Auftragsverarbeitungsvertrag

Dieser Vertrag regelt die Verarbeitung von Bewerberdaten im Recruiting-Modul. Das Kundenunternehmen ist Verantwortlicher, die scaleyo HR GmbH ist Auftragsverarbeiter. Für die Academy-Funktionen — Konten, Kurse, Community, KI-Assistent — ist Scaleyo dagegen selbst Verantwortlicher; dafür gilt nicht dieser Vertrag, sondern die Datenschutzerklärung.

Diese Vereinbarung wird unter Beachtung der Datenschutz-Grundverordnung, des Bundesdatenschutzgesetzes und aller sonstigen einschlägigen datenschutzrechtlichen Vorschriften in ihrer jeweils aktuellen Fassung geschlossen.

(1) Der Auftragnehmer dokumentiert die Umsetzung der erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung und übergibt sie dem Auftraggeber zur Prüfung. Bei Akzeptanz werden die dokumentierten Maßnahmen Grundlage des Auftrags. Ergibt eine Prüfung oder ein Audit Anpassungsbedarf, ist dieser einvernehmlich umzusetzen.

(2) Der Auftragnehmer stellt die Sicherheit nach Art. 28 Abs. 3 lit. c und Art. 32 DSGVO in Verbindung mit Art. 5 Abs. 1 und 2 DSGVO her. Maßgeblich sind der Stand der Technik, die Implementierungskosten, Art, Umfang und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. Die Einzelheiten stehen in Anlage 1 — Technische und organisatorische Maßnahmen.

(3) Die Maßnahmen unterliegen dem technischen Fortschritt. Dem Auftragnehmer ist es gestattet, alternative adäquate Maßnahmen umzusetzen; das Sicherheitsniveau der festgelegten Maßnahmen darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

(1) Der Auftragnehmer berichtigt, löscht oder beschränkt die Verarbeitung der Auftragsdaten nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Ersuchen unverzüglich an den Auftraggeber weiter.

(2) Soweit vom Leistungsumfang umfasst, stellt der Auftragnehmer Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung unmittelbar sicher.

(3) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei Anfragen und Ansprüchen betroffener Personen nach Kapitel III DSGVO sowie bei den Pflichten der Art. 32 bis 36 DSGVO.

(4) Für die Beurteilung der Zulässigkeit der Verarbeitung nach Art. 6 Abs. 1 DSGVO und für die Wahrung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich. Ohne Einzelweisung tritt der Auftragnehmer nicht mit der betroffenen Person in Kontakt.

Der Auftragnehmer hat neben dieser Vereinbarung die gesetzlichen Pflichten nach Art. 28 bis 33 DSGVO. Er gewährleistet insbesondere:

• Wahrung der Vertraulichkeit nach Art. 28 Abs. 3 S. 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO. Eingesetzt werden nur Beschäftigte, die auf die Vertraulichkeit verpflichtet und mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden.
• Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen nach Art. 28 Abs. 3 S. 2 lit. c, Art. 32 DSGVO (Anlage 1).
• Zusammenarbeit mit der Aufsichtsbehörde auf Anfrage.
• Unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie diesen Auftrag betreffen — auch bei Ermittlungen im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens.
• Unterstützung nach besten Kräften, wenn der Auftraggeber einer behördlichen Kontrolle, einem Verfahren oder einem Haftungsanspruch im Zusammenhang mit dieser Auftragsverarbeitung ausgesetzt ist.
• Regelmäßige Kontrolle der internen Prozesse und der technischen und organisatorischen Maßnahmen.
• Nachweisbarkeit der getroffenen Maßnahmen gegenüber dem Auftraggeber im Rahmen der Kontrollbefugnisse nach Ziffer 7.
• Angemessene Maßnahmen nach Weisung des Auftraggebers, um weitere unrechtmäßige Kenntnisnahmen durch Dritte auszuschließen; bis zu einer Weisung ergreift der Auftragnehmer alle zur Datensicherung und Schadensminimierung erforderlichen Maßnahmen.
• Unterstützung des Auftraggebers bei Sicherheit, Meldepflichten bei Datenpannen, Informationspflichten, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen.

