Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Gegenstand

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch Florian Beck, VergabeScan, Gewerbegebiet Immenthal 7, 87634 Günzach („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") im Rahmen der Nutzung des Dienstes VergabeScan. Sie wird mit Vertragsschluss über den Dienst wirksam und gilt für dessen Laufzeit.

2. Art, Umfang und Zweck der Verarbeitung

Verarbeitet werden im Auftrag des Kunden insbesondere:

• Kontaktdaten von Nutzern des Kunden-Accounts (E-Mail-Adressen, z.B. Team-E-Mails) – Zweck: Login, Benachrichtigungen
• Suchprofil- und Firmendaten (Keywords, Regionen, Firmenprofil inkl. ggf. enthaltener Ansprechpartner- oder Referenzangaben) – Zweck: Relevanzbewertung und Eignungsprüfung
• Vom Kunden hochgeladene Vergabeunterlagen – Zweck: einmalige KI-Analyse; die Dateien werden ausschließlich im Arbeitsspeicher verarbeitet und nach der Auswertung sofort verworfen, gespeichert wird nur das Analyse-Ergebnis

Kategorien betroffener Personen: Mitarbeiter und Ansprechpartner des Kunden sowie in hochgeladenen Unterlagen genannte Personen.

3. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden (die Nutzung der Dienstfunktionen gilt als Weisung). Dies umfasst auch Übermittlungen personenbezogener Daten in ein Drittland oder an internationale Organisationen, sofern diese auf Weisung des Kunden erfolgen. Der Auftragsverarbeiter informiert den Kunden unverzüglich, wenn er eine Weisung für rechtswidrig hält.
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Ziffer 5)
• Unterstützung des Kunden bei Betroffenenrechten (Art. 12–23 DSGVO) und bei Pflichten nach Art. 32–36 DSGVO
• Unverzügliche Information bei Verletzungen des Schutzes personenbezogener Daten
• Löschung oder Rückgabe aller Daten nach Vertragsende (spätestens 30 Tage), soweit keine gesetzliche Aufbewahrungspflicht besteht
• Nachweis der Einhaltung dieser Pflichten auf Anfrage; Ermöglichung von Überprüfungen in angemessenem Umfang

4. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Der Auftragsverarbeiter verpflichtet alle Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten gemäß diesem AVV. Der Auftragsverarbeiter haftet für die Einhaltung der Datenschutzverpflichtungen durch seine Unterauftragsverarbeiter.

Änderungen werden dem Kunden vorab mitgeteilt; er kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei Widerspruch steht beiden Parteien ein Sonderkündigungsrecht zu.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) aller Verbindungen
• Verschlüsselte Speicherung der Datenbank, Zugriff nur über authentifizierte Verbindungen
• Zugriffskontrolle: passwortloser Magic-Link-Login, Session-Verwaltung, Berechtigungsprüfung je Anfrage
• Keine dauerhafte Speicherung hochgeladener Dokumente (Verarbeitung nur im Arbeitsspeicher)
• Trennungskontrolle: mandantenbezogene Datenhaltung je Kunden-Account
• Regelmäßige Sicherheitsupdates der eingesetzten Komponenten

6. Prüfungen und Audits

Der Verantwortliche kann die Einhaltung dieses AVV durch den Auftragsverarbeiter überprüfen lassen. Prüfungen erfolgen nach vorheriger Ankündigung (mindestens 14 Tage) und in angemessenem Umfang. Auf Anfrage stellt der Auftragsverarbeiter Nachweise durch Zertifikate (z.B. ISO 27001) oder Reports (z.B. SOC 2) zur Verfügung. Vor-Ort-Prüfungen sind nur bei berechtigtem Anlass zulässig. Die Kosten für übermäßige oder wiederholte Prüfungen trägt der Verantwortliche.

7. Schlussbestimmungen

Es gilt deutsches Recht. Im Übrigen gelten die AGB. Bei Widersprüchen zwischen AVV und AGB geht in datenschutzrechtlichen Fragen dieser AVV vor.