Auftragsverarbeitungsvertrag (AVV)

Standardvertragsklauseln gemäß Art. 28 DSGVO mit Zusatzklauseln zum Berufs- und Sozialgeheimnis

Abschnitt I

Klausel 1 – Zweck und Anwendungsbereich

Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln“) soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sichergestellt werden.
Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.
Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.
Die Anhänge I bis IV sind Bestandteil der Klauseln.
Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.
Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2 – Unabänderbarkeit der Klauseln

Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.
Dies hindert die Parteien nicht daran, die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 – Auslegung

Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.
Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.
Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 – Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 – Kopplungsklausel

Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung aller Parteien jederzeit als Verantwortlicher oder als Auftragsverarbeiter beitreten, indem sie die Anhänge ausfüllt und Anhang I unterzeichnet.
Nach Ausfüllen und Unterzeichnen der unter Buchstabe a genannten Anhänge wird die beitretende Einrichtung als Partei dieser Klauseln behandelt und hat die Rechte und Pflichten eines Verantwortlichen oder eines Auftragsverarbeiters entsprechend ihrer Bezeichnung in Anhang I.
Für die beitretende Einrichtung gelten für den Zeitraum vor ihrem Beitritt als Partei keine aus diesen Klauseln resultierenden Rechte oder Pflichten.

Abschnitt II – Pflichten der Parteien

Klausel 6 – Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 – Pflichten der Parteien

7.1 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2 Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3 Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4 Sicherheit der Verarbeitung

Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.
Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5 Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten“), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzliche Garantien an.

7.6 Dokumentation und Einhaltung der Klauseln

Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.
Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.
Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.
Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7 Einsatz von Unterauftragsverarbeitern

Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind (Anhang IV). Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 14 Tage im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.
Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten, notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.
Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.
Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche – im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist – das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8 Internationale Datenübermittlungen

Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.
Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8 – Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.
Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten: (1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (Datenschutz-Folgenabschätzung); (2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte; (3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind; (4) Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.
Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9 – Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 nachkommen kann. Die Konkretisierung der Meldewege und -fristen erfolgt in der Zusatzklausel 14.

Klausel 10 – Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein Berufsgeheimnis (im Sinne von § 203 StGB) fallen. Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen, die an der beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirken und unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, strafbar machen nach § 203 Abs. 4 StGB.
Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegenden Daten befassten Beschäftigten und andere für den Auftragnehmer tätigen Personen (zum Beispiel Subunternehmer) sich in Textform dazu verpflichtet haben, die ihnen bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren, und über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden.
Der Auftragnehmer ist berechtigt, Unterauftragnehmer zur Vertragserfüllung heranzuziehen. Im Ausland dürfen Unterauftragnehmer nur dann herangezogen werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist. Der Auftragnehmer wird etwaige Unterauftragnehmer sorgfältig auswählen und zur Geheimhaltung verpflichten. Subunternehmer werden über das bestehende Schweigerecht gemäß § 53a StPO sowie den Beschlagnahmeschutz gemäß § 97 StPO informiert.
Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines Berufsgeheimnisträgers verarbeitet, unter Umständen dem Zeugnisverweigerungsrecht von sogenannten mitwirkenden Personen unterliegen (§ 53a StPO). Im Falle einer Befragung wird der Auftragnehmer unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber informieren.
Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam befindlichen Geheimnisschutzdaten dem Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers herausgegeben werden. Im Falle einer Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich den Auftraggeber informieren.

