Auftragsverarbeitungsvertrag

1. Parteien und Rangfolge

Verantwortlicher ist der im Checkout bezeichnete Kundenbetrieb. Auftragsverarbeiter ist der im Impressum genannte VORIX-Betreiber. Dieser AVV ergänzt den VORIX-Hauptvertrag. Bei datenschutzrechtlichen Widersprüchen geht der AVV vor.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung, Sicherung, Wartung und Unterstützung des webbasierten VORIX-Arbeitsplatzes. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags und die anschließende kontrollierte Rückgabe-, Sperr- und Löschphase. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

3. Art und Zweck

Erfasst sind Speichern, Ordnen, Anzeigen, Übermitteln auf Weisung, Sichern, Wiederherstellen, Protokollieren, technisches Prüfen, Exportieren, Einschränken, Anonymisieren und Löschen. Zwecke sind die vom Kunden ausgewählten Arbeitsabläufe, Kommunikation, Dokumentenerstellung, Projekt- und Baustellenorganisation sowie optionale KI-Unterstützung.

4. Daten und betroffene Personen

Mögliche Datenarten sind Stamm- und Kontaktdaten, Vertrags- und Projektdaten, Mitarbeiterzuordnung und Arbeitszeiten, Kommunikation, Fotos, Dokumente, Angebote, Rechnungen, Zahlungs- und Bankangaben sowie technische Nutzungs- und Sicherheitsdaten. Betroffene können Kunden, Interessenten, Beschäftigte, Lieferanten, Ansprechpartner, Projektbeteiligte und Benutzer des Kunden sein. Besondere Kategorien personenbezogener Daten und strafrechtliche Daten sind nicht für eine regelmäßige Verarbeitung vorgesehen.

5. Weisungen

VORIX verarbeitet Kundendaten ausschließlich aufgrund dokumentierter Weisungen, die sich zunächst aus Hauptvertrag, Produktbedienung und diesem AVV ergeben. Zusätzliche Weisungen können in Textform erteilt werden. Hält VORIX eine Weisung für rechtswidrig, wird der Kunde informiert und die Ausführung bis zur Klärung ausgesetzt, soweit keine zwingende gesetzliche Pflicht entgegensteht.

6. Vertraulichkeit und Personal

Nur verpflichtete und erforderliche Personen erhalten Zugriff. Sie sind auf Vertraulichkeit, Datenschutz und sichere Arbeitsweise verpflichtet. Berechtigungen werden nach dem Erforderlichkeitsprinzip vergeben, regelmäßig geprüft und bei Wegfall unverzüglich entzogen.

7. Sicherheit

VORIX trifft risikogerechte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die aktuelle Anlage ist unter Technische und organisatorische Maßnahmen abrufbar. Wesentliche Änderungen dürfen das vereinbarte Sicherheitsniveau nicht unterschreiten.

8. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die in der Unterauftragsverarbeiterliste genannten Anbieter. Neue oder ersetzte Anbieter werden vor ihrem Einsatz angemessen angekündigt. Der Kunde kann aus nachvollziehbaren Datenschutzgründen widersprechen. VORIX vereinbart gleichwertige Datenschutzpflichten und bleibt für die Erfüllung der Pflichten verantwortlich.

9. Unterstützung des Kunden

VORIX unterstützt den Kunden im angemessenen Umfang bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde, Nachweisen und Meldungen. Anfragen zu Kundendaten werden ohne Weisung nicht inhaltlich beantwortet, sondern an den Kunden weitergeleitet, soweit rechtlich zulässig.

10. Datenschutzverletzungen

VORIX meldet dem Kunden Verletzungen des Schutzes von Kundendaten ohne unangemessene Verzögerung und stellt schrittweise verfügbare Informationen zu Art, Umfang, betroffenen Kategorien, Folgen, Maßnahmen und Kontakt bereit. VORIX unterstützt den Kunden bei dessen Bewertung und etwaigen 72-Stunden-Meldung.

11. Prüfungen und Nachweise

VORIX stellt geeignete Informationen zum Nachweis bereit und ermöglicht in angemessenen Abständen sowie bei begründetem Anlass Prüfungen. Prüfungen müssen vertraulich, verhältnismäßig und ohne Gefährdung anderer Kunden oder Systeme erfolgen. Vor-Ort- oder technische Prüfungen werden hinsichtlich Umfang, Termin, Datenschutz und Sicherheit abgestimmt.

12. Drittlandübermittlungen

Übermittlungen außerhalb EU/EWR erfolgen nur auf dokumentierte Weisung oder gesetzlicher Grundlage und mit einem zulässigen Übermittlungsmechanismus, insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln samt erforderlicher Risikoprüfung und ergänzenden Maßnahmen.

13. Rückgabe und Löschung

Nach Vertragsende kann der Kunde innerhalb der vereinbarten Frist einen Export verlangen. Danach löscht oder anonymisiert VORIX Kundendaten aus aktiven Systemen, sofern keine gesetzliche Aufbewahrung oder Rechtsverteidigung entgegensteht. Unveränderliche Sicherungen werden nicht für laufende Zwecke verwendet und laufen nach dem Sicherungskonzept aus. Bei einer Wiederherstellung werden bereits fällige Löschungen erneut umgesetzt.

14. Verantwortlichkeit des Kunden

Der Kunde bleibt für Rechtsgrundlagen, Informationspflichten, Datenminimierung, Richtigkeit, zulässige Benutzerrollen, Aufbewahrung und Löschentscheidungen verantwortlich. Er informiert VORIX über besondere Risiken und lädt keine Daten hoch, deren Verarbeitung nicht vom Vertrag und den Sicherheitsmaßnahmen gedeckt ist.