Vereinbarung zur Auftragsverarbeitung (AVV)

Vertragsparteien und Abschluss

Diese Vereinbarung wird geschlossen zwischen der Firma, die BMA Log, BMA Log Go oder BMA Office nutzt (nachfolgend „Verantwortlicher“), und

– nachfolgend „Auftragsverarbeiter“ –.

Sie kommt zustande, wenn die Parteien sie in Textform oder elektronisch abschließen, zum Beispiel indem der Verantwortliche sie unter Angabe von Firma und Anschrift per E-Mail an info@griegoleit-schmitz.de annimmt und der Auftragsverarbeiter dies bestätigt. Die Registrierung eines Kontos allein genügt nicht. Die Vereinbarung ergänzt den Vertrag über die Nutzung der Dienste (nachfolgend „Hauptvertrag“) einschließlich der Nutzungsbedingungen.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Webanwendung BMA Log, die App BMA Log Go und – soweit für den Verantwortlichen freigeschaltet – BMA Office als Online-Dienste bereit (nachfolgend „Dienste“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Einzelheiten enthält Anlage 1.

(2) Die Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

(3) Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist, etwa die Vertragsabwicklung mit dem Verantwortlichen, die Absicherung der Dienste gegen Missbrauch, die Website, Demoanfragen und der Support. Darüber informiert die Datenschutzerklärung.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich, um die Dienste bereitzustellen. Dazu gehören je nach genutzten Funktionen:

• in BMA Log und BMA Log Go: Verwalten von Kunden, Objekten und Anlagen; Durchführen und Dokumentieren von Prüfungen und Wartungen; Erstellen, Archivieren und – auf Veranlassung eines Benutzers – Versenden von Prüfberichten, Auslöselisten und Mängeldokumentationen; Importieren von Anlagen- und Ereignisdaten; Ablegen von Dokumenten, Fotos und Programmständen; Termine und Kalenderanbindung; Kundenzugänge; Offline-Nutzung und Synchronisierung in der App; KI-Assistent auf Anfrage eines Benutzers;
• in BMA Office: Verwalten von Kunden und Kontakten, Aufträgen, Leistungsverzeichnissen und Aufmaß; Einsatzplanung und Kalender; Arbeitsberichte mit Arbeitszeiten und Unterschriften; Lager und Fuhrpark; Erstellen, Festschreiben, Stornieren und Versenden von Rechnungen; Dokumente;
• übergreifend: Verwalten der Benutzerkonten, Rollen und Berechtigungen der Firma, Speichern von Dateien, Protokollierung, Sicherung und Wiederherstellung sowie technischer Support auf Anfrage des Verantwortlichen.

§ 3 Arten personenbezogener Daten

• Konto- und Berechtigungsdaten der Benutzer: Name, E-Mail-Adresse, Rolle, Berechtigungen, Anlagenzuordnung, Freischaltungen, Kontostatus und Einladungen;
• Kunden- und Kontaktdaten: Name bzw. Firma, Kundennummer, Anschrift, Telefon, E-Mail-Adressen, Ansprechpartner mit Funktion sowie verantwortliche Personen an Objekten und Anlagen;
• Prüf- und Wartungsdaten mit Personenbezug: bearbeitende Personen, Zeitpunkte, Ergebnisse, Messwerte, Mängel, Bemerkungen, Unterschriften und Firmenstempel;
• Auftrags- und Einsatzdaten: Aufträge, Termine, Einsatzplanung, Tätigkeiten und verwendetes Material;
• Beschäftigtendaten aus BMA Office: Arbeitsdatum, Beginn- und Endzeiten, Pausen-, Arbeits- und Fahrzeiten sowie die Zuordnung von Fahrzeugen;
• Abrechnungsdaten: Rechnungen, Abschlags- und Stornorechnungen mit Rechnungsempfänger, Positionen und Beträgen;
• Dateien und deren Inhalte: Fotos, Dokumente, Handbücher, Import- und Ereignisdateien, Briefköpfe;
• Kommunikationsdaten: Empfänger, Betreff, Nachricht und Anhänge versendeter E-Mails, Versandstatus sowie Rückmeldungen von Kunden;
• Termine aus eingebundenen Kalendern;
• Protokolldaten: Aktivitätsprotokoll mit Benutzer, Zeitpunkt und Aktion.

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist für die Dienste nicht vorgesehen.

§ 4 Kategorien betroffener Personen

• Beschäftigte und sonstige Benutzer des Verantwortlichen, etwa Administratoren, Disponenten, Projektleiter und Techniker;
• Kunden und Auftraggeber des Verantwortlichen und deren Ansprechpartner, einschließlich Benutzern mit Kundenzugang;
• Betreiber, Objektverantwortliche und sonstige Kontaktpersonen an Objekten und Anlagen;
• Empfänger von Berichten, Rechnungen und anderen E-Mails;
• Personen, deren Daten in hochgeladenen Dateien, Fotos oder Unterschriften enthalten sind.

§ 5 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen sind der Hauptvertrag, diese Vereinbarung sowie die Einstellungen und Aktionen der berechtigten Benutzer in den Diensten. Darüber hinausgehende Weisungen erteilt der Verantwortliche in Textform.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Sie verarbeiten die Daten nur, soweit es für ihre Aufgaben erforderlich ist.

§ 7 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Er darf die Maßnahmen an die technische Entwicklung anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er in Anlage 2.

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die in Anlage 3 genannten Unterauftragsverarbeiter gelten mit Abschluss dieser Vereinbarung als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform, zum Beispiel per E-Mail an die Firmenadministration, und aktualisiert Anlage 3. Der Verantwortliche kann innerhalb von zwei Wochen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Finden die Parteien keine zumutbare Lösung, kann der Verantwortliche die betroffenen Dienste zum Zeitpunkt der Änderung kündigen.

