Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform „NexDeck“. Die Verarbeitung umfasst die Speicherung, Organisation, Abfrage und Übermittlung der vom Auftraggeber eingegebenen Daten.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages (SaaS-Abonnement). Nach Vertragsende werden die Daten gemäß dem Löschkonzept (Anlage 3) behandelt.

(3) Art der Verarbeitung: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung, Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung (an Unterauftragnehmer gemäß Anlage 2), Abgleich, Verknüpfung, Einschränkung, Löschen.

(4) Zweck der Verarbeitung: Bereitstellung der NexDeck-Plattform einschließlich CRM, Rechnungsstellung, Projekt- und Aufgabenverwaltung, Kommunikation (E-Mail, Chat, Telefonie), KI-gestützte Belegerfassung, Sprachassistent, Dokumentenverwaltung und Berichtswesen.

§ 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

2.1 Kategorien personenbezogener Daten

• Stammdaten: Name, Firma, Anschrift, E-Mail, Telefon
• Vertragsdaten: Rechnungen, Angebote, Projekte, Verträge
• Kommunikationsdaten: E-Mail-Inhalte, Chat-Nachrichten, Anrufprotokolle
• Finanzdaten: Zahlungsinformationen, IBAN, Steuernummern
• Nutzungsdaten: Login-Zeiten, Geräteinformationen, IP-Adressen
• Sprach- und Textdaten: Voice-Transkripte, KI-Interaktionen
• Bilddaten: Fotos, gescannte Belege, Dokumente

2.2 Kategorien betroffener Personen

• Mitarbeiter und Nutzer des Auftraggebers
• Kunden und Geschäftspartner des Auftraggebers
• Lieferanten und Subunternehmer des Auftraggebers
• Interessenten und Leads des Auftraggebers

§ 3 Pflichten des Auftragnehmers

Der Auftragnehmer

• verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen ergeben sich aus dem Hauptvertrag und der Nutzung der Plattform.
• gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
• ergreift alle gemäß Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen. Die konkreten technisch-organisatorischen Maßnahmen sind in Anlage 1 (TOM) beschrieben.
• beachtet die Bedingungen für die Inanspruchnahme der in Anlage 2 aufgefuehrten Unterauftragnehmer (Art. 28 Abs. 2 und 4 DSGVO).
• unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten bezüglich der Rechte betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO), insbesondere durch:
  • Technische Möglichkeit zum Datenexport (JSON-Export in Kontoeinstellungen)
  • Technische Möglichkeit zur Datenlöschung (Account-Löschfunktion)
  • Technische Möglichkeit zur Datenberichtigung
• unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32-36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschaetzung).
• löscht nach Beendigung der Auftragsverarbeitung alle personenbezogenen Daten oder gibt sie zurück (siehe Anlage 3: Löschkonzept). Die Löschung erfolgt spätestens 30 Tage nach Vertragsende. Ausnahme: gesetzliche Aufbewahrungspflichten (z.B. §147 AO: 10 Jahre für steuerrelevante Belege).
• stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überpruefungen (Audits).

§ 4 Pflichten des Auftraggebers

Der Auftraggeber

• ist für die Rechtmaessigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich.
• erteilt Weisungen über die Art, den Umfang und das Verfahren der Datenverarbeitung.
• informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmaessigkeiten bei der Verarbeitung feststellt.
• stellt sicher, dass die in NexDeck eingegebenen Daten rechtmäßsig erhoben wurden und eine Rechtsgrundlage für die Verarbeitung besteht.

§ 5 Unterauftragnehmer (Subunternehmer)

(1) Pauschale Zustimmung: Der Auftraggeber erteilt im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO eine allgemeine schriftliche Zustimmung zur Einschaltung weiterer Unterauftragnehmer durch den Auftragnehmer. Die jeweils aktuelle Liste der eingesetzten Unterauftragnehmer wird öffentlich geführt unter nexdeck.app/subprocessors (entspricht Anlage 2 dieses AVV) und ist jederzeit einsehbar. Die Liste wird versioniert mit Datum gepflegt; Änderungen sind dort nachvollziehbar.

(2) Gleichwertiges Schutzniveau: Der Auftragnehmer verpflichtet sich, mit jedem Unterauftragnehmer einen Vertrag zu schließen, der dieselben Datenschutzpflichten gewährleistet wie dieser AVV, einschließlich technisch-organisatorischer Maßnahmen, Zero Data Retention bei KI-Modellen und Transfergrundlagen nach Art. 44 ff. DSGVO (DPF, EU-Standardvertragsklauseln).

