Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragsparteien und Anwendungsbereich

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der jeweilige Kunde (nachfolgend „Verantwortlicher“). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

AAA BW GmbH
Robert-Koch-Weg 3, 72555 Metzingen, Deutschland
Registergericht: Amtsgericht Stuttgart, Registernummer: HRB 806390
E-Mail: [email protected]

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Plattform Tendova und ergänzt die Allgemeinen Geschäftsbedingungen (AGB). Im Falle von Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.

§ 2 Gegenstand, Dauer und Art der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die Bereitstellung eines Ausschreibungs-Intelligence-Dienstes (Suche, Matching, Alerts, KI-gestützte Zusammenfassungen und Dokumentenanalyse) auf Basis der Plattform Tendova. Die Dauer der Verarbeitung entspricht der Laufzeit des zwischen den Parteien bestehenden Nutzungsvertrags (Abonnement) zuzüglich der in § 10 genannten Löschfristen. Art und Zweck der Verarbeitung ergeben sich aus dem gebuchten Tarif und den vom Verantwortlichen aktiv genutzten Funktionen, insbesondere dem Hochladen von Ausschreibungsunterlagen zur KI-gestützten Auswertung.

§ 3 Kategorien betroffener Daten und Personen

Im Rahmen der Auftragsverarbeitung werden folgende Datenkategorien verarbeitet:

• Konto- und Profildaten (Name, geschäftliche E-Mail-Adresse, Unternehmenszugehörigkeit)
• Von Nutzern des Verantwortlichen hochgeladene Ausschreibungsunterlagen und deren Inhalte
• Nutzungs- und Protokolldaten (Suchanfragen, Interaktionen, IP-Adresse, Zeitstempel)

Betroffene Personen sind die Mitarbeitenden und sonstigen Nutzer, die der Verantwortliche zur Nutzung der Plattform autorisiert hat, sowie gegebenenfalls natürliche Personen, deren Daten in hochgeladenen Ausschreibungsunterlagen enthalten sind.

§ 4 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet. Die Konfiguration und Nutzung der Plattform durch den Verantwortlichen (z. B. das Hochladen von Dokumenten, die Aktivierung von KI-Funktionen) gilt als Weisung im Sinne dieser Regelung.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sämtliche zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO, insbesondere:

• Verschlüsselte Datenübertragung (TLS) für sämtliche Client-Server-Verbindungen
• Betrieb der primären Infrastruktur auf dedizierten Servern in der Europäischen Union (§ 8)
• Rollenbasierte Zugriffskontrolle und Beschränkung des Zugriffs auf das Erforderliche
• Regelmäßige Datensicherungen (Backups)
• Protokollierung sicherheitsrelevanter Ereignisse zur Erkennung von Anomalien

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz der nachfolgend gelisteten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung oder Ersetzung von Unterauftragsverarbeitern) rechtzeitig im Voraus per E-Mail oder über die Plattform; der Verantwortliche kann derartigen Änderungen innerhalb von 14 Tagen aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen.

Stripe Payments Europe, Ltd. wird als Unterauftragsverarbeiter erst mit Aktivierung kostenpflichtiger Abonnements auf tendova.eu operativ tätig.

§ 8 Drittlandübermittlung, KI-Verarbeitung und Datenresidenz

Die primäre Datenspeicherung und -verarbeitung erfolgt auf dedizierten Servern der Hetzner Online GmbH in Deutschland. Sofern der Verantwortliche KI-gestützte Funktionen aktiv nutzt (z. B. Zusammenfassungen, Dokumenten-Fragen), werden die betreffenden Ausschreibungstexte bzw. Auszüge aus hochgeladenen Dokumenten zur Verarbeitung an die in § 7 genannten KI-Anbieter übermittelt. KI-Funktionen sind stets opt-in und werden je Vorgang durch aktive Nutzerinteraktion ausgelöst; wer diese Übermittlung vermeiden möchte, nutzt die betreffenden KI-Funktionen nicht. Gemäß den Auftragsverarbeitungs- und Nutzungsbedingungen der eingesetzten KI-Anbieter werden über die Plattform übermittelte Kundendaten nicht zum Training von KI-Modellen verwendet.

§ 9 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Zentrale Selbstbedienungsfunktionen für Datenauskunft und -export stehen dem Verantwortlichen jederzeit über Kontoeinstellungen → Datenschutz zur Verfügung.

§ 10 Löschung und Rückgabe nach Vertragsende

Der Verantwortliche kann Organisationsdaten über Kontoeinstellungen → Datenschutz jederzeit selbst exportieren oder vollständig löschen. Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten, soweit nicht gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Fristen für Abrechnungsdaten) entgegenstehen.

§ 11 Kontroll- und Prüfrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, im Rahmen des wirtschaftlich Zumutbaren und unter angemessener Vorankündigung.

§ 12 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO bekannt wird, die im Rahmen dieses AVV verarbeitete Daten betrifft, und unterstützt ihn bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

§ 13 Haftung und Schlussbestimmungen

Die Haftung der Parteien im Zusammenhang mit diesem AVV richtet sich nach den Haftungsregelungen der AGB sowie den zwingenden Vorgaben der DSGVO. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.