Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Verantwortlicher ist der im Angebot bezeichnete Kunde („Auftraggeber“). Auftragsverarbeiter ist Codaiq LTD, 71–75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom („Auftragnehmer“). Dieser AVV gilt, soweit der Auftragnehmer im Rahmen der vereinbarten GrowthAIQ-Leistungen personenbezogene Daten im Auftrag verarbeitet.

2. Dauer, Art und Zweck

Die Verarbeitung dauert für die Laufzeit des Hauptvertrags zuzüglich geordneter Rückgabe- und Löschfristen. Art und Zweck umfassen – je nach Auftrag – Hosting, Entwicklung, Wartung, Automatisierung, Analyse, CRM-/Workflow-Integration, KI-gestützte Verarbeitung, Support sowie Bereitstellung des Kundenportals.

3. Daten und betroffene Personen

Mögliche Datenarten: Stamm- und Kontaktdaten, Kommunikations- und Inhaltsdaten, Vertrags- und Abrechnungsdaten, Nutzungs-, Geräte- und Protokolldaten, CRM-, Marketing-, Support- und Prozessdaten. Betroffene können Beschäftigte, Kunden, Interessenten, Lieferanten, Partner und Nutzer des Auftraggebers sein. Besondere Kategorien werden nur verarbeitet, wenn im Auftrag ausdrücklich vereinbart und zusätzlich abgesichert.

4. Weisungen

Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen in Drittländer, sofern keine gesetzliche Pflicht entgegensteht. Hauptvertrag, Konfigurationen und Supportanweisungen gelten als dokumentierte Weisungen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber und kann die Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet und erhalten nur den für ihre Aufgabe notwendigen Zugriff.

6. Technische und organisatorische Maßnahmen

• verschlüsselte Übertragung und angemessene Verschlüsselung gespeicherter Daten, soweit verfügbar
• rollenbasierte Zugriffe, Mandantentrennung und Prinzip der geringsten Rechte
• sichere Authentifizierung und Schutz administrativer Zugänge
• Protokollierung sicherheitsrelevanter Ereignisse und kontrollierter Umgang mit Geheimnissen
• Wiederherstellungs-, Änderungs- und Schwachstellenmanagement
• Datenminimierung, Löschkonzepte und kontrollierte Testdaten
• Verfahren zur regelmäßigen Prüfung der Maßnahmen

Die konkreten Maßnahmen werden nach Risiko, Stand der Technik und Projektarchitektur angepasst, ohne das vereinbarte Schutzniveau zu unterschreiten.

7. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die unter Unterauftragsverarbeiter aufgeführten Dienste allgemein. Über neue wesentliche Unterauftragsverarbeiter informieren wir mindestens 14 Tage vor Einsatz, soweit dies praktisch möglich ist. Der Auftraggeber kann aus begründeten Datenschutzgründen widersprechen. Unterauftragsverarbeiter werden zu im Wesentlichen gleichwertigen Pflichten verpflichtet.

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden und Nachweisen zur Sicherheit, soweit die Informationen bei ihm verfügbar sind. Zusatzaufwand außerhalb der geschuldeten Leistung kann zu den vereinbarten Sätzen berechnet werden, sofern der Anlass nicht vom Auftragnehmer zu vertreten ist.

9. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes auftragsverarbeiteter personenbezogener Daten und stellt verfügbare Informationen zu Art, Umfang, Folgen und Abhilfemaßnahmen bereit. Er trifft unverzüglich angemessene Eindämmungs- und Untersuchungsmaßnahmen.

10. Nachweise und Audits

Der Auftragnehmer stellt erforderliche Informationen zum Nachweis der Pflichten bereit. Audits sollen zunächst durch Dokumente oder unabhängige Nachweise erfolgen. Vor-Ort-Prüfungen sind mit angemessener Frist, während Geschäftszeiten, ohne Beeinträchtigung anderer Kunden und unter Vertraulichkeit zulässig. Kosten trägt der Auftraggeber, außer das Audit zeigt einen wesentlichen vom Auftragnehmer zu vertretenden Verstoß.

11. Internationale Übermittlungen

Übermittlungen außerhalb des EWR oder Vereinigten Königreichs erfolgen nur mit zulässigem Transfermechanismus, insbesondere Angemessenheitsbeschluss, EU-Standardvertragsklauseln mit UK Addendum oder gleichwertigen Garantien. Ergänzende Schutzmaßnahmen werden risikobasiert eingesetzt.

12. Rückgabe und Löschung

Nach Ende der Leistungen gibt der Auftragnehmer personenbezogene Daten nach Wahl des Auftraggebers zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im regulären Löschzyklus überschrieben und bis dahin geschützt und nicht anderweitig verarbeitet.

13. Vorrang und Haftung

Bei Widerspruch zu Datenschutzfragen geht dieser AVV dem Hauptvertrag vor. Im Übrigen gelten Haftungsregelungen des Hauptvertrags, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.

Anlage: projektspezifische Angaben

Konkrete Systeme, Datenfelder, Löschfristen, Empfänger, besondere Risiken und ergänzende Maßnahmen werden im jeweiligen Angebot, Statement of Work oder einer zusätzlichen Anlage dokumentiert.