Auftragsverarbeitungsvertrag (AVV)

Der Kunde ist Verantwortlicher und wir sind Auftragsverarbeiter in Bezug auf personenbezogene Daten, die der Kunde über seine eigenen Kunden, Ansprechpartner und Mitarbeiter in MSA Factory eingibt. Für personenbezogene Daten, die das Konto des Kunden und den Betrieb des Dienstes betreffen, sind wir Verantwortlicher im Sinne unserer Datenschutzerklärung.

Gegenstand der Verarbeitung ist die Bereitstellung des Vertragsmanagement-Dienstes MSA Factory. Art und Zweck der Verarbeitung sind die Speicherung und Verwaltung von Vertrags-, Kunden- und Produktdaten innerhalb der Anwendung. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags an.

Kategorien betroffener Personen: Kunden, Ansprechpartner und Mitarbeiter des Kunden. Kategorien personenbezogener Daten: Kontakt- und Unternehmensangaben, Geschäfts- und Vertragsdaten sowie zur Bereitstellung des Dienstes erforderliche Nutzungsdaten. Der Dienst ist nicht für besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO bestimmt; der Kunde sollte solche Daten nicht eingeben.

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Dieser AVV bildet zusammen mit der Nutzung des Dienstes durch den Kunden diese Weisung. Ergänzende Weisungen sind in Textform zu erteilen. Wir informieren den Kunden, wenn eine Weisung nach unserer Auffassung gegen das Datenschutzrecht verstößt.

Wir stellen sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Wir treffen unter Berücksichtigung des Stands der Technik geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, darunter Verschlüsselung der Daten bei der Übertragung, Zugriffs- und Berechtigungskontrollen, Hosting innerhalb der Europäischen Union und regelmäßige Sicherungen. Eine Übersicht der Maßnahmen und der eingebundenen Dienstleister ist in unserer Datenschutzerklärung dargestellt und wird aktuell gehalten.

Der Kunde erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Derzeit setzen wir ein: Clerk (Authentifizierung, Registrierung und Organisationsverwaltung; Vereinigte Staaten, EU-Standardvertragsklauseln), Sentry (Fehler- und Performance-Überwachung sowie Session-Replay; Vereinigte Staaten, EU-Standardvertragsklauseln), PostHog (Produktanalyse; Europäische Union) sowie unseren Hosting- und Infrastrukturdienstleister (Deutschland). Wir verpflichten jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die den Pflichten dieses AVV gleichwertig sind. Den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters teilen wir dem Kunden mindestens 30 Tage im Voraus in Textform mit; der Kunde kann hiergegen innerhalb dieser Frist aus berechtigten Datenschutzgründen widersprechen. Widerspricht er, können wir den Vertrag mit angemessener Frist kündigen.

Liste der Unterauftragsverarbeiter in unserer Datenschutzerklärung

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir den Kunden durch geeignete Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen sowie bei der Gewährleistung der Sicherheit der Verarbeitung, der Meldung von Verletzungen und der Datenschutz-Folgenabschätzungen nach Art. 32 bis 36 DSGVO.

Wir benachrichtigen den Kunden unverzüglich, nachdem uns eine Verletzung des Schutzes der Daten des Kunden bekannt geworden ist, und unterstützen ihn bei der Erfüllung seiner Meldepflichten.

Wir unterstützen den Kunden, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir den Antrag unverzüglich an den Kunden weiter.

Nach Beendigung des Dienstes löschen oder übergeben wir nach Wahl des Kunden sämtliche im Auftrag verarbeiteten personenbezogenen Daten und löschen vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Dies entspricht den Regelungen zu Datenexport und Löschung in den Nutzungsbedingungen.

Wir stellen dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglichen Überprüfungen einschließlich Inspektionen und tragen zu ihnen bei. Wir können diese Pflicht durch Vorlage geeigneter Nachweise oder Zertifizierungen erfüllen; Vor-Ort-Prüfungen erfolgen nach angemessener Vorankündigung und ohne Betriebsstörung.

Die Verarbeitung erfolgt innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Soweit einzelne Unterauftragsverarbeiter Daten in einem Drittland verarbeiten, geschieht dies nur auf Grundlage geeigneter Garantien im Sinne der Art. 44 ff. DSGVO, insbesondere der EU-Standardvertragsklauseln. Einzelheiten zu den eingebundenen Dienstleistern enthält unsere Datenschutzerklärung.

Zu unserer Datenschutzerklärung

Die Haftung richtet sich nach Art. 82 DSGVO und den Haftungsregelungen der Nutzungsbedingungen. Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten geht dieser AVV vor.

Dieser AVV wird ausschließlich in deutscher Sprache bereitgestellt und geschlossen. Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.