Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

1. Gegenstand und Geltungsbereich

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Offelio im Auftrag des Verantwortlichen im Rahmen der Nutzung von Offelio. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO.

Der Vertrag gilt für sämtliche Verarbeitungen personenbezogener Daten, bei denen Offelio im Rahmen der vereinbarten SaaS-Leistungen als Auftragsverarbeiter tätig wird.

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt grundsätzlich für die Dauer des zwischen den Parteien bestehenden Nutzungsvertrags über Offelio.

Nach Vertragsende werden personenbezogene Daten nach Maßgabe dieses Vertrags und der gesetzlichen Vorgaben gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

3. Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung ist die technische Bereitstellung einer Softwarelösung für Angebotsprozesse. Die Verarbeitung kann insbesondere folgenden Zwecken dienen:

• Erstellung und Verwaltung von Angeboten
• Speicherung von Angebotsdaten
• Bereitstellung von Angebotslinks
• Erstellung von PDF-Dokumenten
• Verwaltung von Angebotsempfängern
• Erfassung und Verarbeitung von Kundenfeedback
• Verwaltung von Änderungswünschen
• Dokumentation von Angebotsversionen
• Dokumentation von Annahmen und Ablehnungen
• Öffnungs- und Statusinformationen
• automatisches Nachfassen
• Teamfunktionen
• Analyse von Angebotsstatus und Angebotsdaten
• Bereitstellung technischer Support- und Sicherheitsfunktionen

Offelio verarbeitet personenbezogene Daten ausschließlich zur Durchführung der vom Verantwortlichen beauftragten Leistungen und auf Grundlage dokumentierter Weisungen.

4. Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

• Mitarbeiter des Verantwortlichen
• Nutzer von Offelio
• Kunden und Interessenten des Verantwortlichen
• Angebotsempfänger
• Ansprechpartner bei Geschäftskunden
• sonstige Personen, deren Daten der Verantwortliche zulässigerweise in Offelio verarbeitet

5. Arten personenbezogener Daten

Je nach Nutzung von Offelio können insbesondere folgende personenbezogene Daten verarbeitet werden:

• Stammdaten: Name, Vorname, Unternehmen, Position/Funktion
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, geschäftliche Anschrift
• Angebots- und Vertragsdaten: Angebotsinhalte, Leistungsbeschreibungen, Preise, Mengen, Konditionen, Laufzeiten, Zahlungsinformationen im Angebot, Angebotsversionen, Annahme- und Ablehnungsinformationen
• Kommunikations- und Feedbackdaten: Änderungswünsche, Rückfragen, Freitexte, Feedback zu Angebotspositionen, Notizen
• Nutzungs- und Statusdaten: Angebotsstatus, Öffnungszeitpunkte, Interaktionen, Versions- und Versandinformationen
• Technische Daten: IP-Adresse, Geräte- und Browserinformationen, Log- und Sicherheitsdaten
• Nutzer- und Organisationsdaten: Nutzerkonto, E-Mail-Adresse, Rolle, Organisationszugehörigkeit, Berechtigungen

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind für die gewöhnliche Nutzung von Offelio nicht vorgesehen. Der Verantwortliche soll solche Daten nur verarbeiten, wenn dies für seinen konkreten Anwendungsfall erforderlich und datenschutzrechtlich zulässig ist.

6. Weisungsgebundenheit

Offelio verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. Die Weisungen ergeben sich insbesondere aus:

• dem Nutzungsvertrag
• der Nutzung der Funktionen von Offelio
• den Einstellungen des Verantwortlichen
• ergänzenden Weisungen in Textform

Hält Offelio eine Weisung für datenschutzrechtlich unzulässig, wird der Verantwortliche hierüber unverzüglich informiert. Offelio darf die Durchführung der betreffenden Weisung aussetzen, bis sie bestätigt oder geändert wurde, soweit dies rechtlich erforderlich ist.

7. Vertraulichkeit

Offelio stellt sicher, dass Personen, die Zugang zu personenbezogenen Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Zugriff auf personenbezogene Daten wird auf diejenigen Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen.

