Auftragsverarbeitungsvertrag

1. Vertragsgegenstand

Im Rahmen der Leistungserbringung nach den Allgemeinen Nutzungsbedingungen für die Langdock-Plattform („Hauptvertrag”) ist es erforderlich, dass der Auftragsverarbeiter personenbezogene Daten verarbeitet, für die der Verantwortliche als verantwortliche Stelle im Sinne der datenschutzrechtlichen Vorschriften fungiert („Kundendaten”). Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung der Kundendaten zur Durchführung des Hauptvertrags.

2. Umfang der Beauftragung

1. Der Auftragsverarbeiter verarbeitet die Kundendaten im Auftrag und nach Weisung des Verantwortlichen i.S.v. Art. 28 DSGVO (Auftragsverarbeitung). Der Verantwortliche bleibt Verantwortlicher im datenschutzrechtlichen Sinn.
2. Die Einzelheiten der Datenverarbeitung, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die Kundendaten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anlage 1 spezifiziert.

3. Weisungen des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet die Kundendaten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen des Verantwortlichen sind in diesem Vertrag festgelegt. Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus Konfigurationsoptionen innerhalb der Langdock-Plattform zur Verfügung, über die der Verantwortliche die Verarbeitung der Kundendaten im Rahmen des bestimmungsgemäßen Plattformbetriebs anpassen kann. Die Nutzung dieser Konfigurationsoptionen gilt als dokumentierte Weisung im Sinne dieses Vertrags. Darüber hinausgehende Einzelweisungen, die eine Anpassung der Standardleistung des Auftragsverarbeiters erfordern, sind nur verbindlich, soweit sie schriftlich vereinbart und im Hauptvertrag oder einem gesonderten Nachtrag dokumentiert wurden.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen geltende Datenschutzbestimmungen verstoßen. 

4. Pflichten des Verantwortlichen

1. Im Verhältnis der Parteien zueinander ist der Verantwortliche für die Rechtmäßigkeit der erteilten Weisungen und die Zulässigkeit der Verarbeitung der Kundendaten allein verantwortlich. Machen Dritte gegen den Auftragsverarbeiter Ansprüche im Zusammenhang mit der Verarbeitung von Kundendaten nach Maßgabe dieses Vertrags geltend, stellt der Verantwortliche den Auftragsverarbeiter von solchen Ansprüchen frei, soweit diese Ansprüche auf einem Verstoß des Verantwortlichen gegen diesen Vertrag oder anwendbares Recht beruhen.

2. Der Verantwortliche unterstützt den Auftragsverarbeiter auf Anforderung in angemessenem Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere durch Bereitstellung der erforderlichen Angaben für das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO sowie bei der Zusammenarbeit mit Aufsichtsbehörden oder sonstigen staatlichen Stellen.

5. Sicherheit der Verarbeitung

1. Der Auftragsverarbeiter wird gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ergreifen, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der Kundendaten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind, um ein dem Risiko angemessenes Schutzniveau für die Kundendaten zu gewährleisten. 

2. Die Parteien vereinbaren die in Anlage 3 aufgeführten technischen und organisatorischen Maßnahmen als zum Zeitpunkt des Vertragsschlusses angemessenes Schutzniveau für die Kundendaten. Dem Auftragsverarbeiter ist es gestattet, technische und organisatorische Maßnahmen während der Laufzeit des Vertrags zu ändern oder anzupassen, solange sie weiterhin den gesetzlichen Anforderungen genügen und das in Anlage 3 insgesamt festgelegte Datenschutzniveau nicht unterschritten wird.

6. Anforderungen an Personal

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Einsatz von Unterauftragsverarbeitern

1. Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, Unterauftragsverarbeiter bei der Verarbeitung von Kundendaten einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen dieser Liste durch das Hinzufügen oder Ersetzen von Unterauftragsverarbeitern mindestens 14 Tage vor dem geplanten Einsatz des neuen Unterauftragsverarbeiters. Die Information erfolgt durch Veröffentlichung auf https://trust.langdock.com/subprocessors sowie per E-Mail, wenn der Verantwortliche E-Mail-Benachrichtigungen auf dieser Webseite aktiviert hat. Der Verantwortliche ist berechtigt, der beabsichtigten Änderung schriftlich innerhalb von 14 Tagen nach Veröffentlichung der Änderung aus konkreten datenschutzrechtlichen Gründen zu widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Im Fall eines rechtzeitigen und begründeten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Gelingt dies nicht innerhalb von 14 Tagen nach Zugang des Widerspruchs, ist jede Partei berechtigt, den Hauptvertrag und diesen Vertrag mit einer Frist von 30 Tagen zu kündigen.
3. Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter vertraglich zur Einhaltung von Datenschutzpflichten, die dem Schutzniveau dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Soweit ein Unterauftragsverarbeiter Kundendaten in einem Drittland verarbeitet, stellt der Auftragsverarbeiter sicher, dass ein geeignetes Instrument zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Art. 44 ff. DSGVO vorliegt, etwa durch die Vereinbarung von Standardvertragsklauseln gemäß Art. 46 DSGVO nach dem jeweils geltenden Muster der Europäischen Kommission.
4. Der Auftragsverarbeiter ist gegenüber dem Verantwortlichen dafür verantwortlich, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt.

