Kontakt

AVV / DPA (Muster)

Muster für einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO für die B2B-SaaS-Leistungen der ROARK GmbH.

Dieses Dokument ist ein Muster für einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO im Rahmen unserer B2B-SaaS-Leistungen.

Verbindlich wird die Auftragsverarbeitung erst durch Abschluss eines individuellen Vertragsdokuments zwischen der Kundin oder dem Kunden (Verantwortliche oder Verantwortlicher) und der ROARK GmbH (Auftragsverarbeiter). Die individuell vereinbarte Leistungsbeschreibung ist Bestandteil des AVV und konkretisiert die produkt- und bereitstellungsspezifische Auftragsverarbeitung.

Der AVV gilt ausschließlich für personenbezogene Inhalte und Fachdaten, deren Verarbeitungszwecke und -mittel die Kundin oder der Kunde bestimmt. Konto-, Zugriffs-, Support-, Abrechnungs- und Sicherheitsdaten, deren Zwecke und Mittel ROARK selbst festlegt, verarbeitet ROARK als Verantwortliche; sie sind nicht Gegenstand dieses AVV.

1. Gegenstand und Dauer der Verarbeitung

  1. ROARK verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung der Kundin oder des Kunden.
  2. Gegenstand, Art, Zweck und Umfang der Verarbeitung sowie das konkrete Produkt und Deployment werden in der individuell vereinbarten Leistungsbeschreibung bezeichnet. Eine bloße Bezugnahme auf „SaaS-Leistungen“ oder eine allgemeine Anbieterliste genügt nicht.
  3. Die Laufzeit dieses AVV entspricht der in der Leistungsbeschreibung bestimmten Verarbeitungsdauer und längstens der Laufzeit des Hauptvertrags, soweit nicht gesondert geregelt.

Die Leistungsbeschreibung muss vor Beginn der Auftragsverarbeitung mindestens das konkrete Produkt und gegebenenfalls dessen Version, das Bereitstellungsmodell, Gegenstand, Art und Zweck der Verarbeitung, deren Dauer, die tatsächlich verarbeiteten Datenkategorien und Kategorien betroffener Personen sowie die konkreten Verarbeitungsregionen für Produktivdaten, Protokolle, Support und Backups festlegen. Sie bezeichnet außerdem die tatsächlich eingesetzten Unterauftragsverarbeiter mit Funktion, Datentyp, Land oder Region, Drittlandmechanismus und Vertragskette, die Löschfrist für Produktivdaten, Sicherungsintervall und Aufbewahrungsdauer von Backups, die Regeln für Supportzugriffe sowie den Mitteilungs- und Widerspruchsmechanismus bei Änderungen von Unterauftragsverarbeitern. Nicht einschlägige Punkte sind ausdrücklich als „nicht anwendbar“ zu kennzeichnen. Angaben wie „je nach Konfiguration“ genügen nur, wenn die konkret gewählte Konfiguration in derselben Leistungsbeschreibung eindeutig festgehalten ist.

2. Art der Daten und Kategorien betroffener Personen

Die tatsächlich verarbeiteten Kategorien personenbezogener Daten und die Kategorien betroffener Personen werden abschließend in der individuellen Leistungsbeschreibung bezeichnet. Allgemeine Beispiele oder eine Auswahl aller technisch möglichen Kategorien ersetzen diese Festlegung nicht.

Die Kundin oder der Kunde ist dafür verantwortlich, dass die in das Produkt eingebrachten Inhalte von der dokumentierten Weisung, dem Hauptvertrag und der individuellen Leistungsbeschreibung gedeckt sind.

3. Weisungsrecht

  1. ROARK verarbeitet personenbezogene Daten nur auf dokumentierte Weisung.
  2. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
  3. Hält ROARK eine Weisung für datenschutzrechtlich unzulässig, informiert ROARK die Auftraggeberin bzw. den Auftraggeber unverzüglich.

4. Vertraulichkeit und Zugriffsbeschränkung

  1. ROARK verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit.
  2. Zugriffe auf personenbezogene Daten erfolgen nach dem Need-to-know-Prinzip und rollenbasiert.

