Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten durch Forge12 (Auftragsverarbeiter) im Auftrag des Auftraggebers (Verantwortlicher) im Rahmen der vom Auftraggeber beauftragten Produkte und Leistungen gemäß Hauptvertrag einschließlich der jeweils vereinbarten Anlagen. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Gegenstand, Kategorien betroffener Personen, Datenarten und Speicherdauer ergeben sich aus den produktspezifischen Anlagen.

2. Weisungsbindung

Forge12 verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, können von Forge12 als Änderungsleistung gesondert vergütet werden. Forge12 ist nicht verpflichtet, Weisungen auszuführen, die offensichtlich gegen geltendes Datenschutzrecht verstoßen, und wird den Auftraggeber hierauf unverzüglich hinweisen.

3. Technische und organisatorische Maßnahmen

Forge12 trifft die geeigneten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die jeweils aktuellen technischen und organisatorischen Maßnahmen ergeben sich aus Anlage D – Technische und organisatorische Maßnahmen (TOM), die Bestandteil dieser Vereinbarung ist. Forge12 ist berechtigt, diese fortlaufend an den Stand der Technik anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

4. Unterauftragsverarbeiter

Forge12 ist berechtigt, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen, sofern deren Einsatz zur Leistungserbringung erforderlich ist. Der Auftraggeber wird hierüber mindestens 14 Kalendertage vor dem geplanten Einsatz in Textform (z. B. per E-Mail) informiert. Der Auftraggeber kann dem Einsatz aus datenschutzrechtlich begründeten Gründen innerhalb dieser Frist widersprechen. Erfolgt innerhalb der Frist kein Widerspruch, gilt der Einsatz als genehmigt. Erhebt der Auftraggeber einen berechtigten Widerspruch und können die Parteien keine zumutbare Lösung finden, ist jede Partei berechtigt, den betroffenen Teil der Leistungen außerordentlich mit einer Frist von 14 Tagen zu kündigen. Forge12 wird sicherstellen, dass mit jedem Unterauftragsverarbeiter eine Vereinbarung gemäß Art. 28 Abs. 4 DSGVO abgeschlossen wurde.

5. Übermittlung in Drittländer

Soweit Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, erfolgt dies ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln, einen Angemessenheitsbeschluss oder andere geeignete Garantien gemäß DSGVO).

6. Unterstützungspflichten

Forge12 unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten gemäß Art. 28 Abs. 3 lit. e und f DSGVO, insbesondere bei Anfragen betroffener Personen, Datenschutzverletzungen sowie Datenschutz-Folgenabschätzungen, soweit dies die Verarbeitung betrifft. Ein hierdurch entstehender zusätzlicher Aufwand kann gesondert vergütet werden, sofern er nicht auf einem Pflichtverstoß von Forge12 beruht.

7. Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Verarbeitung löscht oder gibt Forge12 sämtliche personenbezogenen Daten nach Wahl des Auftraggebers zurück, soweit dies technisch möglich ist und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen.

8. Kontrolle und Nachweise

Forge12 stellt dem Auftraggeber auf Anforderung alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Verpflichtungen nach Art. 28 DSGVO erforderlich sind. Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV nach angemessener Vorankündigung nachzuweisen. Forge12 kann geeignete Nachweise (z. B. Dokumentationen, Zertifizierungen oder Selbstauskünfte) zur Verfügung stellen. Vor-Ort-Audits erfolgen nur, soweit dies erforderlich ist und keine gleichwertigen Nachweise ausreichen. Die Kosten eines Audits trägt der Auftraggeber selbst, soweit kein erheblicher Verstoß von Forge12 gegen datenschutzrechtliche Pflichten festgestellt wird.

9. Meldung von Datenschutzverletzungen

Forge12 informiert den Auftraggeber unverzüglich, nachdem Forge12 Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, soweit diese die Verarbeitung nach diesem Vertrag betrifft, und unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten.

10. Aufbewahrung der Vereinbarung

Forge12 ist berechtigt, Nachweise über Abschluss, Inhalt, Version sowie Zeitpunkt des Vertragsschlusses so lange aufzubewahren, wie dies zur Erfüllung gesetzlicher Nachweispflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Soweit personenbezogene Kontaktdaten hierfür nicht erforderlich sind, werden diese nach Vertragsende gelöscht oder anonymisiert.