Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen gemäß Art. 28 DS-GVO

​

Geschlossen zwischen der

HydroMapper GmbH
Veritaskai 8
21079 Hamburg, Deutschland

– als Auftragsverarbeiter (nachfolgend „Auftragnehmer“) –

und dem Verantwortlichen (nachfolgend „Auftraggeber“).
Der Auftraggeber und der Auftragnehmer werden nachfolgend einzeln jeweils als „Partei“ und gemeinsam als „Parteien“ bezeichnet.

 
Präambel

Der Auftragnehmer erbringt für den Auftraggeber Leistungen im Bereich der Nutzung der Plattform „InfraCloud“ sowie der Bereitstellung von Speicherplatz gemäß dem Cloud-Services-Vertrag (im Folgenden auch „SaaS-Vertrag“ oder „Hauptvertrag“). Soweit im Rahmen der Durchführung des SaaS-Vertrags eine Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung („DS-GVO“) erfolgt, schließen die Parteien zur Erfüllung der Anforderungen der DS-GVO den nachfolgenden Vertrag über die Auftragsverarbeitung. Eine gesonderte Vergütung für die Erfüllung dieses Vertrags erfolgt nicht, sofern dies nicht ausdrücklich vereinbart ist. Der jeweilige Auftraggeber wird im zugehörigen Hauptvertrag oder Angebot individuell benannt. 

​

​

1 Gegenstand/Umfang der Beauftragung

1.1 Die Zusammenarbeit der Parteien nach Maßgabe des Hauptvertrages kann es mit sich bringen, dass der Auftragnehmer Zugriff auf personenbezogene Daten des Auftraggebers (nachfolgend "Auftraggeberdaten") erhält und diese ausschließlich im Auftrag und nach Weisung des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DS-GVO verarbeitet. Hierfür soll dieser Auftragsverarbeitungsvertrag zwischen den Parteien gelten.

1.2 Die Verarbeitung der Auftraggeberdaten durch den Auftragnehmer erfolgt ausschließlich in der im Cloud-Services-Vertrag und ggf. darüberhinausgehend in Anlage 1 spezifizierten Art sowie in dem dort spezifizierten Umfang und Zweck. Der Kreis der von der Datenverarbeitung betroffenen Personen ist ebenfalls im Hauptvertrag und ggf. darüberhinausgehend in Anlage 1 dargestellt. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

1.3 Dem Auftragnehmer ist eine abweichende oder über die Festlegungen im Hauptvertrag und Anlage 1 hinausgehende Verarbeitung von Auftraggeberdaten untersagt. Dies gilt auch für die Verwendung anonymisierter Daten.

1.4 Die Verarbeitung der Auftraggeberdaten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 bis 49 DS-GVO erfüllt sind.

1.5 Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten in Berührung kommen, die vom Auftraggeber stammen oder für den Auftraggeber erhoben wurden.

​

​

2 Weisungsbefugnisse des Auftraggebers

2.1 Der Auftragnehmer verarbeitet die Auftraggeberdaten nur im Rahmen der Beauftragung und ausschließlich im Auftrag und nach Weisung des Auftraggebers im Sinne von Art. 28 DS-GVO (Auftragsverarbeitung). Dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Der Auftraggeber hat insoweit das alleinige Recht, Weisungen über Art, Umfang, und Methode der Verarbeitungstätigkeiten zu erteilen (nachfolgend auch "Weisungsrecht"). Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.

2.2 Weisungen werden vom Auftraggeber grundsätzlich schriftlich erteilt; mündlich erteilte Weisungen sind vom Auftragnehmer schriftlich zu bestätigen. Die weisungs- und empfangsberechtigten Personen ergeben sich aus der individuellen Vereinbarung zwischen Auftragnehmer und Auftraggeber (z. B. Angebot und Bestellung). Bei einem Wechsel oder einer längerfristigen Verhinderung der in der individuellen Vereinbarung benannten Personen ist der anderen Partei unverzüglich der Nachfolger bzw. Vertreter in Textform zu benennen. Die Parteien werden einen Wechsel der Person des Weisungsberechtigten bzw. Weisungsempfängers frühzeitig anzeigen. Bis zum Zugang einer solchen Mitteilung beim Auftraggeber bzw. Auftragnehmer gelten die benannten Personen weiter als weisungs- bzw. empfangsberechtigt.

2.3 Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.

