Auftrags­verarbeitungs­vertrag

§Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") regelt die datenschutzrechtliche Beziehung zwischen dem Kunden (nachfolgend „Verantwortlicher") und der Optigin Technologies GmbH, Stuttgarter Straße 100, 70469 Stuttgart (nachfolgend „Auftragsverarbeiter") im Rahmen der Nutzung der Optigin-Plattform.

Der AVV ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags (Servicevereinbarung, Nutzungsbedingungen oder individueller Vertrag) und konkretisiert die datenschutzrechtlichen Verpflichtungen beider Parteien gemäß Art. 28 DSGVO.

Durch die Nutzung der Optigin-Dienste stimmt der Verantwortliche den Bedingungen dieses AVV zu. Für Unternehmenskunden besteht die Möglichkeit, einen individuell verhandelten AVV abzuschließen.

§ 1Gegenstand und Laufzeit

(1) Gegenstand der Auftragsverarbeitung ist die Erbringung der im Hauptvertrag beschriebenen Leistungen durch den Auftragsverarbeiter, die die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen umfassen.

(2) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit Beendigung des Hauptvertrags, soweit sich aus den nachfolgenden Regelungen nichts anderes ergibt.

(3) Die Auftragsverarbeitung findet ausschließlich im Gebiet der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR) statt, es sei denn, es liegt eine ausdrückliche schriftliche Genehmigung des Verantwortlichen vor oder eine der in Art. 49 DSGVO genannten Ausnahmen greift.

§ 2Art und Zweck der Verarbeitung

(1) Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter ergeben sich aus dem Hauptvertrag und sind in Anlage 1 zu diesem AVV detailliert beschrieben.

(2) Eine Verarbeitung der Daten zu anderen als den in Anlage 1 festgelegten Zwecken ist dem Auftragsverarbeiter untersagt, sofern keine ausdrückliche schriftliche Weisung des Verantwortlichen vorliegt.

§ 3Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Gegenstand der Verarbeitung sind die in Anlage 1 bezeichneten Kategorien personenbezogener Daten.

(2) Die betroffenen Personengruppen ergeben sich ebenfalls aus Anlage 1. Es handelt sich um Kunden, Interessenten, Beschäftigte und Geschäftspartner des Verantwortlichen sowie Personen, mit denen der Verantwortliche im Rahmen seiner Geschäftstätigkeit kommuniziert.

(3) Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten, biometrische Daten) werden nur verarbeitet, soweit der Verantwortliche hierzu ausdrücklich Weisung erteilt und die gesetzlichen Voraussetzungen für deren Verarbeitung vorliegen.

§ 4Pflichten des Verantwortlichen

(1) Der Verantwortliche ist allein für die Zulässigkeit der Datenverarbeitung im Verhältnis zu den betroffenen Personen verantwortlich und stellt sicher, dass die Verarbeitung auf einer geeigneten Rechtsgrundlage beruht.

(2) Der Verantwortliche unterrichtet den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

(3) Weisungen erteilt der Verantwortliche grundsätzlich schriftlich oder in Textform. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Der Auftragsverarbeiter ist berechtigt, Weisungen auf ihre datenschutzrechtliche Zulässigkeit zu prüfen und deren Ausführung zu verweigern, wenn sie gegen geltendes Datenschutzrecht verstoßen.

§ 5Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Verantwortlichen ausschließlich im Rahmen der erteilten Weisungen und gemäß den Bestimmungen dieses AVV.

(2) Der Auftragsverarbeiter benennt einen Ansprechpartner für den Verantwortlichen in datenschutzrechtlichen Angelegenheiten und stellt sicher, dass eine Kontaktaufnahme jederzeit möglich ist.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldepflicht, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn eine erteilte Weisung nach seiner Einschätzung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt.

§ 6Weisungen

(1) Weisungen des Verantwortlichen sind für den Auftragsverarbeiter bindend. Der Auftragsverarbeiter handelt nur auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung entgegensteht.

(2) Sofern der Auftragsverarbeiter der Auffassung ist, dass eine Weisung gegen die DSGVO oder anwendbares Datenschutzrecht verstößt, teilt er dies dem Verantwortlichen unverzüglich mit.

(3) Standardkonfigurationen der Optigin-Plattform gelten als dauerhafte Weisungen im Sinne dieser Klausel. Individuelle Weisungen des Verantwortlichen haben Vorrang vor Standardkonfigurationen.

(4) Der Auftragsverarbeiter führt ein Verzeichnis aller wesentlichen Weisungen des Verantwortlichen.

§ 7Vertraulichkeit

(1) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu personenbezogenen Daten des Verantwortlichen haben, zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Diese Vertraulichkeitspflicht besteht auch nach Beendigung des AVV fort. Der Auftragsverarbeiter überprüft regelmäßig, dass die Vertraulichkeitsverpflichtungen seiner Mitarbeiter und Unterauftragsverarbeiter eingehalten werden.

§ 8Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, insbesondere:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten (AES-256, TLS 1.3)
• Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste
• Wiederherstellbarkeit von Verfügbarkeit und Zugang nach Zwischenfällen (RTO < 4h, RPO < 1h)
• Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen

(2) Der Auftragsverarbeiter ist berechtigt, die TOMs an neue technische und organisatorische Gegebenheiten anzupassen, sofern das Schutzniveau nicht unterschritten wird und der Verantwortliche rechtzeitig informiert wird.

(3) Auf Anfrage stellt der Auftragsverarbeiter dem Verantwortlichen aktuelle Informationen über die implementierten TOMs zur Verfügung.

