Auftragsverarbeitungsvertrag (AVV)

Präambel

Der Verantwortliche nutzt die Software „GateSign“ der Alpha Consult GmbH (nachfolgend „Auftragsverarbeiter“) zur Erfassung und Dokumentation von Check-ins am Empfang. Hierbei werden im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet. Die Parteien schließen diesen Auftragsverarbeitungsvertrag (AVV) zur Erfüllung der Anforderungen nach Art. 28 DSGVO.

§ 1 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Bereitstellung und der Betrieb der Check-in-Software GateSign zur Erfassung von Besucherinnen und Besuchern, Fahrerinnen und Fahrern sowie Dienstleisterinnen und Dienstleistern, einschließlich Dokumentation der Sicherheitsunterweisung und Speicherung der erhobenen Daten im Admin-Bereich des Verantwortlichen.

Die Vereinbarung wird auf unbestimmte Zeit geschlossen und endet mit Beendigung des zugrundeliegenden Hauptvertrages über die Nutzung von GateSign.

§ 2 Art, Umfang und Zweck der Verarbeitung

Die Verarbeitung dient der Erfassung, Speicherung, Anzeige und Bereitstellung von Check-in-Daten zur Sicherheits- und Zutrittsdokumentation des Verantwortlichen, insbesondere zur Erfüllung der Dokumentationspflicht nach § 12 ArbSchG sowie zur Wahrnehmung des berechtigten Interesses an der Kontrolle des Werks- und Betriebsgeländes (Art. 6 Abs. 1 lit. c und f DSGVO). Eine Verarbeitung außerhalb dieses Zwecks erfolgt nicht.

§ 3 Art der Daten und Kategorien betroffener Personen

Verarbeitet werden insbesondere folgende Datenkategorien (vgl. Anlage 3):

• Stammdaten (Vor- und Nachname, ggf. Firma/Spedition, ggf. Kontaktdaten)
• Fahrzeugdaten (Kennzeichen, Anhängerkennzeichen, Referenz-/Auftragsnummer)
• Bestätigungs- und Dokumentationsdaten (Unterschrift als Pixelbild, Zeitstempel, Sprache, Bestätigung der Sicherheitsbelehrung)
• Optionale Notizen, Ansprechpartner-Zuordnung, Ein- und Auschecks
• Technische Daten zur Sicherheit (IP-Adresse, Browser-/Geräte-Informationen, Logdaten)

Kategorien betroffener Personen: Besucherinnen und Besucher, Fahrerinnen und Fahrer, Dienstleisterinnen und Dienstleister sowie Mitarbeitende des Verantwortlichen (Empfangs- und Verwaltungspersonal).

§ 4 Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist im Sinne von Art. 4 Nr. 7 DSGVO allein verantwortlich für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen. Weisungen erfolgen grundsätzlich in Textform; mündliche Weisungen werden vom Auftragsverarbeiter unverzüglich in Textform bestätigt. Eine Liste weisungsberechtigter Personen wird beim Verantwortlichen geführt.

§ 5 Allgemeine Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere zu:

• Verarbeitung der Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen;
• schriftliche Information des Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt;
• Gestaltung der internen Organisation derart, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird;
• Umsetzung der in Anlage 1 vereinbarten technischen und organisatorischen Maßnahmen;
• Bereitstellung der zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung der Daten nur Beschäftigte und Subunternehmer ein, die auf die Vertraulichkeit verpflichtet wurden und mit den maßgeblichen Datenschutzbestimmungen vertraut sind. Die Verpflichtung wirkt auch nach Beendigung der Tätigkeit fort.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und gewährleistet ein dem Risiko angemessenes Schutzniveau. Änderungen sind möglich, sofern das Schutzniveau erhalten bleibt; wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

§ 8 Inanspruchnahme weiterer Auftragsverarbeiter (Subunternehmer)

Der Verantwortliche erteilt dem Auftragsverarbeiter mit Abschluss dieses AVV die allgemeine Genehmigung zur Inanspruchnahme der in Anlage 2 aufgeführten Subunternehmer. Der Auftragsverarbeiter wird den Verantwortlichen über beabsichtigte Änderungen der Liste informieren. Der Verantwortliche kann der Beauftragung neuer Subunternehmer innerhalb von 14 Tagen aus wichtigem Grund widersprechen.

Mit allen Subunternehmern werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Übermittlung in Drittländer werden geeignete Garantien (insbesondere Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO) sichergestellt.

§ 9 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte der betroffenen Personen (Art. 12 bis 22 DSGVO). Der Admin-Bereich enthält Funktionen zur Auskunft, Löschung und zum Export der erfassten Daten.

§ 10 Mitteilungspflichten bei Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthält die Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 11 Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei einer eventuell erforderlichen Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO und einer vorherigen Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO im erforderlichen Umfang.

§ 12 Weisungsrecht des Verantwortlichen

Der Verantwortliche ist im Rahmen der vertraglich vereinbarten Leistungen jederzeit berechtigt, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Weisungen können nach diesem AVV ergänzt, geändert oder ersetzt werden.

§ 13 Löschung und Rückgabe von Daten

Check-in-Daten werden für die Dauer von maximal 2 Jahren ab Erfassung gespeichert (vgl. Datenschutzerklärung § 7). Auf Verlangen des Verantwortlichen werden Daten früher gelöscht. Nach Beendigung des Hauptvertrages werden sämtliche im Auftrag verarbeiteten Daten innerhalb von 90 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Wunsch erfolgt zuvor eine Übergabe in einem gängigen, maschinenlesbaren Format (CSV/JSON).

§ 14 Kontrollrechte des Verantwortlichen

Der Verantwortliche überzeugt sich vor Aufnahme der Datenverarbeitung und sodann regelmäßig von der Einhaltung der technischen und organisatorischen Maßnahmen. Der Auftragsverarbeiter stellt hierzu auf Anfrage geeignete Nachweise zur Verfügung. Vor-Ort-Kontrollen sind nach vorheriger Abstimmung zu üblichen Geschäftszeiten möglich.

§ 15 Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die durch ihr Verschulden entstanden sind, im Umfang ihres Verursachungs- und Verschuldensanteils.

§ 16 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht; ausschließlicher Gerichtsstand ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters.