Vertrag zur Auftragsverarbeitung (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen	Ihre Angaben aus dem Formular am Ende dieser Seite – im Folgenden „Auftraggeber“ –
und	büro & service Hartramf Christiane Hartramf Oberhofstr. 27 63073 Offenbach am Main – im Folgenden „Auftragnehmer“ –

1 Einleitung, Geltungsbereich, Definitionen

1.1  Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (im Folgenden „Parteien“ genannt) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag.

1.2  Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen der Auftragnehmer, Mitarbeiter des Auftragnehmers oder durch ihn beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Auftraggebers verarbeiten.

1.3  In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der EU-Datenschutz-Grundverordnung (DSGVO) zu verstehen. Soweit Erklärungen nach diesem Vertrag schriftlich oder in Textform zu erfolgen haben, genügt die Textform nach § 126b BGB, insbesondere per E-Mail. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.

2 Gegenstand und Dauer der Verarbeitung

2.1  Die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer ist Gegenstand des vorliegenden Vertrages. Die Tätigkeiten ergeben sich aus Anlage 4 sowie dem Hauptvertrag. Der Auftragnehmer (Verarbeiter) erhält hierbei Zugriff auf personenbezogene Daten und verarbeitet diese ausschließlich im Auftrag und nach Weisung des Auftraggebers (Verantwortlicher). Der Verantwortliche ist allein für die Beurteilung der Zulässigkeit der Datenverarbeitungsvorgänge nach Art. 6 DSGVO sowie die Wahrung der Betroffenenrechte verantwortlich.

2.2  Die Laufzeit des Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Eine ordentliche Kündigung dieses Vertrages ohne eine zeitgleiche Kündigung des Hauptvertrags ist unzulässig. Das Recht zur außerordentlichen, fristlosen Kündigung bleibt davon unberührt (siehe dazu Abschnitt 13 Sonderkündigungsrecht). Ein separates Aufkündigen des Auftragsverarbeitungsvertrags kann dazu führen, dass der Hauptvertrag nicht weiter ausgeführt werden kann, ohne gegen die DSGVO zu verstoßen.

2.3  Zur beiderseitigen Kündigung des Vertrages bedarf es keiner Frist. Der Auftragsverarbeiter ist über das Vertragsverhältnis hinaus unbefristet dazu verpflichtet, die im Rahmen dieser Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln.

3 Pflichten des Auftragnehmers

3.1  Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.

3.2  Der Auftragnehmer bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

3.3  Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.

3.4  Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

3.5  Der Auftragsverarbeiter setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragsverarbeiter und jede dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Verantwortlichen verarbeiten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.

3.6  Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Auftragnehmer, den Auftraggeber im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.

3.7  Der Verantwortliche ist berechtigt, die Prüfung selbst oder durch einen im Einzelfall zu benennenden Dritten (Prüfer) durchführen zu lassen. Der Verantwortliche hat die Durchführung eines solchen Audits mit einer angemessenen Frist im Voraus in Textform anzukündigen. Der Verantwortliche ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragsverarbeiters, zu Informationen hinsichtlich Kosten, zur Qualitätsprüfung und Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragsverarbeiters, die nicht unmittelbar relevant für die vereinbarten Kontrollzwecke sind, zu erhalten. Bei der Prüfung verpflichtet sich der Verantwortliche zur strikten Geheimhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragsverarbeiters.

3.8  Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an ihn gerichtete Anfragen wird er unverzüglich an den Auftraggeber weiterleiten.

3.9  Soweit gesetzlich verpflichtet, bestellt der Auftragnehmer eine fachkundige und zuverlässige Person als Beauftragten für den Datenschutz. Es ist sicherzustellen, dass für den Beauftragten keine Interessenskonflikte bestehen. In Zweifelsfällen kann sich der Auftraggeber direkt an den Datenschutzbeauftragten wenden. Der Auftragnehmer teilt im Falle einer gesetzlichen Verpflichtung zur Bestellung eines Datenschutzbeauftragten dem Auftraggeber dies mit. Änderungen in der Person oder den innerbetrieblichen Aufgaben des Beauftragten teilt der Auftragnehmer dem Auftraggeber unverzüglich mit.

3.10  Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU oder des EWR. Jegliche Verlagerung in ein Drittland darf nur mit Zustimmung des Auftraggebers und unter den in Kapitel V der Datenschutz-Grundverordnung enthaltenen Bedingungen sowie bei Einhaltung der Bestimmungen dieses Vertrags erfolgen.

