Auftragsverarbeitungsvertrag (AVV)

Der nachfolgende Vertrag regelt die Auftragsverarbeitung nach Art. 28 DSGVO für die Nutzung der SaaS-Plattform Rechtskataster.com. Rechtskataster.com ist eine organisatorische Compliance-Plattform und erbringt keine Rechtsdienstleistungen im Sinne des Rechtsdienstleistungsgesetzes (RDG).

Vertragsparteien

Auftraggeber (Verantwortlicher):
[wird vom Auftraggeber ausgefüllt]

Auftragnehmer (Auftragsverarbeiter):
Privates Institut für Qualität und Innovation GmbH
Niedensteinsweg 8
59846 Sundern
Deutschland
Vertreten durch die Geschäftsführung: Leif vom Lehn, Paula vom Lehn
Telefon: 02933 786 3185
E-Mail: info@iqi-gmbh.de

Präambel

Der Auftraggeber nutzt die SaaS-Plattform Rechtskataster.com (nachfolgend „Plattform") des Auftragnehmers zur Verwaltung und Pflege eines unternehmensspezifischen Rechtskatasters, zur Verwaltung von Pflichten, zur Änderungsüberwachung von Rechtsvorschriften sowie zur KI-gestützten Analyse von Rechtsinhalten. Im Rahmen dieser Nutzung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Auftragsverarbeitung gemäß Art. 28 DSGVO. Rechtskataster.com ist eine organisatorische Compliance-Plattform und erbringt keine Rechtsdienstleistungen im Sinne des Rechtsdienstleistungsgesetzes (RDG).

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und Nutzung der Plattform Rechtskataster.com gemäß den Bestimmungen des zwischen den Parteien geschlossenen Nutzungsvertrages.

(2) Die Verarbeitung erfolgt ausschließlich im Rahmen der Nutzung der Plattform als Rechtskataster- und Pflichtenmanagement-System.

(3) Dieser Vertrag gilt für die Dauer des Nutzungsvertrages über die Plattform. Er endet automatisch mit Beendigung des Nutzungsvertrages, unbeschadet der Regelungen zur Löschung und Rückgabe in § 12.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Zweck der Verarbeitung ist die Bereitstellung der Plattform als webbasiertes Rechtskataster- und Pflichtenmanagementsystem, insbesondere:

• Verwaltung und Pflege eines individuellen Rechtskatasters
• Abbildung von Gesetzen, Vorschriften und Pflichten (EU, Bund, Länder, DGUV, BAuA)
• KI-gestützte Verschlagwortung und Analyse von Rechtsinhalten
• Änderungsüberwachung von Rechtsvorschriften
• Verwaltung und Zuweisung von Pflichten an Personen
• Auslesen und Analyse hochgeladener Dokumente per KI (KI-Anbieter aus der EU)
• Berichtswesen und Reporting
• Stoffmanager-Funktionalität (Gefahrstoffe, wassergefährdende Stoffe)

(2) Die Verarbeitung erfolgt ausschließlich auf Weisung des Auftraggebers, soweit in diesem Vertrag oder im Nutzungsvertrag nicht anders geregelt.

(3) Der Umfang der Verarbeitung ergibt sich aus dem Nutzungsvertrag, den auf der Plattform verfügbaren Funktionen sowie den vom Auftraggeber eingegebenen und hochgeladenen Daten.

§ 3 Arten personenbezogener Daten und Kategorien betroffener Personen

(1) Die im Rahmen der Plattformnutzung verarbeiteten personenbezogenen Daten umfassen:

• Bestandsdaten: Name, E-Mail-Adresse, Organisation/Zugehörigkeit, Rolle/Berechtigung
• Anmeldedaten: Benutzername, Passwort (ausschließlich gehasht), Session-Token
• Nutzungsdaten: Zugriffszeiten, aufgerufene Funktionen, Änderungsprotokolle
• Inhaltsdaten: Vom Auftraggeber im Rechtskataster gepflegte Inhalte, zugewiesene Pflichten, hochgeladene Dokumente
• Server-Logfiles: IP-Adresse, Browsertyp/-version, Betriebssystem, Referrer-URL, Uhrzeit der Serveranfrage

(2) Kategorien betroffener Personen:

• Mitarbeiter und sonstige Nutzer des Auftraggebers, denen ein Plattform-Zugang eingerichtet wurde
• Personen, die in den vom Auftraggeber im Rechtskataster gepflegten Inhalten oder hochgeladenen Dokumenten genannt werden

(3) Hinweis zur Datenminimierung (Privacy by Design, Art. 25 DSGVO): Die Plattform unterstützt die Nutzung von Funktionspostfächern (z. B. hr@firma.de) anstelle persönlicher E-Mail-Adressen und Klarnamen. Der Auftraggeber kann dadurch die Verarbeitung personenbezogener Daten minimieren. Die Vergabe von Berechtigungen und die Zuweisung von Pflichten sind auch ohne Verwendung von Klarnamen möglich.

§ 4 Weisungsrecht

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden durch den Nutzungsvertrag, diesen Vertrag sowie durch die Konfiguration und Nutzung der Plattform durch den Auftraggeber erteilt. Weisungen können auch durch die Einstellungen und Softwarefunktionalitäten der Plattform erteilt werden.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzbestimmungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragnehmer verarbeitet die ihm im Rahmen des Auftragsverhältnisses überlassenen personenbezogenen Daten nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt.

(2) Der Auftragnehmer hält die einschlägigen datenschutzrechtlichen Vorschriften ein, insbesondere die DSGVO und das BDSG.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Führung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO, indem er die erforderlichen Informationen über die im Rahmen der Plattform durchgeführten Verarbeitungstätigkeiten bereitstellt.

§ 6 Verschwiegenheitspflicht

(1) Der Auftragnehmer stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Verschwiegenheit verpflichtet sind, soweit sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Verschwiegenheitspflicht besteht über das Ende des Beschäftigungsverhältnisses bzw. der Beauftragung hinaus.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragnehmer ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in Anlage 1 (TOM) dieses Vertrages detailliert beschrieben.

(2) Die Maßnahmen umfassen insbesondere:

• Durchgehende TLS-Verschlüsslung der Datenübertragung
• Mandantentrennung (Rechtsinhalte und Kundendaten in getrennten Datenbeständen)
• HMAC-SHA-256-signierte Session-Tokens
• Passwörter ausschließlich gehasht (keine Klartextspeicherung)
• Verarbeitung und Speicherung ausschließlich in der EU (Rechenzentrum Deutschland)
• Kein Tracking, keine Werbe-Cookies, ausschließlich technisch nötige Cookies
• Privacy by Design: Unterstützung von Funktionspostfächern zur Datenminimierung
• Trennung von Rechtsinhalten und personenbezogenen Kundendaten

(3) Der Auftragnehmer passt die Maßnahmen der technischen und organisatorischen Weiterentwicklung an und informiert den Auftraggeber über wesentliche Änderungen.

(4) Für Auftraggeber, die ein ISMS nach ISO/IEC 27001 betreiben, über TISAX zertifiziert sind oder BSIG-Vorgaben zu beachten haben: Die TOM des Auftragnehmers sind so ausgestaltet, dass sie den Anforderungen an die Sicherheit der Verarbeitung gemäß Art. 32 DSGVO in Verbindung mit den jeweiligen normativen Anforderungen (ISO/IEC 27001 Annex A, BSI IT-Grundschutz, TISAX-Assessment-Kriterien) gerecht werden. Die in Anlage 1 dokumentierten Maßnahmen können als Nachweis im Rahmen von Audits und Assessment-Ergebnissen herangezogen werden.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrung der Rechte betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO).

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Durchführung von Datenschutz-Folgenabschätzungen, soweit diese die spezifische Verarbeitung auf der Plattform betreffen (Art. 28 Abs. 3 lit. f DSGVO).

(3) Soweit eine betroffene Person sich unmittelbar an den Auftragnehmer wendet, leitet der Auftragnehmer das Ersuchen unverzüglich an den Auftraggeber weiter.

§ 9 Meldepflicht bei Datenschutzverletzungen

(1) Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit.

(2) Die Meldung erfolgt unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, um dem Auftraggeber die Einhaltung seiner Meldefristen nach Art. 33 und Art. 34 DSGVO zu ermöglichen.

(3) Der Auftragnehmer unterstützt den Auftraggeber erforderlichenfalls bei der Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und der Benachrichtigung betroffener Personen (Art. 34 DSGVO).

(4) Die Meldung enthält mindestens: Art der Verletzung, Art und Umfang der betroffenen personenbezogenen Daten, Zeitpunkt der Feststellung, wahrscheinliche Folgen, Maßnahmen zur Behebung und Schadensbegrenzung.

