Legal Document

Auftragsverarbeitungs­vertrag (AVV)

gemäß Art. 28 DSGVO

Zwischen

dem jeweiligen Kunden, der das Abonnement für die Software Phoenix Desk abgeschlossen und diesen AVV im Rahmen des Bestellprozesses elektronisch akzeptiert hat
-- im Folgenden „Auftraggeber“ oder „Verantwortlicher“ --

und der

Phoenix Horizon UG
Helsinkier Straße 63
18107 Rostock
vertreten durch den Geschäftsführer Kevin Jens
-- im Folgenden „Auftragsverarbeiter“ --

§ 1 Gegenstand und Dauer der Auftragsverarbeitung

  • 1.1. Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Erbringung von SaaS-Dienstleistungen (Bereitstellung der Agentursoftware Phoenix Desk) gemäß dem geschlossenen Hauptvertrag (Abonnement).
  • 1.2. Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Er endet automatisch mit der Beendigung des Hauptvertrages, ohne dass es einer separaten Kündigung bedarf.

§ 2 Art und Zweck der Verarbeitung, Kreis der Betroffenen

  • 2.1. Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der Softwarefunktionen von Phoenix Desk, insbesondere zur Projektplanung, Zeiterfassung und Verwaltung von Agenturprojekten in einer Cloud-Umgebung.
  • 2.2. Art der Verarbeitung: Erhebung, Speicherung, Organisation, Strukturierung, Veränderung, Abfrage, Nutzung und Löschung von Daten.
  • 2.3. Art der Daten: Personenstammdaten, Kontaktdaten (E-Mail-Adressen, Telefonnummern), Vertragsdaten, Arbeitszeiten sowie Abrechnungsdaten und Kommunikationsinhalte innerhalb der Projektverwaltung.
  • 2.4. Betroffene Personen: Mitarbeiter, externe Freelancer sowie Kunden und Geschäftspartner des Auftraggebers.

§ 3 Pflichten des Auftragsverarbeiters

  • 3.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (inklusive dieses Vertrages), sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist. Die Verarbeitung findet grundsätzlich innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) statt.
  • 3.2. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
  • 3.3. Der Auftragsverarbeiter ergreift alle erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuell ergriffenen Maßnahmen sind in Anlage 1 zu diesem Vertrag dokumentiert.
  • 3.4. Der Auftragsverarbeiter gewährleistet die strikte Trennung der Daten des Auftraggebers von Daten anderer Kunden.

§ 4 Einschaltung von Unterauftragsverarbeitern

  • 4.1. Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) im Sinne des Art. 28 Abs. 2 DSGVO hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt.
  • 4.2. Der Auftragsverarbeiter wird den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern informieren. Der Auftraggeber kann der Änderung aus wichtigem, datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.
  • 4.3. Der Auftragsverarbeiter stellt vertraglich sicher, dass dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden, die in diesem Vertrag festgelegt sind.

§ 5 Unterstützungspflichten und Betroffenenrechte

  • 5.1. Der Auftragsverarbeiter unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (z.B. Auskunft, Berichtigung, Löschung) zu erfüllen.
  • 5.2. Macht eine betroffene Person ihre Rechte direkt gegenüber dem Auftragsverarbeiter geltend, so wird dieser das Ersuchen unverzüglich an den Auftraggeber weiterleiten.
  • 5.3. Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung).

§ 6 Mitteilungspflichten bei Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten (Data Breach) bekannt geworden ist, diese Vorfälle. Die Meldung muss zumindest die Art der Verletzung, die Kategorien betroffener Daten und mögliche Maßnahmen zur Behebung oder Abmilderung umfassen.

§ 7 Kontrollrechte des Auftraggebers

  • 7.1. Der Auftraggeber hat das Recht, sich von der Einhaltung der in diesem Vertrag getroffenen Vereinbarungen und der gesetzlichen Bestimmungen zur Datensicherheit zu überzeugen.
  • 7.2. Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zur Verfügung, um die Einhaltung der Verpflichtungen nach Art. 28 DSGVO nachzuweisen. Dies erfolgt primär durch die Bereitstellung von Audit-Berichten, Zertifikaten oder aussagekräftigen Eigenauskünften.
  • 7.3. Vor-Ort-Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer sind nach rechtzeitiger Vorankündigung und zu den üblichen Geschäftszeiten möglich, sofern die Bereitstellung von Berichten oder Zertifikaten zur Überprüfung nicht ausreicht. Der Auftraggeber stellt sicher, dass Störungen des Geschäftsbetriebs des Auftragsverarbeiters vermieden werden.

