Source: https://www.cituro.com/agb-av
Timestamp: 2019-02-22 07:16:14+00:00

Document:
Allgemeine Geschäftsbedingungen zur Auftragsverarbeitung (AGB-AV) - cituro
Allgemeine Geschäftsbedingungen zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO als Anlage zu einem oder mehreren vom Auftraggeber genutzten Vertrag oder Verträgen
Diese Anlage (im Folgenden „AV-Vertrag“ genannt) konkretisiert die Verpflichtungen zum Datenschutz, die sich aus einem vom Auftraggeber genutzten Dienstleistungsvertrag (nachstehend „Vertrag“ oder „Hauptvertrag“ genannt) ergeben. Der AV-Vertrag findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen personenbezogene Daten (nachfolgend „Daten“ genannt) durch den Auftragnehmer oder durch den vom Auftragnehmer Beauftragten verarbeitet werden.
Dieser AV-Vertrag trägt Art. 28 Abs. 3 DSGVO (Datenschutzgrundverordnung) Rechnung, nach dem jedes Unternehmen, das Daten im Auftrag verarbeiten lässt, einen Vertrag oder ein anderweitiges Rechtsinstrument nutzen muss, um die Verarbeitung von Daten zu regeln. Es sind speziell Vereinbarungen zu den Verantwortlichkeiten, dem Gegenstand und der Dauer der Verarbeitung, Art und Zweck der Verarbeitung, der Art der verarbeiteten Daten sowie den Rechten und Pflichten der Vertragsparteien zu treffen.
Der vorliegende AV-Vertrag ist nur gültig in Verbindung mit einem aktiven Dienstleistungsvertrag mit der Florian Heymel Consulting zur Nutzung von cituro.
§ 1 Gegenstand und Dauer der Verarbeitung
Auftragnehmer ist der Hersteller und Betreiber von cituro:
Tel: (+49) 821 7962 1323
Gegenstand der Vereinbarung sind die Rechte und Pflichten des Auftragnehmers und seiner Kunden (Auftraggeber) im Rahmen der Leistungserbringung gemäß Auftrag und Leistungsbeschreibung des Hauptvertrags, soweit eine Auftragsverarbeitung von personenbezogenen Daten durch den Auftragnehmer gemäß Art. 28 DSGVO erfolgt. Dies umfasst alle Tätigkeiten, die der Auftragnehmer zur Erfüllung des Auftrags erbringt und die eine Auftragsverarbeitung darstellen. Dies gilt auch, sofern der Auftrag nicht ausdrücklich auf diese Vereinbarung zur Auftragsverarbeitung verweist.
Die Dauer der Verarbeitung richtet sich nach der Dauer und der Laufzeit des Hauptvertrags.
§ 2 Art und Zweck der Verarbeitung
Die Art der Verarbeitung umfasst alle Arten von Verarbeitung im Sinne der DSGVO zur Erfüllung des Hauptvertrags.
Zweck der Verarbeitung sind alle, zur Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere der Online-Terminbuchung, Online-Terminplanung und dem IT-Support, erforderlichen Zwecke.
§ 3 Art der personenbezogenen Daten und Kategorien von Betroffenen
Die Art der personenbezogenen Daten umfasst:
IP Adresse und Zeitpunkt des Zugriffs
Personenstammdaten, also Daten über Namen sowie Anschrift der Kunden
Kontaktdaten wie Telefonnummern und E-Mail-Adressen
Sonstige für Termine erforderliche Informationen, die vom jeweiligen Auftraggeber festgelegt werden können (Bspw. Alter, Kfz-Kennzeichen, o.Ä.)
Die Kategorien betroffener Personen umfassen Kunden und Interessenten des Auftraggebers, die dessen durch den Auftragnehmer zur Verfügung gestellten Online Terminbuchung nutzen.
Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Weisungen schriftlich. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird der Auftraggeber unverzüglich schriftlich bestätigen.
Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst oder durch Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme und -prozesse vor Ort zu kontrollieren. Den mit der Kontrolle betrauten Personen ist vom Auftragnehmer, soweit erforderlich, Zutritt und Einblick zu ermöglichen. Der Auftragnehmer ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind.
Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Auftraggeber zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten des Auftragnehmers, sowie nicht häufiger als alle 12 Monate statt. Soweit der Auftragnehmer den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten dieses Vertrages wie vorgesehen erbringt, soll sich eine Kontrolle auf Stichproben beschränken.
Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen zum Datenschutz, insbesondere für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (Verantwortlicher im Sinne Art. 4 Nr. 7 DSGVO).
Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung hat auch nach Beendigung des Hauptvertrags Bestand.
§ 5 Weisungen
Die Weisungen werden anfänglich durch diesen Vertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form, oder in einem elektronischen Format an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden.
Mündliche Weisungen bestätigt der Auftraggeber unverzüglich schriftlich.
