Auftragsverarbeitungsvertrag

Inhalt

1. Präambel

Für diesen Auftragsverarbeitungsvertrag gelten die Begriffe und Definitionen der Verordnung (EU) 2016/679 (nachfolgend „DSGVO“), insbesondere des Art. 4 DSGVO.

2. Gegenstand

2.1. Gegenstand dieses Auftragsverarbeitungsvertrages ist die Festlegung des datenschutzrechtlichen Rahmens für die vertraglichen Beziehungen zwischen den Parteien.

2.2. Die Beschreibung des jeweiligen Auftrags mit den Angaben über Gegenstand des Auftrags, Umfang, Art und Zweck der Datenverarbeitung, Art der personenbezogenen Daten sowie Kategorien der betroffenen Personen befindet sich in der Anlage unter Punkt 1.

3. Ort der Datenverarbeitung

Die vertraglich vereinbarte Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt, sofern sich aus der Anlage nichts Anderes ergibt. Jede Verlagerung der Verarbeitung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in schriftlicher Form und darf nur erfolgen, wenn die besonderen Voraussetzungen für die Übermittlung in ein Drittland nach Art. 44 ff. DSGVO erfüllt sind.

4. Laufzeit

4.1. Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Er endet, ohne dass es einer Kündigung bedarf, mit dessen Beendigung.

4.2. Der Auftraggeber kann diesen Vertrag ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

5. Weisung

5.1. Der Auftragnehmer verarbeitet die personenbezogenen Daten nur im Rahmen der vom Auftraggeber erteilten Weisungen. Dies gilt nicht, soweit der Auftragnehmer durch das Recht der EU oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zur Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragnehmer diese rechtlichen Anforderungen vor der Verarbeitung mit, es sei denn, die Mitteilung ist durch das betreffende Recht wegen eines wichtigen öffentlichen Interesses verboten.

5.2. Falls Weisungen die unter Ziffer 1 der Anlage dieses Vertrages getroffenen Festlegungen ändern, aufheben oder ergänzen, sind sie nur zulässig, wenn eine entsprechende neue Vereinbarung in schriftlicher Form erfolgt.

5.3. Unabhängig von der Form der Erteilung dokumentieren sowohl der Auftragnehmer als auch der Auftraggeber jede Weisung des Auftraggebers in Textform. Die Weisungen sind für die Geltungsdauer dieses Vertrages und anschließend noch für drei Jahre aufzubewahren.

5.4. Der Auftragnehmer weist den Auftraggeber unverzüglich darauf hin, wenn eine vom Auftraggeber erteilte Weisung seiner Auffassung nach gegen gesetzliche Vorschriften verstößt. In einem solchen Fall ist der Auftragnehmer nach rechtzeitiger vorheriger Ankündigung gegenüber dem Auftraggeber berechtigt, die Ausführung der Weisung auszusetzen, bis der Auftraggeber die Weisung geändert hat oder diese bestätigt. Sofern der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftraggebers zu einer Haftung des Auftragnehmers nach Art. 82 DSGVO führen kann, steht dem Auftragnehmer das Recht frei, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen.

5.5. Der Auftraggeber legt den oder die Weisungsberechtigten fest. Der Auftragnehmer legt Weisungsempfänger fest. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und in schriftlicher oder elektronischer Form die Nachfolger oder Vertreter mitzuteilen.

6. Unterstützungspflichten des Auftragnehmers

6.1. Der Auftragnehmer ergreift angesichts der Art der Verarbeitung geeignete technische und organisatorische Maßnahmen, um den Auftraggeber bei seiner Pflicht zur Beantwortung von Anträgen der betroffenen Personen nach Art. 12 bis 22 DSGVO zu unterstützen.

6.2. Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragnehmer den Verantwortlichen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO. Im Einzelnen bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen an die Aufsichtsbehörde, der Benachrichtigung betroffener Personen bei einer Verletzung, der Datenschutz-Folgenabschätzung und bei der Konsultation der zuständigen Aufsichtsbehörde.

6.3. Sofern sich eine betroffene Person oder eine Datenschutzaufsichtsbehörde im Zusammenhang mit den unter dieser Vereinbarung verarbeiteten personenbezogenen Daten direkt an den Auftragnehmer wendet, informiert der Auftragnehmer den Auftraggeber hierüber unverzüglich und stimmt die weiteren Schritte mit ihm ab.

