Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Rollen

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten, die der Anbieter (KREATIKA, Maximilian A. Grimm, Kuglerstr. 2, 90449 Nürnberg – der „Auftragsverarbeiter") im Auftrag des Kunden (der „Verantwortliche") im Rahmen von VaultPolar durchführt.

(2) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich.

§ 2 Art, Zweck und Dauer der Verarbeitung

(1) Zweck: revisionssichere Archivierung elektronischer Rechnungen und der zugehörigen E-Mails sowie deren Bereitstellung, Suche und Export.

(2) Art der Daten: in Rechnungen und E-Mails enthaltene Daten, u. a. Bestands- und Kontaktdaten von Ausstellern/Empfängern, Rechnungsnummern, Beträge, Leistungsbeschreibungen.

(3) Kategorien Betroffener: Geschäftspartner, Kunden und Mitarbeitende des Verantwortlichen, soweit in den Belegen enthalten.

(4) Dauer: für die Laufzeit des Hauptvertrags; darüber hinaus für die Dauer gesetzlicher Aufbewahrungspflichten (siehe § 7).

§ 3 Weisungsgebundenheit und Vertraulichkeit

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen des Vertrags und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet.

(2) Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheit unterliegen.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung des Verantwortlichen gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO).

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:

• Hosting ausschließlich in Rechenzentren in Deutschland; keine Datenverarbeitung außerhalb der EU/des EWR.
• Verschlüsselte Übertragung (TLS); Zugriff nur über authentifizierte, rollenbasierte Konten.
• Inhaltsadressierte, unveränderbare Ablage der Originale; keine Lösch- oder Änderungsfunktion in der Anwendung.
• Integritätssicherung durch fortlaufende kryptografische Hash-Kette; jede nachträgliche Veränderung eines Eintrags ist dadurch nachweisbar.
• Täglicher unabhängiger Zeitstempel (RFC 3161) einer externen Zeitstempelstelle als Nachweis des Archivstands.
• Mandantentrennung: strikte logische Isolation der Daten je Mandant.
• Protokollierung sicherheitsrelevanter Vorgänge (Audit-Trail).

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu. Ein Wechsel oder die Hinzunahme wird rechtzeitig vorab mitgeteilt; der Verantwortliche kann aus wichtigem Grund widersprechen.

(2) Der Auftragsverarbeiter erlegt eingesetzten Unterauftragsverarbeitern per Vertrag Datenschutzpflichten auf, die den in diesem Vertrag vereinbarten gleichwertig sind (Art. 28 Abs. 4 DSGVO).

§ 6 Betroffenenrechte, Unterstützung, Datenpannen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung von Betroffenenrechten sowie bei Datenschutz-Folgenabschätzungen.

(2) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

§ 7 Löschung und Rückgabe

Nach Abschluss der Verarbeitung werden die Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht zur weiteren Aufbewahrung besteht. Für nach Handels- und Steuerrecht aufbewahrungspflichtige Belege bleibt die unveränderbare Speicherung bis zum Ablauf der Frist bestehen; eine vorzeitige Löschung würde gerade dem Zweck des Dienstes widersprechen.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang.

§ 9 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.