Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen

dem Kunden gemäß den bei Bestellung angegebenen Firmendaten
(nachfolgend „Verantwortlicher“)

und

Duo Visions GbR (Ronny Zang & Alexandra Jasper), Auf der Holtzkoppel 2, 23746 Kellenhusen, handelnd unter der Marke „Crewrio“
(nachfolgend „Auftragsverarbeiter“)

– gemeinsam die „Parteien“ –

1. Gegenstand und Dauer des Auftrags

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der webbasierten Software „Crewrio“ (Checklisten-, Einarbeitungs- und Qualitätssicherungs-App für Betriebe) gemäß dem zwischen den Parteien bestehenden Hauptvertrag (Allgemeine Geschäftsbedingungen von Crewrio).

(2) Die Dauer dieses Vertrags entspricht der Dauer des Hauptvertragsverhältnisses. Er endet nicht automatisch mit der Kündigung des Hauptvertrags, sondern erst mit der endgültigen Löschung aller Daten gemäß Ziffer 9.

2. Art, Zweck und Dauer der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der Crewrio-Anwendung für den Verantwortlichen, insbesondere für:

• Benutzerverwaltung (Admin- und Mitarbeiterkonten, Anmeldung)
• Verwaltung von Checklisten, Aufgaben, Standorten/Bereichen und deren Bearbeitung
• Einarbeitungs- und Wissenscheck-Funktionen inklusive Lernfortschritt
• optionales Foto-Tracking (Belegfotos) und Zeit-Tracking je Aufgabe
• Fragen-/Feedback-Funktion zwischen Mitarbeitern und Admins
• optionales Belohnungssystem (Crew-Coins)
• Kommunikation über den optionalen Premium-Support-Chat

Die Verarbeitung erfolgt für die Dauer der Vertragslaufzeit des Hauptvertrags zzgl. der in Ziffer 9 geregelten Aufbewahrungs- und Löschfristen.

3. Kategorien betroffener Personen

Mitarbeiter des Verantwortlichen (sowohl Personen mit Administrator-Rolle als auch reguläre Mitarbeiter-Konten), die Zugriff auf die Crewrio-Anwendung des Verantwortlichen erhalten.

4. Art der personenbezogenen Daten

• Stammdaten: Anzeigename, Anmeldename, Passwort (ausschließlich als Hash gespeichert, nie im Klartext)
• Nutzungs-/Protokolldaten: Zeitpunkte abgeschlossener Aufgaben, Login-Zeitpunkte, Gerätetyp, gekürzte IP-Adresse (zur Missbrauchserkennung)
• Inhaltliche Daten: Texte zu Notizen/Fragen/Feedback, Ergebnisse des Wissenschecks
• Bei Nutzung entsprechender optionaler Funktionen: Fotos (Belegfotos als Tätigkeitsnachweis), Nachrichten im Premium-Support-Chat
• Keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für den regulären Betrieb vorgesehen. Der Verantwortliche verpflichtet sich, keine solchen Daten (z. B. Gesundheitsdaten) in Freitextfelder, Notizen oder Belegfotos einzutragen.

5. Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet.

(2) Die Konfiguration und Nutzung der Anwendung durch den Verantwortlichen selbst (z. B. Anlegen von Mitarbeiterkonten, Aktivieren einzelner Funktionen) gilt als Weisung im Sinne dieses Vertrags.

(3) Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, informiert er den Verantwortlichen unverzüglich.

6. Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter trifft die in Anlage 1 aufgeführten Maßnahmen nach Art. 32 DSGVO und passt diese bei Bedarf an den Stand der Technik an.

(3) Unterstützungspflichten: Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich, bei der Erfüllung von dessen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung).

(4) Meldepflicht bei Datenschutzverletzungen: Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten im Sinne von Art. 33 DSGVO, die Daten des Verantwortlichen betreffen könnten, und unterstützt ihn bei der Erfüllung seiner eigenen Meldepflichten.

(5) Löschung/Rückgabe: Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten gemäß Ziffer 9, sofern nicht eine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

(6) Nachweispflichten: Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

7. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit seine allgemeine Zustimmung zur Beauftragung der nachfolgend genannten Unterauftragsverarbeiter. Über die Hinzuziehung neuer oder den Austausch bestehender Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen rechtzeitig vorab in Textform (z. B. per E-Mail); der Verantwortliche kann der Änderung innerhalb von 14 Tagen widersprechen.

(2) Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter zu denselben Datenschutzpflichten, wie sie in diesem Vertrag vereinbart sind.

8. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten des Auftragsverarbeiters zu überzeugen. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage in zumutbarem Umfang die notwendigen Informationen (z. B. Selbstauskünfte, Nachweis der technischen und organisatorischen Maßnahmen) zur Verfügung.

9. Löschung nach Vertragsende

(1) Nach Beendigung des Hauptvertrags (Kündigung, Vertragsende) wird der Zugang zunächst automatisch deaktiviert; die Daten bleiben zum Schutz vor versehentlichem Datenverlust für eine Aufbewahrungsfrist von einem Monat gespeichert.

(2) Nach Ablauf dieser Frist werden die Daten entweder auf Veranlassung des Verantwortlichen, durch eine vom Auftragsverarbeiter bereitgestellte Selbst-Löschfunktion, oder spätestens nach angemessener Zeit durch den Auftragsverarbeiter selbst unwiderruflich gelöscht. Eine Rückgabe der Daten in strukturierter Form kann der Verantwortliche vor Ablauf der Aufbewahrungsfrist verlangen.

10. Haftung

Es gelten die Haftungsregelungen des Hauptvertrags (AGB), soweit dieser Vertrag keine abweichenden Regelungen trifft. Die gesetzliche Haftung nach Art. 82 DSGVO bleibt unberührt.

11. Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Dieser Vertrag wird durch Abschluss des Hauptvertrags (Bestellprozess) wirksam geschlossen; einer gesonderten Unterschrift bedarf es nicht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)