Auftragsverarbeitungsvertrag (AVV)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit.

Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere:

• Verschlüsselung im Transit: Alle Datenübertragungen erfolgen über TLS/HTTPS.
• Verschlüsselung im Ruhezustand: Datenbankdaten werden verschlüsselt gespeichert (Neon PostgreSQL mit AES-256-Verschlüsselung auf Speicherebene). Connector-Zugangsdaten (App-Passwörter) werden zusätzlich auf Anwendungsebene verschlüsselt.
• Zugriffskontrolle: Zugriff auf Produktionsdaten ist auf den Betreiber beschränkt; Authentifizierung über MFA-gesichertes Cloud-Dashboard.
• Mandantentrennung: Jeder Nutzeraccount ist durch datenbankbasierte Zugriffskontrolle streng isoliert.
• Kein Speichern von E-Mail-Inhalten: Inbound-E-Mails werden nach der Metadatenextraktion verworfen und nicht gespeichert.
• EU-Hosting: Datenbankserver in der EU (Neon, Frankfurt-Region). Anwendungs-Hosting vorzugsweise EU (Vercel).

Der Auftragsverarbeiter darf Unterauftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen. Die nachfolgend unter Anlage 1 genannten Unterauftragsverarbeiter sind hiermit genehmigt.

Bei Einbeziehung neuer oder Änderung bestehender Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vorab. Der Verantwortliche kann dieser Änderung widersprechen; in diesem Fall ist er berechtigt, den Vertrag außerordentlich zu kündigen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten gemäß Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO). Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen, soweit diese bekannt sind.

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Anfrage stellt der Auftragsverarbeiter dem Verantwortlichen vor der Löschung einen Datenexport bereit.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem vom Verantwortlichen beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Überprüfungen sind mit angemessener Vorankündigungsfrist (min. 14 Tage) anzukündigen und dürfen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen. Kosten für Überprüfungen trägt der Verantwortliche.