Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand, Geltungsbereich und Rollen

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DS-GVO. Der Kunde ist für die in diesem AVV beschriebene Verarbeitung Verantwortlicher und Koll Auftragsverarbeiter. Handelt der Kunde selbst als Auftragsverarbeiter eines Dritten, ist Koll Unterauftragsverarbeiter; der Kunde sichert zu, zu den Weisungen und zum Einsatz von Koll berechtigt zu sein.

Soweit Koll Zwecke und Mittel einer Verarbeitung selbst festlegt, insbesondere bei Vertragsverwaltung, Abrechnung, Nutzeridentifikation, Sicherheit und Missbrauchsprävention, handelt Koll als eigener Verantwortlicher; diese Verarbeitung fällt nicht unter diesen AVV.

2. Weisungen und Verantwortlichkeit des Kunden

Koll verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich dieses Vertrags, der Bestellbestätigung, der Einstellungen des Dienstes und rechtmäßiger Handlungen autorisierter Nutzer, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet Koll zu einer anderen Verarbeitung. Koll informiert den Kunden vorab über eine solche Pflicht, soweit dies rechtlich zulässig ist.

Hält Koll eine Weisung für datenschutzrechtswidrig, informiert Koll den Kunden unverzüglich und darf die Ausführung aussetzen, bis die Weisung geändert oder ihre Rechtmäßigkeit nachvollziehbar bestätigt wurde.

Der Kunde ist verantwortlich für:

• Rechtmäßigkeit der Verarbeitung und seiner Weisungen;
• Rechtsgrundlagen, Transparenzinformationen und erforderliche Einwilligungen;
• Datenminimierung, Richtigkeit, Speicherfristen und Löschkonzepte;
• Bearbeitung von Betroffenenanfragen und Anforderungen der Aufsichtsbehörden; und
• die unternehmensinterne Berechtigung der Personen, die Koll Weisungen erteilen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DS-GVO, Daten zu strafrechtlichen Verurteilungen nach Art. 10 DS-GVO oder sonstige Hochrisikodaten dürfen nur nach vorheriger Zustimmung von Koll in Textform und mit vereinbarten zusätzlichen Schutzmaßnahmen verarbeitet werden.

3. Art, Zweck, Umfang und Dauer der Verarbeitung

Der Dienst ist nicht für Passwörter, vollständige Zahlungskartendaten, amtliche Identitätsdokumente oder besondere Datenkategorien bestimmt, sofern dies nicht ausdrücklich vereinbart wurde.

4. Allgemeine Pflichten von Koll

Koll wird:

• personenbezogene Daten nur im vereinbarten Umfang und nach dokumentierten Weisungen verarbeiten;
• sicherstellen, dass zur Verarbeitung befugte Personen gesetzlich oder vertraglich zur Vertraulichkeit verpflichtet sind;
• soweit erforderlich ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO führen;
• dem Kunden die zum Nachweis der Einhaltung von Art. 28 DS-GVO angemessen erforderlichen Informationen bereitstellen;
• den Kunden nach Maßgabe dieses AVV bei Datenschutzpflichten unterstützen; und
• im Auftrag verarbeitete personenbezogene Daten weder verkaufen noch für eigene Direktwerbung verwenden.

5. Technische und organisatorische Maßnahmen

Koll trifft unter Berücksichtigung von Art. 32 DS-GVO angemessene technische und organisatorische Maßnahmen. Die Maßnahmen werden risikoorientiert ausgestaltet und können weiterentwickelt werden, sofern das vereinbarte Gesamtschutzniveau nicht wesentlich abgesenkt wird.

