Auftragsverarbeitung

Wofür dieses Dokument da ist. Es ist die Erlaubnis, mit den personenbezogenen Daten des Kunden überhaupt zu arbeiten. Ohne einen solchen Vertrag ist der Betrieb rechtswidrig, und zwar auf beiden Seiten — beim Kunden, weil er ohne Vertrag keinen Auftragsverarbeiter einsetzen darf, und bei uns, weil wir ohne Auftrag keine Rechtsgrundlage haben.

dem Kunden — nachfolgend „Verantwortlicher"

Firma, Anschrift und vertretungsberechtigte Person ergeben sich aus den Stammdaten des Kunden im improwe workspace zum Zeitpunkt der Zustimmung.

und

der Improwe Systems GmbH, Grottenberg 9, 86929 Penzing, eingetragen beim Amtsgericht Augsburg unter HRB 43053, vertreten durch den Geschäftsführer Martin Bergmann — nachfolgend „Auftragsverarbeiter"

1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen den improwe workspace bereit — eine Plattform aus mehreren Anwendungen (§ 3.2) — und verarbeitet dabei personenbezogene Daten ausschließlich in dessen Auftrag.

1.2 Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung. Er steht dafür ein, dass er die Daten erheben und verarbeiten darf, dass er die betroffenen Personen nach Art. 13/14 DSGVO informiert hat und dass eine Rechtsgrundlage besteht.

1.3 — Zwei Rollen, und der Kunde muss wissen, welche er hat. Der improwe workspace kennt Partner, die eigene Kunden-Mandanten anlegen und betreuen. Daraus folgen zwei verschiedene Rechtslagen:

Welche Rolle gilt, wird am Kunden hinterlegt und ist Teil der Zustimmung. Sie ist keine Formalie: im zweiten Fall muss der Partner seinerseits von seinen Kunden zur Einschaltung eines Unterauftragsverarbeiters ermächtigt sein und ihnen Änderungen dieses Vertrags und der Liste weiterer Auftragsverarbeiter weiterreichen. Der Auftragsverarbeiter tritt in kein Vertragsverhältnis zu den Kunden des Partners.

1.4 — Keine Verarbeitung für eigene Zwecke. Der Auftragsverarbeiter gibt die Daten nicht weiter, nutzt sie nicht zum Training oder zur Verbesserung von KI-Modellen (§ 6) und verwendet sie nicht für eigene Werbung — auch nicht, um Beschäftigten oder Kunden des Verantwortlichen andere Produkte anzubieten. Daten verschiedener Kunden werden nicht zusammengeführt.

1.5 — Eine einzige Ausnahme: anonyme Auswertungen. Der Verantwortliche gestattet dem Auftragsverarbeiter, aus den Daten anonyme, zusammengefasste Kennzahlen zu bilden und zeitlich unbegrenzt zu nutzen — zur Weiterentwicklung der Software und für Vergleichswerte.

Diese Erlaubnis ist nötig, weil bereits der Vorgang des Anonymisierens eine Verarbeitung ist. Sie ist an drei Bedingungen gebunden:

1. Unwiderruflich. Der Personenbezug wird entfernt, nicht ersetzt.
2. Keine kleinen Gruppen. Kennzahlen werden nicht ausgegeben, wenn die zugrunde liegende Gruppe so klein ist, dass eine einzelne Person erkennbar würde. In den Team-Auswertungen ist diese Mindestgröße technisch erzwungen, nicht nur zugesagt.
3. Keine Identifikationsmerkmale. Namen, Anschriften, Bankverbindungen, Personaldokumente und Freitextfelder fließen nicht ein.

Ist das Ergebnis anonym, unterliegt es nicht mehr der Verordnung (Erwägungsgrund 26) und bleibt vom Ende dieses Vertrags unberührt. Der Verantwortliche kann dieser Nutzung jederzeit mit Wirkung für die Zukunft widersprechen.

1.6 — Was NICHT Gegenstand dieses Vertrags ist. Für Konto-, Vertrags- und Abrechnungsdaten (Anmeldung, Rechnungsstellung, Support-Anfragen) sowie für die eigene Website des Auftragsverarbeiters ist dieser selbst Verantwortlicher. Die Abgrenzung im Einzelnen steht in der Datenschutzerklärung.

Dieser Vertrag beginnt mit der Zustimmung und läuft, solange der Verantwortliche den improwe workspace nutzt. Er endet mit dem Hauptvertrag; die Pflichten aus §§ 8 und 9 gelten darüber hinaus.

3.1 Zweck. Betrieb der vom Verantwortlichen gebuchten Anwendungen des improwe workspace samt der dafür nötigen Identitäts-, Rechte- und Mandantenverwaltung.

3.2 Anwendungen und die Datenarten, die dort tatsächlich anfallen. Verarbeitet wird nur, was der Verantwortliche einbringt oder was in den von ihm gebuchten Anwendungen entsteht:

3.3 Dauer der Verarbeitung. Für die Dauer des Vertrags; danach nach § 9.

4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform an die im Impressum genannte Adresse; die Bedienung der Anwendung durch berechtigte Personen des Verantwortlichen gilt als Weisung.

