Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) gilt für Geschäftskunden (Unternehmer im Sinne des § 14 BGB), die die Plattform „flow.raven“ von Philipp Lütje (nachfolgend „Auftragnehmer“) nutzen und dabei personenbezogene Daten im Auftrag verarbeiten lassen. Er ergänzt den zwischen den Parteien geschlossenen Hauptvertrag über die Nutzung der Plattform (Nutzungsvertrag nebst Allgemeinen Geschäftsbedingungen, nachfolgend „Hauptvertrag“).

Der AVV wird im Rahmen der Buchung eines kostenpflichtigen Accounts dadurch geschlossen, dass der Auftraggeber die hierfür vorgesehene Schaltfläche (Checkbox) aktiv auswählt und die Bestellung abschließt. Mit der Bestätigung der Bestellung durch den Auftragnehmer wird der AVV wirksam in den Hauptvertrag einbezogen und gilt für dessen Dauer.

Auftraggeber ist der Kunde, der sich im Bestellvorgang oder in seinem Nutzerkonto als Unternehmer registriert hat. Die zur Identifizierung und Kontaktaufnahme erforderlichen Angaben (insbesondere Firma, Anschrift, Umsatzsteuer-Identifikationsnummer sowie vertretungsberechtigte Person) ergeben sich aus den vom Auftraggeber im Bestellvorgang bzw. in seinem Nutzerkonto hinterlegten Daten; sie werden Bestandteil dieses Vertrags.

Der Abschluss in elektronischer Form genügt dem Formerfordernis des Art. 28 Abs. 9 DSGVO. Einer eigenhändigen Unterschrift bedarf es nicht.

Dieser AVV ist auf der Internetseite des Auftragnehmers jederzeit abrufbar und kann vom Auftraggeber gespeichert und ausgedruckt werden. Der Auftragnehmer stellt dem Auftraggeber den abgeschlossenen AVV in der zum Zeitpunkt des Vertragsschlusses gültigen Fassung auf einem dauerhaften Datenträger (insbesondere im Nutzerkonto oder per E-Mail) zur Verfügung.

Maßgeblich ist die zum Zeitpunkt des Vertragsschlusses gültige Fassung dieses AVV. Spätere Änderungen bedürfen der Textform und richten sich nach den Bestimmungen des Hauptvertrags sowie nach Ziffer 7 (Subunternehmer).

Gegenstand, Art und Zweck der Verarbeitung, die Dauer der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1 zu diesem Vertrag. Grundlage der Verarbeitung ist der Hauptvertrag.

Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Ihm obliegt insbesondere das Vorliegen einer Rechtsgrundlage, einschließlich der nach § 201 StGB und Art. 9 DSGVO erforderlichen Einwilligungen sämtlicher Gesprächsteilnehmer.

Die Gesprächsinhalte (Aufnahmen, Transkripte, Zusammenfassungen) werden ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeitet. Einzige Ausnahme ist der Ausweichfall der Transkription: Insoweit kann ein Subunternehmer mit Sitz in der Schweiz — einem Land mit Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) — eingesetzt werden, wobei die Verarbeitung in einem Rechenzentrum in Deutschland erfolgt (Anlage 3). Ein US-Anbieter ist im Datenpfad der Gesprächsinhalte nicht eingesetzt.

Im Verhältnis zum Hauptvertrag geht dieser Vertrag hinsichtlich der datenschutzrechtlichen Pflichten der Auftragsverarbeitung vor, soweit sich Widersprüche ergeben.

Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Hauptvertrag und dieser Vertrag nebst Anlagen stellen die ursprüngliche Weisung des Auftraggebers dar. Weitere Weisungen erfolgen in Textform oder über die in der Plattform vorgesehenen Konfigurationsmöglichkeiten. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers. Er gestaltet die Verarbeitung in seinem Verantwortungsbereich datenschutzkonform und unterstützt den Auftraggeber bei der Einhaltung der Vorgaben der DSGVO.

Der Auftragnehmer führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO). Er benennt dem Auftraggeber eine für den Datenschutz zuständige Kontaktperson und teilt die Kontaktdaten eines etwa bestellten Datenschutzbeauftragten mit.

Der Auftragnehmer arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen und unterrichtet den Auftraggeber über an ihn gerichtete Kontrollhandlungen der Aufsichtsbehörde, soweit sie sich auf die Auftragsverarbeitung beziehen.

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung dieses Vertrags fort. Der Auftragnehmer macht die mit der Verarbeitung betrauten Personen mit den für sie maßgeblichen datenschutzrechtlichen Bestimmungen vertraut.

Der Auftragnehmer trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer darf sie anpassen, soweit das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, die in Anlage 3 genannten weiteren Auftragsverarbeiter (Subunternehmer) hinzuzuziehen (Art. 28 Abs. 2 S. 1 DSGVO).

Beabsichtigt der Auftragnehmer, einen weiteren Subunternehmer hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Auftraggeber hierüber vorab in Textform. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen ab Zugang der Information aus wichtigem datenschutzrechtlichen Grund widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien zu einer einvernehmlichen Lösung verpflichtet; gelingt diese nicht, ist jede Partei zur Kündigung des betroffenen Leistungsteils oder des Hauptvertrags zum Wirksamwerden der Änderung berechtigt.