7. Prüfungsrechte des Auftraggebers

7.1. Der Auftragnehmer stellt dem Auftraggeber auf dessen Anfrage alle erforderlichen Informationen zum Nachweis der in diesem Vertrag und Art. 28 DSGVO geregelten Pflichten zur Verfügung. Insbesondere erteilt der Auftragnehmer dem Auftraggeber Auskünfte über die gespeicherten Daten und die Datenverarbeitungsprogramme.

7.2. Der Auftraggeber oder von ihm beauftragte Dritte sind – grundsätzlich nach Terminvereinbarung – berechtigt, die Einhaltung der Pflichten aus diesem Vertrag und aus Art. 28 DSGVO zu überprüfen und beim Auftragnehmer Inspektionen vor Ort durchzuführen. Der Auftragnehmer ermöglicht dies und trägt dazu bei.

7.3. Der Auftragnehmer hat dem Auftraggeber auf Anforderung geeigneten Nachweis über die Einhaltung der Verpflichtungen gemäß Art. 28 Abs. 1 und Abs. 4 DSGVO zu erbringen. Dieser Nachweis kann durch die Bereitstellung von Dokumenten und Zertifikaten, die genehmigte Verhaltensregeln i. S. v. Art. 40 DSGVO oder genehmigte Zertifizierungsverfahren i. S. v. Art. 42 DSGVO abbilden, erbracht werden.

8. Datenschutzbeauftragter des Auftragnehmers

Der Datenschutzbeauftragte des Auftragnehmers ist in der Anlage dieses Vertrages unter Ziffer 3 aufgeführt, soweit für den Auftragnehmer ein Datenschutzbeauftragter bestellt sein muss oder freiwillig bestellt ist.

9. Vertraulichkeit

9.1. Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er wahrt bei der Verarbeitung der personenbezogenen Daten des Auftraggebers das Datengeheimnis sowie die Vertraulichkeit. Diese Pflicht besteht auch nach Beendigung dieses Vertragsverhältnisses fort. Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Beschäftigten und deren für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb von Weisungen zu verarbeiten.

9.2. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht. Er verpflichtet diese Mitarbeiter durch schriftliche Vereinbarung für die Zeit der Tätigkeit und auch nach Beendigung des Beschäftigungsverhältnisses zur Wahrung der Vertraulichkeit, sofern sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Unternehmen.

9.3. Auskünfte an Dritte oder Betroffene darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung oder Zustimmung in einem elektronischen Format durch den Auftraggeber erteilen.

9.4. Der Auftraggeber erhält Unterstützung vom Auftragnehmer bei seinen Pflichten nach Art. 32 bis 36 DSGVO.

9.5. Der Auftragnehmer führt ein Verarbeitungsverzeichnis nach Art. 30 Abs. 2 DSGVO.

10. Technische und organisatorische Maßnahmen

10.1. Der Auftragnehmer führt geeignete technische und organisatorische Maßnahmen so durch, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet ist. Er gestaltet seine innerbetriebliche Organisation so, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird und ein angemessenes Schutzniveau erreicht wird. Insbesondere hat der Auftragnehmer unter Berücksichtigung des jeweiligen Stands der Technik die angemessene Sicherheit der Verarbeitung, insbesondere die Vertraulichkeit (inklusive Pseudonymisierung und Verschlüsselung), Verfügbarkeit, Integrität und Belastbarkeit der für die Datenverarbeitung verwendeten Systeme und Dienstleistungen sicherzustellen.

10.2. Die Ausführungen für technische und organisatorische Maßnahmen des Sicherheitskonzeptes des Auftragnehmers werden als verbindlich festgelegt.

10.3. Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen Weiterentwicklung angepasst werden. Dabei müssen die angepassten Maßnahmen mindestens dem Sicherheitsniveau der nach 10.2 vereinbarten Maßnahmen entsprechen. Wesentliche Änderungen sind in schriftlicher Form oder einem elektronischen Format zu vereinbaren.

11. Informationspflichten des Auftragnehmers und Verletzung des Schutzes personenbezogener Daten

11.1. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über jegliche Verstöße oder vermutete Verstöße gegen diesen Vertrag oder Vorschriften, die den Schutz personenbezogener Daten betreffen.

11.2. Der Auftragnehmer unterstützt den Auftraggeber bei der Untersuchung, Schadensbegrenzung und Behebung der Verstöße.

11.3. Sollten die personenbezogenen Daten, die unter dieser Vereinbarung verarbeitet werden, beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang relevanten Stellen unverzüglich auch darüber informieren, dass die Herrschaft über die Daten beim Auftraggeber liegt.

