Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

§ 1 Gegenstand und Dauer der Verarbeitung
(1) Gegenstand dieses AV-Vertrags sind die Rechte und Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO.
(2) Auftragnehmer ist die BITEFEX GmbH, Mahlower Straße 24, 12049 Berlin.
(3) Gegenstand, Umfang und Zweck der Verarbeitung ergeben sich aus dem jeweiligen Hauptvertrag, der Leistungsbeschreibung, dem Angebot, dem Servicevertrag oder einer sonstigen Beauftragung.
(4) Die Dauer der Verarbeitung richtet sich nach der Laufzeit des jeweiligen Hauptvertrags. Soweit Daten nach Vertragsende gesetzlichen Aufbewahrungs- oder Nachweispflichten unterliegen, werden diese nur für die jeweiligen gesetzlichen Zwecke weiter gespeichert.

§ 2 Art und Zweck der Verarbeitung
(1) Die Verarbeitung erfolgt ausschließlich zur Erbringung der vereinbarten Leistungen gegenüber dem Auftraggeber.
(2) Zweck der Verarbeitung sind insbesondere IT-Support, Fernwartung, Vor-Ort-Service, Wartung, Fehleranalyse, Störungsbeseitigung, IT-Sicherheitsmaßnahmen, Systemadministration, Backup- und Wiederherstellungsleistungen, Monitoring, Migrationen, Einrichtung und Betreuung von Hard- und Software, Website- und Hosting-nahe Leistungen sowie damit verbundene Beratungs- und Dokumentationsleistungen.
(3) Die Art der Verarbeitung umfasst insbesondere Erheben, Erfassen, Organisieren, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschränken, Löschen und Vernichten personenbezogener Daten, soweit dies zur Durchführung der beauftragten Leistungen erforderlich ist.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen
(1) Die Art der personenbezogenen Daten richtet sich nach den Systemen, Datenbeständen und Weisungen des Auftraggebers.
(2) Verarbeitet werden können insbesondere:

• Stammdaten, z. B. Name, Anschrift, Kundennummer, Benutzername
• Kontaktdaten, z. B. E-Mail-Adresse, Telefonnummer, geschäftliche Kontaktdaten
• Kommunikationsdaten, z. B. E-Mail-Inhalte, Tickets, Supportanfragen, Gesprächsnotizen
• Nutzungs- und Protokolldaten, z. B. Login-Daten, IP-Adressen, Zeitstempel, technische Logs
• System- und Gerätedaten, z. B. Hostnamen, Gerätekennungen, Konfigurationsdaten
• Inhaltsdaten, z. B. Dateien, Dokumente, Datenbanken, Website-Inhalte, E-Mail-Postfächer
• Beschäftigtendaten des Auftraggebers, soweit diese im Rahmen der IT-Betreuung verarbeitet werden
• sonstige personenbezogene Daten, auf die BITEFEX im Rahmen der beauftragten Leistung Zugriff erhalten kann

(3) Kategorien betroffener Personen können insbesondere sein: Mitarbeitende des Auftraggebers, Kunden des Auftraggebers, Interessenten, Lieferanten, Dienstleister, Ansprechpartner, Website-Besucher, Kommunikationspartner und sonstige Personen, deren Daten sich in den Systemen oder Datenbeständen des Auftraggebers befinden.
(4) Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO werden nur verarbeitet, wenn der Auftraggeber solche Daten in seinen Systemen verarbeitet und BITEFEX im Rahmen der beauftragten Tätigkeit hierauf Zugriff erhalten kann.

§ 4 Verantwortlichkeit des Auftraggebers
(1) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Datenverarbeitung, die Zulässigkeit der Weisungen, die Wahrung der Betroffenenrechte und die Einhaltung der datenschutzrechtlichen Informationspflichten verantwortlich.
(2) Der Auftraggeber stellt sicher, dass eine ausreichende Rechtsgrundlage für die Verarbeitung der Daten besteht.
(3) Der Auftraggeber ist verpflichtet, BITEFEX nur rechtmäßige Weisungen zu erteilen und BITEFEX alle für die datenschutzkonforme Leistungserbringung erforderlichen Informationen bereitzustellen.
(4) Der Auftraggeber informiert BITEFEX unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten feststellt.

