Vorwort
Diese Gliederung dient als Rahmen für den Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwischen SODEA eG und ihren Kunden. Der individuelle, rechtsverbindliche AVV wird vor Leistungsbeginn zwischen SODEA und dem Kunden geschlossen und enthält ergänzend zu diesem Rahmen die spezifischen Weisungen, Datenkategorien und ggf. besonderen Anforderungen des Kunden.
1. Gegenstand und Dauer der Verarbeitung
1.1 Gegenstand
Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch SODEA eG im Auftrag des Kunden im Rahmen der Nutzung der Cloud-Software-Suite, einschließlich der Module Workspace, ERP, CRM sowie optionaler KI-Funktionen und ergänzender Dienstleistungen (Support, Wartung, Migration, Schulung, Geräteverwaltung).
1.2 Vertragsdauer
Der Vertrag läuft für die Dauer des jeweiligen SaaS-Hauptvertrags. Mit Beendigung des Hauptvertrags endet auch dieser AVV.
1.3 Zweckbindung
SODEA eG verarbeitet die im Auftrag überlassenen personenbezogenen Daten ausschließlich im Rahmen der Weisungen des Kunden und für die vertraglich vereinbarten Zwecke.
2. Art und Zweck der Verarbeitung
2.1 Art der Verarbeitung
Die im Rahmen des AVV durchgeführten Verarbeitungstätigkeiten umfassen:
| Verarbeitungstätigkeit | Beschreibung |
|---|---|
| Speicherung | Speicherung von Kundendaten in der Cloud-Infrastruktur |
| Verarbeitung | Verarbeitung durch die Softwaremodule (Workspace, ERP, CRM etc.) |
| Übertragung | Datenübertragung zwischen Servern und zu Endgeräten der Nutzer |
| Löschung | Löschung nach Vertragsende oder auf Weisung des Kunden |
| Backup | Erstellung von Datensicherungen zur Wiederherstellbarkeit |
| Support | Zugriff auf Daten zu Supportzwecken (nur auf Weisung) |
| Migration | Import/Export von Daten bei Einrichtung oder Kündigung |
2.2 Zweck der Verarbeitung
Die Verarbeitung erfolgt zum Zweck der Erbringung der vertraglich vereinbarten Cloud-Dienstleistungen. Der Kunde bestimmt den Zweck und die Mittel der Verarbeitung (im Rahmen der vertraglich vorgegebenen Softwarefunktionalitäten).
3. Art der personenbezogenen Daten
3.1 Kategorien personenbezogener Daten
Der Kunde überträgt SODEA eG folgende Kategorien personenbezogener Daten zur Verarbeitung im Auftrag:
| Kategorie | Beispiele |
|---|---|
| Stamm- / Kontaktdaten | Name, E-Mail-Adresse, Telefonnummer, Adresse |
| Kommunikationsdaten | E-Mails, Chatnachrichten, Kalendereinträge |
| Dokumente / Dateien | Dokumente, Präsentationen, Tabellen, Bilder |
| Geschäftsdaten | Kundenstammdaten, Auftragsdaten, Rechnungsdaten (im ERP/CRM) |
| Finanzdaten | Buchhaltungsdaten, Zahlungsinformationen (im ERP-Modul) |
| Mitarbeiterdaten | Personalstammdaten, Zeiterfassung, Urlaubsanträge (im ERP) |
| Gesundheitsdaten (ggf.) | Nur falls der Kunde solche im System verarbeitet; Art. 9 DSGVO |
3.2 Besondere Kategorien nach Art. 9 DSGVO
Falls die Cloud-Suite für Daten nach Art. 9 DSGVO (Gesundheitsdaten, biometrische Daten etc.) genutzt wird, sind zusätzliche Schutzmaßnahmen erforderlich. Der Kunde informiert SODEA eG vorab über die Verarbeitung besonderer Kategorien personenbezogener Daten.
4. Kategorien betroffener Personen
Die im Auftrag verarbeiteten Daten können sich auf folgende Kategorien betroffener Personen beziehen:
- Mitarbeiter des Kunden
- Kunden des Kunden (Endkunden)
- Lieferanten und Dienstleister des Kunden
- Interessenten und Anfragesteller des Kunden
- Weitere Personen, deren Daten der Kunde im Rahmen seiner Geschäftstätigkeit verarbeitet
Die konkreten Kategorien bestimmt der Kunde durch die Nutzung der Software.
