Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

Verantwortlicher (nachfolgend „Kunde"): das den Avyronis-Zugang nutzende Unternehmen gemäß den Registrierungs-/Bestelldaten.

Auftragsverarbeiter (nachfolgend „Auftragnehmer"):
Arnold Digital Solutions UG (haftungsbeschränkt) i. Gr.
Reichenbucherstraße 31, 74862 Binau, Deutschland
Vertreten durch: Thomas Arnold · E-Mail: support@avyronis.de

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Kunden im Rahmen der Bereitstellung und Nutzung der Avyronis-Plattform (HSEQ-Software als SaaS), einschließlich einer etwaigen Testphase (Demo). Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungs-/Demovertrags; dieser AVV endet mit dessen Beendigung.

§ 2 Art, Umfang und Zweck der Verarbeitung

Zweck: Bereitstellung der Plattformfunktionen (u. a. Gefährdungsbeurteilungen, Betriebsanweisungen, Unterweisungen, Qualifikations- und Maßnahmenverwaltung), Authentifizierung, Mandantentrennung, Support und Sicherheit.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an Unterauftragsverarbeiter, Löschen.

Kategorien betroffener Personen: Beschäftigte des Kunden, ggf. Fremdfirmen-/Kontaktpersonen, Nutzer der Plattform.

Kategorien personenbezogener Daten: Stammdaten (Name, Funktion, Abteilung, Standort), Kontakt- und Kontodaten, Rollen-/Zugangsdaten, arbeitsschutzbezogene Inhaltsdaten (z. B. Unterweisungs-, Qualifikations- und Maßnahmenstände), Protokoll- und Nutzungsdaten. Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand; medizinische Befunde werden nicht verarbeitet (bei der Vorsorge nur Tatsache und Fristen).

§ 3 Pflichten des Auftragnehmers

1. Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden, sofern nicht gesetzlich anders verpflichtet.
2. Vertraulichkeit: zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.
3. Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1).
4. Unterstützung des Kunden bei der Beantwortung von Betroffenenanfragen (Art. 12–23) sowie bei Pflichten nach Art. 32–36 DSGVO, soweit möglich und angemessen.
5. Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Kunden.
6. Nach Wahl des Kunden Löschung oder Rückgabe der Daten nach Beendigung (siehe § 8).
7. Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen und Ermöglichung von Überprüfungen (siehe § 7).

§ 4 Technisch-organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen und hält sie auf dem Stand der Technik.

§ 5 Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert über beabsichtigte Änderungen; der Kunde kann berechtigt widersprechen. Mit jedem Unterauftragsverarbeiter werden die datenschutzrechtlichen Pflichten vertraglich abgesichert. Bei Übermittlungen in Drittländer werden geeignete Garantien (insb. EU-Standardvertragsklauseln) verwendet.

§ 6 Betroffenenrechte

Der Auftragnehmer unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten. Anfragen betroffener Personen, die beim Auftragnehmer eingehen, werden an den Kunden weitergeleitet.

§ 7 Kontrollrechte

Der Kunde ist berechtigt, die Einhaltung dieses Vertrags in angemessenem Umfang zu überprüfen bzw. durch beauftragte Dritte überprüfen zu lassen. Der Auftragnehmer kann den Nachweis vorrangig durch geeignete Dokumentation (z. B. TOM-Beschreibung, Zertifikate/Berichte der Unterauftragsverarbeiter) erbringen.

§ 8 Löschung und Rückgabe

Nach Beendigung des Vertrags werden die personenbezogenen Daten nach Wahl des Kunden gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht. In der Demo werden die Mandantendaten nach Ablauf des Testzeitraums entsprechend behandelt; eine etwaige Übernahme in die Vollversion erfolgt nur auf Wunsch des Kunden.

§ 9 Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Änderungen bedürfen der Textform.

Anlage 1 – Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Hosting in Deutschland (STRATO AG); getrennte Umgebungen für Betrieb und Test.
• Transportverschlüsselung (TLS) für alle Verbindungen.
• Zugriffs- und Rollenkonzept: rollenbasierte Berechtigungen, Authentifizierung, individuelle Nutzerkonten.
• Mandantentrennung: strikte logische Trennung der Kundendaten.
• Protokollierung: Audit-Log sicherheitsrelevanter und fachlicher Vorgänge (Nachweisführung).
• Datensicherung: regelmäßige Backups; revisionssichere Archivierung kritischer Datensätze vor Löschung.
• Datenminimierung/Zweckbindung; Trennung von Vorsorge-Fristen und medizinischen Befunden (letztere nicht verarbeitet).

Hinweis: Eine Verschlüsselung „at rest" wird derzeit geprüft/ausgebaut.

Anlage 2 – Genehmigte Unterauftragsverarbeiter