Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen

dem Kunden gemäß Hauptvertrag
(Name und Anschrift: )
— nachfolgend „Verantwortlicher" —

und

Xspire UG (haftungsbeschränkt), Am Moshagen 19, 33818 Leopoldshöhe
— nachfolgend „Auftragsverarbeiter" —

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Rahmen des Hauptvertrags über die Nutzung der Plattform Vocatio (nachfolgend „Hauptvertrag"). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

(2) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag: Bereitstellung, Betrieb und Wartung der Plattform einschließlich Speicherung, Anzeige und Verwaltung der vom Verantwortlichen oder seinen Nutzern eingegebenen Daten sowie Support.

(2) Kategorien betroffener Personen: Mitarbeiter, Ansprechpartner und Mitglieder des Verantwortlichen; Kunden, Interessenten und Kontaktpersonen des Verantwortlichen; sonstige Personen, deren Daten der Verantwortliche oder seine Nutzer in die Plattform eingeben.

(3) Kategorien personenbezogener Daten: Stammdaten (Name, Kontaktdaten, Organisationszugehörigkeit), Kommunikationsdaten, Vertrags- und Anfragedaten, Nutzungsdaten.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung, es sei denn, die Parteien vereinbaren dies ausdrücklich in Textform und treffen die dafür erforderlichen zusätzlichen Schutzmaßnahmen. Der Verantwortliche stellt sicher, dass solche Daten ohne eine derartige Vereinbarung nicht in die Plattform eingegeben werden. Dies gilt insbesondere für Angaben, aus denen die Religionszugehörigkeit hervorgeht.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Der Hauptvertrag und diese Vereinbarung stellen die generelle Weisung dar. Einzelweisungen sind in Textform zu erteilen.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1) und passt diese fortlaufend dem Stand der Technik an. Änderungen sind zulässig, sofern das Schutzniveau nicht unterschritten wird.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen (Art. 12–23 DSGVO) zu beantworten, sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar.

(5) Ansprechpartner des Auftragsverarbeiters für Datenschutzfragen ist David Rosemeier, erreichbar unter support@vocatio.digital.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) mindestens vier Wochen im Voraus in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, steht beiden Parteien ein Kündigungsrecht hinsichtlich des Hauptvertrags zu.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 6 Übermittlung in Drittländer

Die Verarbeitung erfolgt ausschließlich auf Servern in der Europäischen Union: Hosting und Datenbanken in Deutschland (Sliplane GmbH, Rechenzentrum der Hetzner Online GmbH in Falkenstein/Vogtland), der E-Mail-Versand in der EU (Hola Money S.L., Buzzmark). Beide Unterauftragsverarbeiter haben ihren Sitz in der Europäischen Union. Eine Verarbeitung in Drittländern findet nicht statt.

§ 7 Kontrollrechte des Verantwortlichen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen — vorrangig durch Einholung von Selbstauskünften, aktuellen Testaten oder Zertifizierungen; darüber hinaus nach angemessener Vorankündigung von mindestens 14 Tagen durch Inspektionen während der üblichen Geschäftszeiten, ohne den Geschäftsbetrieb unverhältnismäßig zu stören. Der Auftragsverarbeiter kann für Inspektionen, die über eine Prüfung pro Kalenderjahr hinausgehen und nicht durch einen konkreten Anlass begründet sind, eine angemessene Vergütung verlangen.

§ 8 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine Verpflichtung zur Speicherung nach Unions- oder mitgliedstaatlichem Recht besteht. Die Modalitäten des Datenexports richten sich nach dem Hauptvertrag (§ 6 Abs. 6 der AGB: Weiternutzung in der kostenlosen Version mit Exportfunktion; Löschung innerhalb von 30 Tagen nach Verlangen; bei Kündigung durch den Anbieter Export noch 30 Tage nach dem Ende der Nutzung).

(2) Die Löschung wird dem Verantwortlichen auf Verlangen in Textform bestätigt.

§ 9 Schlussbestimmungen

(1) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieser Vereinbarung vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(3) Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit
   • Zutrittskontrolle: Betrieb der Systeme in einem gesicherten Rechenzentrum der Hetzner Online GmbH in Falkenstein/Vogtland, Deutschland (zertifiziert nach ISO/IEC 27001), bereitgestellt über die Sliplane GmbH; kein physischer Zugang durch den Auftragsverarbeiter erforderlich.
   • Zugangskontrolle: personalisierte Zugänge, Passwortrichtlinien, Zwei-Faktor-Authentifizierung für administrative Zugänge.
   • Zugriffskontrolle: rollenbasiertes Berechtigungskonzept nach dem Need-to-know-Prinzip.
   • Trennungskontrolle: logisch mandantengetrennte Datenhaltung je Kunde.
2. Integrität
   • Weitergabekontrolle: Transportverschlüsselung (TLS) aller Verbindungen über öffentliche Netze, auch zur Datenbank. Verbindungen zwischen Diensten auf demselben Server laufen ausschließlich in dessen privatem Netz und sind von außen nicht erreichbar.
   • Eingabekontrolle: Protokollierung administrativer Zugriffe und wesentlicher Datenänderungen.
3. Verfügbarkeit und Belastbarkeit
   • Automatische Sicherung der Datenbank mit Wiederherstellung auf jeden Zeitpunkt der letzten 7 Tage; zusätzlich tägliche verschlüsselte Sicherung mit 30 Tagen Aufbewahrung in Deutschland. Das Wiederherstellungsverfahren ist dokumentiert und wird getestet.
   • Überwachung der Erreichbarkeit der Plattform mit Benachrichtigung bei Störungen.
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
   • Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen.
   • Dokumentierter Prozess zur Behandlung von Sicherheitsvorfällen (Incident Response) einschließlich der Meldewege nach § 4 Abs. 4.
   • Sorgfältige Auswahl und vertragliche Bindung der Unterauftragsverarbeiter (Anlage 2).

Anlage 2 — Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter werden nicht eingesetzt.