(3) Muss ein Unterauftragsverarbeiter aus dringenden Gründen der Sicherheit oder Verfügbarkeit kurzfristig ersetzt werden, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich; das Widerspruchs- und Kündigungsrecht nach Absatz 2 gilt entsprechend.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den Anforderungen von Art. 28 Abs. 4 DSGVO entsprechen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung.

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikations- oder Postdienste sowie Dienste, die der Verantwortliche selbst beauftragt, etwa ein eigenes Konto beim E-Mail-Dienst Resend oder ein von ihm eingebundener Kalenderanbieter.

§ 9 Übermittlung in Drittländer

Daten werden außerhalb des Europäischen Wirtschaftsraums nur verarbeitet, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses wie zum EU-US Data Privacy Framework oder von EU-Standardvertragsklauseln. Die Grundlage je Unterauftragsverarbeiter ist in Anlage 3 angegeben.

§ 10 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. In den Diensten kann der Verantwortliche Daten einsehen, berichtigen, entfernen und als PDF oder Export bereitstellen; Benutzer können ihr Konto selbst löschen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

(2) Unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde.

§ 11 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach, sobald sie vorliegen. Er ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und nachteilige Folgen zu mindern.

§ 12 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere diese Vereinbarung, Anlage 2 und die Vertragsunterlagen der Unterauftragsverarbeiter.

(2) Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Überprüfungen sind mit angemessener Frist, in der Regel zwei Wochen, anzukündigen und so durchzuführen, dass der Betrieb nicht unverhältnismäßig gestört wird und Geschäftsgeheimnisse sowie Daten anderer Kunden geschützt bleiben.

(3) Die Rechenzentren der Unterauftragsverarbeiter werden vorrangig anhand der Nachweise überprüft, etwa Prüfberichte und Zertifikate, die diese nach ihren Vertragsunterlagen bereitstellen.

§ 13 Berichtigung, Löschung und Rückgabe

(1) Während der Laufzeit berichtigt und entfernt der Verantwortliche Daten selbst in den Diensten. Von der Firmenadministration entfernte Anlagen, Importe und Abschlüsse kommen zunächst in einen Papierkorb, aus dem sie wiederhergestellt werden können. Auf Weisung in Textform löscht der Auftragsverarbeiter einzelne Datensätze endgültig.

(2) Der Verantwortliche kann jederzeit Prüfberichte, Arbeitsberichte und Rechnungen herunterladen sowie die BMA-Log-Daten seiner Firma einschließlich der Originaldateien bis 10 MB exportieren. Weitere Exporte, etwa der Daten aus BMA Office oder größerer Dateibestände, stellt der Auftragsverarbeiter auf Anfrage in einem gängigen, maschinenlesbaren Format bereit.

(3) Nach Beendigung des Hauptvertrags kann der Verantwortliche innerhalb von 30 Tagen die Rückgabe seiner Daten durch Export nach Absatz 2 verlangen. Anschließend löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen einschließlich der Dateien, spätestens 60 Tage nach Vertragsende, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Auf Verlangen bestätigt er die Löschung in Textform.

(4) In Wiederherstellungspunkten der Datenbank können gelöschte Daten bis zu deren Ablauf technisch noch enthalten sein. Sie werden ausschließlich verwendet, um nach einer Störung einen früheren Stand wiederherzustellen.

(5) Gesetzliche Aufbewahrungspflichten des Verantwortlichen, etwa für Rechnungen und andere Geschäftsunterlagen nach § 257 HGB und § 147 AO, erfüllt der Verantwortliche selbst. Er sichert aufbewahrungspflichtige Unterlagen rechtzeitig vor Vertragsende durch Export.

§ 14 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen, die Vergabe von Rollen und Berechtigungen und die Festlegung von Aufbewahrungsfristen.

(2) Verarbeitet er Beschäftigtendaten, etwa Arbeitszeiten in Arbeitsberichten oder die Zuordnung von Fahrzeugen in BMA Office, stellt er die Zulässigkeit sicher und wahrt etwaige Beteiligungsrechte eines Betriebsrats.

(3) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt, und vorab, wenn er Daten mit außergewöhnlich hohem Schutzbedarf verarbeiten möchte.

(4) Exporte enthalten die Daten unverschlüsselt; der Verantwortliche bewahrt sie geschützt auf.

§ 15 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten im Übrigen die Haftungsregelungen des Hauptvertrags.

§ 16 Kontakt

Mitteilungen nach dieser Vereinbarung richtet der Verantwortliche an info@griegoleit-schmitz.de. Der Auftragsverarbeiter richtet Mitteilungen an die E-Mail-Adresse der Firmenadministration, die in den Diensten hinterlegt ist.

§ 17 Schlussbestimmungen

(1) Bei Widersprüchen geht diese Vereinbarung den Regelungen des Hauptvertrags zum Datenschutz vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. Aktualisierungen von Anlage 2 nach § 7 Abs. 2 und von Anlage 3 nach § 8 bleiben davon unberührt.

(3) Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Einzelheiten der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

Es gelten die unter Technische und organisatorische Maßnahmen (TOM) beschriebenen Maßnahmen in der bei Abschluss dieser Vereinbarung veröffentlichten Fassung, fortgeschrieben nach § 7 Abs. 2.

Anlage 3 – Unterauftragsverarbeiter

Daten, Ort der Verarbeitung und weitere Einzelheiten enthält die Seite Unterauftragsverarbeiter.