 
3 Schutzmaßnahmen des Auftragnehmers

3.1 Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

3.2 Ferner wird der Auftragnehmer alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im Folgenden "Mitarbeiter" genannt), in Schriftform zur Vertraulichkeit verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DS-GVO) und die Einhaltung dieser Verpflichtung mit der gebotenen Sorgfalt sicherstellen. Auf Verlangen des Auftraggebers wird der Auftragnehmer dem Auftraggeber die Verpflichtung der Mitarbeiter schriftlich oder in elektronischer Form nachweisen.

3.3 Der Auftragnehmer wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen (TOM) zum angemessenen Schutz der Auftraggeberdaten gemäß Art. 32 DS-GVO zu ergreifen und diese für die Dauer der Verarbeitung der Auftraggeberdaten aufrecht zu erhalten. Eine Beschreibung der technischen und organisatorischen Maßnahmen des Auftragnehmers wird dem Auftraggeber auf Anfrage ausgehändigt.

3.4 Eine Änderung der getroffenen technischen und organisatorischen Maßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. 

​

​

4 Informations- und Unterstützungspflichten des Auftragnehmers

4.1 Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der Auftraggeberdaten durch den Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragnehmer den Auftraggeber unverzüglich informieren. Dasselbe gilt für Prüfungen des Auftragnehmers durch die Datenschutz-Aufsichtsbehörde. Die Meldungen gemäß § 4 Abs. 1 S. 1 enthalten jeweils zumindest die in Art. 33 Absatz 3 DS-GVO genannten Angaben.

4.2 Der Auftragnehmer wird den Auftraggeber im Falle des § 4 Abs. 1 bei der Erfüllung seiner diesbezüglichen Aufklärungs-, Abhilfe- und Informationsmaßnahmen im Rahmen des Zumutbaren unterstützen. Der Auftragnehmer wird insbesondere unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen durchführen, den Auftraggeber hierüber informieren und diesen um weitere Weisungen ersuchen.

4.3 Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf dessen mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle gemäß § 7 Abs. 1 dieses Vertrages erforderlich sind. 
 

5 Sonstige Verpflichtungen des Auftragnehmers

5.1 Der Auftragnehmer ist verpflichtet, ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DS-GVO zu führen. Die in Anlage 1 dokumentierten Arten, Zwecke und Kategorien der Verarbeitung bilden dabei die Grundlage für dieses Verzeichnis. Das Verzeichnis ist dem Auftraggeber auf Verlangen zur Verfügung zu stellen.

5.2 Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DS-GVO zu unterstützen.

5.3 Der Auftragnehmer bestätigt, dass er – soweit eine gesetzliche Verpflichtung hierzu besteht – einen Datenschutzbeauftragten bestellt hat und dem Auftraggeber die Kontaktdaten unverzüglich mitteilt. Ein Wechsel in der Person des betrieblichen Datenschutzbeauftragten/Ansprechpartners für den Datenschutz ist dem Auftraggeber unverzüglich schriftlich mitzuteilen.

5.4 Sollten die Auftraggeberdaten beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich beim Auftraggeber als „Verantwortlichem“ im Sinne der DS-GVO liegt.

 
6 Subunternehmerverhältnisse

6.1 Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung der in Anlage 2 genannten Subunternehmer durchgeführt. Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern („Unterauftragsverhältnis“ oder „Subunternehmerverhältnis“) befugt. Vor der Begründung von weiteren Unterauftragsverhältnissen informiert der Auftragnehmer den Auftraggeber in Textform mit einer Frist von vier Wochen. Der Auftraggeber kann gegen die Änderung nur aus wichtigem Grund Einspruch erheben. Der Einspruch hat binnen 14 Kalendertagen zu erfolgen und alle wichtigen Gründe ausdrücklich zu benennen. Ein wichtiger Grund auf Seiten des Auftragnehmers liegt insbesondere vor, wenn der Subunternehmer seinen Sitz nicht in einem Land hat, das Mitglied der EU/des EWR ist oder zu dem die Kommission einen Angemessenheitsbeschluss nach Art. 45 DS-GVO erlassen hat. 

6.2 Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Bewachungsdienste, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen. Die Pflicht des Auftragnehmers, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

 
7 Kontrollrechte

7.1 Der Auftraggeber ist berechtigt, sich regelmäßig von der Einhaltung der Regelungen dieses Vertrages, insbesondere der Umsetzung und Einhaltung der technischen und organisatorischen Maßnahmen gemäß § 3 Abs. 3 dieser Vereinbarung, zu überzeugen. Hierfür kann er z. B. Auskünfte des Auftragnehmers einholen, sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen des Auftragnehmers zu den üblichen Geschäftszeiten selbst persönlich bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht.

7.2 Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe des Auftragnehmers nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig.

7.3 Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Auftraggeber dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.

 
8 Rechte Betroffener

8.1 Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12 bis 22 sowie Art. 32 bis 36 DS-GVO. Er wird dem Auftraggeber unverzüglich die gewünschte Auskunft über Auftraggeberdaten geben, sofern der Auftragnehmer nicht selbst über die entsprechenden Informationen verfügt.

8.2 Macht der Betroffene seine Rechte gemäß Art. 16 bis 18 DS-GVO geltend, ist der Auftragnehmer dazu verpflichtet, die Auftraggeberdaten auf Weisung des Auftraggebers unverzüglich zu berichtigen, löschen oder einzuschränken. Der Auftragnehmer wird dem Auftraggeber die Löschung, Berichtigung bzw. Einschränkung der Daten auf Verlangen schriftlich nachweisen.

8.3 Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragnehmer geltend, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten und wartet dessen Weisungen ab. Ohne entsprechende Einzelweisung wird der Auftragnehmer nicht mit der betroffenen Person in Kontakt treten.

8.4 Der Auftraggeber vergütet dem Auftragnehmer den Aufwand, der ihm für die Unterstützungsleistungen entsteht.
 

9 Laufzeit und Kündigung

9.1 Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Ist der Hauptvertrag ordentlich kündbar, gelten die Regelungen zur ordentlichen Kündigung entsprechend. Im Zweifel gilt eine Kündigung des Hauptvertrags auch als Kündigung dieses Vertrags und eine Kündigung dieses Vertrages als Kündigung des Hauptvertrages.

9.2 Der Auftraggeber ist jederzeit zu einer außerordentlichen Kündigung dieses Vertrages aus wichtigem Grund berechtigt. Ein wichtiger Grund liegt vor, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätzlich oder grob fahrlässig verletzt oder eine Weisung des Auftraggebers nicht ausführen kann oder will. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstößen setzt der Auftraggeber dem Auftragnehmer zunächst eine angemessene Frist, innerhalb welcher der Auftragnehmer den Verstoß abstellen kann. Nach fruchtlosem Ablauf dieser Frist steht dem Auftraggeber sodann das Recht zur außerordentlichen Kündigung zu.
 

10 Löschung und Rückgabe nach Vertragsende

Der Auftragnehmer wird dem Auftraggeber nach Beendigung des Hauptvertrags oder jederzeit auf dessen Verlangen alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder auf Wunsch des Auftraggebers, sofern nicht eine gesetzliche Aufbewahrungsfrist besteht, vollständig und unwiderruflich löschen. Dies gilt auch für Vervielfältigungen der Auftraggeberdaten beim Auftragnehmer, wie etwa Datensicherungen, nicht aber für Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung der Auftraggeberdaten dienen. Solche Dokumentationen sind vom Auftragsnehmer für eine angemessene Dauer aufzubewahren und auf Verlangen an den Auftragsgeber herauszugeben.

 
11 Haftung

11.1 Die Haftung der Parteien richtet sich nach Art. 82 DS-GVO. Eine Haftung des Auftragnehmers gegenüber dem Auftraggeber wegen Verletzung von Pflichten aus diesem Vertrag oder dem Hauptvertrag bleibt hiervon unberührt.

11.2 Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist. § 11 Abs. 2 S. 1 gilt im Falle einer gegen eine Partei verhängte Geldbuße entsprechend, wobei die Freistellung in dem Umfang erfolgt, in dem die jeweils andere Partei Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.

 
12 Schlussbestimmungen

12.1 Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

12.2 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

12.3 Die Regelungen dieses Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor. Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen einer Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.

12.4 Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Hamburg.
 

Anlage 1 – Spezifikation der Datenverarbeitung gemäß Art. 28 Abs. 3 DS-GVO

1. Gegenstand und Zweck der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt im Rahmen der Bereitstellung und Nutzung der Softwareplattform „InfraCloud“. Zweck der Verarbeitung ist die Ermöglichung der Nutzung durch autorisierte Benutzer, die Verwaltung von Nutzerzugängen und Projektdaten sowie die technische Bereitstellung und Wartung der Plattform.