5. Rechte und Pflichten des Kunden als Verantwortlicher
5.1 Weisungsbefugnis
Der Kunde allein ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich, insbesondere für:
- die Rechtmäßigkeit der Erhebung der personenbezogenen Daten,
- die Einhaltung der Informationspflichten gegenüber den betroffenen Personen,
- die Dokumentation der Rechtsgrundlagen für die Verarbeitung,
- die Einhaltung der Grundsätze der Datenverarbeitung nach Art. 5 DSGVO.
5.2 Informationspflichten
Der Kunde ist verpflichtet, die betroffenen Personen über die beauftragte Verarbeitung und die Identität von SODEA eG als Auftragsverarbeiter zu informieren.
5.3 Weisungen
Der Kunde erteilt Weisungen schriftlich oder in Textform (E-Mail). Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Weisungen können über das Kundenportal oder per E-Mail an support@sodea.eu erteilt werden.
5.4 Zusammenarbeit bei Betroffenenrechten
Der Kunde stellt sicher, dass SODEA eG bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) unterstützt werden kann.
5.5 Datenschutz-Folgenabschätzung (DSFA)
Falls eine DSFA nach Art. 35 DSGVO erforderlich ist, ist der Kunde hierfür verantwortlich. SODEA eG unterstützt den Kunden auf Anfrage bei der DSFA, insbesondere durch Bereitstellung technischer Informationen.
5.6 Vorabkonsultation
Bei einer Vorabkonsultation nach Art. 36 DSGVO ist der Kunde verpflichtet, SODEA eG zu beteiligen.
6. Pflichten von SODEA eG als Auftragsverarbeiter
6.1 Personelle Maßnahmen
SODEA eG verpflichtet sich:
- Personen nur unter Verpflichtung auf die Einhaltung des Datengeheimnisses (§ 5 BDSG) zuzulassen,
- Mitarbeiter regelmäßig zu schulen,
- Zugriffsrechte nach dem Need-to-know-Prinzip zu vergeben.
6.2 Geheimhaltung
Alle an der Verarbeitung beteiligten Personen sind auf das Datengeheimnis verpflichtet. Diese Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.
6.3 Weisungsgebundenheit
SODEA eG verarbeitet Daten ausschließlich nach Weisung des Kunden. Sofern SODEA eG der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt, wird der Kunde unverzüglich informiert. SODEA eG ist berechtigt, die Ausführung einer rechtswidrigen Weisung abzulehnen und den Kunden hierauf hinzuweisen.
6.4 Unterstützungspflichten
SODEA eG unterstützt den Kunden bei:
- Erfüllung der Informationspflichten gegenüber Betroffenen,
- Beantwortung von Anfragen betroffener Personen,
- Durchführung von Datenschutz-Folgenabschätzungen,
- Benachrichtigung von Datenschutzverletzungen.
6.5 Löschung und Rückgabe
Nach Vertragsende oder auf Weisung des Kunden löscht SODEA eG alle personenbezogenen Daten des Kunden, sofern keine gesetzliche Aufbewahrungspflicht besteht. Alternativ kann der Kunde eine Rückgabe der Daten in einem gängigen Format verlangen. Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende.
6.6 Nachweis / Audit
SODEA eG stellt dem Kunden die erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. SODEA eG ermöglicht dem Kunden Audits, die von dem Kunden oder einem von diesem beauftragten Prüfer durchgeführt werden.
7. Weisungen
7.1 Erlaubte Verarbeitung
Ohne gesonderte Weisung gestattet ist:
- die im Vertrag beschriebene Verarbeitung zu den vereinbarten Zwecken,
- die technisch erforderliche Verarbeitung zur Erbringung der Dienstleistung,
- die Sicherung der Daten und Systeme,
- die Erfüllung gesetzlicher Pflichten (z. B. Meldepflichten bei Sicherheitsvorkommnissen).