Verbindlicher Maßnahmenrahmen:

• Informationssicherheits- und Datenschutzorganisation mit definierten Verantwortlichkeiten, Richtlinien und Schulungen;
• rollenbasierte Zugriffskontrolle nach dem Need-to-know- und Least-Privilege-Prinzip, persönliche Konten und angemessene Absicherung privilegierter Zugriffe;
• starke Authentisierung oder Mehrfaktor-Authentisierung für geeignete administrative und besonders schutzbedürftige Zugriffe;
• Verschlüsselung bei der Übertragung nach allgemein anerkannten Verfahren und, risikoadäquat, Verschlüsselung gespeicherter Daten;
• angemessene Trennung von Kunden, Rollen sowie Entwicklungs-, Test- und Produktionsumgebungen;
• Protokollierung, Überwachung und Verfahren zur Erkennung und Behandlung sicherheitsrelevanter Ereignisse;
• Schwachstellen-, Patch- und Änderungsmanagement sowie sichere Entwicklungs- und Freigabeverfahren;
• Sicherungs-, Wiederherstellungs- und Kontinuitätsverfahren im Umfang der vereinbarten Leistung und des Risikos;
• risikobasierte Auswahl, Vertragsbindung und Überwachung von Unterauftragsverarbeitern; und
• regelmäßige Bewertung und Verbesserung der Wirksamkeit der Maßnahmen.

Der Kunde bleibt für Sicherheit seiner Nutzerkonten, Endgeräte, Integrationsschlüssel, Systeme und Konfigurationen sowie für die Auswahl zulässiger Inhalte verantwortlich.

6. Unterauftragsverarbeiter

Der Kunde erteilt Koll eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Koll stellt eine aktuelle Liste der wesentlichen Unterauftragsverarbeiter auf einer dem Kunden zugänglichen Website oder auf andere leicht zugängliche Weise bereit.

Koll informiert grundsätzlich mindestens dreißig (30) Tage vor der Aufnahme oder wesentlichen Ersetzung eines Unterauftragsverarbeiters. Ist eine schnellere Änderung aus dringenden Sicherheits-, Kontinuitäts- oder Rechtsgründen erforderlich, informiert Koll so früh wie möglich.

Der Kunde kann innerhalb der Mitteilungsfrist aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen eine zumutbare Lösung. Ist keine Lösung möglich, kann Koll auf den Unterauftragsverarbeiter verzichten, eine Alternative anbieten oder jede Partei den ausschließlich betroffenen Leistungsbestandteil beenden; vorausbezahlte Entgelte für dessen ungenutzte Restzeit werden erstattet.

Koll verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen gleichwertigen Pflichten und bleibt gegenüber dem Kunden für die Erfüllung ihrer Datenschutzpflichten verantwortlich.

7. Übermittlungen in Drittländer

Koll übermittelt im Auftrag verarbeitete personenbezogene Daten nur auf Grundlage der Kapitel-V-Vorgaben der DS-GVO außerhalb des Europäischen Wirtschaftsraums. Als geeigneter Mechanismus kommen insbesondere Angemessenheitsbeschlüsse, genehmigte Standardvertragsklauseln und erforderliche ergänzende Maßnahmen in Betracht.

Koll stellt dem Kunden auf Anfrage angemessene Informationen zum eingesetzten Übermittlungsmechanismus bereit, soweit keine Vertraulichkeits- oder Sicherheitsinteressen entgegenstehen.

8. Unterstützung bei Betroffenenrechten

Erhält Koll eine Anfrage einer betroffenen Person zu Daten, die im Auftrag des Kunden verarbeitet werden, antwortet Koll nicht eigenständig, sofern der Kunde Koll hierzu nicht angewiesen hat oder eine gesetzliche Pflicht besteht. Koll leitet die Anfrage unverzüglich an den Kunden weiter.

Koll unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Funktionen durch angemessene technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

9. Verletzungen des Schutzes personenbezogener Daten

Koll informiert den Kunden unverzüglich, nachdem Koll von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die im Auftrag verarbeitete Daten betrifft. Die Meldung enthält, soweit verfügbar:

• Art der Verletzung sowie, soweit möglich, Kategorien und ungefähre Zahl betroffener Personen und Datensätze;
• wahrscheinliche Folgen;
• ergriffene oder vorgeschlagene Abhilfe- und Minderungsmaßnahmen; und
• eine Kontaktstelle für Rückfragen.