Der Auftraggeber kann einzelne zur Weisung befugte Personen benennen.
Weisungsempfänger sind Supportmitarbeiter des Auftragnehmers.
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich die Nachfolger bzw. die Vertreter mitzuteilen.
Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis diese durch den Verantwortlichen beim Auftraggeber entsprechend geändert wird.
Rechtswidrige Weisungen wird der Auftragnehmer ablehnen.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn bloß der Verdacht einer Verletzung des Schutzes personenbezogener Daten, für den der Auftraggeber verantwortlich ist, besteht.
Der Auftragnehmer verpflichtet sich, seine innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes und dem Risiko für die Rechte und Freiheiten der betroffenen Personen angemessenem Schutzniveau gerecht werden. Er ergreift technische und organisatorische Maßnahmen zum Schutz der Daten des Auftragnehmers, die den Anforderungen der DSGVO gemäß Art. 32 genügen.
Der Auftragnehmer hat technische und organisatorische Maßnahmen zu treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit sowie die Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Der Auftraggeber verpflichtet sich die getroffenen Maßnahmen in diesem Zusammenhang stets auf dem aktuellen Stand der Technik zu halten.
Die Beschreibung der technischen und organisatorischen Maßnahmen gemäß Anhang 1 „TOM“ ist Bestandteil des AV Vertrags.
Der Auftragnehmer verpflichtet sich die Wirksamkeit der getroffenen Maßnahmen regelmäßig, zumindest aber jährlich, zu prüfen, zu bewerten, zu und gegebenenfalls anzupassen.
Änderungen an den getroffenen Maßnahmen bleiben dem Auftragnehmer vorbehalten, wobei sichergestellt werden muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.
Wesentliche Änderungen sind dem Auftraggeber in schriftlicher Form mitzuteilen.
§ 8 Anfragen betroffener Personen
Wendet sich eine betroffene Person mit dem Anliegen der Auskunft, Berichtigung oder Löschung an den Auftragnehmer, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung der Person zu dem jeweiligen Auftraggeber möglich und zulässig ist.
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen nach Kapitel 3 DSGVO (Recht auf Auskunft, Information, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch) im Rahmen seiner Möglichkeiten und gemäß den vertraglich vereinbarten Bedingungen.
Der Auftragnehmer haftet nicht für die Einhaltung der im Rahmen der Anfrage geltenden Vorschriften auf Vollständigkeit und Korrektheit sowie der gesetzlichen Fristen.
Als Untervertragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die unmittelbar mit der Erbringung der im Hauptvertrag beschriebenen Dienstleistung in Zusammenhang stehen und durch verbundene oder fremde Unternehmen erbracht werden.
Mit dem Hinzuziehen verbundener oder fremder Unternehmen durch den Auftragnehmer ist der Auftraggeber einverstanden. Der Auftragnehmer hat den Auftraggeber von der Beauftragung in Kenntnis zu setzen, sodass dieser innerhalb einer Frist von 14 Tagen widersprechen kann.
Eine Liste der aktuell eingesetzten Unterunternehmen inklusive deren jeweiliger Geschäftssitz sind den Allgemeinen Geschäftsbedingungen zu entnehmen. Diese Liste wird bei etwaigen Erweiterungen oder Anpassungen zeitnah aktualisiert.
Beauftragt der Auftragnehmer Subunternehmer so obliegt es dem Auftragnehmer, seine aus diesem Vertrag hervorgehenden datenschutzrechtlichen Verpflichtungen auf diesen zu übertragen. Der Auftragnehmer behält die volle Verantwortung für die von ihm eingesetzten Subunternehmen.
Bei einem schwerwiegenden Verstoß gegen gesetzliche Datenschutzbestimmungen und im Speziellen gegen Bestimmungen des vorliegenden Vertrages kann der Auftraggeber den Hauptvertrag ohne Einhaltung einer Frist schriftlich kündigen.
§ 11 Beendigung des AV-Vertrages
Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Auftraggebers hat der Auftragnehmer die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers entweder zu vernichten oder an den Auftraggeber zu übergeben. Ebenfalls zu vernichten sind sämtliche vorhandenen Kopien der Daten. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen ohne unverhältnismäßig hohen Aufwand nicht mehr möglich ist.
Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer den jeweiligen Aufbewahrungsfristen entsprechend auch über das Vertragsende hinaus aufzubewahren.
Auftragnehmer und Auftraggeber haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelungen.
Erweiterungen und Änderungen dieses Vertrages sind zu ihrer Wirksamkeit schriftlich zu formulieren und dem Auftraggeber unverzüglich mitzuteilen.
