Auftragsverarbeitungsvertrag

1. Parteien und Einbeziehung

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Zentrio-Kunden als Verantwortlichem („Auftraggeber“) und Timo Laß, Arlaustieg 7, 22851 Norderstedt, Deutschland als Auftragsverarbeiter („Auftragnehmer“) geschlossen. Er wird mit dem Hauptvertrag und der protokollierten Annahme im Registrierungsprozess wirksam. Bei Widersprüchen zu Datenschutzfragen geht dieser AVV dem Hauptvertrag vor.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist das Hosting und die technische Verarbeitung der vom Auftraggeber in Zentrio eingebrachten Daten für CRM, Anfragen und Akquise, Kundenverwaltung, Angebote, Aufträge, Projekte, Aufgaben, Termine, Einsatzberichte, Rechnungen, Zahlungen, Kommunikation, Automationen und aktivierte Integrationen. Art der Verarbeitung sind insbesondere Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Übermitteln, Bereitstellen, Sichern, Exportieren, Einschränken und Löschen. Die Verarbeitung dauert bis zur vollständigen Rückgabe oder Löschung nach Ende des Hauptvertrags, vorbehaltlich gesetzlicher Pflichten.

3. Kategorien betroffener Personen und Daten

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht als regulärer Verarbeitungszweck vorgesehen. Beabsichtigt der Auftraggeber eine solche Nutzung, muss er vorab deren Zulässigkeit, Erforderlichkeit und zusätzliche Schutzmaßnahmen prüfen.

• Betroffene können Kunden, Interessenten, Lieferanten, Beschäftigte, freie Mitarbeitende, Bewerbende, Websitebesucher, Buchende und Kommunikationspartner sein.
• Datenkategorien können Stamm-, Kontakt-, Adress-, Vertrags-, Kommunikations-, Projekt-, Leistungs-, Termin-, Einsatz-, Zeit-, Standort-, Angebots-, Rechnungs-, Zahlungs-, Steuer-, Dokument-, Benutzer-, Rollen-, Protokoll-, Geräte- und Integrationsdaten umfassen.

4. Weisungen und Pflichten des Auftraggebers

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen in Drittländer, soweit keine unions- oder mitgliedstaatliche Pflicht entgegensteht. Produktkonfiguration, Nutzung der Funktionen und Supportanweisungen gelten als dokumentierte Weisungen. Der Auftraggeber ist für Rechtmäßigkeit, Informationspflichten, Datenminimierung, Aufbewahrungsregeln, Berechtigungskonzept und Betroffenenanfragen verantwortlich.

Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Eine Verarbeitung der Auftragsdaten für eigene Werbung, Profilbildung oder das Training allgemeiner KI-Modelle des Auftragnehmers findet nicht statt. Gesetzlich erforderliche Verarbeitungen und die strikt zweckgebundene Verarbeitung für Betrieb, Sicherheit und Fehlerbehebung bleiben unberührt.

5. Vertraulichkeit und Personal

Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und angemessen unterwiesen sind. Zugriffe werden nach Aufgaben und dem Erforderlichkeitsprinzip vergeben. Die Verpflichtung besteht nach Ende der Tätigkeit fort.

Inhaltlicher Supportzugriff erfolgt nur, soweit dies für einen konkreten Support-, Sicherheits- oder Wiederherstellungsfall erforderlich ist. Privilegierte Zugriffe sind rollenbeschränkt zu vergeben und nach Maßgabe der TOM nachvollziehbar zu protokollieren.

6. Sicherheit der Verarbeitung

Der Auftragnehmer trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen, Zwecken und Risiken angemessene Maßnahmen nach Art. 32 DSGVO. Die vereinbarten Maßnahmen sind in der TOM-Anlage beschrieben. Sie dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Betriebsabhängige Maßnahmen gelten nur, soweit sie für die konkrete Produktivumgebung eingerichtet und nachweisbar betrieben werden.

