Vertrag über die Auftragsverarbeitung

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus dem zwischen ihnen bestehenden Nutzungsvertrag über das SaaS-Produkt evaluateMe (nachfolgend „Hauptvertrag") ergeben. Er gilt für alle Tätigkeiten, bei denen die farbcode GmbH als Auftragsverarbeiterin personenbezogene Daten für den Verantwortlichen verarbeitet.

Der Vertrag wird geschlossen zwischen der Organisation, die evaluateMe gemäß Hauptvertrag nutzt, im Vertrag durch die im Kundenkonto hinterlegten Stammdaten der Organisation bestimmt, (nachfolgend „Verantwortlicher") und der

farbcode GmbH
Meitnerstraße 10, 70563 Stuttgart, Deutschland
vertreten durch die Geschäftsführer Damaris Weinschenk und Dipl.-Ing. Martin Weinschenk
Registergericht: Amtsgericht Stuttgart, HRB 741660
USt-IdNr.: DE285444990

(nachfolgend „Auftragsverarbeiter"), Verantwortlicher und Auftragsverarbeiter einzeln auch „Partei", gemeinsam „Parteien".

§ 1 Gegenstand, Art und Zweck der Verarbeitung, Dauer

(1) Gegenstand. Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs des SaaS-Produkts evaluateMe. evaluateMe ist eine mandantenfähige Web- und Mobil-Anwendung zur Zeiterfassung, zum Abwesenheits-Management (Urlaub, Krankmeldungen), zur Rechnungsstellung und zu Auswertungen.

(2) Art der Verarbeitung. Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (soweit vom Verantwortlichen veranlasst), Einschränken, Löschen und Vernichten personenbezogener Daten mit automatisierten Verfahren, soweit dies zur vertragsgemäßen Erbringung der Leistungen des Hauptvertrags erforderlich ist.

(3) Zweck. Zweck der Verarbeitung ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten SaaS-Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Der Auftragsverarbeiter nutzt die im Auftrag verarbeiteten personenbezogenen Daten insbesondere nicht für eigene Zwecke, für Zwecke Dritter oder zu Werbe-, Analyse- oder Trainingszwecken.

(4) Umfang. Der Umfang der Verarbeitung bestimmt sich nach dem Funktionsumfang von evaluateMe gemäß Hauptvertrag sowie nach den Weisungen des Verantwortlichen (§ 4). Die Kategorien betroffener Personen und die Datenarten sind in Anlage 1 abschließend beschrieben.

(5) Ort der Verarbeitung. Die Verarbeitung findet innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Ausnahmen für einzelne, klar abgegrenzte Sub-Prozessoren mit Drittlandbezug sind in Anlage 3 benannt und mit den dort genannten Garantien nach Kapitel V DSGVO abgesichert.

(6) Dauer. Der Vertrag beginnt mit seiner Annahme (§ 12) und läuft für die Dauer des Hauptvertrags. Er endet automatisch mit Beendigung des Hauptvertrags, unbeschadet fortbestehender Pflichten zu Löschung/Rückgabe (§ 9) und Vertraulichkeit (§ 5).

§ 2 Verantwortlichkeit und Rollenverteilung

(1) Der Verantwortliche ist im datenschutzrechtlichen Sinne allein Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die von ihm in evaluateMe eingestellten und verarbeiteten personenbezogenen Daten. Er beurteilt eigenständig die Zulässigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen.

(2) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zu einer weitergehenden Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Weisungen, die gegen datenschutzrechtliche Vorschriften verstoßen, muss der Auftragsverarbeiter nicht befolgen (§ 4 Abs. 3).

§ 3 Anwendbares Datenschutzrecht

Die Parteien verarbeiten die Daten nach Maßgabe der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie sonstiger einschlägiger datenschutzrechtlicher Vorschriften. Soweit auf Beschäftigtendaten des Verantwortlichen § 26 BDSG bzw. eine nachfolgende Regelung anwendbar ist, bleibt die datenschutzrechtliche Verantwortung hierfür beim Verantwortlichen.

§ 4 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation (Art. 28 Abs. 3 lit. a DSGVO).

