Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

ENTWURF – anwaltlich zu prüfen, nicht rechtsverbindlich. Aufgebaut nach den Mindestinhalten des Art. 28 Abs. 3 DSGVO und orientiert an marktüblichen AVV für B2B-SaaS. Gilt als Bestandteil der AGB (§ 8) und wird mit der Bestellung bestätigt; auf Wunsch stellt der Anbieter eine unterschriebene Fassung bereit.

Verantwortlicher: der Kunde, wie in der Bestellung angegeben (Firma, Anschrift, Ansprechpartner).

Auftragsverarbeiter: Roding Software Solutions UG (haftungsbeschränkt), Schottstraße 11, 93426 Roding – Neubäu am See, vertreten durch Andreas Braun, E-Mail info@rodex-disposition.de (nachfolgend „Anbieter").

1. Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Software SUBZERT und des Moduls SubServe (Nachweisverwaltung für Subunternehmer) gemäß den AGB des Anbieters.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus Ziffer 10 (Löschung/Rückgabe) gelten darüber hinaus.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

Zweck: Erfassung, Speicherung, Fristenüberwachung, Anforderung und Auswertung von Nachweisen der Subunternehmer des Verantwortlichen; Erstellung von Berichten und Nachweisübersichten; Kommunikation mit Subunternehmern im Namen des Verantwortlichen.

Art der Verarbeitung: Speichern, Ordnen, Auslesen, Abfragen, Übermitteln an Subunternehmer (Portal-Links, Erinnerungen), automatisierte Auswertung von Firmen-Nachweisen (nur SubServe), Löschen.

Datenarten:

• Firmen- und Kontaktdaten von Subunternehmern und deren Ansprechpartnern (Name, Anschrift, E-Mail, Telefon, USt-IdNr., Steuernummer);
• Inhalte hochgeladener Firmen-Nachweise (Unbedenklichkeitsbescheinigungen, Freistellungsbescheinigungen, Versicherungsnachweise, Gewerbeanmeldungen, Handelsregisterauszüge u. ä.), die Namen und Angaben zu Personen enthalten können;
• personenbezogene Dokumente von Beschäftigten der Subunternehmer, soweit der Verantwortliche sie einstellt: Ausweiskopien, Aufenthalts- und Arbeitserlaubnisse, A1-Bescheinigungen, Qualifikations- und Unterweisungsnachweise — hierunter können besondere Kategorien (Art. 9 DSGVO, z. B. Staatsangehörigkeit als Hinweis auf ethnische Herkunft) fallen;
• Ergebnisse von Bonitäts-/Sanktionslisten-Screenings, soweit der Verantwortliche sie erfasst;
• Protokolldaten über Änderungen (handelnde Person, Zeitpunkt).

Betroffene: Inhaber, Ansprechpartner und Beschäftigte der Subunternehmer des Verantwortlichen; Beschäftigte des Verantwortlichen als Nutzer.

3. Weisungen

(1) Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Software gemäß Hauptvertrag und Leistungsbeschreibung gilt als Weisung. Weitergehende Weisungen erteilt der Verantwortliche in Textform.

(2) Der Anbieter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt; er darf die Ausführung bis zur Bestätigung aussetzen.

(3) Eine Verarbeitung für eigene Zwecke des Anbieters findet nicht statt. Insbesondere werden Inhalte des Verantwortlichen nicht zum Training von KI-Modellen verwendet — weder durch den Anbieter noch durch dessen Unterauftragsverarbeiter (Ziffer 6).

4. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO), und beschränkt den Zugriff auf das für die Leistungserbringung Erforderliche.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen und entwickelt sie entsprechend dem Stand der Technik fort. Wesentliche Änderungen, die das Schutzniveau senken würden, sind ausgeschlossen.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO):

(2) Der Anbieter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem die gleichen Datenschutzpflichten auferlegt wie diesem AVV, und bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

(3) Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Anbieter den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen; kommt keine einvernehmliche Lösung zustande, kann jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(4) Stripe (Zahlungsabwicklung) verarbeitet ausschließlich Daten des Verantwortlichen selbst als eigenständig Verantwortlicher und ist kein Unterauftragsverarbeiter im Sinne dieses AVV.

7. Unterstützung des Verantwortlichen

(1) Der Anbieter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–22 DSGVO). Die Software stellt hierfür einen vollständigen Datenexport (Art. 15, 20), Berichtigungs- und Löschfunktionen bereit; darüber hinausgehende Unterstützung erfolgt gegen angemessene Vergütung nach Aufwand.

