Auftragsverarbeitungsvertrag (AVV)

Gemäß Art. 28 DSGVO · Version 1.2 · Stand: November 2026

zwischen

Catalina Rojas Ugarte, handelnd als Einzelunternehmerin unter der Geschäftsbezeichnung „ClapNClaw“,
Gneisenaustrasse 51, Wohnung 9, 10961 Berlin, Deutschland

– nachfolgend Auftragsverarbeiter –

und

dem Kunden (Name, Anschrift und Vertreter gemäß den bei der Registrierung gemachten Angaben)

– nachfolgend Verantwortlicher –

Präambel

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Grundlage des Hauptvertrags einen cloudbasierten, mandantengetrennten KI-Chat-Arbeitsplatz (Software as a Service) zur Verfügung. Der Verantwortliche verarbeitet dabei personenbezogene Daten, für die er datenschutzrechtlich verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich weisungsgebunden im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

(2) Der Verantwortliche kann Berufsgeheimnisträger im Sinne des § 203 StGB sein. In diesem Fall gilt ergänzend und vorrangig die zwischen den Parteien geschlossene „Zusatzvereinbarung zum Auftragsverarbeitungsvertrag für Berufsgeheimnisträger gemäß § 203 StGB“.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der ClapNClaw-Plattform, wie er sich aus dem Hauptvertrag ergibt und in diesem konkretisiert ist.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Dies umfasst Tätigkeiten, die in diesem Vertrag konkretisiert sind. Der Verantwortliche ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DSGVO). Dies gilt insbesondere auch für Daten, die ggfs. dem Berufsgeheimnis unterliegen, § 203 StGB.

(3) Der Vertrag gilt für die Dauer der Nutzung der ClapNClaw-Plattform und endet automatisch mit Kündigung des Hauptvertrags, sofern sich aus den Bestimmungen dieses Vertrages nicht darüber hinausgehende Verpflichtungen ergeben.

(4) Der Verantwortliche kann diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn der Auftragsverarbeiter gegen wesentliche Pflichten aus diesem Vertrag oder gegen die DSGVO verstößt und den Verstoß nicht innerhalb einer angemessenen Frist abstellt. Ein solcher Verstoß berechtigt den Verantwortlichen zugleich zur außerordentlichen Kündigung des Hauptvertrags.

(5) Die Regelungen über Vertraulichkeit, Löschung und Rückgabe, Haftung sowie Berufsgeheimnisse gelten über die Beendigung dieses Vertrages hinaus fort.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende Datenkategorien:

• Bestands- und Kontaktdaten der Nutzer des Verantwortlichen (Name, dienstliche E-Mail-Adresse, ggf. Telefonnummer zur Verifizierung, Organisationszugehörigkeit, gehashte Passwörter, Rollenzuweisung);
• Inhaltsdaten: Eingaben (Prompts), hochgeladene Dokumente, Inhalte der Wissensdatenbank, KI-generierte Antworten, Konversationsverläufe, Ergebnisse zeitgesteuerter Skills;
• Mandantenstammdaten des Verantwortlichen (Name des Mandanten, Aktenzeichen, Mandantennummer in angebundenen Fachsystemen wie DATEV) und deren Zuordnung zu Nutzern des Verantwortlichen;
• Daten aus optional verbundenen Drittdiensten (z. B. E-Mail-, Kalender-, Datei-, Chat- und CRM-Inhalte), soweit der Verantwortliche eine Integration aktiviert;
• Nutzungs- und Metadaten (Token-Verbrauch, Zeitstempel, IP-Adressen, technische Protokolldaten);
• Support- und Kommunikationsdaten.

(2) Zweck: Bereitstellung von KI-Assistenz-Diensten über die ClapNClaw-Plattform zur Verarbeitung von Geschäftskommunikation, Dokumenten und Wissensbeständen des Verantwortlichen.

