Auftragsverarbeitungsvertrag (AVV / DPA)

Vorlage gemäß Art. 28 DSGVO für Berater, Coaches und Lebensberater im Aegis Vitae Consilium-Netzwerk, die Mandantendaten über die SaaS-Plattform und/oder On-Premise-Box verarbeiten. Vor Unterzeichnung durch beide Parteien anwaltlich prüfen lassen.

Vertragsparteien

Auftraggeber (Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO):
[Name/Firma des Beraters]
[Straße, PLZ Ort]
E-Mail: [E-Mail Berater]
(nachfolgend „Verantwortlicher“)

Auftragnehmer (Auftragsverarbeiter gemäß Art. 4 Nr. 8 DSGVO):
Kersten Martick · [Einzelunternehmen / GmbH / UG – bitte ergänzen]
[Straße und Hausnummer]
[PLZ] [Ort]
Deutschland
E-Mail: info@aegis-vitae.de
(nachfolgend „Auftragsverarbeiter“)

Beide Parteien gemeinsam „Parteien“.

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung personenbezogener Daten im Rahmen der Nutzung von Aegis Vitae Consilium (SaaS-Plattform, On-Premise-Box, Partner-Portal).

(2) Der Verantwortliche ist allein dafür verantwortlich, die Rechtmäßigkeit der Verarbeitung gegenüber seinen Mandanten sicherzustellen (Einwilligung, Vertrag, berechtigtes Interesse o. ä.).

(3) Dieser AVV gilt für die Dauer des Hauptvertrags (Lizenzvereinbarung/AGB) und endet mit dessen Beendigung, vorbehaltlich § 10 (Löschung und Rückgabe).

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen zu folgenden Zwecken:

• Bereitstellung und Betrieb der Beratungssoftware (Analyse, Terminverwaltung, Dokumentation)
• Lizenzverwaltung, Handshake und technische Authentifizierung
• Backup, Support und Fehlerbehebung (soweit vereinbart)
• Abrechnungsmetadaten (Sitzungszähler, keine Mandanten-Inhalte, soweit vermeidbar)
• Optionale Cloud-Sync-Funktionen gemäß Leistungsbeschreibung

§ 3 Kategorien betroffener Personen und Datenarten

3.1 Kategorien betroffener Personen

• Mandanten/Klienten des Verantwortlichen
• Ansprechpartner und ggf. Mitarbeiter des Verantwortlichen

3.2 Kategorien personenbezogener Daten

• Stammdaten (Name, Kontaktdaten, Geburtsdatum/-ort/-zeit)
• Beratungs- und Sitzungsprotokolle, Analyseergebnisse (Jung, Astro, Kartenlegung u. a.)
• Termin- und Kalenderdaten
• Technische Metadaten (IP, Geräte-ID, Logfiles)
• Optionale Medien (Fotos, Audio/Video-Metadaten bei WebRTC)
• Keine besonderen Kategorien gemäß Art. 9 DSGVO, sofern der Verantwortliche diese nicht aktiv erfasst

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

1. personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
2. zu gewährleisten, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO);
3. geeignete technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO umzusetzen (siehe Anlage 1);
4. Subunternehmer nur mit vorheriger Genehmigung einzusetzen (Art. 28 Abs. 2 DSGVO, siehe Anlage 2);
5. den Verantwortlichen bei Auskunftsersuchen und Datenschutz-Folgenabschätzungen angemessen zu unterstützen (Art. 28 Abs. 3 lit. e, f DSGVO);
6. Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, zu melden (Art. 33, 34 DSGVO);
7. nach Beendigung des Auftrags alle Daten zu löschen oder zurückzugeben (§ 10);
8. dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Compliance zur Verfügung zu stellen und Audits zu ermöglichen (Art. 28 Abs. 3 lit. h DSGVO).

