Vereinbarung über die Auftragsverarbeitung

Gegenstand der Auftragsverarbeitung

1.1 Anwendungsbereich

Diese Vereinbarung über die Auftragsverarbeitung („AVV“) stellt die Vereinbarung im Sinne des Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und der Succesphire GmbH als Auftragsverarbeiter dar. Sie gilt für sämtliche Verarbeitung personenbezogener Daten, die der Anbieter im Auftrag des Kunden im Rahmen der Bereitstellung und Nutzung der Softwareplattform LegalFusion durchführt.

Die AVV gilt ausschließlich für Verarbeitungsvorgänge, bei denen der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und der Anbieter Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist.

Verarbeitet der Anbieter personenbezogene Daten zu eigenen Zwecken, insbesondere zur Vertragsverwaltung, Abrechnung, Erfüllung gesetzlicher Pflichten oder zur Gewährleistung der Sicherheit seiner Dienste, erfolgt dies außerhalb dieser AVV in eigener datenschutzrechtlicher Verantwortlichkeit.

1.2 Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der Softwareplattform LegalFusion sowie der vom Kunden genutzten Funktionen.

Die Verarbeitung erfolgt ausschließlich während der Dauer der Nutzung der Plattform durch den Kunden sowie darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten oder sonstige gesetzliche Verpflichtungen dies erfordern.

Art und Umfang der Verarbeitung

2.1 Art und Zweck

Die Verarbeitung erfolgt ausschließlich zur Bereitstellung, Durchführung und technischen Unterstützung der vom Kunden genutzten Funktionen der Softwareplattform.

Der Anbieter verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Kunden, soweit nicht gesetzliche Verpflichtungen eine hiervon abweichende Verarbeitung verlangen.

Hält der Anbieter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Kunden unverzüglich. Bis zur Klärung kann der Anbieter die Ausführung der betreffenden Weisung aussetzen.

2.2 Kategorien betroffener Personen

Je nach Nutzung der Plattform können insbesondere personenbezogene Daten folgender Personengruppen verarbeitet werden:

• Mitarbeitende des Kunden
• Ansprechpartner des Kunden
• Kunden, Lieferanten und Geschäftspartner des Kunden
• Vertragspartner des Kunden
• sonstige Personen, deren personenbezogene Daten der Kunde innerhalb der Plattform verarbeitet

2.3 Kategorien personenbezogener Daten

Je nach Nutzung der Plattform können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

• Identifikations- und Kontaktdaten
• Vertrags- und Kommunikationsdaten
• Organisations- und Unternehmensdaten
• Benutzer- und Berechtigungsinformationen
• Protokoll- und Nutzungsdaten
• Weitere personenbezogene Daten, deren Verarbeitung der Kunde im Rahmen der vertragsgemäßen Nutzung der Plattform veranlasst.

Der Kunde entscheidet eigenverantwortlich über Art, Umfang und Inhalt der von ihm verarbeiteten personenbezogenen Daten.

Der Anbieter empfiehlt, keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO zu verarbeiten, sofern dies für die Nutzung der Plattform nicht erforderlich ist.

Pflichten des Auftragsverarbeiters

3.1 Verarbeitung auf Weisung

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisungen des Kunden, sofern keine gesetzliche Verpflichtung zu einer hiervon abweichenden Verarbeitung besteht.

Gesetzliche Verpflichtungen werden dem Kunden vor der Verarbeitung mitgeteilt, soweit dies rechtlich zulässig ist.

Weisungen des Kunden müssen dokumentiert sein und sich auf die Verarbeitung personenbezogener Daten beziehen. Weisungen können insbesondere über die Funktionen der Softwareplattform, in Textform oder auf einem sonstigen nachvollziehbaren Kommunikationsweg erfolgen.

3.2 Vertraulichkeit

Der Anbieter stellt sicher, dass sämtliche mit der Verarbeitung personenbezogener Daten betrauten Personen auf Vertraulichkeit verpflichtet wurden oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

Diese Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

3.3 Technische und organisatorische Maßnahmen

Der Anbieter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Die technischen und organisatorischen Maßnahmen sind in Anlage 1 („Technische und organisatorische Maßnahmen“) beschrieben und Bestandteil dieser AVV.

Der Anbieter ist berechtigt, die technischen und organisatorischen Maßnahmen unter Berücksichtigung des technischen Fortschritts weiterzuentwickeln oder anzupassen, sofern das Schutzniveau insgesamt nicht unterschritten wird.

3.4 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung sowie der dem Anbieter zur Verfügung stehenden Informationen bei der Erfüllung der ihm nach der DSGVO obliegenden Pflichten, soweit der Anbieter hierzu nach Art. 28 DSGVO verpflichtet ist.

3.5 Datenschutzverletzungen

Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit hiervon personenbezogene Daten betroffen sind, die der Anbieter im Auftrag des Kunden verarbeitet.