§ 8 Weisungsbefugnis

Weisungen des Auftraggebers werden in der Regel elektronisch über das Software-Interface oder per E-Mail erteilt. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, wird er den Auftraggeber unverzüglich darauf hinweisen. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 9 Löschung und Rückgabe von Daten

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Auftraggebers entweder alle personenbezogenen Daten oder gibt sie zurück. Soweit gesetzliche Aufbewahrungspflichten bestehen, erfolgt statt der Löschung eine Einschränkung der Verarbeitung. Unabhängig davon werden Kundendaten standardmäßig 30 Tage nach Vertragsbeendigung unwiderruflich aus den aktiven Datenbanken des Systems gelöscht.

§ 10 Haftung

Für den Ersatz von Schäden, die eine betroffene Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen der Auftragsverarbeitung erleidet, haften die Parteien gemäß Art. 82 DSGVO. Im Innenverhältnis stellt der Auftragsverarbeiter den Auftraggeber von Ansprüchen Dritter frei, die auf einer schuldhaften Verletzung der Pflichten aus diesem Vertrag oder der Datenschutzgesetze durch den Auftragsverarbeiter beruhen.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

  • Zutrittskontrolle: Serverstandorte in ISO-zertifizierten Rechenzentren (Hetzner, IONOS) mit Videoüberwachung und Zugangskontrolle.
  • Administrative Zugänge: Zugänge zu Cloud-Konsolen, Servern, Speicher-, Datenbank- und sonstigen Betriebsumgebungen sind auf berechtigte Personen beschränkt.
  • Zwei-Faktor-Authentifizierung: Administrative Nutzerkonten bei Unterauftragsverarbeitern und systemrelevanten Diensten werden, soweit vom jeweiligen Dienst unterstützt und organisatorisch möglich, mit Zwei-Faktor-Authentifizierung abgesichert.
  • Passwortschutz: Passwörter werden nicht im Klartext gespeichert, sondern durch geeignete state-of-the-art Hashing-Verfahren geschützt.
  • Need-to-know-Prinzip: Zugriffsrechte werden nur in dem Umfang vergeben, der für die jeweilige Aufgabe erforderlich ist.
  • Zugriff auf Infrastruktur: Zugriffe auf Server, Datenbanken, Objektspeicher, Logs, Code-Repositories und API-Schlüssel sind auf berechtigte Personen beschränkt.
  • Rechteentzug: Zugriffsrechte werden bei Wegfall der Berechtigung angepasst oder entzogen. Berechtigungen für systemrelevante Dienste werden anlassbezogen, insbesondere bei Rollenwechsel, Ausscheiden oder Wechsel von Dienstleistern, sofort überprüft und entzogen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

  • Weitergabekontrolle: Sämtliche Datenübertragungen im Frontend und zu den System-APIs erfolgen ausschließlich über modern verschlüsselte SSL/TLS-Verbindungen.
  • Eingabekontrolle: Protokollierung von Systemzugriffen und Änderungen an Berechtigungen auf Server- und Applikationsebene.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

  • Verfügbarkeitskontrolle: Es werden täglich automatisierte Backups bei der IONOS SE sowie wöchentliche Backups bei der Hetzner Online GmbH erstellt. Die Rechenzentren verfügen über redundante Stromversorgungen.
  • Wiederherstellbarkeit: Regelmäßige Überprüfung der Backup-Integrität und Notfall-Pläne zur kurzfristigen System-Wiederherstellung.

Anlage 2: Unterauftragsverarbeiter

Der Auftragsverarbeiter bedient sich aktuell folgender Unterauftragnehmer zur Bereitstellung der SaaS-Software:

  • Lutec Solutions GmbH
    Wettersteinstr. 1, 82024 Taufkirchen.
    Leistung / Zweck der Verarbeitung: Entwicklung und Wartung der Anwendung und des Servers, Fehleranalyse und -behebung sowie Sicherstellung von Betrieb und Informationssicherheit.
  • Hetzner Online GmbH
    Industriestr. 25, 91710 Gunzenhausen.
    Leistung / Zweck der Verarbeitung: Bereitstellung der primären Serverinfrastruktur (Hosting) sowie Speicherung wöchentlicher System-Backups.
  • IONOS SE
    Elgendorfer Str. 57, 56410 Montabaur.
    Leistung / Zweck der Verarbeitung: Bereitstellung von Speicherplatz für tägliche System-Backups.
  • Sendinblue GmbH (Brevo)
    Köpenicker Str. 126, 10179 Berlin.
    Leistung / Zweck der Verarbeitung: E-Mail-Versand-Dienstleister für System- und Transaktionsmails.