7.2 Support als Weisung
Mit Eröffnung eines Support-Tickets im Kundenportal erteilt der Kunde die Weisung gemäß Art. 28 Abs. 3 lit. a DSGVO, soweit für die Fehlerbehebung ein Zugriff auf personenbezogene Daten des Kunden erforderlich ist. Die Weisung beschränkt sich auf den für die Fehlerbehebung notwendigen Umfang. Fernwartungssitzungen bedürfen zusätzlich der ausdrücklichen Zustimmung des Kunden und werden mit Zeitstempel, Dauer sowie den bearbeiteten Systemen dokumentiert.
7.3 Weisungsform
Weisungen sind schriftlich oder in Textform zu erteilen, vorzugsweise über das Kundenportal oder per E-Mail an support@sodea.eu.
7.4 Weisungsabweichung
SODEA eG darf ohne Weisung des Kunden personenbezogene Daten nur dann verarbeiten, wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem SODEA eG unterliegt, erforderlich ist.
8. Vertraulichkeit
SODEA eG verpflichtet sich, über sämtliche im Rahmen der Zusammenarbeit erlangten Kenntnisse von personenbezogenen Daten und Geschäftsgeheimnissen des Kunden strengstes Stillschweigen zu bewahren. Diese Verpflichtung besteht über die Vertragsdauer hinaus fort.
SODEA eG stellt sicher, dass alle Personen, die auf personenbezogene Daten Zugriff haben, zur Vertraulichkeit verpflichtet sind (§ 5 BDSG, § 88 GenG).
9. TOMs nach Art. 32 DSGVO
9.1 Pseudonymisierung und Verschlüsselung
SODEA eG setzt folgende Verschlüsselungsmaßnahmen ein:
- Verschlüsselung der Datenübertragung mittels TLS (Transport Layer Security)
- Verschlüsselung gespeicherter Daten im Ruhezustand mittels AES (at rest)
- Optional: PGP-Ende-zu-Ende-Verschlüsselung für E-Mails
- Kundendaten werden mit kundenspezifischen Schlüsseln verschlüsselt; SODEA eG und der Hosting-Provider Scaleway können die Daten nicht entschlüsseln
9.2 Gewährleistung der Vertraulichkeit
- Rollen- und Berechtigungskonzept mit granularen Zugriffsrechten
- Zwei-Faktor-Authentifizierung für administrative Zugriffe
- IP-basierte Zugriffsbeschränkungen
- Physische Sicherheit im Rechenzentrum (Zutrittskontrollen, Überwachung) durch Scaleway
- Server auf Immutable Talos Betriebssystem, netzwerktechnisch vollständig isoliert (nur ausgehende Verbindungen)
- Kunden-Umgebungen in Confidential Container mit Hardware Attestation
9.3 Gewährleistung der Integrität
- Mandantentrennung auf Datenbankebene / Applikationsebene
- Versionskontrolle für Dokumente
- Prüfsummen / Hashwerte für Backup-Integrität
- Änderungsprotokollierung (Audit-Log)
9.4 Gewährleistung der Verfügbarkeit
- Tägliche Backups, mit kundenspezifischen Schlüsseln verschlüsselt
- Kunde kann Backups nur mit seiner eingangs festgelegten Passphrase entschlüsseln; bei Verlust der Passphrase sind die Daten auch für SODEA eG nicht wiederherstellbar
- Disaster-Recovery-Plan mit definierten Recovery-Time-Objective (RTO) und Recovery-Point-Objective (RPO)
- Hochverfügbarkeitskonzepte (Clustering, Failover)
9.5 Verfahren zur regelmäßigen Überprüfung
- Regelmäßige Sicherheitsüberprüfungen alle 6 Monate
- Vulnerability-Management-Prozess
- Überprüfung der Zugriffsrechte
- Incident-Response-Plan mit Eskalationsstufen und SLA-Reaktionszeiten von maximal 1 Stunde (24/7)
9.6 Organisatorische Maßnahmen
- Dokumentierte Sicherheitsrichtlinien
- Mitarbeiterschulungen zum Datenschutz und zur Informationssicherheit
- Schriftliche Verpflichtung auf das Datengeheimnis
- Regelungen zur sicheren Aufbewahrung von Zugangsdaten
- ISO 27001 und BSI Souveränitätsvorgaben Best-Practices
10. Subunternehmer
10.1 Eingeschaltete Subunternehmer