8. Technische und organisatorische Maßnahmen

Offelio trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Diese dienen insbesondere der Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste. Hierzu gehören je nach technischer Ausgestaltung insbesondere:

• Zugangskontrolle: Authentifizierungsmechanismen, individuelle Nutzerkonten, Zugriffsbeschränkungen
• Zugriffskontrolle: rollen- und berechtigungsabhängiger Datenzugriff, organisatorische Beschränkung administrativer Zugriffe
• Übertragungssicherheit: verschlüsselte Kommunikation über TLS/SSL
• Trennung: logische Trennung der Daten unterschiedlicher Organisationen bzw. Mandanten
• Protokollierung sicherheitsrelevanter Vorgänge, soweit erforderlich
• Sicherung: geeignete Backup- und Wiederherstellungsmechanismen
• Verfügbarkeitskontrolle: Maßnahmen zur Aufrechterhaltung und Wiederherstellung der Dienste
• Entwicklungs- und Sicherheitsmaßnahmen: sichere Entwicklung, Fehlerbehebung, Updates und Sicherheitskontrollen

Offelio darf die technischen und organisatorischen Maßnahmen entsprechend technischer Entwicklungen ändern, sofern das vereinbarte Schutzniveau insgesamt nicht unterschritten wird.

9. Unterstützung des Verantwortlichen

Offelio unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung seiner datenschutzrechtlichen Pflichten. Dies betrifft insbesondere:

• Auskunfts-, Berichtigungs- und Löschersuchen
• Einschränkung der Verarbeitung
• Datenübertragbarkeit und Widerspruch
• Sicherheitsvorfälle
• Datenschutz-Folgenabschätzungen
• Konsultationen mit Aufsichtsbehörden

Soweit eine Unterstützung einen außergewöhnlichen Aufwand verursacht, kann Offelio hierfür eine angemessene Vergütung verlangen, sofern der Aufwand nicht auf einem von Offelio zu vertretenden Verstoß beruht.

10. Betroffenenanfragen

Wendet sich eine betroffene Person unmittelbar an Offelio und betrifft die Anfrage Daten, die im Auftrag des Verantwortlichen verarbeitet werden, wird Offelio die Anfrage grundsätzlich an den Verantwortlichen weiterleiten oder nach dessen Weisung angemessen unterstützen.

Offelio beantwortet solche Anfragen grundsätzlich nicht eigenständig im Namen des Verantwortlichen, sofern hierzu keine entsprechende Weisung besteht.

11. Meldung von Datenschutzverletzungen

Offelio informiert den Verantwortlichen unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, soweit diese Daten betrifft, die Offelio im Auftrag verarbeitet. Die Meldung enthält, soweit zum jeweiligen Zeitpunkt verfügbar:

• Art des Vorfalls
• betroffene Datenkategorien
• betroffene Personengruppen
• voraussichtliche Auswirkungen
• ergriffene oder geplante Gegenmaßnahmen

Offelio unterstützt den Verantwortlichen im erforderlichen Umfang bei der Erfüllung seiner Pflichten aus Art. 33 und 34 DSGVO.

12. Unterauftragsverarbeiter

Der Verantwortliche erteilt Offelio eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.

Offelio stellt sicher, dass eingesetzte Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten verpflichtet werden, die ein im Wesentlichen gleichwertiges Datenschutzniveau wie dieser Vertrag gewährleisten.

Offelio informiert den Verantwortlichen über wesentliche Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, soweit dies gesetzlich erforderlich ist. Der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen gegen einen neuen Unterauftragsverarbeiter Widerspruch einlegen.

Können die Parteien innerhalb angemessener Zeit keine zumutbare Lösung finden, kann der Verantwortliche den hiervon betroffenen Dienst aus wichtigem Grund kündigen, soweit die weitere Nutzung ohne den Unterauftragsverarbeiter nicht möglich ist.

