Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag ("AVV")

zwischen

RPS Planungssysteme GmbH
Agnes-Pockels-Str. 2
63457 Hanau
(nachfolgend "Auftragnehmer" genannt)

und

dem Benutzer (nachfolgend "Auftraggeber" genannt) der vom Auftragnehmer angebotenen cloudbasierten Software.

Allgemeines

Der Auftraggeber und der Auftragnehmer (nachfolgend auch "Parteien" genannt) haben einen Nutzungsvertrag geschlossen, der den Auftragnehmer verpflichtet, personenbezogene Daten im Auftrag des Auftraggebers zu verarbeiten.

Dieser AVV bildet einen Anhang zu den Allgemeinen Geschäftsbedingungen ("AGB").

Mit der Annahme der AGB haben die Parteien diesen AVV als Teil des Nutzungsvertrags akzeptiert, um sicherzustellen, dass die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers in Übereinstimmung mit den geltenden Datenschutzgesetzen erfolgt.

Gegenstand und Dauer des Vertrags

• Der Auftragnehmer erbringt für den Auftraggeber cloudbasierte Softwaredienstleistungen (SaaS) zur betrieblichen Planung, die den Zugriff auf Mitarbeiter-, Kunden-, Projekt- und Abrechnungsdaten ermöglichen.

• Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien im Rahmen der Verarbeitung personenbezogener Daten.

• Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Nutzungsvertrags, sofern sich aus den Bestimmungen des Auftragsverarbeitungsvertrages nicht darüber hinausgehende Verpflichtungen ergeben.

Art und Zweck der Datenverarbeitung

Der Auftragnehmer verarbeitet die vom Auftraggeber in der bereitgestellten Software erfassten Daten ausschließlich zu den ausdrücklich vereinbarten Zwecken.

Die verarbeiteten personenbezogenen Daten sind abhängig von den vom Auftraggeber zur Verfügung gestellten personenbezogenen Daten und können sich auf folgende Personen beziehen:

• Mitarbeiter des Auftraggebers
• Kunden des Auftraggebers und dessen Mitarbeiter
• Dienstleister und Geschäftspartner des Auftraggebers und deren Mitarbeiter
• vom Auftraggeber betreute Personen
• Beteiligte der vom Auftraggeber durchgeführten Projekte

Die personenbezogenen Daten können folgende Informationen beinhalten:

• Vor- und Nachnamen, Geburtstag
• Kontaktdaten wie Telefonnummern, Email-Adressen, Wohnadressen
• Personalstammdaten wie Personalnummern und Beschäftigungsstatus
• Berufsbezeichnungen, Qualifikationen, Zugehörigkeiten zu Abteilungen und Arbeitsgruppen, Arbeitsrollen
• Dienste, Soll- und Istarbeitszeiten, Über- oder Minderstunden, zugewiesene Schichtmodelle
• An- und Abwesenheitszeiten (z.B. Urlaub oder Dienstreisen)
• Urlaubsansprüche
• Arbeitszeitzuschläge
• Arbeitsplätze und Tätigkeiten
• Vertretungsregelungen
• Zahlungs- und Rechnungsdaten
• Daten, die Nutzer in Kommentaren und Freitextfeldern übermitteln

Weisungsrecht

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf Basis dokumentierter Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften.

Pflichten des Auftragnehmers

• Der Auftragnehmer unterstützt den Auftraggeber, wenn dieser durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen wird oder wenn betroffene Personen ihm gegenüber Rechte geltend machen, soweit die Verarbeitung im Auftrag betroffen ist.

• Der Auftragnehmer wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers im Sinne des Art. 32 DSGVO treffen. Diese sind in Anlage 1 aufgeführt.

• Eine Änderung der getroffenen technischen und organisatorischen Maßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

• Der Auftragnehmer fertigt ohne vorherige Zustimmung durch den Auftraggeber im Rahmen der Auftragsverarbeitung keine Kopien oder Duplikate der Auftraggeber- Daten an. Hiervon ausgenommen sind Kopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung und zur ordnungsgemäßen Erbringung der Leistungen gemäß Nutzungsvertrag (einschließlich der Datensicherung) erforderlich sind, sowie Kopien, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

Pflichten des Auftraggebers

• Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte von Betroffenen nach Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich.

• Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

• Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

• Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang und auf eigene Kosten selbst oder durch Dritte zu kontrollieren.

  Der Auftraggeber hat den Auftragnehmer rechtzeitig (in der Regel mindestens zwei Wochen vorher) über alle mit der Durchführung der Kontrolle zusammenhängenden Umstände zu informieren.

  Der Auftraggeber wird keine eigenen Kontrollen durchführen, sofern der Auftragnehmer den angeforderten Nachweis durch Vorlage eines geeigneten Testats oder eines marktüblichen Zertifikats erbringen kann. Als Nachweis dienen insbesondere Auditberichte, ISO/DIN-Zertifikate oder gleichwertige Prüfberichte.

Rechte der Betroffenen

Wendet sich eine betroffene Person mit Forderungen zur Berichtigung, Löschung oder Auskunft an den Auftragnehmer, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auftraggeber nach Angaben der betroffenen Person möglich ist.

Der Auftragnehmer leitet den Antrag der betroffenen Person unverzüglich an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten auf Weisung soweit vereinbart. Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird.

Rückgabe und Löschung überlassener Daten und Datenträger

Nach Beendigung des Vertragsverhältnisses wird der Auftragnehmer sämtliche personenbezogenen Daten entweder löschen oder dem Auftraggeber auf Wunsch zurückgeben. Davon ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten unterliegen.

Unterstützung des Auftragnehmers zur Einhaltung der Pflichten des Auftraggebers nach Art. 32-36 DSGVO

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der dem Auftragnehmer zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen.

Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung des Nutzungsvertrages enthalten oder auf ein Fehlverhalten des Auftraggebers zurückzuführen sind, kann der Auftragnehmer eine angemessene Vergütung beanspruchen.

Unterauftragsverhältnisse

Der Auftragnehmer ist berechtigt, die in Anlage 2 aufgeführten Unterauftragnehmer für die Verarbeitung von Daten im Auftrag einzusetzen.

Der Auftragnehmer hat mit den Unterauftragnehmern einen Auftragsverarbeitungsvertrag zu schließen, der den Voraussetzungen des Art. 28 DSGVO entspricht.

Der Auftragnehmer informiert den Auftraggeber über Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragnehmers.

Sofern der Auftraggeber keine Einwände gegen neue Unterauftragnehmer innerhalb von 2 Wochen ab Zugang der Mitteilung über den neuen Unterauftragnehmer erhebt, gilt dessen Einschaltung als durch den Auftraggeber genehmigt.

Der Auftragnehmer kann Dienste durch Unterauftragnehmer ganz oder teilweise von einem Standort außerhalb der Europäischen Union erbringen lassen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z.B. Angemessenheitsbeschluss der Kommission, Standardvertragsklauseln, genehmigte Verhaltensregeln).

Änderung dieses Auftragsverarbeitungsvertrages

Der Auftragnehmer behält sich vor, diesen Auftragsverarbeitungsvertrag einseitig zu ändern, wenn dies sachlich gerechtfertigt erscheint.

Sachlich gerechtfertigt sind Änderungen beispielsweise bei einer Erweiterung oder Änderung der bereitgestellten Software, einer Änderung der Rechts- oder Gesetzeslage (etwa, wenn die Rechtsprechung eine Klausel für unwirksam erklärt) oder wenn durch unvorhersehbare Änderungen, die der Auftragnehmer nicht veranlasst und auf die der Auftragnehmer auch keinen Einfluss hat, das bei Vertragsschluss bestehende Äquivalenzverhältnis in nicht unbedeutendem Maße gestört wird.

Voraussetzung einer Änderung ist stets, dass diese dem Auftraggeber zumutbar ist und nicht in sein bestehendes Weisungsrecht eingreift.

Verhältnis zum Nutzungsvertrag

Soweit in diesem Vertrag keine Sonderregelungen enthalten sind, gelten die Bestimmungen des Nutzungsvertrags (AGB). Im Fall von Widersprüchen zwischen diesem Vertrag und Regelungen aus sonstigen Vereinbarungen, insbesondere aus dem Nutzungsvertrag, gehen die Regelungen aus diesem Vertrag vor.

Schlussbestimmungen

• Mündliche Nebenabreden bestehen nicht. Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform.

• Sollten einzelne Regelungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.