Auftragsverarbeitungsvertrag

Der in der abgeschlossenen Bestellung genannte Kunde ist Verantwortlicher oder genehmigter Auftragsverarbeiter. Der Anbieter im Impressum ist entsprechend Auftragsverarbeiter oder Unterauftragsverarbeiter. Erfasst sind personenbezogene Daten zur Bereitstellung von FiberAdmin für die Vertragsdauer einschließlich vereinbarter Rückgabe- und Löschfrist. Datenschutzrecht und einschlägige Standardvertragsklauseln gehen widersprechenden Vertragsbestimmungen vor.

Dieser öffentliche Rahmen benötigt eine abgeschlossene Bestellung und ausgefüllte Anlagen A bis C. Er schließt für sich keine Standardvertragsklauseln ab und begründet keine internationale Transfergrundlage.

Der Anbieter verarbeitet nur auf dokumentierte Kundenweisung, auch für Drittlandtransfers, sofern keine gesetzliche Pflicht besteht. Über eine solche Pflicht informiert er vorab, soweit kein gesetzliches Verbot entgegensteht. Vereinbarte Konfiguration und berechtigte Kundenaktionen gelten im vereinbarten Umfang als Weisung. Bei angenommenem Datenschutzverstoß einer Weisung informiert der Anbieter unverzüglich.

Berechtigte Personen unterliegen einer verbindlichen Verschwiegenheitspflicht und erhalten nur erforderlichen Zugriff. Eine eigenständige Verwendung von Kundendaten zu Werbung oder Modelltraining erfolgt nicht ohne gesonderte rechtmäßige Vereinbarung und transparente Information.

Der Anbieter setzt die risikogerechten technischen und organisatorischen Maßnahmen der ausgefüllten Anlage B nach Art. 32 DSGVO um. Sie umfassen angemessene Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit und regelmäßige Prüfung. Änderungen dürfen das vereinbarte Schutzniveau nicht wesentlich senken.

Unter Berücksichtigung der Verarbeitungsart und verfügbaren Informationen unterstützt er bei Betroffenenrechten, Sicherheit, Meldungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Anfragen zu Kundendaten werden ohne unangemessene Verzögerung weitergeleitet; Antworten im Kundennamen bedürfen einer Weisung oder gesetzlichen Pflicht.

Der Anbieter meldet dem Kunden eine bekannt gewordene Datenschutzverletzung an dessen Daten ohne unangemessene Verzögerung. Verfügbare Informationen umfassen Art, Kategorien und ungefähre Anzahl Betroffener beziehungsweise Datensätze, Folgen, Kontaktpunkt und Maßnahmen. Ergänzungen erfolgen ohne weitere unangemessene Verzögerung. Der Anbieter unterstützt Untersuchung und Abhilfe. Die eigene 72-Stunden-Frist eines Verantwortlichen ist keine Wartefrist für die Meldung an den Kunden.

Der Kunde kann die in Anlage C ausdrücklich bezeichneten Anbieter allgemein schriftlich genehmigen. Beabsichtigte Ergänzungen oder Ersetzungen kündigt der Anbieter mindestens 30 Tage zuvor schriftlich an. Der Kunde kann vor Einsatz aus sachlichen Datenschutzgründen widersprechen. Die Parteien suchen eine angemessene Alternative; fehlt diese, kann der Kunde den betroffenen Dienst vor der Änderung beenden.

Unterauftragsverarbeiter werden schriftlich auf gleichwertige einschlägige Datenschutzpflichten verpflichtet. Der Anbieter bleibt für deren Pflichterfüllung verantwortlich. Optionale Anbieter sind nur für genehmigte aktivierte Funktionen erfasst. Paddle ist wegen seiner eigenständigen Merchant-of-Record-Verarbeitung nicht automatisch Unterauftragsverarbeiter der Betriebsdaten.

Übermittlungen oder Fernzugriffe außerhalb genehmigter Standorte benötigen dokumentierte Kundengenehmigung und gegebenenfalls eine gültige Grundlage nach Kapitel V DSGVO. Einschlägige Standardvertragsklauseln sind einschließlich Parteien, Module, Behörde, Anlagen und erforderlicher Transferprüfung sowie ergänzender Maßnahmen zu vervollständigen. Für den Kosovo besteht derzeit kein EU-Angemessenheitsbeschluss. Ein EU-Hostingstandort allein klärt keinen Betreiber- oder Supportzugriff aus dem Kosovo.

Der Anbieter stellt erforderliche Nachweise bereit und ermöglicht beziehungsweise unterstützt Audits und Inspektionen des Kunden oder seines unabhängigen beauftragten Prüfers. Angemessene Vertraulichkeits- und Sicherheitsregeln dürfen zwingende Prüfungsrechte oder dringende Untersuchungen nicht vereiteln.

Nach Leistungsende werden Daten nach Kundenwahl zurückgegeben oder gelöscht und Kopien entfernt, soweit keine gesetzliche Speicherungspflicht besteht. Der ausgefüllte Plan legt Format, Exportfenster, Löschung aktiver Systeme, Backupisolierung und Ablauf sowie Bestätigung fest. Gesetzlich aufbewahrte Daten bleiben zweckgebunden eingeschränkt. Nicht umgesetzte Löschprozesse dürfen nicht als abgeschlossen dargestellt werden.

Gegenstand und Zweck: gehostete Außendienstorganisation, Planung, Speicherung, Berichte und ausgewählte Funktionen. Vorgänge: Erhebung, Erfassung, Organisation, Speicherung, Abruf, genehmigte Offenlegung, Export und Löschung. Häufigkeit: laufender Dienstzugriff und kundenveranlasste Aktionen. Dauer: Vertrag zuzüglich dokumentierter Rückgabe-/Löschfrist.

Betroffene: Nutzer, Beschäftigte, Auftragnehmer, Endkunden und Geschäftskontakte. Daten: Identifikations-, Kontakt- und Beschäftigungsdaten, Zeiten und Abwesenheit, Anschriften, Aufträge, Nachrichten, Standorte, Fotos und Unterschriften nach Aktivierung. Besondere Kategorien und strafrechtliche Daten sind ohne ausdrückliche Zusatzvereinbarung nicht vorgesehen. Auszufüllen: Kunde/Anschrift, Kontakt, Weisungsbefugte, Funktionen, Kategorien, Zwecke, Rechtsgrundlagen und konkrete Fristen.

Mit Betriebsnachweisen ausfüllen: Infrastruktur/Regionen, Transport- und Speicherverschlüsselung, Administrator-MFA, privilegierter Zugriff, Mandantentests, Vorfallkontakte, Protokollumfang und Fristen, Backupintervall/-ort/-frist und Wiederherstellungstest, Schwachstellen/Patches, Personalvertraulichkeit, Anbieter-/Gebäudesicherheit, Geräte-/Freigabelinkschutz, Lösch-/Exportverfahren und Betriebskontinuität. Anwendungsrollen allein sind keine vollständige Sicherheitsanlage.

Das Dienstleisterverzeichnis als Inventar verwenden und pro Vertragspartner Zweck, Datenarten, Verarbeitungs- und Supportländer, AVV-Abschluss, weitere Anbieter, Transfergrundlage und Prüfungsreferenz erfassen. Tatsächliches Frontendhosting ergänzen. Schriftliche Kundengenehmigung einholen und AVV über das vereinbarte Signatur-/Annahmeverfahren abschließen. Abgeschlossene Fassung und Änderungshistorie aufbewahren.