11.4. Soweit Prüfungen der Datenschutzaufsichtsbehörden durchgeführt werden, verpflichtet sich der Auftragnehmer, das Ergebnis dem Auftraggeber bekannt zu geben, soweit es die Verarbeitung der personenbezogenen Daten unter diesem Vertrag betrifft. Die im Prüfbericht festgestellten Mängel wird der Auftragnehmer unverzüglich abstellen und den Auftraggeber darüber informieren.

11.5. Dieser Punkt 11 gilt entsprechend für Vorkommnisse bei Prozessen, die von Unterauftragnehmern ausgeführt werden.

11.6. Der Auftragnehmer trifft sofort die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen für die betroffene Person.

12. Unterauftragnehmer

12.1. Die Beauftragung von Unterauftragnehmern durch den Auftragnehmer erfolgt nur nach Zustimmung des Auftraggebers in schriftlicher oder elektronischer Form.

12.2. Der Auftragnehmer hat vertraglich sicherzustellen, dass die in diesem Vertrag vereinbarten Regelungen auch gegenüber Unterauftragnehmern gelten. Der Vertrag des Auftragnehmers mit dem Subunternehmer muss schriftlich oder in elektronischem Format abgeschlossen werden.

12.3. Eine Beauftragung von Subunternehmern in Drittstaaten erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

12.4. Der Auftraggeber erteilt hiermit seine Zustimmung zur Beauftragung der in der Anlage unter der Ziffer 4 aufgeführten Unterauftragnehmer.

12.5. Der Auftragnehmer stellt sicher, dass der Auftraggeber gegenüber dem Unterauftragnehmer dieselben Weisungsrechte und Kontrollrechte wie gegenüber dem Auftragnehmer nach diesem Vertrag hat. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.

13. Löschung und Rückgabe personenbezogener Daten

13.1. Der Auftragnehmer ist nach Abschluss der vertraglich vereinbarten Verarbeitungsleistungen verpflichtet, alle personenbezogenen Daten, die er im Zuge der Auftragsverarbeitung erhalten hat, nach Wahl des Auftraggebers an den Auftraggeber zurückzugeben oder zu löschen. Dies schließt insbesondere die Ergebnisse der Datenverarbeitung, überlassene Dokumente und überlassene Datenträger und Kopien der personenbezogenen Daten mit ein. Die Pflicht zur Löschung oder Rückgabe besteht nicht, sofern der Auftragnehmer nach dem Recht der EU oder der Mitgliedstaaten zur weiteren Speicherung der Daten gesetzlich verpflichtet ist. Besteht eine weitere Verpflichtung zur Speicherung, hat der Auftragnehmer die Verarbeitung der personenbezogenen Daten einzuschränken und die Daten nur für die Zwecke zu nutzen, für die eine Verpflichtung zur Speicherung besteht. Die Pflichten zur Sicherheit der Verarbeitung bestehen für den Zeitraum der Speicherung fort. Der Auftragnehmer hat die Daten unverzüglich zu löschen, sobald die Pflicht zur Speicherung entfällt.

13.2. Die Löschung hat so zu erfolgen, dass die Daten nicht wiederherstellbar sind.

13.3. Die Vorgänge sind mit Angabe von Datum und durchführender Person zu protokollieren. Die Protokolle sowie ein Nachweis der Durchführung in schriftlicher Form sind dem Auftraggeber innerhalb von 48 Stunden nach Durchführung der Vorgänge zur Verfügung zu stellen.

14. Haftung

Die Haftung ergibt sich aus Art. 82 DSGVO.

15. Schlussbestimmungen

15.1. Die Einrede des Zurückbehaltungsrechts im Sinne von § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten ausgeschlossen.

15.2. Die Anlage oder im Falle mehrerer abgeschlossener Hauptverträge die Anlagen zu diesem Vertrag sind wesentlicher Bestandteil desselben.

15.3. Für Änderungen oder Nebenabreden ist die Schriftform oder ein elektronisches Format erforderlich. Dies gilt auch für Änderungen dieses Formerfordernisses.

15.4. Erweist sich eine Bestimmung dieser Vereinbarung als unwirksam, so berührt dies die Wirksamkeit der übrigen Bestimmungen der Vereinbarung nicht.

