Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

1. Wann ein AVV erforderlich ist

Wer JAHA Business geschäftlich nutzt und dabei personenbezogene Daten Dritter verarbeitet – etwa Kundenkontakte, Ansprechpartner, Einsatzorte, Arbeitszeiten von Mitarbeitenden oder Inhalte von Dokumenten –, bleibt für diese Daten datenschutzrechtlich verantwortlich (Art. 4 Nr. 7 DSGVO). Der Anbieter verarbeitet diese Daten weisungsgebunden im Auftrag. Dafür ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO erforderlich.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung der Software JAHA Business als Software-as-a-Service. Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen: Speichern, Strukturieren, Anzeigen, Auswerten und Löschen der vom Verantwortlichen eingegebenen Bürodaten sowie Erzeugen von Entwürfen aus diesen Eingaben.

3. Kategorien betroffener Personen und Daten

Je nach Nutzung können folgende Kategorien betroffen sein:

• Kundinnen und Kunden sowie Ansprechpartner des Verantwortlichen: Stammdaten, Kontaktdaten, Auftrags- und Terminbezug.
• Mitarbeitende des Verantwortlichen: Name, Zuordnung zu Aufträgen, erfasste Arbeitszeiten.
• Nutzerkonten des Verantwortlichen: Anmeldedaten und Protokolldaten zum sicheren Betrieb.
• Inhaltsdaten: Notizen, Dokumente, Fotos, Kosten- und Materialpositionen, soweit vom Verantwortlichen eingegeben.

4. Weisungsbindung

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung selbst – Eingabe, Änderung, Export und Löschung von Daten – gilt als Weisung. Eine Verwendung der Auftragsdaten für eigene Zwecke des Anbieters findet nicht statt.

5. Vertraulichkeit und technisch-organisatorische Maßnahmen

Zugriff auf Auftragsdaten erhalten nur Personen, die zur Vertraulichkeit verpflichtet sind. Technisch umgesetzt sind unter anderem: Transportverschlüsselung (HTTPS), mandantengetrennte Datenhaltung mit datenbankseitigen Zugriffsregeln je Nutzerkonto, serverseitige Rechteprüfung aller Datenzugriffe, getrennte Rollen für Anwendungs- und Administrationszugriffe sowie Protokollierung sicherheitsrelevanter Ereignisse. Eine abschließende, verbindliche TOM-Anlage nach Art. 32 DSGVO wird vor dem Verbraucher- bzw. Geschäftskunden-Launch als Vertragsanlage bereitgestellt.

6. Unterauftragsverarbeiter

Für Hosting, Datenbankbetrieb, Zahlungsabwicklung und KI-gestützte Textverarbeitung werden technische Dienstleister eingesetzt. Eine verbindliche, namentliche Liste der Unterauftragsverarbeiter mit Sitz, Leistung und Ort der Verarbeitung wird an dieser Stelle erst veröffentlicht, wenn sie vollständig bestätigt ist. Es werden hier bewusst keine Anbieter benannt, die nicht verbindlich feststehen.

7. Betroffenenrechte und Unterstützungspflichten

Der Anbieter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei Auskunfts-, Berichtigungs-, Lösch- und Übertragbarkeitsersuchen sowie bei Meldepflichten nach Art. 33 und 34 DSGVO. Anfragen betroffener Personen, die den Anbieter direkt erreichen, werden nicht eigenständig beantwortet, sondern an den Verantwortlichen weitergeleitet.

8. Löschung und Rückgabe

Nach Beendigung des Vertrags werden Auftragsdaten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Konkrete Fristen werden erst benannt, wenn sie verbindlich festgelegt sind.

9. Drittlandtransfer

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn hierfür eine gültige Grundlage nach Kapitel V DSGVO besteht. Die konkrete Angabe der Verarbeitungsorte erfolgt gemeinsam mit der bestätigten Liste der Unterauftragsverarbeiter.

10. Auftragsverarbeiter (Anbieter)

Die Anbieterangaben sind noch nicht bestätigt; ohne sie kann kein AVV geschlossen werden.