Zugehörige Unterlagen: Technische und organisatorische Maßnahmen

7. Unterauftragnehmer

Der Auftraggeber erteilt eine allgemeine Genehmigung für die in der aktuellen Unterauftragnehmerliste genannten Anbieter. Der Auftragnehmer informiert über beabsichtigte Änderungen mit angemessener Frist. Der Auftraggeber kann aus nachvollziehbaren Datenschutzgründen widersprechen. Können die Parteien keine zumutbare Lösung finden, kann die betroffene Funktion oder der Hauptvertrag außerordentlich beendet werden. Unterauftragnehmer werden vertraglich auf im Wesentlichen gleichwertige Datenschutzpflichten verpflichtet.

Der Auftragnehmer stellt bei jedem Unterauftragnehmer die Anforderungen des Art. 28 Abs. 4 DSGVO sicher und bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragnehmers verantwortlich.

Zugehörige Unterlagen: Unterauftragnehmerliste

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten, Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden. Anfragen Betroffener werden nicht eigenständig inhaltlich beantwortet, sondern unverzüglich an den Auftraggeber weitergeleitet, sofern sie dessen Daten betreffen.

Der Auftraggeber hält seine Datenschutz- und Sicherheitskontakte aktuell und stellt die für Weisungen, Rückfragen und gesetzliche Fristen erforderliche Erreichbarkeit sicher.

9. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes auftragsverarbeiteter personenbezogener Daten bekannt wurde. Die Mitteilung enthält, soweit verfügbar, Art und Umfang, betroffene Kategorien, wahrscheinliche Folgen, getroffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt die zur Darlegung der Einhaltung erforderlichen Informationen bereit. Kontrollen sind grundsätzlich durch aktuelle Prüfberichte, Dokumentation und strukturierte Fragebögen durchzuführen. Ist dies für einen berechtigten Nachweis nicht ausreichend, kann der Auftraggeber nach angemessener Vorankündigung und unter Schutz anderer Mandanten eine Prüfung durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer verlangen. Unverhältnismäßige Kosten des Auftraggebers trägt dieser, außer die Prüfung weist einen erheblichen Verstoß des Auftragnehmers nach.

11. Drittlandtransfers

Verarbeitung außerhalb des EWR erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, etwa aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien einschließlich Standardvertragsklauseln und erforderlicher ergänzender Maßnahmen. Der konkrete Mechanismus wird in der Unterauftragnehmerliste dokumentiert.

12. Rückgabe, Export und Löschung

Während der Vertragsdauer kann der Auftraggeber die vom vollständigen Mandantenexport erfassten Daten abrufen. Nach Vertragsende werden diese Daten nach Wahl des Auftraggebers zurückgegeben beziehungsweise exportiert und nach Ablauf des vereinbarten Abrufzeitraums gelöscht, sofern keine unions- oder mitgliedstaatliche Pflicht zur Speicherung besteht. Nach Vertragsende steht ein Exportzeitraum von 30 Tagen zur Verfügung. Anschließend werden Mandantendaten nach Ablauf einschlägiger Aufbewahrungs- und Sicherungsfristen gelöscht. Gesetzlich oder zur Rechtsverteidigung aufzubewahrende Anbieter-Nachweise werden vom operativen Mandantenbestand getrennt und können pseudonymisiert fortbestehen.

Auf begründete Anfrage bestätigt der Auftragnehmer nach Abschluss des Löschlaufs die vertragsgemäße Löschung der Auftragsdaten, soweit nicht gesetzliche Aufbewahrungspflichten oder technisch noch gesperrte Sicherungskopien entgegenstehen.

13. Schlussbestimmungen

Änderungen dieses AVV bedürfen einer dokumentierbaren Form. Die aktuelle TOM-Anlage trägt Version 2026-08-12. Datenschutzkontakt des Auftragnehmers: kontakt@hgs-lass.de.