Abschnitt III – Schlussbestimmungen

Klausel 11 – Verstöße gegen die Klauseln und Beendigung des Vertrags

Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche – unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 – den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.
Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn: (1) der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde; (2) der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt; (3) der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n) nicht nachkommt.
Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen verstoßen.
Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

Zusatzklauseln

Klausel 12 – Sozialgeheimnis (§ 35 SGB I, §§ 67 ff. SGB X, § 80 SGB X)

Im Rahmen dieses Auftrags können Sozialdaten im Sinne des § 67 SGB X verarbeitet werden, die dem Sozialgeheimnis nach § 35 SGB I unterliegen.
Der Auftragnehmer verpflichtet sich, das Sozialgeheimnis zu wahren und Sozialdaten ausschließlich nach Weisung des Auftraggebers und im Rahmen der gesetzlichen Bestimmungen zu verarbeiten. Eine Übermittlung oder Weitergabe an Dritte ist unzulässig, soweit dies nicht durch Gesetz erlaubt oder vom Auftraggeber ausdrücklich angewiesen ist.
Der Auftragnehmer bestätigt, dass die Verarbeitung von Sozialdaten ausschließlich im Inland bzw. innerhalb der Europäischen Union erfolgt (§ 80 Abs. 2 SGB X).
Der Auftragnehmer verpflichtet alle mit der Verarbeitung von Sozialdaten befassten Beschäftigten und Unterauftragnehmer schriftlich auf das Sozialgeheimnis und belehrt sie über die Folgen einer Verletzung.
Der Auftraggeber bleibt verantwortlich dafür, etwaige nach § 80 Abs. 5 SGB X erforderliche Genehmigungen der zuständigen Aufsichtsbehörde einzuholen.

Klausel 13 – Unterstützung bei der Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO, soweit dies aufgrund der Art der Verarbeitung und der dem Auftragnehmer zur Verfügung stehenden Informationen erforderlich ist.
Diese Unterstützung umfasst insbesondere:
- Bereitstellung einer Beschreibung der Verarbeitungstätigkeiten, der eingesetzten Technologien und der getroffenen technischen und organisatorischen Maßnahmen
- Bereitstellung einer DSFA-Hilfestellung mit Bausteinen für die typische Verarbeitungssituation in der Sozialwirtschaft
- Beantwortung konkreter Rückfragen des Auftraggebers oder seiner Datenschutzbeauftragten
- Mitwirkung an Risikoabschätzungen, soweit diese die Anwendung betreffen
Der Auftraggeber bleibt allein verantwortlich für die Durchführung und Dokumentation der Datenschutz-Folgenabschätzung.

Klausel 14 – Meldung von Datenschutzverletzungen (Konkretisierung zu Klausel 9)

In Ergänzung zu Klausel 9 dieses Vertrags meldet der Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten, die ihm bekannt geworden ist, dem Auftraggeber innerhalb von 48 Stunden ab Kenntnis.
Die Meldung erfolgt schriftlich (E-Mail genügt) an die vom Auftraggeber benannte Kontaktstelle. Sie enthält die in Art. 33 DSGVO genannten Informationen, soweit zum Meldezeitpunkt verfügbar.
Der Auftragnehmer benennt eine ständig erreichbare Anlaufstelle für Datenschutzvorfälle (Security Contact).
Bei Vorfällen, von denen Daten betroffen sind, die dem Berufs- oder Sozialgeheimnis unterliegen, erfolgt die Meldung unverzüglich, spätestens jedoch innerhalb von 24 Stunden ab Kenntnis.

Anhang I – Liste der Parteien

Verantwortliche/r

Name, Anschrift	wird im jeweiligen Auftragsblatt eingetragen
Datenschutzbeauftragte/r	wird im jeweiligen Auftragsblatt eingetragen
Unterschrift und Beitrittsdatum	erfolgt mit Unterzeichnung des Auftragsblatts

Auftragsverarbeiter

Name, Anschrift	SODISYS GmbH Birkenstr. 30, 10551 Berlin
Datenschutzbeauftragte	Dr. Anna-Kristina Roschek PLANIT // LEGAL Rechtsanwaltsgesellschaft mbH Jungfernstieg 1, 20095 Hamburg mail@planit.legal
Unterschrift und Beitrittsdatum	erfolgt mit Unterzeichnung des Auftragsblatts