(3) Betroffene Personen: Beschäftigte, Berufsträger und Nutzer des Verantwortlichen; Mandanten, Patienten, Klienten und Kunden des Verantwortlichen sowie deren Angehörige; Verfahrens- und Vertragsgegner; Geschäftspartner und sonstige Dritte, deren Daten in Eingaben, Dokumenten oder verbundenen Drittdiensten enthalten sind.

(4) Die Verarbeitungsvorgänge umfassen insbesondere das Erheben, Erfassen, Speichern, Organisieren, Auslesen, Verwenden (einschließlich der Verarbeitung durch große Sprachmodelle), Indexieren und Vektorisieren (Wissensdatenbank/RAG), Übermitteln an die Unterauftragsverarbeiter, Einschränken, Löschen und Vernichten.

(5) Der Verantwortliche kann Daten im Sinne des Art. 9 Abs. 1 DSGVO (insbesondere Gesundheitsdaten bei Arztpraxen) sowie Daten im Sinne des Art. 10 DSGVO in die Verarbeitung einbringen. Für diesen Fall gelten die zusätzlichen Maßnahmen nach Anlage Ziffer 8. Die Verarbeitung ist auf das für die Leistungserbringung erforderliche Maß beschränkt.

(6) Der Verantwortliche kann Tatsachen einbringen, die dem Schutz des § 203 StGB und den einschlägigen berufsrechtlichen Verschwiegenheitspflichten unterliegen. Insoweit gilt § 12 sowie die zwischen den Parteien getroffene Zusatzvereinbarung über § 203 StGB.

(7) Ort der Verarbeitung: Ausschließlich Mitgliedstaaten der Europäischen Union bzw. des Europäischen Wirtschaftsraums, vorbehaltlich § 7.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Auftragsdaten ausschließlich zu den in § 2 genannten Zwecken. Eine Nutzung für eigene Zwecke ist ausgeschlossen. Insbesondere werden Auftragsdaten weder durch den Auftragsverarbeiter noch durch einen Unterauftragsverarbeiter zum Training, zur Feinabstimmung, zur Evaluierung oder zur sonstigen Verbesserung von KI-Modellen oder Diensten verwendet. Eine Anonymisierung oder Aggregation zu eigenen Zwecken bedarf einer gesonderten Weisung in Textform.

(2) Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung erfolgt in Textform vor Aufnahme der Tätigkeit, wird dokumentiert und wirkt über das Ende der Tätigkeit hinaus fort. Nachweise sind dem Verantwortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter nennt dem Verantwortlichen einen Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen. Sobald die Voraussetzungen des Art. 37 DSGVO, § 38 BDSG vorliegen, benennt er einen Datenschutzbeauftragten und teilt dessen Kontaktdaten unverzüglich mit.

(4) Der Auftragsverarbeiter gewährleistet, seinen Pflichten nach Art. 32 Abs. 1 lit. d) DSGVO nachzukommen, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen.

(5) Der Auftragsverarbeiter berichtigt oder löscht die vertragsgegenständlichen Daten, wenn der Verantwortliche dies anweist und dies vom Weisungsrahmen umfasst ist, sofern der Verantwortliche diese Handlungen nicht selbst über die Funktionen der Plattform vornehmen kann. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt der Auftragsverarbeiter die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Verantwortlichen oder gibt diese Datenträger an den Verantwortlichen zurück, sofern nicht im Vertrag bereits vereinbart. In besonderen, vom Verantwortlichen zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe. Vergütung und Schutzmaßnahmen hierzu sind gesondert zu vereinbaren, sofern nicht im Vertrag bereits vereinbart. Daten, Datenträger sowie sämtliche sonstige Materialien sind nach Auftragsende auf Verlangen des Verantwortlichen entweder herauszugeben oder zu löschen, sofern der Verantwortliche diese Handlungen nicht selbst über die Funktionen der Plattform vornehmen kann. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese der Verantwortliche.