8. Internationale Datenübermittlungen

1. Die Verarbeitung der Kundendaten durch den Auftragsverarbeiter findet grundsätzlich innerhalb der Europäischen Union oder einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt.

2. Eine Übermittlung von Kundendaten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage einer Weisung des Verantwortlichen (z.B. wenn der Verantwortliche aktiv in der Langdock-Plattform ein LLM mit einem Serverstandort außerhalb der EU aktiviert) und im Einklang mit Art. 44 ff. DSGVO.

3. Wenn Kundendaten durch den Auftragsverarbeiter oder einen Unterauftragsverarbeiter an ein Drittland oder eine internationale Organisation übermittelt oder dort verarbeitet werden, stellt der Auftragsverarbeiter sicher, dass ein geeignetes Instrument zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Art. 44 ff. DSGVO vorliegt, etwa durch die Vereinbarung von Standardvertragsklauseln gemäß Art. 46 DSGVO nach dem jeweils geltenden Muster der Europäischen Kommission.

9. Rechte der betroffenen Personen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen durch geeignete technische und organisatorische Maßnahmen im Rahmen des Zumutbaren dabei, seiner Pflicht zur Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte gemäß der DSGVO nachzukommen. Zu diesem Zweck stellt der Auftragsverarbeiter dem Verantwortlichen Funktionen innerhalb der Langdock-Plattform zur Verfügung, die es dem Verantwortlichen ermöglichen, typische Betroffenenanfragen selbstständig zu erfüllen.

2. Der Verantwortliche weist den Auftragsverarbeiter hiermit an, Anfragen betroffener Personen zur (a) Berichtigung von Account- oder Profildaten sowie (b) Deaktivierung oder Löschung des Nutzerkontos und der Daten, die ausschließlich dem Nutzerkonto zugeordnet sind, eigenständig und ohne vorherige Rücksprache mit dem Verantwortlichen umzusetzen, wenn sie über die gewöhnlichen Supportkanäle direkt an den Auftragsverarbeiter gerichtet sind und die Identität der betroffenen Person mit angemessenen Mitteln verifiziert wurde (z.B. durch die dem Nutzerkonto zugeordnete E-Mail-Adresse). Anfragen betroffener Personen, die Daten außerhalb der Langdock-Plattform betreffen könnten, werden vom Auftragsverarbeiter nicht eigenständig bearbeitet.

3. Soweit beim Auftragsverarbeiter eine Anfrage einer betroffenen Person zur Ausübung ihrer Rechte gemäß der DSGVO eingeht, die nicht vom Auftragsverarbeiter eigenständig bearbeitet wird (insbesondere weil sie rechtliche oder tatsächliche Fragen aufwirft oder über die in Absatz 2 genannten Standardfälle hinausgeht), leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen in diesem Fall auf Anfrage durch geeignete technische und organisatorische Maßnahmen, soweit möglich und erforderlich, bei der Erfüllung seiner Pflichten.

10. Mitteilungs- und Unterstützungspflichten des Auftragsverarbeiters

1. Im Falle einer Verletzung des Schutzes von personenbezogenen Daten in Bezug auf Kundendaten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Die Mitteilung erfolgt auf Grundlage der dem Auftragsverarbeiter zum Zeitpunkt der Mitteilung zur Verfügung stehenden Informationen; soweit weitere relevante Informationen verfügbar werden, wird der Auftragsverarbeiter diese dem Verantwortlichen ohne unangemessene Verzögerung nachreichen.

2. Der Auftragsverarbeiter unterstützt den Verantwortlichen auf dessen Anfrage unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach der DSGVO, soweit die Unterstützung erforderlich und zumutbar ist. Die rechtliche Prüfung, ob und in welchem Umfang eine Melde- oder Benachrichtigungspflicht besteht, obliegt dem Verantwortlichen.

3. Der Auftragsverarbeiter unterstützt den Verantwortlichen auf dessen Anfrage unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei etwaigen durchzuführenden Datenschutz-Folgenabschätzungen sowie vorherigen Konsultationen von Aufsichtsbehörden, soweit die Unterstützung erforderlich und zumutbar ist. Soweit die Unterstützung einen wesentlichen, über die vertraglich geschuldete Unterstützung hinausgehenden Mehraufwand verursacht, werden die Parteien vorab eine angemessene zusätzliche Vergütung vereinbaren.