Anhang II – Beschreibung der Verarbeitung

Kategorien betroffener Personen

Mitarbeitende des Verantwortlichen
Klient/innen (Endkunden des Verantwortlichen) sowie deren Angehörige und Bezugspersonen
Weitere Betroffene (z. B. Ehrenamtliche, Netzwerkpartner, Kostenträger), deren personenbezogene Daten der Verantwortliche in die Anwendung aufnimmt
Bei Jugendhilfe und vergleichbaren Leistungsbereichen auch Minderjährige

Kategorien personenbezogener Daten

Mitarbeitende des Verantwortlichen

Personalstammdaten (Name, E-Mail, Geburtsdatum, Anschrift, Familienstand, Anzahl Kinder, Telefonnummer, Anschreiben, Zeugnisse, Lebenslauf, Nachweise, Verträge, Steuernummer, Beschäftigungsart, Gehalt, Bankverbindung, Konfession, Steuerklasse); Lohn- und Gehaltsdaten (Arbeitszeiten, Qualifikationen, Bewertungen, Personalnummern, Gehaltsgruppe, Eintrittsdatum, Freistellungen, Abrechnungskreis, Kostenstelle, Abteilung, Zulagen, Pfändungen, Krankenkasse, Lohnsteuerklasse, Freibeträge, Renten- und Sozialversicherung, Aufenthalts- und Arbeitserlaubnisse, betriebliche Altersvorsorge, Direktversicherung, Stellenbeschreibungen, Steueridentifikationsnummer); Sozialversicherungsdaten; Berichte über Tätigkeiten aus dem Beschäftigungsverhältnis. Diese Daten unterliegen § 26 BDSG.

Klient/innen und deren Angehörige

Name, Kontaktdaten, bezogene Leistungen, Verlaufs- und Betreuungsdokumentationen, Gesprächsinhalte und -notizen, Termine, Dokumente, Bilder; gegebenenfalls Sozialdaten im Sinne des § 67 SGB X.

Verarbeitete besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Soweit der Verantwortliche dies einpflegt, können verarbeitet werden:

Gesundheitsdaten
Religiöse oder weltanschauliche Überzeugungen
Daten zur ethnischen Herkunft
Daten zu Sexualleben oder sexueller Orientierung (in Einzelfällen z. B. in Verlaufsdokumentationen)

Angewandte Beschränkungen und Garantien für sensible Daten:

Strenge Zweckbindung: Verarbeitung ausschließlich zur Bereitstellung der Anwendung und der vereinbarten Funktionen
Rollenbasierter Zugriff: Zugang zu Klienten- und Personaldaten nur für ausdrücklich vom Verantwortlichen autorisierte Personen
Need-to-know-Prinzip auch innerhalb von SODISYS: Mitarbeitende erhalten Zugriff auf Kundendaten ausschließlich zu Support- und Wartungszwecken nach dokumentierter Anforderung und im erforderlichen Umfang
Multi-Faktor-Authentifizierung für Administrator/innen und priviligierte Konten
Audit-Logging aller Datenzugriffe und -änderungen mit Benutzer-ID, Zeitstempel und Vorgangsart
Verschlüsselung der Datenübertragung (TLS) und der Datenhaltung at rest (AWS KMS)
Mandantenfähigkeit: ID-spezifische, logisch getrennte Datenhaltung pro Kunde
Regelmäßige Schulung der mit der Verarbeitung befassten Mitarbeitenden zu Datenschutz, IT-Sicherheit und Berufsgeheimnis
Verpflichtung aller Beschäftigten auf das Berufsgeheimnis nach § 203 StGB sowie das Sozialgeheimnis nach § 35 SGB I (Klausel 10 und Klausel 12 dieses AVV)
Beschränkung der Weiterübermittlung: keine Weitergabe an Dritte außerhalb des in Anhang IV genannten Unterauftragsverarbeiters

Art der Verarbeitung

Die Verarbeitung umfasst:

