Auftragsverarbeitungsvertrag (AVV)

Präambel

Zwischen Gläser IT-Solutions, Inhaber Daniel Gläser, Georgstraße 46, 09111 Chemnitz (nachfolgend „Auftragnehmer") und dem Kunden (nachfolgend „Auftraggeber") wird dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") nach Art. 28 DSGVO geschlossen. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung des Microsoft-365-Sicherheitsprüfungsdienstes Auditspiegel nach den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag"). Bei Widersprüchen geht dieser AVV in Fragen des Datenschutzes dem Hauptvertrag vor.

Der AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Eine vertretungsberechtigte Person des Auftraggebers nimmt ihn im Auditspiegel-Konto unter Angabe von Name und Funktion an. Der Auftragnehmer speichert Version, Zeitpunkt und annehmende Person; der Text der angenommenen Fassung bleibt im Konto abrufbar und kann als PDF gespeichert werden.

§1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand ist das einmalige oder wiederkehrende, ausschließlich lesende Auslesen der Sicherheitskonfiguration des vom Auftraggeber verbundenen Microsoft-365-Tenants über die Microsoft-Graph-Schnittstelle, die Bewertung dieser Konfiguration anhand der im Hauptvertrag beschriebenen Prüfkataloge sowie die Bereitstellung der Ergebnisse im Auditspiegel-Konto, als PDF-Bericht und in Benachrichtigungen.

(2) Art der Verarbeitung: Erheben (lesender Abruf mit einer Anwendungsberechtigung nach Administratorzustimmung des Auftraggebers), Speichern, Auswerten, Darstellen, Übermitteln an den Auftraggeber und Löschen.

(3) Zweck ist ausschließlich die Erbringung der vereinbarten Prüfleistung. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers, etwa zu Werbung oder zum Trainieren von Modellen, findet nicht statt. Statistische Auswertungen über alle Kunden erfolgen nur ohne Personenbezug.

§2 Art der Daten und Kreis der Betroffenen

(1) Datenkategorien:

• Tenant-Stammdaten (Name des Tenants, Anzahl der Nutzer, Lizenzübersicht),
• Konfigurations- und Richtliniendaten (z. B. bedingter Zugriff, MFA-Einstellungen, Rollen- und Berechtigungszuordnungen, Secure-Score-Werte),
• in Prüfbefunden Stichproben einzelner Konten (höchstens 5 je Befund) mit Anzeigename und Objekt-ID, bei Administratorkonten auch dem Anmeldenamen (UPN),
• technische Protokolldaten der Schnittstellenaufrufe (ohne Inhalte).

(2) Nicht verarbeitet werden Inhalte von E-Mails, Dateien (OneDrive, SharePoint), Teams-Chats und Kalendern sowie Kennwörter. Vollständige Antworten der Schnittstelle werden nicht dauerhaft gespeichert, sondern höchstens 2 Stunden zwischengespeichert.

(3) Betroffene sind Beschäftigte, Gäste, externe Konten und Dienstkonten im Microsoft-365-Tenant des Auftraggebers.

§2a Ort der Verarbeitung

Die Verarbeitung erfolgt in Rechenzentren in Deutschland (Hetzner, Falkenstein und Nürnberg). Eine Verarbeitung in Drittländern findet nur im Rahmen von §8 statt.

§3 Dauer

Der AVV gilt, solange der Auftragnehmer Daten aus dem Tenant des Auftraggebers verarbeitet. Er beginnt mit der Annahme und endet mit der vollständigen Löschung der Auftragsdaten nach §11. Die Verarbeitung neuer Daten endet, sobald der Auftraggeber die Administratorzustimmung widerruft, den Tenant trennt oder kein Vertrag über Prüfleistungen mehr besteht.

§4 Weisungen und Pflichten des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO und für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Information seiner Beschäftigten, verantwortlich.

(2) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich der Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder Deutschlands dazu verpflichtet ist; in einem solchen Fall teilt er dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Weisungen sind durch den Hauptvertrag, diesen AVV und die Einstellungen festgelegt, die der Auftraggeber im Konto vornimmt (z. B. Scan-Rhythmus, Trennen des Tenants, Löschanträge). Weitere Weisungen erteilt der Auftraggeber in Textform an support@auditspiegel.de.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt, und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(4) Der Auftraggeber stellt sicher, dass nur Tenants verbunden werden, für die er verantwortlich ist oder für deren Prüfung ihm die erforderliche Befugnis vorliegt.

