Die Anbieterangaben sind noch nicht vollständig. Markierte Felder im Admin unter „⚖️ Rechtstexte“ ergänzen.

Vertrag über die Auftragsverarbeitung

nach Art. 28 DSGVO · Anlage zu den AGB der SchadenGutachten.App · Fassung · gültig ab

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer stellt dem Auftraggeber die SchadenGutachten.App nach den AGB bereit. Die Arbeitsdaten des Auftraggebers werden auf dessen Endgeräten und in dessen eigenem Cloudspeicher gespeichert, nicht beim Auftragnehmer.
2. Gegenstand der Auftragsverarbeitung ist ausschließlich die technische Durchleitung von Daten über den Server des Auftragnehmers:
   • Lese- und Schreibzugriffe der App auf den Cloudspeicher des Auftraggebers (IONOS HiDrive oder STRATO HiDrive des Auftraggebers, soweit der Zugriff nicht unmittelbar aus den installierten Apps erfolgt), einschließlich des Hochladens von Dateien;
   • Abruf von E-Mails aus dem Postfach des Auftraggebers (IMAP) und Versand von E-Mails über dessen Postfach (SMTP);
   • die mit jeder Durchleitung verbundene Prüfung von Anmeldung und Lizenz;
   • bei Verbindung mit einem weiteren Cloudspeicher (Microsoft OneDrive Google Drive Dropbox) der Austausch des Anmeldecodes gegen einen Zugangsschlüssel.
3. Die durchgeleiteten Inhalte bestehen nur während der Bearbeitung der jeweiligen Anfrage im Arbeitsspeicher des Servers. Sie werden nicht in Dateien, Datenbanken oder Zwischenspeichern abgelegt. Zugangsdaten zum Cloudspeicher und zum Postfach übermittelt die App mit der jeweiligen Anfrage. Sie werden beim Auftragnehmer nicht gespeichert.
4. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags einschließlich der Testphase.

§ 2 Art der Daten, Kreis der Betroffenen

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Zweck der App. Soweit der Auftraggeber solche Daten verarbeitet, ergreift er die dafür erforderlichen Maßnahmen und informiert den Auftragnehmer, wenn zusätzliche Schutzmaßnahmen erforderlich sind.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats hierzu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
2. Die Weisungen ergeben sich aus den AGB, diesem Vertrag und der Nutzung der App durch den Auftraggeber (z. B. Auslösen eines Abrufs oder Versands). Einzelweisungen erteilt der Auftraggeber in Textform.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung der Weisung bis zu ihrer Bestätigung oder Änderung aussetzen.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit: Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
2. Sicherheit: Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an die technische Entwicklung anpassen, sofern das Schutzniveau nicht unterschritten wird.
3. Betroffenenrechte: Er unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 12–23 DSGVO). Da er die Inhalte nicht speichert, beschränkt sich dies in der Regel auf Auskünfte über die Durchleitung. Wenden sich Betroffene unmittelbar an ihn, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
4. Unterstützung: Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
5. Meldung von Verletzungen: Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung, möglichst innerhalb von 24 Stunden, mit den ihm vorliegenden Angaben nach Art. 33 Abs. 3 DSGVO.
6. Löschung und Rückgabe: Nach Ende der Leistungserbringung sind beim Auftragnehmer keine durchgeleiteten Inhalte vorhanden, die zurückzugeben oder zu löschen wären (§ 1 Abs. 3). Sollten dennoch Daten vorliegen, löscht er sie, sofern keine Pflicht zur Speicherung besteht.
7. Nachweise und Kontrollen: Er stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO). Inspektionen sind mit angemessener Frist, in der Regel zwei Wochen, anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchzuführen. Die Vorlage aussagekräftiger Nachweise (z. B. dieser Anlage, Bescheinigungen des Hosting-Anbieters) kann eine Inspektion ersetzen, soweit dies für den Nachweis genügt.
8. Er verarbeitet die Daten ausschließlich in einem Mitgliedstaat der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Verarbeitung in einem Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Hilft der Auftragnehmer dem Einspruch nicht ab, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).
4. Keine Unterauftragsverarbeiter des Auftragnehmers sind der Anbieter des Cloudspeichers und der E-Mail-Anbieter des Auftraggebers. Mit diesen schließt der Auftraggeber eigene Verträge.

§ 6 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Durchleitung feststellt.

§ 7 Haftung, Schlussbestimmungen

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln der AGB.
2. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.
3. Änderungen dieses Vertrags richten sich nach § 15 der AGB. Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 – Unterauftragsverarbeiter