SODEA eG ist berechtigt, Subunternehmer (weitere Auftragsverarbeiter) zur Erbringung der vertraglichen Leistungen einzuschalten. Aktuell eingeschaltete Subunternehmer:
| Nr. | Subunternehmer | Dienstleistung | Anschrift | AVV |
|---|---|---|---|---|
| 1 | Scaleway | Hosting / Rechenzentrum | 8, rue de la Ville-l'Évêque, 75008 Paris, France | Ja |
| 2 | Scaleway | E-Mail-Versand (SMTP-Relay) | 8, rue de la Ville-l'Évêque, 75008 Paris, France | Ja |
| 3 | Adyen | Zahlungsabwicklung (Online-Zahlung) | Niederlande | Ja |
Hinweis: Alle Kundendaten werden auf den Servern von Scaleway in verschlüsselter Form gespeichert (AES at rest), sodass weder Scaleway noch SODEA eG die Daten auslesen können. Nur ausgehende E-Mails werden über das SMTP-Relay von Scaleway transportiert, wobei diese transportverschlüsselt (TLS) übermittelt, aber zur Zustellung vorübergehend in Klartext verarbeitet werden. Optional ist eine PGP-Ende-zu-Ende-Verschlüsselung für E-Mails verfügbar.
10.2 Kontrollrechte
SODEA eG hat durch Verträge sichergestellt, dass die Subunternehmer die gleichen Datenschutzpflichten wie SODEA eG einhalten (Art. 28 Abs. 2-4 DSGVO).
10.3 Änderung der Subunternehmer
SODEA eG informiert den Kunden mindestens 30 Tage im Voraus über die Beabsichtigung, neue Subunternehmer einzuschalten oder bestehende zu ersetzen. Der Kunde kann innerhalb dieser Frist widersprechen. Im Falle eines berechtigten Widerspruchs werden die Vertragsparteien in Verhandlungen eintreten; scheidet eine einvernehmliche Lösung aus, ist der Kunde berechtigt, den Hauptvertrag und diesen AVV ordentlich zu kündigen.
10.4 Haftung für Subunternehmer
SODEA eG bleibt gegenüber dem Kunden auch bei Einschaltung von Subunternehmern vollumfänglich verantwortlich.
11. Unterstützung bei Betroffenenrechten
11.1 Unterstützungspflicht
SODEA eG unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Verpflichtung, auf Anträge betroffener Personen gemäß Art. 15-22 DSGVO zu antworten.
11.2 Auskunft
SODEA eG stellt auf Anfrage des Kunden die technischen Möglichkeiten zur Verfügung, um betroffenen Personen Auskunft über ihre verarbeiteten Daten zu erteilen (z. B. über Exportfunktionen im Kundenportal).
11.3 Berichtigung
SODEA eG ermöglicht dem Kunden die technische Möglichkeit, Daten zu berichtigen (direkt im Kundenportal oder via API).
11.4 Löschung (Recht auf Vergessenwerden)
SODEA eG löscht personenbezogene Daten auf Weisung des Kunden. Die Löschung erfolgt unverzüglich nach Weisung, maximal innerhalb von 7 Werktagen.
11.5 Datenübertragbarkeit
SODEA eG stellt dem Kunden die Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung (z. B. CSV, JSON, XML).
11.6 Widerspruch
SODEA eG unterstützt den Kunden bei der Umsetzung von Widersprüchen betroffener Personen.
12. Unterstützung bei Datenschutzverletzungen
12.1 Meldung an den Kunden
SODEA eG meldet dem Kunden eine Datenschutzverletzung (Verletzung des Schutzes personenbezogener Daten) unverzüglich nach deren Bekanntwerden, spätestens innerhalb von 24 Stunden.
12.2 Inhalt der Meldung
Die Meldung umfasst:
- eine Beschreibung der Datenschutzverletzung (Art, Umfang, Folgen),
- die betroffenen Datenkategorien und betroffenen Personen,
- die wahrscheinlichen Konsequenzen der Verletzung,
- die bereits ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
12.3 Dokumentation
SODEA eG dokumentiert jede Datenschutzverletzung einschließlich der Umstände, der Folgen und der ergriffenen Abhilfemaßnahmen. Die Dokumentation steht der Aufsichtsbehörde auf Anfrage zur Verfügung.