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

• die Rechtsgrundlagen für die Verarbeitung sicherzustellen und Mandanten transparent zu informieren;
• Weisungen an den Auftragsverarbeiter rechtmäßig und dokumentiert zu erteilen;
• keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) zu verarbeiten, ohne vorherige Absprache und zusätzliche Schutzmaßnahmen;
• Zugangsdaten zur Box und zum Partner-Portal sicher aufzubewahren;
• regelmäßige lokale Backups der On-Premise-Box durchzuführen.

§ 6 Weisungsbefugnis

(1) Weisungen erfolgen schriftlich (E-Mail genügt) an datenschutz@aegis-vitae.de.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Ausführung bis zur Klärung auszusetzen.

(3) Der Auftragsverarbeiter darf Daten in Deutschland/EWR verarbeiten. Eine Verarbeitung außerhalb des EWR bedarf einer gesonderten Vereinbarung (Standardvertragsklauseln, Art. 46 DSGVO).

§ 7 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt mindestens folgende Maßnahmen um (Auszug, vollständige Liste in Anlage 1):

• Verschlüsselung der Datenübertragung (HTTPS/TLS, SSL auf Box und SaaS)
• Zugangskontrolle (Authentifizierung, Lizenz-Token, Rollenkonzept)
• Hardware-Fingerprint-Bindung der On-Premise-Box
• Protokollierung sicherheitsrelevanter Ereignisse (Lizenz-Handshake, Login)
• Regelmäßige Sicherheitsupdates der Plattform
• Hosting bei SiteGround Hosting Ltd. (Rechenzentren in der EU / EWR (SiteGround))
• Pseudonymisierung/Kürzung von IP-Adressen in Logfiles, soweit technisch möglich

§ 8 Subunternehmer (Unterauftragsverarbeiter)

(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zum Einsatz von Subunternehmern gemäß Anlage 2. Der Auftragsverarbeiter informiert über geplante Änderungen mit mindestens 30 Tagen Vorlauf; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

(2) Der Auftragsverarbeiter stellt sicher, dass Subunternehmer dieselben Datenschutzpflichten vertraglich übernehmen (Art. 28 Abs. 4 DSGVO).

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich mit folgenden Informationen (soweit verfügbar): Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl Betroffener, wahrscheinliche Folgen, ergriffene Abhilfemaßnahmen.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Daten auf der On-Premise-Box verbleiben beim Verantwortlichen; der Auftragsverarbeiter hat keinen Zugriff nach Deaktivierung der Lizenz, außer im vereinbarten Support-Fall.

(3) Auf Wunsch stellt der Auftragsverarbeiter die in der SaaS-Plattform gespeicherten Daten in einem gängigen Format (JSON/CSV) zur Rückgabe bereit.

§ 11 Kontrollrechte

Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV durch Nachweise (TOM-Dokumentation, Zertifikate) oder durch Inspektion nach vorheriger Ankündigung (mindestens 14 Tage) zu überprüfen. Kosten trägt der Verantwortliche, sofern kein Verstoß festgestellt wird.

§ 12 Haftung und Vergütung

(1) Die Vergütung für Auftragsverarbeitungsleistungen ist im Hauptvertrag (Lizenz/AGB) enthalten.

(2) Die Haftung richtet sich nach dem Hauptvertrag und den gesetzlichen Vorschriften (Art. 82 DSGVO).

§ 13 Schlussbestimmungen

(1) Änderungen dieses AVV bedürfen der Schriftform.
(2) Es gilt deutsches Recht.
(3) Gerichtsstand: [Ort], soweit zulässig.
(4) Im Falle von Widersprüchen zwischen Hauptvertrag und AVV gehen die Regelungen dieses AVV für datenschutzrechtliche Fragen vor.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

Anlage 2 – Genehmigte Subunternehmer

• SiteGround Hosting Ltd. – Webhosting, SaaS-Infrastruktur (EU/EWR)
• WHMCS Ltd. – Abrechnung und Kundenverwaltung (sofern genutzt)
• [Weitere Subunternehmer – ergänzen]

Unterschriften