Auftrags­verarbeitung.

1. Parteien und Einbeziehung

Auftragnehmer ist Andreas Wiesnau · Wiesnau Digital, Im Heidewinkel 1, 49594 Alfhausen, Deutschland. Auftraggeber ist der im jeweiligen Kollege-Vertrag bezeichnete Firmenkunde mit den dort hinterlegten Vertretungs- und Kontaktdaten. Diese Vereinbarung einschließlich der Anlagen in Ziffern 9 und 10 wird durch ausdrückliche Einbeziehung in den Vertrag oder eine gesonderte Vereinbarung in Textform geschlossen. Allein die Veröffentlichung begründet keine bereits abgeschlossene Vereinbarung.

Sie konkretisiert die Pflichten nach Art. 28 DSGVO für die Verarbeitung im Auftrag. Soweit der Kunde selbst Auftragsverarbeiter ist, bleibt er für die erforderliche Genehmigung dieser weiteren Auftragsverarbeitung verantwortlich. Bei Widersprüchen gehen ihre datenschutzbezogenen Regelungen dem Hauptvertrag vor.

2. Gegenstand, Zweck und Dauer

Gegenstand ist die Bereitstellung und Betreuung der Kollege-Anwendung einschließlich der hierfür erforderlichen Speicherung, Organisation, Bereitstellung, Änderung, Auswertung, Übermittlung auf Weisung, Sicherung, Wiederherstellung und Löschung betrieblicher Daten. Zweck ist die Abwicklung der vom Kunden gewählten betrieblichen Funktionen. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und anschließend bis zur vereinbarten Rückgabe und Löschung.

Betroffene Personen sind Beschäftigte und sonstige Benutzer, Ansprechpartner, Kunden, Interessenten, Lieferanten, Partner und gegebenenfalls weitere Personen, deren Daten der Kunde rechtmäßig verarbeitet. Die Datenarten umfassen Identifikations- und Kontaktdaten, Adressen, Rollen und Firmenzuordnungen, Vertrags-, Auftrags-, Leistungs-, Zeit-, Planungs-, Abwesenheits-, Material-, Geräte-, Zahlungs- und Rechnungsdaten, Dokumente, Fotos und zugehörige technische Metadaten und Änderungsprotokolle.

Eine gezielte Verarbeitung besonderer Kategorien nach Art. 9 DSGVO ist nicht als allgemeiner Vertragszweck vereinbart. Soweit eine konkrete Nutzung solche Angaben erfordert, sind Zulässigkeit, Weisung und zusätzliche Schutzmaßnahmen vorab zu klären. Die Verarbeitung strafrechtlicher Daten nach Art. 10 DSGVO bedarf ebenfalls einer vorherigen rechtlichen Klärung.

3. Verantwortlichkeit und Weisungen

Der Auftraggeber entscheidet über Zwecke, Rechtsgrundlagen, Datenumfang, Benutzerrechte, Aufbewahrung und fachliche Löschfristen. Er informiert betroffene Personen und erteilt rechtmäßige, dokumentierte Weisungen. Der Auftragnehmer verarbeitet Daten nur nach diesen Weisungen einschließlich Weisungen zu Übermittlungen, sofern nicht eine gesetzliche Pflicht eine andere Verarbeitung verlangt. Über eine solche Pflicht informiert er vorab, soweit dies gesetzlich zulässig ist.

Weisungen können durch die vereinbarten Funktionen oder in Textform durch die vertretungsberechtigten beziehungsweise benannten Ansprechpartner erfolgen. Mündliche Weisungen sind zeitnah in Textform zu bestätigen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und setzt den betroffenen Teil bis zur Klärung aus. Eine Nutzung von Kundendaten für eigene Werbung, Verkauf oder eigenes KI-Training ist von diesem Auftrag nicht umfasst.