(1) Unterauftragsverhältnisse sind Dienstleistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nebenleistungen wie Telekommunikations-, Post- und Transportdienstleistungen oder die Entsorgung von Datenträgern zählen nicht dazu; auch für sie trifft der Auftragnehmer jedoch angemessene vertragliche Vereinbarungen und Kontrollmaßnahmen.

(2) Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu, unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO:

zu ergänzen: Der Anwalt führt netcup UND Hetzner. Im Repo ist nur netcup belegt, Hetzner kommt nirgends vor. Welcher Anbieter betreibt die Produktivmaschine tatsächlich — und liegt daneben noch etwas bei einem zweiten?

zu ergänzen: Greenstein Designagentur betreibt Server, Coolify und den Mailversand (linuxsrv01.grnstn.de) mit Administrationszugriff. AVV zwischen scaleyo HR GmbH und Greenstein vorhanden? Ohne ihn fehlt die Grundlage für den wichtigsten Unterauftragnehmer.

Die Auslagerung auf weitere oder der Wechsel bestehender Unterauftragnehmer ist zulässig, soweit

• der Auftragnehmer sie dem Auftraggeber mindestens zwei Wochen vorher schriftlich oder in Textform anzeigt,
• der Auftraggeber bis zum Zeitpunkt der Übergabe der Daten keinen Einspruch in Schrift- oder Textform erhebt, und
• eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO zugrunde gelegt wird.

(3) Die Weitergabe personenbezogener Daten an einen Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst zulässig, wenn alle Voraussetzungen der Unterbeauftragung vorliegen.

(4) Erbringt ein Unterauftragnehmer die Leistung außerhalb der EU beziehungsweise des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher.

(5) Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der ausdrücklichen Zustimmung des Auftraggebers (mindestens Textform). Der Auftragnehmer stellt sicher, dass seine Vereinbarungen mit Unterauftragnehmern ein Datenschutzniveau vorsehen, das mindestens dieser Vereinbarung entspricht — insbesondere hinsichtlich geeigneter technischer und organisatorischer Maßnahmen.

(1) Der Auftraggeber darf im Benehmen mit dem Auftragnehmer Überprüfungen durchführen oder durch benannte Prüfer durchführen lassen. Er darf sich durch in der Regel rechtzeitig angemeldete Stichprobenkontrollen am jeweiligen Ort der Verarbeitung von der Einhaltung dieser Vereinbarung überzeugen — auch bei Unterauftragnehmern.

(2) Der Auftragnehmer erteilt auf Anforderung die erforderlichen Auskünfte und weist insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nach.

(3) Der Nachweis von Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch

• Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO,
• Zertifizierung nach einem genehmigten Verfahren nach Art. 42 DSGVO,
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (etwa Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutz- oder Qualitätsauditoren),
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit, etwa nach BSI-Grundschutz.

(1) Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten der Art. 32 bis 36 DSGVO. Dazu gehören:

• Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die eine sofortige Feststellung relevanter Verletzungsereignisse ermöglichen,
• unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber,
• Unterstützung des Auftraggebers bei seiner Informationspflicht gegenüber Betroffenen samt unverzüglicher Bereitstellung aller relevanten Informationen,
• Unterstützung bei der Datenschutz-Folgenabschätzung,
• Unterstützung bei vorherigen Konsultationen mit der Aufsichtsbehörde.

(2) Die Meldung kann über die üblichen elektronischen oder telefonischen Kommunikationskanäle erfolgen; angesichts der Meldefristen wird der schnellstmögliche Informationsaustausch gewährleistet. Der Auftragnehmer trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und spricht sich unverzüglich mit dem Auftraggeber ab.

(1) Kommt ein weiterer Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters. Auf Verlangen des Verantwortlichen beendet der Auftragnehmer die Beschäftigung des Subunternehmens ganz oder teilweise oder löst das Vertragsverhältnis, soweit dies nicht unverhältnismäßig ist. Für die Haftung gilt Art. 82 DSGVO.