(6) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Verantwortlichen bekannt werden. Der Auftragsverarbeiter trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der betroffenen Personen und spricht sich hierzu unverzüglich mit dem Verantwortlichen ab. Der Auftragsverarbeiter informiert den Verantwortlichen außerdem unverzüglich über:

• Kontrollhandlungen, Auskunftsersuchen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Verarbeitung für den Verantwortlichen betreffen;
• Durchsuchungen, Beschlagnahmen, Sicherstellungen sowie Herausgabeverlangen von Behörden oder Gerichten, die sich auf Auftragsdaten beziehen — soweit eine Information nicht gesetzlich untersagt ist (§ 7 Abs. 4);
• Anträge auf Eröffnung eines Insolvenzverfahrens oder eine wesentliche Änderung der Inhaberschaft am Unternehmen des Auftragsverarbeiters;
• sicherheitsrelevante Schwachstellen, die zu einer Verletzung des Schutzes personenbezogener Daten führen können.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO); Einzelheiten regelt § 10.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Verantwortlichen treffen, die den Anforderungen der Datenschutzgrundverordnung (Art. 32 DSGVO) genügen. Der Auftragsverarbeiter hat technische und organisatorische Maßnahmen zu treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen (siehe Anlage zu dieser Vereinbarung).

(2) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(3) Der Auftragsverarbeiter überprüft, bewertet und evaluiert die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal jährlich, sowie anlassbezogen (Art. 32 Abs. 1 lit. d DSGVO), und dokumentiert das Ergebnis.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO zur Hinzuziehung der in § 5 Abs. 9 abschließend aufgeführten Unterauftragsverarbeiter.

(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens 30 Tage vor der beabsichtigten Änderung in Textform mit; die Mitteilung enthält Namen, Sitz, Leistungsgegenstand, Verarbeitungsort und — bei Drittlandsbezug — die vorgesehenen Garantien nach Kapitel V DSGVO.

(3) Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem datenschutzrechtlich begründeten Anlass in Textform widersprechen. Widerspricht er, bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt eine solche nicht binnen 30 Tagen zustande, ist der Verantwortliche berechtigt, den Hauptvertrag und diesen Vertrag mit sofortiger Wirkung ohne Kosten zu kündigen; im Voraus gezahlte Entgelte werden zeitanteilig erstattet.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter im Wege eines Vertrages zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere zu hinreichenden Garantien nach Art. 32 DSGVO sowie zu Kontroll- und Nachweispflichten (Art. 28 Abs. 4 Satz 1 DSGVO). Auf Anforderung legt er dem Verantwortlichen die betreffenden Vereinbarungen vor; kaufmännische Regelungen dürfen dabei geschwärzt werden.

(5) Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters wie für eigenes Verschulden (Art. 28 Abs. 4 Satz 2 DSGVO).

(6) Der Auftragsverarbeiter führt eine jederzeit aktuelle Liste sämtlicher Unterauftragsverarbeiter einschließlich der von diesen eingesetzten weiteren Unterauftragsverarbeiter (Verarbeitungskette) und hält sie für den Verantwortlichen abrufbar. Auf Wunsch richtet er eine Benachrichtigung über Änderungen ein.

(7) Ist der Verantwortliche Berufsgeheimnisträger, bedarf die Hinzuziehung weiterer Unterauftragsverarbeiter zusätzlich seiner vorherigen Einwilligung in Textform; ein bloßes Widerspruchsrecht nach Absatz 3 genügt insoweit nicht. Maßgeblich sind § 203 Abs. 4 Satz 2 Nr. 2 StGB sowie die entsprechenden Vorschriften der Berufsordnungen.

(8) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß Zugriff auf Auftragsdaten erhalten (z. B. Telekommunikations- und Transportdienstleistungen). Der Auftragsverarbeiter trifft auch insoweit angemessene Vertraulichkeitsvorkehrungen.

(9) Zum Zeitpunkt des Vertragsschlusses setzt der Auftragsverarbeiter folgende Unterauftragsverarbeiter ein:

§ 6 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation — , sofern er hierzu nicht durch das Recht der Union oder der Mitgliedstaaten verpflichtet ist, dem er unterliegt. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen werden in Textform erteilt. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigte Personen des Verantwortlichen und Weisungsempfänger des Auftragsverarbeiters werden der jeweils anderen Vertragspartei mit Abschluss des Vertrages benannt; Änderungen sind der jeweils anderen Partei unverzüglich mitzuteilen.