4. Vertraulichkeit und Sicherheit

Der Auftragnehmer verpflichtet Personen mit Zugang auf Vertraulichkeit oder stellt eine entsprechende gesetzliche Verpflichtung sicher. Er beschränkt Zugriff und Verarbeitung auf das für die Aufgabe Erforderliche und setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein. Die Maßnahmen sind in Ziffer 9 beschrieben. Sie werden risikogerecht überprüft und weiterentwickelt; das vereinbarte Schutzniveau darf dadurch nicht abgesenkt werden.

Ein Zugriff auf betriebliche Inhalte für Unterstützung oder Fehleranalyse erfolgt nur im Rahmen dokumentierter Befugnisse und soweit erforderlich. Vertraulichkeit gilt auch nach Ende des Auftrags.

5. Weitere Auftragsverarbeiter

Der Auftraggeber genehmigt die in Ziffer 10 aufgeführten weiteren Auftragsverarbeiter. Der Auftragnehmer informiert mindestens 30 Tage vor einer geplanten Hinzuziehung oder Ersetzung in Textform. Der Auftraggeber kann innerhalb von 14 Tagen ab Zugang aus nachvollziehbaren datenschutzbezogenen Gründen widersprechen. Die Parteien suchen eine datenschutzgerechte Lösung. Kann der Auftragnehmer die Leistung ohne die beanstandete Änderung nicht erbringen und wird keine Lösung erreicht, kann der Auftraggeber den betroffenen Leistungsteil vor Umsetzung der Änderung ohne zusätzliche Beendigungsgebühr kündigen.

Weitere Auftragsverarbeiter werden vertraglich auf mindestens gleichwertige Datenschutzpflichten verpflichtet. Der Auftragnehmer bleibt dem Auftraggeber gegenüber für deren Pflichterfüllung verantwortlich. Drittlandverarbeitung bedarf einer dokumentierten Weisung beziehungsweise Genehmigung und muss die Voraussetzungen der Art. 44 ff. DSGVO erfüllen. Vom Kunden eigenständig beauftragte Empfänger oder angebundene Dienste sind nicht allein dadurch weitere Auftragsverarbeiter des Anbieters.

6. Unterstützung und Datenschutzvorfälle

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei Anfragen betroffener Personen, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Er leitet direkt eingehende Anfragen zu Auftragsdaten unverzüglich an den Auftraggeber weiter und antwortet in dessen Sache nur auf Weisung oder gesetzliche Verpflichtung.

Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich nach Bekanntwerden. Er teilt die verfügbaren Informationen zu Art und Umfang, betroffenen Daten und Personen, möglichen Folgen, Kontakt sowie getroffenen oder vorgeschlagenen Abhilfemaßnahmen mit; noch fehlende Angaben werden ohne unnötige Verzögerung nachgereicht. Er unterstützt den Auftraggeber bei Melde- und Benachrichtigungspflichten, Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Art. 32 bis 36 DSGVO. Fristgebundene Unterstützung darf nicht von einer vorherigen Kostenklärung abhängig gemacht werden.

7. Nachweise und Kontrolle

Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer. Prüfungen sollen angemessen angekündigt und so durchgeführt werden, dass andere Kunden, Sicherheit und Betrieb geschützt bleiben. Bei konkreten Vorfällen oder behördlichen Vorgaben sind kurzfristige Prüfungen zu ermöglichen. Rechte der Aufsichtsbehörden bleiben unberührt.

Über wesentliche Prüfungsfeststellungen zum Auftrag und über einschlägige behördliche Maßnahmen informiert der Auftragnehmer den Auftraggeber, soweit keine gesetzliche Geheimhaltungspflicht entgegensteht.

8. Rückgabe und Löschung

Nach Ende der Verarbeitungsleistungen gibt der Auftragnehmer personenbezogene Daten nach Wahl des Auftraggebers zurück oder löscht sie einschließlich bestehender Kopien, sofern keine gesetzliche Speicherungspflicht besteht. Die Auswahl und sichere Übergabe werden dokumentiert. Vereinbarte beziehungsweise zwingende Export- und Abruffristen gemäß Ziffer 9 der Vertragsbedingungen werden berücksichtigt; bis zum Ende dieser Fristen bleiben die Daten ausschließlich für die vereinbarten Zwecke geschützt verfügbar.