(2) Ausgestaltung der Weisungen. Die Nutzung der von evaluateMe bereitgestellten Funktionen durch den Verantwortlichen und seine berechtigten Nutzer gilt als Einzelweisung im Rahmen des durch den Hauptvertrag festgelegten Verarbeitungszwecks; hierzu zählen insbesondere Konfigurationseinstellungen, das Anlegen und Verwalten von Daten sowie die Nutzung optionaler Integrationen (z. B. die kundengesteuerte Buchhaltungs-Anbindung nach § 8 Abs. 6). Weisungen darüber hinaus erfolgen in Textform (z. B. per E-Mail) an die in Anlage 4 benannten Kontaktstellen. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Prüfpflicht des Auftragsverarbeiters. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

(4) Vergütung. Die Erfüllung der über die von evaluateMe bereitgestellten Standard- und Selbstbedienungsfunktionen abrufbaren Pflichten (insbesondere Datenexport, Löschung sowie die Bereitstellung von Zertifikaten und Standard-Nachweisen) ist mit dem im Hauptvertrag vereinbarten Nutzungsentgelt abgegolten. Weisungen, die über den Funktionsumfang von evaluateMe hinausgehen und zu einem darüber hinausgehenden Aufwand führen, vergütet der Verantwortliche gesondert nach dem tatsächlich angefallenen angemessenen Aufwand; der Auftragsverarbeiter weist den Verantwortlichen vor Ausführung auf die Vergütungspflicht hin. Diese Vergütungsregelung gilt entsprechend für Unterstützungsleistungen nach § 7 Abs. 5 und für den Aufwand bei Vor-Ort-Prüfungen nach § 10 Abs. 4.

§ 5 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet sich, bei der Verarbeitung Verschwiegenheit zu wahren.

(2) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung auf die Vertraulichkeit wirkt auch nach Beendigung der jeweiligen Tätigkeit fort.

(3) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen die einschlägigen datenschutzrechtlichen Bestimmungen kennen und über ihre Pflichten unterrichtet und geschult werden.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

(2) Der Auftragsverarbeiter betreibt ein zertifiziertes Informationssicherheits-Management­system und ist nach ISO/IEC 27001 sowie nach ISO 9001 zertifiziert. Die Zertifizierungen sind Bestandteil des Nachweises der Angemessenheit der Maßnahmen nach Art. 32 Abs. 1 DSGVO und können nach Art. 28 Abs. 5 DSGVO als Element zum Nachweis herangezogen werden.

(3) Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist berechtigt, angemessene Anpassungen vorzunehmen, sofern das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen, die das Schutzniveau berühren, dokumentiert der Auftragsverarbeiter und macht sie dem Verantwortlichen auf Anfrage zugänglich.

(4) Auf Anfrage stellt der Auftragsverarbeiter dem Verantwortlichen die zum Nachweis geeigneten Unterlagen (insbesondere gültige Zertifikate) zur Verfügung.

§ 7 Unterstützungspflichten des Auftragsverarbeiters (Art. 28 Abs. 3 lit. e–f DSGVO)

(1) Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). evaluateMe stellt hierfür Selbstbedienungsfunktionen bereit (u. a. Datenexport und Löschung), mit denen der Verantwortliche die entsprechenden Anträge weitgehend eigenständig bearbeiten kann.

(2) Weiterleitung. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, so leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern der Verantwortliche nicht schriftlich etwas anderes bestimmt.

(3) Sicherheit der Verarbeitung, Meldepflichten, Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei (a) der Sicherstellung eines angemessenen Schutzniveaus (Art. 32), (b) der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33) und der Benachrichtigung betroffener Personen (Art. 34), (c) der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35) und (d) der vorherigen Konsultation der Aufsichtsbehörde (Art. 36).

(4) Meldung von Datenschutzverletzungen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie dem Auftragsverarbeiter vorliegen; liegen noch nicht alle Angaben vor, erfolgt die Meldung zunächst mit den verfügbaren Informationen und wird unverzüglich nachträglich vervollständigt. Die Meldepflicht nach Art. 33 Abs. 1 DSGVO gegenüber der Aufsichtsbehörde verbleibt beim Verantwortlichen.

(5) Vergütung. Unterstützungsleistungen, die über die Bereitstellung und Nutzung der Standard- und Selbstbedienungsfunktionen von evaluateMe hinausgehen, werden nach Maßgabe der Vergütungsregelung in § 4 Abs. 4 gesondert nach angemessenem Aufwand vergütet.

§ 8 Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)

(1) Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Sub-Prozessoren) im Sinne des Art. 28 Abs. 2 Satz 2, Abs. 4 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Sub-Prozessoren sind in Anlage 3 aufgeführt und mit dieser Annahme genehmigt.