(3) Dieser Vertrag nebst Anlagen stellt die Erstweisung des Verantwortlichen dar. Spätere Änderungen der Verarbeitung erfolgen durch Einzelweisung.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 7 Verarbeitung außerhalb der EU/des EWR

(1) Die Verarbeitung der Auftragsdaten, insbesondere Speicherung und KI-Inferenz, erfolgt ausschließlich in Mitgliedstaaten der EU bzw. des EWR.

(2) Eine Übermittlung in ein Drittland oder ein Zugriff aus einem Drittland ist nur zulässig, soweit dies nach § 5 ausdrücklich vorgesehen ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Der Auftragsverarbeiter dokumentiert die jeweilige Garantie (Angemessenheitsbeschluss, Standardvertragsklauseln nebst Transfer Impact Assessment und ergänzenden Maßnahmen) und legt sie auf Anforderung vor.

(3) Wird ein Angemessenheitsbeschluss, auf den eine Übermittlung gestützt ist, aufgehoben, ausgesetzt oder für ungültig erklärt, stellt der Auftragsverarbeiter die betroffene Übermittlung unverzüglich auf ein anderes zulässiges Instrument um oder beendet sie. Er informiert den Verantwortlichen hierüber innerhalb von zehn Werktagen.

(4) Erhält der Auftragsverarbeiter oder ein Unterauftragsverarbeiter ein Herausgabe- oder Auskunftsverlangen einer Behörde eines Drittstaats (etwa auf Grundlage des US CLOUD Act), so wird er:

• den Verantwortlichen unverzüglich informieren, soweit dies rechtlich zulässig ist;
• das Verlangen auf seine Rechtmäßigkeit prüfen und zumutbare Rechtsbehelfe einlegen;
• die Herausgabe auf das rechtlich zwingend gebotene Mindestmaß beschränken und keine Daten freiwillig herausgeben;
• das Verlangen und die getroffenen Maßnahmen dokumentieren.

(5) Aktiviert der Verantwortliche eine optionale Integration oder die Websuche, können hierdurch personenbezogene Daten an den jeweiligen Anbieter — ggf. in einem Drittland — übermittelt werden. Der Auftragsverarbeiter weist hierauf vor Aktivierung hin. Für Verantwortliche, die Berufsgeheimnisträger sind, deaktiviert der Auftragsverarbeiter Integrationen und Websuche standardmäßig und gibt sie nur auf ausdrückliche Weisung in Textform frei. Dienste, für die kein Vertrag nach Art. 28 DSGVO und keine Garantie nach Kapitel V DSGVO besteht, werden für diese Verantwortlichen technisch gesperrt.

§ 8 Unterstützung bei Betroffenenrechten und Datenpannen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte nachzukommen.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich, spätestens innerhalb von drei Werktagen, an den Verantwortlichen weiter und beantwortet es nicht selbst; hierauf weist er die betroffene Person hin.

(3) Anforderungen des Verantwortlichen nach Absatz 1 beantwortet der Auftragsverarbeiter innerhalb von zehn Werktagen, in dringenden Fällen unverzüglich. Die Unterstützung umfasst insbesondere Auskunft über die zu einer Person gespeicherten Daten, Export, Berichtigung, Löschung und Einschränkung der Verarbeitung.

(4) Die Unterstützung erfolgt ohne gesondertes Entgelt, soweit sie nicht auf einem Umstand beruht, den der Verantwortliche zu vertreten hat, und den üblichen Aufwand nicht erheblich übersteigt.

§ 9 Verletzung des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, um dem Verantwortlichen die Einhaltung der 72-Stunden-Meldefrist gemäß Art. 33 DSGVO zu ermöglichen. Sind Berufsgeheimnisse betroffen, erfolgt die Erstinformation unverzüglich, auch außerhalb der üblichen Geschäftszeiten.