§ 5 Weisungen des Auftraggebers
(1) BITEFEX verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Pflicht zur Verarbeitung besteht.
(2) Die Weisungen ergeben sich zunächst aus dem Hauptvertrag, diesem AV-Vertrag und der jeweiligen Leistungsbeschreibung.
(3) Der Auftraggeber kann Weisungen in Textform ändern, ergänzen oder ersetzen. In Eilfällen können Weisungen mündlich erteilt werden; sie sind vom Auftraggeber unverzüglich in Textform zu bestätigen.
(4) BITEFEX informiert den Auftraggeber unverzüglich, wenn BITEFEX der Auffassung ist, dass eine Weisung gegen Datenschutzrecht oder sonstige gesetzliche Vorschriften verstößt. BITEFEX ist berechtigt, die Durchführung einer solchen Weisung bis zur Klärung auszusetzen.
(5) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, können gesondert vergütungspflichtig sein.

§ 6 Pflichten von BITEFEX
(1) BITEFEX verarbeitet personenbezogene Daten nur im Rahmen dieses AV-Vertrags, des Hauptvertrags und der dokumentierten Weisungen des Auftraggebers.
(2) BITEFEX verpflichtet alle Personen, die personenbezogene Daten verarbeiten oder Zugriff auf personenbezogene Daten erhalten können, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) BITEFEX stellt sicher, dass die zur Verarbeitung befugten Personen mit den für sie relevanten Datenschutzanforderungen vertraut gemacht werden.
(4) BITEFEX trifft technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die wesentlichen Maßnahmen sind in Anlage 1 beschrieben.
(5) BITEFEX unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO.
(6) BITEFEX unterstützt den Auftraggeber nach Möglichkeit bei der Bearbeitung von Anfragen betroffener Personen, soweit der Auftraggeber diese nicht selbst erfüllen kann.
(7) BITEFEX informiert den Auftraggeber unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, soweit Daten des Auftraggebers betroffen sind.

§ 7 Technische und organisatorische Maßnahmen
(1) BITEFEX trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
(2) Die Maßnahmen berücksichtigen insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste.
(3) Die zum Zeitpunkt des Vertragsschlusses bestehenden wesentlichen technischen und organisatorischen Maßnahmen sind in Anlage 1 „Technische und organisatorische Maßnahmen“ beschrieben.
(4) BITEFEX ist berechtigt, die technischen und organisatorischen Maßnahmen weiterzuentwickeln und anzupassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird.

§ 8 Kontrollrechte und Nachweise
(1) Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Pflichten durch BITEFEX in angemessenem Umfang zu kontrollieren oder durch geeignete Dritte kontrollieren zu lassen.
(2) Kontrollen sind rechtzeitig anzukündigen, dürfen den Geschäftsbetrieb von BITEFEX nicht unverhältnismäßig beeinträchtigen und sind grundsätzlich während üblicher Geschäftszeiten durchzuführen.
(3) BITEFEX kann geeignete Nachweise, Dokumentationen, Zertifikate, Selbstauskünfte oder sonstige Informationen zur Verfügung stellen. Soweit solche Nachweise eine ausreichende Prüfung ermöglichen, kann sich die Kontrolle hierauf beschränken.
(4) Für Unterstützungsleistungen bei Kontrollen, die über den gesetzlich erforderlichen oder angemessenen Umfang hinausgehen, kann BITEFEX eine angemessene Vergütung verlangen.
(5) Betriebs- und Geschäftsgeheimnisse, Sicherheitsinteressen sowie Rechte Dritter sind bei Kontrollen zu wahren.

§ 9 Unterauftragsverhältnisse
(1) BITEFEX ist berechtigt, weitere Auftragsverarbeiter und sonstige Dienstleister einzusetzen, soweit dies für die Erbringung der vereinbarten Leistungen erforderlich oder zweckmäßig ist.
(2) Der Auftraggeber erteilt BITEFEX eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter im Sinne von Art. 28 DSGVO.
(3) BITEFEX informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter in angemessener Weise. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information widersprechen.
(4) Eine aktuelle Übersicht der datenschutzrechtlich relevanten Unterauftragnehmer wird dem Auftraggeber auf Anfrage oder in einer gesonderten datenschutzrechtlichen Information zur Verfügung gestellt.
(5) BITEFEX verpflichtet weitere Auftragsverarbeiter vertraglich zur Einhaltung von Datenschutzpflichten, die den Pflichten aus diesem AV-Vertrag im Wesentlichen entsprechen.
(6) BITEFEX bleibt gegenüber dem Auftraggeber für die Einhaltung der Pflichten durch weitere Auftragsverarbeiter verantwortlich.

§ 10 Verarbeitung in Drittstaaten
(1) Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.
(2) Eine Verarbeitung in einem Drittstaat erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss, geeignete Garantien oder eine sonstige gesetzlich zulässige Grundlage.
(3) Soweit Drittanbieter oder Unterauftragnehmer mit Drittstaatenbezug eingesetzt werden, gelten die hierfür einschlägigen datenschutzrechtlichen Anforderungen.