§5 Pflichten des Auftragnehmers

Der Auftragnehmer

1. gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO); derzeit verarbeitet ausschließlich der Inhaber selbst,
2. trifft die in §6 genannten technischen und organisatorischen Maßnahmen (Art. 32 DSGVO),
3. beachtet die Bedingungen für Unterauftragsverarbeiter nach §7,
4. unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen nach §9,
5. unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation),
6. löscht oder gibt die Daten nach §11 zurück,
7. stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach §10.

§5a Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes der Auftragsdaten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, an die E-Mail-Adresse des Kontoinhabers.

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, eine Ansprechstelle, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen (Art. 33 Abs. 3 DSGVO). Informationen, die noch nicht vorliegen, werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und dokumentiert die Verletzung.

§6 Technische und organisatorische Maßnahmen

(1) Die Maßnahmen nach Art. 32 DSGVO sind unter /legal/tom beschrieben und Bestandteil dieses AVV.

(2) Der Auftragnehmer darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.

§7 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der unter /legal/subprocessors aufgeführten Unterauftragsverarbeiter.

(2) Beabsichtigt der Auftragnehmer, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, kündigt er dies mindestens 30 Tage vor dem Wirksamwerden im Auditspiegel-Konto und per E-Mail an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem AVV festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung (Art. 28 Abs. 4 DSGVO).

(4) Keine Unterauftragsverarbeitung im Sinne dieser Regelung sind Nebenleistungen wie Telekommunikationsdienste, bei denen kein Zugriff auf Auftragsdaten besteht.

(5) Die in der Liste als „nur bei aktivierten KI-Funktionen" gekennzeichneten Unterauftragsverarbeiter (Anthropic bzw. Amazon Web Services) setzt der Auftragnehmer nur für Auftraggeber ein, die die KI-Funktionen nach §7a aktiviert haben. Die Aktivierung gilt als Genehmigung im Sinne von Abs. 1; Abs. 2 gilt für sie entsprechend.

§7a KI-Funktionen

(1) Die KI-Funktionen (Zusammenfassung für die Geschäftsführung, Maßnahmenplan, Fragen zum Bericht, Auswertung von Fragebögen) sind ausgeschaltet, bis der Auftraggeber sie in seinem Konto ausdrücklich aktiviert. Die Aktivierung ist eine Weisung im Sinne von §4; der Auftragnehmer dokumentiert sie mit Zeitpunkt, handelnder Person und Fassung des Hinweises. Der Auftraggeber kann sie jederzeit widerrufen; danach übermittelt der Auftragnehmer keine Auftragsdaten mehr an die KI-Unterauftragsverarbeiter.

(2) Übermittelt werden nur die für die jeweilige Funktion nötigen Prüfergebnisse (Bewertungen, Messwerte, Nachweis-Auszüge), Lizenzstand, Fragen des Auftraggebers und von ihm hochgeladene Dokumente. Vor der Übermittlung ersetzt der Auftragnehmer Anmeldenamen, E-Mail-Adressen, Anzeigenamen, Domains und Unternehmensnamen durch Platzhalter und entfernt IP-Adressen, technische Kennungen, Zugangsdaten und Schlüssel. Hochgeladene PDF-Dokumente werden unverändert übertragen; der Auftraggeber entscheidet, welche Angaben sie enthalten.

(3) Beim Einsatz der Claude API von Anthropic werden Auftragsdaten auch in den USA verarbeitet; Grundlage sind die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Anthropic (§8). Beim Einsatz von Amazon Bedrock verbleibt die Verarbeitung in der EU. Die Unterauftragsverarbeiter nutzen die Daten nach ihren Bedingungen nicht zum Training von Modellen; die Aufbewahrung bei ihnen richtet sich nach ihren Bedingungen und ist in der Datenschutzerklärung (Abschnitt 6a) beschrieben.

(4) Die erzeugten Texte, Chatverläufe und Fragebogen-Antworten sind Auftragsdaten und werden nach §11 gelöscht; hochgeladene Fragebogen-Dateien löscht der Auftragnehmer nach Abschluss der Auswertung.

§8 Übermittlung in Drittländer

(1) Eine Übermittlung von Auftragsdaten in ein Land außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Die Tenant-Daten liegen bei der Microsoft Corporation, die der Auftraggeber selbst als Anbieter von Microsoft 365 einsetzt. Für den lesenden Abruf meldet sich die Auditspiegel-Anwendung bei der Microsoft-Identitätsplattform (Microsoft Entra ID) an; Microsoft verarbeitet dabei Anmelde- und Abrufdaten innerhalb der EU-Datengrenze. Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln des Microsoft Products and Services Data Protection Addendum.