(2) Die Meldung enthält, soweit möglich, die Angaben nach Art. 33 Abs. 3 DSGVO, insbesondere eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Fehlende Angaben werden unverzüglich nachgereicht.

(3) Der Auftragsverarbeiter dokumentiert alle Verletzungen einschließlich der damit verbundenen Fakten, Auswirkungen und Abhilfemaßnahmen und stellt die Dokumentation dem Verantwortlichen zur Verfügung.

(4) Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und unterstützt den Verantwortlichen bei einer Benachrichtigung nach Art. 34 DSGVO.

(5) Meldungen an die Aufsichtsbehörde oder an betroffene Personen, die die Verarbeitung für den Verantwortlichen betreffen, nimmt der Auftragsverarbeiter nicht ohne vorherige Abstimmung mit dem Verantwortlichen vor, es sei denn, er ist hierzu gesetzlich verpflichtet.

§ 10 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, im Benehmen mit dem Auftragsverarbeiter Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragsverarbeiter in dessen Geschäftsbetrieb zu überzeugen.

(2) Der Auftragsverarbeiter stellt sicher, dass sich der Verantwortliche von der Einhaltung der Pflichten des Auftragsverarbeiters nach Art. 28 DSGVO überzeugen kann. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.

(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch

• die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO;
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSIGrundschutz).

(4) Sollten im Einzelfall Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer erforderlich sein, werden diese zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. Der Auftragsverarbeiter darf diese von der vorherigen Anmeldung mit angemessener Vorlaufzeit und von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden und der eingerichteten technischen und organisatorischen Maßnahmen abhängig machen. Sollte der durch den Verantwortlichen beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragsverarbeiter stehen, hat der Auftragsverarbeiter gegen diesen ein Einspruchsrecht.

(5) Jede Partei trägt ihre eigenen Kosten. Ein Aufwandsersatz des Auftragsverarbeiters kommt nur für Kontrollen in Betracht, die über eine Kontrolle je Kalenderjahr hinausgehen und nicht durch einen von ihm zu vertretenden Umstand veranlasst sind.

(6) Der Auftragsverarbeiter duldet Kontrollen der zuständigen Aufsichtsbehörde und wirkt an diesen mit. Er unterstützt den Verantwortlichen zudem bei Anfragen von dessen Berufskammer oder Datenschutzbeauftragtem innerhalb von zehn Werktagen.

§ 11 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gilt Art. 82 Abs. 5 DSGVO.

(2) Haftungsbeschränkungen des Hauptvertrags (insbesondere § 9 der AGB) finden auf Ansprüche aus Art. 82 DSGVO sowie auf Schäden aus der Verletzung wesentlicher Pflichten dieses Vertrages keine Anwendung. Für die Verletzung sonstiger Pflichten aus diesem Vertrag ist die Haftung des Auftragsverarbeiters bei einfacher Fahrlässigkeit auf den vorhersehbaren, vertragstypischen Schaden begrenzt.

§ 12 Berufsgeheimnisse und Verschwiegenheit

(1) Der Auftragsverarbeiter ist darüber belehrt, dass er als „sonstige mitwirkende Person“ im Sinne des § 203 Abs. 3 Satz 2 StGB der strafbewehrten Geheimhaltungspflicht nach § 203 Abs. 4 StGB unterliegen kann, und verpflichtet sich, fremde Geheimnisse, die ihm im Rahmen der Auftragsverarbeitung bekannt werden, nicht unbefugt zu offenbaren.

(2) Er verpflichtet alle mit der Leistungserbringung befassten Personen in Textform entsprechend, belehrt sie über die strafrechtlichen Folgen und dokumentiert dies.

(3) Kenntnisnahme von geschützten Inhalten erfolgt nur, soweit sie zur Leistungserbringung erforderlich ist.

(4) Ergänzend und im Kollisionsfall vorrangig gilt die zwischen den Parteien getroffene Zusatzvereinbarung über § 203 StGB.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform; dies gilt auch für die Änderung dieser Klausel. Mündliche Nebenabreden bestehen nicht.