Anlage 1 zum Auftragsverarbeitungsvertrag

1. Gegenstand des Auftrags

1.1. Gegenstand des Auftrags

Der Auftraggeber beauftragt integeri zur Unterweisung und Schulung seiner Mitarbeiter. Um dies gewährleisten zu können, ermächtigt der Auftraggeber integeri zur Verarbeitung personenbezogener Daten sowie deren Nutzung zur Erstellung von Dokumenten und zur Kontaktaufnahme. Gegenstand dieses Auftrags sind die Sicherung personenbezogener Daten und der Informationsaustausch zur Erstellung von Teilnehmerzertifikaten der Beschäftigten des Auftraggebers. Die Nutzung und Bedienung von Schnittstellen und APIs zum automatisierten Import und Export von Daten sind Bestandteil dieses Auftrages.

1.2. Umfang, Art (Art. 4 Nr. 2 DSGVO) und Zweck der Datenverarbeitung:

integeri versichert, ausschließlich Daten in dem für den unter Punkt 1.1. genannten Zweck erforderlichen Umfang zu erheben. Unter Verarbeitung verstehen wir den mit oder ohne Hilfe von automatisierten Verfahren ausgeführten Vorgang oder eine Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, die Speicherung, das Auslesen, die Verwendung und den Abgleich von Daten.

1.3. Art der Daten

Mit „*“ gekennzeichnete Attribute sind aufgrund der notwendigen Identifizierbarkeit der Person und der Notwendigkeit der Nachvollziehbarkeit von Unterweisungen und Schulungen durch einschlägige Gesetze zwingend erforderlich (DGUV Vorschriften und Regeln). Der Auftragnehmer legt in eigenem Ermessen fest, welche personenbezogenen Daten zur Auftragsverarbeitung eingegeben und somit freigegeben werden.

1.4. Kreis der Betroffenen*

* soweit beim Auftragnehmer zutreffend.

2. Weisungsberechtigte Personen

2.1. Weisungsberechtigte Personen des Auftraggebers:

2.2. Weisungsberechtigte Personen des Auftragnehmers:

Name:

Alexander Weber

Funktion:

Geschäftsführer

E-Mail:

alexander.weber@integeri.com

3. Ansprechpartner für Datenschutz

Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt (§ 38 Abs. 1 BDSG). Ansprechpartner für Datenschutzfragen:

Name:

Cornel Dolff

E-Mail:

datenschutzbeauftragter@integeri.com

4. Unterauftragnehmer

Zum Kreis der genehmigten Unterauftragnehmer bei Abschluss dieses Vertrages gehören:

* Unterauftragnehmer wird ausschließlich bei Nutzung des jeweiligen Moduls verwendet. Die Nutzung einzelner Unterauftragnehmer ist abhängig vom jeweils gebuchten Funktionsumfang der Software. Nicht alle Unterauftragnehmer werden für jeden Auftraggeber eingesetzt. Es können sich die von uns beauftragten Drittanbieter ändern. Wir informieren Sie als Kunden regelmäßig und rechtzeitig vor Inkrafttreten der Änderungen über Aktualisierungen. Dies geschieht automatisiert an den Hauptadministrator des Auftraggebers, der bei erster Einrichtung des Mandanten-Accounts angelegt wurde. Dieser hat eigenverantwortlich Änderungen an den Datenschutzbeauftragten des Auftraggebers weiterzuleiten.

Die aktuelle Liste ist unter „https://integeri.com/avv/“ (Anlage 1, Ziffer 4) zu finden.

Nebenleistungen, wie beispielsweise Transport, Wartung und Reinigung, die Inanspruchnahme von Telekommunikationsdienstleistungen, Benutzerservice oder Kundenbeziehungsmanagement sowie sonstige Maßnahmen zur Gewährleistung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen, sind nicht erfasst. Die Pflicht des Auftragsverarbeiters, auch in diesen Fällen für die Beachtung von Datenschutz und Datensicherheit gemäß einschlägiger Rechtsvorschriften zu sorgen, bleibt unberührt.

