Auftragsverarbeitungsvertrag (AVV)

zwischen
[Auftraggeber / Verantwortlicher]
– im Folgenden „Verantwortlicher“ –

und
[Auftragsverarbeiter / Anbieter]
– im Folgenden „Auftragsverarbeiter“ –

1. Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen:
[Beschreibung der Dienstleistung, z. B. Hosting, Wartung, Dokumentenmanagement etc.]

(2) Die Verarbeitung erfolgt ab Vertragsbeginn bis zur Beendigung bzw. Kündigung dieses AV-Vertrages.

2. Art und Zweck der Datenverarbeitung

Art der Daten:

• Bestands- und Stammdaten
• Kontaktdaten
• Vertrags- und Rechnungsdaten
• technische Nutzungsdaten

Zweck der Verarbeitung:

• Erfüllung der geschlossenen Dienstleistungsverträge
• technische Bereitstellung und Betrieb der Systeme
• Support- und Wartungszwecke

3. Kategorien betroffener Personen

• Kunden
• Mitarbeiter der Kunden
• Lieferanten und Ansprechpartner

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur im Rahmen dieses Vertrages zu verarbeiten.
• mindestens die Sicherheitsmaßnahmen nach Art. 32 DSGVO umzusetzen.
• Mitarbeiter zur Vertraulichkeit zu verpflichten.
• den Verantwortlichen über Datenschutzverletzungen unverzüglich zu informieren.
• bei der Erstellung von Verzeichnissen, DPIA-Bewertungen und behördlichen Anfragen mitzuwirken.
• Daten nach Vertragsende zu löschen oder zurückzugeben.

5. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter gewährleistet angemessene Datenschutz-Sicherheitsstandards, u. a.:

• Zugriffsschutz und Authentifizierung
• Verschlüsselung in Transport und ggf. in Ruhe
• Backup- und Wiederherstellungsprozesse
• physische Server- und Netzwerksicherheit
• Protokollierung und Monitoring

Eine Auflistung der TOM kann als Anlage beigelegt werden.

6. Unterauftragsverhältnisse (Sub-Processor)

(1) Der Auftragsverarbeiter setzt ggf. Unterauftragsverarbeiter ein.
(2) Diese werden dem Verantwortlichen gemeldet und erst nach Zustimmung eingesetzt.
(3) Der Auftragsverarbeiter stellt sicher, dass Sub-Processor dieselben Datenschutzpflichten erfüllen.

7. Rechte des Verantwortlichen

• Weisungen zur Datenverarbeitung zu erteilen
• Auskunft über Datenverarbeitung zu erhalten
• Sicherheitsmaßnahmen zu überprüfen (Audit- und Kontrollrecht)

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich (innerhalb 24 Stunden), wenn eine Verletzung des Schutzes personenbezogener Daten bekannt wird.

9. Haftung

Der Auftragsverarbeiter haftet für Verstöße gegen diesen Vertrag nur im Rahmen seiner Kontrolle und nach den Vorgaben der DSGVO.

10. Rückgabe und Löschung von Daten

Nach Vertragsende

• werden personenbezogene Daten an den Verantwortlichen zurückgegeben
• oder DSGVO-konform gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

11. Schlussbestimmungen

Alle Änderungen dieses Vertrages müssen schriftlich erfolgen.
Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Ort, Datum

__________________________
Auftraggeber (Verantwortlicher)

__________________________
Auftragsverarbeiter