Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien aus dem Hauptvertrag über die Nutzung der SaaS-Plattform SiFa Flow (im Folgenden: „Hauptvertrag"). Er ist Teil dieses Hauptvertrages.

Der Auftraggeber (Kunde) ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die SiFaFlow UG (haftungsbeschränkt) i. G. (im Folgenden: „Auftragsverarbeiter") verarbeitet personenbezogene Daten im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

Auftragsverarbeiter:

SiFaFlow UG (haftungsbeschränkt) i. G.
(Anschrift gemäß Impressum unter /impressum)
E-Mail: kontakt@sifaflow.de

Auftraggeber: Der Kunde gemäß Hauptvertrag (siehe AGB, Stammdaten der Registrierung sowie ggf. einzelvertragliche Vereinbarung).

Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der Plattform SiFa Flow zur Unterstützung des Auftraggebers im Arbeitsschutz und Gefahrstoffmanagement. Der Auftrag umfasst sämtliche im Hauptvertrag beschriebenen Leistungen.

Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrages. Der AVV endet automatisch mit Beendigung des Hauptvertrages.

Der Auftragsverarbeiter verarbeitet die übermittelten personenbezogenen Daten ausschließlich zum Zweck der Erbringung der vertraglich geschuldeten Leistungen, insbesondere:

• Verwaltung von Mitarbeiterstammdaten und Qualifikationen
• Durchführung und Dokumentation von Unterweisungen, Begehungen und Gefährdungsbeurteilungen
• Speicherung und Auswertung von Erste-Hilfe-Dokumentation, Vorsorgeuntersuchungen und Mutterschutz-Daten (Art. 9 DSGVO)
• Verwaltung von Sicherheitsdatenblättern und Gefahrstoffkatastern
• Erstellung von Compliance-Reports und Audit-Logs
• Versand notwendiger Service- und System-E-Mails

Kategorien personenbezogener Daten:

• Stammdaten (Name, Personalnummer, Position, Standort)
• Kontaktdaten (geschäftliche E-Mail, Telefon)
• Qualifikationen, Schulungs- und Unterweisungsnachweise
• Daten zur Gesundheit (Art. 9 DSGVO): Vorsorgeuntersuchungen, Erste-Hilfe-Vorfälle, Mutterschutz-Bescheinigungen — soweit vom Auftraggeber eingegeben
• Nutzungs- und Login-Daten der Plattform-User

Kategorien betroffener Personen:

• Mitarbeitende des Auftraggebers
• Beauftragte externe Sicherheitsfachkräfte
• Mitarbeitende von Fremdfirmen, soweit vom Auftraggeber erfasst
• Ersthelfer und Notfall-Kontakte

Der Auftraggeber ist alleiniger Verantwortlicher im Sinne der DSGVO und entscheidet über Zwecke und Mittel der Verarbeitung. Er trägt insbesondere die Verantwortung für die Rechtmäßigkeit der Datenübermittlung an den Auftragsverarbeiter.

Der Auftraggeber ist berechtigt, dem Auftragsverarbeiter Weisungen schriftlich oder per E-Mail an kontakt@sifaflow.de zu erteilen. Weisungsbefugt sind die im Kundenkonto als Administrator hinterlegten Personen sowie die vom Auftraggeber gesondert benannten Ansprechpartner. Der Auftraggeber teilt Änderungen der weisungsbefugten Personen unverzüglich mit.

Mündlich erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Beide Parteien dokumentieren erteilte Weisungen; der Auftragsverarbeiter bewahrt sie für die Dauer des Vertrages und zwölf Monate darüber hinaus auf.

Die laufende Nutzung der Plattform im vertraglich vorgesehenen Funktionsumfang gilt als Weisung des Auftraggebers. Darüber hinausgehende Weisungen, die einen Mehraufwand verursachen, vergütet der Auftraggeber nach Aufwand, sofern sie nicht auf einem vom Auftragsverarbeiter zu vertretenden Umstand beruhen.