(2) Der Auftragnehmer, seine gesetzlichen Vertreter und Erfüllungsgehilfen haften nicht bei leichter Fahrlässigkeit. Das gilt nicht bei der Verletzung einer Kardinalpflicht — also einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung dieses Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

(3) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie für den schadenstiftenden Umstand in keiner Hinsicht verantwortlich ist. Entsprechendes gilt für verhängte Geldbußen, wobei die Freistellung im Umfang des jeweiligen Verantwortungsanteils erfolgt.

Die Entscheidungs- und Weisungsbefugnis für die Auftragsverarbeitung hat allein der Auftraggeber. Der Auftragnehmer verarbeitet ausschließlich im Rahmen dieser Vereinbarung und nach schriftlichen Weisungen des Auftraggebers, sofern nicht eine gesetzliche Verpflichtung nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung besteht; in diesem Fall teilt der Auftragnehmer die Verpflichtung vor der Verarbeitung mit. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Ohne vorherige Zustimmung in Schrift- oder Textform gibt der Auftragnehmer keine Erklärungen gegenüber Betroffenen ab.

Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über Anfragen und Beanstandungen Betroffener und unterstützt ihn bei der Wahrung der Betroffenenrechte, etwa durch Benachrichtigung, Auskunftserteilung, Berichtigung, Sperrung oder Löschung.

Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich schriftlich. Er darf die Durchführung aussetzen, bis die Weisung bestätigt oder geändert wird, und die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.

(1) Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(2) Nach Abschluss der vereinbarten Arbeiten oder früher auf Aufforderung — spätestens mit Beendigung der Leistungsvereinbarung — händigt der Auftragnehmer alle in seinen Besitz gelangten Unterlagen, Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände aus oder vernichtet sie nach vorheriger Zustimmung datenschutzgerecht. Das Protokoll der Löschung wird auf Anforderung vorgelegt.

(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, bewahrt der Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus auf.

(4) Die Parteien schließen das zivilrechtliche Zurückbehaltungsrecht nach § 273 BGB an verarbeiteten personenbezogenen Daten und Datenträgern im Falle von Vertrags- oder Leistungsstörungen aus.

Der Auftragnehmer hält die im Rahmen der Auftragsverarbeitung empfangenen Informationen und Unterlagen, insbesondere die Auftragsdaten, streng geheim. Die Geheimhaltungspflicht gilt nach Beendigung dieser Vereinbarung unbefristet fort.

Der Auftraggeber behandelt alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich; auch diese Verpflichtung besteht nach Vertragsende fort.

Die Geheimhaltungspflicht entfällt, soweit Informationen bereits bei Abschluss dieser Vereinbarung öffentlich oder dem Auftragnehmer bekannt waren, danach ohne Verschulden des Auftragnehmers öffentlich bekannt werden oder ihm durch einen Dritten bekannt werden, ohne dass dieser eine eigene Geheimhaltungspflicht verletzt. Die Nachweislast trägt der Auftragnehmer.

(1) Werden Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse oder Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen einer schriftlichen Vereinbarung, die auch in Textform erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung oder Ergänzung handelt. Das gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Bei Widersprüchen gehen die Datenschutzregelungen dieses Vertrages den Regelungen des Hauptvertrages vor. Die Unwirksamkeit einzelner Teile berührt die Wirksamkeit im Übrigen nicht.

(4) Es gilt deutsches Recht. Gerichtsstand ist Hildesheim. zu ergänzen: Der AVV setzt deutsches Recht und Gerichtsstand Hildesheim. Prüfen, dass das zum Hauptvertrag passt — sonst widersprechen sich die Verträge.

Diese Seite ist die Lesefassung. Geschlossen wird der Vertrag je Kundenunternehmen in Textform — dort werden Firmierung und Anschrift des Auftraggebers eingesetzt und beide Seiten zeichnen. Anlage 1 sind die technischen und organisatorischen Maßnahmen, Anlage 2 die Liste der Unterauftragsverarbeiter; beide werden fortgeschrieben und gelten in der jeweils dort veröffentlichten Fassung.

Für ein Vertragsexemplar oder Rückfragen: kontakt@scaleyo.de.