(2) Anfragen Betroffener, die den Anbieter direkt erreichen, leitet er unverzüglich an den Verantwortlichen weiter, ohne sie selbst zu beantworten.

(3) Der Anbieter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der ihm verfügbaren Informationen.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung in Textform an die im Konto hinterlegte Administrator-Adresse, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie ihm vorliegen; fehlende Angaben reicht er unverzüglich nach.

9. Nachweis und Kontrolle

(1) Der Anbieter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 1) und auf Anfrage die Ergebnisse von Selbstprüfungen.

(2) Der Verantwortliche kann nach angemessener Ankündigung (mindestens vier Wochen) und zu den üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, höchstens einmal jährlich, sofern nicht ein konkreter Anlass (z. B. Datenschutzverletzung, behördliche Anordnung) eine weitere Prüfung erfordert. Der Anbieter kann für Prüfungen ohne Anlass einen angemessenen Aufwandsersatz verlangen.

10. Löschung und Rückgabe nach Vertragsende

(1) Nach Ende des Hauptvertrags stehen dem Verantwortlichen die Daten 30 Tage lang zum Export über die Anwendung zur Verfügung.

(2) Danach löscht der Anbieter alle personenbezogenen Daten des Verantwortlichen einschließlich hochgeladener Dokumente und Sicherungskopien innerhalb der in § 11 der AGB genannten Fristen (Vormerkung 30 Tage, Sicherungen spätestens 35 Tage danach), sofern keine gesetzliche Aufbewahrungspflicht des Anbieters besteht. Die Löschung wird auf Anfrage in Textform bestätigt.

11. Ort der Verarbeitung, Drittlandübermittlung

Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in ein Drittland erfolgt ausschließlich im Rahmen der KI-Auswertung bei gebuchtem SubServe-Modul (Ziffer 6) auf Grundlage der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) und, soweit die Anbieter zertifiziert sind, des EU-US Data Privacy Framework. Personendokumente und Daten besonderer Kategorien werden systemseitig von dieser Übermittlung ausgeschlossen.

12. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach § 10 der AGB.

13. Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV vor, soweit sie den Datenschutz betreffen. Es gilt deutsches Recht; Gerichtsstand ist Regensburg (§ 14 AGB). Änderungen bedürfen der Textform.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Betrieb im Rechenzentrum des Hosters mit Zutrittskontrolle; keine lokalen Server beim Anbieter.
• Zugang: Zugriff auf Server ausschließlich per SSH mit Schlüssel (kein Passwort-Login), Betreiberkonsole mit Zwei-Faktor-Anmeldung, Rate-Limiting gegen Anmeldeversuche.
• Zugriff: rollenbasierte Rechte (Administrator/Prüfer), strikte Mandantentrennung — jede Datenbankabfrage ist an das Kundenkonto gebunden; regelmäßige automatisierte Fremdzugriffsprüfung.
• Verschlüsselung: Transport ausschließlich über TLS. Hochgeladene Dokumente werden einzeln mit AES-256-GCM verschlüsselt gespeichert (Envelope-Verschlüsselung, Schlüssel getrennt von den Daten, an Konto und Akte gebunden). Felder mit Daten besonderer Kategorien werden zusätzlich feldweise verschlüsselt. Sicherungen sind verschlüsselt.
• Trennung: getrennte Umgebungen für Entwicklung und Produktion; Testdaten sind erfunden.

Integrität

• Manipulationsgeschütztes Aktionsprotokoll (verkettete Hashes) je Kundenkonto.
• Signierte Sitzungstoken, signierte Lizenzschlüssel, Signaturprüfung eingehender Zahlungsmeldungen.
• Inhaltsrichtlinie (CSP) mit Einmalkennung gegen eingeschleusten Code; Sicherheitsheader nach Stand der Technik.

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Sicherung von Datenbank und Dokumenten, Aufbewahrung getrennt vom Produktivsystem; Wiederherstellung wird regelmäßig geprobt.
• Überwachung des Betriebszustands (Datenbank, Speicherplatz, Sicherungsalter, Mailversand, Schlüssel) mit automatischer Benachrichtigung.
• Dienste unter systemd mit automatischem Neustart; Härtung der Dienste (eingeschränkte Dateisystem- und Prozessrechte).

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Prüfläufe (über 1.000 Zusicherungen) vor jeder Auslieferung, darunter Fremdzugriffs-, Verschlüsselungs- und Sicherheitsprüfungen.
• Wiederherstellungsprobe der Sicherung mindestens vierteljährlich.
• Prüfung der Unterauftragsverarbeiter und ihrer Verträge bei jeder Änderung.