4.2 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt. Er darf die Ausführung bis zur Klärung aussetzen.

4.3 Ist der Auftragsverarbeiter unionsrechtlich oder mitgliedstaatlich zur Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vorher, sofern das Gesetz dies nicht verbietet.

Dieser Abschnitt steht hier, weil die Plattform solche Daten tatsächlich führt — nicht vorsorglich. Er ist der Abschnitt, den beide Seiten am genauesten lesen sollten.

4a.1 Wo sie anfallen. In Orbit, im Personalmodul:

Die letzte Zeile entsteht auch ohne Eingabe im improwe workspace: Sie wird aus der Zeiterfassung des Verantwortlichen übernommen, sobald dieser die Verbindung dorthin einrichtet (Absatz 7.6) — mit dem regelmäßigen Abgleich, ohne dass jemand etwas eingibt.

4a.2 Rechtsgrundlage ist Sache des Verantwortlichen. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich im Auftrag. Der Verantwortliche steht dafür ein, dass eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt — im Regelfall § 26 Abs. 3 BDSG für Zwecke des Beschäftigungs­verhält­nisses.

4a.3 Zusätzliche Maßnahmen. Für diese Daten gelten über § 6 hinaus:

• Ein eigenes Recht. Der Zugriff auf Personal- und Lohndaten hängt an gesonderten Rechten; wer allgemeine Rechte in Orbit hält, sieht sie dadurch nicht.
• Zugriffe werden protokolliert. Jeder Abruf von Personal-, Lohn- oder Zugangsdaten durch eine andere Person hinterlässt eine Zeile mit Zeitpunkt, handelnder Person und betroffenem Datensatz. Der Blick in die eigenen Daten wird bewusst nicht protokolliert.
• Keine KI-Verarbeitung. Daten nach diesem Abschnitt werden nicht an das Sprachmodell übergeben (§ 6.4).

5.1 Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.2 Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

5.3 Der Zugang von Beschäftigten des Auftragsverarbeiters zu Daten des Verantwortlichen ist auf das für Betrieb und Fehlerbehebung Erforderliche beschränkt.

Dieser Abschnitt ist neu gegenüber üblichen Mustern und steht bewusst nicht im Kleingedruckten.

6.1 Wo KI eingesetzt wird. In mehreren Anwendungen unterstützen Sprachmodelle bestimmte Arbeitsschritte — Belegerkennung, Extraktion von Teilnehmerlisten, Textentwürfe, Auswertungs­hilfen und ein Hilfe-Assistent. Welche Anwendung welche Funktion nutzt, steht in der Datenschutzerklärung je Anwendung.

6.2 Wohin die Daten gehen. Ausschließlich an Vertex AI der Google Cloud, verarbeitet in Frankfurt am Main (Region europe-west3), unter dem Google Cloud Data Processing Addendum — demselben Vertrag und demselben Ort wie Server und Datenbanken. Die Anmeldung erfolgt über das Dienstkonto der Anwendung, nicht über einen allgemein zugänglichen Zugangsschlüssel; die Regionsbindung ist dadurch technisch wirksam und nicht bloß konfiguriert.

6.3 Kein Training. Die übergebenen Daten werden nicht zum Training oder zur Verbesserung von Modellen verwendet. Das ist Bestandteil des mit Google geschlossenen Vertrags.

6.4 Was nicht übergeben wird. Daten nach § 4a (besondere Kategorien) sowie Bankverbindungen, Steuer- und Sozialversicherungsnummern werden nicht an das Modell übergeben.

6.5 Was der Verantwortliche wissen muss. Bei der Belegerkennung wird das hochgeladene Bild selbst übergeben, damit Betrag, Datum und Aussteller ausgelesen werden können — und auf einem Beleg steht regelmäßig mehr als das. Bei der Extraktion von Teilnehmerlisten werden Klarnamen übergeben. Beide Funktionen sind abschaltbar; der Verantwortliche entscheidet, ob er sie nutzt.

7.1 Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zur Einschaltung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Zeitpunkt der Zustimmung eingesetzten sind in Anlage 1 aufgeführt.

7.2 Anlage 1 unterscheidet zwischen Auftragsverarbeitern, die immer eingesetzt werden, und solchen, die nur bei Nutzung einer bestimmten Anwendung oder Funktion hinzukommen. Wer die Funktion nicht nutzt, für den findet die Verarbeitung nicht statt.

7.3 Änderungen. Der Auftragsverarbeiter teilt die beabsichtigte Hinzuziehung oder Ersetzung mindestens 14 Tage vorher mit. Der Verantwortliche kann innerhalb dieser Frist ab Zugang aus wichtigem, datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann der Auftragsverarbeiter den Vertrag hinsichtlich der betroffenen Leistung mit angemessener Frist kündigen; ein Recht zur außerordentlichen Kündigung des Verantwortlichen bleibt unberührt.

7.4 Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter auf Pflichten, die den hier vereinbarten entsprechen, und haftet für dessen Verhalten wie für eigenes.

