Zusatz zur Auftragsverarbeitung (AV-Zusatz)

Präambel

Dieser Zusatz zur Auftragsverarbeitung („AV-Zusatz“) ergänzt die Allgemeinen Geschäftsbedingungen (AGB) der Jungherz GmbH, Duvenkamp 21, 46282 Dorsten, die unter der Marke AppConfector auftritt („Auftragsverarbeiter“), im Verhältnis zum Kunden („Auftraggeber“). Er regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter beim Betrieb der Apps des Auftraggebers in dessen Auftrag vornimmt, und erfüllt die Anforderungen des Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO). Bei Widersprüchen geht dieser AV-Zusatz den AGB vor.

Zustandekommen: Der AV-Zusatz kommt mit dem Vertrag automatisch zustande, mit der Registrierung und der Annahme der AGB, spätestens mit der ersten Zahlung. Er liegt in elektronischer Form vor (Art. 28 Abs. 9 DSGVO); eine gesonderte Unterzeichnung ist weder erforderlich noch vorgesehen. Er gilt einheitlich für alle Kunden; individuell verhandelte Fassungen werden nicht geschlossen.

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers (Art. 4 Nr. 8, Art. 28 DSGVO). Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen beschreibt Anlage 1.
2. Der AV-Zusatz gilt für die Dauer des Vertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Auftraggebers verarbeitet.

2. Weisungen und Verantwortung

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist durch das Recht der Europäischen Union oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich aus den AGB, diesem AV-Zusatz und den Einstellungen, die der Auftraggeber in der Verwaltung vornimmt. Ergänzende Weisungen erteilt der Auftraggeber in Textform, etwa per E-Mail.
3. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).
4. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Dienste Dritter, die der Auftraggeber selbst in seine App einbindet (etwa eingebettete Videos, Karten, Chat-Anbieter oder Analysedienste mit eigener Kennung), setzt er in eigener Verantwortung ein; deren Anbieter sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.

3. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Sie verarbeiten die Daten nur, soweit es für die Leistung nötig ist.

4. Sicherheit der Verarbeitung

1. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 3 beschrieben.
2. Die Maßnahmen entwickeln sich mit dem Stand der Technik weiter. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht sinkt.

5. Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die eingesetzten Unterauftragsverarbeiter nennt Anlage 2.
2. Der Auftragsverarbeiter informiert den Auftraggeber mindestens vier Wochen vorher über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, indem er die Liste in Anlage 2 mit dem geplanten Datum aktualisiert und den Auftraggeber in Textform darauf hinweist (per E-Mail oder in der Verwaltung).
3. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Vertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
4. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Datenschutzpflichten dieses AV-Zusatzes (Art. 28 Abs. 4 DSGVO).
5. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

6. Unterstützung des Auftraggebers

1. Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er das Anliegen an den Auftraggeber weiter.
2. Er unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit es die Art der Verarbeitung und die ihm verfügbaren Informationen erlauben.

7. Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), an die im Kundenkonto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach, sobald sie vorliegen.

8. Löschung und Rückgabe

1. Während der Vertragslaufzeit löscht der Auftragsverarbeiter Daten nach den Fristen in Anlage 1, Abschnitt 5. Inhalte, die der Auftraggeber in seine Apps einstellt, bleiben, bis er sie löscht.
2. Der Auftraggeber kann jederzeit verlangen, dass der Auftragsverarbeiter eine App oder sein Kundenkonto samt aller im Auftrag verarbeiteten Daten löscht. Der Auftragsverarbeiter löscht dann innerhalb von 30 Tagen. Vor der Löschung kann der Auftraggeber seine Inhalte über die Funktionen der Verwaltung sichern oder ihre Herausgabe in einem gängigen Format verlangen.
3. Endet ein Paket, wird die App deaktiviert, und der Auftraggeber kann sie durch eine neue Buchung wieder aktivieren. Apps von Kunden, die kein kostenpflichtiges Paket gebucht haben, löscht der Auftragsverarbeiter frühestens 180 Tage nach ihrem Ablauf, wenn sich in dieser Zeit niemand in der Verwaltung angemeldet hat, und nachdem er die Löschung zehn Tage vorher per E-Mail angekündigt hat.
4. Mit der App löscht der Auftragsverarbeiter alle ihre Inhalte, Nutzerkonten, Mediendateien, Nutzungsereignisse und gespeicherten Mails. Löscht er das Kundenkonto, entfallen auch die Mails an den Auftraggeber. Daten, die er aufgrund gesetzlicher Pflichten aufbewahren muss, etwa Rechnungen, sperrt er für jede andere Verwendung.
5. Kopien in Sicherungen werden im regulären Zyklus der Sicherungen überschrieben.

9. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, zunächst in Form von Unterlagen (etwa einer Beschreibung der Maßnahmen und der Liste der Unterauftragsverarbeiter).
2. Reichen die Unterlagen im Einzelfall nicht aus, ermöglicht der Auftragsverarbeiter Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet und kein Wettbewerber des Auftragsverarbeiters ist. Prüfungen vor Ort sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Kosten einer Prüfung trägt der Auftraggeber.

10. Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
2. Änderungen dieses AV-Zusatzes erfolgen wie Änderungen der AGB (§ 12 AGB), Änderungen der Anlage 2 nach Ziffer 5.
3. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Maßgeblich ist die deutsche Fassung.

Anlage 1 – Gegenstand der Verarbeitung

1. Gegenstand und Zweck

• Bereitstellung und Betrieb der mit AppConfector erstellten Apps (Web-Apps und, falls gebucht, Apps in den App-Stores), einschließlich Hosting, Datenbank und Sicherungen
• Formulare, Bestellungen, Terminanfragen, Kommentare, Reaktionen und Nachrichten in den Apps
• Nutzerkonten der Apps und Push-Benachrichtigungen
• Versand von Mails der App an ihre Nutzer und an den Auftraggeber
• Zählung der Nutzung (Aufrufe, Installationen, Downloads) für die Statistik des Auftraggebers
• Übersetzung von App-Inhalten, wenn der Auftraggeber sie nutzt
• Unterstützung durch künstliche Intelligenz beim Erstellen und Gestalten der App, wenn der Auftraggeber sie nutzt
• KI-Werkzeuge der Verwaltung („Text verbessern“, „Bild erzeugen“), wenn der Auftraggeber sie nutzt
• Support zu Anfragen, die Inhalte aus der App betreffen

2. Arten personenbezogener Daten

• Angaben, die Nutzer der App in Formularen, Bestellungen, Terminanfragen, Kommentaren und Nachrichten machen (z. B. Name, Kontaktdaten, Inhalte der Anfrage)
• Nutzerkonten der App (E-Mail-Adresse, Sprache, Zeitpunkt der letzten Anmeldung, Berechtigungen; Name, Profilbild und eigene Felder des Auftraggebers, wenn angegeben). Nutzer melden sich ohne Passwort über einen Link per E-Mail an.
• Push-Kennungen (Gerätetoken, Abonnements der Browser) und eine zufällige Gerätekennung
• Nutzungsereignisse (Art und Zeitpunkt eines Aufrufs, Gerätekennung, Browserkennung, Herkunftsseite; keine IP-Adresse)
• Mails der App (Inhalt, Empfänger, Zustellstatus)
• Inhalte, die der Auftraggeber in seine Apps einstellt, soweit sie Personen betreffen (z. B. Ansprechpartner, Fotos)

3. Betroffene Personen

• Nutzer der Apps
• Kunden, Interessenten, Beschäftigte und Geschäftspartner des Auftraggebers

4. Ort der Verarbeitung

Die Apps laufen auf Servern der netcup GmbH in einem Rechenzentrum in Nürnberg. Unterauftragsverarbeiter und ihre Verarbeitungsorte nennt Anlage 2.

5. Löschfristen

Anlage 2 – Unterauftragsverarbeiter

Mails versendet der Auftragsverarbeiter über seinen eigenen Mailserver (Mailverse), Supportanfragen bearbeitet er mit seinem eigenen System (Auxdesk); beide laufen auf den Servern der netcup GmbH.

Anlage 3 – Technische und organisatorische Maßnahmen

1. Vertraulichkeit

• Zutritt: Rechenzentrum der netcup GmbH in Nürnberg mit Zutrittskontrolle und Überwachung durch den Betreiber
• Zugang zu den Servern: nur für berechtigte Administratoren, über verschlüsselte Verbindungen (SSH)
• Zugriff in der Anwendung: jeder Datensatz ist einer App zugeordnet; Kunden sehen nur ihre eigenen Apps; Anmeldungen in der Verwaltung mit befristetem Token, Passwörter nicht im Klartext gespeichert; Nutzer der Apps melden sich ohne Passwort über einen Link per E-Mail an
• Sitzungen: werden 24 Stunden nach der letzten Aktivität auf dem Server gelöscht

2. Integrität

• Übertragung: verschlüsselt per TLS (HTTPS), Aufrufe über HTTP werden auf HTTPS umgeleitet; Mails mit DKIM, SPF und DMARC
• Schnittstellen: eingehende Webhooks werden über Signaturen oder durch Rückfrage beim Absender geprüft; interne Werkzeuge sind nur mit signierten Links erreichbar
• Eingaben: Änderungen durch KI-Funktionen werden mit ihrem Vorzustand protokolliert und lassen sich rückgängig machen; Anmeldungen in der Verwaltung werden protokolliert

3. Verfügbarkeit und Belastbarkeit

• Datenbank dreifach repliziert auf getrennten Servern
• eigene Sicherungen bei der netcup GmbH in Deutschland
• Überwachung der Dienste mit Alarmierung

4. Datenminimierung und Überprüfung

• automatische Löschung nach den Fristen in Anlage 1, Abschnitt 5
• keine Speicherung von IP-Adressen in den Nutzungsereignissen; Protokolle der Server nach 14 Tagen gelöscht
• regelmäßige Überprüfung der Maßnahmen und der Verarbeitungsorte der Unterauftragsverarbeiter