Rechtliche Informationen
Auftragsverarbeitungsvertrag
Erfahren Sie, welche Kundendatenverarbeitung ein Configurix-AVV regelt. Fordern Sie den Vertrag und die Verarbeitungsanlagen für Ihre Implementierung an.
Aktualisiert:
Diese Seite erläutert die Verarbeitungsthemen, die Sie mit Configurix klären sollten. Der verbindliche Auftragsverarbeitungsvertrag benennt den tatsächlichen Kunden und Dienstleister, die vereinbarten Weisungen und die Anlagen zur Implementierung. Vereinbaren Sie den erforderlichen schriftlichen Vertrag, bevor personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet werden.
Vertrag und Verantwortlichkeiten
Bestimmt ein Kunde, warum und wie seine personenbezogenen Daten verwendet werden, handelt er als Verantwortlicher. Verarbeitet Configurix diese Daten in seinem Auftrag, richten sich die Pflichten als Auftragsverarbeiter nach dem jeweiligen Vertrag und dem geltenden Recht. Die Rollen hängen von der tatsächlichen Verarbeitung ab.
Der vereinbarte AVV hält Rechte und Pflichten des Verantwortlichen sowie die Pflichten des Auftragsverarbeiters fest. Er ist zusammen mit dem Dienstleistungsvertrag und den Verarbeitungsanlagen zu lesen.
Leistungsumfang und Dauer
Configurix ist auf komplexe Produkte spezialisiert und entwickelt individuelle Konfiguratoren und Unternehmenssoftware. Eine Implementierung kann Produktauswahl und Preise mit Angeboten, CRM und Anfragequalifizierung, Kalendern und Terminen, Materialien/Stücklisten, Aufträgen, Bestellungen, Rechnungsstellung oder vereinbarten Integrationen verbinden.
Dokumentieren Sie die tatsächlich enthaltenen Funktionen und Verarbeitungen, deren Zweck, den Verarbeitungszeitraum und die Weisungen des Kunden. Bereiten Sie die Anlage anhand der folgenden Angaben vor.
| Zu vereinbarender Punkt | Zu dokumentierende Angaben |
|---|---|
| Leistung und Zweck | Die vom Vertrag erfassten Softwarefunktionen, Verarbeitungsvorgänge und Geschäftszwecke. |
| Dauer | Vertrags- und Verarbeitungszeitraum sowie Regelungen bei Beendigung. |
| Personen und Daten | Betroffene Personengruppen und die tatsächlich verwendeten personenbezogenen Datenfelder. |
| Systeme und Standorte | Hosting, Speicherung, Zugriffsländer, Unterauftragsverarbeiter und angebundene Systeme. |
| Sicherheit und Aufbewahrung | Anwendbare technische und organisatorische Maßnahmen sowie Aufbewahrungs- und Löschregelungen. |
| Weisungen und Kontakte | Berechtigte Weisungen, zuständige Kontakte sowie Bearbeitung von Vorfällen und Anfragen. |
Betroffene Personen und personenbezogene Daten
Der Umfang kann Beschäftigte des Kunden, die die Software nutzen, Endkunden, Geschäftskontakte und Projektbeteiligte umfassen. Benennen Sie im Vertrag die zutreffenden Gruppen und Datenfelder.
Produkt- und Geschäftsdaten fallen in den personenbezogenen Umfang, wenn sie eine Person identifizieren oder sich auf eine identifizierbare Person beziehen. Beschränken Sie die Daten auf das für die vereinbarte Leistung Erforderliche.
- Kontakt- und Kontodaten, etwa Name, geschäftliche E-Mail, Telefon und Projektadresse
- Mit einer Person verknüpfte Konfigurations-, Angebots-, Termin-, Bestell- oder Rechnungsdaten
- Nachrichten, Dokumente und Supportinformationen mit personenbezogenen Daten
- Technische Aufzeichnungen wie IP-Adressen, Kontoaktivitäten und relevante Protokolle
Weisungen und Vertraulichkeit
Die Verarbeitung im Kundenauftrag folgt dokumentierten Weisungen, auch zu Übermittlungen, soweit das geltende Recht nichts anderes verlangt. Halten Sie fest, wer Weisungen erteilen darf und wie mit datenschutzwidrigen Weisungen umzugehen ist.
Der Vertrag muss die Vertraulichkeit der zur Verarbeitung befugten Personen, den erforderlichen Arbeitszugriff und die Ausübung der vertraglichen Rechte des Verantwortlichen regeln.
