Auftragsverarbeitungsvertrag (AVV)

Parteien und Geltung

Verantwortlicher: der im Auftrag bezeichnete Kunde.
Auftragsverarbeiter: Johannes Kelnberger, Hans-Warschner-Straße 9, 94034 Passau, Deutschland („Digital Product Pass“).

Dieser AVV gilt, sobald er im Auftrag ausdrücklich einbezogen oder von beiden Parteien unterzeichnet wurde. Er ergänzt den Hauptvertrag und geht diesem bei Datenschutzfragen vor.

1. Gegenstand und Dauer

Gegenstand ist Hosting und Betrieb der vereinbarten Digital-Product-Passport-Dienste einschließlich Konto-, Produkt-, Lieferketten-, Veröffentlichungs-, Export-, Support- und optionaler KI-/Routingfunktionen. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags zuzüglich vereinbarter Rückgabe-, Lösch- und gesetzlicher Aufbewahrungsfristen.

2. Art, Zweck, Daten und Betroffene

Vorgänge: Erheben durch Eingabe, Speichern, Ordnen, Abrufen, Übermitteln, Sichern, Exportieren, Veröffentlichen nach Weisung, Einschränken und Löschen.

Zwecke: Bereitstellung von Unternehmensarbeitsbereichen, Produktpässen, Lieferkettenkarten, QR-Zielen, Analysen, Support und vereinbarten Exporten.

Daten: Kontaktdaten, Konten- und Berechtigungsdaten, geschäftliche Lieferanten-/Standortkontakte, Produkt- und Lieferkettendaten, Supportinhalte, Protokoll- und pseudonyme Nutzungsdaten. Besondere Kategorien personenbezogener Daten sind nicht vorgesehen.

Betroffene: Beschäftigte, Beauftragte, Lieferantenkontakte, Geschäftspartner und Nutzer des Kunden sowie Besucher veröffentlichter Passseiten, soweit deren Daten dem Kunden zuzurechnen sind.

3. Weisungen

Digital Product Pass verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, einschließlich hinsichtlich Übermittlungen in Drittländer, soweit keine gesetzliche Pflicht besteht. Auftrag, Plattformkonfiguration und Supportanweisungen bilden die anfängliche Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden und setzt sie bis zur Klärung aus.

4. Pflichten des Auftragsverarbeiters

• Vertraulichkeitsverpflichtung für zugriffsberechtigte Personen;
• angemessene technische und organisatorische Maßnahmen nach Anlage 2;
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenkonsultationen, soweit einschlägig;
• unverzügliche Information über Verletzungen des Schutzes personenbezogener Daten und Bereitstellung verfügbarer Pflichtangaben;
• Nachweise und erforderliche Prüfungsinformationen im angemessenen Umfang;
• keine eigenständige Nutzung von Kundendaten für Werbung oder Modelltraining.

5. Pflichten des Kunden

Der Kunde ist für Rechtsgrundlage, Transparenz, Datenminimierung, Richtigkeit, Weisungen und die Zulässigkeit veröffentlichter oder übermittelter Daten verantwortlich. Er stellt keine besonderen Kategorien personenbezogener Daten ein, sofern dies nicht vorher ausdrücklich vereinbart und abgesichert wurde.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die in der aktuellen Liste genannten Unterauftragsverarbeiter. Wesentliche Änderungen werden mindestens 14 Tage vorher an den vereinbarten Kontakt mitgeteilt. Der Kunde kann aus begründeten Datenschutzgründen widersprechen. Können die Parteien keine Lösung finden, kann der betroffene Dienstteil oder Vertrag gekündigt werden. Unterauftragsverarbeiter werden zu im Wesentlichen gleichwertigen Datenschutzpflichten verpflichtet.

7. Drittlandübermittlungen

Drittlandübermittlungen erfolgen nur auf geeigneter Grundlage nach Kapitel V DSGVO, etwa Angemessenheitsbeschluss oder Standardvertragsklauseln, und soweit erforderlich mit ergänzenden Maßnahmen. Optionale Anbieter außerhalb des EWR werden nur für die entsprechende Funktion eingesetzt. Der Kunde soll in optionale KI-Funktionen keine personenbezogenen Daten eingeben, sofern dies nicht ausdrücklich vereinbart wurde.

8. Betroffenenanfragen

Erhält Digital Product Pass eine Anfrage, die Kundendaten betrifft, wird sie grundsätzlich an den Kunden weitergeleitet. Der Auftragsverarbeiter unterstützt mit den verfügbaren technischen Funktionen und Informationen. Eine direkte Antwort erfolgt nur auf Weisung oder gesetzliche Verpflichtung.

9. Löschung und Rückgabe

Nach Ende der Leistung werden personenbezogene Kundendaten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Speicherungspflicht besteht. Sicherungskopien werden nach dem festgelegten Rotationszyklus überschrieben oder gelöscht und bis dahin geschützt und nicht produktiv genutzt.

10. Nachweise und Audits

Digital Product Pass stellt auf Anfrage angemessene Sicherheits- und Verarbeitungsinformationen bereit. Audits sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten, ohne Gefährdung anderer Kunden und grundsätzlich einmal jährlich möglich. Zusätzlicher Aufwand kann berechnet werden, sofern das Audit keinen wesentlichen Verstoß aufzeigt.

Anlage 1 – Verarbeitung

Die konkreten Produkte, Nutzer, Funktionen, Laufzeit, Datenquellen, Veröffentlichungen und Löschanforderungen werden im jeweiligen Auftrag dokumentiert. Der Kunde kann zusätzliche schriftliche Weisungen über info@digitalproduktpass.eu erteilen.

Anlage 2 – Technische und organisatorische Maßnahmen

• TLS-geschützter Webzugriff und HTTPS-Weiterleitung;
• Authentifizierung, rollen- und mandantenbezogene Zugriffskontrollen;
• gehashte Passwörter, sichere Sitzungs- und CSRF-Cookies;
• minimierte, pseudonymisierte Reichweitenmessung ohne Speicherung roher IP-Adressen;
• Protokollierung sicherheits- und betriebsrelevanter Ereignisse;
• tägliche, zugriffsbeschränkte Datenbank- und Mediensicherungen mit Integritätsprüfung und dokumentiertem Wiederherstellungsverfahren;
• Patch-, Änderungs- und Testverfahren vor Produktivsetzung;
• Vertraulichkeits- und Berechtigungskonzept für administrative Zugriffe;
• Vorfallbewertung, Eindämmung, Wiederherstellung und Kundeninformation;
• Lösch- und Aufbewahrungsregeln entsprechend Auftrag und gesetzlichen Pflichten.