Zwischen dem Kunden („Verantwortlicher") und migrovia GmbH i. Gr. („Auftragsverarbeiter").
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des Betriebs der Software zum Aufgaben-, Workflow- und Risikomanagement (SaaS).
(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrags; dieser AVV endet automatisch mit dessen Beendigung.
(3) Gegenstand, Art, Zweck, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.
(1) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht gesetzlich anders verpflichtet.
(2) Weisungen werden durch diesen Vertrag festgelegt und können in Textform geändert werden.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er unverzüglich und darf die Durchführung bis zur Bestätigung aussetzen.
(1) Verpflichtung der befugten Personen zur Vertraulichkeit. (2) Umsetzung der TOMs nach Art. 32 DSGVO (Anlage 2). (3) Unterstützung bei Betroffenenrechten (Art. 12–23) und Pflichten aus Art. 32–36. (4) Unverzügliche Information bei Datenschutzverletzungen (Art. 33). (5) Datenschutzbeauftragter: nicht erforderlich. (6) Nachweise und Ermöglichung von Überprüfungen (siehe § 7).
Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen Maßnahmen um und hält das Schutzniveau während der Laufzeit aufrecht.
(1) Der Verantwortliche genehmigt allgemein die in Anlage 3 genannten Unterauftragsverarbeiter. (2) Über Änderungen wird informiert; Widerspruch aus wichtigem Grund innerhalb von zwei Wochen möglich. (3) Verpflichtung jedes Unterauftragsverarbeiters auf gleichwertige Pflichten (Art. 28 Abs. 4). (4) Bei Drittlandtransfer geeignete Garantien (Angemessenheitsbeschluss EU-US Data Privacy Framework, soweit zertifiziert, sonst EU-Standardvertragsklauseln, Art. 44 ff.).
Anfragen betroffener Personen werden unverzüglich an den Verantwortlichen weitergeleitet. Berichtigung, Löschung oder Sperrung nur auf dessen Weisung.
Nachweis der Einhaltung auf Anforderung (Zertifikate, Testate, TOM-Bericht). Der Verantwortliche kann sich – auch durch angekündigte Inspektionen – von der Einhaltung überzeugen.
Nach Auftragsende werden alle personenbezogenen Daten gelöscht oder nach Wahl des Verantwortlichen zurückgegeben, soweit keine Aufbewahrungspflicht besteht. Hochgeladene Import-Dateien werden nach dem Import gelöscht. Die Löschung wird auf Verlangen bestätigt.
Es gilt Art. 82 DSGVO sowie ergänzend der Hauptvertrag. In Datenschutzfragen geht dieser AVV vor. Änderungen in Textform; es gilt deutsches Recht.
Zweck: Bereitstellung der SaaS zum Aufgaben-, Workflow- und Risikomanagement einschließlich Verarbeitung der vom Verantwortlichen eingegebenen Daten. Betroffene: Beschäftigte, Mitglieder, Zuständige und Ansprechpartner des Verantwortlichen. Datenarten: Name, Kontaktdaten, Zuordnung zu Gruppen und Aufgaben, Zuständigkeits- und Erledigungsdaten (wer/was/wann). Dauer: Laufzeit des Hauptvertrags.
Vertraulichkeit: Hosting in zertifizierten EU-Rechenzentren (Supabase), individuelle Konten, sichere Passwörter, möglichst 2-Faktor-Authentifizierung, rollenbasierte Rechte, Mandantentrennung (Row Level Security).
Integrität: Verschlüsselung bei Übertragung (TLS) und Speicherung (at rest), Protokollierung relevanter Vorgänge.
Verfügbarkeit: regelmäßige Backups mit Wiederherstellungstests, Firewall und Monitoring.
Überprüfung: regelmäßige Kontrolle der Maßnahmen, Auftragskontrolle der Unterauftragsverarbeiter, Prozess zur Meldung von Datenschutzverletzungen.
• Supabase (Supabase Inc., USA / Supabase Pte. Ltd.) – Hosting, Datenbank, Authentifizierung, Speicher – EU-Region Frankfurt; bei USA-Bezug mit EU-Standardvertragsklauseln.
• Vercel (Vercel Inc., USA) – Website-/App-Hosting; bei USA-Bezug mit EU-Standardvertragsklauseln.
• Mailgun (Mailgun Technologies, Inc.) – Transaktions-/Benachrichtigungs-E-Mails – ggf. USA mit EU-Standardvertragsklauseln.
• Stripe Payments Europe, Ltd. – Zahlungsabwicklung – EU/Irland.