6.1 Weisungsgebundenheit: Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).

6.2 Vertraulichkeit: Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

6.3 Technisch-organisatorische Maßnahmen: Der Auftragnehmer ergreift alle gemäß Art. 32 DSGVO erforderlichen technisch-organisatorischen Maßnahmen. Diese sind in § 9 dieses AVV dargelegt.

6.4 Unterauftragnehmer: Der Auftragnehmer nimmt keine weiteren Auftragsverarbeiter ohne vorherige allgemeine schriftliche Genehmigung des Auftraggebers in Anspruch. Die aktuellen Unterauftragnehmer sind in § 8 aufgeführt.

6.5 Unterstützungspflichten: Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO, insbesondere bei Betroffenenanfragen (Art. 15–22 DSGVO).

6.6 Löschung und Rückgabe: Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten innerhalb von 90 Tagen, sofern nicht eine gesetzliche Verpflichtung zur Speicherung besteht (z.B. steuerrechtliche Aufbewahrungsfristen gemäß § 147 AO). Der Auftraggeber kann vor Löschung einen Export seiner Daten anfordern.

6.7 Nachweispflicht: Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

6.8 Meldepflicht bei Datenschutzverletzungen: Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 Abs. 2 DSGVO). Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und Personengruppen, wahrscheinliche Folgen sowie ergriffene Abhilfemaßnahmen. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen (Art. 33, 34 DSGVO).

6.9 Hinweispflicht: Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

7.1 Rechtmäßigkeit: Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten verantwortlich. Er stellt sicher, dass er über eine geeignete Rechtsgrundlage für die Datenverarbeitung verfügt (z.B. Art. 6 Abs. 1 lit. b oder f DSGVO).

7.2 Informationspflichten: Der Auftraggeber ist verpflichtet, die betroffenen Personen gemäß Art. 13 und 14 DSGVO über die Datenverarbeitung zu informieren. Dies betrifft insbesondere:

• Kunden, deren Daten in der Anwendung gespeichert werden
• Mitarbeiter, deren Arbeitszeiten und ggf. GPS-Standortdaten erfasst werden

7.3 Weisungsrecht: Der Auftraggeber erteilt alle Weisungen in der Regel über die Nutzung der Anwendung (Eingabe, Änderung, Löschung von Daten). Darüber hinausgehende Weisungen bedürfen der Schriftform.

10.1 Auskunftsrecht: Der Auftraggeber hat das Recht, jederzeit Auskünfte über die getroffenen technisch-organisatorischen Maßnahmen und die eingesetzten Unterauftragnehmer zu verlangen.

10.2 Prüfungsrecht: Der Auftraggeber hat das Recht, die Einhaltung dieses AVV durch den Auftragnehmer zu überprüfen. Dies kann durch Anfragen, Einsichtnahme in Zertifizierungen oder – nach vorheriger Abstimmung – durch Vor-Ort-Inspektionen erfolgen (Art. 28 Abs. 3 lit. h DSGVO).

10.3 Mitwirkungspflicht: Der Auftragnehmer stellt dem Auftraggeber alle zur Durchführung von Kontrollen erforderlichen Informationen zur Verfügung und trägt zu Überprüfungen bei.

Die Haftung richtet sich nach Art. 82 DSGVO. Jeder an einer Verarbeitung beteiligte Verantwortliche oder Auftragsverarbeiter haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wird.

Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus dieser Verordnung nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen oder gegen diese Anweisungen gehandelt hat.

12.1 Schriftform: Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.

12.2 Salvatorische Klausel: Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so wird hierdurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

12.3 Vorrang: Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag (Nutzungsbedingungen/AGB) gehen die Regelungen dieses AVV vor, soweit datenschutzrechtliche Belange betroffen sind.

12.4 Anwendbares Recht: Es gilt das Recht der Bundesrepublik Deutschland.

12.5 Gerichtsstand: Gerichtsstand ist Heidelberg, soweit gesetzlich zulässig.