(3) Ankündigung & Widerspruchsrecht: Geplante Hinzuziehungen oder Ersetzungen von Unterauftragnehmern werden dem Auftraggeber mindestens 30 Tage vor Wirksamkeit per E-Mail und/oder In-App-Benachrichtigung angekündigt. Der Auftraggeber kann innerhalb von 30 Tagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben.

(4) Einspruchsfolgen: Bei berechtigtem Einspruch bemühen sich die Parteien um eine einvernehmliche Lösung (z.B. durch Einsatz eines anderen Unterauftragnehmers mit äquivalenter Funktion). Kommt keine Einigung zustande, hat der Auftraggeber ein außerordentliches Kündigungsrecht zum geplanten Änderungsdatum. Bis dahin gilt der bisherige Stand fort.

(5) Kategorien-Ansatz: Der Auftragnehmer gruppiert eingesetzte Dienstleister nach technischen Kategorien (z.B. „LLM-Anbieter für Textanalyse“, „Sprach-zu-Text-Dienst“, „Cloud-Hosting“). Der Austausch innerhalb einer Kategorie mit gleichwertigem Schutzniveau (etwa Umschaltung auf einen Fallback-Anbieter bei Ausfall oder aus Kosten-/Qualitätsgründen) stellt keine wesentliche Änderung im Sinne von Absatz 3 dar, sondern gilt als Wartung der technischen Infrastruktur. Die öffentliche Subprozessor- Liste wird auch in diesem Fall zeitnah aktualisiert.

(6) KI-Modell-Updates: Aktualisierungen der eingesetzten KI-Modelle (Provider, Version, Region) gelten ebenfalls als Wartung gemäß Absatz 5, sofern Zero-Data-Retention-Garantien und EU-Residenz (oder gleichwertige Transfergrundlage) erhalten bleiben. Eine gesonderte Ankündigung erfolgt nur bei erstmaligem Einsatz einer neuen Kategorie (z.B. erstmaliger Einsatz einer Audio-Transkriptionstechnologie).

§ 6 Datenübermittlung in Drittlaender

(1) Die primaere Datenverarbeitung erfolgt in der EU (Frankfurt am Main, Deutschland). Einige Unterauftragnehmer haben ihren Sitz in den USA (siehe Anlage 2).

(2) Die Übermittlung personenbezogener Daten in die USA erfolgt ausschließlich auf Grundlage des EU-U.S. Data Privacy Frameworks (DPF-Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) oder der EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss 2021/914).

(3) Alle in Anlage 2 aufgefuehrten US-Unterauftragnehmer sind unter dem DPF zertifiziert oder haben SCC unterzeichnet.

§ 7 Meldepflicht bei Datenschutzverletzungen

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich (spätestens 24 Stunden) nach Kenntniserlangung über jede Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung umfasst mindestens:

• Beschreibung der Art der Verletzung inkl. Kategorien und ungefaehre Anzahl der betroffenen Personen
• Name und Kontaktdaten der Ansprechperson für weitere Informationen
• Beschreibung der wahrscheinlichen Folgen der Verletzung
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, Überpruefungen durchzufuehren oder durch einen beauftragten Pruefer durchführen zu lassen. Der Auftragnehmer stellt die dafür erforderlichen Informationen zur Verfügung.

(2) Inspektionen vor Ort sind mit einer Vorlaufzeit von mindestens 14 Tagen anzukündigen und duerfen den Geschäftsbetrieb nicht unverhaeltnismaessig stoeren. Der Auftraggeber traegt die Kosten seiner Überpruefung.

(3) Alternativ kann der Nachweis der Einhaltung durch Vorlage aktueller Zertifizierungen, Testberichte oder Auditberichte erbracht werden.

§ 9 Haftung

Fuer die Haftung gilt Art. 82 DSGVO. Danach haftet jeder an einer Verarbeitung beteiligte Verantwortliche oder Auftragsverarbeiter für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wird.

§ 10 Laufzeit und Kündigung

(1) Dieser AVV ist an den Hauptvertrag (SaaS-Abonnement) gebunden und gilt für dessen Dauer.

(2) Rechte und Pflichten, die über die Beendigung hinaus bestehen (insbesondere Löschpflichten und Aufbewahrungsfristen), bleiben unberührt.