§ 11 Anfragen betroffener Personen
(1) Wendet sich eine betroffene Person unmittelbar an BITEFEX und ist erkennbar, dass die Anfrage Daten des Auftraggebers betrifft, wird BITEFEX die Anfrage grundsätzlich an den Auftraggeber weiterleiten, sofern keine gesetzliche Pflicht zur unmittelbaren Bearbeitung besteht.
(2) BITEFEX unterstützt den Auftraggeber nach Möglichkeit bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Datenübertragbarkeits- und Widerspruchspflichten.
(3) Der Auftraggeber bleibt für die fristgerechte und rechtmäßige Bearbeitung von Betroffenenanfragen verantwortlich.

§ 12 Datenschutzverletzungen
(1) BITEFEX informiert den Auftraggeber unverzüglich, wenn BITEFEX eine Verletzung des Schutzes personenbezogener Daten feststellt, die Daten des Auftraggebers betrifft.
(2) Die Meldung enthält, soweit BITEFEX die Informationen vorliegen, Angaben zur Art des Vorfalls, zu den betroffenen Daten, zu möglichen Folgen und zu ergriffenen oder vorgeschlagenen Maßnahmen.
(3) BITEFEX unterstützt den Auftraggeber nach Möglichkeit bei dessen gesetzlichen Melde- und Benachrichtigungspflichten.

§ 13 Löschung und Rückgabe von Daten
(1) Nach Abschluss der vertraglich vereinbarten Leistungen oder nach Beendigung des Hauptvertrags löscht BITEFEX personenbezogene Daten des Auftraggebers oder gibt diese zurück, sofern der Auftraggeber dies verlangt und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.
(2) Die Löschung erfolgt nach den technischen Möglichkeiten und unter Berücksichtigung bestehender Backup-, Archivierungs- und Dokumentationsprozesse.
(3) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, können entsprechend gesetzlicher Aufbewahrungspflichten gespeichert bleiben.
(4) BITEFEX stellt sicher, dass auch weitere Auftragsverarbeiter entsprechend verpflichtet werden.

§ 14 Haftung
(1) Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen nach den gesetzlichen Vorschriften, insbesondere nach Art. 82 DSGVO.
(2) Im Innenverhältnis der Parteien gelten ergänzend die Haftungsregelungen des Hauptvertrags und der Allgemeinen Geschäftsbedingungen, soweit diese nicht zwingenden datenschutzrechtlichen Vorschriften widersprechen.

§ 15 Schlussbestimmungen
(1) Änderungen und Ergänzungen dieses AV-Vertrags bedürfen der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist.
(2) Bei Widersprüchen zwischen diesem AV-Vertrag und dem Hauptvertrag gehen die Regelungen dieses AV-Vertrags vor, soweit sie datenschutzrechtliche Inhalte der Auftragsverarbeitung betreffen.
(3) Es gilt deutsches Recht.
(4) Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz von BITEFEX.
(5) Sollten einzelne Bestimmungen dieses AV-Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Dieser AV-Vertrag kann elektronisch geschlossen werden und ist ohne handschriftliche Unterschrift gültig, sofern der Abschluss in Textform oder durch Einbeziehung in das Vertragsverhältnis nachweisbar ist.

Anlagenverzeichnis
Anlage 1: Technische und organisatorische Maßnahmen

Anlage 1: Technische und organisatorische Maßnahmen

Die nachfolgend beschriebenen Maßnahmen stellen den allgemeinen Sicherheitsrahmen von BITEFEX dar. Je nach beauftragter Leistung, Kundensystem, Drittanbieter, Hostingumgebung oder Projekt können ergänzende oder abweichende Maßnahmen gelten.

1. Vertraulichkeit

Zutrittskontrolle

• Geschäfts- und Arbeitsbereiche sind gegen unbefugten Zutritt geschützt.
• Server- und Rechenzentrumsleistungen werden, soweit einschlägig, in professionellen Rechenzentren oder gesicherten Betriebsumgebungen betrieben.
• Zutritt zu technischen Betriebsbereichen ist auf berechtigte Personen beschränkt.
• Externe Besucher erhalten nur soweit erforderlich Zugang und werden angemessen beaufsichtigt.

Zugangskontrolle

• Zugriff auf Systeme erfolgt nur nach Authentifizierung.
• Administrative Zugänge werden auf berechtigte Personen beschränkt.
• Soweit möglich und angemessen, werden starke Passwörter und Mehr-Faktor-Authentifizierung eingesetzt.
• Fernzugriffe erfolgen grundsätzlich über gesicherte und verschlüsselte Verbindungen.
• Arbeitsplatzgeräte werden gegen unbefugte Nutzung geschützt und beim Verlassen gesperrt.