Sollte das Eigentum oder die zu verarbeitenden Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als Verantwortlicher im Sinne der DSGVO liegen.
Für Rechtsstreitigkeiten aus einem Vertrag mit dem Anbieter wird der Gerichtsstand am Sitz des Anbieters vereinbart, sofern die Vertragspartner Kaufleute, juristische Personen des öffentlichen Rechts oder des öffentlich-rechtlichen Sondervermögens sind. Der Anbieter bleibt jedoch dennoch berechtigt den Dienstleister bei Vertragsverstoß an dessen Sitz zu verklagen.
Bei etwaigen Widersprüchen gehen Regelungen dieses Vertrages den Regelungen des Hauptvertrages vor.
Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Statt den unwirksamen oder undurchführbaren Bestimmungen gelten diejenigen wirksamen und durchführbaren Regelungen, deren Wirkung der wirtschaftlichen Zielsetzung am nächsten kommt, die die Vertragsparteien mit den unwirksamen bzw. undurchführbaren Bestimmungen verfolgt haben. Die vorstehenden Bedingungen gelten gleichermaßen im Falle einer Vertragslücke.
Anlage 1: Technische und Organisatorische Maßnahmen (TOM)
1. Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)
Laufzeitdaten wie Termine, Erinnerungen u.Ä. werden pseudonymisiert und erlauben ohne Zugriff auf die Stammdaten keinen Rückschluss auf eine konkrete Person
Es erfolgt keine Verwendung von Echtdaten außerhalb der Produktionsumgebung
Zutrittskontrolle – Unsere Server befinden sich in einem 1und1 Rechenzentrum in Deutschland. Der Zutritt ist strengstens geregelt und unter anderem durch folgende Maßnahmen gesichert:
Empfangs- und Ausweispflicht
Zutritt externer Besucher nur in Begleitung
Zutritt wird durch Zutrittskarten mit strengen Auflagen reglementiert
Fernzugriffe auf die internen Systeme sind durch eine Firewall geschützt
Fernzugriffe sind nur in authentifizierter Form möglich
Systeme sind durch Virenschutz abgesichert
Nach 5 fehlgeschlagenen Anmeldeversuchen wird ein Benutzer automatisch gesperrt und kann nur durch einen Administrator entsperrt werden
Direktzugang zu den Daten ist nicht möglich
Der Zugriff auf Daten unterliegt einem Rollen- und Rechtekonzept
Minimale Anzahl von Administratoren, die durch den Kunden verändert werden kann
Verschlüsselung von Zugangsdaten zu den internen System
Physikalische Trennung zwischen Produktions-/Test-/Entwicklungsumgebung
Strikte Trennung der Datensätze durch Mandantenkonzept
Trennung der Daten nach Verwendungszweck
Alle Verbindungen zu unseren Systemen sind verschlüsselt.
Es werden nur sichere Protokolle (ssh, sftp, https) verwendet
Die Verschlüsselung wird immer auf dem Stand der Technik gehalten
Daten werden nur über sichere Protokolle transportiert
Eine Weitergabe von Daten erfolgt ausschließlich gesichert (verschlüsselt und/oder passwortgeschützt)
Änderungen (Anlegen, Aktualisierung) an Datensätzen werden stets protokolliert
Änderungen an Systemeinstellungen werden stets protokolliert
Berechtigungen der Eingabe/Änderung/Löschung unterliegen einem Berechtigungskonzept, das jeder Kunde selbst für seine Benutzer festlegt
4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
Unsere Server befinden sich in einem 1und1 Rechenzentrum in Deutschland, das nach ISO 27001 zertifiziert ist und höchsten Ansprüchen an Verfügbarkeit gerecht wird.
Das 1und1 Netz ist mehrstufig durch Hackerangriffe, wie DDos-Attacken geschützt.
Updates und Patches werden zeitnah eingespielt.
Es werden regelmäßig Backups der Daten erstellt, die räumlich getrennt aufbewahrt werden.
Die zentralen Dienste werden stets durch ein Monitoring überwacht.
Virenschutz, Firewalls und andere relevante Sicherheitssysteme werden stets aktuell gehalten.
Die Serverhardware ist mehrfach redundant und ausfallsicher ausgelegt.
Es existiert eine Brandschutzanlage.
Eine Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird mindestens einmal jährlich durchgeführt.
Regelmäßige Schulung aller mit personenbezogenen Daten in Berührung kommenden Personen, um die Einhaltung der gesetzlichen Vorschriften zu gewährleisten
Datenschutzfreundliche Voreinstellungen unserer Dienste minimieren die anfallenden personenbezogenen Daten
Sorgfältige Auswahl von Subunternehmern/Auftragsverarbeitern, vor allem in Bezug auf den Datenschutz
Abschluss notwendiger Vereinbarungen mit eventuellen Subunternehmern/Auftragsverarbeitern und deren Überprüfung
Kundenspezifische Dokumentation von Weisungen und Tätigkeiten im Rahmen der Auftragsverarbeitung
Datenschutzvorfälle werden unverzüglich dokumentiert und ausgewertet.

References: Art. 28
 Art. 28

§ 1
 Art. 28

§ 2

§ 3
 Art. 4

§ 5
 Art. 32

§ 8

§ 11
 Art. 82
 Art. 25