Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

§ 1 Gegenstand, Dauer und Rangfolge

1. Dieser Vertrag konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung der Software „SAIA" für den Verantwortlichen durchführt.
2. Gegenstand und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag: die Bereitstellung einer Software zur Unterstützung von Kontaktaufnahme-, Vertriebs- und Recruiting-Prozessen über berufliche Netzwerke, einschließlich der Verwaltung von Kontakten, der Durchführung von Kampagnen, der Erstellung und Versendung von Nachrichten sowie der Auswertung der Ergebnisse.
3. Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages.
4. Bei Widersprüchen gehen die Regelungen dieses Vertrages den Regelungen des Hauptvertrages vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.

§ 2 Art der Daten und Kategorien betroffener Personen

Art der personenbezogenen Daten

• Stammdaten und berufliche Profildaten (Vor- und Nachname, Anrede, berufliche Position, Arbeitgeber, Branche, Standort, Profil-URL und Profilkennungen des beruflichen Netzwerks),
• Kontaktdaten (soweit vom Verantwortlichen eingebracht oder über das berufliche Netzwerk zugänglich),
• Kommunikationsinhalte (gesendete und empfangene Nachrichten, Verbindungsanfragen, Zeitstempel, Status- und Zustellinformationen, automatisiert ermittelte Einordnung des Antwortinhalts),
• Nutzungs- und Prozessdaten (Kampagnenzugehörigkeit, Bearbeitungsstand, Ergebnisse und Statistiken),
• Zugangs- und Sitzungsdaten der vom Verantwortlichen angebundenen Konten beruflicher Netzwerke,
• Nutzerdaten des Verantwortlichen (Name, dienstliche E-Mail-Adresse, Rolle, Protokolldaten).

Kategorien betroffener Personen

• vom Verantwortlichen kontaktierte oder zur Kontaktaufnahme vorgesehene Personen (Interessenten, Kandidatinnen und Kandidaten, Ansprechpartner),
• Beschäftigte und Nutzer des Verantwortlichen.

§ 3 Pflichten und Verantwortlichkeit des Verantwortlichen

1. Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24 DSGVO).
2. Er hat insbesondere sicherzustellen, dass
   • für die Verarbeitung der von ihm eingebrachten Daten eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO besteht,
   • die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber den betroffenen Personen erfüllt werden,
   • die Ansprache betroffener Personen den wettbewerbsrechtlichen Vorgaben, insbesondere § 7 UWG, entspricht,
   • erforderliche Verzeichnisse, Abwägungen und gegebenenfalls eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vorliegen.
3. Der Verantwortliche erteilt Weisungen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Die Nutzung der Funktionen der Software durch den Verantwortlichen gilt als Weisung im Rahmen des vertraglich vereinbarten Leistungsumfangs.
4. Der Verantwortliche benennt eine für Datenschutzfragen zuständige Kontaktperson.

§ 4 Pflichten des Auftragsverarbeiters

1. Weisungsbindung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Hinweispflicht. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
3. Vertraulichkeit. Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).
4. Sicherheit der Verarbeitung. Der Auftragsverarbeiter trifft die in § 6 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit auf einem dem Risiko angemessenen Stand. Er darf Maßnahmen anpassen, sofern das Schutzniveau nicht unterschritten wird.
5. Unterstützung bei Betroffenenrechten. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO nachzukommen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter.
6. Unterstützung bei weiteren Pflichten. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
7. Meldung von Verletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar.
8. Datenschutzbeauftragter / Kontakt. Anfragen zum Datenschutz sind zu richten an: info@secret-ai-agent.de.
9. Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO).
2. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das den Pflichten dieses Vertrages entspricht.
3. Zum Zeitpunkt des Vertragsschlusses sind folgende Unterauftragsverarbeiter eingesetzt:

4. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von vier Wochen in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen.
5. Widerspricht der Verantwortliche berechtigt und ist dem Auftragsverarbeiter die Erbringung der Leistung ohne den betreffenden Unterauftragsverarbeiter nicht mit zumutbarem Aufwand möglich, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von vier Wochen zu kündigen.
6. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt (z. B. Telekommunikationsleistungen, Wartung, Reinigung, Entsorgung von Datenträgern).
7. Berufliche Netzwerke (insbesondere LinkedIn) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters, sondern eigenständig Verantwortliche. Die Beziehung des Verantwortlichen zu diesen Plattformen richtet sich ausschließlich nach deren eigenen Bedingungen.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Verarbeitung in zertifizierten Rechenzentren mit Zutrittssicherung, Videoüberwachung und protokolliertem Zugang; kein physischer Zugriff durch Beschäftigte des Auftragsverarbeiters auf die Serverhardware.
• Zugangskontrolle: individuelle Benutzerkonten, Passwortrichtlinien, Zwei-Faktor-Authentifizierung für administrative Zugänge, automatische Sperrung inaktiver Sitzungen.
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte, strikte Mandantentrennung, Protokollierung administrativer Zugriffe.
• Trennungskontrolle: logische Trennung der Daten verschiedener Verantwortlicher (Mandantenkennung), getrennte Umgebungen für Entwicklung, Test und Produktion.
• Pseudonymisierung und Verschlüsselung: Verschlüsselung der Übertragung durchgängig mit TLS; Verschlüsselung besonders schutzbedürftiger Daten (insbesondere Zugangsdaten und Sitzungsinformationen angebundener Konten) im Ruhezustand.

Integrität

• Eingabekontrolle: Protokollierung wesentlicher Verarbeitungsvorgänge und Änderungen mit Zeitstempel und auslösendem Konto.
• Weitergabekontrolle: Übermittlung ausschließlich über verschlüsselte Verbindungen; keine Weitergabe an Dritte außerhalb der in § 5 genannten Unterauftragsverarbeiter.

Verfügbarkeit und Belastbarkeit

• regelmäßige, automatisierte Datensicherung mit definierter Aufbewahrung und Wiederherstellungstests,
• redundante Infrastruktur, Monitoring und Alarmierung, Schutzmaßnahmen gegen Überlastung und Angriffe aus dem Netz,
• dokumentierte Verfahren zur Wiederherstellung der Verfügbarkeit nach einem Zwischenfall.

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management mit Verzeichnis der Verarbeitungstätigkeiten und Prüfung bei Änderungen,
• Verpflichtung der Beschäftigten auf Vertraulichkeit und regelmäßige Sensibilisierung,
• Verfahren zur Behandlung von Sicherheitsvorfällen und Datenschutzverletzungen,
• Auswahl und Überprüfung von Unterauftragsverarbeitern anhand ihrer Datenschutz- und Sicherheitsnachweise,
• Berücksichtigung des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

§ 7 Drittlandtransfer

1. Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
2. Soweit Unterauftragsverarbeiter Daten in den Vereinigten Staaten verarbeiten, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder auf Grundlage der Standardvertragsklauseln der Europäischen Kommission, jeweils ergänzt um erforderliche zusätzliche Schutzmaßnahmen.

§ 8 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
2. Der Nachweis kann erbracht werden durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen, geeignete Zertifizierungen oder eine aussagekräftige Selbstauskunft zu den technischen und organisatorischen Maßnahmen.
3. Soweit dies zur Erfüllung gesetzlicher Prüfpflichten erforderlich ist, kann der Verantwortliche nach rechtzeitiger Ankündigung von mindestens vier Wochen und während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer durchführen lassen. Der Betriebsablauf darf hierdurch nicht unangemessen beeinträchtigt werden; Prüfungen finden höchstens einmal je Kalenderjahr statt, es sei denn, ein besonderer Anlass besteht.
4. Für den Aufwand einer über Absatz 1 und 2 hinausgehenden Unterstützung kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 9 Löschung und Rückgabe nach Beendigung

1. Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.
2. Der Verantwortliche hat die Möglichkeit, seine Daten über die Funktionen der Software innerhalb von 30 Tagen nach Vertragsende zu exportieren. Nach Ablauf dieser Frist ist der Auftragsverarbeiter berechtigt und verpflichtet, die Daten unwiderruflich zu löschen.
3. Sicherungskopien werden im Rahmen der regulären Sicherungszyklen gelöscht; bis dahin bleiben sie dem Zugriff entzogen und werden ausschließlich zur Wiederherstellung verwendet.
4. Die Löschung wird auf Anforderung in Textform bestätigt.

§ 10 Haftung

1. Für die Haftung der Parteien gilt Art. 82 DSGVO.
2. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages, soweit Art. 82 DSGVO dem nicht entgegensteht.
3. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen frei, die darauf beruhen, dass der Verantwortliche seinen Pflichten aus § 3 dieses Vertrages nicht nachgekommen ist.

§ 11 Schlussbestimmungen

1. Änderungen dieses Vertrages bedürfen der Textform.
2. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
3. Es gilt das Recht der Bundesrepublik Deutschland.