Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

zwischen

GGID IT SOLUTIONS MARKETING MANAGEMENT – FZCO

Dubai Silicon Oasis, DDP, Building A1, Dubai, Vereinigte Arabische Emirate

(im Folgenden „Auftragsverarbeiter“ oder „Anbieter“)

und

dem jeweiligen Kunden, der die Software und Dienstleistungen des Anbieters nutzt

(im Folgenden „Verantwortlicher“ oder „Kunde“)

gemeinsam die „Parteien“.

0. Definitionen

personenbezogene Daten alle Informationen im Sinne von Art. 4 Nr. 1 DSGVO, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen;

Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Sinne von Art. 4 Nr. 2 DSGVO;

Weisungen verbindliche Handlungsanweisungen des Verantwortlichen an den Auftragsverarbeiter im Zusammenhang mit der Verarbeitung personenbezogener Daten;

TOMs technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO.

1. Vertragsgegenstand und Geltungsbereich

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag des Kunden durch den Anbieter gemäß Art. 28 DSGVO im Rahmen der Nutzung der vom Anbieter bereitgestellten webbasierten Software.

1.2 Der AVV ist Bestandteil des Hauptvertrags (AGB) und wird durch Zustimmung im Online-Bestellprozess verbindlich. Eine gesonderte Unterzeichnung ist nicht erforderlich. Der aktuelle AVV ist jederzeit unter https://ggid.vercel.app/legal/avv abrufbar.

1.3 Soweit einzelne Regelungen dieses AVV im Widerspruch zu den AGB stehen, geht dieser AVV vor.

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses zwischen Anbieter und Kunde. Mit Beendigung der vertraglichen Leistungen endet auch die Auftragsverarbeitung, vorbehaltlich der Regelungen zur Rückgabe und Löschung (siehe § 11).

3. Art und Zweck der Verarbeitung

3.1 Der Anbieter verarbeitet personenbezogene Daten ausschließlich zur Erfüllung der im Hauptvertrag vereinbarten Leistungen, insbesondere:

• Bereitstellung und Betrieb der Vertriebssoftware,
• Hosting und Datenhaltung,
• Support und Wartung,
• Durchführung von Analysen zur Systemsicherheit und Leistungsoptimierung,
• Erfüllung gesetzlicher Pflichten des Anbieters.

3.2 Eine Verarbeitung zu eigenen Zwecken des Anbieters ist ausgeschlossen.

4. Art der Daten und Kategorien betroffener Personen

4.1 Verarbeitete Datenarten: Stammdaten, Kontaktdaten, Vertrags- und Abrechnungsdaten, Kommunikationsdaten, technische Nutzungsdaten sowie sämtliche personenbezogene Daten, die der Kunde selbst in die Systeme des Anbieters eingibt oder im Rahmen seiner Nutzung verarbeitet (einschließlich Daten seiner eigenen Kunden, Interessenten, Bewerber oder sonstiger betroffener Personen).

4.2 Betroffene Personen: Kunden, deren Mitarbeiter, Endnutzer der Plattform, Geschäftspartner sowie die vom Kunden in die Systeme eingebrachten Kategorien von betroffenen Personen (z. B. eigene Kunden, Interessenten, Bewerber).

5. Rechte und Pflichten des Verantwortlichen

5.1 Der Kunde ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung und die Bereitstellung geeigneter Rechtsgrundlagen. Er ist verpflichtet, diese Nachweise auf Anfrage dem Anbieter vorzulegen.

5.2 Er ist berechtigt, Weisungen hinsichtlich Art, Umfang und Verfahren der Verarbeitung zu erteilen, jedoch ausschließlich im Rahmen des vertraglich vereinbarten Leistungsumfangs. Weisungen sind schriftlich, in Textform oder über die vom Anbieter bereitgestellten elektronischen Systeme (z. B. Kundenportal, Support-System) zu erteilen. Weitergehende oder zusätzliche Anweisungen gelten nur dann als verbindlich, wenn sie ausdrücklich vereinbart und vergütet werden.

5.3 Der Kunde informiert den Anbieter unverzüglich über Fehler oder Unregelmäßigkeiten in den Verarbeitungsergebnissen.

5.4 Unterstützungsleistungen des Anbieters, die über den vertraglich vereinbarten Umfang hinausgehen, sind gesondert zu vergüten.

6. Pflichten des Auftragsverarbeiters

Der Anbieter verpflichtet sich:

• 6.1 Daten ausschließlich im Rahmen des Auftrags und auf dokumentierte Weisung des Kunden zu verarbeiten.
• 6.2 Vertraulichkeit zu wahren und sämtliche zur Verarbeitung befugten Personen auf das Datengeheimnis und die DSGVO zu verpflichten. Diese Pflicht besteht auch über das Vertragsende hinaus.
• 6.3 Geeignete technische und organisatorische Maßnahmen (TOMs) zum Schutz personenbezogener Daten gemäß Art. 32 DSGVO umzusetzen.
• 6.4 Den Kunden unverzüglich zu informieren, wenn eine Weisung nach Auffassung des Anbieters gegen die DSGVO oder andere Datenschutzvorschriften verstößt.
• 6.5 Den Kunden bei der Wahrnehmung der Betroffenenrechte nach Kapitel III DSGVO sowie bei Datenschutz-Folgenabschätzungen innerhalb von 10 Werktagen zu unterstützen, einschließlich der Bereitstellung relevanter Informationen für Meldungen an Aufsichtsbehörden oder Betroffene.
• 6.6 Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden, nach Bekanntwerden an den Kunden zu melden und ihn bei der Erfüllung etwaiger Meldepflichten gegenüber der Aufsichtsbehörde und den Betroffenen zu unterstützen.
• 6.7 Nachweise über die Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen zu führen und dem Kunden auf Anfrage zur Verfügung zu stellen.