Der Auftragsverarbeiter verpflichtet sich:

• Die Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers vorzunehmen — einschließlich einer Übermittlung in Drittländer — es sei denn, er ist hierzu nach dem Recht der Union oder eines Mitgliedstaats verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO)
• Ein Verzeichnis aller im Auftrag des Auftraggebers durchgeführten Kategorien von Verarbeitungstätigkeiten zu führen und dem Auftraggeber auf Anforderung zur Verfügung zu stellen (Art. 30 Abs. 2 DSGVO)
• Sicherzustellen, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO)
• Die in Art. 32 DSGVO genannten technischen und organisatorischen Maßnahmen zu ergreifen (im Einzelnen Ziffer 13)
• Den Auftraggeber bei der Einhaltung seiner Pflichten gemäß Art. 32–36 DSGVO zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO)
• Den Auftraggeber unverzüglich zu informieren, falls eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO)
• Nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben (Art. 28 Abs. 3 lit. g DSGVO), sofern nicht eine gesetzliche Aufbewahrungspflicht besteht

Der Auftraggeber erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Inanspruchnahme der nachfolgend aufgeführten Subunternehmer. Der Auftragsverarbeiter informiert den Auftraggeber über geplante Änderungen schriftlich oder per E-Mail mit einer Frist von 30 Tagen vorab. Der Auftraggeber kann der Änderung innerhalb dieser Frist widersprechen.

Widerspricht der Auftraggeber aus einem wichtigen datenschutzrechtlichen Grund, so unterbleibt der Einsatz des betreffenden Subunternehmers, oder der Auftragsverarbeiter bietet eine gleichwertige Alternative an. Ist beides mit zumutbarem Aufwand nicht möglich und lässt sich die Leistung ohne den Subunternehmer nicht erbringen, steht dem Auftraggeber ein Sonderkündigungsrecht zum geplanten Wirksamwerden der Änderung zu; bereits vorausbezahlte Entgelte erstattet der Auftragsverarbeiter für den Zeitraum nach Vertragsende anteilig.

Der Auftragsverarbeiter legt jedem Subunternehmer dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Subunternehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Auftraggeber für dessen Verhalten wie für eigenes (Art. 28 Abs. 4 DSGVO).

Mit jedem Subunternehmer wurde ein eigener Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. Dieser bindet die Subunternehmer auf identische Datenschutz­standards.

Personenbezogene Daten des Auftraggebers werden ausschließlich innerhalb der EU/des EWR verarbeitet (Frankfurt bzw. Irland). Eine Übermittlung in ein Drittland (USA) erfolgt ausschließlich bei den nutzerausgelösten KI-Funktionen über Google (Gemini API): SDB-Strukturierung, Übersetzung von Betriebsanweisungen, Substitutionsprüfung, Beinaheunfall-Analyse, Vorschläge zur Gefährdungsbeurteilung und Auslandseinsatz. Stammdaten der betroffenen Personen werden dabei nicht übermittelt; die Freitextfelder der genannten Funktionen verfasst jedoch der Auftraggeber, so dass dort von ihm eingetragene Personenangaben mitübermittelt werden. Der Auftragsverarbeiter empfiehlt, diese Felder sachbezogen und ohne Namensnennung zu führen. Diese Übertragung ist über den EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln (Art. 44 ff. DSGVO) abgesichert. Soweit Subunternehmer eine US-Muttergesellschaft haben, ist deren Verarbeitung vertraglich auf die genannten EU-Regionen beschränkt und über SCC abgesichert.

Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Möglichen und Zumutbaren bei der Wahrnehmung der Rechte betroffener Personen (Art. 12–22 DSGVO), insbesondere bei Auskunfts-, Berichtigungs-, Lösch-, Einschränkungs- und Datenübertragungsanfragen. Anfragen, die direkt an den Auftragsverarbeiter gerichtet werden, leitet dieser unverzüglich an den Auftraggeber weiter.

Der Auftragsverarbeiter meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO geforderten Angaben.

Der Auftragsverarbeiter weist die Einhaltung der in diesem Vertrag festgelegten Pflichten dem Auftraggeber gegenüber durch geeignete Mittel nach (z.B. durch Vorlage aktueller TOM-Dokumentation, Zertifikate des Hosting-Subunternehmers). Auf schriftliche Anforderung räumt der Auftragsverarbeiter dem Auftraggeber das Recht ein, sich vor Ort von der Einhaltung der getroffenen TOMs zu überzeugen — angemessene Vorankündigung (≥ 30 Werktage) und Geheimhaltungspflichten vorausgesetzt.

Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter dem Auftraggeber sämtliche bei ihm vorhandenen personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung (Self-Service-Export im Dashboard). Nach Wahl und auf Weisung des Auftraggebers werden die personenbezogenen Daten nach Vertragsende zurückgegeben und/oder unwiderruflich gelöscht (Art. 28 Abs. 3 lit. g DSGVO). Davon ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht (z.B. Rechnungen nach § 14b UStG, 10 Jahre); diese werden bis zum Ablauf der Frist gesperrt aufbewahrt.

Sicherungskopien: Gelöschte Daten verschwinden unmittelbar aus dem produktiven System. In den Sicherungskopien bestehen sie bis zu 30 Tage fort: Datenbank-Sicherungen werden nach dieser Frist überschrieben, die tägliche Dateisicherung ist für 30 Tage schreibgeschützt abgelegt (Object Lock) und vorher technisch nicht löschbar. Dieser Schreibschutz ist die Maßnahme, die eine Sicherung gegen Ransomware und kompromittierte Zugangsdaten überhaupt erst wirksam macht. Sicherungen werden ausschließlich im Katastrophenfall wiederhergestellt; zwischenzeitlich ausgeführte Löschungen führt der Auftragsverarbeiter nach einer Wiederherstellung unverzüglich erneut aus. Die Löschung im Sinne von Art. 28 Abs. 3 lit. g DSGVO gilt mit dem Ablauf dieser Frist als abgeschlossen.

Folgende Maßnahmen werden gemäß Art. 32 DSGVO umgesetzt:

Vertraulichkeit

• Zutrittskontrolle: Hosting in zertifizierten Rechenzentren (Frankfurt, ISO 27001) — physischer Zugriff nur für authentifiziertes Personal
• Zugangskontrolle: Multi-Faktor-Authentifizierung, passwortbasierter Login mit Mindeststandards (≥ 12 Zeichen, Passwort-Rotations-Empfehlung)
• Zugriffskontrolle: Rollen- und Rechtekonzept mit Row-Level Security pro Mandant; Verschlüsselung ruhender Daten (AES-256) und Step-up-Authentifizierung vor dem Zugriff auf Art. 9-Daten
• Pseudonymisierung von Logs und Sentry-Events

Integrität

• Weitergabekontrolle: TLS 1.3-Verschlüsselung (HTTPS) für sämtliche Datenübertragungen; HSTS mit 2 Jahren
• Eingabekontrolle: Vollständiges Audit-Log aller schreibenden Operationen (Time-Travel-fähig, Who/When/What/Diff)

Verfügbarkeit

• Verfügbarkeitskontrolle: Tägliche automatische Backups — Datenbank mit Point-in-Time-Recovery, hochgeladene Dateien zusätzlich bei einem zweiten, unabhängigen Anbieter in Deutschland (Falkenstein), dort 30 Tage schreibgeschützt
• Trennbarkeit: Logische Mandantentrennung über Row-Level Security; keine Daten-Vermischung zwischen Mandanten

Belastbarkeit & Wiederherstellbarkeit

• Recovery-Zeit-Ziel (RTO): < 4 Stunden bei vollständigem System-Ausfall
• Recovery-Punkt-Ziel (RPO): < 24 Stunden Datenverlust
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit (jährliche TOM-Review)

Die Haftung der Vertragsparteien richtet sich nach Art. 82 DSGVO und den Bestimmungen des Hauptvertrages. Im Innenverhältnis haftet jede Partei für Schäden im Verhältnis ihres Verursachungs- oder Verschuldensanteils.

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlich Gewollten am nächsten kommt.

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit gesetzlich zulässig.

Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Dieses Schriftformerfordernis kann nur durch eine schriftliche Vereinbarung aufgehoben werden.