Auftragsverarbeitungsvertrag (AVV)

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Gegenstand des Auftrags ist die Bereitstellung der SaaS-Lösung „AdvisoryDesk" zur Durchführung von Bedarfsanalysen und Visualisierung von Versorgungslücken im Bereich der Arbeitskraftabsicherung und Altersvorsorge.

(2) Die Verarbeitung umfasst insbesondere das Erheben, Erfassen, Speichern, Auslesen, Berechnen, Darstellen, das Erstellen von Dokumenten, das Übermitteln an den Auftraggeber sowie das Löschen personenbezogener Daten.

(3) Die Dauer dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages (Nutzungsvertrag über den Software-Zugang). Die Vereinbarung gilt über dessen Beendigung hinaus fort, bis die im Auftrag verarbeiteten Daten gelöscht oder zurückgegeben worden sind.

(1) Art der verarbeiteten Daten:

• Personenstammdaten (z. B. Name, Vorname, ggf. Geburtsdatum/Alter des Endkunden)
• Beschäftigungs- und Statusdaten (z. B. Angestellter oder Beamter, Dienstherr, Besoldungs- bzw. Entgeltgruppe und Erfahrungsstufe)
• Finanz- und Gehaltsdaten (z. B. Nettoeinkommen, laufende Fixkosten, Kredite)
• Vorsorgedaten (z. B. bestehende Rentenansprüche, Schätzwerte)
• Beratungs- und Berechnungsergebnisse

(2) Kreis der Betroffenen: Endkunden / Interessenten des Auftraggebers (Versicherungsvermittlers).

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, insbesondere Gesundheitsdaten, ist nicht Gegenstand dieses Auftrags. Der Auftraggeber wird solche Daten nicht in Freitextfelder oder sonstige nicht ausdrücklich dafür vorgesehene Bereiche der Software eingeben.

(1) Für die Rechtmäßigkeit der Erhebung, Verarbeitung und Übermittlung der personenbezogenen Daten, für das Vorliegen der erforderlichen Rechtsgrundlagen nach Art. 6 und – soweit einschlägig – Art. 9 DSGVO sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO).

(2) Der Auftraggeber stellt sicher, dass er berechtigt ist, die Daten seiner Endkunden in die Software einzugeben und durch den Auftragnehmer verarbeiten zu lassen.

(3) Der Auftraggeber ist berechtigt, Weisungen zu Art, Umfang und Verfahren der Verarbeitung zu erteilen. Weisungen erfolgen durch den Hauptvertrag, die Einstellungen und Funktionen der Software sowie ergänzend in Textform.

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrages und nach dokumentierter Weisung des Auftraggebers. Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur nach Maßgabe von § 9.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

(3) Der Auftragnehmer gewährleistet, dass die mit der Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet wurden.

(4) Der Auftragnehmer informiert den Auftraggeber unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, in Textform über jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der betroffenen Datenarten, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Gegenmaßnahmen und einen Ansprechpartner für Rückfragen.

(5) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung sowie vorherige Konsultation der Aufsichtsbehörde).

(6) Datenschutzrechtlicher Ansprechpartner des Auftragnehmers ist jan@advisorydesk.de. Soweit der Auftragnehmer gesetzlich zur Benennung eines Datenschutzbeauftragten verpflichtet ist oder wird, werden dessen Kontaktdaten dem Auftraggeber mitgeteilt.

(1) Der Auftraggeber erteilt seine allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO und stimmt der Beauftragung folgender Unterauftragnehmer zu:

• Supabase, Inc. (USA) — Datenbank, Authentifizierung und Speicherung; primäre Projektregion: Frankfurt am Main, Deutschland (AWS eu-central-1). Soweit für einzelne Verarbeitungsvorgänge eine Übermittlung in ein Drittland erfolgt, geschieht dies auf Grundlage der zwischen dem Auftragnehmer und Supabase vereinbarten Garantien, insbesondere der EU-Standardvertragsklauseln.
• Vercel, Inc. (USA) — Frontend-Hosting und CDN. Übermittlungen in die USA erfolgen auf Grundlage des EU-U.S. Data Privacy Framework sowie ergänzend der EU-Standardvertragsklauseln.
• IONOS SE (Deutschland) — Versand von E-Mails (z. B. Benachrichtigungen, System- und Beratungs-E-Mails). Verarbeitung innerhalb der EU.
• Google Ireland Ltd. / Google LLC (USA) — Adressvervollständigung (Places-Dienst) bei der Eingabe von Anschriften. Übermittlungen in die USA erfolgen auf Grundlage des EU-U.S. Data Privacy Framework sowie ergänzend der EU-Standardvertragsklauseln.

(2) Der Auftragnehmer erlegt jedem Unterauftragnehmer durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind, und bleibt dem Auftraggeber gegenüber für die Einhaltung der Pflichten durch den Unterauftragnehmer verantwortlich.

