Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die gebuchten Produkte der Plattform DeltaSoft 365 (DeltaFleet, DeltaCard, DeltaScreen, DeltaDesk) als Online-Dienst bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Grundlage ist der Vertrag über die Nutzung der Produkte nach den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“).

(2) Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen je Produkt ergeben sich aus Anlage 1.

(3) Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter noch Daten des Verantwortlichen verarbeitet (§ 10).

(4) Für das Kundenkonto, die Anmeldung über die DeltaSoft-ID, die Abrechnung und den technischen Betrieb der Plattform ist der Auftragsverarbeiter selbst Verantwortlicher. Dafür gilt die Datenschutzerklärung unter deltasoft365.de/datenschutz, nicht dieser Vertrag.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Verantwortliche in den Produkten selbst vornimmt, etwa eingeschaltete Module, Rollen, E-Mail-Versand und KI-Funktionen. Einzelweisungen erteilt der Verantwortliche in Textform.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 3 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind auf die Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).

(2) Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er.

(3) Betroffenenrechte: Die Produkte enthalten Funktionen, mit denen der Verantwortliche Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO) selbst umsetzen kann, etwa Bearbeiten und Löschen von Datensätzen und die Exporte nach Anlage 2 der Allgemeinen Geschäftsbedingungen. Darüber hinaus unterstützt der Auftragsverarbeiter auf Anfrage in angemessenem Umfang.

(4) Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Er unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

(5) Der Auftragsverarbeiter unterstützt bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 35, 36 DSGVO) in angemessenem Umfang.

(6) Der Auftragsverarbeiter verarbeitet die Daten auf seinen Servern in Deutschland. Unterauftragsverarbeiter und Übermittlungen in Drittländer regeln § 5, § 6 und Anlage 3.

(7) Die Daten des Verantwortlichen sind von den Daten anderer Kunden logisch getrennt (Anlage 2 Nr. 4).

§ 4 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich, insbesondere für die Information seiner Kunden und Beschäftigten, etwa über Fotos, Führerscheinkontrollen, Unterschriften, Standortangaben und Arbeitszeiterfassung.

(2) Er vergibt Zugänge und Rollen in den Produkten selbst und hält Zugangsdaten geheim.

(3) Er teilt dem Auftragsverarbeiter Fehler oder Unregelmäßigkeiten, die er bei der Prüfung der Ergebnisse feststellt, unverzüglich mit.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Dienste, die nur bei einer bestimmten Funktion tätig werden, werden erst tätig, wenn diese Funktion genutzt wird.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen. Ist eine Einigung nicht möglich, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO).

(4) Keine Unterauftragsverhältnisse sind Nebenleistungen wie Telekommunikation, Wartung von Hardware ohne Zugriff auf Daten und Dienste, die keine personenbezogenen Daten erhalten, sowie Dienste, die der Verantwortliche mit eigenem Konto selbst beauftragt (Anlage 3, Nachsatz).

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur durch die in Anlage 3 so gekennzeichneten Dienste statt, insbesondere für KI-Funktionen (Anthropic, USA), und nur auf Grundlage der Art. 44 ff. DSGVO, etwa eines Angemessenheitsbeschlusses wie dem EU-U.S. Data Privacy Framework oder der EU-Standardvertragsklauseln. Für das Vereinigte Königreich und die Schweiz gelten Angemessenheitsbeschlüsse.

§ 7 Kontrollrechte

(1) Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt dazu auf Anfrage die nötigen Informationen bereit, insbesondere die aktuelle Fassung der Anlage 2.

(2) Vor-Ort-Prüfungen erfolgen nach Anmeldung mit angemessener Frist, in der Regel zwei Wochen, während der Geschäftszeiten und ohne Störung des Betriebs. Der Prüfer ist zur Verschwiegenheit verpflichtet.

§ 8 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags (§ 16 der Allgemeinen Geschäftsbedingungen).

§ 9 Vergütung

Die Leistungen nach diesem Vertrag sind mit der Vergütung des Hauptvertrags abgegolten.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Der Verantwortliche kann seine Daten während der Laufzeit selbst exportieren (Anlage 2 der Allgemeinen Geschäftsbedingungen).

(2) Nach Ende des Hauptvertrags stellt der Auftragsverarbeiter die Daten auf Anforderung noch 30 Kalendertage zum Abruf bereit und löscht sie danach innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung beim Auftragsverarbeiter besteht.

(3) Kopien in Datensicherungen werden im Rahmen der regulären Rotation gelöscht, derzeit spätestens nach zwölf Monaten. Bis dahin sind sie gegen Zugriff geschützt und werden nicht weiterverarbeitet.

(4) Die Löschung bestätigt der Auftragsverarbeiter auf Anfrage in Textform.

(5) Seine eigenen Aufbewahrungspflichten, etwa nach HGB, AO und GoBD, erfüllt der Verantwortliche selbst. Er sichert dazu seine Daten vor Vertragsende.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform; für Unterauftragsverarbeiter gilt § 5 Abs. 2.

(2) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

Anlage 1: Beschreibung der Verarbeitung

Art der Verarbeitung für alle Produkte: Erheben, Speichern, Ordnen, Anzeigen, Auswerten, Übermitteln (etwa per E-Mail oder als PDF), Sichern und Löschen.

Ort der Verarbeitung: Server des Auftragsverarbeiters in seinem Rechenzentrum in Deutschland (eigener Virtualisierungs-Cluster). Sicherungen und einzelne Funktionen: siehe Anlage 3.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht planmäßig verarbeitet. Krankmeldungen in DeltaDesk enthalten nur den Zeitraum, keine Diagnosen.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 3: Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter im Sinne von § 5 sind: Dienste, die der Verantwortliche mit eigenem Konto selbst beauftragt (in DeltaDesk etwa LetterXpress für den Briefversand, Sendcloud für den Paketversand, das eigene Microsoft 365 oder der eigene Mailserver, sevDesk- und Lexware-Übernahme); vom Verantwortlichen selbst angebundene Kalender und Feeds; offene Produktdatenbanken, die nur Barcode-Nummern erhalten; öffentliche Quellen ohne Personenbezug wie Wetter, Fahrpläne und Nachrichten; der Internetanbieter des Rechenzentrums.