Auftragsverarbeitungsvereinbarung (AVV) 1.0

1. Gegenstand und Anwendungsbereich

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch Systempilot im Auftrag des Auftraggebers im Rahmen der Zusammenarbeit.

Sie gilt für sämtliche Leistungen von Systempilot, bei denen ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

2. Art und Zweck der Verarbeitung

Systempilot verarbeitet personenbezogene Daten im Rahmen der vertraglich vereinbarten Leistungen, insbesondere zu folgenden Zwecken:

• der Implementierung, Konfiguration und Betreuung von IT-Lösungen
• der Analyse, Validierung und Übertragung von Daten
• der Fehleranalyse, des Supports und der Optimierung

Eine Verarbeitung zu eigenen Zwecken erfolgt nicht.

3. Art der Daten und Kategorien betroffener Personen

Je nach Projekt können insbesondere folgende Daten verarbeitet werden:

• Geschäfts- und Kontaktdaten
• System- und Nutzungsdaten
• sonstige im Rahmen der jeweiligen Systeme verarbeitete Daten

Betroffene Personen sind insbesondere:

• Mitarbeiter des Auftraggebers
• Geschäftspartner des Auftraggebers (z. B. Kunden, Lieferanten)

4. Pflichten von Systempilot

Systempilot verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen und nur auf dokumentierte Weisung des Auftraggebers. Als dokumentierte Weisung gelten insbesondere diese Vereinbarung, die zugrundeliegende Projektvereinbarung, vereinbarte Leistungsbeschreibungen sowie sonstige schriftlich oder elektronisch dokumentierte Weisungen des Auftraggebers.

Dies gilt auch für eine etwaige Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern eine solche Übermittlung im Rahmen der vereinbarten Leistungen erfolgt oder gesetzlich zulässig ist.

Systempilot weist den Auftraggeber darauf hin, wenn Systempilot der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

Systempilot stellt sicher, dass zur Verarbeitung personenbezogener Daten befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Systempilot trifft angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten personenbezogenen Daten.

5. Einsatz von Dritten / Unterauftragsverarbeiter

Systempilot ist berechtigt, zur Erfüllung der vertraglichen Leistungen Dritte einzusetzen.

Soweit diese Dritten personenbezogene Daten im Auftrag von Systempilot verarbeiten, handelt es sich um Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO. Systempilot setzt Unterauftragsverarbeiter nur ein, wenn diese vertraglich zur Einhaltung der gesetzlichen datenschutzrechtlichen Anforderungen verpflichtet wurden. Soweit der Unterauftragsverarbeiter personenbezogene Daten im Auftrag von Systempilot verarbeitet, werden diesem die für seine Leistung relevanten Datenschutzpflichten aus dieser Vereinbarung bzw. aus Art. 28 DSGVO auferlegt.

Der Auftraggeber erteilt Systempilot eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus der jeweils von Systempilot bereitgestellten Unterauftragnehmer-Liste und gelten mit Abschluss dieser Vereinbarung als genehmigt.

Systempilot informiert den Auftraggeber in angemessener Weise über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Die Information kann insbesondere per E-Mail an den vom Auftraggeber benannten Ansprechpartner oder durch Aktualisierung der Unterauftragnehmer-Liste mit entsprechender Benachrichtigung erfolgen.

Der Auftraggeber kann einer solchen Änderung innerhalb von 14 Tagen nach Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Widerspruch ist schriftlich oder in Textform zu begründen. Erfolgt innerhalb dieser Frist kein begründeter Widerspruch, gilt die Änderung als genehmigt.

Im Falle eines berechtigten Widerspruchs werden die Parteien gemeinsam eine angemessene Lösung suchen. Systempilot ist nicht verpflichtet, einen Unterauftragsverarbeiter zu ersetzen, wenn dies technisch, wirtschaftlich oder organisatorisch nicht zumutbar ist oder die Leistungserbringung dadurch wesentlich beeinträchtigt würde.

Ist eine Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand möglich, ist Systempilot berechtigt, die betroffenen Leistungen auszusetzen oder den Vertrag insoweit aus wichtigem Grund zu beenden.

Systempilot bleibt gegenüber dem Auftraggeber für die datenschutzkonforme Einbindung der Unterauftragsverarbeiter im gesetzlich vorgesehenen Umfang verantwortlich.

6. Unterstützungspflichten

Systempilot unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der Systempilot zur Verfügung stehenden Informationen im erforderlichen und zumutbaren Umfang bei der Einhaltung datenschutzrechtlicher Verpflichtungen, insbesondere bei der Bearbeitung von Anfragen betroffener Personen sowie bei Verpflichtungen zur Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und etwaigen Konsultationen mit Aufsichtsbehörden.

Systempilot ist berechtigt, hierfür entstehende Aufwände, soweit sie über den vertraglich vereinbarten Leistungsumfang hinausgehen, nach vorheriger Abstimmung gesondert zu verrechnen.

7. Datenübermittlung

Eine Verarbeitung personenbezogener Daten außerhalb der EU bzw. des EWR erfolgt nur, soweit dies im Rahmen der vertraglich vereinbarten Leistungen erforderlich ist und die gesetzlichen Voraussetzungen hierfür erfüllt sind.

8. Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht Systempilot nach Wahl des Auftraggebers personenbezogene Daten oder gibt diese zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

Als Abschluss der Verarbeitungsleistungen gilt nicht bereits der Abschluss eines Implementierungsprojekts, sofern Systempilot weiterhin mit Support, Betreuung, Fehleranalyse, Wartung, Optimierung oder sonstigen vertraglich vereinbarten Leistungen beauftragt ist und die weitere Verarbeitung hierfür erforderlich ist.

Während einer laufenden Support-, Betreuungs- oder Vertragsbeziehung ist Systempilot berechtigt, personenbezogene Daten im erforderlichen Umfang weiter zu verarbeiten und aufzubewahren, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen, zur Fehleranalyse, zur Nachvollziehbarkeit von Projektentscheidungen oder zur Sicherstellung des laufenden Betriebs erforderlich ist.

Nach endgültiger Beendigung sämtlicher vertraglicher Leistungen, die eine Verarbeitung personenbezogener Daten erfordern, erfolgt die Rückgabe oder Löschung nach Wahl des Auftraggebers, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Kontrollrechte

Systempilot stellt dem Auftraggeber auf angemessene Anfrage alle erforderlichen Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus dieser Vereinbarung und Art. 28 DSGVO erforderlich sind.

Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung im angemessenen Umfang zu überprüfen. Prüfungen erfolgen vorrangig durch Vorlage geeigneter Nachweise, Auskünfte, Dokumentationen, technischer und organisatorischer Maßnahmen sowie sonstiger geeigneter Unterlagen.

Soweit diese Nachweise im Einzelfall nicht ausreichen, können weitergehende Prüfungen nach vorheriger Abstimmung durchgeführt werden. Vor-Ort-Prüfungen kommen nur in Betracht, soweit sie zur Erfüllung der gesetzlichen Kontrollpflichten des Auftraggebers erforderlich sind und der Prüfungszweck nicht durch mildere Mittel, insbesondere schriftliche Auskünfte, Dokumentenprüfung oder Remote-Prüfung, erreicht werden kann.

Prüfungen sind mindestens 14 Tage im Voraus schriftlich anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Geschäftsbetrieb von Systempilot nicht unverhältnismäßig beeinträchtigen. Der Auftraggeber hat sicherzustellen, dass von ihm eingesetzte Prüfer zur Vertraulichkeit verpflichtet sind und keine Wettbewerber von Systempilot sind.

Prüfungen dürfen sich ausschließlich auf solche Systeme, Prozesse und Informationen beziehen, die für die Verarbeitung personenbezogener Daten des Auftraggebers im Rahmen dieser Vereinbarung relevant sind. Betriebs- und Geschäftsgeheimnisse von Systempilot sowie Rechte Dritter sind angemessen zu schützen.

Die durch eine Prüfung entstehenden eigenen Kosten trägt jede Partei selbst. Verursacht der Auftraggeber durch eine Prüfung einen über das übliche Maß hinausgehenden Aufwand, ist Systempilot berechtigt, diesen Aufwand nach vorheriger Ankündigung zu den jeweils vereinbarten Stundensätzen gesondert zu verrechnen.

10. Haftung

Es gelten die Haftungsregelungen der zugrundeliegenden Vertragsdokumente (insbesondere AGB und Projektvereinbarung).

11. Schlussbestimmungen

Diese Vereinbarung ergänzt die zwischen den Parteien bestehenden vertraglichen Regelungen.

Diese Vereinbarung gilt ab Abschluss und für die Dauer des jeweils zugehörigen Hauptvertrags, in dessen Rahmen Systempilot personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Eine Beendigung des jeweiligen Hauptvertrags bewirkt automatisch auch die Beendigung dieser Vereinbarung, soweit keine weitere Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers auf Grundlage eines anderen Vertragsverhältnisses erfolgt. Eine isolierte Kündigung dieser Vereinbarung ist ausgeschlossen.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Die elektronische Form ist ausreichend.

Datenschutzrechtliche Mitteilungen, insbesondere im Zusammenhang mit Weisungen, Unterauftragsverarbeitern, Kontrollrechten, Betroffenenrechten oder Lösch- und Rückgabeanforderungen, sind an folgende E-Mail-Adresse zu richten:

[email protected]

Der Auftraggeber ist verpflichtet, Systempilot eine aktuelle E-Mail-Adresse für datenschutzrechtliche Mitteilungen mitzuteilen. Mitteilungen von Systempilot im Zusammenhang mit dieser Vereinbarung, insbesondere Informationen über Änderungen bei Unterauftragsverarbeitern, können an diese E-Mail-Adresse oder an den vom Auftraggeber benannten Hauptansprechpartner erfolgen.

Die jeweils aktuellen technischen und organisatorischen Maßnahmen sowie die aktuelle Unterauftragnehmer-Liste sind in der jeweils gültigen Fassung unter folgenden Links abrufbar und Bestandteil dieser Vereinbarung:
TOM: https://systempilot.net/tom/
Unterauftragnehmer-Liste: https://systempilot.net/uav/