Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Vorlage. Vor Verwendung rechtlich prüfen lassen und Platzhalter ersetzen.

zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und [Betreiber, Anschrift] („Auftragnehmer“).

1. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Software LogonApp als Dienst bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Speicherung und Bereitstellung von Besucher-, Lieferungs-, Evakuierungs- und Arbeitszeitdaten; Versand von Einladungen und Benachrichtigungen; automatische Löschung nach den vom Auftraggeber eingestellten Fristen.

3. Art der Daten und Kreis der Betroffenen

Siehe Verzeichnis der Verarbeitungstätigkeiten des Auftraggebers: Besucher, Dienstleister, Lieferanten, Bewerber und Beschäftigte des Auftraggebers; Stammdaten, Kontaktdaten, Zeitstempel, Antworten auf Fragen, optional Fotos und Unterschriften.

4. Weisungsgebundenheit

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen erteilt der Auftraggeber in der Regel über die Einstellungen der Software (z. B. Löschfristen, abgefragte Felder).

5. Vertraulichkeit

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.

6. Technische und organisatorische Maßnahmen

Es gelten die Maßnahmen gemäß Anlage „TOM“. Der Auftragnehmer darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Auftraggeber genehmigt folgende Unterauftragsverarbeiter: [Hoster, Sitz, Leistung]; [E-Mail-Versanddienstleister, Sitz, Leistung]. Über Änderungen informiert der Auftragnehmer mit einer Frist von 30 Tagen; der Auftraggeber kann widersprechen.

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt bei Betroffenenanfragen (Funktionen für Auskunft und Löschung sind in der Software enthalten), bei Meldungen nach Art. 33 und 34 sowie bei Datenschutz-Folgenabschätzungen.

9. Meldung von Verletzungen

Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

10. Löschung und Rückgabe

Nach Vertragsende löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch stellt er vorher einen Export bereit.

11. Kontrollrechte

Der Auftraggeber kann sich von der Einhaltung überzeugen, vorrangig durch Vorlage aktueller Zertifikate oder Prüfberichte, nach Absprache auch durch Inspektionen.