Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform „NexDeck“. Die Verarbeitung umfasst die Speicherung, Organisation, Abfrage und Uebermittlung der vom Auftraggeber eingegebenen Daten.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages (SaaS-Abonnement). Nach Vertragsende werden die Daten gemaess dem Löschkonzept (Anlage 3) behandelt.

(3) Art der Verarbeitung: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung, Veraenderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Uebermittlung (an Unterauftragnehmer gemaess Anlage 2), Abgleich, Verknuepfung, Einschraenkung, Loeschen.

(4) Zweck der Verarbeitung: Bereitstellung der NexDeck-Plattform einschliesslich CRM, Rechnungsstellung, Projekt- und Aufgabenverwaltung, Kommunikation (E-Mail, Chat, Telefonie), KI-gestuetzte Belegerfassung, Sprachassistent, Dokumentenverwaltung und Berichtswesen.

§ 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

2.1 Kategorien personenbezogener Daten

• Stammdaten: Name, Firma, Anschrift, E-Mail, Telefon
• Vertragsdaten: Rechnungen, Angebote, Projekte, Vertraege
• Kommunikationsdaten: E-Mail-Inhalte, Chat-Nachrichten, Anrufprotokolle
• Finanzdaten: Zahlungsinformationen, IBAN, Steuernummern
• Nutzungsdaten: Login-Zeiten, Geraeteinformationen, IP-Adressen
• Sprach- und Textdaten: Voice-Transkripte, KI-Interaktionen
• Bilddaten: Fotos, gescannte Belege, Dokumente

2.2 Kategorien betroffener Personen

• Mitarbeiter und Nutzer des Auftraggebers
• Kunden und Geschaeftspartner des Auftraggebers
• Lieferanten und Subunternehmer des Auftraggebers
• Interessenten und Leads des Auftraggebers

§ 3 Pflichten des Auftragnehmers

Der Auftragnehmer

• verarbeitet die personenbezogenen Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen ergeben sich aus dem Hauptvertrag und der Nutzung der Plattform.
• gewaehrleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
• ergreift alle gemaess Art. 32 DSGVO erforderlichen Sicherheitsmassnahmen. Die konkreten technisch-organisatorischen Maßnahmen sind in Anlage 1 (TOM) beschrieben.
• beachtet die Bedingungen fuer die Inanspruchnahme der in Anlage 2 aufgefuehrten Unterauftragnehmer (Art. 28 Abs. 2 und 4 DSGVO).
• unterstuetzt den Auftraggeber bei der Erfuellung seiner Pflichten bezüglich der Rechte betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO), insbesondere durch:
  • Technische Moeglichkeit zum Datenexport (JSON-Export in Kontoeinstellungen)
  • Technische Moeglichkeit zur Datenloeschung (Account-Loeschfunktion)
  • Technische Moeglichkeit zur Datenberichtigung
• unterstuetzt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32-36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschaetzung).
• loescht nach Beendigung der Auftragsverarbeitung alle personenbezogenen Daten oder gibt sie zurueck (siehe Anlage 3: Löschkonzept). Die Löschung erfolgt spätestens 30 Tage nach Vertragsende. Ausnahme: gesetzliche Aufbewahrungspflichten (z.B. §147 AO: 10 Jahre fuer steuerrelevante Belege).
• stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfuegung und ermoeglicht Ueberpruefungen (Audits).

§ 4 Pflichten des Auftraggebers

Der Auftraggeber

• ist fuer die Rechtmaessigkeit der Datenverarbeitung sowie fuer die Wahrung der Rechte der betroffenen Personen allein verantwortlich.
• erteilt Weisungen über die Art, den Umfang und das Verfahren der Datenverarbeitung.
• informiert den Auftragnehmer unverzueglich, wenn er Fehler oder Unregelmaessigkeiten bei der Verarbeitung feststellt.
• stellt sicher, dass die in NexDeck eingegebenen Daten rechtmaessig erhoben wurden und eine Rechtsgrundlage fuer die Verarbeitung besteht.

§ 5 Unterauftragnehmer (Subunternehmer)

(1) Der Auftraggeber stimmt der Einschaltung der in Anlage 2 aufgefuehrten Unterauftragnehmer zu. Der Auftragnehmer hat mit jedem Unterauftragnehmer einen Vertrag geschlossen, der die gleichen Datenschutzpflichten gewaehrleistet wie dieser AVV.

(2) Der Auftragnehmer informiert den Auftraggeber über geplante Änderungen bezüglich der Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Auftraggeber kann gegen solche Änderungen Einspruch erheben. Der Einspruch muss innerhalb von 14 Tagen nach Mitteilung erfolgen.

(3) Bei berechtigtem Einspruch bemuehen sich die Parteien um eine einvernehmliche Loesung. Kommt keine Einigung zustande, hat der Auftraggeber ein Sonderkuendigungsrecht.

§ 6 Datenuebermittlung in Drittlaender

(1) Die primaere Datenverarbeitung erfolgt in der EU (Frankfurt am Main, Deutschland). Einige Unterauftragnehmer haben ihren Sitz in den USA (siehe Anlage 2).

(2) Die Uebermittlung personenbezogener Daten in die USA erfolgt ausschliesslich auf Grundlage des EU-U.S. Data Privacy Frameworks (DPF-Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) oder der EU-Standardvertragsklauseln (SCC, Durchfuehrungsbeschluss 2021/914).

(3) Alle in Anlage 2 aufgefuehrten US-Unterauftragnehmer sind unter dem DPF zertifiziert oder haben SCC unterzeichnet.

§ 7 Meldepflicht bei Datenschutzverletzungen

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzueglich (spätestens 24 Stunden) nach Kenntniserlangung über jede Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung umfasst mindestens:

• Beschreibung der Art der Verletzung inkl. Kategorien und ungefaehre Anzahl der betroffenen Personen
• Name und Kontaktdaten der Ansprechperson fuer weitere Informationen
• Beschreibung der wahrscheinlichen Folgen der Verletzung
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, Ueberpruefungen durchzufuehren oder durch einen beauftragten Pruefer durchfuehren zu lassen. Der Auftragnehmer stellt die dafuer erforderlichen Informationen zur Verfuegung.

(2) Inspektionen vor Ort sind mit einer Vorlaufzeit von mindestens 14 Tagen anzukuendigen und duerfen den Geschaeftsbetrieb nicht unverhaeltnismaessig stoeren. Der Auftraggeber traegt die Kosten seiner Ueberpruefung.

(3) Alternativ kann der Nachweis der Einhaltung durch Vorlage aktueller Zertifizierungen, Testberichte oder Auditberichte erbracht werden.

§ 9 Haftung

Fuer die Haftung gilt Art. 82 DSGVO. Danach haftet jeder an einer Verarbeitung beteiligte Verantwortliche oder Auftragsverarbeiter fuer den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wird.

§ 10 Laufzeit und Kuendigung

(1) Dieser AVV ist an den Hauptvertrag (SaaS-Abonnement) gebunden und gilt fuer dessen Dauer.

(2) Rechte und Pflichten, die über die Beendigung hinaus bestehen (insbesondere Loeschpflichten und Aufbewahrungsfristen), bleiben unberuehrt.