(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Vertragssprache ist Deutsch.

(3) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist Berlin, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand in Deutschland hat. Im Übrigen gelten die gesetzlichen Gerichtsstände.

(4) Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Punkte treten, soweit vorhanden, die gesetzlichen Vorschriften.

Vertragsparteien

Auftragsverarbeiter: Catalina Rojas Ugarte, handelnd als ClapNClaw, Berlin, Deutschland.

Verantwortlicher: der Kunde. Die Annahme dieses Vertrages erfolgt per Checkbox bei der Registrierung (siehe Hinweis oben); maßgeblich ist der dabei dokumentierte Zeitstempel.

Anlage — Technische und organisatorische Maßnahmen

Die nachfolgende Übersicht ordnet die vom Auftragsverarbeiter getroffenen Maßnahmen den Schutzzielen des Art. 32 DSGVO zu. Die zu den einzelnen Maßnahmenkategorien genannten Beispiele dienen der Erläuterung des jeweiligen Schutzziels; sie sind weder abschließend noch sämtlich einschlägig. Maßgeblich ist die vom Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und des Risikos für die Rechte und Freiheiten der betroffenen Personen getroffene Auswahl. Deren konkrete Ausgestaltung ist in der Sicherheitsdokumentation des Auftragsverarbeiters festgehalten; sie wird dem Verantwortlichen nach § 10 auf Anforderung vorgelegt und mindestens jährlich überprüft (§ 4 Abs. 3).

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)

1.1 Verschlüsselung

Die Verschlüsselung soll gewährleisten, dass personenbezogene Daten bei Übertragung und Speicherung für Unbefugte nicht lesbar sind.

Zum Beispiel:

• Transportverschlüsselung sämtlicher Verbindungen nach dem Stand der Technik
• Verschlüsselung gespeicherter Daten und Sicherungskopien
• Verschlüsselung mobiler Datenträger und Endgeräte
• Einsatz kryptografischer Einwegverfahren für Authentifizierungsmerkmale
• Geordnete Verwaltung und Hinterlegung von Schlüsseln und Zugangsgeheimnissen

1.2 Pseudonymisierung

Die Pseudonymisierung soll gewährleisten, dass personenbezogene Daten ohne Hinzuziehung zusätzlicher Informationen keiner betroffenen Person zugeordnet werden können.

Eine Pseudonymisierung der Inhaltsdaten (Eingaben, Dokumente, Antworten) findet nicht statt. Umgesetzt ist die Entfernung der E-Mail-Adresse der handelnden Nutzer aus den Zugriffsprotokollen nach 395 Tagen; das Protokoll verweist danach nur noch über die technische Nutzerkennung auf die handelnde Person.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

2.1 Zugangskontrolle

Die Zugangskontrolle soll verhindern, dass Unbefugte Zugang zu Verarbeitungsanlagen erhalten, mit denen die Verarbeitung durchgeführt wird.

Zum Beispiel:

• Alarmanlage
• Chipkarten-/Transponder-Schließsystem
• Abschließbare Serverschränke
• Sicherheitsschlösser
• Sorgfältige Auswahl des Reinigungs- und Wartungspersonals
• Dokumentation der Zutritte zu Rechenzentrumsflächen

2.2 Datenträgerkontrolle

Die Datenträgerkontrolle soll verhindern, dass Unbefugte Datenträger lesen, kopieren, verändern oder löschen können.

Zum Beispiel:

• Sichere Aufbewahrung von Datenträgern
• Verschlüsselung von (mobilen) Datenträgern
• Ordnungsgemäße Vernichtung von Datenträgern (DIN 66399 / DIN 32757)
• Einsatz von Aktenvernichtern beziehungsweise entsprechender Dienstleister
• Protokollierung der Vernichtung

2.3 Benutzerkontrolle

Die Benutzerkontrolle soll verhindern, dass Unbefugte automatisierte Verarbeitungssysteme mit Hilfe von Datenübertragung nutzen können.

Zum Beispiel:

• Festlegung zugangsberechtigter Personen und Erstellen von Benutzerprofilen
• Authentifikation mit Benutzername und Passwort, ergänzt um ein zweites Sicherungsmerkmal
• Passwortrichtlinie einschließlich Mindestlänge und Wechselregeln
• Regelmäßige Kontrolle der Berechtigungen und Sperrung der Berechtigungen ausscheidender Personen
• Einsatz von Schutzsoftware gegen Schadprogramme
• Begrenzung fehlgeschlagener Anmeldeversuche

2.4 Speicher- und Zugriffskontrolle

Die Speicher- und Zugriffskontrolle soll gewährleisten, dass Berechtigte ausschließlich auf die ihrer Berechtigung unterliegenden personenbezogenen Daten zugreifen und dass Unbefugte von gespeicherten Daten keine Kenntnis nehmen sowie diese nicht eingeben, verändern oder löschen können.

Zum Beispiel:

• Festlegung von Berechtigungen in den IT-Systemen
• Differenzierte Berechtigungen für Lesen, Ändern und Löschen
• Differenzierte Berechtigungen für Daten, Anwendungen und Betriebssystem
• Verwaltung der Rechte durch Systemadministratoren
• Beschränkung der Zahl der Administratoren auf das Notwendige
• Zugriff auf Inhaltsdaten nur nach dem Erforderlichkeitsgrundsatz und dokumentiert
• Protokollierung von Zugriffen auf Anwendungen

2.5 Trennbarkeit

Die Trennbarkeit soll gewährleisten, dass zu unterschiedlichen Zwecken oder für unterschiedliche Verantwortliche erhobene Daten getrennt verarbeitet werden können.

Zum Beispiel:

• Getrennte Verarbeitungsumgebungen je Kundenorganisation
• Logische und physische Trennung der Datenbestände
• Trennung von Produktiv-, Test- und Entwicklungssystemen
• Mandantenfähigkeit der eingesetzten Systeme

3. Integrität (Art. 32 Abs. 1 lit. b)

3.1 Übertragungskontrolle

Die Übertragungskontrolle soll gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können.

Zum Beispiel:

• Einsatz von Verschlüsselungstechnologien beziehungsweise gesicherter Verbindungen
• Übersicht über regelmäßige Abruf- und Übermittlungsvorgänge
• Dokumentation der Empfänger von Daten sowie der vereinbarten Überlassungs- und Löschfristen
• Beschränkung der Übermittlung auf vertraglich vereinbarte Empfänger

3.2 Transportkontrolle

Die Transportkontrolle soll gewährleisten, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden.

Zum Beispiel:

• Einsatz von Verschlüsselungstechnologien beziehungsweise gesicherter Verbindungen
• Gesicherter Transport und gesicherte Übergabe von Datenträgern

3.3 Eingabekontrolle

Die Eingabekontrolle soll gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind.

Zum Beispiel:

• Protokollierung von Eingaben, Änderungen und Löschungen
• Nachvollziehbare Zuordnung von Vorgängen zu Benutzerkonten
• Manipulationsgeschützte Aufbewahrung der Protokolle
• Festgelegte Aufbewahrungsfristen für Protokolldaten

3.4 Datenintegrität

Die Datenintegrität soll gewährleisten, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können.

Zum Beispiel:

• Backup- und Recoverykonzept
• Prüfmechanismen zur Erkennung fehlerhafter oder unvollständiger Datenbestände
• Geordnetes Änderungs- und Freigabeverfahren für Systemänderungen

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b)

4.1 Verfügbarkeitskontrolle

Die Verfügbarkeitskontrolle soll gewährleisten, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind.

Zum Beispiel:

• Geräte zur Überwachung von Temperatur und Feuchtigkeit in Serverräumen
• Feuer- und Rauchmeldeanlagen sowie Löscheinrichtungen
• Unterbrechungsfreie Stromversorgung
• Aufbewahrung der Datensicherung an einem sicheren, ausgelagerten Ort
• Alarmmeldung bei unberechtigtem Zutritt zu Serverräumen
• Notfallplan

4.2 Zuverlässigkeit

Die Zuverlässigkeit soll gewährleisten, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden.