3.11  Der Auftragnehmer sichert zu, den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 Datenschutz-Grundverordnung im erforderlichen Umfang zu unterstützen.

4 Technische und organisatorische Maßnahmen

4.1  Die in Anlage 1 beschriebenen Datensicherheitsmaßnahmen werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum.

4.2  Die Datensicherheitsmaßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen hat der Auftragnehmer unverzüglich umzusetzen. Wesentliche Änderungen sind dem Auftraggeber in Textform mitzuteilen.

4.3  Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr genügen, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

4.4  Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.

4.5  Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen sowie Datensicherungen, soweit eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist.

4.6  Die Verarbeitung von Daten in Privatwohnungen (Homeoffice) ist gestattet. Soweit eine solche Verarbeitung erfolgt, ist vom Auftragnehmer sicherzustellen, dass dabei ein diesem Vertrag entsprechendes Niveau an Datenschutz und Datensicherheit aufrechterhalten wird. Die Verarbeitung von Daten im Auftrag mit Privatgeräten, z. B. durch Mitarbeiter des Auftragnehmers, ist unter keinen Umständen gestattet.

4.7  Dedizierte Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet und unterliegen der laufenden Verwaltung. Sie sind jederzeit angemessen aufzubewahren und dürfen unbefugten Personen nicht zugänglich sein.

4.8  Der Auftragnehmer weist die Erfüllung seiner Pflichten, insbesondere die Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen, auf Anforderung des Auftraggebers in geeigneter Weise nach. Der Nachweis kann auch durch genehmigte Verhaltensregeln oder ein genehmigtes Zertifizierungsverfahren erbracht werden.

5 Regelungen zur Berichtigung, Löschung und Einschränkung von Daten

5.1  Im Rahmen des Auftrags verarbeitete Daten wird der Auftragnehmer nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder in der Verarbeitung einschränken.

5.2  Den entsprechenden Weisungen des Auftraggebers wird der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten, sofern er dabei keine Datenschutzverletzung begeht. Ist dem Auftragnehmer bekannt, dass er gegen Gesetze verstößt, darf er die Fortsetzung der Tätigkeit verweigern.

6 Unterauftragsverhältnisse

6.1  Eine Einschaltung von Unterauftragnehmern bedarf der vorhergehenden, jederzeit widerrufbaren Zustimmung des Verantwortlichen in Textform und der Aufnahme in die Anlage 2 (Liste der Unterauftragnehmer als zusätzliche Auftragsverarbeiter). Der Verantwortliche ist berechtigt, die Zustimmung nach eigenem Ermessen zu verweigern.

6.2  Die Zustimmung ist nur möglich, wenn dem Unterauftragnehmer vertraglich mindestens Datenschutzpflichten auferlegt wurden, die den in diesem Vertrag vereinbarten vergleichbar sind. Der Auftraggeber erhält auf Verlangen Einsicht in die relevanten Verträge zwischen Auftragnehmer und Unterauftragnehmer.

6.3  Die Rechte des Auftraggebers müssen auch gegenüber dem Unterauftragnehmer wirksam ausgeübt werden können. Insbesondere muss der Auftraggeber berechtigt sein, jederzeit in dem hier festgelegten Umfang Kontrollen auch bei Unterauftragnehmern durchzuführen oder durch Dritte durchführen zu lassen.

6.4  Der Auftragnehmer wählt den Unterauftragnehmer unter besonderer Berücksichtigung der Eignung der vom Unterauftragnehmer getroffenen technischen und organisatorischen Maßnahmen sorgfältig aus.

6.5  Die Beauftragung von Unterauftragnehmern, die Verarbeitungen im Auftrag nicht ausschließlich aus dem Gebiet der EU oder des EWR erbringen, ist nur bei Beachtung der in Absatz 3.10 dieses Vertrages genannten Bedingungen möglich. Sie ist insbesondere nur zulässig, soweit und solange der Unterauftragnehmer angemessene Datenschutzgarantien bietet. Der Auftragnehmer teilt dem Auftraggeber mit, welche konkreten Datenschutzgarantien der Unterauftragnehmer bietet und wie ein Nachweis hierüber zu erlangen ist.

6.6  Der Auftragnehmer hat die Einhaltung der Pflichten des Unterauftragnehmers regelmäßig zu überprüfen.

6.7  Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

6.8  Zurzeit sind die in Anlage 2 mit Namen, Anschrift und Auftragsinhalt bezeichneten Unterauftragnehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang beschäftigt und durch den Auftraggeber genehmigt. Die hier niedergelegten sonstigen Pflichten des Auftragnehmers gegenüber Unterauftragnehmern bleiben unberührt.

6.9  Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen, wie beispielsweise Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdienstleistungen oder Benutzerservice sind nicht erfasst. Die Pflicht des Auftragnehmers, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

6.10  Der Auftragsverarbeiter informiert den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen innerhalb von 30 Tagen Einspruch zu erheben (Art. 28 Abs. 2 Satz 2 DSGVO). Zudem hat der Auftraggeber jederzeit das Recht, eine erteilte Einwilligung mit Wirkung für die Zukunft zu widerrufen (vergleiche 6.1).

7 Rechte und Pflichten des Auftraggebers

7.1  Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird der Auftraggeber unverzüglich dokumentiert bestätigen.

7.2  Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

7.3  Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie sonstige Kontrollen vor Ort zu kontrollieren. Dabei ist dem Auftraggeber vom Auftragnehmer soweit erforderlich Zutritt und Einblick zu ermöglichen. Der Auftragnehmer ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind.

7.4  Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Auftraggeber zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten des Auftragnehmers statt.

8 Mitteilungspflichten

8.1  Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle hierauf sind mitzuteilen. Die Mitteilung hat unverzüglich ab Kenntnis des Auftragnehmers vom relevanten Ereignis an eine vom Auftraggeber benannte Adresse zu erfolgen. Sie muss mindestens folgende Angaben enthalten:

8.1.1  eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

8.1.2  den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;

8.1.3  eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

8.1.4  eine Beschreibung der vom Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

8.2  Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen.

8.3  Der Auftragnehmer informiert den Auftraggeber unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.

9 Weisungen

9.1  Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

9.2  Auftraggeber und Auftragnehmer benennen die zur Erteilung und Annahme von Weisungen ausschließlich befugten Personen in Anlage 3.

9.3  Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger bzw. Vertreter unverzüglich mitzuteilen.

9.4  Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt, ergänzt, geändert oder widerrufen wird. Für den Fall, dass sich der Auftragsverarbeiter durch das Befolgen der Weisung einem Haftungsrisiko aussetzt, kann er die Durchführung aussetzen. Dies stellt keinen Vertragsbruch dar und berechtigt den Auftraggeber auch nicht zu einer außerordentlichen Kündigung des Vertragsverhältnisses.

9.5  Der Auftragnehmer hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.

10 Beendigung des Auftrags

10.1  Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Auftraggebers hat der Auftragnehmer die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers entweder zu vernichten oder an den Auftraggeber zu übergeben, soweit keine gesetzliche Pflicht zur Speicherung besteht. Ebenfalls zu vernichten sind sämtliche vorhandene Kopien der Daten. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Eine physische Vernichtung erfolgt gemäß DIN 66399.

10.2  Der Auftragnehmer ist verpflichtet, die unverzügliche Rückgabe bzw. Löschung auch bei Unterauftragnehmern herbeizuführen.

10.3  Der Auftragnehmer hat den Nachweis der ordnungsgemäßen Vernichtung zu führen und dem Auftraggeber auf Verlangen vorzulegen.

10.4  Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer den jeweiligen Aufbewahrungsfristen entsprechend auch über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung dem Auftraggeber bei Vertragsende übergeben.

11 Vergütung

Die Vergütung des Auftragnehmers ist unabhängig von diesem Vertrag geregelt. Fordert der Auftraggeber vom Auftragnehmer z. B. Unterstützungsleistungen gemäß der sich aus diesem Vertrag ergebenden Pflichten oder macht der Auftraggeber von seinem Kontrollrecht Gebrauch, so wird die hierzu vom Auftragnehmer aufgebrachte Zeit zum üblichen Stundensatz, welcher sich aus dem Hauptvertrag bzw. möglicher späterer Nebenabreden in Textform (z. B. Stundensatzanpassung) ergibt, abgerechnet.

12 Haftung

12.1  Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten im Übrigen die gesetzlichen Vorschriften.

12.2  Entsteht ein Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Auftraggeber erteilten Weisung, stellt der Auftraggeber den Auftragnehmer im Innenverhältnis von der Haftung frei.

13 Sonderkündigungsrecht

13.1  Der Auftraggeber kann den Hauptvertrag jederzeit ohne Einhaltung einer Frist kündigen („außerordentliche Kündigung“), wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert.

13.2  Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.

13.3  Bei unerheblichen Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Auftraggeber zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt. Dies kann Auswirkungen auf den Fortbestand des Hauptvertrages haben.

