Löschung ist zu dokumentieren und dem Auftraggeber gegenüber spätestens innerhalb von 4 Wochen schriftlich zu bestätigen. Diese Bestätigung hat hierbei insbesondere folgende Angaben zu enthalten:
10.1 Der Auftraggeber ist berechtigt und verpflichtet, sich vor Beginn der Datenverarbeitung und sodann regelmäßig von den beim Auftragnehmer getroffenen technisch-organisatorischen Maßnahmen zu überzeugen.
10.2 Dies erfolgt durch Vorlage eines aktuellen Testats oder durch Inspektion beim Auftragnehmer.
10.3 Der Auftragnehmer erteilt entsprechende Auskünfte.
10.4 Der Auftraggeber kann nach Ankündigung während der üblichen Geschäftszeiten Besichtigungen und Prüfungen vornehmen. Er kann diese Kontrolle auch durch einen Dritten durchführen lassen. Der Auftragnehmer sichert zu, dass er an diesen Kontrollen mitwirkt. Sofern nicht anders vereinbart, trägt der Auftraggeber entstehende Kosten. Diese sind dem Auftraggeber vorher mitzuteilen.
10.5 Im Rahmen dieser Prüfung darf der Auftraggeber geschäftliche Unterlagen sowie seine gespeicherten Daten und die Datenverarbeitungsprogramme einsehen.
Der Auftragnehmer teilt dem Auftraggeber unverzüglich, jedoch spätestens innerhalb von 72 Stunden, nachdem ihm die Verletzung bekannt wurde, mit:
Der Auftragnehmer trifft erforderliche Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen. Er unterstützt den Auftraggeber bei der Erfüllung von Informationspflichten nach Art. 33 und 34 DSGVO.
Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln.
13.1 Eine gesonderte Kündigung dieser Vereinbarung ohne gleichzeitige Beendigung des Hauptvertrages ist ausgeschlossen.
13.2 Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine gesetzeskonforme Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des Auftraggebers vertragswidrig verweigert.
14.1 Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.
15.1 Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen.
16.1 Haftung und Schadensersatz richten sich nach den gesetzlichen Regelungen und den im Hauptvertrag vereinbarten allgemeinen Haftungsbeschränkungen (Art. 82 DSGVO).
16.2 Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft verursachen.
16.3 Für den Ersatz von Schäden, die ein Betroffener wegen einer nach dem BDSG bzw. DSGVO oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Auftraggeber gegenüber dem Betroffenen verantwortlich; dem Auftraggeber bleibt der Rückgriff gegen den Auftragnehmer vorbehalten.
16.4 Bei Verstoß des Auftragnehmers gegen die Abmachungen dieses Vertrages, insbesondere gegen die Einhaltung des Datenschutzes, welche Folgeaktivitäten am Markt oder bei Kunden erforderlich machen, haftet der Auftragnehmer.
Der Datenschutzbeauftragte des Auftragnehmers ist:
heyData GmbH, Kantstr. 99, 10627 Berlin, www.heydata.eu, E-Mail: datenschutz@heydata.eu
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. In diesem Fall sind beide Parteien aufgerufen, eine unwirksame Klausel durch eine Regelung zu ersetzen.
Folgender Anhang gehört zur Vereinbarung: Liste der eingesetzten Unterauftragsverarbeiter.
| Name | Zweck | Sitz |
|---|---|---|
| DigitalOcean | Serveranbieter, Cloud-Speicherung | Frankfurt |
| Google Cloud | Cloud-Hosting | Frankfurt / Amsterdam / USA |
| Mailgun | Versand von E-Mails | EU |
| Twilio | Versand von SMS und E-Mails | Irland |
| Stream Chat | Chat-Funktion | Dublin |
| FinApi | optionale Bankanbindung | Frankfurt |
| KI-Sprachmodell (LLM) für die KI-Funktionen | Europa / USA | |
| Anthropic | KI-Sprachmodell (LLM) für die KI-Funktionen | Europa / USA |
| OpenAI | KI-Sprachmodell (LLM) für die KI-Funktionen | Europa / USA |
| ElevenLabs | Sprach-KI (nur bei gebuchtem Sprach-/Telefonmodul) | Europa / USA |
| LiveKit | Sprach-KI (nur bei gebuchtem Sprach-/Telefonmodul) | Europa |
| Pipedrive | CRM, Verwaltung von Kundendaten | Frankfurt |
| Linear | Produktmanagement | USA |
| Chargebee | Abrechnungstool | USA |
| Stripe | Abrechnungstool | Europa / USA |
| make.com | Automation Tool | Europa / USA |
| Langdock | Automation Tool | Europa |