§ 10 Subunternehmer / Weitere Auftragsverarbeiter

(1) Der Auftragnehmer setzt zur Erfüllung des Nutzungsvertrages folgende weitere Auftragsverarbeiter ein. Eine detaillierte Übersicht befindet sich in Anlage 2.

(2) Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

(3) Für Dienstleister mit Sitz außerhalb der EU (Zapier/USA) werden EU-Standardvertragsklauseln nach Art. 46 DSGVO nebst ergänzenden Schutzmaßnahmen vereinbart. Für Marketcircle (Kanada) besteht ein Angemessenheitsbeschluss der EU-Kommission (PIPEDA).

(4) Die KI-Modelle werden nicht mit Inhalten des Auftraggebers trainiert. Die KI-Verarbeitung erfolgt ausschließlich über europäische Anbieter mit Rechenzentren in der EU. Eine Übermittlung von personenbezogenen Daten an KI-Anbieter außerhalb der EU findet nicht statt.

(5) Der Auftragnehmer informiert den Auftraggeber über geplante Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter. Der Auftraggeber kann der Hinzuziehung oder Ersetzung widersprechen.

§ 11 Kontrollrechte und Audit

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Auftragnehmer ermöglicht dem Auftraggeber nach entsprechender Terminvereinbarung Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden.

(3) Für Auftraggeber mit ISMS nach ISO/IEC 27001, TISAX-Assessment oder BSIG-Konformität: Die Überprüfung kann im Rahmen der internen Audits, TISAX-Assessment-Prozesse oder BSI-Konformitätsprüfungen des Auftraggebers erfolgen. Der Auftragnehmer unterstützt diese Prüfungen durch Bereitstellung relevanter Dokumentation (TOM, Subunternehmer-Verzeichnis, Sicherheitskonzepte).

(4) Soweit der Auftragnehmer durch eine anerkannte Zertifizierung oder ein genehmigtes Zertifizierungsverfahren nach Art. 42 DSGVO nachweist, dass er die erforderlichen Maßnahmen getroffen hat, kann dies als Faktor für den Nachweis herangezogen werden. Eine zwingende Vor-Ort-Kontrolle ist dann nicht erforderlich.

§ 12 Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen, zu vernichten oder zurückzugeben.

(2) Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

(3) Backups werden spätestens 30 Tage nach Beendigung des Vertrages gelöscht.

(4) Soweit gesetzliche Aufbewahrungspflichten bestehen, kann der Auftragnehmer die Daten bis zum Ablauf der Aufbewahrungsfrist speichern, verpflichtet sich jedoch, diese Daten ausschließlich zur Erfüllung der gesetzlichen Pflichten zu verarbeiten.

§ 13 Haftung

(1) Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie den gesetzlichen Vorschriften.

(2) Der Auftragnehmer haftet dem Auftraggeber für Schäden, die er durch nicht vorschriftsmäßige Verarbeitung verursacht hat, soweit er seinen Pflichten nach Art. 28 DSGVO nicht nachgekommen ist.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für die Aufhebung der Schriftform.

(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.

(4) Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.

(5) Anlagen sind Bestandteil dieses Vertrages: Anlage 1 (TOM), Anlage 2 (Subunternehmer-Verzeichnis), Anlage 3 (Beschreibung der Verarbeitungstätigkeit).

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

Anlage 2 — Verzeichnis der Subunternehmer

Die KI-Anbieter (Mistral AI, Nebius) verarbeiten ausschließlich in der EU. Die KI-Modelle werden nicht mit Inhalten des Auftraggebers trainiert. Eine Übermittlung personenbezogener Daten an KI-Anbieter außerhalb der EU findet nicht statt. Die unter Nr. 4–7 genannten Dienstleister werden erst mit Zustandekommen eines Vertragsverhältnisses tätig.

Anlage 3 — Beschreibung der Verarbeitungstätigkeit

Dieser Auftragsverarbeitungsvertrag ist ein Standard-Vertrag der Privates Institut für Qualität und Innovation GmbH (IQI) für die Nutzung der Plattform rechtskataster.com. Die rechtliche Prüfung im Einzelfall obliegt dem Auftraggeber. IQI erbringt keine Rechtsdienstleistungen im Sinne des RDG.

← Zurück zur Datenschutzerklärung