Auftragsverarbeitungsvertrag (AVV)

Dies ist die verbindliche deutsche Vertragsfassung. Vor dem ersten produktiven Vertragsschluss wird eine abschließende Prüfung durch eine auf Datenschutz- und IT-Recht spezialisierte Rechtsberatung empfohlen.

zwischen dem Kunden laut Registrierung oder Bestellung („Verantwortlicher“, „Kunde“) und der Blck Horizon Solutions GmbH, Mittelstraße 11, 40789 Monheim am Rhein, eingetragen im Handelsregister des Amtsgerichts Düsseldorf unter HRB 114079 („Auftragsverarbeiter“, „Anbieter“).

§ 1 Gegenstand, Dauer und Verhältnis zu den AGB

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit er dem Kunden LabNote.Light nach den AGB bereitstellt.

(2) Dieser AVV ist Bestandteil der AGB (§ 1 Abs. 3). Er gilt für die Dauer des Vertrags und darüber hinaus, solange der Anbieter personenbezogene Daten des Kunden verarbeitet.

(3) Bei Widersprüchen in Datenschutzfragen geht dieser AVV den AGB vor.

(4) Gegenstand, Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1, die technischen und organisatorischen Maßnahmen aus Anlage 2, die Unterauftragsverarbeiter aus Anlage 3.

§ 2 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist durch das Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, soweit das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Dieser AVV, die AGB und die Nutzung der Funktionen der Software durch den Kunden gelten als Weisung. Weitere Weisungen erteilt die Administration des Kunden in Textform.

(3) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

§ 3 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Rechte betroffener Personen und die Auswahl der Daten verantwortlich, die er in LabNote.Light erfasst.

(2) Der Kunde stellt sicher, dass in LabNote.Light keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) gespeichert werden. Proben, Probanden und vergleichbare Datensätze erfasst er nur ohne Personenbezug oder vollständig pseudonymisiert; Zuordnungsschlüssel und Klarnamen bleiben außerhalb des Systems.

(3) Beabsichtigt der Kunde, Daten nach Absatz 2 zu verarbeiten, zeigt er dies dem Anbieter vorab in Textform an. Die Verarbeitung ist erst zulässig, wenn die Parteien dies in Textform vereinbart haben; der Kunde führt dafür eine Datenschutz-Folgenabschätzung durch, und die Parteien vereinbaren ergänzende Maßnahmen.

§ 4 Pflichten des Anbieters

(1) Der Anbieter verpflichtet die zur Verarbeitung befugten Personen vor Beginn ihrer Tätigkeit zur Vertraulichkeit und auf das Datengeheimnis, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht über das Ende der Tätigkeit hinaus.

(2) Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO) und entwickelt sie angemessen weiter. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

(3) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei den Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO). Unterstützung, die über die Standardfunktionen der Software und angemessenen Aufwand hinausgeht, kann der Anbieter nach vorheriger Information zu den dann geltenden Sätzen berechnen.

(4) Der Anbieter hat keinen Datenschutzbeauftragten bestellt, weil die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner für Datenschutz ist legal@labnote-light.com.

(5) Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Rechte betroffener Personen

(1) Wendet sich eine betroffene Person direkt an den Anbieter, leitet dieser die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

(2) Der Anbieter unterstützt den Kunden bei der Erfüllung von Anträgen betroffener Personen mit den Funktionen der Software (Export, Berichtigung, Löschung) und, soweit darüber hinaus erforderlich, durch angemessene Mitwirkung (Art. 28 Abs. 3 lit. e DSGVO).

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, spätestens 48 Stunden nach bestätigter Kenntnis. Die Meldung geht an die bei der Registrierung hinterlegte Administrationsadresse des Kunden.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben reicht der Anbieter nach, sobald sie vorliegen.

(3) Die Meldung ist kein Anerkenntnis einer Pflichtverletzung oder einer Haftung.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO).

(2) Der Anbieter informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters per E-Mail an die Administration des Kunden.

(3) Der Kunde kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht innerhalb weiterer 30 Tage, kann der Kunde den Vertrag zum Zeitpunkt des vorgesehenen Einsatzes kündigen.

(4) Der Anbieter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV. Er bleibt gegenüber dem Kunden für die Einhaltung dieser Pflichten verantwortlich (Art. 28 Abs. 4 DSGVO).

(5) Kundendaten werden in Rechenzentren in Frankfurt am Main verarbeitet. Zugriffe aus Drittländern, etwa im Support oder durch Unterauftragsverarbeiter, sind nicht ausgeschlossen; sie erfolgen nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, des EU-US Data Privacy Framework oder von Standardvertragsklauseln mit ergänzenden Maßnahmen.

§ 8 Nachweise und Kontrollen

(1) Der Anbieter weist die Einhaltung dieses AVV auf Anforderung durch Dokumente nach, insbesondere durch die Beschreibung der Sicherheitsarchitektur, Auszüge der Sicherheitsrichtlinien, Zusammenfassungen von Sicherheitsprüfungen, sobald vorhanden, und die Zertifizierungen der Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. h DSGVO).

(2) Prüfungen vor Ort oder am System durch den Kunden oder einen von ihm beauftragten Prüfer sind nur bei berechtigtem Anlass zulässig, insbesondere bei konkretem Verdacht auf einen Sicherheitsverstoß oder wenn die Nachweise nach Absatz 1 nicht genügen, und höchstens einmal je Kalenderjahr.

(3) Der Kunde kündigt eine Prüfung mindestens vier Wochen vorher in Textform an. Sie findet zu üblichen Geschäftszeiten ohne Störung des Betriebs statt. Prüfer müssen qualifiziert und zur Verschwiegenheit verpflichtet sein und dürfen nicht im Wettbewerb mit dem Anbieter stehen. Daten anderer Kunden und Geschäftsgeheimnisse des Anbieters sind von der Prüfung ausgenommen.

(4) Die Kosten der Prüfung trägt der Kunde, es sei denn, die Prüfung weist eine schwerwiegende Pflichtverletzung des Anbieters nach.

§ 9 Rückgabe und Löschung

(1) Nach Vertragsende kann der Kunde seine Daten nach Maßgabe von § 13 der AGB abrufen, mindestens 30 Kalendertage nach dem Übergangszeitraum. Danach löscht der Anbieter die Daten vollständig, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).

(2) Sicherungskopien werden im Rahmen des Sicherungszyklus überschrieben.

(3) Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

§ 10 Haftung

Es gilt § 12 der AGB, auch für Ansprüche aus diesem AVV. § 12 Abs. 7 der AGB gilt entsprechend.

§ 11 Schlussbestimmungen

(1) Dieser AVV wird mit der Annahme der AGB bei der Registrierung oder Bestellung wirksam. Auf Verlangen des Kunden wird er zusätzlich in Textform oder elektronisch mit individueller Firmenbezeichnung gegengezeichnet; der Inhalt bleibt dabei unverändert, soweit die Parteien nichts anderes in Textform vereinbaren.

(2) Änderungen dieses AVV richten sich nach § 17 der AGB; Änderungen der Anlagen 2 und 3 nach § 4 Abs. 2 und § 7.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach § 18 der AGB.

(4) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung, Daten und Betroffene

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 3 – Unterauftragsverarbeiter

Eigenständig Verantwortliche und keine Unterauftragsverarbeiter: Stripe Payments Europe, Limited (Zahlungsabwicklung). Weitere Unterauftragsverarbeiter der genannten Anbieter ergeben sich aus deren eigenen Verzeichnissen.