5. Technische und organisatorische Maßnahmen

5.1. Zutrittskontrolle zu Räumlichkeiten und Einrichtungen, in denen Daten verarbeitet werden

Der Auftragnehmer hat folgende Maßnahmen ergriffen:

• Digitales Schließsystem aller Türen
• alarmgesichertes Gebäude
• erzwungener Passwortschutz an allen Endgeräten

5.2. Zugangs- und Zugriffskontrolle

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen:

• Passwortschutz der Endgeräte
• 2FA
• Vorgaben für sichere Passwörter (mind. 8 Zeichen, sowie mind. ein Groß- und Kleinbuchstabe, Ziffer, Sonderzeichen)
• Führung der Rollen- und Rechteverwaltung für Kundensupport
  • der Zugriff auf personenbezogene Daten durch integeri Techniker, Admins, Support ist begrenzt bzw. technisch ausgeschlossen
• Auftraggeber kann selbst die Passwortgüte festlegen und die Mindest-Passwortlänge einstellen

5.3. Eingabekontrolle

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen:

• integeri (techniker-, anwender- und supportseitig) ist es technisch nicht möglich, personenbezogene Daten zu verändern

5.4. Auftragskontrolle

Die weisungsgemäße Auftragsverarbeitung ist zu gewährleisten. Eine Datenverarbeitung durch Dritte (vgl. Art. 28 DSGVO) ist gemäß den Anweisungen des Auftraggebers/Datenexporteurs erlaubt. Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen:

• es sind ausschließlich die unter Punkt 4 genannten Unterauftragnehmer in der Software eingebunden
• beim Implementieren oder Beauftragen anderer Unterauftragnehmer wird der Auftraggeber über die Änderung und Auswirkung frühzeitig informiert, sodass folgende Optionen zur Verfügung stehen
  • Sonderkündigungsrecht durch den Auftraggeber und Auftragnehmer
  • Deaktivierung des neuen Features (insofern technisch möglich)

5.5. Getrennte Verarbeitung von Daten/Trennungskontrolle

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen – detaillierte Beschreibung:

• Die getrennte Verarbeitung von Daten, die für unterschiedliche Zwecke erhoben wurden, ist durch die eigens entwickelte Datenbank-Architektur gewährleistet
• Die Zugriffsrechteverwaltung prüft zusätzlich auf Wurzelebene die Validität und Berechtigung jeder einzelnen Anfrage

5.6. Weitergabekontrolle

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen:

• personenbezogene Daten sind verschlüsselt auf zertifizierten Servern in Deutschland (Frankfurt) und der EU gespeichert,
  • AWS ist nach ISO/IEC 27001:2022, 27017:2015, 27018:2019, 27701:2019, 22301:2019, 20000-1:2018, 9001:2015 und CSA STAR CCM v4.0 zertifiziert.
• die Weitergabe von personenbezogenen Daten (ausschließlich Vorname und Nachname) erfolgt ausschließlich bei der Nutzung des SMS Addons über einen gesicherten SMS-Gateway
  • Stimmt der Kunde der Nutzung des SMS Gateway nicht zu, obliegt es ihm, die SMS Funktion nicht zu benutzen und dazu keine Mobilfunknummern ins System einzubinden
• Das Hinterlegen von personenbezogenen Telefonnummern und E-Mail-Adressen ist systemseitig entbehrlich. Der Auftraggeber kann zur Vereinfachung seiner Prozesse auf eigenen Wunsch vorgenannte Daten einpflegen.

5.7. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Die Daten sind gegen zufällige Zerstörung und Verlust geschützt
• über Amazon Web Services sind unter anderem folgende Aspekte realisiert:
  • Maßnahmen zur Datensicherung sind
  • Backup, Raid
  • Automatisches Load Balancing System
• Datenexporte außerhalb der EU/EWR sind ausgeschlossen, soweit nicht Anlage 2 Ziffer 3.5 für ein Zusatzmodul etwas anderes regelt

5.8. Privacy by Default

• um der Datensparsamkeit Rechnung zu tragen, ist das Hinterlegen von personenbezogenen Telefonnummern und E-Mail-Adressen systemseitig entbehrlich
• der Auftraggeber kann zur Vereinfachung seiner Prozesse auf eigenen Wunsch vorgenannte Daten einpflegen

5.9. Organisationskontrolle

• im „Anwendungs- und Prozesshandbuch“ sind alle Verfahren, Features der integeri Anwendung dokumentiert und durch die eigene Entwicklung umgesetzt

5.10. Wirksamkeitskontrolle

• integeri führt permanent Tests, Manipulationstests, Penetrationstests durch, um die Sicherheit und Verfügbarkeit auf höchstem Niveau zu halten

Anlage 2 zum Auftragsverarbeitungsvertrag

– Modulspezifische Datenverarbeitung –

1. Geltungsbereich und Abgrenzung

Diese Anlage ergänzt den bestehenden Auftragsverarbeitungsvertrag zwischen dem Auftraggeber und der integeri GmbH.