5. Technische und organisatorische Maßnahmen (TOM)

ROARK setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um, insbesondere:

  • Zutritts-, Zugangs- und Zugriffskontrollen
  • Mandantentrennung und Berechtigungskonzepte
  • Verschlüsselung bei Übertragung (TLS) und, soweit technisch vorgesehen, bei Speicherung
  • Protokollierung sicherheitsrelevanter Vorgänge
  • Verfahren zur Sicherung der Verfügbarkeit (Backups, Wiederherstellungsprozesse)
  • Prozesse für regelmäßige Überprüfung und Verbesserung der Sicherheitsmaßnahmen

6. Unterauftragsverarbeiter

Die für das konkrete Produkt und Deployment tatsächlich eingesetzten Unterauftragsverarbeiter werden in der individuellen Leistungsbeschreibung mit Funktion, verarbeitetem Datentyp, Verarbeitungsregion und anwendbarem Drittlandmechanismus bezeichnet. Anbieter, die ROARK für andere Produkte oder eigene Verantwortlichenprozesse nutzt, sind nicht automatisch Unterauftragsverarbeiter dieses Vertrags.

ROARK unterhält direkte Vertragsbeziehungen mit Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP). Diese Anbieter sind daher nicht ausschließlich als Unterauftragsverarbeiter von Vercel einzuordnen. Sie werden jedoch nur dann Unterauftragsverarbeiter im Rahmen dieses AVV, wenn sie für das konkrete Produkt und Deployment tatsächlich eingesetzt und in der individuellen Leistungsbeschreibung als solche bezeichnet werden.

Wird Convex für das bezeichnete Produkt eingesetzt, wird in der individuellen Leistungsbeschreibung die Verarbeitungsregion EU West festgehalten; US East wird für diese Verarbeitung nicht eingesetzt.

ROARK informiert die Auftraggeberin bzw. den Auftraggeber über beabsichtigte Änderungen der in der individuellen Leistungsbeschreibung genannten Unterauftragsverarbeiter nach dem dort festgelegten Mitteilungs- und Widerspruchsmechanismus. Eine Änderung einer allgemeinen Website-Dienstleisterliste ersetzt diese Mitteilung nicht.

7. Drittlandübermittlungen

  1. Eine Verarbeitung in Drittländern erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO eingehalten sind.
  2. Als geeignete Garantien kommen insbesondere Standardvertragsklauseln (SCC) und sonstige zulässige Transfermechanismen in Betracht.
  3. Für die Schweiz gilt der Angemessenheitsbeschluss der EU-Kommission.

8. Unterstützungspflichten

ROARK unterstützt die Auftraggeberin bzw. den Auftraggeber im angemessenen Umfang bei

  • der Erfüllung von Betroffenenrechten,
  • Datenschutz-Folgenabschätzungen,
  • der Konsultation von Aufsichtsbehörden,
  • der Einhaltung der Meldepflichten bei Datenschutzverletzungen.

9. Meldung von Datenschutzverletzungen

  1. ROARK meldet Verletzungen des Schutzes personenbezogener Daten im Auftragsverhältnis unverzüglich nach Bekanntwerden.
  2. Die Meldung enthält alle verfügbaren Informationen, die für eine Bewertung und Erfüllung gesetzlicher Meldepflichten erforderlich sind.

10. Kontrollrechte

  1. ROARK stellt der Auftraggeberin bzw. dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
  2. Audits erfolgen nach angemessener Vorankündigung, unter Wahrung von Vertraulichkeit und Sicherheitsinteressen sowie ohne Störung des laufenden Betriebs.

11. Rückgabe und Löschung nach Vertragsende

  1. Nach Ende der Auftragsverarbeitung löscht oder gibt ROARK personenbezogene Daten nach Weisung der Auftraggeberin bzw. des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
  2. Produktivdaten und Backups werden innerhalb der in der individuellen Leistungsbeschreibung bestimmten Fristen gelöscht oder überschrieben. Eine allgemeine, produktunabhängige Backupfrist gilt nicht.

12. Haftung und Rangfolge

  1. Für die Haftung gelten die Regelungen des Hauptvertrags, soweit gesetzlich zulässig.
  2. Bei Widersprüchen zwischen Hauptvertrag und AVV gehen die datenschutzrechtlichen Regelungen des AVV vor.

13. Kontakt

Für datenschutzbezogene Rückfragen zum AVV:

ROARK GmbH
E-Mail: datenschutz@roark.at
Telefon: +43 660 375 8455