Auftragsverarbeitung (AVV)

Für die Anonymisierung selbst in der Regel nicht. Maskora läuft in Ihrer eigenen Umgebung (on-premise). Die Software verbindet sich mit Ihren Datenbanken, arbeitet dort und schreibt das Ergebnis dorthin, wo Sie es konfigurieren. Wir erhalten dabei keinen Zugriff auf Ihre personenbezogenen Daten und verarbeiten diese nicht in Ihrem Auftrag.

Für das Kundenportal kann ein AVV erforderlich sein. Dort verarbeiten wir Daten, die Sie uns übermitteln – etwa Angaben zu Ihrer Lizenz, die Kennungen der aktivierten Systeme oder hochgeladene Datenbankschemata. Schemadaten bestehen aus Tabellen- und Spaltennamen und enthalten keine Inhaltsdaten; ob sie in Ihrem Fall personenbezogen sind, klären wir gern gemeinsam.

Für den KI-gestützten Konfigurationsvorschlag gilt: übermittelt wird ausschließlich das Datenbankschema, und zwar an den KI-Anbieter, den Sie konfigurieren. Dieses Verhältnis besteht zwischen Ihnen und dem Anbieter.

(1) Dieser Vertrag konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die die Explicatis GmbH (nachfolgend „Auftragsverarbeiter") im Auftrag des Kunden (nachfolgend „Verantwortlicher") im Rahmen des Kundenportals durchführt.

(2) Der Vertrag gilt für die Laufzeit des zugrunde liegenden Hauptvertrages über die Nutzung von Maskora und endet mit ihm. Er kann unabhängig davon jederzeit vom Verantwortlichen gekündigt werden, wenn dieser das Kundenportal nicht mehr nutzt.

(3) Bei Widersprüchen gehen die Regelungen dieses Vertrages den Allgemeinen Geschäftsbedingungen vor.

(4) Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich.

(1) Zweck: Bereitstellung des Kundenportals, also Verwaltung von Lizenzen und Aktivierungen, Verwaltung hochgeladener Datenbankschemata, Erzeugung von Konfigurationsvorschlägen und Nachvollziehbarkeit der Vorgänge.

(2) Art der Verarbeitung: Erheben, Speichern, Anzeigen, Auswerten, Übermitteln an vom Verantwortlichen bestimmte Empfänger und Löschen – in automatisierter Form innerhalb der vom Auftragsverarbeiter betriebenen Systeme.

(3) Kategorien betroffener Personen: Beschäftigte und Beauftragte des Verantwortlichen, die das Kundenportal nutzen oder Maskora betreiben, sowie seine Ansprechpartner für Lizenz- und Vertragsfragen.

(4) Kategorien personenbezogener Daten:

• Portalkonten: E-Mail-Adresse, Kennung beim Identitätsdienst, zugewiesene Rolle, Zeitpunkt der Verknüpfung.
• Lizenz- und Aktivierungsdaten: Kennungen der aktivierten Systeme – Plattform-, Datenträger- und Prozessorkennung, MAC-Adresse, Betriebssystem und Hostname – sowie deren Prüfsumme, Status, Aktivierungszeitpunkt und letzter Kontakt. Hostnamen können einen Personenbezug tragen, etwa bei personengebundenen Arbeitsplätzen.
• Datenbankschemata: Datenbankname, Bezeichnung, Datenbanksystem, Tabellen- und Spaltennamen sowie die Angabe, wer den Upload ausgelöst hat. Inhaltsdaten werden nicht übermittelt; Spaltennamen können jedoch aussagekräftig sein (etwa gehalt oder diagnose) und werden deshalb wie vertrauliche Daten behandelt.
• Konfigurationsvorschläge: Modus, Status, verwendetes Modell, Verbrauchskennzahlen, das erzeugte Konfigurationsdokument und die Angabe, wer den Vorschlag angefordert hat.
• Protokolldaten: Handelnde Kennung, Vorgang, betroffener Datensatz und Zeitpunkt sowie technische Server-Logfiles.
• Kontakt- und Lizenzanfragen: Name, E-Mail-Adresse, optional Telefonnummer, Anliegen, Nachricht und die absendende IP-Adresse.

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages. Der Verantwortliche übermittelt sie nicht an das Kundenportal.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrages und nach den Weisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

(2) Weisungen erfolgen in Textform. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

(4) Die Parteien benennen einander Ansprechpartner für Weisungen und für Fragen des Datenschutzes.

Der Auftragsverarbeiter

• verarbeitet die Daten nur auf dokumentierte Weisung, auch hinsichtlich einer Übermittlung in ein Drittland (Art. 28 Abs. 3 lit. a DSGVO);
• verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO);
• ergreift die Maßnahmen nach Art. 32 DSGVO (§ 6 dieses Vertrages);
• hält die Bedingungen für die Hinzuziehung weiterer Auftragsverarbeiter ein (§ 7 dieses Vertrages);
• unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (§ 8) und bei der Einhaltung der Art. 32 bis 36 DSGVO (§ 9);
• löscht oder gibt die Daten nach Beendigung zurück (§ 11);
• stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (§ 10);
• hat einen Datenschutzbeauftragten bestellt und benennt ihn dem Verantwortlichen; die Angaben stehen in der Datenschutzerklärung;
• führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzbestimmungen unterrichtet worden sind. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(2) Der Kreis der Zugriffsberechtigten wird auf die Personen beschränkt, die den Zugriff zur Erfüllung ihrer Aufgaben benötigen. Zugriffsrechte werden bei Wegfall der Erforderlichkeit entzogen und regelmäßig überprüft.