Der Auftragnehmer erlegt dem Subunternehmer im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten dieses Subunternehmers.

Subunternehmer mit Sitz oder Verarbeitung außerhalb der EU/des EWR werden nur hinzugezogen, wenn für das betreffende Land ein Angemessenheitsbeschluss der EU-Kommission besteht oder geeignete Garantien nach Art. 44 ff. DSGVO vorliegen. Der zum Zeitpunkt des Vertragsschlusses als Ausweichlösung für die Transkription vorgesehene Subunternehmer hat seinen Sitz in der Schweiz (Land mit Angemessenheitsbeschluss); die Verarbeitung erfolgt in einem Rechenzentrum in Deutschland. Im Übrigen liegen sämtliche Subunternehmer innerhalb der EU/des EWR.

Nicht als Unterauftragsverhältnis im Sinne dieser Ziffer gelten Nebenleistungen, die der Auftragnehmer als Hilfsleistung in Anspruch nimmt (z. B. Telekommunikations-, Wartungs- oder Entsorgungsleistungen). Ebenfalls nicht erfasst ist die Zahlungsabwicklung über den Zahlungsdienstleister (Stripe), da hierbei keine im Auftrag des Auftraggebers verarbeiteten Gesprächsinhalte, sondern ausschließlich Abrechnungsdaten des Vertragsverhältnisses zwischen dem Auftragnehmer und dem Auftraggeber verarbeitet werden; insoweit ist der Auftragnehmer eigenständig Verantwortlicher (Einzelheiten in der Datenschutzerklärung).

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO) nachzukommen. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde. Für den Tarif Souverän stellt der Auftragnehmer dem Auftraggeber einen kryptographisch überprüfbaren Attestierungsnachweis (Enclave-Manifest, Messwerte und Image-Digest) darüber bereit, dass die Verarbeitung in der attestierten Enclave mit Betreiberausschluss erfolgt.

Für Unterstützungsleistungen, die über die gesetzlichen Pflichten und den vereinbarten Leistungsumfang hinausgehen und durch den Verantwortungsbereich des Auftraggebers veranlasst sind, kann der Auftragnehmer eine angemessene Vergütung verlangen, soweit dies gesetzlich zulässig ist.

Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

Die Meldung enthält, soweit möglich:

• eine Beschreibung der Art der Verletzung einschließlich der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• die wahrscheinlichen Folgen der Verletzung,
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung,
• den Namen und die Kontaktdaten der für weitere Informationen zuständigen Stelle.

Die Meldepflichten nach Art. 33 und 34 DSGVO gegenüber der Aufsichtsbehörde und den betroffenen Personen obliegen dem Auftraggeber; der Auftragnehmer unterstützt ihn hierbei.

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

Der Auftragnehmer ermöglicht und trägt zu Überprüfungen — einschließlich Inspektionen —, die der Auftraggeber oder ein von diesem beauftragter, zur Vertraulichkeit verpflichteter Prüfer durchführt, bei. Überprüfungen vor Ort sind rechtzeitig anzukündigen, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Geschäftsbetriebs durchzuführen. Der Auftragnehmer kann den Nachweis vorrangig durch die Vorlage geeigneter, aktueller Zertifizierungen, Testate oder Berichte unabhängiger Stellen sowie — im Tarif Souverän — durch einen kryptographisch überprüfbaren Attestierungsnachweis (Enclave-Manifest, Messwerte und Image-Digest) erbringen.

Im Rahmen der Verarbeitung können besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO verarbeitet werden, insbesondere biometrische Daten (Stimme) sowie sensible Inhalte, die in den Gesprächen enthalten sind. Der Auftragnehmer trifft hierfür angemessene, dem erhöhten Schutzbedarf entsprechende Maßnahmen (Anlage 2).

Die Verantwortung für das Vorliegen einer Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 2 DSGVO), insbesondere die ausdrückliche Einwilligung der betroffenen Personen, trägt der Auftraggeber.

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Der Auftraggeber kann die Daten vor Beendigung über die in der Plattform vorgesehene Exportfunktion sichern.

Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform. Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt; die betroffenen Daten werden für die Dauer der Aufbewahrungspflicht in der Verarbeitung eingeschränkt.

Die Haftung der Parteien für Schäden, die einer betroffenen Person aufgrund einer nicht datenschutzkonformen Verarbeitung entstehen, richtet sich nach Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei die Verantwortung in dem Umfang, in dem sie ihren Pflichten nach der DSGVO und diesem Vertrag nicht nachgekommen ist. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

Dieser Vertrag gilt für die Dauer des Hauptvertrags und endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten nach Ziffer 12 (Löschung und Rückgabe) und Ziffer 5 (Vertraulichkeit) bestehen über das Vertragsende hinaus fort.

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt. Ein wichtiger Grund liegt insbesondere bei einem schwerwiegenden Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder gegen Bestimmungen dieses Vertrags vor.

Dieser Vertrag bedarf der Textform; dies gilt auch für die Aufhebung des Textformerfordernisses. Die Voraussetzung der elektronischen Form nach Art. 28 Abs. 9 DSGVO ist gewahrt; der Vertrag kann insbesondere elektronisch geschlossen werden.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, der im Hauptvertrag vereinbarte Gerichtsstand.