§ 9Unterauftragsverarbeitung

(1) Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter einzusetzen. Die derzeit eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen der Unterauftragsverarbeiter (Hinzufügung oder Ersetzung) mit einer Frist von mindestens 30 Tagen. Der Verantwortliche kann Änderungen aus berechtigten datenschutzrechtlichen Gründen innerhalb von 14 Tagen schriftlich widersprechen.

(3) Der Auftragsverarbeiter verpflichtet alle Unterauftragsverarbeiter vertraglich zu Datenschutzverpflichtungen, die mindestens den Anforderungen dieses AVV entsprechen.

§ 10Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht, Anträge auf Wahrnehmung der Betroffenenrechte zu beantworten.

(2) Stellt eine betroffene Person einen Antrag auf Wahrnehmung ihrer Rechte direkt beim Auftragsverarbeiter, leitet dieser den Antrag unverzüglich — spätestens innerhalb von drei Werktagen — an den Verantwortlichen weiter, ohne den Antrag selbst zu beantworten.

(3) Notwendige Maßnahmen zur Unterstützung bei der Ausübung von Betroffenenrechten sind innerhalb der gesetzlichen Fristen durchzuführen.

§ 11Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Meldepflichten gemäß Art. 33 und 34 DSGVO. Bei Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich — sofern möglich innerhalb von 24 Stunden nach Bekanntwerden.

(2) Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und -mengen, betroffene Personengruppen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

(3) Meldungen sind an die vom Verantwortlichen benannte Kontaktadresse zu richten. Meldungen des Auftragsverarbeiters ersetzen nicht die eigene Meldepflicht des Verantwortlichen gegenüber der zuständigen Aufsichtsbehörde.

§ 12Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags oder auf ausdrückliche Weisung des Verantwortlichen löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt diese in einem gängigen, maschinenlesbaren Format zurück — nach Wahl des Verantwortlichen.

(2) Die Löschung erfolgt sicher und unwiederbringlich. Der Auftragsverarbeiter bestätigt die vollständige Löschung schriftlich. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

(3) Dem Verantwortlichen steht nach Vertragsbeendigung ein Datenexportzeitraum von mindestens 30 Tagen zu.

§ 13Nachweis und Kontrolle

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem AVV geregelten Pflichten zur Verfügung.

(2) Der Verantwortliche ist berechtigt, Kontrollen der Einhaltung der datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter durchzuführen oder durch einen beauftragten Dritten durchführen zu lassen. Kontrollen sind mit einer Vorankündigungsfrist von mindestens 4 Wochen anzukündigen und auf das datenschutzrechtlich Erforderliche zu beschränken.

(3) An Stelle einer Vor-Ort-Kontrolle kann der Auftragsverarbeiter aktuelle Zertifikate, Testate oder Berichte anerkannter Prüfstellen (z. B. ISO 27001, SOC 2 Type II) vorlegen. Der Verantwortliche akzeptiert diese als gleichwertigen Nachweis.

§ 14Haftung

(1) Die Haftung der Parteien richtet sich nach den gesetzlichen Regelungen der DSGVO sowie den Haftungsregelungen des Hauptvertrags.

(2) Im Innenverhältnis haftet der Auftragsverarbeiter dem Verantwortlichen gegenüber nur, soweit er seine Pflichten aus diesem AVV schuldhaft verletzt hat. Hat der Verantwortliche durch Weisungen zur Entstehung eines Schadens beigetragen, wird die Haftung entsprechend dem Verursachungsbeitrag gemindert.

(3) Der Auftragsverarbeiter haftet nicht für Schäden, die auf pflichtwidrigen Weisungen des Verantwortlichen beruhen.

§ 15Sonstiges

(1) Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Stuttgart.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform oder der Textform (E-Mail). Mündliche Nebenabreden bestehen nicht.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung ist durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

A1Anlage 1 — Beschreibung der Verarbeitung

A2Anlage 2 — Technische und organisatorische Maßnahmen (TOMs)

Die detaillierten TOMs sind in § 8 dieses AVV beschrieben. Zusätzlich gilt:

• Zutrittskontrolle: Physisch gesicherte Rechenzentren mit biometrischer Zugangskontrolle, Videoüberwachung und Sicherheitspersonal
• Zugangskontrolle: Passwortrichtlinien, MFA, automatische Sitzungstrennung nach Inaktivität
• Zugriffskontrolle: RBAC, Berechtigungskonzepte, regelmäßige Berechtigungsreviews
• Trennungskontrolle: Mandantentrennung durch logische und technische Isolation, getrennte Datenbankinstanzen
• Weitergabekontrolle: Verschlüsselte Übertragung, keine unkontrollierte Weitergabe an Dritte
• Eingabekontrolle: Protokollierung aller Systemzugriffe und Datenmanipulationen im Audit-Log
• Auftragskontrolle: Vertragliche Bindung aller Unterauftragsverarbeiter an mindestens gleichwertige TOMs
• Verfügbarkeitskontrolle: Georedundante Backups, automatisiertes Failover, 99,9 % Verfügbarkeits-SLA

A3Anlage 3 — Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden derzeit eingesetzt:

Alle Unterauftragsverarbeiter sind vertraglich zur Einhaltung der DSGVO und mindestens der in Anlage 2 genannten TOMs verpflichtet. Änderungen werden gemäß § 9 Abs. 2 dieses AVV kommuniziert.

→Kontakt und AVV-Abschluss

Um diesen Auftragsverarbeitungsvertrag individuell abzuschließen oder Fragen zum Datenschutz zu stellen, wenden Sie sich an: