Auftragsverarbeitungsvereinbarung (AVV)
1. Parteien und Gegenstand
Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten zwischen dem PerformanceBoard-Kunden als Verantwortlichem und Opti Solutions, Inhaber Marcel Kohler, als Auftragsverarbeiter, soweit Opti Solutions personenbezogene Daten im Auftrag verarbeitet.
2. Art und Zweck der Verarbeitung
Gegenstand ist die Bereitstellung, Synchronisation, Speicherung und Analyse von Commerce-Daten im Rahmen von PerformanceBoard. Verarbeitet werden nur Daten, die für die vereinbarten Analyse-, Intelligence-, Drill-down-, Support- und Verwaltungsfunktionen erforderlich sind.
3. Kategorien von Daten und Betroffenen
Je nach angebundenem System können insbesondere Stamm-, Kontakt-, Bestell-, Transaktions-, Produktzuordnungs- und Nutzungsdaten von Kunden, Interessenten, Ansprechpartnern und Benutzern des Verantwortlichen betroffen sein.
4. Weisungsbindung
Opti Solutions verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.
5. Vertraulichkeit und Zugriff
Administrative Zugriffe sind auf erforderliche Personen beschränkt. Zum aktuellen Stand ist der administrative Zugriff bei Opti Solutions auf den Inhaber/Administrator beschränkt. Personen mit Zugriff werden auf Vertraulichkeit verpflichtet.
6. Technische und organisatorische Maßnahmen
- Produktivbetrieb ausschließlich über HTTPS/TLS
- individuelle Benutzerkonten und sichere Passwort-Hashes
- rollen- und mandantenbezogene Zugriffsbeschränkungen
- Hosting und Backups ausschließlich in Deutschland
- Backup-Aufbewahrung bis zu 30 Tage
- Server-, Anwendungs- und Fehlerlogs mit begrenzter Aufbewahrung
- Datenminimierung bei Synchronisation und Speicherung
- regelmäßige Updates und technische Sicherheitsmaßnahmen
Zwei-Faktor-Authentifizierung ist als spätere Sicherheitsfunktion vorgesehen und wird erst nach tatsächlicher Implementierung als TOM geführt.
7. Unterauftragsverarbeiter
Für Hosting, Backup-Infrastruktur und den selbst betriebenen E-Mail-Versand wird United Hoster GmbH eingesetzt. Weitere Unterauftragsverarbeiter dürfen unter Einhaltung der gesetzlichen Voraussetzungen eingesetzt oder gewechselt werden. Der Verantwortliche wird vor wesentlichen Änderungen informiert und erhält im gesetzlich erforderlichen Umfang eine Widerspruchsmöglichkeit.
8. Betroffenenrechte
Opti Solutions unterstützt den Verantwortlichen angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und sonstigen Betroffenenrechten. Anfragen von Endkunden werden grundsätzlich nicht eigenständig beantwortet, sondern an den Verantwortlichen verwiesen bzw. nach dessen dokumentierter Weisung bearbeitet.
9. Datenschutzverletzungen
Opti Solutions informiert den betroffenen Verantwortlichen unverzüglich, sobald eine Verletzung des Schutzes personenbezogener Daten bekannt wird, und stellt die verfügbaren Informationen zur Erfüllung gesetzlicher Pflichten bereit.
10. Löschung und Rückgabe
Nach Vertragsende werden operative Mandantendaten grundsätzlich 60 Tage vorgehalten und anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. In Backups können Daten bis zum Ablauf der maximal 30-tägigen Rotation verbleiben. Gesetzlich aufzubewahrende Vertrags- und Abrechnungsunterlagen sind hiervon ausgenommen.
11. Nachweise und Kontrollen
Opti Solutions stellt dem Verantwortlichen die zur Darlegung der Einhaltung dieser Vereinbarung erforderlichen Informationen in angemessenem Umfang zur Verfügung und unterstützt gesetzlich erforderliche Kontrollen unter Berücksichtigung von Vertraulichkeit und Systemsicherheit.
12. Rangfolge
Bei Widersprüchen zwischen dieser AVV und sonstigen Vereinbarungen gehen für die Auftragsverarbeitung die zwingenden datenschutzrechtlichen Regelungen und diese AVV vor.