Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

Verantwortlicher (der Wäscherei-/Reinigungsbetrieb, nachfolgend „Kunde"):

Auftragsverarbeiter:
Tannwald Media UG (haftungsbeschränkt), Balzacstraße 7, 04105 Leipzig, vertreten durch Alexander Kleine (nachfolgend „Anbieter").

§ 1 Gegenstand, Dauer, Art und Zweck

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zur Bereitstellung der Software „Bügelo" (Auftrags- und Kundenmanagement). Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Übermitteln (Status-SMS) und Löschen. Dauer: für die Laufzeit des Hauptvertrags. Art und Zweck ergeben sich aus dem Hauptvertrag und der Leistungsbeschreibung.

§ 2 Art der Daten und Kategorien betroffener Personen

§ 3 Pflichten des Anbieters

• Verarbeitung nur auf dokumentierte Weisung des Kunden (dieser Vertrag und die Nutzung der Software gelten als Weisung); Hinweis bei rechtswidrig erscheinenden Weisungen.
• Verpflichtung der eingesetzten Personen zur Vertraulichkeit (Art. 28 Abs. 3 b, Art. 29, 32 Abs. 4 DSGVO).
• Umsetzung der technischen und organisatorischen Maßnahmen nach § 4 (Art. 32 DSGVO).
• Unterstützung des Kunden bei Betroffenenrechten und bei Pflichten nach Art. 32–36 DSGVO im Rahmen des Zumutbaren.
• Unverzügliche Meldung von Datenschutzverletzungen an den Kunden.
• Verarbeitung ausschließlich innerhalb der EU/des EWR; keine Drittlandübermittlung ohne gesonderte Grundlage.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Transportverschlüsselung (TLS/HTTPS) für alle Verbindungen; Passwörter werden ausschließlich als kryptografischer Hash (scrypt) gespeichert.
• Zugangs-/Zugriffskontrolle: kontogebundener Zugriff über Zugriffstoken; Mandantentrennung pro Betrieb; Server-Dateirechte restriktiv (nur Dienstkonto); SSH ausschließlich per Schlüssel, fail2ban, Firewall.
• Eingabe-/Weitergabekontrolle: SMS-Versand nur an die hinterlegten Kundennummern des Betriebs; Versanddienstleister als Unterauftragsverarbeiter.
• Verfügbarkeit & Wiederherstellbarkeit: regelmäßige Backups; lokale Arbeitskopie im Browser ermöglicht Weiterarbeit bei kurzen Ausfällen.
• Trennung & Belastbarkeit: getrennte Datenhaltung je Mandant; gehärteter, isolierter Dienst; automatische Sicherheitsupdates.

§ 5 Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Der Anbieter informiert den Kunden über beabsichtigte Änderungen rechtzeitig vorab; der Kunde kann aus wichtigem Grund widersprechen. Mit jedem Unterauftragsverarbeiter bestehen Verträge mit gleichwertigen Datenschutzpflichten.

§ 6 Betroffenenrechte

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und sonstigen Betroffenenrechten. Anfragen betroffener Personen, die beim Anbieter eingehen, leitet dieser an den Kunden weiter.

§ 7 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Anbieter die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Kunden zurück, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Backups werden im Rahmen ihres Aufbewahrungszyklus überschrieben.

§ 8 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (z. B. durch Auskunft, Dokumentation der TOMs), die der Kunde mit angemessener Vorankündigung verlangen kann.

§ 9 Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags. Änderungen bedürfen der Textform. Bei Widerspruch geht dieser AVV in datenschutzrechtlichen Fragen dem Hauptvertrag vor. Es gilt deutsches Recht.