Zugriffskontrolle

• Berechtigungen werden nach dem Erforderlichkeitsprinzip vergeben.
• Administrative Rechte werden nur an dafür vorgesehene Personen vergeben.
• Zugriff auf Kundensysteme erfolgt nur im Rahmen der Beauftragung und der erforderlichen Tätigkeiten.
• Zugangsdaten werden geschützt gespeichert und nicht unbefugt weitergegeben.

Trennungskontrolle

• Kundendaten und projektbezogene Informationen werden organisatorisch und, soweit technisch möglich, logisch voneinander getrennt.
• Produktive Systeme, Testumgebungen und interne Systeme werden nach Möglichkeit getrennt betrieben.
• Eine Verarbeitung von Echtdaten in Testumgebungen erfolgt nur, soweit dies erforderlich oder vom Auftraggeber vorgegeben ist.

Verschlüsselung und sichere Übertragung

• Datenübertragungen erfolgen, soweit technisch möglich, über verschlüsselte Verbindungen wie HTTPS, SSH, SFTP oder VPN.
• Vertrauliche Informationen werden bei Bedarf verschlüsselt oder passwortgeschützt übermittelt.
• Eingesetzte Verschlüsselungsverfahren orientieren sich am Stand der Technik.

Mobiles Arbeiten und Homeoffice

• Zugriffe aus dem Homeoffice erfolgen über geschützte Geräte und gesicherte Verbindungen.
• Arbeitsgeräte werden durch Authentifizierungsschutz gesichert.
• Personenbezogene Daten werden nicht bewusst in Anwesenheit unbefugter Dritter verarbeitet.
• Lokale Datenhaltung wird auf das erforderliche Maß beschränkt.

2. Integrität

Weitergabekontrolle

• Übermittlungen personenbezogener Daten erfolgen nur im Rahmen der Beauftragung oder gesetzlicher Pflichten.
• Daten werden nach Möglichkeit verschlüsselt, passwortgeschützt oder über gesicherte Kanäle übertragen.
• Empfänger werden sorgfältig ausgewählt und, soweit erforderlich, vertraglich verpflichtet.

Eingabekontrolle

• Änderungen an Systemen und Konfigurationen werden, soweit erforderlich und technisch möglich, dokumentiert.
• Support- und Administrationshandlungen können projekt- oder ticketbezogen dokumentiert werden.
• Protokollierungen erfolgen unter Berücksichtigung technischer Möglichkeiten und datenschutzrechtlicher Anforderungen.

3. Verfügbarkeit und Belastbarkeit

• BITEFEX setzt angemessene Schutzmaßnahmen gegen Verlust, Zerstörung oder unbefugte Veränderung von Daten ein.
• Arbeitsgeräte und zentrale Systeme werden nach Möglichkeit durch Sicherheitssoftware, Firewalls und Updates geschützt.
• Sicherheitsupdates und Patches werden, soweit im Verantwortungsbereich von BITEFEX und technisch möglich, zeitnah eingespielt.
• Backups erfolgen, soweit sie Bestandteil der beauftragten Leistung oder interner Betriebsprozesse sind.
• Monitoring erfolgt, soweit es vertraglich vereinbart oder für den sicheren Betrieb eigener Systeme erforderlich ist.
• Notwendige Wiederherstellungsmaßnahmen werden abhängig vom jeweiligen Auftrag und der technischen Ausgangslage durchgeführt.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Technische und organisatorische Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst.
• Mitarbeitende werden für Datenschutz, IT-Sicherheit und Vertraulichkeit sensibilisiert.
• Datenschutzvorfälle werden dokumentiert, bewertet und nach Möglichkeit zur Verbesserung bestehender Maßnahmen genutzt.
• Unterauftragnehmer und Dienstleister werden unter Berücksichtigung von Datenschutz und IT-Sicherheit ausgewählt.
• Erforderliche Vereinbarungen mit Unterauftragnehmern werden geschlossen und bei Bedarf überprüft.
• Weisungen und wesentliche Tätigkeiten im Rahmen der Auftragsverarbeitung werden angemessen dokumentiert.

5. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

• Bei der Einrichtung und Betreuung von Systemen werden datenschutzfreundliche Einstellungen berücksichtigt, soweit dies Bestandteil des Auftrags ist.
• Zugriffsrechte werden möglichst restriktiv vergeben.
• Nicht erforderliche Datenverarbeitungen werden vermieden, soweit BITEFEX hierauf Einfluss hat.