Auftragsverarbeitungsvertrag

1. Gegenstand dieses Auftragsverarbeitungsvertrags (nachfolgend „AVV“) ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der SaaS-Plattform Florivio (erreichbar unter app.florivio.de sowie den jeweiligen Tenant-Subdomains *.app.florivio.de).
2. Die Einzelheiten der Verarbeitung, insbesondere Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen, ergeben sich aus Anlage 1 zu diesem Vertrag.
3. Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des zwischen den Parteien geschlossenen Nutzungsvertrags (Hauptvertrag). Dieser AVV endet automatisch mit Beendigung des Hauptvertrags, sofern sich aus den nachfolgenden Regelungen nichts anderes ergibt.
4. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR) sowie in Drittländern, für die ein Angemessenheitsbeschluss oder geeignete Garantien gem. Art. 46 DSGVO vorliegen (vgl. § 8 und Anlage 3).

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers gem. Art. 28 Abs. 3 lit. a DSGVO, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen werden grundsätzlich über die Konfigurationsmöglichkeiten der Plattform (Mandantenverwaltung, Modul-Aktivierung, Berechtigungsvergabe) erteilt. Darüber hinausgehende Weisungen bedürfen der Textform (E-Mail genügt).
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.
4. Der Auftragnehmer dokumentiert sämtliche Weisungen des Auftraggebers. Die Dokumentation in der Plattform (Audit-Log, Konfigurationshistorie) gilt als ausreichende Dokumentation im Sinne dieser Vorschrift.

1. Der Auftragnehmer gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
2. Der Auftragnehmer ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 (TOM) beschrieben. Der Auftragnehmer ist berechtigt, die Maßnahmen während der Vertragslaufzeit an den technischen Fortschritt anzupassen, sofern das Schutzniveau nicht unterschritten wird.
3. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten nach Art. 12–22 DSGVO (Betroffenenrechte) sowie Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzung, vorherige Konsultation).
4. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 33 und Art. 34 DSGVO genannten Pflichten (Meldung von Verletzungen des Schutzes personenbezogener Daten). Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten. Die Benachrichtigung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen.
5. Der Auftragnehmer löscht nach Beendigung der Auftragsverarbeitung sämtliche personenbezogenen Daten des Auftraggebers, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Die Löschung erfolgt spätestens innerhalb von 30 Tagen nach Vertragsende. Auf Wunsch des Auftraggebers werden die Daten vor der Löschung in einem gängigen, maschinenlesbaren Format (CSV) zur Verfügung gestellt. Die Löschung wird dem Auftraggeber schriftlich bestätigt.
6. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und trägt zu Überprüfungen – einschließlich Inspektionen – bei, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

1. Der Auftraggeber ist im Rahmen dieses Vertrags für die Einhaltung der datenschutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung, verantwortlich (Art. 24 DSGVO).
2. Der Auftraggeber erteilt dem Auftragnehmer die Weisungen zur Datenverarbeitung. Er ist dafür verantwortlich, dass die Weisungen den geltenden Datenschutzvorschriften entsprechen.
3. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellt.
4. Der Auftraggeber stellt sicher, dass er über eine gültige Rechtsgrundlage für die Verarbeitung der in die Plattform eingegebenen personenbezogenen Daten verfügt. Insbesondere trägt der Auftraggeber die Verantwortung für die Verarbeitung besonderer Kategorien personenbezogener Daten gem. Art. 9 DSGVO (z. B. Gesundheitsdaten aus ärztlichen Untersuchungen).
5. Der Auftraggeber benennt dem Auftragnehmer einen Ansprechpartner für im Rahmen des Vertrags anfallende Datenschutzfragen. Dieser ist grundsätzlich der Tenant-Administrator.

1. Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen nach Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).
2. Wendet sich eine betroffene Person mit einem Antrag nach Art. 15–22 DSGVO unmittelbar an den Auftragnehmer, leitet der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiter.
3. Die Plattform stellt dem Auftraggeber folgende technische Funktionen zur Erfüllung von Betroffenenrechten zur Verfügung:
   1. Auskunft (Art. 15): Export aller personenbezogenen Daten einer Person im CSV-Format über die Exportfunktion des Mitglieder-Moduls.
   2. Berichtigung (Art. 16): Direkte Bearbeitung aller Stamm- und Mitgliedschaftsdaten über die Mitgliederverwaltung.
   3. Löschung (Art. 17): Löschfunktion für Personendatensätze, wobei referenzielle Integrität und gesetzliche Aufbewahrungspflichten beachtet werden.
   4. Datenübertragbarkeit (Art. 20): CSV-Export in maschinenlesbarem Format.

1. Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftraggeber kündigt Überprüfungen mit einer angemessenen Frist von mindestens 14 Kalendertagen an.
2. Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer legt dem Auftraggeber auf Anfrage die erforderlichen Auskünfte und Nachweise vor.
3. Der Nachweis der Einhaltung der Pflichten kann auch durch Vorlage eines aktuellen Testats, eines Berichts oder Berichtsauszugs einer unabhängigen Stelle (z. B. Wirtschaftsprüfer, Datenschutzauditor, IT-Sicherheitszertifizierung) oder einer geeigneten Zertifizierung durch ein IT-Sicherheits- oder Datenschutzaudit erbracht werden.
4. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage Einsicht in das Audit-Log der Plattform zur Verfügung, soweit dieses den jeweiligen Tenant des Auftraggebers betrifft.
5. Der Auftragnehmer stellt sicher, dass die vertraglichen Vereinbarungen mit den Unterauftragsverarbeitern dem Auftraggeber auf Anfrage entsprechende Kontrollmöglichkeiten einräumen oder der Auftragnehmer die Kontrolle für den Auftraggeber durchführt und die Ergebnisse auf Anfrage mitteilt.

1. Der Auftraggeber erteilt dem Auftragnehmer hiermit eine allgemeine schriftliche Genehmigung gem. Art. 28 Abs. 2 DSGVO zur Hinzuziehung von Unterauftragsverarbeitern (Sub-Prozessoren). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
2. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens 30 Kalendertagen vor der beabsichtigten Änderung. Die Information erfolgt per E-Mail an den Tenant-Administrator.
3. Der Auftraggeber kann der Änderung innerhalb von 14 Kalendertagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Widerspruch bedarf der Textform und ist zu begründen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Genehmigung als erteilt.
4. Im Falle eines berechtigten Widerspruchs ist der Auftragnehmer berechtigt, den Hauptvertrag mit einer Frist von 3 Monaten zum Monatsende außerordentlich zu kündigen, sofern keine zumutbare Alternative zur Verfügung steht.
5. Der Auftragnehmer gewährleistet vertraglich, dass die mit den Unterauftragsverarbeitern vereinbarten Regelungen den Anforderungen dieses AVV entsprechen. Der Auftragnehmer trägt insbesondere dafür Sorge, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).
6. Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Datenschutzpflichten durch die Unterauftragsverarbeiter wie für eigenes Handeln.

1. Eine Verarbeitung personenbezogener Daten in einem Drittland (außerhalb des EU/EWR) erfolgt nur, sofern die besonderen Voraussetzungen der Art. 44–49 DSGVO erfüllt sind.
2. Soweit Unterauftragsverarbeiter in Drittländern eingesetzt werden, stellt der Auftragnehmer sicher, dass eine der folgenden Garantien vorliegt:
   1. Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO;
   2. EU-US Data Privacy Framework (DPF) gem. Durchführungsbeschluss (EU) 2023/1795 der Kommission;
   3. Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO; oder
   4. verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) gem. Art. 47 DSGVO.
3. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Drittland-Transfers und die jeweils anwendbaren Garantien sind in Anlage 3 dokumentiert.
4. Der Auftragnehmer stellt sicher, dass bei der KI-gestützten Spalten-Erkennung (Google Vertex AI, Region europe-west1 Belgien) keine personenbezogenen Daten, sondern ausschließlich Metadaten (Spaltenüberschriften) verarbeitet werden. Es handelt sich daher nicht um eine Auftragsverarbeitung personenbezogener Daten im Sinne der DSGVO.

