Auftragsverarbeitungsvertrag (AVV)

Dieser AVV ergänzt den angenommenen Workspace-Vertrag zwischen dem professionellen Workspace-Kunden und der Brockhaus Ventures UG (haftungsbeschränkt) i. G. als Betreiberin des Produkts NOCTRA Intelligence. Er gilt nur, soweit NOCTRA personenbezogene Daten im Auftrag des Kunden im Sinne von Art. 28 DSGVO verarbeitet.

Der Kunde ist Verantwortlicher, soweit er Zwecke und Mittel der erfassten Verarbeitung bestimmt; NOCTRA ist nur für die in Anhang 1 aufgeführten Tätigkeiten Auftragsverarbeiter. Gemischte Zahlungs-, Rechtsbefolgungs-, öffentliche Website-, Sicherheits- und eigenständige Geschäftstätigkeiten bleiben außerhalb dieses Kundenverarbeitungsanhangs und folgen ihrer jeweils anwendbaren Rolle und Rechtsgrundlage.

NOCTRA verarbeitet erfasste personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung, insbesondere nach Bestellung, diesem AVV, autorisierter Workspace-Konfiguration und dokumentierten Supportanfragen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung verlangt. Soweit gesetzlich zulässig, informiert NOCTRA den Kunden vor der Verarbeitung über eine solche Pflicht.

Hält NOCTRA eine Weisung für datenschutzrechtswidrig, informiert NOCTRA den Kunden und darf die betroffene Weisung bis zur Klärung aussetzen.

Der Kunde ist für die Rechtmäßigkeit seiner Weisungen, die Rechtsgrundlage der kundenseitig verantworteten Verarbeitung, erforderliche Informationspflichten, Entscheidungen des Verantwortlichen über Betroffenenanträge, angemessene Workspace-Rollen und -Berechtigungen sowie die Vermeidung für den angewiesenen Zweck unnötiger personenbezogener Daten verantwortlich. Der Kunde muss Kampagnen- und Kontaktfunktionen rechtmäßig nutzen und darf diesen AVV nicht als Rechtsgrundlage für Ansprachen behandeln.

Die NOCTRA Plattform ist nicht für die routinemäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt, sofern die Parteien Zweck, Weisungen und Schutzmaßnahmen nicht ausdrücklich vereinbaren. Der Kunde muss unnötige sensible Informationen in Freitextfeldern vermeiden. Weist der Kunde eine solche Verarbeitung bewusst an, ist er für eine anwendbare Rechtsgrundlage und erforderliche Schutzmaßnahmen verantwortlich. Diese Bestimmung behauptet nicht, dass die Plattform solche Eingaben technisch sperrt.

NOCTRA stellt sicher, dass zur Verarbeitung der erfassten Daten befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten, des Umfangs und des Risikos unterhält NOCTRA die in Anhang 2 beschriebenen, im Repository nachgewiesenen Maßnahmen und überprüft sie bei Änderungen des Dienstes.

Der Kunde erteilt NOCTRA die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter für die erfasste Verarbeitung einzusetzen. NOCTRA beauftragt einen Unterauftragsverarbeiter auf Grundlage einer schriftlichen Vereinbarung, die für die betreffende Verarbeitung die nach Art. 28 DSGVO erforderlichen Datenschutzpflichten auferlegt, und bleibt im gesetzlich erforderlichen Umfang für dessen Erfüllung verantwortlich. Die kanonische aktuelle Offenlegung wird auf der öffentlichen Seite Unterauftragnehmer geführt.

Vor der Ergänzung oder Ersetzung eines Unterauftragsverarbeiters für personenbezogene Kundendaten informiert NOCTRA den maßgeblichen Vertrags- oder Abrechnungskontakt oder nutzt einen bezeichneten Plattform-Mitteilungskanal mit einem, soweit praktikabel, ausreichenden Vorlauf für einen Widerspruch des Kunden aus objektiv gerechtfertigten Datenschutzgründen, die sich auf die vorgesehene Verarbeitung beziehen. Die Parteien bemühen sich, soweit praktikabel, zunächst um eine angemessene Lösung. Dringende Sicherheits-, Rechts- oder Anbieterumstände können einen kürzeren Vorlauf erfordern. Diese Bestimmung begründet keine automatische Vertragsstrafe oder Sperrung.