7. Technische und organisatorische Maßnahmen (TOMs)

7.1 Der Anbieter ergreift die in Anhang 1 dargestellten technischen und organisatorischen Maßnahmen.

7.2 Änderungen, die die Sicherheit nicht wesentlich beeinträchtigen, sind zulässig und werden durch den Anbieter dokumentiert.

7.3 Detaillierte Beschreibungen der Maßnahmen stellt der Anbieter dem Kunden auf Anfrage in einem separaten Dokument zur Verfügung.

8. Einsatz von Subunternehmern

8.1 Der Anbieter ist berechtigt, Subunternehmer (Unterauftragsverarbeiter) einzusetzen. Eine gesonderte Zustimmung oder Mitteilungspflicht besteht nicht.

8.2 Der Anbieter verpflichtet sämtliche Subunternehmer vertraglich zur Einhaltung der Bestimmungen dieses AVV, insbesondere zu Vertraulichkeit, Datensicherheit und Umsetzung von TOMs.

8.3 Der Einsatz erfolgt ausschließlich in folgenden Kategorien:

• Hosting- und Infrastruktur-Dienstleister,
• E-Mail- und Kommunikationstechnologien,
• Support- und Kundenservice-Dienstleister,
• IT-Sicherheits- und Wartungsdienstleister.

8.4 Der Anbieter haftet für das Handeln seiner Subunternehmer wie für eigenes Handeln.

9. Drittlandtransfers

9.1 Eine Verarbeitung in Drittländern außerhalb der EU/des EWR ist zulässig, soweit die Anforderungen der Art. 44 ff. DSGVO erfüllt sind.

9.2 Der Anbieter stellt sicher, dass geeignete Garantien i.S.d. Art. 46 DSGVO vorliegen, insbesondere Standardvertragsklauseln (SCCs) in der jeweils gültigen Fassung.

9.3 Ergänzende Maßnahmen wie Verschlüsselung, Pseudonymisierung, Protokollierung und beschränkte Zugriffsrechte werden angewandt, um ein angemessenes Schutzniveau zu gewährleisten.

9.4 Der Anbieter dokumentiert die eingesetzten Garantien und stellt diese dem Kunden auf Anfrage zur Verfügung.

10. Kontroll- und Mitwirkungsrechte

10.1 Der Kunde ist berechtigt, sich von der Einhaltung der DSGVO und der vertraglichen Vereinbarungen durch den Anbieter zu überzeugen.

10.2 Der Anbieter ermöglicht Audits durch den Kunden oder unabhängige Prüfer in angemessenem Umfang, höchstens einmal jährlich, zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

10.3 Alternativ kann der Anbieter aktuelle Prüfberichte unabhängiger Instanzen (z. B. ISO 27001, SOC2) zur Verfügung stellen.

11. Rückgabe, Sperrung und Löschung von Daten

11.1 Nach Beendigung des Hauptvertrags hat der Kunde das Recht, seine Daten in einem gängigen maschinenlesbaren Format anzufordern.

11.2 Mit Beendigung des Vertragsverhältnisses werden personenbezogene Daten zunächst gesperrt.

11.3 Der Anbieter löscht personenbezogene Daten spätestens 90 Tage nach Vertragsende, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

11.4 Auf schriftliche Anforderung des Kunden erfolgt eine vorzeitige Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12. Haftung

12.1 Die Haftung richtet sich nach den Bestimmungen des Hauptvertrags.

12.2 Der Anbieter haftet für Verstöße eigener Mitarbeiter und Subunternehmer wie für eigenes Handeln.

13. Schlussbestimmungen

13.1 Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

13.2 Der Anbieter ist berechtigt, diesen AVV an geänderte gesetzliche Anforderungen oder behördliche Vorgaben anzupassen, sofern hierdurch die Rechte des Kunden nicht wesentlich beeinträchtigt werden. Über wesentliche Änderungen wird der Kunde rechtzeitig informiert.

13.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt.

13.4 Es gilt die Rechtswahl gemäß § 24.1 des Hauptvertrags (AGB). Der Gerichtsstand richtet sich nach den Bestimmungen des Hauptvertrags (AGB).

13.5 Im Falle von Widersprüchen zwischen diesem AVV und den AGB gelten vorrangig die Bestimmungen dieses AVV sowie die Vorgaben der DSGVO.

Anhang 1: Technische und organisatorische Maßnahmen (TOMs)

• Zutrittskontrolle (gesicherte Rechenzentren, Zugang nur für autorisierte Personen)
• Zugangskontrolle (starke Authentifizierung, rollenbasierte Berechtigungen)
• Zugriffskontrolle (Trennung von Mandanten, Need-to-know-Prinzip)
• Weitergabekontrolle (Verschlüsselung, Protokollierung)
• Eingabekontrolle (Logging von Administrations- und Supportzugriffen)
• Auftragskontrolle (vertragliche Bindung von Subunternehmern)
• Verfügbarkeitskontrolle (Backups, Notfallpläne, Monitoring)
• Trennungsgebot (logische und physische Trennung von Daten verschiedener Kunden)