14 Sonstiges

14.1  Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur Freigabe in Textform durch die andere Partei als vertraulich zu behandeln.

14.2  Sollte Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.

14.3  Für Nebenabreden ist die Textform erforderlich.

14.4  Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

14.5  Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

14.6  Sämtliche Anlagen zu diesem Vertrag sind Vertragsbestandteil.

15 Vertragsschluss

Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragnehmer bietet ihn auf seiner Internetseite an; der Auftraggeber nimmt das Angebot an, indem die vertretungsberechtigte Person das Online-Formular mit den Angaben des Auftraggebers ausfüllt und absendet. Beide Parteien erhalten den Vertrag anschließend als PDF-Dokument per E-Mail.

Anlage 1 – Technisch-organisatorische Maßnahmen

Im Folgenden werden die technischen und organisatorischen Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit festgelegt, die der Auftragnehmer mindestens einzurichten und laufend aufrechtzuerhalten hat. Ziel ist die Gewährleistung insbesondere der Vertraulichkeit, Integrität und Verfügbarkeit der im Auftrag verarbeiteten Informationen. Für die Vernichtung gemäß DIN 66399 gilt Schutzklasse 2, Sicherheitsstufe 4.

(1) Datenschutzmanagement

Folgende Maßnahmen werden regelmäßig (einmal jährlich) geprüft und ggf. angepasst: Es wird regelmäßig geprüft, ob und in welchem Umfang Zugangs- sowie Zugriffsrechte noch erforderlich sind. Dies gilt auch für die technischen und organisatorischen Maßnahmen. Neu abgeschlossene Verträge werden einer Prüfung unterzogen, ob ein AVV erforderlich ist, und er wird entsprechend abgeschlossen. Es wird darauf geachtet, dass nur solche Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind. Mitarbeiter und Subunternehmer werden auf die Einhaltung des Datengeheimnisses und Datenschutzes verpflichtet.

(2) Zutrittskontrolle

Der Zutritt zu den Geschäftsräumen wird während der Geschäftszeiten durch Mitarbeiter kontrolliert. Die Geschäftsräume befinden sich in einem Gewerbeobjekt im ersten Stock. Der Zugang ins Haus ist erst nach manueller Türöffnung möglich. Für Kunden und Externe steht ein abgetrennter Meetingraum zur Verfügung. Die Büroräume können lediglich von Mitarbeitern betreten werden, Unbefugte erhalten keinen Zutritt zu den Arbeitsräumen. Die Räumlichkeiten sind durch abgeschlossene Einheiten getrennt. Es besteht ein manuelles Schließsystem.

Mitarbeiter im Homeoffice haben keine Geschäftsdaten auf den Rechnern durch die Nutzung eines Terminalservers. In der Regel werden keine Unterlagen ins Homeoffice mitgenommen oder ausgedruckt, da vorrangig digital gearbeitet wird. Sollten dennoch Unterlagen ausgedruckt werden, so werden diese vom Mitarbeiter in einem abschließbaren Schrank aufbewahrt, zu dem nur der Mitarbeiter Zugang hat.

(3) Zugangskontrolle

Es wird ausschließlich auf einem Terminalserver gearbeitet, der im privaten, abgeschlossenen Keller untergebracht ist. Der Server ist mit einem Firewall-System abgesichert. Der externe Zugriff (Remote-Zugriff) auf diesen Terminalserver erfolgt über VPN. Mitarbeiter erhalten Zugang zum System über einen individuellen Benutzernamen und ein Kennwort. Das Kennwort muss nach BSI-Richtlinien 8 bis 12 Zeichen lang sein und vier Zeichenarten nutzen. Die Einhaltung der Passwortvorgaben erfolgt über die Gruppenrichtlinien. Auf den Zugangsrechnern sowie auf dem Server ist fortlaufend aktualisierte Virenschutzsoftware vorhanden. Der Mailserver wird ebenfalls selbst auf diesem Server gehostet und ist entsprechend mit Viren- und Spamschutz abgesichert. Die Wartung der Systeme erfolgt intern.

(4) Zugriffskontrolle

Zur Vernichtung von Papierunterlagen steht den entsprechenden Mitarbeitern ein Aktenvernichtungsgerät der Stufe P4 sowohl im Büro als auch in den Homeoffices zur Verfügung. Für den unberechtigten Zugriff auf digitale Daten werden Firewall, Viren- und Spamfilter sowie Benutzerkonten und Passwortsicherheit eingesetzt. Das zentrale Rechtemanagement für die Windows-Benutzer wird über das Active-Directory-System gesteuert. Personenbezogene Daten können nur im Rahmen des Berechtigungskonzepts gelesen, kopiert, verändert oder entfernt werden. Eingesetzte Software wird regelmäßig gewartet und aktualisiert, mindestens einmal im Monat. Datenträger, Tablets und Smartphones, welche veraltet sind oder nicht mehr benötigt werden, werden vollständig bereinigt und unwiderruflich vernichtet. Die sichere Löschung von Datenträgern erfolgt durch den Einsatz spezieller Software. Grundsätzlich kommt nur ausgetestete und individuell ausgewählte Software zum Einsatz. Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind.

(5) Weitergabekontrolle

Für den sensiblen Datenaustausch, z. B. von Unterlagen mit personenbezogenen Daten, steht eine selbst betriebene Nextcloud auf einem eigenen dedizierten Server in einem Rechenzentrum der Hetzner Online GmbH in der EU zur Verfügung. Kunden erhalten Zugriff auf freigegebene Ordner durch individuelle Links sowie Passwörter. Die Löschung der Daten erfolgt nach dem Austausch, spätestens aber nach drei Monaten. Die Webkommunikation ist durch HTTPS-(SSL-)Verschlüsselung abgesichert. Der Zugriff ins interne Firmennetz erfolgt über VPN-Tunnel.

(6) Eingabekontrolle

Es sind Benutzerprofile vorhanden, sodass Eingaben und Änderungen nachvollzogen werden können. Personenbezogene Daten können nur im Rahmen des Berechtigungskonzepts gelesen, kopiert, verändert oder entfernt werden.

(7) Auftragskontrolle

Bei neu abgeschlossenen Verträgen erfolgt eine Prüfung, ob ein AVV erforderlich ist, und er wird entsprechend abgeschlossen. Mitarbeiter und Subunternehmer werden auf die Einhaltung des Datengeheimnisses und Datenschutzes verpflichtet. Kommen neue Subunternehmer zum Einsatz, wird die Anlage 2 nach Genehmigung durch den Auftraggeber erweitert, ein Zusatz in Textform erstellt und erst dann eingesetzt. Der Subunternehmer muss dieselben Datenschutzpflichten erfüllen, die in dem Vertrag zwischen dem Auftraggeber und dem Auftragnehmer festgelegt sind.

(8) Verfügbarkeitskontrolle

Zur Absicherung der Server und NAS steht eine unterbrechungsfreie Stromversorgung zur Verfügung. Es erfolgen regelmäßig Backups, die an einem anderen Ort gelagert werden. Die Daten befinden sich auf einer NAS, die mit einer baugleichen NAS außerhalb des Büros im Privathaus gespiegelt wird. Domänencontroller, Datenbankserver und Terminalserver sind virtuelle Maschinen, die stündlich auf den obengenannten NAS gesichert werden und somit jederzeit auf neuer Hardware wiederhergestellt werden können. Somit sind personenbezogene Daten ständig verfügbar und durch regelmäßige Backups auch außerhalb gegen zufällige Zerstörung oder Verlust geschützt.

(9) Trennungsgebot

Für die Nutzung verschiedener Aufgabenbereiche stehen verschiedene virtuelle Server zur Verfügung. Berechtigte Personen können nur auf für sie berechtigte Daten zugreifen. Es findet eine Trennung der Produktiv- von der Test- und Entwicklungsumgebung statt. Kunden haben in der Nextcloud nur Zugriff auf ihre eigenen Austauschordner, genauso wie die Daten der Kunden bei uns getrennt voneinander gespeichert werden.

Stand: Oktober 2026

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Der Verantwortliche stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter zu:

Unternehmen	Leistung
Haufe Service Center GmbH Munzinger Straße 9 79111 Freiburg	Nutzung des Datenübermittlungsverfahrens Lexware meldecenter. Dieses Datenübermittlungsverfahren beinhaltet die Aufbewahrung der übermittelten Meldungen, die damit im Zusammenhang stehende Kundenbetreuung, den Support und die Fernwartung sowie eine Kundendatendiagnose in Supportsituationen.
Haufe Service Center GmbH Munzinger Straße 9 79111 Freiburg	Nutzung von Lexware myCenter als Teil der Lizenzvereinbarung zur Nutzung des On-Premise-Produktes Lexware reisekosten plus/pro, Lexware fehlzeiten plus/pro oder Lexware Lohn-Auswertungen.
Haufe Service Center GmbH Munzinger Straße 9 79111 Freiburg	Remoteunterstützung: Im Supportfall ist es dem Auftragsverarbeiter möglich, sich unter direkter/aktiver Mitwirkung auf einen Rechner/Server des Verantwortlichen mit Sicht- oder Steuerungsrechten (z. B. zur Anpassung von produktspezifischen Systemeinstellungen) zu verbinden. Bei Bedarf dürfen für zusätzliche Analysezwecke nach Rücksprache mit dem Verantwortlichen während der Remotesitzung ein Screenshot vom Bildschirm gemacht oder PDFs/Dateien mit Belegdaten heruntergeladen werden.
TeamViewer Germany GmbH Bahnhofsplatz 2 73033 Göppingen	Fernwartungssoftware
pcvisit Software AG Manfred-von-Ardenne-Ring 20 01099 Dresden	Fernwartungssoftware
cobra – computer’s brainware GmbH Weberinnenstraße 7 78467 Konstanz	Support und Wartung der Adress- und Kontaktverwaltung (CRM)
Hetzner Online GmbH Industriestraße 25 91710 Gunzenhausen	Bereitstellung des dedizierten Servers (Rechenzentrum in der EU), auf dem der Auftragnehmer die Internetseite mit den Online-Formularen und die Nextcloud für den Datenaustausch mit Kunden selbst betreibt

Anlage 3 – Weisungsberechtigte Personen

Folgende Personen sind zur Erteilung und Entgegennahme von Weisungen gemäß diesem AV-Vertrag befugt:

a. Weisungsberechtigte Personen des Auftraggebers:
Die im Formular genannte vertretungsberechtigte Person sowie gegebenenfalls weitere dort genannte Personen.

b. Zur Entgegennahme berechtigte Personen beim Auftragnehmer:
Christiane Hartramf, Inhaberin
Telefon 069 89906565
ch@lexpro.de

Anlage 4 – Tätigkeiten des Auftragnehmers

(1) Gegenstand des Vertrages

Der Auftragnehmer übernimmt folgende Verarbeitungen: laufende Lohnabrechnung, Lohnsteueranmeldungen, Lohnbuchhaltung (Gehaltsabrechnungen, Übersicht über Krankheitstage), Beantworten von Personalfragen. Eine Rechts- oder Steuerberatung wird ausdrücklich nicht durchgeführt und auch nicht angeboten.

(2) Art der Daten

Es werden folgende Daten verarbeitet:

• Stammdaten (z. B. Name, Adresse, Geburtsdatum, Staatsangehörigkeit, Familienstand)
• Kontaktdaten (z. B. Telefonnummern, Telefaxnummern, E-Mail-Adresse)
• Sozialversicherungsdaten (z. B. Sozialversicherungsnummer, Krankenkasse)
• Lohnsteuerdaten inkl. Gehaltsdaten (z. B. Steuer-Identifikationsnummer, Steuerklasse)
• Daten über Familienverhältnisse und Angehörige
• Lohnabrechnungsrelevante Daten (z. B. Tätigkeitsbereich, Ausbildung, Bankverbindungen, Krankheitstage, Urlaubsverhältnisse, Religionszugehörigkeit)
• Meldetatbestände von Mitarbeitern
• Zeugnisse, Beurteilungen, Nachweise
• RV-relevante Daten
• Kundenrelevante Vertragsdaten

Darunter befinden sich besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, soweit für die Abrechnung erforderlich: Religionszugehörigkeit (Kirchensteuermerkmal) und Gesundheitsdaten (z. B. Arbeitsunfähigkeitszeiten, Schwerbehinderung).

(3) Kategorien der betroffenen Personen

Von der Verarbeitung betroffen sind:

• Mitarbeiter, einschließlich Auszubildender, Aushilfen, geringfügig Beschäftigter und ehemaliger Mitarbeiter
• Angehörige der Mitarbeiter, soweit für die Abrechnung erforderlich
• Ansprechpartner des Auftraggebers (z. B. Geschäftsführung, Personalverantwortliche)

(4) Art der Daten und Zweck der Verarbeitung

Die Art der Daten und der Zweck der Verarbeitung ergeben sich aus dieser Anlage sowie dem Mandatsvertrag. Die Verarbeitung dient folgendem Zweck: Durchführung der Tätigkeiten entsprechend der Vorschrift des § 6 Nr. 4 und 3 StBerG: laufende Lohnabrechnung, Lohnsteueranmeldungen.