(3) Die übrigen Unterauftragsverarbeiter verarbeiten Auftragsdaten in der EU.

§9 Rechte betroffener Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen nach Art. 12 bis 22 DSGVO, insbesondere durch Auskunft über die zu einer Person gespeicherten Befund-Stichproben und deren Löschung.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, sofern der Auftraggeber dies nicht anweist.

§10 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten durch diesen AVV, die TOM, die Liste der Unterauftragsverarbeiter und auf Anfrage durch weitere Unterlagen nach, etwa Auszüge aus Protokollen oder Bescheinigungen seiner Unterauftragsverarbeiter (z. B. ISO/IEC-27001-Zertifikat von Hetzner).

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragnehmers ist, kann Überprüfungen einschließlich Inspektionen durchführen. Diese sind mit einer Frist von mindestens 14 Tagen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und — außer bei konkreten Anhaltspunkten für einen Verstoß — auf einmal pro Kalenderjahr begrenzt. Sie dürfen den Betrieb und die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigen. Der Auftragnehmer kann für seinen Aufwand eine angemessene Vergütung verlangen, es sei denn, die Prüfung deckt einen Verstoß des Auftragnehmers auf.

§11 Löschung und Rückgabe

(1) Der Auftraggeber kann Berichte während der Vertragslaufzeit jederzeit als PDF herunterladen. Dies gilt als Rückgabe der Ergebnisse; weitere Formate schuldet der Auftragnehmer nicht.

(2) Beantragt der Auftraggeber die Löschung seines Kontos, löscht der Auftragnehmer nach Ablauf einer Widerrufsfrist von 30 Tagen alle Auftragsdaten: Tenant-Stammdaten, Prüfergebnisse einschließlich der Konto-Stichproben in Befunden, Secure-Score- und Lizenzstände, Protokolle der Schnittstellenaufrufe sowie die gespeicherten Berichte. Auf Verlangen in Textform löscht er Auftragsdaten auch ohne Widerrufsfrist.

(3) Besteht kein Vertrag über Prüfleistungen mehr, bleiben die Ergebnisse zunächst im Konto abrufbar. Vertragsende ist beim Abonnement das Ende des letzten bezahlten Abrechnungszeitraums, beim Einmal-Audit das Ende des Zugangszeitraums (30 Tage nach dem Kauf oder nach der Fertigstellung des letzten Berichts, je nachdem, was später liegt). Der Auftragnehmer löscht die Auftragsdaten zusammen mit dem Konto spätestens 12 Monate nach Vertragsende; er kündigt die Löschung 30 Tage vorher per E-Mail an. Bucht der Auftraggeber vor dem angekündigten Termin erneut, entfällt die Löschung.

(3a) Hat der Auftraggeber nie eine Prüfleistung gebucht (weder ein Einmal-Audit noch ein Abonnement) und hat sich 12 Monate lang niemand in seinem Auditspiegel-Konto angemeldet — ohne Anmeldung gerechnet ab der Registrierung —, löscht der Auftragnehmer das Konto mit allen in Abs. 2 genannten Auftragsdaten. Er kündigt die Löschung 30 Tage vorher per E-Mail an. Meldet sich vor dem angekündigten Termin jemand im Konto an, entfällt die Löschung.

(4) Kopien in Datensicherungen werden im Rahmen des regulären Sicherungszyklus spätestens 30 Tage nach der Löschung überschrieben. Eine Aufbewahrung über diese Fristen hinaus erfolgt nur, soweit das Recht der Union oder Deutschlands dazu verpflichtet. Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform.

§12 Haftung

Für die Haftung gelten Art. 82 DSGVO und im Übrigen die Regelungen des Hauptvertrags.

§13 Schlussbestimmungen

(1) Eine geänderte Fassung dieses AVV teilt der Auftragnehmer im Konto und per E-Mail mit. Sie gilt erst, wenn der Auftraggeber sie annimmt; bis dahin gilt die zuletzt angenommene Fassung fort. Hat der Auftraggeber die neue Fassung 30 Tage nach ihrer Veröffentlichung nicht angenommen, kann er bis zur Annahme keine neuen Prüfungen starten; bestehende Berichte bleiben abrufbar.

(2) Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht.