Auftrags­verarbeitungs­vertrag

nach Art. 28 DSGVO · Anlage A zum Hauptvertrag

Verantwortlicher (Kunde)

Vom Kunde zu benennen.

Auftragsverarbeiter (Anbieter)

Delegario UG (haftungsbeschränkt), Demantstraße 17, 67435 Neustadt a. d. Weinstraße, [email protected] · +49 176 70050463

01Gegenstand und Dauer der Verarbeitung

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Anbieter im Rahmen der im Hauptvertrag beschriebenen Leistungen (Einrichtung, Betrieb und Weiterentwicklung der HubSpot-Plattform sowie damit verbundener Prozesse).

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, vorbehaltlich der Regelungen zur Rückgabe und Löschung (Ziffer 9).

(3) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt, soweit nicht für einzelne Unterauftragsverarbeiter die in Ziffer 7 genannten Garantien für Drittlandtransfers greifen.

(4) Dieser AVV gilt für sämtliche Tätigkeiten, bei denen der Anbieter, seine Beschäftigten oder von ihm beauftragte Dritte mit personenbezogenen Daten in Berührung kommen, die vom Kunden stammen oder für den Kunden erhoben werden. Er kommt dadurch zustande, dass der Kunde die Nutzungsbedingungen des Anbieters einschließlich dieses AVV im Bestellprozess elektronisch annimmt, spätestens mit Beginn der Leistungserbringung, und wird nicht gesondert vergütet. Der Anbieter dokumentiert Zeitpunkt und Fassung der Annahme, hält die angenommene Fassung zum Abruf bereit und stellt sie dem Kunden auf Anforderung in Textform zur Verfügung (Art. 28 Abs. 9 DSGVO).

02Art, Zweck, betroffene Personen und Datenarten

Art und Zweck der Verarbeitung, die Kategorien betroffener Personen sowie die Arten der verarbeiteten Daten ergeben sich aus der folgenden Übersicht:

Aufgrund der Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) treffen die Parteien erhöhte Schutzmaßnahmen gemäß Ziffer 5.

Eine über diese Übersicht hinausgehende oder von ihr abweichende Verarbeitung ist dem Anbieter untersagt. Der Anbieter verarbeitet die Daten insbesondere nicht für eigene Zwecke, nicht zur Erstellung von Profilen und nicht zum Training oder zur Verbesserung von Modellen künstlicher Intelligenz. Setzt der Anbieter KI-gestützte Dienste ein, geschieht dies nur, soweit deren Anbieter eine Nutzung der Eingabedaten zu Trainingszwecken vertraglich ausschließt.

Der Kunde weist den Anbieter an, Nutzungs- und Verarbeitungsdaten in aggregierter und anonymisierter Form zur Fehleranalyse, Kapazitätsplanung und Weiterentwicklung der eingesetzten Systeme auszuwerten. Der Anbieter stellt sicher, dass ein Personenbezug nicht wiederhergestellt wird.

Soweit der Kunde einer Berufsgruppe nach § 203 Abs. 1 StGB angehört, insbesondere als Steuerberater, Rechtsanwalt oder Arzt, wirkt der Anbieter als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB an dessen Berufsausübung mit. Er erhält Zugang zu geschützten Geheimnissen nur, soweit dies für die vereinbarten Leistungen erforderlich ist.

Der Anbieter verpflichtet die bei ihm beschäftigten und die von ihm eingesetzten Personen vor Aufnahme ihrer Tätigkeit zur Verschwiegenheit über fremde Geheimnisse des Kunden, belehrt sie über die Strafbarkeit einer Verletzung nach § 203 Abs. 4 StGB und dokumentiert beides. Unterauftragsverarbeiter verpflichtet er in gleicher Weise. Die Verpflichtungs- und Belehrungsnachweise legt er dem Kunden auf Anforderung in Textform vor, damit dieser seinen Pflichten aus § 62a StBerG, § 43e BRAO oder vergleichbaren berufsrechtlichen Vorschriften nachkommen kann.

03Weisungsrecht des Verantwortlichen

(1) Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Kunden, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden die rechtlichen Gründe vor der Verarbeitung mit, soweit das Gesetz dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen werden unverzüglich in Textform bestätigt. Weisungsbefugte Personen des Kunden sind benannte Projektansprechpartner.

(3) Ist der Anbieter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Kunden unverzüglich darauf hinzuweisen. Der Anbieter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Kunden bestätigt oder geändert wird.

(4) Weisungsberechtigt auf Seiten des Kunden sind seine gesetzlichen Vertreter sowie die Personen, die im Nutzerkonto des Kunden als Administrator hinterlegt oder dem Anbieter in Textform als weisungsbefugt benannt sind. Empfangsberechtigt auf Seiten des Anbieters ist die unter [email protected] erreichbare Stelle. Änderungen sind der jeweils anderen Partei unverzüglich in Textform anzuzeigen; bis zum Zugang der Anzeige gelten die benannten Personen weiter. Der Anbieter dokumentiert erteilte Weisungen einschließlich mündlich erteilter und nachträglich bestätigter Weisungen und bewahrt die Dokumentation drei Jahre auf.

04Pflichten des Auftragsverarbeiters

Der Anbieter verpflichtet sich insbesondere:

• die Verarbeitung ausschließlich weisungsgebunden und für die vereinbarten Zwecke durchzuführen;
• die zur Datenverarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen;
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Ziffer 5 umzusetzen und einzuhalten;
• den Kunden bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32 bis 36 DSGVO) im Rahmen des Zumutbaren zu unterstützen;
• den Kunden unverzüglich zu informieren, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, und ihn bei den erforderlichen Meldungen zu unterstützen;
• dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen zu ermöglichen (Ziffer 8).
• die Meldung einer Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, in Textform vorzunehmen und dabei die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben zu machen, soweit sie ihm vorliegen; fehlende Angaben reicht er unverzüglich nach;
• ein Verzeichnis aller Kategorien von im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen und dem Kunden auf Anforderung zur Verfügung zu stellen;
• Anfragen betroffener Personen, die unmittelbar an ihn gerichtet werden, unverzüglich an den Kunden weiterzuleiten und ohne dessen Weisung nicht selbst mit der betroffenen Person in Kontakt zu treten;
• den Kunden unverzüglich zu informieren, wenn dessen Daten beim Anbieter durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder Maßnahmen Dritter gefährdet werden, soweit ihm dies nicht gerichtlich oder behördlich untersagt ist, und die zuständigen Stellen darauf hinzuweisen, dass die Entscheidungshoheit über die Daten allein beim Kunden liegt;
• dem Kunden einen Ansprechpartner für Datenschutzfragen zu benennen (erreichbar unter [email protected]) und einen Wechsel unverzüglich in Textform mitzuteilen; besteht eine Pflicht zur Bestellung eines Datenschutzbeauftragten, teilt der Anbieter dessen Kontaktdaten mit.

05Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere:

• Zutritts-, Zugangs- und Zugriffskontrolle: Beschränkung des Zugangs zu Systemen und Daten auf berechtigte Personen, individuelle Zugangskennungen, rollenbasierte Rechtevergabe nach dem Prinzip der geringsten Berechtigung;
• Verschlüsselung und Pseudonymisierung, indem der Transport nach dem Stand der Technik verschlüsselt wird (TLS 1.2 oder höher) und ruhende Daten auf Servern und Endgeräten verschlüsselt werden; pseudonymisiert wird in Test- und Entwicklungsumgebungen, während im produktiven Betrieb keine Pseudonymisierung erfolgt, weil die Daten dort im Klartext benötigt werden, um die vereinbarten Leistungen zu erbringen;
• Vertraulichkeit und Integrität: Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, Beschädigung oder Zerstörung;
• Verfügbarkeit und Belastbarkeit: regelmäßige Sicherungen, Wiederherstellbarkeit der Systeme und Daten nach einem Zwischenfall;
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen;
• besondere Sorgfalt bei Daten nach Art. 9 DSGVO (insbesondere Gesundheitsdaten): keine Verarbeitung über nicht abgesicherte Kanäle, Vermeidung der Übermittlung an nicht geeignete Drittanbieter.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter ist berechtigt, alternative, gleichwertige Maßnahmen umzusetzen, sofern das Schutzniveau nicht unterschritten wird.

(3) Die im Einzelnen getroffenen Maßnahmen sind in Anlage 2 zu diesem AVV beschrieben, die der Anbieter in der jeweils geltenden Fassung unter https://delegario.com/avv#anlage2 zum Abruf bereithält. Der Anbieter überprüft ihre Wirksamkeit mindestens einmal jährlich und dokumentiert das Ergebnis. Hat er Grund zu der Annahme, dass die Maßnahmen nicht mehr ausreichen, informiert er den Kunden unverzüglich in Textform.

06Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind im Verzeichnis in Ziffer 11 aufgeführt.

(2) Der Anbieter informiert den Kunden vorab in Textform über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Kunde kann einer Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; gelingt diese nicht, steht dem Kunden ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf datenschutzrechtliche Pflichten, die den Regelungen dieses AVV im Wesentlichen entsprechen, insbesondere hinsichtlich der technischen und organisatorischen Maßnahmen.

(4) Kein Unterauftragsverhältnis liegt vor, wenn der Anbieter Dritte mit reinen Nebenleistungen beauftragt, etwa mit Post-, Transport- und Telekommunikationsleistungen ohne konkreten Bezug zu den für den Kunden erbrachten Leistungen, mit Reinigungs- oder Bewachungsleistungen sowie mit der Wartung von Hard- und Software ohne Zugriff auf personenbezogene Daten des Kunden. Die Pflicht des Anbieters, auch in diesen Fällen Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

07Drittlandtransfers

(1) Eine Übermittlung personenbezogener Daten in ein Land außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere ein Angemessenheitsbeschluss der EU-Kommission vorliegt, geeignete Garantien (insbesondere EU-Standardvertragsklauseln) vereinbart sind oder eine Zertifizierung nach dem EU-US Data Privacy Framework besteht.

(2) Soweit einzelne der in Ziffer 11 genannten Unterauftragsverarbeiter einem Konzern mit Sitz außerhalb der EU angehören, stellt der Anbieter sicher, dass für etwaige Drittlandtransfers die vorstehenden Garantien bestehen.

(3) Entfällt eine Transfergrundlage, insbesondere durch Wegfall oder Ungültigerklärung eines Angemessenheitsbeschlusses, schließen die Parteien unverzüglich die EU-Standardvertragsklauseln in der jeweils geltenden Fassung ab. Bis dahin setzt der Anbieter die betroffene Übermittlung aus oder stellt sie auf einen Dienst mit Verarbeitung innerhalb der EU um. Eines gesonderten Änderungsvertrags bedarf es hierfür nicht.

08Nachweis- und Kontrollrechte

(1) Der Anbieter weist dem Kunden auf Anforderung die Einhaltung der in diesem AVV festgelegten Pflichten in geeigneter Weise nach, etwa durch Auskünfte, aktuelle Zertifikate oder Berichte.

(2) Der Nachweis wird vorrangig durch aktuelle Dokumentation, Testate oder Zertifikate geführt. Genügen diese im Einzelfall nicht, kann der Kunde eine Prüfung vor Ort oder durch einen zur Verschwiegenheit verpflichteten Dritten verlangen, der nicht in einem Wettbewerbsverhältnis zum Anbieter steht.

(3) Eine Prüfung vor Ort ist einmal je Kalenderjahr sowie anlassbezogen nach einer Verletzung des Schutzes personenbezogener Daten ohne gesonderte Vergütung möglich. Für darüber hinausgehende Prüfungen sowie für Unterstützungsleistungen nach Ziffer 4, die über den zumutbaren Aufwand hinausgehen, kann der Anbieter eine Vergütung nach seinen jeweils gültigen, im Angebot bzw. auf Anforderung ausgewiesenen Stundensätzen verlangen; auf die Vergütungspflicht weist er den Kunden vorab hin.

09Rückgabe und Löschung nach Vertragsende

(1) Nach Abschluss der Verarbeitungstätigkeiten löscht der Anbieter die personenbezogenen Daten nach Wahl des Kunden oder gibt sie zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Es gelten ergänzend die Regelungen des Hauptvertrags zu Datenexport und Löschung.

(2) Daten, die in den vom Kunden selbst gehaltenen Systemen (insbesondere HubSpot) liegen, verbleiben beim Kunden und sind von der Löschung durch den Anbieter nicht betroffen.

(3) Der Anbieter bestätigt dem Kunden die Löschung auf Anforderung in Textform. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen, darf der Anbieter für die Dauer von drei Jahren aufbewahren.

(4) Die Pflicht, die im Rahmen des Hauptvertrags bekannt gewordenen Daten vertraulich zu behandeln, besteht über dessen Beendigung hinaus fort.

10Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrags entsprechend. Im Verhältnis zu betroffenen Personen richtet sich die Haftung nach Art. 82 DSGVO.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Der Anbieter kann diesen AVV ändern, soweit dies wegen geänderter gesetzlicher oder aufsichtsbehördlicher Vorgaben, wegen einer Änderung der Leistungen oder wegen des Wechsels eines Unterauftragsverarbeiters erforderlich ist; die Änderung teilt er dem Kunden mindestens 30 Tage vor ihrem Wirksamwerden in Textform mit. Widerspricht der Kunde innerhalb dieser Frist, bleibt es bei der bisherigen Fassung und die Parteien stimmen sich zeitnah über eine einvernehmliche Regelung ab; kommt diese nicht zustande, kann jede Partei die betroffene Leistung mit einer Frist von einem Monat kündigen. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

(3) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags; eine Kündigung des Hauptvertrags gilt zugleich als Kündigung dieses AVV. Der Kunde kann diesen AVV aus wichtigem Grund kündigen, wenn der Anbieter Pflichten aus diesem AVV verletzt und die Verletzung nicht innerhalb einer angemessenen, vom Kunden gesetzten Frist abstellt; bei vorsätzlichen oder grob fahrlässigen Verstößen bedarf es keiner Fristsetzung.

(4) Ausschließlicher Gerichtsstand für Streitigkeiten aus diesem AVV ist Neustadt an der Weinstraße, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

11Verzeichnis der Unterauftragsverarbeiter (Anlage 3)

Zum Zeitpunkt des Vertragsschlusses setzt der Anbieter die folgenden Unterauftragsverarbeiter ein:

Vom Kunden selbst gehaltene Dienste (insbesondere HubSpot) sind keine Unterauftragsverarbeiter des Anbieters, sondern liegen in der eigenen datenschutzrechtlichen Verantwortung des Kunden. Änderungen dieses Verzeichnisses werden dem Kunden gemäß Ziffer 6 vorab mitgeteilt.

A2Anlage 2 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die nachfolgenden Maßnahmen beschreiben den Stand zum Zeitpunkt des Vertragsschlusses. Der Anbieter darf sie durch gleichwertige Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird.

01 Pseudonymisierung und Verschlüsselung

Transportverschlüsselung mit TLS 1.2 oder höher; Verschlüsselung ruhender Daten auf Servern und Endgeräten (LUKS/BitLocker/FileVault); Pseudonymisierung in Test- und Entwicklungsumgebungen; keine Verarbeitung von Daten nach Art. 9 DSGVO über unverschlüsselte Kanäle.

02 Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit

Rollenbasierte Rechtevergabe nach dem Prinzip der geringsten Berechtigung; getrennte Mandanten je Kunde; Firewall und aktuelle Patchstände; regelmäßige Überprüfung der Systemlast.

03 Wiederherstellbarkeit nach einem Zwischenfall

Tägliche automatisierte Sicherungen mit einer Aufbewahrung von 30 Tagen; Speicherung der Sicherungen getrennt vom Produktivsystem; Wiederherstellungstest mindestens halbjährlich; Wiederherstellungsziel RTO 24 Stunden, RPO 24 Stunden.

04 Regelmäßige Überprüfung und Bewertung

Jährliche Überprüfung der Maßnahmen mit schriftlicher Dokumentation des Ergebnisses; anlassbezogene Überprüfung nach Sicherheitsvorfällen oder wesentlichen Änderungen der Systemlandschaft.

05 Identifizierung und Autorisierung der Nutzer

Persönliche, nicht geteilte Zugangskennungen; Anmeldung an den vom Anbieter entwickelten Anwendungen über Single Sign-on des vom Kunden eingesetzten Identitätsanbieters (insbesondere Google Workspace oder Microsoft Entra ID), sodass die Zwei-Faktor-Authentifizierung dort vom Kunden konfiguriert und verantwortet wird; für eigene Zugänge zu Systemen mit Bezug zu Kundendaten nutzt der Anbieter die Zwei-Faktor-Authentifizierung des jeweiligen Plattformanbieters, soweit dieser sie bereitstellt; Passwortrichtlinie; dokumentierter Prozess für Anlage, Änderung und Entzug von Berechtigungen; Entzug am letzten Arbeitstag.

06 Schutz der Daten während der Übermittlung

Ausschließlich verschlüsselte Verbindungen; kein Versand von Daten nach Art. 9 DSGVO per unverschlüsselter E-Mail; Dateiaustausch über die freigegebenen Systeme.

07 Schutz der Daten während der Speicherung

Speicherung ausschließlich auf den in Ziffer 11 genannten Systemen; keine dauerhafte lokale Speicherung auf Endgeräten; verschlüsselte Festplatten; gesicherte Löschung von Datenträgern vor Aussonderung.

08 Physische Sicherheit der Verarbeitungsorte

Rechenzentrumsbetrieb durch Hetzner Online GmbH mit Zutrittskontrolle, Videoüberwachung und Brandschutz (Zertifizierung nach ISO/IEC 27001); Büroräume des Anbieters verschlossen, Zutritt nur für Beschäftigte.

09 Protokollierung von Ereignissen

Protokollierung von An- und Abmeldungen, administrativen Eingriffen sowie Zugriffen auf Kundendaten; Aufbewahrung der Protokolle 30 Tage; Schutz der Protokolle vor nachträglicher Veränderung.

10 Systemkonfiguration und Standardkonfiguration

Gehärtete Standardkonfiguration; Deaktivierung nicht benötigter Dienste und Standardkonten; Änderungen an produktiven Systemen nur dokumentiert.

11 Interne Governance der IT-Sicherheit

Benannter Ansprechpartner für Datenschutz und IT-Sicherheit; schriftliche Verpflichtung aller Beschäftigten auf Vertraulichkeit; Schulung mindestens einmal jährlich; dokumentierter Prozess zur Behandlung von Sicherheitsvorfällen.

12 Zertifizierung und Qualitätssicherung

Eine eigene Zertifizierung liegt nicht vor; Nachweise der eingesetzten Unterauftragsverarbeiter werden jährlich eingeholt und dem Kunden auf Anforderung vorgelegt.

13 Datenminimierung

Erhebung und Verarbeitung nur der für den jeweiligen Auftrag erforderlichen Daten; keine Vorratsspeicherung; Beschränkung der Zugriffe auf die am Projekt beteiligten Beschäftigten.

14 Datenqualität

Plausibilitätsprüfungen bei Importen und Migrationen; dokumentierte Korrektur fehlerhafter Datensätze auf Weisung des Kunden.

15 Begrenzte Speicherdauer

Löschkonzept mit definierten Fristen; automatisierte Löschung der Sicherungen nach Ablauf der Aufbewahrungsfrist; Löschung der Arbeitskopien spätestens 30 Tage nach Beendigung des Hauptvertrags.

16 Rechenschaftspflicht

Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO; Dokumentation der Weisungen, der Sicherheitsvorfälle und der Überprüfungen nach Nummer 04.

17 Datenübertragbarkeit und Löschung

Export der Daten in einem gängigen, strukturierten Format (CSV, JSON) auf Anforderung des Kunden; vollständige und bestätigte Löschung nach Ziffer 9 dieses AVV.

18 Unterstützung des Kunden

Beantwortung von Betroffenenanfragen und Unterstützung bei Datenschutz-Folgenabschätzungen innerhalb von 5 Werktagen; Bereitstellung der für Meldungen nach Art. 33 DSGVO erforderlichen Angaben.