Unter Berücksichtigung der Art der Verarbeitung unterstützt NOCTRA den Kunden nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei Anträgen zur Ausübung von Betroffenenrechten. NOCTRA leitet Anfragen zu kundenseitig verantworteten Daten weiter und beantwortet sie nicht im Namen des Kunden, sofern keine Weisung oder gesetzliche Pflicht besteht.

Unter Berücksichtigung der verfügbaren Informationen und der Art der Verarbeitung unterstützt NOCTRA den Kunden bei anwendbaren Sicherheitspflichten, Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorheriger Konsultation. NOCTRA informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung, die erfasste Kundendaten betrifft, und stellt verfügbare relevante Informationen erforderlichenfalls schrittweise bereit.

Nach Beendigung des Plattformvertrags darf der Kunde je nach Anwendbarkeit Rückgabe über einen verfügbaren Export und/oder Löschung verlangen. NOCTRA löscht die erfassten personenbezogenen Kundendaten nach dokumentierter Weisung des Kunden oder gibt sie zurück und löscht bestehende aktive Kopien, sofern anwendbares Recht keine Speicherung verlangt. Der Zeitpunkt richtet sich nach dem technisch verfügbaren Verfahren und der Art der angewiesenen Daten; ein einheitlicher nachvertraglicher Zugangszeitraum wird nicht zugesagt.

Gesetzlich erforderliche Finanz-, Steuer-, Erstattungs-, Korrektur-, Sicherheits-, Vertrags-, Audit- oder Streitnachweise dürfen außerhalb der aktiven Verarbeitung aufbewahrt werden. Aufbewahrte Daten sind auf den anwendbaren Aufbewahrungs- oder Rechtszweck beschränkt und dürfen nicht zu gewöhnlichen aktiven Produktdaten werden. Jede Nachweiskategorie folgt ihrer anwendbaren gesetzlichen Rolle und Aufbewahrungspflicht; es gilt keine einheitliche Frist für sämtliche Kategorien.

Die Löschung aus Sicherungs- oder beim Anbieter gehaltenen Kopien folgt dem technisch anwendbaren Löschverfahren; eine einheitliche Frist für die Löschung von Sicherungskopien wird nicht zugesagt. Daten, die auf Löschung warten, bleiben geschützt und werden nicht wieder der gewöhnlichen aktiven Nutzung zugeführt, soweit dies nicht für Wiederherstellung, Sicherheit oder rechtliche Pflichten erforderlich ist.

NOCTRA stellt zunächst vorhandene Compliance- und Sicherheitsdokumentation bereit, die vernünftigerweise zum Nachweis der Auftragsverarbeiterpflichten nach Art. 28 erforderlich ist. Reichen diese Nachweise nicht aus, darf der Kunde selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer grundsätzlich höchstens einmal innerhalb von zwölf Monaten eine Überprüfung durchführen. Diese Häufigkeitsgrenze gilt nicht nach einem einschlägigen Vorfall, auf Verlangen einer zuständigen Behörde oder bei glaubhaften Anhaltspunkten für einen wesentlichen Verstoß.

Überprüfungen bedürfen eines angemessenen Vorlaufs, finden zu üblichen Geschäftszeiten statt, müssen im Umfang verhältnismäßig bleiben und dürfen weder Zugang zu Daten anderer Kunden gewähren noch die Sicherheit beeinträchtigen. Der Kunde trägt seine eigenen Prüfungskosten. Außergewöhnliche, nachweisbare Kosten von NOCTRA, die durch eine Kundenprüfung verursacht werden, dürfen dem Kunden im rechtlich zulässigen Umfang zugewiesen werden, sofern die Prüfung keinen wesentlichen Verstoß von NOCTRA feststellt. Gesetzliche Aufsichts- und Behördenrechte bleiben unberührt.

NOCTRA macht erfasste Kundendaten in einem Drittland nur auf dokumentierte Weisung und auf Grundlage der nach anwendbarem Recht erforderlichen Übermittlungsgrundlage und Garantien zugänglich. Anbieterunternehmen, Verarbeitungsregionen und Übermittlungsmechanismen werden erst nach Prüfung in der öffentlichen Unterauftragnehmeroffenlegung und den anwendbaren Anbieterverträgen angegeben.

Die Haftung nach diesem AVV folgt dem Haftungsrahmen des wirksamen Plattformvertrags und zwingendem Datenschutzrecht. Für erfasste Auftragsverarbeiterpflichten geht der abgeschlossene AVV widersprechenden Plattformbedingungen vor; die Bestellung geht nur vor, soweit sie die betreffende Bestimmung ausdrücklich und wirksam ändert.