(2) Unterrichtung über Änderungen. Der Auftragsverarbeiter unterrichtet den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Sub-Prozessoren rechtzeitig vor der Änderung, mindestens jedoch 30 Kalendertage im Voraus. Die Unterrichtung erfolgt in Textform, z. B. per E-Mail an die in Anlage 4 benannte Kontaktstelle des Verantwortlichen oder über eine In-App-Benachrichtigung bzw. eine online geführte, versionierte Sub-Prozessoren-Liste.

(3) Widerspruchsrecht. Der Verantwortliche kann einer Änderung aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb von 14 Kalendertagen ab Zugang der Unterrichtung in Textform widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt der neue Sub-Prozessor als genehmigt. Im Fall eines begründeten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Kann eine solche nicht gefunden werden und hält der Auftragsverarbeiter an dem Sub-Prozessor fest, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht bezogen auf die betroffene Leistung nach Maßgabe der Kündigungsregelung des Hauptvertrags (§ 5 „Laufzeit und Kündigung" der AGB) zu.

(4) Vertragliche Weitergabe der Pflichten. Beauftragt der Auftragsverarbeiter einen Sub-Prozessor, so überträgt er diesem im Wege eines Vertrags dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO). Kommt der Sub-Prozessor seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Sub-Prozessors (Art. 28 Abs. 4 Satz 3 DSGVO).

(5) Drittlandtransfers. Soweit ein Sub-Prozessor personenbezogene Daten in einem Drittland verarbeitet, stellt der Auftragsverarbeiter die Einhaltung der Voraussetzungen nach Kapitel V DSGVO sicher (Angemessenheitsbeschluss der EU-Kommission oder EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen). Die betreffenden Sub-Prozessoren und die jeweilige Transfergrundlage sind in Anlage 3 benannt.

(6) Kundengesteuerte Integrationen (keine Sub-Auftragsverarbeitung). Aktiviert der Verantwortliche in evaluateMe eine Integration mit einem Drittdienst, indem er seine eigenen Zugangsdaten hinterlegt und die Übermittlung selbst auslöst (insbesondere die Buchhaltungs-Anbindung an lexoffice), so handelt der Auftragsverarbeiter insoweit auf konkrete Einzelweisung des Verantwortlichen und übermittelt die betreffenden Daten ausschließlich unter Verwendung der vom Verantwortlichen bereitgestellten Zugangsdaten an den vom Verantwortlichen bestimmten Empfänger. Der betreffende Drittdienst ist kein Sub-Auftragsverarbeiter des Auftragsverarbeiters; die datenschutzrechtliche Beziehung zu diesem Drittdienst (einschließlich eines etwa erforderlichen eigenen Auftragsverarbeitungsvertrags) obliegt allein dem Verantwortlichen. Einzelheiten regelt Anlage 3, Abschnitt B.

§ 9 Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Rückgabe/Export. Der Verantwortliche kann bis zur Beendigung des Hauptvertrags sowie innerhalb einer Nachlauffrist von 30 Kalendertagen nach Beendigung die im Auftrag verarbeiteten Daten über die von evaluateMe bereitgestellten Exportfunktionen selbst herausziehen. Auf Wunsch stellt der Auftragsverarbeiter die Daten in einem gängigen, maschinenlesbaren Format bereit.

(3) Löschung. Nach Ablauf der Nachlauffrist löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten sowie etwaige Kopien innerhalb von 30 Kalendertagen vollständig und datenschutzkonform. In Backups enthaltene Daten werden nach Maßgabe des regulären, in Anlage 2 beschriebenen Backup-Rotationszyklus überschrieben; bis zur turnusgemäßen Überschreibung sind sie gegen unbefugten Zugriff geschützt und werden nicht wiederhergestellt, außer zur Wiederherstellung im Rahmen der Diensterbringung vor Vertragsende.

(4) Gesetzliche Aufbewahrungspflichten. Soweit der Auftragsverarbeiter gesetzlich zur weiteren Aufbewahrung bestimmter Daten verpflichtet ist (insbesondere handels- und steuerrechtliche Aufbewahrungspflichten nach § 257 HGB, § 147 AO, bis zu 10 Jahre, soweit farbcode für diese Daten selbst aufbewahrungspflichtig ist), bleiben diese Daten bis zum Ablauf der jeweiligen Frist gespeichert und ihre Verarbeitung wird auf die Erfüllung der Aufbewahrungspflicht eingeschränkt.