(3) Ein Wechsel oder die Hinzuziehung neuer Unterauftragnehmer wird dem Auftraggeber vorab in Textform mitgeteilt. Der Auftraggeber kann hiergegen innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen und ist die Leistungserbringung ohne den betreffenden Unterauftragnehmer nicht zumutbar, kann jede Partei den Hauptvertrag und diese Vereinbarung zum Ende der laufenden Abrechnungsperiode kündigen.

(4) Eine jeweils aktuelle Liste der eingesetzten Unterauftragnehmer wird dem Auftraggeber auf Anfrage zur Verfügung gestellt.

(1) Der Auftragnehmer hat angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit getroffen:

• Zugangs- und Zugriffskontrolle: personalisierte Benutzerkonten, rollenbasierte Berechtigungen nach dem Least-Privilege-Prinzip, zeilengenaue Absicherung der Datenbank durch Row-Level-Security (RLS) sowie besonderer Schutz privilegierter Schlüssel und sonstiger Secrets
• Mandantentrennung: logische Trennung der Daten unterschiedlicher Auftraggeber, Trennung von Test- und Produktivsystem
• Verschlüsselung: TLS-Verschlüsselung (HTTPS) bei der Übertragung, Verschlüsselung der gespeicherten Daten durch den Datenbank-Hoster, Speicherung von Passwörtern mittels eines dem Stand der Technik entsprechenden, gesalzenen Hash-Verfahrens
• Integrität / Eingabekontrolle: serverseitige Validierung von Eingaben, parametrisierte Datenbankzugriffe, sichere Ausgabe- und Renderingverfahren zur Vermeidung von Injection- und XSS-Angriffen
• Verfügbarkeit: hochverfügbare Cloud-Infrastruktur in zertifizierten Rechenzentren mit automatisierten täglichen Backups durch den Datenbank-Hoster
• Evaluation: regelmäßige Überprüfung und Aktualisierung der getroffenen Maßnahmen

(2) Der Auftragnehmer ist berechtigt, die Maßnahmen weiterzuentwickeln, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird.

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nur auf dessen dokumentierte Weisung.

(2) Nach Beendigung der Auftragsverarbeitung gibt der Auftragnehmer nach Wahl des Auftraggebers sämtliche im Auftrag verarbeiteten personenbezogenen Daten in einem gängigen Format zurück oder löscht sie, spätestens innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bestehende Kopien werden ebenfalls gelöscht. Soweit eine selektive Löschung in Sicherungskopien technisch nicht unmittelbar möglich ist, werden die betreffenden Daten gegen weitere Verarbeitung gesperrt und spätestens mit der turnusmäßigen Überschreibung der Sicherung gelöscht. Die Löschung wird auf Verlangen in Textform bestätigt.

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in dieser Vereinbarung und in Art. 28 DSGVO genannten Pflichten zur Verfügung.

(2) Der Nachweis kann durch Selbstauskünfte, Dokumentationen sowie durch Vorlage geeigneter Zertifikate oder Prüfberichte unabhängiger Instanzen erbracht werden. Soweit dies zur Erfüllung der Kontrollpflichten des Auftraggebers nicht ausreicht, ermöglicht der Auftragnehmer nach rechtzeitiger vorheriger Ankündigung und ohne unverhältnismäßige Störung des Geschäftsbetriebs Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Betriebs- und Geschäftsgeheimnisse sowie die Daten anderer Auftraggeber bleiben gewahrt.

Eine Verarbeitung personenbezogener Daten außerhalb der EU bzw. des EWR erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Als Garantien kommen insbesondere ein Angemessenheitsbeschluss, das EU-U.S. Data Privacy Framework oder die EU-Standardvertragsklauseln in Betracht. Der Auftragnehmer informiert den Auftraggeber auf Anfrage über die maßgeblichen Verarbeitungsländer und Transfermechanismen.

(1) Die Haftung des Auftragnehmers richtet sich nach den gesetzlichen Regelungen und den Haftungsbestimmungen des Hauptvertrages (AGB).

(2) Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die auf einer vom Auftraggeber zu vertretenden Verletzung dieser Vereinbarung oder geltender datenschutzrechtlicher Vorschriften beruhen, insbesondere bei fehlender Rechtsgrundlage für die Verarbeitung der von ihm eingegebenen Daten.

(1) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Bestimmungen dieser Vereinbarung in datenschutzrechtlicher Hinsicht vor.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

(3) Diese Vereinbarung kommt zustande, indem der Auftraggeber ihre Geltung im Registrierungsprozess ausdrücklich bestätigt. Der Auftragnehmer dokumentiert die angenommene Vertragsversion sowie Datum und Uhrzeit der Annahme. Die Vereinbarung wird dem Auftraggeber in dauerhaft abrufbarer Form bereitgestellt; eine physische Unterschrift ist nicht erforderlich.

(4) Es gilt das Recht der Bundesrepublik Deutschland.