Auftragsverarbeitungsvertrag (AVV)
Verarbeiten Sie als Kunde personenbezogene Daten im Freistellungsmanager, sind wir Ihr Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Den AVV schließen wir gerne mit Ihnen ab – die folgenden Bedingungen bilden die Grundlage.
Hinweis: Dieser Vertragstext ist eine Vorlage und ersetzt keine Rechtsberatung. Vor dem verbindlichen Abschluss sollte er anwaltlich gepruft und auf Ihren konkreten Einsatzfall angepasst werden. Für einen unterschriebenen AVV kontaktieren Sie uns unter info@freistellungsmanager.de.
§ 1 Gegenstand und Dauer
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zugrunde liegenden Nutzungsvertrag ueber die Software Freistellungsmanager (Hauptvertrag). Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters (Krueger Compliance UG (haftungsbeschränkt)) oder durch ihn beauftragte Subprozessoren personenbezogene Daten des Auftraggebers (Kunde) verarbeiten. Die Laufzeit entspricht der des Hauptvertrags.
§ 2 Art, Umfang und Zweck der Verarbeitung
Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der vertraglich vereinbarten Leistungen (digitale Verwaltung von Freistellungsbescheinigungen nach § 48b EStG, Ampel-Status, Fristueberwachung, Bauabzugsteuer-Modul, ELSTER-§48a-Export). Verarbeitet werden insbesondere Stammdaten der Nutzer (Name, dienstliche Kontaktdaten), Bescheinigungsdaten der Nachunternehmer, Zahlungs- und Projektdaten sowie Nutzungs- und Protokolldaten. Kategorien betroffener Personen sind Beschäftigte und Beauftragte des Auftraggebers (z. B. Buchhaltung, Einkauf, Geschaeftsfuehrung) sowie – in der Funktion als Drittpersonen – Mitarbeiter und Inhaber der verwalteten Nachunternehmer.
§ 3 Pflichten des Auftragsverarbeiters
- Verarbeitung personenbezogener Daten ausschließlich im Rahmen der dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO);
- Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO);
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe § 4);
- Unterstuetzung des Auftraggebers bei der Beantwortung von Anträgen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. e, f DSGVO);
- unverzuegliche Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO).
§ 4 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere verschluesselte Datenuebertragung (TLS), Zugriffskontrolle ueber Authentifizierung (Clerk) und rollenbasierte Berechtigungen, mandantengetrennte Datenhaltung (PostgreSQL auf Neon eu-central-1, Frankfurt) sowie Hosting auf Infrastruktur mit anerkannter Zertifizierung (ISO 27001 / SOC 2 der Hoster). Die Maßnahmen werden bei technischer Weiterentwicklung fortgeschrieben.
§ 5 Unterauftragsverhältnisse
Der Auftraggeber stimmt der Hinzuziehung der in der Subprozessoren-Liste genannten Unterauftragsverarbeiter zu. Diese Liste ist Anlage zu diesem Vertrag. Ueber beabsichtigte Änderungen (Hinzuziehung oder Austausch) informiert der Auftragsverarbeiter rechtzeitig; dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem Grund zu.
§ 6 Betroffenenrechte
Der Auftragsverarbeiter unterstuetzt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfuellung der Rechte betroffener Personen (Auskunft, Berichtigung, Loeschung, Einschränkung, Datenuebertragbarkeit, Widerspruch). Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden an den Auftraggeber weitergeleitet.
§ 7 Loeschung und Rueckgabe
Nach Beendigung des Hauptvertrags loescht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zuruick, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein Datenexport ist während der Vertragslaufzeit jederzeit möglich (CSV, PDF).
§ 8 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfuegung und ermöglicht angemessene Ueberpruefungen (Art. 28 Abs. 3 lit. h DSGVO).
§ 9 Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der uebrigen unberuert. Bei Widerspruechen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Datenschutzfragen vor.
AVV abschließen
Für einen rechtsverbindlich unterzeichneten Auftragsverarbeitungsvertrag wenden Sie sich an info@freistellungsmanager.de. Wir senden Ihnen die unterschriftsfertige Fassung zu.