Die Mitteilung erfolgt mit den dem Anbieter zu diesem Zeitpunkt verfügbaren Informationen. Der Anbieter unterstützt den Kunden im gesetzlich erforderlichen Umfang bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach Art. 33 und Art. 34 DSGVO.

Unterauftragsverarbeiter

4.1 Einsatz

Der Anbieter ist berechtigt, Unterauftragsverarbeiter gemäß Art. 28 DSGVO einzusetzen.

Der Anbieter stellt sicher, dass sämtliche Unterauftragsverarbeiter durch einen Vertrag verpflichtet werden, der den Anforderungen des Art. 28 DSGVO entspricht.

4.2 Liste der Unterauftragsverarbeiter

Die jeweils eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2 dieser AVV.

4.3 Änderungen

Der Anbieter ist berechtigt, Unterauftragsverarbeiter hinzuzufügen, auszutauschen oder abzuberufen. Über Änderungen der eingesetzten Unterauftragsverarbeiter informiert der Anbieter den Kunden vor deren Einsatz in geeigneter Weise.

Über wesentliche Änderungen informiert der Anbieter den Kunden vor dem Einsatz des jeweiligen Unterauftragsverarbeiters in geeigneter Weise.

Der Kunde kann innerhalb von vierzehn (14) Kalendertagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund Einwände in Textform erheben.

Führt der Einwand dazu, dass der Anbieter die betroffene Verarbeitung nicht mehr mit wirtschaftlich oder technisch vertretbarem Aufwand erbringen kann und erzielen die Parteien innerhalb angemessener Zeit keine Einigung, sind beide Parteien berechtigt, das Vertragsverhältnis hinsichtlich der betroffenen Leistungen entsprechend den Allgemeinen Geschäftsbedingungen zu beenden.

4.4 Verantwortlichkeit

Der Anbieter bleibt im Rahmen der gesetzlichen Vorschriften gegenüber dem Kunden für die Einhaltung der datenschutzrechtlichen Verpflichtungen seiner Unterauftragsverarbeiter verantwortlich.

4.5 Internationale Datenübermittlungen

Soweit Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stellt der Anbieter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden und eine geeignete Rechtsgrundlage für die Datenübermittlung besteht.

Nachweise, Audits sowie Löschung und Rückgabe

5.1 Nachweise

Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Verpflichtungen aus Art. 28 DSGVO nachzuweisen.

Soweit verfügbar, kann der Anbieter geeignete Nachweise, insbesondere Zertifizierungen, Prüfberichte, Sicherheitsnachweise oder vergleichbare Unterlagen, zur Verfügung stellen, sofern hierdurch keine berechtigten Sicherheits- oder Geheimhaltungsinteressen des Anbieters oder Dritter beeinträchtigt werden.

5.2 Audits

Der Kunde ist berechtigt, die Einhaltung dieser AVV im gesetzlich vorgesehenen Umfang zu überprüfen oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Dritten überprüfen zu lassen.

Der Kunde wird zur Ausübung seiner Kontrollrechte zunächst die vom Anbieter bereitgestellten Informationen und Nachweise nach Ziffer 5.1 berücksichtigen. Der Anbieter kann insbesondere geeignete Zertifizierungen, Prüfberichte, Dokumentationen oder sonstige Nachweise bereitstellen, soweit diese geeignet sind, die Einhaltung der gesetzlichen Anforderungen nachzuweisen.

Soweit die bereitgestellten Informationen und Nachweise zur Wahrnehmung der gesetzlichen Kontrollrechte des Kunden nicht ausreichen, kann der Kunde eine weitergehende Prüfung einschließlich einer Vor-Ort-Prüfung verlangen. Dies gilt insbesondere, wenn konkrete Anhaltspunkte für eine wesentliche Verletzung datenschutzrechtlicher Verpflichtungen bestehen.

Audits sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten und unter angemessener Berücksichtigung der betrieblichen Abläufe des Anbieters durchzuführen. Hiervon ausgenommen sind Fälle, in denen eine vorherige Ankündigung aufgrund zwingender gesetzlicher Anforderungen oder eines konkreten schwerwiegenden Datenschutzvorfalls nicht zumutbar ist.

Mehrere Audits innerhalb eines Kalenderjahres können nur verlangt werden, wenn hierfür ein konkreter datenschutzrechtlicher Anlass besteht.

Audits dürfen den Geschäftsbetrieb des Anbieters sowie die Vertraulichkeit und Sicherheit anderer Kunden nicht unangemessen beeinträchtigen. Der Kunde stellt sicher, dass von ihm beauftragte Prüfer vor Beginn eines Audits angemessene Vertraulichkeitsverpflichtungen eingehen.

Die eigenen Kosten des Audits trägt der Kunde. Soweit die Unterstützung des Anbieters über den zur Erfüllung seiner gesetzlichen Mitwirkungspflichten erforderlichen angemessenen Umfang hinausgeht und hierdurch erheblicher zusätzlicher Aufwand entsteht, kann dieser nach den jeweils gültigen Vergütungssätzen des Anbieters gesondert berechnet werden.