12.4 Benachrichtigung der Aufsichtsbehörde
Die Verantwortung für die Benachrichtigung der Aufsichtsbehörde trägt der Kunde. SODEA eG unterstützt den Kunden hierbei mit den erforderlichen Informationen.
13. Löschung und Rückgabe nach Vertragsende
13.1 Rückgabe
Auf Verlangen des Kunden gibt SODEA eG nach Beendigung des AVV sämtliche personenbezogenen Daten in einem gängigen, strukturierten und maschinenlesbaren Format zurück.
13.2 Löschung
Sofern der Kunde keine Rückgabe verlangt, löscht SODEA eG sämtliche personenbezogenen Daten und vorhandenen Kopien nach Ablauf einer Frist von 30 Tagen nach Vertragsende.
13.3 Ausnahmen
SODEA eG ist zur weiteren Speicherung verpflichtet, soweit gesetzliche Aufbewahrungsfristen dies erfordern. In diesen Fällen schränkt SODEA eG die Verarbeitung auf das erforderliche Maß ein.
13.4 Bestätigung
SODEA eG bestätigt dem Kunden die vollständige Löschung schriftlich oder in Textform.
14. Nachweise, Audits und Kontrollen
14.1 Informationen zur Verfügung stellen
SODEA eG stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.
14.2 Audits
Der Kunde ist berechtigt, Audits bei SODEA eG durchzuführen oder durch einen von ihm beauftragten Prüfer durchführen zu lassen. Audits werden nach vorheriger Ankündigung mit einer Frist von 4 Wochen durchgeführt und finden zu den üblichen Geschäftszeiten statt.
14.3 Audit-Umfang
Audits umfassen die Überprüfung:
- der eingehaltenen Weisungen,
- der technischen und organisatorischen Maßnahmen,
- der Unterlagen zur Verarbeitungstätigkeit.
14.4 Audit-Kosten
Das Erstaudit pro Vertragsjahr ist kostenfrei. Weitere Audits im selben Vertragsjahr werden zu den tatsächlichen Kosten und Aufwand durchgeführt, sofern der Kunde die Kosten trägt.
14.5 Zertifizierungen
Als Nachweis der eingesetzten Maßnahmen stellt SODEA eG dem Kunden auf Anfrage aktuelle Zertifizierungen und Auditberichte zur Verfügung. SODEA eG arbeitet nach den Standards von ISO 27001 und den BSI Souveränitätsvorgaben (Best-Practices).
15. Drittland-Übermittlungen
15.1 Grundsatz
Personenbezogene Daten werden grundsätzlich ausschließlich in Deutschland und der Europäischen Union verarbeitet. Die Hosting-Infrastruktur befindet sich bei Scaleway in Europa (Frankreich).
15.2 Ausnahmen
Soweit Drittland-Übermittlungen erforderlich sind, erfolgen diese nur unter den Voraussetzungen des Art. 44 ff. DSGVO. Derzeit sind keine Drittland-Übermittlungen vorgesehen.
15.3 Hinweis an den Kunden
Der Kunde wird vor der Nutzung von Subunternehmern in Drittländern informiert.
16. Haftung und Schlussbestimmungen
16.1 Haftung
SODEA eG haftet dem Kunden für Schäden, die durch eine Verletzung von Pflichten dieses AVV entstehen, soweit SODEA eG diese zu vertreten hat. Die Haftungsbegrenzungen des Hauptvertrags gelten entsprechend.
16.2 Aufsichtsbehördliche Maßnahmen
Verstöße gegen datenschutzrechtliche Vorschriften können nach Art. 83 DSGVO Geldbußen bis zu 20 Mio. EUR oder bis zu 4 % des weltweiten Jahresumsatzes nach sich ziehen.
16.3 Salvatorische Klausel
Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam sein oder werden, wird hierdurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Die Vertragsparteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.
16.4 Gerichtsstand und anwendbares Recht
Gerichtsstand ist Hamburg. Anwendbares Recht ist das Recht der Bundesrepublik Deutschland.
16.5 Änderungen
Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für die Änderung dieser Schriftformklausel.