Technische und organisatorische Maßnahmen
Vereinbaren Sie, soweit anwendbar, nach Artikel 32 DSGVO Maßnahmen, die den Daten, Risiken und der Architektur entsprechen. Legen Sie Kontrollen und Verantwortlichkeiten für die konkrete Implementierung fest, statt für alle Umsetzungen identische Einstellungen anzunehmen.
Die Sicherheitsanlage sollte je nach Bedarf Zugriffskontrolle, Verschlüsselung, Sicherung und Wiederherstellung, Verfügbarkeit, Überwachung, Vorfallsbearbeitung und Überprüfung abdecken. Fordern Sie die Maßnahmen und Nachweise für die geplante Leistung an.
Unterauftragsverarbeiter
Dokumentieren Sie die Anbieter, die Kundendaten verarbeiten, ihre Aufgaben und das Genehmigungsverfahren. Nach Artikel 28 DSGVO setzt ihr Einsatz eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen voraus; bei allgemeiner Genehmigung sind Änderungen vorab mitzuteilen und Einwände zu ermöglichen.
Der Vertrag muss gleichwertige Datenschutzpflichten für Unterauftragsverarbeiter und die Verantwortlichkeit des Auftragsverarbeiters für deren Leistung regeln. Fordern Sie die für Ihre Implementierung geltende Anbieterliste und das Änderungsverfahren an.
Hosting und internationale Übermittlungen
Benennen Sie Speicherorte und Länder, aus denen auf Daten zugegriffen werden kann. Die Standorte hängen vom vereinbarten Hosting, Support und angebundenen Diensten ab; fragen Sie nach den konkreten Zielländern.
Soweit die DSGVO-Vorschriften für internationale Übermittlungen gelten, dokumentieren Sie den passenden Übermittlungsmechanismus und die Garantien, etwa einen anwendbaren Angemessenheitsbeschluss oder vertragliche Garantien. Sie müssen zur tatsächlichen Übermittlung passen; ein Anbietername allein belegt die Regelungen nicht.
Anfragen, Vorfälle und Unterstützung
Der AVV muss unter Berücksichtigung der Verarbeitung und verfügbaren Informationen die Unterstützung bei Betroffenenrechten, Sicherheitsverpflichtungen, Datenschutzverletzungen und gegebenenfalls Datenschutz-Folgenabschätzungen abdecken.
Bei einer Verletzung personenbezogener Daten in der Verarbeitung im Kundenauftrag muss der Auftragsverarbeiter den Verantwortlichen unverzüglich informieren. Halten Sie Vorfallskontakte, Eskalation, Informationsaustausch und Zuständigkeiten im Vertrag fest.
Rückgabe, Löschung und Aufbewahrung
Für das Ende der Leistung müssen die vereinbarten Regelungen die Rückgabe oder Löschung nach Wahl des Verantwortlichen einschließlich vorhandener Kopien vorsehen, sofern das geltende Recht keine Speicherung verlangt. Legen Sie Format, Zeitpunkt und Verantwortlichkeiten fest.
Dokumentieren Sie Aufbewahrungspflichten und den Umgang mit Sicherungskopien. Fragen Sie nach den für Ihre Kundendaten geltenden Regelungen; die Aufbewahrungsdauer von Website-Anfragen gilt nicht automatisch für Ihre Softwareimplementierung.
Informationen und Kontrollrechte
Der AVV muss die Bereitstellung der zum Nachweis der einschlägigen Verarbeitungspflichten erforderlichen Informationen und Kontrollen einschließlich Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer vorsehen. Vereinbaren Sie ein praktikables Anfrage- und Zugangsverfahren.
Fordern Sie die Verarbeitungs- und Sicherheitsdokumentation für Ihre Leistung an und halten Sie das vereinbarte Prüfverfahren fest.
Vertrag anfordern
Fordern Sie über den regionalen Kontakt oder den Datenschutzkontakt einen unterschriebenen AVV an, besprechen Sie Klauseln oder erfragen Sie die Verarbeitungsanlagen Ihrer Leistung.
- Nennen Sie Ihr Unternehmen und die Configurix-Leistung oder das geplante Projekt
- Beschreiben Sie Daten, Benutzer, Hostinganforderungen und anzubindende Systeme
- Fragen Sie nach Verarbeitungsumfang, Sicherheitsmaßnahmen, Anbietern und Übermittlungsdetails
Website-Besucher und Anfragen
Die Verarbeitung für die eigene Website, Geschäftsanfragen und Verwaltung von Configurix wird in der Datenschutzerklärung der Website erläutert. Die Auswahl zur optionalen Website-Analyse ist von den Weisungen eines Kunden-AVV getrennt.