Auftragsverarbeitungsvertrag (AVV)

zwischen dem Kunden der Anwendung irot Erstmuster – nachfolgend »Verantwortlicher« – und Jasmann Werk 52, Inhaber Muhammad Saeed, Elberfelder Str. 72, 42553 Velbert (Einzelunternehmen) – nachfolgend »Auftragsverarbeiter«.

1. Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter vornimmt, wenn er dem Verantwortlichen die Anwendung irot Erstmuster über das Internet zur Nutzung überlässt: Speichern, Lesen von Zeichnungen, Erstellen von Prüfplänen und Berichten, Versand von E-Mails, Datensicherung und Löschung.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags nach den Allgemeinen Geschäftsbedingungen, einschließlich der kostenlosen ersten Zeichnung.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Erstellung, Prüfung, Versendung und Archivierung von Erstmusterprüfberichten und Prüfplänen des Verantwortlichen sowie der Verwaltung der Nutzerzugänge. Sie umfasst Erheben (Hochladen, Einlesen), Speichern, Auslesen von Zeichnungen, Auswerten, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Sichern und Löschen.

3. Art der Daten

• Nutzerdaten: Name, E-Mail-Adresse, Rolle, Zeitpunkte der Anmeldung; Kennwort nur als kryptografischer Prüfwert; zweiter Faktor verschlüsselt.
• Angaben in Zeichnungen: Namen und Kürzel von Personen im Schriftfeld (etwa Ersteller, Prüfer, Freigebende beim Auftraggeber des Verantwortlichen), Firmennamen, Unterschriften.
• Prüf- und Messdaten mit Personenbezug: Name des Messenden oder Bedieners, Maschine, Zeitpunkt, Prüfmittel.
• Angaben im Bericht: Name, Funktion und Datum der unterschreibenden Person; Ansprechpartner beim Kunden des Verantwortlichen.
• Versanddaten: E-Mail-Adressen und Namen der Empfänger, Nachrichtentext, Anhänge.
• Protokolldaten: Einträge im Änderungsprotokoll (wer hat wann was geändert), IP-Adressen bei der Anmeldung.

4. Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen, insbesondere Nutzer, Messende und Unterzeichnende;
• Beschäftigte der Auftraggeber des Verantwortlichen, soweit sie in Zeichnungen oder Formblättern genannt sind;
• Ansprechpartner bei Kunden, Unterlieferanten, Laboren und Prüfstellen, soweit der Verantwortliche sie erfasst oder sie in Anlagen (etwa Werkstoffzeugnissen) genannt sind.

5. Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind durch diesen Vertrag, die AGB und die Einstellungen der Anwendung festgelegt – insbesondere Aufbewahrungsfrist, Null-Retention, Zustimmung zum Training, KI-Textfunktionen und die Wahl eines Lesedienstes Dritter. Weitere Weisungen erteilt der Verantwortliche in Textform an post@cnc-x.de.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Zeichnungen und daraus gewonnene Daten werden nicht über den Verantwortlichen hinaus ausgewertet. Korrekturbeispiele werden nur mit Zustimmung des Verantwortlichen zur Verbesserung des Lesers verwendet, auf eigener Hardware des Auftragsverarbeiters.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

1. verpflichtet alle Personen, die Daten verarbeiten, zur Vertraulichkeit;
2. trifft die technischen und organisatorischen Maßnahmen nach Abschnitt 7 und hält sie auf dem Stand der Technik;
3. unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO); die Anwendung erlaubt dafür Auskunft, Berichtigung, Export und Löschung;
4. unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO;
5. führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO;
6. stellt alle Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.

7. Technische und organisatorische Maßnahmen

Die Maßnahmen sind im Dokument Technische und organisatorische Maßnahmen beschrieben; es ist Bestandteil dieses Vertrags. Die wichtigsten: Verarbeitung auf Servern in Deutschland; Trennung der Betriebe durch Row Level Security in der Datenbank; Verschlüsselung jeder Datei mit AES-256-GCM und einem eigenen Schlüssel je Betrieb; unveränderliches Änderungsprotokoll; zweiter Faktor für Administratoren; tägliche, verschlüsselte Sicherung. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt der Einschaltung der Unterauftragsverarbeiter zu, die im Dokument Unterauftragnehmer aufgeführt sind, jeweils für die dort genannte Leistung und unter den dort genannten Bedingungen. Mit jedem besteht bzw. wird vor dem Einsatz ein Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen.

(2) Dienste, die nur nach Einschalten durch den Verantwortlichen arbeiten (Lesedienst Werk24, KI-Textfunktionen), nutzt der Auftragsverarbeiter erst nach diesem Einschalten.

(3) Vor dem Einsatz eines neuen oder dem Wechsel eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem Grund innerhalb von zwei Wochen widersprechen; einigen sich die Parteien nicht, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

9. Übermittlung in Drittländer

Ohne Zutun des Verantwortlichen findet keine Verarbeitung außerhalb der EU und des EWR statt. Schaltet der Verantwortliche die KI-Textfunktionen ein, geht der dafür freigegebene Text an den im Dokument Unterauftragnehmer genannten Anbieter in den USA, auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bzw. eines Angemessenheitsbeschlusses. Zeichnungen und Ausschnitte davon werden nie übermittelt.

10. Rechte des Verantwortlichen

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen: durch Auskünfte, die Vorlage der TOM und – nach Abstimmung, mit angemessener Frist und zu üblichen Geschäftszeiten – durch Überprüfungen durch ihn oder einen zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen vor Ort beschränken sich auf das Nötige und dürfen die Daten anderer Kunden nicht berühren.

11. Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, damit der Verantwortliche seine Frist von 72 Stunden einhalten kann.

12. Löschung und Rückgabe

(1) Während der Laufzeit gelten die Einstellungen des Verantwortlichen und das Löschkonzept.

(2) Nach Ende des Nutzungsvertrags kann der Verantwortliche seine Berichte Frist für die Herausgabe – vom Betreiber festzulegen (A15) lang herunterladen; danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht, und bestätigt die Löschung in Textform. Verschlüsselte Sicherungen verfallen nach ihrem planmäßigen Ablauf.

13. Schlussbestimmungen

(1) Haftung nach Art. 82 DSGVO; im Übrigen gelten die AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

(3) Änderungen bedürfen der Textform. Der Vertrag wird mit der Registrierung geschlossen; auf Wunsch stellt der Auftragsverarbeiter eine unterschriebene Fassung bereit.