1. Der Auftragnehmer gewährleistet, dass sämtliche Personen, die mit der Verarbeitung personenbezogener Daten des Auftraggebers befasst sind, zur Vertraulichkeit verpflichtet wurden und über die sich aus diesem AVV sowie aus den datenschutzrechtlichen Vorschriften ergebenden Pflichten belehrt worden sind.
2. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.

1. Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO, die Daten des Auftraggebers betrifft.
2. Die Meldung enthält mindestens:
   1. eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze;
   2. den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle;
   3. eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
   4. eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.
3. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

1. Der Auftragnehmer benennt, sofern gesetzlich erforderlich, einen Datenschutzbeauftragten gem. Art. 37 DSGVO. Die aktuellen Kontaktdaten des Datenschutzbeauftragten sind auf der Webseite des Auftragnehmers veröffentlicht und werden dem Auftraggeber auf Anfrage mitgeteilt.
2. Ist die Benennung eines Datenschutzbeauftragten gesetzlich nicht erforderlich, benennt der Auftragnehmer einen Ansprechpartner für Datenschutzfragen.

1. Bei Beendigung des Hauptvertrags löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht eine gesetzliche Verpflichtung zur Aufbewahrung besteht. Die Löschung erfolgt spätestens innerhalb von 30 Tagen nach Vertragsende.
2. Auf Anforderung des Auftraggebers vor Löschung stellt der Auftragnehmer dem Auftraggeber die Daten in einem gängigen, strukturierten, maschinenlesbaren Format (CSV) zur Verfügung (Art. 28 Abs. 3 lit. g DSGVO). Die Bereitstellung erfolgt über die integrierte Exportfunktion der Plattform.
3. Der Auftragnehmer bestätigt die vollständige Löschung der Daten dem Auftraggeber schriftlich oder in Textform.
4. Bestehende Sicherungskopien (Backups) werden spätestens 90 Tage nach Vertragsende gelöscht, sofern die Daten darin nicht anonymisiert sind.
5. Der Auftragnehmer stellt sicher, dass auch die Unterauftragsverarbeiter die bei ihnen im Zusammenhang mit dem Auftrag verarbeiteten personenbezogenen Daten löschen und dies auf Anfrage bestätigen.

1. Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO.
2. Der Auftragnehmer haftet gegenüber betroffenen Personen nur, soweit er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder über die rechtmäßigen Anweisungen des Auftraggebers hinaus oder gegen diese Anweisungen gehandelt hat (Art. 82 Abs. 2 DSGVO).
3. Die Haftung des Auftragnehmers für Schäden, die aus der Nichteinhaltung von Weisungen des Auftraggebers resultieren, ist ausgeschlossen, soweit der Auftragnehmer die Rechtswidrigkeit der Weisung gem. § 2 Abs. 3 dieses AVV angezeigt hat.

1. Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt diejenige wirksame Bestimmung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen oder undurchführbaren Bestimmung am nächsten kommt.
2. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland.
3. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Änderung dieser Textformklausel.
4. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Bestimmungen dieses AVV vor, soweit der Gegenstand der abweichenden Regelung den Schutz personenbezogener Daten betrifft.
5. Die Anlagen 1–3 sind Bestandteil dieses AVV.

Unterschriften

Dieser AVV wird durch die Registrierung auf der Plattform Florivio und die Annahme der Allgemeinen Geschäftsbedingungen geschlossen. Bei Bedarf kann er auch in Papierform unterzeichnet werden.