Auftragsverarbeitungsvertrag (AVV)

Präambel und Zeitpunkt des Vertragsschlusses

Art. 1 – Gegenstand und Dauer der Verarbeitung

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag des Auftraggebers und gemäß dessen Weisungen (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Verarbeitung erfolgt für die Dauer des bestehenden Hauptvertrags (Nutzungsvertrags) zwischen den Parteien. Nach dessen Beendigung richtet sich die weitere Behandlung der Daten nach Art. 9 dieses AVV.

Art. 2 – Weisungsrecht des Auftraggebers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers, sofern er nicht durch Rechtsvorschriften der Europäischen Union oder der Mitgliedstaaten, denen er unterliegt, zu einer anderen Verarbeitung verpflichtet ist.
2. Weisungen werden hauptsächlich durch die Konfiguration und Nutzung der Plattform erteilt. Darauf hinausgehende Weisungen bedürfen der Schriftform (E-Mail genügt).
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, eine Weisung verstoße gegen die DSGVO oder sonstige datenschutzrechtliche Bestimmungen.

Art. 3 – Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere:

Art. 4 – Pflichten des Auftraggebers

1. Der Auftraggeber ist als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO allein für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Einholung erforderlicher Einwilligungen.
2. Der Auftraggeber unterrichtet den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
3. Der Auftraggeber benennt einen Ansprechpartner für datenschutzrechtliche Anfragen.
4. Der Auftraggeber stellt sicher, dass nur rechtmäßig erlangte personenbezogene Daten in die Plattform eingestellt werden.

Art. 5 – Unterauftragsverhältnisse

1. Der Auftraggeber erteilt dem Auftragnehmer die generelle Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragnehmer) gemäß Anlage 2 dieses Vertrags.
2. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung (Hinzufügung oder Austausch) von Unterauftragnehmern mit einer Vorlaufzeit von mindestens 30 Tagen. Der Auftraggeber hat das Recht, Einspruch gegen solche Änderungen zu erheben.
3. Der Auftragnehmer stellt sicher, dass Unterauftragnehmer vergleichbare datenschutzrechtliche Verpflichtungen eingehen wie in diesem AVV vereinbart.

Die aktuell eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt.

Art. 6 – Drittlandtransfers

1. Eine Übermittlung personenbezogener Daten in Drittländer (außerhalb der EU/EWR) erfolgt ausschließlich auf Basis geeigneter Garantien gemäß Art. 44 ff. DSGVO (insbesondere Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO oder Angemessenheitsbeschluss).
2. Cloudflare Inc. ist im EU-U.S. Data Privacy Framework (DPF) zertifiziert. Der Auftragnehmer dokumentiert die Rechtsgrundlage für jeden Drittlandtransfer und stellt diese auf Anfrage zur Verfügung.

Art. 7 – Technische und Organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft gemäß Art. 32 DSGVO mindestens folgende technische und organisatorische Maßnahmen:

Art. 8 – Kontrollrechte des Auftraggebers

1. Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften beim Auftragnehmer durch eigene Prüfungen oder durch Beauftragung qualifizierter Dritter zu kontrollieren.
2. Kontrollen sind mit einer Vorlaufzeit von mindestens 14 Tagen anzukündigen. Der Auftragnehmer ist berechtigt, die Teilnahme von Personen abzulehnen, die in einem Wettbewerbsverhältnis stehen.
3. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere aktuelle TOM-Dokumentationen und ggf. Zertifizierungen (z. B. ISO 27001).

Art. 9 – Datensicherung und Löschung nach Vertragsende

1. Nach Beendigung des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber sämtliche verarbeiteten personenbezogenen Daten in einem gängigen maschinenlesbaren Format (z. B. CSV, JSON) zum Export bereit. Die Exportfunktion steht für mindestens 30 Tage nach Vertragsende zur Verfügung.
2. Nach Ablauf der 30-tägigen Frist löscht oder vernichtet der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
3. Rechnungen des Auftragnehmers an den Auftraggeber (Abo-Gebühren) werden gemäß den steuerrechtlichen Aufbewahrungsfristen (DE: 8 Jahre; AT: 7 Jahre) aufbewahrt.
4. Die Löschung wird auf Verlangen des Auftraggebers schriftlich bestätigt.

Art. 10 – Rechte betroffener Personen

1. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gemäß Art. 15–21 DSGVO) soweit technisch möglich.
2. Anfragen betroffener Personen, die direkt beim Auftragnehmer eingehen, werden unverzüglich an den Auftraggeber weitergeleitet. Der Auftragnehmer bearbeitet diese Anfragen nicht eigenständig, es sei denn, der Auftraggeber weist ihn ausdrücklich dazu an.

Art. 11 – Vertragslaufzeit und Kündigung

1. Dieser AVV tritt mit dem Abschluss des Hauptvertrags in Kraft und endet automatisch mit dessen Beendigung.
2. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn eine Partei wesentliche datenschutzrechtliche Pflichten aus diesem AVV schwerwiegend verletzt.

Art. 12 – Haftung

1. Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gilt: Jede Partei haftet für den Schaden, den sie durch einen Verstoß gegen diesen AVV verursacht hat.
2. Der Auftragnehmer haftet nicht für Verarbeitungen, die der Auftraggeber ohne oder entgegen einer Weisung durchführt.

Art. 13 – Schlussbestimmungen

1. Es gilt das Recht des Landes, in dem der Auftragnehmer seinen Sitz hat (DE: deutsches Recht; AT: österreichisches Recht). Schutzrechte der DSGVO bleiben unberührt.
2. Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Der Auftragnehmer kann Änderungen des AVV mit einer Vorlaufzeit von mindestens 30 Tagen per E-Mail ankündigen; die weitere Nutzung der Plattform gilt als Zustimmung.
3. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Gültigkeit des übrigen AVV unberührt.
4. Dieser AVV ersetzt alle vorherigen Vereinbarungen zwischen den Parteien zur Auftragsverarbeitung.