Eine jeweils aktuelle Liste wesentlicher Unterauftragsverarbeiter stellt Offelio als separate Anlage bereit.

13. Drittlandübermittlungen

Eine Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums erfolgt nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO. Hierzu können insbesondere eingesetzt werden:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• das EU-U.S. Data Privacy Framework, soweit anwendbar
• Standardvertragsklauseln der Europäischen Kommission
• sonstige gesetzlich zulässige Garantien

Offelio stellt sicher, dass erforderliche Schutzmechanismen mit entsprechenden Empfängern vereinbart werden.

14. Kontrollrechte und Nachweise

Offelio stellt dem Verantwortlichen auf Anfrage diejenigen Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. Der Verantwortliche kann angemessene Prüfungen durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Dabei gelten folgende Grundsätze:

• Prüfungen sind rechtzeitig anzukündigen
• sie dürfen den Geschäftsbetrieb von Offelio nicht unangemessen beeinträchtigen
• Betriebs- und Geschäftsgeheimnisse sowie Daten anderer Kunden sind zu schützen
• bestehende Zertifizierungen, Auditberichte oder sonstige Nachweise sollen vorrangig berücksichtigt werden

Vor-Ort-Prüfungen erfolgen nur, soweit andere Nachweise nicht ausreichen oder ein konkreter Anlass besteht.

15. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags löscht oder anonymisiert Offelio personenbezogene Daten, die im Auftrag verarbeitet wurden, soweit:

• der Verantwortliche keine Rückgabe verlangt
• keine gesetzliche Pflicht zur weiteren Speicherung besteht
• keine andere zulässige Rechtsgrundlage eine Speicherung erlaubt

Soweit technisch verfügbar, hat der Verantwortliche vor Vertragsende die Möglichkeit, Daten zu exportieren.

Sicherungs- oder Backupdaten können für einen begrenzten Zeitraum fortbestehen und werden im Rahmen der regulären Sicherungszyklen gelöscht oder überschrieben.

16. Verantwortlichkeit des Kunden

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten verantwortlich. Er gewährleistet insbesondere, dass:

• die Daten rechtmäßig erhoben wurden
• eine Rechtsgrundlage für ihre Verarbeitung besteht
• betroffene Personen ordnungsgemäß informiert werden
• die Nutzung von Offelio mit seinen eigenen Datenschutzpflichten vereinbar ist

Der Verantwortliche erteilt keine Weisungen, die gegen geltendes Datenschutzrecht verstoßen.

17. Verarbeitung für eigene Zwecke

Soweit Offelio personenbezogene Daten unabhängig vom Auftrag für eigene gesetzlich zulässige Zwecke verarbeitet, ist Offelio für diese Verarbeitung selbst Verantwortlicher. Dies kann insbesondere gelten für:

• Vertrags- und Abrechnungsdaten des Offelio-Kunden
• Sicherheits- und Missbrauchsprävention
• gesetzlich erforderliche Aufbewahrung
• eigene Kommunikation mit Nutzern
• Zahlungsabwicklung
• Erfüllung gesetzlicher Pflichten

Solche Verarbeitungen sind nicht Gegenstand dieses Auftragsverarbeitungsvertrags.

18. Vorrang

Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und sonstigen Vertragsbestimmungen gehen hinsichtlich der Auftragsverarbeitung die Bestimmungen dieses AVV vor. Im Übrigen bleiben die Regelungen des Nutzungsvertrags und der AGB unberührt.

19. Elektronischer Abschluss

Dieser Auftragsverarbeitungsvertrag kann elektronisch abgeschlossen werden. Die Zustimmung kann insbesondere erfolgen durch:

• elektronische Bestätigung
• Aktivierung im Nutzerkonto
• Abschluss des Hauptvertrags unter Einbeziehung dieses AVV
• sonstige dokumentierbare Zustimmung in Textform

20. Schlussbestimmungen

Es gilt deutsches Recht, soweit dem keine zwingenden datenschutzrechtlichen Vorschriften entgegenstehen. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt.