Auftragsverarbeitungsvertrag

Parteien

Dieser Vertrag gilt zwischen dem Kunden (nachfolgend "Verantwortlicher") und Yvonne Weishar, handelnd unter der Geschäftsbezeichnung "Complyo", Pappelallee 64, 10437 Berlin (nachfolgend "Auftragsverarbeiter"). Er wird mit der Registrierung eines Kundenkontos in Textform geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für die gesamte Dauer der Nutzung der Plattform.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen zur Prüfung, Reparatur und Dokumentation der Website-Compliance. Dabei verarbeitet er personenbezogene Daten im Auftrag. Einzelheiten stehen in Anlage 1.

(2) Die Verarbeitung beginnt mit der Nutzung der Plattform und endet mit dem Ende des Hauptvertrages. Eine gesonderte Kündigung dieses Vertrages ist nicht möglich; er teilt das Schicksal des Hauptvertrages.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattform und ihrer Einstellungen gilt als Weisung; darüber hinausgehende Weisungen sind in Textform an datenschutz@complyo.de zu richten.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

(3) Eine Übermittlung in ein Drittland erfolgt nur nach Maßgabe von Anlage 3 oder auf Weisung des Verantwortlichen.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und macht sie mit den einschlägigen Vorgaben vertraut.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Der Stand ist in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, solange das Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 3 genannten weiteren Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Beabsichtigte Änderungen teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann binnen zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

(3) Der Auftragsverarbeiter erlegt jedem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auf, die ihn selbst treffen.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Auskunft, Export und Löschung der im Auftrag verarbeiteten Daten sind über die Plattform selbst auslösbar.

(2) Er unterstützt bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit der Verarbeitung, Meldung von Verletzungen und Datenschutz-Folgenabschätzung.

(3) Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 7 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten binnen 90 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann innerhalb dieser Frist die Herausgabe in einem gängigen Format verlangen.

(2) Einwilligungsprotokolle werden unabhängig davon 24 Monate nach ihrer Entstehung gelöscht; sie dienen dem Nachweis nach Art. 7 Abs. 1 DSGVO.

(3) Sicherungskopien werden nach ihrem regulären Zyklus überschrieben, längstens innerhalb von 30 Tagen.

§ 8 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Vor-Ort-Prüfungen sind mit angemessener Vorlaufzeit von mindestens zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs anzukündigen. Der Auftragsverarbeiter kann sie durch geeignete Nachweise ersetzen, soweit diese die Kontrollzwecke erfüllen.

§ 9 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit es die Verarbeitung personenbezogener Daten im Auftrag betrifft.

(2) Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Regelungen des Hauptvertrages.

(3) Änderungen bedürfen der Textform.

Anlage 1 — Gegenstand der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen

• Vertraulichkeit (Zutritt, Zugang, Zugriff): Server in einem Rechenzentrum in Deutschland mit Zutrittskontrolle des Betreibers. Zugang zur Verwaltung ausschließlich über SSH mit Schlüssel; keine Passwortanmeldung. Getrennte Konten je Anwendung, Container ohne Systemrechte.
• Trennung: Die Daten sind je Kundenkonto getrennt; jeder Zugriff auf eine Website-Kennung wird gegen die Websites des Kontos geprüft.
• Verschlüsselung: Transportverschlüsselung (TLS) auf allen öffentlichen Wegen, HSTS mit Vorladeliste. Passwörter als bcrypt-Hash. IP-Adressen in Einwilligungsprotokollen nur als Hashwert.
• Integrität: Schutz gegen Anfragefälschung (CSRF), Begrenzung der Anfragezahl je Besucher-IP, Sperre für Abrufe in interne Netze, Prüfung jeder Adressauflösung beim Verbindungsaufbau.
• Verfügbarkeit: Tägliche Sicherung um 02:30 Uhr mit anschließender Wiederherstellungsprobe. Überwachung des Betriebs mit stündlichen Prüfungen der Geschäftsfunktionen.
• Belastbarkeit: Getrennte Prozesse für Scan und Auslieferung, Speicher- und Laufzeitgrenzen je Prüfung.
• Überprüfung: Automatisierte Testsuite mit über 2.000 Prüfungen, darunter Wächter für Mandantentrennung, öffentliche Endpunkte und Abrufsperren. Regelmäßige Prüfung der eingesetzten Fremdbibliotheken auf bekannte Schwachstellen.

Der Stand dieser Maßnahmen wird fortgeschrieben. Maßgeblich ist die jeweils veröffentlichte Fassung.

Anlage 3 — Weitere Auftragsverarbeiter

An die Sprachmodelle werden ausschließlich Inhalte der geprüften Website und die für Rechtstexte eingegebenen Angaben übermittelt. Einwilligungsprotokolle, Zugangsdaten und Zahlungsdaten werden nicht übermittelt. Die Zahlungsabwicklung für den Hauptvertrag ist keine Auftragsverarbeitung für den Verantwortlichen und deshalb hier nicht aufgeführt; sie steht in der Datenschutzerklärung.