Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der Software-as-a-Service-Lösung OPENpoints durch den Kunden als Verantwortlichen.

Auftragsverarbeiter ist:
Steffen Schulze, Schönstr. 12, 13086 Berlin, Deutschland
E-Mail: kontakt@openpoints.app

Die Laufzeit dieses AVV entspricht der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrags (AGB) über die Nutzung von OPENpoints.

2. Art und Zweck, Kategorien betroffener Personen und Daten

Zweck der Verarbeitung: Bereitstellung der Projektmanagement-Anwendung OPENpoints, insbesondere Speicherung, Anzeige und Verarbeitung der vom Kunden eingegebenen Projekt-, Aufgaben- und Benutzerdaten im Auftrag des Kunden.

Kategorien betroffener Personen:

• Mitarbeitende des Kunden, die als Benutzer in OPENpoints angelegt werden
• Von den Mitarbeitenden des Kunden in Projekten, Aufgaben und Notizen erfasste Personen (z. B. Ansprechpartner Dritter, sofern der Kunde solche Daten einträgt)

Kategorien personenbezogener Daten:

• Stammdaten (Name, E-Mail-Adresse)
• Nutzungs- und Protokolldaten (Zeitstempel, Aktivitäten)
• Vom Kunden frei eingegebene Inhalte in Projekten, Aufgaben, Notizen und Dateianhängen

3. Pflichten und Rechte des Verantwortlichen

Der Kunde ist im Verhältnis zu den von ihm über OPENpoints verarbeiteten personenbezogenen Daten alleiniger Verantwortlicher im Sinne der DSGVO. Er ist insbesondere verantwortlich für die Rechtmäßigkeit der Datenerhebung sowie für die Wahrung der Rechte der betroffenen Personen (Art. 12–22 DSGVO).

Der Kunde ist berechtigt, dem Auftragsverarbeiter jederzeit Weisungen zur Art und Weise der Verarbeitung zu erteilen. Weisungen erfolgen grundsätzlich über die Konfigurationsmöglichkeiten der Anwendung; darüber hinausgehende Weisungen sind in Textform (z. B. E-Mail) an kontakt@openpoints.app zu richten.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten
• alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen — Details siehe Abschnitt "Datensicherheit" der Datenschutzerklärung
• den Verantwortlichen unverzüglich zu informieren, falls eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit seine allgemeine Zustimmung zum Einsatz der folgenden Unterauftragsverarbeiter. Details zu den jeweiligen Verarbeitungen sind in der Datenschutzerklärung beschrieben.

• IONOS SE (Hosting, Deutschland) — siehe Datenschutzerklärung Abschnitt "Hosting & Infrastruktur"
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung, Irland/USA) — siehe Datenschutzerklärung Abschnitt "Zahlungsabwicklung"
• Resend Inc. (Transaktionale E-Mails, USA) — siehe Datenschutzerklärung Abschnitt "E-Mail-Dienst"
• Google LLC / Microsoft Corporation (nur bei optionaler Nutzung der Spracheingabe durch Endnutzer, USA) — siehe Datenschutzerklärung Abschnitt "Optionale Funktionen: Spracheingabe"

Über die Aufnahme oder Auswechslung von Unterauftragsverarbeitern wird der Verantwortliche rechtzeitig vorab informiert (z. B. per E-Mail oder über einen Hinweis in der Anwendung). Der Verantwortliche kann der Änderung aus wichtigem Grund innerhalb von 14 Tagen widersprechen.

6. Meldepflichten bei Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO) unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt ihn bei der Erfüllung seiner eigenen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

7. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Anfragen zur Wahrnehmung der Betroffenenrechte (Art. 12–22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und etwaigen vorherigen Konsultationen der Aufsichtsbehörde (Art. 35, 36 DSGVO), soweit dem Auftragsverarbeiter die hierfür erforderlichen Informationen vorliegen.

8. Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen nach Maßgabe der in den AGB (§ 6 Vertragslaufzeit und Kündigung) beschriebenen Fristen — Exportmöglichkeit bis zur vollständigen Kontosperrung, unwiderrufliche Löschung 90 Tage nach Kontosperrung, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Kontroll- und Nachweisrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Kontrollen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden — nach vorheriger Ankündigung mit angemessener Frist und unter Wahrung der Vertraulichkeit anderer Kunden.

10. Haftung und Schlussbestimmungen

Für Ansprüche im Zusammenhang mit diesem AVV gelten die Haftungsregelungen aus § 10 der AGB entsprechend.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.