Bereitstellung der webbasierten Anwendung SODISYS über eine Internetverbindung und Login auf Servern des Unterauftragsverarbeiters AWS in der Region eu-central-1 (Frankfurt am Main)
Speicherung, Aufbewahrung, Anzeige und Bearbeitung der vom Verantwortlichen oder dessen Nutzern eingegebenen Daten
Technischer Support und Fehleranalyse auf Anforderung des Verantwortlichen
Wartung, Versions- und Patch-Management der Anwendung
Backup und Wiederherstellung der Daten
Sicherheitsmonitoring, Logging und Erkennung von Anomalien
Löschung oder Rückgabe von Daten gemäß Vertrag und Weisung

Zwecke der Verarbeitung im Auftrag des Verantwortlichen

Bereitstellung der Anwendung und ihrer Funktionalitäten für den Verantwortlichen
Ermöglichung der digitalen Klienten- und Mitarbeiterakte
Durchführung von Support- und Wartungsleistungen
Sicherstellung von Datenintegrität, Verfügbarkeit und Vertraulichkeit
Erfüllung der Pflichten aus diesem AVV (z. B. Unterstützung bei Betroffenenrechten)

Dauer der Verarbeitung

Für die Dauer der Nutzung der Anwendung durch den Verantwortlichen. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten innerhalb von 90 Tagen, sofern der Verantwortliche keine frühere Löschung oder eine Rückgabe verlangt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Anhang III – Technische und organisatorische Maßnahmen (TOM)

Dieser Anhang beschreibt die technischen und organisatorischen Sicherheitsmaßnahmen der SODISYS GmbH sowie ihres Unterauftragsverarbeiters AWS Frankfurt. Die Anwendung wird ausschließlich auf AWS-Infrastruktur betrieben; SODISYS betreibt keine eigenen Produktiv-Server.

1. Vertraulichkeit

1.1 Zutrittskontrolle

Büroräumlichkeiten SODISYS:

Zutritt nur für Mitarbeitende mit Schlüssel; dokumentierte Schlüsselvergabe
Empfangs- und Begleitpflicht für Besucher
Abgeschlossene Außentüren außerhalb der Geschäftszeiten
Keine permanente Speicherung produktiver Kundendaten an SODISYS-Endgeräten

Rechenzentrum AWS Frankfurt (eu-central-1):

Elektronisches Zutrittskontrollsystem mit Protokollierung
Richtlinien zur Begleitung und Kennzeichnung von Gästen
24/7 personelle Besetzung
Videomaßnahmen an Ein- und Ausgängen, Sicherheitsschleusen und Serverräumen
Zertifizierungen: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1/2/3, PCI DSS Level 1, BSI C5

1.2 Zugangskontrolle

Individuelles Benutzerkonto für jede/n Nutzer/in mit eigenem Passwort
Passwortrichtlinie nach NIST-Empfehlung (SP 800-63B): Mindestlänge, Komplexitätsanforderungen, Prüfung gegen Listen kompromittierter Passwörter, kein erzwungener regelmäßiger Wechsel, sofortiger Wechsel bei Verdacht oder Kenntnisnahme durch Unbefugte
Multi-Faktor-Authentifizierung für alle Administrator/innen und priviligierte Konten
Automatische Bildschirmsperre und Session-Timeout
Deaktivierung inaktiver Konten nach definierter Frist
Trennung von Administrations- und Nutzerkonten
Festplattenverschlüsselung auf allen Endgeräten von SODISYS-Mitarbeitenden
Verbindliches Verfahren zur Rücksetzung vergessener Passwörter

1.3 Zugriffskontrolle

Granulares Rollen- und Berechtigungskonzept innerhalb der Anwendung
Berechtigungen werden ausschließlich durch berechtigte Personen des Verantwortlichen vergeben
Regelmäßige Überprüfung der Berechtigungen (mindestens halbjährlich)
Need-to-know-Prinzip beim SODISYS-internen Support: Zugriff auf Kundendaten nur nach dokumentierter Anforderung und im erforderlichen Umfang
Verschlüsselung der Datenübertragung (TLS ≥ 1.2)
Verschlüsselung der Datenhaltung at rest (AWS KMS)
Zeitnahe Bereitstellung und Anwendung sicherheitsrelevanter Updates und Patches nach dokumentiertem Patch-Management-Prozess

