Auftragsverarbeitungsvertrag (AVV / DPA)

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der LicenseMeter-AGB (der "Hauptvertrag") zwischen den Parteien über die Nutzung des Dienstes LicenseMeter (der "Dienst"). Er regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Zusammenhang mit dem Dienst im Auftrag des Verantwortlichen durchführt, gemäß Art. 28 DSGVO.

Auf Weisung des Verantwortlichen liest der Auftragsverarbeiter Lizenz-, Verzeichnis- und Aktivitätsmetadaten aus dem Microsoft-365-Tenant des Verantwortlichen sowie - soweit der Verantwortliche sie verbindet - aus weiteren Quellsystemen und stellt die Ergebnisse als Analysen, Berichte und Exporte bereit. Auf Postfach-, Datei- oder Nachrichteninhalte wird zu keinem Zeitpunkt zugegriffen; der Zugriff auf den Tenant ist technisch auf Leseberechtigungen beschränkt.

Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Die Parteien schließen diesen AVV, um den Anforderungen des Art. 28 DSGVO zu genügen. Hinsichtlich der Verarbeitung personenbezogener Daten geht dieser AVV widersprechenden Regelungen des Hauptvertrags vor.

Gegenstand und Dauer der Verarbeitung, ihre Art und ihr Zweck, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags und endet mit dessen Beendigung, vorbehaltlich Ziffer 10.

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich innerhalb der Europäischen Union / des Europäischen Wirtschaftsraums, abgesehen von den in Ziffer 12 beschriebenen Übermittlungen. Eine Verarbeitung zu eigenen Zwecken erfolgt nicht.

Die personenbezogenen Daten werden ausschließlich zu dem in Anlage 1 beschriebenen Zweck verarbeitet: der Ermittlung ungenutzter, überdimensionierter und fehlerhaft zugewiesener Lizenzen und der damit verbundenen Kosten. Der Auftragsverarbeiter verwendet die personenbezogenen Daten nicht zur Überwachung oder Bewertung der Leistung oder des Verhaltens einzelner Beschäftigter des Verantwortlichen, erstellt keine Profile zu solchen Zwecken und stellt den Dienst nicht als Instrument zur Leistungs- oder Verhaltenskontrolle bereit. Aktivitätsmetadaten werden allein verarbeitet, um festzustellen, ob ein bezahlter Lizenzplatz genutzt, ungenutzt oder überdimensioniert ist.

Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Die Kontrolle über die personenbezogenen Daten und die Rechte daran verbleiben beim Verantwortlichen.

Die dokumentierten Weisungen des Verantwortlichen ergeben sich aus diesem AVV, dem Hauptvertrag und den Konfigurationsentscheidungen, die der Verantwortliche im Dienst trifft (etwa welcher Tenant und welche optionalen Quellsysteme verbunden werden, das gepflegte Preisbuch und die ausgelösten Exporte). Ergänzende oder geänderte Weisungen sind in Textform zu erteilen.

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen - auch in Bezug auf die Übermittlung in ein Drittland -, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls eine Weisung seiner Auffassung nach gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt. Eine rechtliche Prüfung der Weisungen schuldet der Auftragsverarbeiter nicht.

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Der Zugriff auf die personenbezogenen Daten ist auf diejenigen Beschäftigten und Auftragnehmer beschränkt, die ihn zur Bereitstellung und zum Betrieb des Dienstes benötigen.

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung trifft der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die getroffenen Maßnahmen sind in Anlage 2 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Dem Auftragsverarbeiter steht es frei, angemessene alternative Maßnahmen umzusetzen, sofern das Schutzniveau der Anlage 2 nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter für die Verarbeitung im Auftrag des Verantwortlichen einzusetzen. Jeder Unterauftragsverarbeiter wird vertraglich zu Datenschutzpflichten verpflichtet, die denen dieses AVV entsprechen, insbesondere zu hinreichenden Garantien gemäß Art. 28 Abs. 3 und 4 DSGVO. Der Auftragsverarbeiter haftet dem Verantwortlichen gegenüber uneingeschränkt für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens dreißig (30) Tage im Voraus über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters und gibt dem Verantwortlichen damit die Möglichkeit, aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben. Erhebt der Verantwortliche Einspruch und können sich die Parteien nicht einigen, kann der Verantwortliche den betroffenen Teil des Dienstes aus wichtigem Grund kündigen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen gemäß Kapitel III DSGVO (Art. 12 bis 23) nachzukommen.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst inhaltlich, sofern keine Weisung des Verantwortlichen vorliegt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Benachrichtigung betroffener Personen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation.

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten bekannt geworden ist. Die Benachrichtigung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Aufbewahrung vorgeschrieben ist. Das Trennen eines Arbeitsbereichs im Dienst löscht alle synchronisierten Daten unmittelbar und unwiderruflich; verbleibende Kopien in routinemäßigen verschlüsselten Backups werden innerhalb des Backup-Rotationszeitraums (derzeit etwa sieben Tage) überschrieben.

Soweit der Dienst eine Abrechnung umfasst, bewahrt der in Anlage 3 genannte Zahlungs-Unterauftragsverarbeiter Rechnungs- und Transaktionsdaten für den Zeitraum auf, der nach den gesetzlichen steuer- und handelsrechtlichen Aufbewahrungspflichten erforderlich ist, auch nach Löschung des Arbeitsbereichs.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Der Auftragsverarbeiter kann diese Pflicht zunächst durch Vorlage dieses AVV, der auf der Seite /security veröffentlichten Sicherheitsübersicht, der Zertifizierungen und Prüfberichte der Unterauftragsverarbeiter (z. B. SOC 2 / ISO 27001) sowie durch schriftliche Beantwortung von Sicherheitsfragebögen erfüllen. Vor-Ort-Prüfungen erfolgen mit angemessener Vorankündigung, während der Geschäftszeiten, ohne Betriebsstörung und unter Wahrung der Vertraulichkeit.

Die primäre Speicherung und die Kernverarbeitung finden in der Europäischen Union statt (siehe Anlage 2 und Anlage 3). Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU / des EWR ohne Angemessenheitsbeschluss verarbeitet, beruht eine solche Übermittlung auf den Standardvertragsklauseln (SCC) der Europäischen Kommission nebst etwaig erforderlichen ergänzenden Maßnahmen oder auf einem anderen gültigen Übermittlungsmechanismus nach Kapitel V DSGVO. Der für den jeweiligen Unterauftragsverarbeiter geltende Mechanismus ist in Anlage 3 angegeben.

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und nach den Haftungsregelungen des Hauptvertrags. Die im Hauptvertrag vereinbarten Haftungsbeschränkungen und -höchstgrenzen gelten für Ansprüche aus diesem AVV, soweit gesetzlich zulässig.

Dieser AVV tritt zusammen mit dem Hauptvertrag in Kraft und bleibt in Kraft, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hinsichtlich der Verarbeitung personenbezogener Daten geht dieser AVV vor. Bei Widersprüchen zwischen diesem AVV und den SCC gehen die SCC vor.

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; die unwirksame Bestimmung wird durch eine wirksame ersetzt, die ihrem wirtschaftlichen Zweck am nächsten kommt. Änderungen bedürfen der Textform.