Auftragsverarbeitungsvertrag (AVV / DPA)

Dieser Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird zwischen dem Kunden als Verantwortlichem („Verantwortlicher“) und der Bauer365 GmbH, Im Grund 4, 74199 Untergruppenbach, als Auftragsverarbeiter („Auftragsverarbeiter“) geschlossen. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Plattform Vendo4u und gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt. Bei Widersprüchen zum Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der vertraglich vereinbarten Leistungen der Plattform (Lieferantenprofile, Verzeichnis, Kundenbewertungen, Nachweisdokumente, Monitoring). Die Dauer entspricht der Laufzeit des Hauptvertrags; sie endet mit dessen Beendigung und der anschließenden Löschung bzw. Rückgabe der Daten (Ziffer 9).

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln an berechtigte Kunden, Exportieren und Löschen. Zweck: Bereitstellung und Betrieb der Plattform gemäß Hauptvertrag – ausschließlich nach dokumentierter Weisung des Verantwortlichen und nicht zu eigenen Zwecken des Auftragsverarbeiters.

• Kontakt- und Kontodaten (Name, E-Mail, Telefon, Rolle) • Unternehmens-/Stammdaten (Firmenname, Rechtsform, Anschrift, USt-IdNr.) • Von Nutzern hinterlegte Compliance-/Bewertungsangaben und Nachweisdokumente • Nutzungs- und Protokolldaten (z. B. Anmeldungen, Profilaufrufe) • Abrechnungsbezogene Daten, soweit zutreffend

• Mitarbeitende und Ansprechpartner des Verantwortlichen (Nutzerkonten) • Ansprechpartner der im Profil hinterlegten Unternehmen • Weitere natürliche Personen, deren Daten in hochgeladenen Nachweisdokumenten enthalten sind

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen und informiert diesen, wenn er eine Weisung für rechtswidrig hält. Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).

Der Auftragsverarbeiter unterhält geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO – unter anderem rollenbasierte Zugriffskontrolle und Mandantentrennung, Passwort-Hashing (bcrypt), Zwei-Faktor-Authentifizierung (TOTP) und Passkeys (WebAuthn), Verschlüsselung sicherheitsrelevanter Geheimnisse (AES-256-GCM), Begrenzung der Anfragerate auf Anmelde- und Registrierungsfunktionen, Protokollierung administrativer Aktionen sowie transportverschlüsselte Übertragung (TLS).

Eine detaillierte, jeweils aktuelle Beschreibung der Maßnahmen stellt der Auftragsverarbeiter auf Anfrage unter info@bauer365.de in Textform zur Verfügung.

Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu. Der Auftragsverarbeiter schließt mit ihnen Verträge nach Art. 28 DSGVO und informiert den Verantwortlichen rechtzeitig über beabsichtigte Änderungen, sodass ein Widerspruch möglich ist.

Unterauftragsverarbeiter – Zweck – Ort/Region: • dogado GmbH, Antonio-Segni-Straße 11, 44263 Dortmund – Hosting und Serverbetrieb – Deutschland • Datenbank und Objektspeicher für Nachweisdokumente betreibt der Auftragsverarbeiter selbst auf der vorgenannten Infrastruktur; ein weiterer Unterauftragsverarbeiter besteht insoweit nicht. • Stripe Payments Europe, Ltd., Irland – Zahlungsabwicklung – derzeit nicht eingesetzt; die Einbindung erfolgt erst mit Freischaltung kostenpflichtiger Tarife. • Ein externer Dienstleister für den Versand von System-E-Mails wird derzeit nicht eingesetzt. Eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU bzw. des EWR findet nicht statt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32–36). Eine Verletzung des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich nach Bekanntwerden.

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann Auskunft und Löschung zudem jederzeit über die Selbstservice-Funktionen der Plattform (Datenexport / Konto löschen) anstoßen.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer – in angemessenem Umfang und mit angemessener Vorankündigung.

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam; die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.