5.3 Löschung und Rückgabe personenbezogener Daten

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht oder gibt der Anbieter sämtliche im Auftrag des Kunden verarbeiteten personenbezogenen Daten nach Wahl des Kunden zurück, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

Bestehen gesetzliche Aufbewahrungspflichten oder sonstige gesetzliche Verpflichtungen zur weiteren Speicherung, wird die Verarbeitung auf den hierfür erforderlichen Umfang beschränkt. Nach Wegfall der gesetzlichen Verpflichtung werden die betreffenden personenbezogenen Daten unverzüglich gelöscht. Dies gilt nicht für Sicherungskopien oder Archivbestände, deren Löschung aus technischen Gründen nur mit unverhältnismäßigem Aufwand möglich wäre. Solche Daten werden bis zu ihrer endgültigen Löschung ausschließlich zu Sicherungs- und Wiederherstellungszwecken verarbeitet. Der Kunde kann innerhalb von 30 Tagen nach Vertragsende die Rückgabe verlangen; nach Ablauf dieser Frist werden die Daten innerhalb von 60 Tagen gelöscht.

Schlussbestimmung

6. Schlussbestimmung

Sollten einzelne Bestimmungen dieser AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Anstelle der unwirksamen oder undurchführbaren Bestimmung gilt die gesetzliche Regelung.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

1. Allgemeines

Der Anbieter trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten sicherzustellen. Die Maßnahmen werden regelmäßig überprüft und bei Bedarf unter Berücksichtigung des technischen Fortschritts angepasst.

2. Organisation und Zugriffsschutz

• Zugriff auf personenbezogene Daten erhalten ausschließlich berechtigte Personen.
• Mitarbeitende mit Zugriff auf personenbezogene Daten sind auf Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
• Die Softwareplattform verwendet individuelle Benutzerkonten (Named User) sowie ein rollenbasiertes Berechtigungskonzept.
• Die Einrichtung, Verwaltung, Änderung und Deaktivierung von Benutzerkonten sowie die technische Zuordnung von Rollen und Berechtigungen erfolgt durch den Anbieter im Rahmen des vereinbarten Lizenzumfangs. Der Kunde stellt dem Anbieter die hierfür erforderlichen Informationen bereit und informiert ihn unverzüglich über Änderungen der Nutzungsberechtigung.

3. Datensicherheit

• Personenbezogene Daten werden bei der Übertragung durch geeignete Verschlüsselungsverfahren geschützt.
• Die Verarbeitung erfolgt in professionellen Cloud-Infrastrukturen innerhalb der Europäischen Union.
• Der Anbieter setzt geeignete Maßnahmen zur Sicherstellung der Verfügbarkeit, Integrität und Vertraulichkeit der verarbeiteten Daten ein.
• Es bestehen Verfahren zur Datensicherung und Wiederherstellung im Störungsfall.

4. Mandantentrennung und Verarbeitung

• Daten verschiedener Kunden werden logisch voneinander getrennt verarbeitet.
• Der Zugriff auf Daten erfolgt ausschließlich entsprechend der jeweiligen Mandanten- und Berechtigungsstruktur.
• Die Verarbeitung personenbezogener Daten erfolgt ausschließlich im Rahmen der dokumentierten Weisungen des Kunden.

5. Betrieb und Weiterentwicklung

• Der Anbieter unterhält Prozesse zur Erkennung und Behandlung von Sicherheitsvorfällen.
• Sicherheitsrelevante Systeme werden regelmäßig gewartet und aktualisiert.
• Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird regelmäßig überprüft.
• Neue Funktionen werden unter Berücksichtigung der Grundsätze des Datenschutzes und der Informationssicherheit entwickelt.

Anlage 2 – Unterauftragsverarbeiter

Unterauftragsverarbeiter

Der Anbieter setzt zur Erbringung der Softwareplattform LegalFusion folgenden Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO ein:

• [Name des White-Label-Partners]
• Zweck der Verarbeitung: Betrieb, Bereitstellung und technische Unterstützung der Softwareplattform LegalFusion einschließlich der hierfür eingesetzten Infrastruktur und technischen Dienste
• Verarbeitungsort: [Land]

Der Unterauftragsverarbeiter ist berechtigt, zur Erbringung seiner Leistungen weitere Unterauftragsverarbeiter einzusetzen. Er stellt sicher, dass deren Einbindung den Anforderungen des Art. 28 DSGVO entspricht und informiert den Anbieter rechtzeitig über wesentliche Änderungen, soweit dies zur Erfüllung der datenschutzrechtlichen Verpflichtungen des Anbieters gegenüber seinen Kunden erforderlich ist.

Soweit der Unterauftragsverarbeiter oder von ihm eingesetzte weitere Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stellt der Unterauftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden und eine geeignete Rechtsgrundlage für die Datenübermittlung besteht.