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Er betreibt ein Informationssicherheits-Managementsystem nach ISO/IEC 27001. Der jeweils aktuelle Maßnahmenkatalog wird auf Anfrage als Anlage zu diesem Vertrag zur Verfügung gestellt und umfasst insbesondere:

• Vertraulichkeit: Zutritts- und Zugangskontrolle zu den Verarbeitungssystemen, Anmeldung über einen eigenen Identitätsdienst, rollenbasierte Berechtigungen, mandantenweise Trennung der Daten auf Abfrageebene.
• Integrität: Transportverschlüsselung nach dem Stand der Technik, Protokollierung der Vorgänge in einem Audit-Log, kryptografische Signatur der ausgegebenen Lizenzen.
• Verfügbarkeit und Belastbarkeit: regelmäßige Sicherungen, Wiederherstellungsverfahren, Überwachung des Betriebs, Trennung von Test- und Produktionsumgebung.
• Verfahren zur Überprüfung: Aktualisierung der eingesetzten Komponenten, Prüfung von Änderungen vor der Übernahme in den Betrieb, regelmäßige Bewertung der Wirksamkeit der Maßnahmen.

(2) Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

(1) Der Verantwortliche stimmt der Hinzuziehung weiterer Auftragsverarbeiter allgemein zu. Sie erfolgt nur auf Grundlage eines Vertrages, der die Pflichten dieses Vertrages entsprechend auferlegt.

(2) Eingesetzt werden derzeit Dienstleister aus den Bereichen Rechenzentrums- und Plattformbetrieb, Betrieb der Datenbank und des Identitätsdienstes sowie Versand von Benachrichtigungs-E-Mails. Die namentliche und jeweils aktuelle Liste wird auf Anfrage zur Verfügung gestellt und ist Anlage zu diesem Vertrag.

(3) Einen Wechsel oder die Hinzuziehung eines weiteren Auftragsverarbeiters teilt der Auftragsverarbeiter mindestens vier Wochen vorher mit. Der Verantwortliche kann innerhalb von zwei Wochen aus einem datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann er den Vertrag kündigen.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter in Anspruch nimmt, ohne dass ein Zugriff auf die Auftragsdaten erforderlich ist. Er stellt auch dort den Schutz der Daten sicher.

(5) Der vom Verantwortlichen selbst konfigurierte KI-Anbieter ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Das Verhältnis zu diesem Anbieter besteht zwischen dem Verantwortlichen und dem Anbieter.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch, soweit dies ohne den Verantwortlichen nicht möglich ist.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

(3) Berichtigungen, Löschungen und Einschränkungen nimmt der Auftragsverarbeiter nur auf Weisung des Verantwortlichen vor.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

(2) Die Meldung enthält, soweit bekannt, eine Beschreibung des Vorfalls, die betroffenen Datenkategorien und den ungefähren Umfang, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen. Fehlende Angaben werden nachgereicht.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Meldungen nach Art. 33, 34 DSGVO und bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

(4) Meldungen an eine Aufsichtsbehörde oder an betroffene Personen nimmt der Verantwortliche vor.

(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrages auf Anfrage nach, in erster Linie durch Auskünfte, den Maßnahmenkatalog nach § 6 und vorhandene Zertifikate oder Prüfberichte.

(2) Genügt das nicht, kann der Verantwortliche eine Überprüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen – nach Ankündigung mit angemessener Frist, zu den Geschäftszeiten und ohne Störung des Betriebsablaufs, in der Regel einmal je Kalenderjahr.

(3) Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein. Für den Aufwand einer Überprüfung, die über Absatz 1 hinausgeht, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

(1) Hochgeladene Datenbankschemata erhalten bereits beim Upload ein Löschdatum. Es ergibt sich aus der für den Verantwortlichen vereinbarten Aufbewahrungsdauer; ist keine vereinbart, gilt die Voreinstellung des Portals. Nach Ablauf werden sie samt der daraus erzeugten Konfigurationsvorschläge gelöscht.

(2) Der Verantwortliche kann Schemata und Vorschläge jederzeit selbst löschen und die Aufbewahrungsdauer für seinen Mandanten anpassen lassen.

(3) Nach Beendigung dieses Vertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Ein Export wird für 30 Tage nach Vertragsende bereitgehalten.

(4) Von der Löschung ausgenommen sind Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist, sowie Protokolldaten, soweit sie zum Nachweis eines ordnungsgemäßen Betriebs oder zur Aufklärung eines Sicherheitsvorfalls erforderlich sind. Sie werden gesperrt und nach Ablauf der Aufbewahrungspflicht gelöscht.

(5) Sicherungskopien werden mit dem Ablauf ihres Sicherungszyklus gelöscht. Die Löschung wird auf Anfrage bestätigt.

(1) Die Verarbeitung findet ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt.

(2) Eine Verlagerung in ein Drittland erfolgt nur auf Weisung des Verantwortlichen und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

(1) Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrages.

(2) Änderungen dieses Vertrages bedürfen der Textform. Wird eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

(3) Es gilt deutsches Recht. Gerichtsstand ist Köln, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.