Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

1.1

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des SaaS-Tools "InsoLotse" zur Überwachung von Unternehmensinsolvenzen.

1.2

Dieser AVV gilt für die Dauer der Nutzung von InsoLotse und endet automatisch mit Beendigung des Nutzungsvertrages.

1.3 Leistungsumfang

Betrieb der Software-Plattform, Speicherung von Nutzerdaten, Versand von E-Mail-Benachrichtigungen, technischer Support.

§ 2 Art, Zweck und Kategorien der Datenverarbeitung

2.1 Verarbeitete Daten

• Stammdaten (Name, E-Mail, Firmenname)
• Vertragsdaten (Account, Abo-Typ)
• Nutzungsdaten (Login, Watchlists)
• Daten der überwachten Firmen (Name, Registernummer)
• technische Daten (IP-Adressen, Logs)

2.2 Betroffene Personen

Registrierte Nutzer und deren Mitarbeiter.

2.3 Zweck

Vertragserfüllung, Bereitstellung der SaaS-Funktionen, IT-Sicherheit, Support.

2.4 Besondere Kategorien gem. Art. 9 DSGVO werden nicht verarbeitet.

§ 3 Weisungen und Pflichten

3.1

Der Auftragsverarbeiter verarbeitet Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen. Dieser AVV und die AGB stellen die grundlegende Weisung dar.

3.2

Bei rechtswidrigen Weisungen informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich.

3.3

Der Auftragsverarbeiter verpflichtet alle Mitarbeiter auf Vertraulichkeit.

3.4

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenrechten (Art. 12-22 DSGVO) und Datenschutzverletzungen (Art. 33-34 DSGVO).

3.5

Nach Vertragsende werden alle Daten binnen 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

§ 4 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter gewährleistet gemäß Art. 32 DSGVO:

• Verschlüsselung: TLS 1.3 bei Übertragung, AES-256 für gespeicherte Daten
• Zugriffskontrolle: Rollenbasierte Berechtigungen, 2FA für Admin-Zugriffe
• Verfügbarkeit: Tägliche Backups (30 Tage), 24/7 Monitoring
• Trennung: Mandantenfähige Architektur, logische Datentrennung
• Protokollierung: Audit Logs für alle Systemzugriffe
• Schulung: Jährliche Datenschutzschulungen aller Mitarbeiter

§ 5 Unterauftragsverarbeiter

5.1

Der Verantwortliche erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter.

5.2 Aktuelle Unterauftragsverarbeiter

5.3

Bei Änderungen informiert der Auftragsverarbeiter den Verantwortlichen 30 Tage im Voraus. Widerspruch binnen 14 Tagen möglich.

5.4

Unterauftragsverarbeiter werden vertraglich zu denselben Datenschutzverpflichtungen verpflichtet.

§ 6 Kontrollrechte

6.1

Der Verantwortliche kann Überprüfungen beim Auftragsverarbeiter durchführen oder durch unabhängige Prüfer durchführen lassen.

6.2

Kontrollen sind mit 14 Tagen Vorlauf schriftlich anzukündigen und während der Geschäftszeiten durchzuführen.

6.3

Der Auftragsverarbeiter stellt das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) auf Anfrage zur Verfügung.

§ 7 Datenschutzverletzungen

7.1

Der Auftragsverarbeiter meldet Datenschutzverletzungen unverzüglich, spätestens binnen 24 Stunden an die angegebene E-Mail-Adresse des Kunden.

7.2

Die Meldung enthält: Art der Verletzung, betroffene Daten/Personen, Folgen, ergriffene Maßnahmen.

§ 8 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO sowie den Haftungsregelungen der AGB (§ 8).

§ 9 Schlussbestimmungen

9.1

Dieser AVV ist Bestandteil der AGB für InsoLotse.

9.2

Änderungen bedürfen der Textform.

9.3

Bei Rechtsänderungen (z.B. DSGVO-Novellen) passen die Parteien den AVV an.

9.4 Anwendbares Recht und Gerichtsstand

siehe § 17 AGB.

Zustimmung

Mit Abschluss der Registrierung und Nutzung von InsoLotse stimmt der Verantwortliche diesem Auftragsverarbeitungsvertrag zu. Der AVV ist jederzeit auf der Webseite insolotse.de abrufbar.