(5) Nachweis. Der Auftragsverarbeiter bestätigt die durchgeführte Löschung auf Anfrage in Textform.

§ 10 Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Nachweis primär durch Zertifikate/Berichte. Der Nachweis der TOM erfolgt vorrangig durch Vorlage aktueller Zertifikate (insbesondere ISO/IEC 27001), Auditberichte oder gleichwertiger Nachweise. Genehmigte Verhaltensregeln (Art. 40 DSGVO) und Zertifizierungen (Art. 42 DSGVO) können nach Art. 28 Abs. 5 DSGVO als Nachweiselement herangezogen werden.

(3) Vor-Ort-Prüfung. Reichen die vorgelegten Nachweise ausnahmsweise nicht aus, kann der Verantwortliche nach vorheriger Anmeldung mit angemessener Frist (mindestens 14 Kalendertage) und während der üblichen Geschäftszeiten eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit einem Wettbewerber des Auftragsverarbeiters verbundenen Prüfer durchführen lassen. Die Prüfung ist auf das erforderliche Maß zu beschränken und darf den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Der Auftragsverarbeiter kann die Prüfung von der vorherigen Unterzeichnung einer Vertraulichkeitsvereinbarung abhängig machen, soweit hierdurch Daten Dritter oder anderer Mandanten betroffen sein können.

(4) Vergütung. Der für die Bereitstellung von Nachweisen und die Begleitung von Vor-Ort-Prüfungen erforderliche Aufwand, der über die Bereitstellung von Standard-Zertifikaten und -Berichten hinausgeht, wird nach Maßgabe der Vergütungsregelung in § 4 Abs. 4 gesondert nach angemessenem Aufwand vergütet.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung oder eine Prüfungsanordnung gegen datenschutzrechtliche Vorschriften verstößt.

§ 11 Haftung

(1) Für die Haftung im Außenverhältnis gegenüber betroffenen Personen und Aufsichtsbehörden gilt Art. 82 DSGVO. Im Innenverhältnis der Parteien gilt ergänzend die Haftungsregelung des Hauptvertrags, soweit sie mit zwingenden datenschutzrechtlichen Vorgaben vereinbar ist.

(2) Der Verantwortliche trägt die Verantwortung für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen (§ 2 Abs. 1 und Abs. 3).

(3) Haftungsbeschränkung im Innenverhältnis. Die im Hauptvertrag bzw. in den Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters (§ 8 „Gewährleistung und Haftung") vereinbarte Haftungsbeschränkung gilt auch für Ansprüche der Parteien untereinander aus oder im Zusammenhang mit diesem Vertrag. Danach ist die Haftung für einfache Fahrlässigkeit auf die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten) und der Höhe nach auf den vertragstypischen, vorhersehbaren Schaden begrenzt. Unberührt und von dieser Beschränkung ausgenommen bleiben:

• die Haftung für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie die Haftung bei Vorsatz und grober Fahrlässigkeit und nach zwingenden gesetzlichen Vorschriften;
• gegen eine Partei verhängte Geldbußen nach Art. 83 DSGVO;
• Ansprüche betroffener Personen oder sonstiger Dritter nach Art. 82 DSGVO.

(4) Innenausgleich. Werden mehrere an derselben Verarbeitung Beteiligte für einen von einer betroffenen Person erlittenen Schaden in Anspruch genommen, richtet sich der Ausgleich im Innenverhältnis nach dem jeweiligen Verantwortungsanteil an dem schadensverursachenden Ereignis (Art. 82 Abs. 5 DSGVO). Hat eine Partei den vollen Schadenersatz geleistet, kann sie von der anderen Partei den auf deren Verantwortungsanteil entfallenden Teil zurückfordern.

(5) AGB-Kontrolle. Soweit die vorstehenden Haftungsregelungen in vom Auftragsverarbeiter gestellten Allgemeinen Geschäftsbedingungen enthalten sind, gelten sie nur in dem Umfang, in dem sie einer Inhaltskontrolle nach §§ 307 ff. BGB im unternehmerischen Verkehr standhalten.

§ 12 Annahme, Form und Vertragsänderungen

(1) Elektronische Annahme. Dieser Vertrag wird durch eine ausdrückliche elektronische Annahmehandlung eines vertretungsberechtigten Administrators des Verantwortlichen innerhalb von evaluateMe (Bereich „Organisation") geschlossen. Der Auftragsverarbeiter protokolliert die Annahme mit Zeitstempel, Identität der annehmenden Person und Versionsnummer des angenommenen Vertragstextes.

