Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO zwischen dem Betrieb, der Taskly nutzt („Verantwortlicher“), und Taskly, Inhaber Daniel Erochok, Auerweg 4d, 58644 Iserlohn („Auftragsverarbeiter“). Der Vertrag wird mit der Registrierung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für die gesamte Nutzungsdauer.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Taskly bereit und verarbeitet dabei personenbezogene Daten im Auftrag. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck und Umfang

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen dies vorher mit, sofern das Gesetz es nicht verbietet. Die Nutzung der Funktionen von Taskly durch den Verantwortlichen gilt als Weisung – dazu gehört auch, Einmal-Links zum Unterschreiben an seine Kunden auszugeben und deren Unterschrift und Einwilligungen zu speichern. Weitere Weisungen, etwa eine Bitte um Unterstützung im Support, erteilt der Verantwortliche in Textform an info@trytaskly.com oder telefonisch; telefonische Weisungen bestätigt der Auftragsverarbeiter in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

§ 4 Zugriff des Auftragsverarbeiters auf Daten (Verwaltung und Support-Ansicht)

1. Der Auftragsverarbeiter nimmt Einsicht in die Inhaltsdaten des Verantwortlichen (z. B. Arbeitszettel, Kundendaten, Unterschriften, Einwilligungen, Fotos, Verträge, Rechnungen und Dateien) nur, soweit dies im Einzelfall erforderlich ist: a) zur Bearbeitung einer Support-Anfrage oder auf sonstige Weisung des Verantwortlichen, b) zur Analyse und Behebung von Fehlern, c) zur Abwehr von Gefahren für die Sicherheit von Taskly oder der verarbeiteten Daten oder d) wenn er gesetzlich dazu verpflichtet ist (§ 3). Für die Fälle b) und c) erteilt der Verantwortliche mit diesem Vertrag die entsprechende Weisung.
2. Für die Verwaltung der Plattform nutzt der Auftragsverarbeiter ein Verwaltungsportal. Es zeigt nur Konto- und Nutzungsdaten (z. B. Name des Betriebs, Nutzer und Rollen, Anzahl der Datensätze, belegter Speicher, Versandprotokoll mit gekürzten Empfängeradressen ohne Nachrichteninhalt, Verlauf des Betriebs – wer wann welche Art von Änderung vorgenommen hat – ohne Inhalte), keine Inhaltsdaten. Zugang haben nur vom Auftragsverarbeiter ausdrücklich berechtigte Personen mit bestätigter E-Mail-Adresse, Passwort und zweitem Faktor (zeitbasierter Einmalcode).
3. Inhaltsdaten werden ausschließlich über die Support-Ansicht eingesehen. Sie kann nur aus einer durch zwei Faktoren geschützten Admin-Sitzung gestartet werden, ist technisch auf Lesen beschränkt – Änderungen, Löschungen, Versand, Datenexport und das Herunterladen von Dateien sind ausgeschlossen – und endet automatisch nach einer Stunde. Die Einsicht wird auf das für den Anlass Nötige beschränkt. Der Auftragsverarbeiter lädt dabei keine Daten herunter und speichert keine Kopien außerhalb von Taskly, es sei denn, der Verantwortliche weist dies an.
4. Beginn, Ende (auch bei automatischem Ablauf) und Anlass jeder Support-Ansicht werden mit handelnder Person im Admin-Protokoll vermerkt und sind für den Verantwortlichen in Taskly unter Einstellungen → Daten & Export („Support-Zugriffe durch Taskly“) sowie in seinem Datenexport einsehbar; das Admin-Protokoll wird 365 Tage aufbewahrt. Der Verantwortliche erhält auf Anfrage jederzeit Auskunft über die Zugriffe auf seine Daten einschließlich Zeitpunkt, Dauer und Anlass. Erfolgt ein Zugriff ohne vorherige Anfrage des Verantwortlichen (Nr. 1 b und c), informiert ihn der Auftragsverarbeiter darüber in Textform, sobald dies ohne Gefährdung des Zwecks möglich ist.
5. Maßnahmen nach den AGB und den Nutzungsbedingungen, insbesondere die Sperrung von Zugängen oder des Kontos, lassen die Daten des Verantwortlichen unberührt (§ 9).

§ 5 Pflichten des Auftragsverarbeiters

1. Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO). Auskunft, Berichtigung, Export und Löschung kann der Verantwortliche weitgehend selbst in Taskly vornehmen.
4. Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO.
5. Er unterstützt bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO), soweit dies seine Verarbeitung betrifft.
6. Betroffene, die sich direkt an ihn wenden, verweist er an den Verantwortlichen.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Vertrag beenden. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

§ 7 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind – einschließlich eines Auszugs aus dem Admin-Protokoll über Zugriffe auf die Daten des Verantwortlichen –, und ermöglicht Überprüfungen. Diese erfolgen nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs; vorrangig genügen aktuelle Nachweise, etwa Zertifikate der Unterauftragsverarbeiter.

§ 9 Löschung und Rückgabe

Nach Vertragsende kann der Verantwortliche seine Daten exportieren. Der Auftragsverarbeiter löscht anschließend alle Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Daten in rollierenden Datensicherungen werden mit deren Ablauf überschrieben. Löscht der Verantwortliche seinen Betrieb selbst, erfolgt die Löschung sofort; ausgenommen sind Einträge im Admin-Protokoll (§ 4 Nr. 4), die 365 Tage aufbewahrt werden und E-Mail-Adressen nur gekürzt enthalten. Ist das Konto gesperrt, stellt der Auftragsverarbeiter dem Verantwortlichen seine Daten auf Anfrage als Export bereit.

§ 10 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln der AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Änderungen bedürfen der Textform.

Anlage 1 – Technische und organisatorische Maßnahmen

Anlage 2 – Unterauftragsverarbeiter

Drucken / als PDF speichern