1.4 Trennungskontrolle (Mandantenfähigkeit)

Jede/r Kunde/Kundin erhält eine eigene Mandanten-ID
ID-spezifische und logisch voneinander getrennte Datenhaltung
Kein kundenübergreifender Zugriff durch Mandantentrennung im Anwendungscode

1.5 Mobiles Arbeiten und Homeoffice

Verbindliche Homeoffice-Richtlinie für SODISYS-Mitarbeitende
Zugriff auf interne Systeme ausschließlich über gesicherte VPN-Verbindung mit MFA
Verbot der lokalen Speicherung von Kundendaten außerhalb gesicherter Systeme
Datenschutzrechtliche Verpflichtung auch für Heimarbeitsplätze
Sichtschutz und Schutz vor Mithören in Wohnungen und an mobilen Arbeitsplätzen

2. Integrität

2.1 Weitergabekontrolle

Verschlüsselung sämtlicher Datenübertragungen (TLS ≥ 1.2)
Firewalls und Intrusion-Detection auf Stand der Technik
End-to-End-Check der Datenübertragung auf Vollständigkeit und Richtigkeit
Keine Übermittlung in Drittstaaten außerhalb des EWR

2.2 Eingabekontrolle

Audit-Logging: Protokollierung aller Datenzugriffe und -änderungen mit Benutzer-ID, Zeitstempel und Vorgangsart
Protokollierung auf Anwendungsebene (SODISYS) und Infrastrukturebene (AWS CloudTrail)
Nachvollziehbarkeit von Löschungen über das Audit-Log
Trennung von Audit-Log-Zugriff und produktivem Datenzugriff
Sperrungen des Zugriffs aus rechtlichen oder technischen Gründen: gemeint sind Account-Sperrungen bei begründetem Verdacht auf Missbrauch, bei einem Sicherheitsvorfall oder bei offenen Forderungen gegenüber dem Kunden

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

Hochverfügbarkeitsbetrieb in AWS eu-central-1 über mehrere Availability Zones
Unterbrechungsfreie Stromversorgung im Rechenzentrum (durch AWS sichergestellt)
Permanente Überwachung der Funktionalität der Infrastruktur und der Anwendung
Automatische Skalierung bei Lastspitzen

3.2 Backup und Wiederherstellung

Tägliche automatisierte Backups der Anwendungsdatenbank und Dateispeicher
AWS-eigene Snapshots Multi-AZ in eu-central-1
Zusätzliche unabhängige Backups auf einer von AWS getrennten Infrastruktur innerhalb der EU
Erstellung, Verwaltung und Zugriff auf die unabhängigen Backups ausschließlich durch berechtigte Personen der SODISYS GmbH
Regelmäßige Wiederherstellungs-Tests

3.3 Notfall- und Business-Continuity-Plan

Dokumentierter Notfallplan mit definierten Eskalationswegen
Definierte Wiederherstellungszeiten (RTO) und Wiederherstellungspunkte (RPO)
Regelmäßige Übungen der Eskalations- und Wiederherstellungsprozesse

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

4.1 Auftragskontrolle

Weisungen des Verantwortlichen erfolgen grundsätzlich in Textform; mündliche Weisungen werden in Textform bestätigt
Unterauftragsverhältnisse werden schriftlich beauftragt
Regelmäßige Schulung aller SODISYS-Mitarbeitenden zu Datenschutzrecht, IT-Sicherheit und Berufsgeheimnis (mindestens jährlich; zuletzt durchgeführt 2025)
Verpflichtung aller Beschäftigten auf Vertraulichkeit, das Berufsgeheimnis nach § 203 StGB sowie das Sozialgeheimnis nach § 35 SGB I

4.2 TOM-Review und Schwachstellen-Management

Jährliche Überprüfung und Aktualisierung der TOM
Trennung von Produktiv-, Test- und Entwicklungssystemen
Verwendung pseudonymisierter oder synthetischer Daten in Test- und Entwicklungssystemen
Dokumentierter Patch- und Update-Management-Prozess mit Monitoring von Sicherheits-Advisories, Priorisierung nach CVSS, definierten Reaktionszeiten je Schweregrad, vorgelagerten Tests und automatisierter Bereitstellung über CI/CD-Pipelines
Schwachstellen-Scans der Infrastruktur
Penetrationstests durch externen Dienstleister in Planung 2026

4.3 Datenschutz-Management

Benannte Datenschutzbeauftragte (Dr. Anna-Kristina Roschek, PLANIT // LEGAL)
Dokumentiertes Verzeichnis von Verarbeitungstätigkeiten
Verfahren zur Beantwortung von Betroffenenanfragen
Verfahren zur Meldung von Datenschutzverletzungen

Anhang IV – Unterauftragsverarbeiter und weitere Empfänger

Der Verantwortliche hat die Inanspruchnahme der folgenden Unterauftragsverarbeiter genehmigt:

1. Amazon Web Services EMEA Sàrl (AWS)

Name und Anschrift	Amazon Web Services EMEA Sàrl Eschborner Landstraße 100 60489 Frankfurt am Main, Deutschland
Beschreibung der Verarbeitung	Bereitstellung der Cloud-Infrastruktur (Rechenleistung, Datenbank, Objektspeicher, Netzwerk, Logging) für den Betrieb der Anwendung SODISYS.
Genutzte Dienste	Amazon EC2 (Compute), Amazon RDS (Datenbank), Amazon S3 (Objektspeicher), AWS KMS (Schlüsselverwaltung), Amazon CloudWatch / CloudTrail (Logging und Monitoring) sowie zugehörige Netzwerk- und Sicherheitsdienste
Region / Ort der Verarbeitung	Ausschließlich eu-central-1 (Frankfurt am Main). Die Datenhaltung erfolgt ausschließlich innerhalb der Europäischen Union.
Drittlandübermittlung	Eine Übermittlung personenbezogener Daten in Drittstaaten außerhalb des EWR findet nicht statt. Kapitel V DSGVO ist daher nicht einschlägig.
Vertragliche Grundlagen	AWS Data Processing Addendum (DPA) mit eingeschlossenen EU-Standardvertragsklauseln, AWS Service Terms
Zertifizierungen und Nachweise	ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, AWS-SOC-Berichte SOC 1/2/3, PCI DSS Level 1, BSI Cloud Computing Compliance Criteria Catalogue (C5), CISPE Code of Conduct

Hinweis zum Data Privacy Framework (DPF): AWS ist im EU-US Data Privacy Framework zertifiziert. Dies dient ausschließlich als allgemeiner Konzern-Nachweis. Für die hier vereinbarte Verarbeitung in eu-central-1 ohne Übermittlung in die USA ist das DPF nicht als Übermittlungsgrundlage einschlägig.

Hinweis: Zahlungsdienstleister Stripe

Soweit zwischen dem Auftragsverarbeiter und dem Verantwortlichen die automatisierte Zahlungsabwicklung über den Dienstleister Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, vereinbart ist, werden die zur Zahlungsabwicklung erforderlichen Daten des Verantwortlichen (Name, Anschrift, E-Mail-Adresse, Rechnungsbetrag, Bankverbindung oder Kartendaten) an Stripe übermittelt. Stripe ist insoweit eigenständig Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und nicht Unterauftragsverarbeiter im Sinne dieses AVV. Die Verarbeitung der personenbezogenen Daten, die Gegenstand des Auftragsverarbeitungsvertrags sind (insbesondere Daten der Beschäftigten und Klient/innen des Verantwortlichen), bleibt von der Zusammenarbeit mit Stripe vollständig unberührt. Eine Übermittlung dieser Daten an Stripe findet nicht statt. Stripe ist im EU-US Data Privacy Framework zertifiziert; weitere Informationen unter https://stripe.com/de/privacy.

Stand: Mai 2026