11. Datenlöschung

1. Der Auftragsverarbeiter löscht die Kundendaten spätestens 30 Tage nach Beendigung des Hauptvertrags, sofern nicht eine gesetzliche Verpflichtung des Auftragsverarbeiters zur weiteren Speicherung der Kundendaten besteht. Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung der Kundendaten auf dessen Anfrage. 

2. Der Verantwortliche hat während der Laufzeit des Hauptvertrags sowie bis zur Löschung der Kundendaten gemäß Abs. 1 die Möglichkeit, seine Kundendaten zu exportieren. Der Auftragsverarbeiter stellt hierfür auf Anfrage die dafür vorgesehenen Exportfunktionen bereit.

3. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung oder zur Erfüllung gesetzlicher Aufbewahrungspflichten dienen, darf der Auftragsverarbeiter auch nach Vertragsende aufbewahren.

12. Nachweise und Überprüfungen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle Informationen zur Verfügung, die beim Auftragsverarbeiter vorhanden und erforderlich sind, um die Einhaltung der Pflichten nach diesem Vertrag sowie nach Art. 28 DSGVO nachzuweisen.
2. Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten nach diesem Vertrag sowie nach Art. 28 DSGVO durch den Auftragsverarbeiter zu überprüfen.
3. Der Nachweis der Einhaltung der Pflichten nach diesem Vertrag sowie nach Art. 28 DSGVO erfolgt in der Regel durch Vorlage eines geeigneten, aktuellen Testats oder Berichts einer unabhängigen Instanz oder eines Prüfberichts im Rahmen einer IT-Sicherheits- oder Datenschutzzertifizierung (z.B. ISO 27001, SOC 2 Type II).
4. Soweit der Verantwortliche einen konkreten und begründeten Verdacht auf einen Verstoß gegen die Pflichten nach diesem Vertrag oder nach Art. 28 DSGVO darlegt, oder die nach Abs. 3 zur Verfügung gestellten Nachweise im Einzelfall keine angemessene Überprüfung ermöglichen, ist der Verantwortliche berechtigt, Inspektionen durchzuführen. Solche Inspektionen erfolgen unter angemessener Berücksichtigung der berechtigten Belange des Auftragsverarbeiters und, soweit möglich, vorrangig durch schriftliche Auskünfte oder Remote-Prüfungen.
5. Inspektionen sind nur während der üblichen Geschäftszeiten des Auftragsverarbeiters und nach angemessener Vorankündigung zulässig und dürfen die Betriebsabläufe des Auftragsverarbeiters nicht unangemessen beeinträchtigen.
6. Der Auftragsverarbeiter ist berechtigt, die Offenlegung von Informationen insoweit zu beschränken, als dies erforderlich ist, um die Vertraulichkeit von Daten anderer Kunden, Sicherheitsanforderungen sowie berechtigte Betriebs- und Geschäftsgeheimnisse zu wahren. Beauftragt der Verantwortliche einen Dritten mit der Durchführung einer Inspektion, darf dieser kein Wettbewerber des Auftragsverarbeiters sein und ist vor Durchführung schriftlich auf Vertraulichkeit und Geheimhaltung zu verpflichten.

13. Haftung

Im Verhältnis der Parteien zueinander gelten die Regelungen des Hauptvertrags über die Haftung entsprechend, einschließlich der Haftungsausschlüsse und -begrenzungen. Die zwingenden gesetzlichen Haftungsregelungen in Art. 82 DSGVO bleiben unberührt.

14. Vertragsdauer und Kündigung

Die Laufzeit und Kündigung dieses Vertrags richtet sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Die Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags; dieser Vertrag gilt jedoch bis zum Abschluss der Löschung der Kundendaten fort. Eine isolierte Kündigung dieses Vertrages ist ausgeschlossen.

15. Schlussbestimmungen

1. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden oder eine Lücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und den Anforderungen des Art. 28 DSGVO genügt.
2. Soweit in diesem Vertrag nichts Abweichendes geregelt ist, gelten die Bestimmungen des Hauptvertrags entsprechend, insbesondere hinsichtlich des anwendbaren Rechts und des Gerichtsstands. Im Fall von Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen zwischen den Parteien, insbesondere dem Hauptvertrag, gehen die Regelungen dieses Vertrags vor.
3. Nur die deutsche Fassung dieses Vertrages ist bindend. Die englische Übersetzung dient ausschließlich zu Informationszwecken.