Auftragsverarbeitungs­vertrag (AVV)

Dieser AVV gilt, wenn JURO Digital GbR personenbezogene Daten als Auftragsverarbeiter für den Kunden als Verantwortlichen verarbeitet. Er ist vor Beginn der Verarbeitung schriftlich oder elektronisch zu schließen. B2B oder B2C allein entscheidet nicht über seine Anwendbarkeit; rein persönliche oder familiäre Tätigkeiten sind im Rahmen des Art. 2 Abs. 2 lit. c DSGVO gesondert zu beurteilen.

Vor Abschluss zu vervollständigen: Zum Vertrag gehören die dokumentierte Beschreibung des konkreten Auftrags (Gegenstand, Art, Zweck, Dauer, Datenarten und betroffene Personen), die tatsächlich umgesetzten technischen und organisatorischen Maßnahmen (TOMs) sowie die aktuelle Liste genehmigter Unterauftragsverarbeiter einschließlich Verarbeitungstätigkeiten und Standorten. Diese öffentliche Rahmenfassung ersetzt diese Anlagen nicht.

Für Auftragsverarbeitung hat dieser AVV Vorrang vor den allgemeinen Datenschutz-, Zugriffs- und Löschungsregeln der AGB und AUP. Gesetzliche Verantwortlichkeiten und Haftung nach der DSGVO, insbesondere Art. 82, bleiben unberührt.

Die Verarbeitung dient ausschließlich den im Hauptvertrag und in der Auftragsbeschreibung vereinbarten Hosting-, Wartungs-, Cloud- oder Supportleistungen. Mögliche Verarbeitungsvorgänge sind Speicherung, Bereitstellung, Übermittlung, Sicherung und Löschung. Umfang und betroffene Daten werden vor Beginn konkret dokumentiert.

Je nach Auftrag können dies Stammdaten, Kontakt-, Vertrags-, Nutzungs- und Protokolldaten von Kunden, Beschäftigten, Lieferanten oder Endnutzern einschließlich Spielern sein. Besondere Kategorien personenbezogener Daten bedürfen einer ausdrücklichen auftragsbezogenen Vereinbarung und geeigneter Schutzmaßnahmen.

Die Verarbeitung dauert entsprechend dem Hauptvertrag einschließlich vereinbarter Rückgabe- und Löschungsphasen. Die Pflichten dieses AVV gelten bis zum Abschluss der Rückgabe oder Löschung fort.

Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Verarbeitung und verantwortet die Rechtmäßigkeit seiner Weisungen. Der Auftragsverarbeiter verarbeitet ausschließlich auf dokumentierte Weisung, auch hinsichtlich Drittlandübermittlungen, sofern keine gesetzliche Verarbeitungspflicht besteht. Über eine solche Pflicht informiert er vor der Verarbeitung, soweit das Gesetz dies erlaubt.

Weisungen und weisungsberechtigte Kontakte werden dokumentiert. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und setzt die betroffene Weisung bis zur rechtlichen Klärung aus, soweit zulässig. Eigene Pflichten des Auftragsverarbeiters werden nicht auf den Kunden übertragen.

Zugriffsberechtigte Personen werden zur Vertraulichkeit verpflichtet, soweit keine gesetzliche Verschwiegenheitspflicht besteht. Zugriffe werden auf den erforderlichen Umfang begrenzt.

Der Auftragsverarbeiter setzt risikogerechte Maßnahmen nach Art. 32 DSGVO um. Die verbindliche TOM-Anlage beschreibt tatsächlich eingesetzte Zugangs- und Berechtigungskontrollen, Verschlüsselung, Wiederherstellung, Sicherung, Vorfallbehandlung sowie Verfahren zur regelmäßigen Wirksamkeitsprüfung. Zertifizierungen, Redundanz oder bestimmte Backup-Verfahren werden nur zugesagt, wenn dokumentiert und tatsächlich vereinbart.

Weiterentwicklungen der TOMs dürfen das vereinbarte Schutzniveau nicht unterschreiten. Die Zuständigkeiten für kundenseitig administrierte und vom Anbieter verwaltete Komponenten werden im Leistungsumfang festgelegt.

Unter Berücksichtigung von Art der Verarbeitung und verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei Betroffenenrechten sowie den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheitsmaßnahmen, Vorfallmeldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation. Betroffenenanfragen leitet er unverzüglich weiter; ohne Weisung beantwortet er sie nicht selbst, sofern keine gesetzliche Pflicht besteht.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden. Er übermittelt verfügbare Angaben zu Art und Umfang, betroffenen Daten und Personen, voraussichtlichen Folgen, Ansprechpartnern sowie Abhilfe- und Eindämmungsmaßnahmen; fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

Erforderliche gesetzliche Unterstützung darf nicht von einer vorherigen Zahlung abhängig gemacht werden. Zusätzliche Vergütung für gesonderte Leistungen bedarf einer transparenten Vereinbarung; eigene Pflichtverletzungen des Auftragsverarbeiters begründen keine zusätzlichen Vergütungsansprüche.

Unterauftragsverarbeiter werden nur aufgrund vorheriger gesonderter oder allgemeiner schriftlicher beziehungsweise elektronischer Genehmigung eingesetzt. Die aktuelle verbindliche Anlage nennt Unternehmen, Anschrift, Aufgabe und Verarbeitungsort. Ein bloß beispielhaft genannter Anbieter ist keine Genehmigung.

Bei allgemein genehmigtem Einsatz informiert der Auftragsverarbeiter mindestens 30 Tage vor beabsichtigten Ergänzungen oder Ersetzungen in Textform. Der Verantwortliche kann aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung wird der neue Unterauftragsverarbeiter für die betroffene Verarbeitung nicht eingesetzt. Ist keine datenschutzkonforme Alternative möglich, können die Parteien die betroffene Leistung beenden; die Abrechnung richtet sich nach den AGB und dem Gesetz.

Unterauftragsverarbeiter werden vertraglich zu denselben Datenschutzpflichten verpflichtet. Der Auftragsverarbeiter bleibt für deren Erfüllung gemäß Art. 28 Abs. 4 DSGVO verantwortlich. Verarbeitungen außerhalb von EU/EWR erfolgen nur auf dokumentierter Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO; Grundlage und Schutzmaßnahmen werden dokumentiert.

Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und wirkt daran mit.

Kontrollen erfolgen unter Wahrung der Vertraulichkeit und der Rechte anderer Kunden. Angemessene Abstimmung darf wirksame Kontrollen nicht verhindern. Bei konkreten Vorfällen oder behördlicher Dringlichkeit sind kurzfristige Kontrollen möglich. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt.

Nach Abschluss der Verarbeitung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen die personenbezogenen Daten zurück oder löscht sie einschließlich bestehender Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Exportformat, Fristen und Behandlung von Sicherungskopien werden in der Auftragsbeschreibung dokumentiert.

Die Wahl und Durchführung werden rechtzeitig vor einem vorgesehenen Löschtermin abgestimmt. Die Prepaid-Nachhaltefrist aus § 6 der AGB ersetzt keine Weisung und beschränkt gesetzliche Rückgaberechte nicht. Bis zur vollständigen Löschung bleiben Sicherheit und Vertraulichkeit gewahrt; gesetzlich aufbewahrte Daten werden auf den gesetzlich zulässigen Zweck beschränkt. Der Abschluss wird auf Anfrage nachgewiesen.