Die im Hauptvertrag sowie in der bestehenden Anlage definierten Regelungen gelten unverändert für das Kernprodukt der integeri GmbH (Unterweisungs- und Schulungssystem).

Die nachfolgenden Regelungen finden ausschließlich Anwendung, sofern der Auftraggeber die jeweils beschriebenen Zusatzmodule aktiv nutzt. Ohne Aktivierung der jeweiligen Module bleiben diese Regelungen gegenstandslos.

2. Modul: KI-gestützte Videoproduktion

2.1 Beschreibung der Verarbeitung

Im Rahmen dieses Moduls werden durch den Auftraggeber bereitgestellte Schulungsinhalte an einen externen Dienstleister zur Erstellung von KI-generierten Videoformaten (Avatar-Videos) übermittelt.

2.2 Zweck der Verarbeitung

Erstellung und Bereitstellung von Schulungsvideos zur Nutzung im Unterweisungssystem.

2.3 Art der Daten

• Schulungsinhalte (Texte, Dokumente, Beschreibungen)
• ggf. personenbezogene Daten innerhalb der Inhalte (z. B. Namen, Rollenbezeichnungen)

2.4 Unterauftragnehmer

2.5 Besondere Hinweise

Die Verarbeitung erfolgt ausschließlich zur Erstellung der beauftragten Inhalte. Eine Nutzung der Daten zu Trainingszwecken durch den Dienstleister ist ausgeschlossen, soweit dies technisch und vertraglich vereinbart ist.

3. Modul: Gefährdungsbeurteilung für Baustellen (KI-gestützt)

3.1 Beschreibung der Verarbeitung

Im Rahmen dieses Moduls werden projektbezogene Daten über digitale Formulare erfasst, gespeichert und automatisiert verarbeitet. Die Verarbeitung umfasst insbesondere die Strukturierung, Analyse und Aufbereitung der Daten zur Erstellung von Gefährdungsbeurteilungen.

Die Verarbeitung erfolgt unter Einsatz externer Cloud- und Automatisierungsdienste sowie KI-gestützter Systeme.

3.2 Zweck der Verarbeitung

Erstellung, Analyse und Dokumentation von Gefährdungsbeurteilungen für Baustellen.

3.3 Art der Daten

Projekt- und Baustellendaten:

• Projektnummer
• Baustellenbezeichnung
• Ort der Baustelle

Personenbezogene Daten:

• Name Bauleiter
• Name verantwortliche Personen vor Ort
• Name fachlich Verantwortliche
• dienstliche E-Mail-Adressen
• Zuordnung zu Projekten/Baustellen

3.4 Unterauftragnehmer

3.5 Drittlandübermittlung

Eine Verarbeitung personenbezogener Daten in Drittländern (insbesondere in den Vereinigten Staaten) erfolgt ausschließlich unter Einhaltung der Art. 44 ff. DSGVO.

Hierzu werden geeignete Garantien eingesetzt, insbesondere:

• EU-Standardvertragsklauseln (Standard Contractual Clauses – SCC) oder
• Angemessenheitsbeschlüsse (z. B. EU-US Data Privacy Framework).

3.6 Einsatz von KI-Systemen

Im Rahmen dieses Moduls werden KI-gestützte Systeme eingesetzt.

Der Auftragnehmer stellt sicher, dass:

• die Verarbeitung ausschließlich zweckgebunden erfolgt,
• nur die zur Verarbeitung erforderlichen Daten übermittelt werden (Datenminimierung),
• eine Nutzung der Daten zu Trainingszwecken durch die eingesetzten Dienstleister ausgeschlossen ist, soweit dies technisch und vertraglich möglich ist.

4. Aktivierung und Zustimmung

Die Nutzung der in dieser Anlage beschriebenen Module erfolgt ausschließlich nach gesonderter Beauftragung durch den Auftraggeber.

Mit der Aktivierung eines Moduls stimmt der Auftraggeber der Einbindung der jeweils genannten Unterauftragnehmer zu.

5. Schlussbestimmungen

Im Übrigen gelten die Regelungen des bestehenden Auftragsverarbeitungsvertrages unverändert fort.

Diese Anlage ist Bestandteil des Auftragsverarbeitungsvertrages.