Der Löschauftrag umfasst auch Sicherungen. Soweit einzelne Sicherungskopien technisch nur im Rahmen ihres festgelegten Sicherungszyklus entfernt werden können, werden sie bis dahin von regulärer Nutzung ausgeschlossen; der Auftragnehmer teilt dem Auftraggeber die konkrete verbleibende Frist mit und dokumentiert den Abschluss. Bei einer Wiederherstellung werden fällige Löschungen erneut ausgeführt. Ein allgemeiner Verweis auf Sicherungen erlaubt keine unbefristete Aufbewahrung. Über gesetzlich erforderliche Restaufbewahrung, Zweck und Dauer informiert der Auftragnehmer. Die Löschung wird auf Anforderung bestätigt.

Vom Auftraggeber exportierte Daten und lokale Gerätekopien liegen in dessen Verantwortungsbereich. Der Auftragnehmer unterstützt ihn mit den erforderlichen Informationen zur Entfernung lokaler Kollege-Daten.

9. Anlage: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beschreiben den technischen Kernbetrieb; organisatorische Verpflichtungen gelten für die Durchführung des Auftrags. Sie stellen keine Zertifizierung oder Verfügbarkeitsgarantie dar.

• Verbindung und Anmeldung: HTTPS-Verschlüsselung; eigener Anmeldedienst mit Mehrfaktor-Unterstützung; geschützte, zeitlich begrenzte Sitzungen und serverseitige Prüfung der Authentisierung.
• Trennung und Berechtigungen: getrennte Firmenbereiche und firmenspezifische Datenbanken; serverseitige Rollen- und Berechtigungsprüfung, eingeschränkte Datenbankzugänge und zusätzliche Datenbankregeln gegen unzulässige Zugriffe.
• Administration: abgesicherter Serverzugang mit SSH-Schlüsseln; nicht öffentlich zugängliche Konfigurations- und Schlüsseldateien; Beschränkung administrativer Befugnisse auf erforderliche Personen und Aufgaben.
• Integrität: fachliche Änderungs- und Vorgangsprotokolle, Versionsprüfungen und Schutz gegen doppelte Buchungen; Validierung von Eingaben und Berechtigungen auf dem Server.
• Dokumente: kontrollierter Zugriff auf Anhänge, Größen- und Formatprüfungen und lokaler Schadsoftware-Scan; keine öffentliche Dateiliste.
• Sicherung: verschlüsselte Sicherungen der Firmendatenbanken, regelmäßige Sicherungsläufe und eingerichtete Wiederherstellungsprüfungen. Eine geografisch getrennte Zweitsicherung wird damit nicht zugesichert.
• Geräteablage: verschlüsselte, gerätebezogene Offline-Bereiche mit Geräteschlüssel für vorbereitete Offline-Aufträge und Zeitdaten; Benutzerinformationen zur lokalen Speicherung und Löschung.
• Organisation: Vertraulichkeitsbindung, dokumentierte Weisungen, Prüfung von Zugriffsrechten, geregelte Bearbeitung von Datenschutzanfragen und Sicherheitsvorfällen sowie risikogerechte Überprüfung und Aktualisierung der Maßnahmen.

Die physische Rechenzentrumsinfrastruktur wird vom Hostinganbieter betrieben. Dessen einschlägige Vertrags- und Sicherheitsnachweise sind in die Unterauftragnehmerprüfung einzubeziehen.

10. Anlage: Weitere Auftragsverarbeiter und Ort

Diese Liste umfasst keinen externen KI-, Analyse- oder Zahlungsplattformdienst. Vor dem Einsatz zusätzlicher Auftragsverarbeiter wird das Verfahren aus Ziffer 5 angewendet. Die bloße Existenz einer optionalen Schnittstelle bedeutet nicht, dass eine Verbindung eingerichtet ist.