Zum Beispiel:

• Voneinander unabhängig funktionierende Systeme
• Automatisierte Überwachung und Meldung von Fehlfunktionen
• Schutz gegen Schadprogramme und gegen Überlastung

5. Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c)

Die Wiederherstellbarkeit soll gewährleisten, dass die Verfügbarkeit der personenbezogenen Daten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden können.

Zum Beispiel:

• Backup- und Recoverykonzept mit festgelegten Sicherungsintervallen und Aufbewahrungsfristen
• Redundante Datenhaltung
• Regelmäßiges Testen der Datenwiederherstellung
• Notfallplan mit definierten Wiederanlaufzeiten

6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d)

Das Überprüfungsverfahren soll gewährleisten, dass die Wirksamkeit der technischen und organisatorischen Maßnahmen fortlaufend beurteilt und an veränderte Risiken angepasst wird.

Zum Beispiel:

• Mindestens jährliche Überprüfung und Dokumentation der Maßnahmen
• Patch- und Schwachstellenmanagement
• Regelmäßige Sicherheitsüberprüfungen, etwa durch Penetrationstests
• Prozess zur Erkennung, Meldung und Bearbeitung von Sicherheitsvorfällen
• Schulung und Sensibilisierung der eingesetzten Personen

7. Auftragskontrolle

Die Auftragskontrolle soll gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Verantwortlichen verarbeitet werden können.

Zum Beispiel:

• Sorgfältige Auswahl und Prüfung der Unterauftragsverarbeiter
• Abschluss von Verträgen nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern
• Verpflichtung der eingesetzten Personen auf Vertraulichkeit vor Aufnahme der Tätigkeit
• Dokumentierte Weisungswege und benannte Ansprechpartner
• Führung eines Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO
• Regelmäßige Kontrolle der Unterauftragsverarbeiter anhand von Nachweisen oder Zertifikaten

8. Zusätzliche Maßnahmen bei besonderen Datenkategorien und Berufsgeheimnissen

Die zusätzlichen Maßnahmen sollen dem erhöhten Schutzbedarf von Daten nach Art. 9 DSGVO sowie von Geheimnissen im Sinne des § 203 StGB Rechnung tragen.

Zum Beispiel:

• Beschränkung der Verarbeitung auf Dienstleister mit Sitz und Verarbeitungsort in der EU beziehungsweise im EWR
• Standardmäßige Deaktivierung optionaler Schnittstellen zu Drittdiensten sowie technische Sperre nicht abgesicherter Dienste
• Gesonderte Verpflichtung und Belehrung der eingesetzten Personen nach § 203 Abs. 4 StGB
• Erweiterte Protokollierung und Einschränkung administrativer Zugriffe auf Inhaltsdaten
• Erweiterte Mitwirkung bei Anfragen von Berufskammern und Aufsichtsbehörden

9. Umsetzungszusagen

Maßnahmen, die im Zeitpunkt des Vertragsschlusses noch nicht als umgesetzt bestätigt sind, setzt der Auftragsverarbeiter um – soweit nachfolgend ein Termin genannt ist, bis zu diesem Termin – und weist die Umsetzung unaufgefordert in Textform nach (§ 7 Abs. 4).

Das Zeichen ✔ bezeichnet einen von ClapNClaw zum angegebenen Datum im Produktivbetrieb geprüften und umgesetzten Stand; die Klammer nennt, was geprüft wurde. Zeilen ohne ✔ sind noch nicht als umgesetzt bestätigte Zusagen; ClapNClaw weist die Umsetzung nach § 7 Abs. 4 in Textform nach. Solange für den Serverzugriff keine technische Sperre besteht, gilt für ihn zu Nr. 1 die Verpflichtung aus Zusatzvereinbarung § 1 Abs. 4.