(2) Textform / elektronisches Format (Art. 28 Abs. 9 DSGVO). Der Vertrag wird als versioniertes elektronisches Dokument vorgehalten und ist damit in einem elektronischen Format im Sinne des Art. 28 Abs. 9 DSGVO abgefasst. Die elektronische Annahme nach Absatz 1 sowie die Bereitstellung des versionierten Vertragstextes genügen dem Formerfordernis des Art. 28 Abs. 9 DSGVO.

(3) Versionierung und Re-Annahme. Der Auftragsverarbeiter kann diesen Vertrag anpassen, soweit dies aufgrund geänderter rechtlicher Rahmenbedingungen, aufsichtsbehördlicher Vorgaben, Rechtsprechung oder wesentlicher Änderungen der Leistung erforderlich ist. Über Änderungen wird der Verantwortliche in Textform bzw. per In-App-Hinweis informiert.

Bei wesentlichen Änderungen dieses Vertrags, insbesondere solchen, die den Umfang oder Zweck der Verarbeitung, die Sub-Auftragsverarbeiter mit Drittlandbezug, die Löschfristen, die Haftung oder das Schutzniveau der technischen und organisatorischen Maßnahmen berühren, ist eine erneute aktive elektronische Annahme durch einen vertretungsberechtigten Administrator des Verantwortlichen innerhalb von evaluateMe erforderlich (Re-Annahme nach Absatz 1). Bis zur Re-Annahme gilt die zuletzt vom Verantwortlichen angenommene Vertragsfassung fort.

Bei unwesentlichen oder rein klarstellenden Änderungen (insbesondere redaktionellen Korrekturen, Präzisierungen ohne inhaltliche Verschlechterung für den Verantwortlichen sowie Aktualisierungen der Sub-Prozessoren-Liste nach Maßgabe von § 8) genügt die Information des Verantwortlichen mit Möglichkeit zum Widerspruch nach § 8 Abs. 3 bzw. mit angemessener Frist; einer erneuten aktiven Annahme bedarf es nicht. Maßgeblich für das Erfordernis einer Re-Annahme ist allein die Wesentlichkeit der Änderung. Die Vergabe einer neuen Versionsnummer erzwingt für sich genommen keine Re-Annahme.

(4) Rangverhältnis. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

§ 13 Schlussbestimmungen

(1) Anwendbares Recht. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Kollisionsrechts, soweit die zwingenden Vorschriften der DSGVO nicht vorrangig sind.

(2) Gerichtsstand. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist der Sitz des Auftragsverarbeiters (Stuttgart), sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist (§ 38 ZPO). Zwingende gesetzliche Gerichtsstände bleiben unberührt.

(3) Schriftform von Nebenabreden. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.

(4) Salvatorische Klausel. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

Anlage 1, Gegenstand, Art, Zweck, Datenarten und Betroffenenkategorien

A. Art und Zweck der Verarbeitung. Bereitstellung und Betrieb des SaaS-Produkts evaluateMe zur Zeiterfassung, zum Abwesenheits-Management, zur Rechnungsstellung und zu Auswertungen (Web-Anwendung und Mobil-App), einschließlich Speicherung, Verwaltung, Auswertung und, auf Weisung des Verantwortlichen, Übermittlung der eingestellten Daten.

B. Kategorien betroffener Personen.

• Beschäftigte des Verantwortlichen (Mitarbeiterinnen und Mitarbeiter, ggf. freie Mitarbeiter), die evaluateMe nutzen bzw. deren Zeiten/Abwesenheiten erfasst werden.
• Endkunden / Rechnungsempfänger des Verantwortlichen, soweit deren Daten zur Rechnungsstellung im System hinterlegt werden.