2. Kategorien betroffener Personen
Es werden personenbezogene Daten folgender betroffener Personengruppen verarbeitet:
•    Benutzer der InfraCloud-Plattform, insbesondere solche, die vom Auftraggeber zur Nutzung eingeladen oder berechtigt wurden (z. B. Mitarbeiter, Projektbeteiligte, Kunden, Subunternehmer)
•    Personen, die in durch den Auftraggeber hochgeladenen Inhalten (z. B. Fotos, Plänen, Dokumenten) identifizierbar sind
•    Weitere betroffene Personen gemäß individueller Nutzung durch den Auftraggeber

3. Kategorien personenbezogener Daten
Je nach Nutzung durch den Auftraggeber werden u. a. folgende personenbezogene Daten verarbeitet:
•    Kommunikationsdaten (z. B. E-Mail-Adresse, optional Telefonnummer)
•    Vertragsstammdaten (z. B. Name, Unternehmen, Benutzerrolle)
•    Nutzungsdaten (z. B. Login-Zeitpunkte, Zugriffsrechte, Änderungsverläufe)
•    Projektdaten mit Personenbezug (z. B. Annotationen mit Angaben zu Ersteller/in, Zeitstempel)
•    Hochgeladene Inhalte mit potenziellem Personenbezug (z. B. Fotos, PDF-Dokumente, Pläne mit Kommentaren)

4. Art der Verarbeitung
Die Verarbeitung umfasst – abhängig vom Nutzungsszenario – folgende Verarbeitungstätigkeiten:
•    Erheben, Erfassen, Organisation, Ordnung
•    Speicherung, Anpassung, Veränderung
•    Auslesen, Abfragen, Verwendung
•    Übermittlung, Abgleich, Verknüpfung
•    Einschränkung, Löschung
Weitere Datenarten (nur bei individueller Vereinbarung): Der Auftraggeber kann darüber hinaus die Verarbeitung weiterer personenbezogener Daten anweisen. Diese sind vorab schriftlich mitzuteilen und werden durch den Auftragnehmer in einer gesonderten Liste zu dokumentiert.

5. Zweck der Verarbeitung
Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung und Nutzung der InfraCloud-Plattform, insbesondere:
•    zur Projekt- und Dokumentationsverwaltung,
•    zur Zuweisung, Nachverfolgung und Kommentierung von Aufgaben,
•    zur Kommunikation zwischen Projektbeteiligten,
•    zur Speicherung und Verarbeitung projektbezogener Inhalte.
Die Plattform dient dem Kunden zur Digitalisierung und Strukturierung projektbezogener Arbeitsabläufe, einschließlich der optionalen Integration nutzerspezifischer Inhalte

6. Dauer der Verarbeitung
Die Dauer der Verarbeitung richtet sich nach der Laufzeit des zwischen den Parteien geschlossenen SaaS-Vertrags. Nach Vertragsende erfolgt eine Löschung oder Anonymisierung der Daten gemäß den vertraglich vereinbarten Löschfristen.

7. Unterauftragsverarbeiter
Die Speicherung und technische Verarbeitung der Daten erfolgt durch Subunternehmer im Rahmen von Unterauftragsverhältnissen gemäß Anlage 2.

8. Ergänzende Verarbeitung
Sollten über die oben genannten Kategorien hinaus weitere Arten personenbezogener Daten durch den Auftraggeber auf der Plattform verarbeitet werden, ist der Auftragnehmer darüber schriftlich zu informieren. Die ergänzenden Datenkategorien sind gesondert zu dokumentieren.

 
Anlage 2 – Verzeichnis der Unterauftragsverarbeiter gemäß § 6 AVV

Im Sinne von § 6 des Auftragsverarbeitungsvertrags sind nachfolgend alle Unterauftragsverarbeiter aufgeführt, die datenschutzrechtlich relevante Tätigkeiten im Auftrag des Auftragnehmers übernehmen. Alle Unterauftragsverarbeiter werden sorgfältig ausgewählt und vertraglich auf die Einhaltung der Vorgaben gemäß Art. 28 DS-GVO verpflichtet.

Aktuell eingesetzte Unterauftragsverarbeiter:
Unternehmen: Amazon Web Services EMEA SARL

Sitz: Luxemburg

Tätigkeit im Auftrag: Der Unterauftragsverarbeiter wird zum Speichern der Daten in der Cloud eingesetzt. Der Serverstandort befindet sich in Frankfurt (AWS Region Europe (Frankfurt), eu-central 1). Das Speichern aller Daten erfolgt innerhalb der Europäischen Union.

 

Unternehmen: sedevo GmbH

Sitz: Deutschland

Tätigkeit im Auftrag: Betrieb und Wartung der InfraCloud-Plattform

Stand: 14.07.2025