Informationen dürfen schrittweise ergänzt werden. Der Kunde bleibt für Meldungen an Aufsichtsbehörden und betroffene Personen verantwortlich. Koll meldet nicht ohne ausdrückliche Bevollmächtigung im Namen des Kunden, soweit keine gesetzliche Pflicht besteht. Die Meldung ist kein Haftungsanerkenntnis.

10. Weitere Unterstützung und Datenschutz-Folgenabschätzung

Koll unterstützt den Kunden angemessen bei Pflichten nach Art. 32 bis 36 DS-GVO, insbesondere Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation, soweit die Pflicht die Verarbeitung durch Koll betrifft und Koll über die erforderlichen Informationen verfügt.

Aufwand außerhalb des üblichen Supports darf Koll zu angemessenen, vorab mitgeteilten Konditionen berechnen, sofern der Unterstützungsbedarf nicht auf einer von Koll zu vertretenden Vertragsverletzung beruht.

11. Nachweise und Prüfungen

Koll stellt dem Kunden auf Anfrage verfügbare unabhängige Prüfberichte, Zertifikate oder andere geeignete Nachweise bereit. Solche Unterlagen und standardisierte Fragebögen sind vorrangige Prüfmittel.

Reichen diese Nachweise vernünftigerweise nicht aus oder verlangt eine zuständige Behörde eine Prüfung, darf der Kunde oder ein unabhängiger, nicht konkurrierender und zur Vertraulichkeit verpflichteter Prüfer höchstens einmal je zwölf Monate mit mindestens dreißig (30) Tagen Vorankündigung während üblicher Geschäftszeiten prüfen. Diese Beschränkungen gelten nicht bei einem begründeten Datenschutzvorfall oder einer verbindlichen Behördenanforderung.

Prüfungen dürfen Daten anderer Kunden, Sicherheit, Geschäftsgeheimnisse und Dienstkontinuität nicht gefährden. Der Kunde trägt seine Prüfkosten. Wird eine wesentliche Verletzung dieses AVV durch Koll festgestellt, trägt Koll die angemessenen unmittelbaren Kosten im Rahmen von Ziffer 20 der Bedingungen.

12. Rückgabe und Löschung

Nach Vertragsende gibt Koll im Auftrag verarbeitete personenbezogene Daten auf Weisung des Kunden in vereinbarter oder allgemein gebräuchlicher Form zurück und löscht verbleibende Kopien, soweit Unionsrecht oder das Recht eines Mitgliedstaats keine Speicherung verlangt.

Daten in aktiven Systemen werden grundsätzlich unverzüglich und spätestens innerhalb von neunzig (90) Tagen nach Vertragsende gelöscht oder anonymisiert. Daten in Sicherungskopien werden im regulären Zyklus gelöscht, bis dahin geschützt und nicht für andere Zwecke verarbeitet, außer eine Wiederherstellung ist aus Sicherheits- oder Kontinuitätsgründen erforderlich.

Gesetzlich aufzubewahrende Daten dürfen getrennt, ausschließlich für den gesetzlichen Zweck und nur für die vorgeschriebene Dauer gespeichert werden.

13. Weisungs- und Ansprechpartner

Weisungen werden durch die vom Kunden benannten Vertrags-, Datenschutz- oder Administrationskontakte in Textform oder über dafür vorgesehene Funktionen des Dienstes erteilt. Koll darf bei begründeten Zweifeln einen Vertretungsnachweis verlangen. Datenschutzbezogene Mitteilungen an Koll können an hannu.nissinen@koll.to gerichtet werden.

14. Haftung, Laufzeit und Vorrang

Die Haftung der Parteien aus diesem AVV richtet sich nach der DS-GVO, zwingendem Recht und Ziffer 20 der Bedingungen. Gesetzliche Rechte betroffener Personen und Befugnisse von Aufsichtsbehörden werden nicht eingeschränkt.

Der AVV gilt ab Beginn der Auftragsverarbeitung und so lange, wie Koll personenbezogene Daten im Auftrag des Kunden verarbeitet. Bei einem Widerspruch hat dieser AVV für Fragen der Auftragsverarbeitung Vorrang.