C. Datenarten / Kategorien personenbezogener Daten.

Beschäftigtendaten des Verantwortlichen:

• Stamm- und Kontaktdaten: Name, E-Mail-Adresse
• Rollen- und Berechtigungsdaten (Rolle im System)
• Arbeitszeiterfassung: Zeiteinträge nebst Kommentaren
• Arbeitszeitmodelle
• Abwesenheiten: Urlaub sowie Krankmeldungen als bloße Tages-Markierung „krank", ohne Diagnose- oder sonstige Gesundheitsdetails
• Arbeitszeit-/Stundenkonten (Salden)
• Anmeldedaten (Passwort-Hashes)
• Protokoll-/Audit-Daten (Audit-Logs)
• Geräte-Tokens für Push-Benachrichtigungen (Mobil-App)

Kundendaten des Verantwortlichen (für Rechnungen):

• Name und Anschrift der Rechnungsempfänger des Verantwortlichen

Hinweis zu besonderen Datenkategorien (Art. 9 DSGVO). Die Krankmeldung wird ausschließlich als abwesenheitsbezogene Tages-Markierung ohne Diagnose-/Gesundheitsdetails geführt. Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nach der Produktkonzeption nicht vorgesehen. Die datenschutzrechtliche Bewertung der Zulässigkeit der Verarbeitung von Beschäftigtendaten obliegt dem Verantwortlichen (§ 26 BDSG bzw. Nachfolgeregelung; ggf. Beteiligung des Betriebsrats). Die Kommentar-Freitextfelder (z. B. bei Zeiteinträgen) sind ausschließlich zur Erfassung tätigkeits- bzw. aufgabenbezogener Angaben bestimmt; eine Aufforderung oder technische Notwendigkeit zur Eingabe von Gesundheits- oder sonstigen sensiblen Daten besteht nicht und ist produktseitig nicht vorgesehen. Es obliegt dem Verantwortlichen sicherzustellen, dass seine Nutzer in Freitextfelder keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) oder sonstige nicht erforderliche sensible Angaben eintragen.

D. Dauer der Verarbeitung. Für die Laufzeit des Hauptvertrags, zzgl. der in § 9 geregelten Nachlauf- und Löschfristen und etwaiger gesetzlicher Aufbewahrungsfristen.

Anlage 2, Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Grundlage. Die farbcode GmbH betreibt ein nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) und ist zusätzlich nach ISO 9001 (Qualitätsmanagement) zertifiziert. Die nachfolgenden Maßnahmen sind Bestandteil dieses zertifizierten Managementsystems. Die Zertifikate werden auf Anfrage vorgelegt und dienen als Nachweiselement nach Art. 28 Abs. 5 DSGVO.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO).

Zutrittskontrolle (physisch):

• Die produktive Infrastruktur wird in ISO-27001-zertifizierten Rechenzentren des Hosting-Sub-Prozessors (Hetzner Online GmbH, Standort Deutschland) betrieben; physische Zutrittskontrolle, Bewachung und Zutrittsprotokollierung liegen dort vor.
• Zutrittskontrolle zu den Geschäftsräumen der farbcode GmbH (u. a. Zugangskontrolle, Besucherregelung).

Zugangskontrolle (System):

• Individuelle Benutzerkonten, keine geteilten Accounts
• Passwort-Richtlinien; Passwörter werden ausschließlich als kryptografische Hashes gespeichert
• Mehr-Faktor-Authentifizierung für administrative Zugänge zur Infrastruktur
• Zugriff auf Server ausschließlich über verschlüsselte Verbindungen (SSH mit Schlüsseln)

Zugriffskontrolle (Berechtigung):

• Rollen- und Rechtekonzept in der Anwendung (rollenbasierte Zugriffssteuerung)
• Strikte Mandantentrennung (Multi-Tenancy): jeder Datensatz ist einer Organisation zugeordnet; ein automatischer, systemweiter Tenant-Filter verhindert organisationsübergreifende Datenzugriffe
• Need-to-know-Prinzip für administrative Zugriffe des Auftragsverarbeiters

Trennungskontrolle:

• Logische Mandantentrennung auf Datenbank-Ebene (Organisations-Kennung je Datensatz, systemseitig erzwungen)
• Trennung von Entwicklungs-, Test- und Produktivumgebung

Verschlüsselung/Pseudonymisierung:

• Transportverschlüsselung (TLS) für die Kommunikation zwischen Client und Server sowie zu Sub-Prozessoren
• Verschlüsselte Speicherung sensibler Zugangsdaten auf Anwendungsebene (hinterlegte API-Schlüssel für kundengesteuerte Integrationen werden mit AES verschlüsselt und write-only gehalten); Anmeldedaten ausschließlich als kryptografische Hashes
• Eine Festplatten-/Volume-Vollverschlüsselung (at rest) der Produktivserver wird derzeit nicht eingesetzt. Das angemessene Schutzniveau der ruhenden Daten wird durch die physische Sicherheit des nach ISO/IEC 27001 zertifizierten Rechenzentrums des Hosting-Sub-Prozessors (Hetzner, Deutschland), die strikte logische Zugriffskontrolle sowie die zusätzliche Anwendungs-Verschlüsselung besonders sensibler Zugangsdaten gewährleistet. Diese Risikoabwägung ist im Informationssicherheits-Managementsystem der farbcode GmbH dokumentiert und als bewusst getragenes Restrisiko formell akzeptiert.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO).

• Weitergabekontrolle: Datenübermittlung nur verschlüsselt (TLS); Übermittlung an Dritte nur auf Weisung / durch vom Verantwortlichen aktivierte Funktionen
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (Audit-Logs); Nachvollziehbarkeit von Änderungen an relevanten Datensätzen

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO).

• Regelmäßige, automatisierte Datensicherungen (Backups)
• Trennung der Backups vom Produktivsystem
• Monitoring der Systeme und Dienste
• Schutz gegen Schadsoftware und unbefugten Zugriff (Firewalling, Härtung)
• Redundanz-/Wiederanlaufkonzepte im Rahmen der Hosting-Infrastruktur
• Dokumentierte Wiederherstellungsprozesse aus Backups

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO).

• Datenschutz- und Informationssicherheits-Managementsystem nach ISO/IEC 27001 mit regelmäßigen internen und externen Audits
• Regelmäßige Überprüfung und Aktualisierung der TOM im Rahmen des ISMS
• Auftragskontrolle: sorgfältige Auswahl, vertragliche Bindung und Überwachung von Sub-Prozessoren (§ 8)
• Sensibilisierung und Schulung der Mitarbeitenden zu Datenschutz und Informationssicherheit
• Incident-Response-Prozess für Sicherheitsvorfälle (vgl. § 7 Abs. 4)

Anlage 3, Sub-Auftragsverarbeiter und kundengesteuerte Integrationen

Abschnitt A, Genehmigte Sub-Auftragsverarbeiter (Stand Vertragsschluss).

Begründung Aufnahme Laravel Forge: Forge hat durch den privilegierten SSH-/Infrastruktur-Zugriff die objektive Möglichkeit der Kenntnisnahme personenbezogener Daten und wird deshalb, der aufsichtsbehördlichen Praxis zu Fernwartungs-/Administrationsfällen folgend (Art. 28 DSGVO), vorsorglich als Sub-Auftragsverarbeiter mit USA-Drittlandbezug geführt, obwohl keine bestimmungsgemäße oder persistente Datenverarbeitung stattfindet.

Abschnitt B, Kundengesteuerte Integrationen (keine Sub-Auftragsverarbeitung des Auftragsverarbeiters).

lexoffice (Haufe-Lexware GmbH & Co. KG), Buchhaltungs-Export. Die Anbindung an lexoffice ist eine optionale, vom Verantwortlichen selbst gesteuerte Integration. Der Verantwortliche verbindet seinen eigenen lexoffice-Account, indem er seinen eigenen API-Schlüssel in evaluateMe hinterlegt, und stößt Exporte selbst an. Der Auftragsverarbeiter übermittelt Rechnungsdaten insoweit ausschließlich auf konkrete Weisung und ausschließlich unter Verwendung der vom Verantwortlichen bereitgestellten Zugangsdaten an den lexoffice-Account des Verantwortlichen.

lexoffice ist deshalb kein Sub-Auftragsverarbeiter der farbcode GmbH. Die datenschutzrechtliche Verantwortung für die Nutzung von lexoffice, einschließlich des Abschlusses eines eigenen Auftragsverarbeitungsvertrags zwischen dem Verantwortlichen und der Haufe-Lexware GmbH & Co. KG, liegt allein beim Verantwortlichen (siehe § 8 Abs. 6).

Anlage 4, Kontaktstellen und Zuständigkeiten

Auftragsverarbeiter (farbcode GmbH):

• Kontakt für Datenschutz-/AVV-Angelegenheiten: hallo@farbcode.net
• Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht bestellungspflichtig und nicht bestellt. Für Datenschutzanfragen gilt die vorstehende Kontaktadresse.

Verantwortlicher: Weisungsberechtigte Person(en) / Kontaktstelle ist bzw. sind die im Kundenkonto als Administrator hinterlegte(n) Person(en) des Verantwortlichen.