7.5 Nicht als weitere Auftragsverarbeitung gelten Nebenleistungen ohne Zugriff auf personenbezogene Daten (etwa Telekommunikation oder Wartung von Sachmitteln).

7.6 — Die eigenen Systeme des Verantwortlichen sind keine weiteren Auftragsverarbeiter.

Der Verantwortliche kann den improwe workspace anweisen, seine eigenen Systeme anzusprechen — seine Zeiterfassung, seine Buchhaltung, seinen Kalender, seinen Dateispeicher. Er richtet die Verbindung ein und hinterlegt dafür seine Zugangsdaten.

Diese Anbieter sind keine weiteren Auftragsverarbeiter des Auftragsverarbeiters, und zwar aus einem zwingenden Grund: Nach Absatz 7.4 müsste der Auftragsverarbeiter sie auf entsprechende Pflichten verpflichten und für sie einstehen. Zu einem Anbieter, mit dem er keinen Vertrag hat und den er nicht ausgewählt hat, kann er das nicht — die Zusage wäre nicht einlösbar. Sie in Anlage 1 aufzuführen, hätte genau eine solche Zusage erzeugt.

Es gilt daher:

• Der Verantwortliche unterhält das Vertragsverhältnis zu diesen Anbietern, einschließlich eines eigenen Auftragsverarbeitungsvertrags, und nennt sie in seiner Datenschutzerklärung.
• Der Auftragsverarbeiter greift auf diese Systeme ausschließlich auf Weisung (Absatz 4.1) und ausschließlich mit den vom Verantwortlichen hinterlegten Zugangsdaten zu. Die Weisung wird durch das Einrichten der Verbindung erteilt und durch das Trennen zurückgenommen.
• Für die Daten, die dabei in den improwe workspace gelangen, gilt dieser Vertrag unverändert — einschließlich § 4a, soweit besondere Kategorien darunter sind.

Maßgeblich ist, wessen Konto eine Verbindung nutzt, nicht welcher Anbieter dahintersteht: Läuft eine Verbindung über ein Konto des Auftragsverarbeiters, ist der Anbieter weiterer Auftragsverarbeiter und steht in Anlage 1.

8.1 Rechte betroffener Personen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst. Er unterstützt den Verantwortlichen mit angemessenen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

8.2 Datenschutzverletzungen (Art. 33/34). Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl betroffener Personen, wahrscheinliche Folgen und getroffene Maßnahmen. Die Frist ist kürzer als die 72 Stunden des Art. 33 Abs. 1, weil diese für den Verantwortlichen laufen und er sie sonst nicht halten kann — meldeten wir ihm nach 60 Stunden, blieben ihm zwölf.

Für diese Zusage besteht ein festgelegtes Verfahren mit benannten Zuständigkeiten; es wird auf Anfrage vorgelegt.

8.3 Datenschutz-Folgenabschätzung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Folgenabschätzungen und vorherigen Konsultationen, soweit die Informationen nur ihm vorliegen.

8.4 Kosten. Unterstützungsleistungen, die über den gewöhnlichen Umfang hinausgehen und nicht auf einem Verschulden des Auftragsverarbeiters beruhen, werden nach Aufwand vergütet.

9.1 Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie zurück — nach Wahl des Verantwortlichen.

9.2 Herausgabe vor der Löschung. Der Verantwortliche kann bis 30 Tage nach Vertragsende die Herausgabe in einem gängigen, maschinenlesbaren Format verlangen. Danach werden die Daten gelöscht.

9.3 Ausnahme. Daten, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere Rechnungen — bleiben erhalten; ihre Verarbeitung wird auf die Aufbewahrung beschränkt.

9.4 Sicherungskopien. Daten in Sicherungskopien werden nicht gesondert gelöscht, sondern laufen mit dem Sicherungszyklus aus. Bis dahin werden sie nicht mehr verarbeitet.

9.5 Nachweis. Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind — insbesondere die jeweils geltende Fassung der Anlage 2 (technische und organisatorische Maßnahmen).

10.2 Der Verantwortliche kann Überprüfungen durchführen oder durchführen lassen. Sie sind mit angemessener Frist anzukündigen, auf den Betrieb Rücksicht zu nehmen und dürfen die Vertraulichkeit gegenüber anderen Kunden nicht gefährden. Prüfer, die zum Auftragsverarbeiter im Wettbewerb stehen, kann dieser aus wichtigem Grund ablehnen.

10.3 Vorrangig erfolgt der Nachweis durch Auskunft, Dokumentation oder — sobald vorliegend — durch Berichte unabhängiger Stellen.

Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Hauptvertrags. Im Verhältnis der Parteien untereinander trägt jede Partei den Anteil, der ihrem Verantwortungsbeitrag entspricht.

12.1 Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

12.2 Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

12.3 Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit zulässig.

• Anlage 1 — Weitere Auftragsverarbeiter. Wird gesondert geführt und fortgeschrieben; Änderungen nach § 7.3.
• Anlage 2 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Beide Anlagen sind Bestandteil dieses Vertrags.