Auftragsverarbeitungsvertrag Atlas Access

Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt den Software-Lizenzvertrag zwischen dem Datenverantwortlichen und TKH Security B.V. und beschreibt die Verantwortlichkeiten des Datenverantwortlichen (Datenverantwortlicher) und TKH Security B.V. (Auftragsverarbeiter) in Bezug auf die Verarbeitung von personenbezogenen Daten.

Der Datenverantwortliche und der Auftragsverarbeiter werden im Folgenden auch einzeln als „Partei“ und gemeinsam als „Parteien“ bezeichnet.

Version März 2024

Die Parteien berücksichtigen folgende Punkte:

der Auftragsverarbeiter erbringt im Auftrag des Datenverantwortlichen Dienste, die in der Software-Lizenzvereinbarung (Hauptvertrag) von ATLAS Access beschrieben sind;
im Rahmen der Erfüllung des Hauptvertrags erhält der Auftragsverarbeiter personenbezogene Daten und/oder erhält Zugang zu personenbezogenen Daten;
der Auftragsverarbeiter ist als „Auftragsverarbeiter“ im Sinne der Datenschutz-Grundverordnung (DSGVO) und der Datenverantwortliche als „Datenverantwortlicher“ im Sinne der DSGVO zu betrachten;
die DSGVO verpflichtet den Datenverantwortlichen, mit dem Auftragsverarbeiter eine Vereinbarung über die Datenverarbeitung abzuschließen, wie die vorliegende.

Die Parteien erklären, Folgendes vereinbart zu haben:

Begriffsbestimmungen
Die in diesem Vertrag verwendeten Begriffe sind identisch mit den in der DSGVO definierten Begriffen, sofern im Folgenden nicht anders angegeben.
Vertrag: Dieser Datenverarbeitungsvertrag einschließlich aller Anhänge.
Autoriteit Persoonsgegevens (die niederländische Datenschutzbehörde (AP)): Die
Aufsichtsbehörde für die Einhaltung der DSGVO, wie in Artikel 51 der DSGVO festgelegt.
Verletzung: Datenschutzverletzung im Zusammenhang mit personenbezogenen Daten.
Betroffene Person: Die natürliche Person, auf die sich die personenbezogenen Daten beziehen.
Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder
identifizierbare lebende Person beziehen und zum Zweck der Nutzung des/der Dienste(s) gemäß
der Definition im Hauptvertrag erhoben werden.
Unterauftragsverarbeiter: Eine natürliche oder juristische Person, die im Auftrag des
Auftragsverarbeiters einen Teil der Verarbeitungsaufgaben des Auftragsverarbeiters erledigt.

Art der personenbezogenen Daten und Kategorien der betroffenen Personen
Der Auftragsverarbeiter verarbeitet im Auftrag des Datenverantwortlichen die in Anlage 1 aufgeführten Kategorien von personenbezogenen Daten.

Rechte und Pflichten der betroffenen Personen
Auf Ersuchen und auf Kosten des Datenverantwortlichen unternimmt der Auftragsverarbeiter alles, was der Datenverantwortliche für notwendig erachtet, um einem Ersuchen einer betroffenen Person zur Erfüllung ihrer Rechte nachzukommen. Zu diesen Rechten gehören unter anderem, ohne darauf beschränkt zu sein, das Recht der betroffenen Person auf Auskunft, das Recht auf Löschung, das Recht auf Einschränkung der Verarbeitung und das Recht auf Datenübertragbarkeit.

Anweisungen des Datenverantwortlichen
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur im Namen und im Auftrag des Datenverantwortlichen und auf der Grundlage schriftlicher Anweisungen des Datenverantwortlichen, sofern gesetzlich nichts anderes bestimmt ist.
Der Auftragsverarbeiter wird einer gesetzlichen Verpflichtung oder einer gerichtlichen Anordnung nachkommen und den Datenverantwortlichen in einem solchen Fall im Voraus benachrichtigen, es sei denn, dies ist nach dem Gesetz oder der gerichtlichen Anordnung nicht zulässig.
Der Auftragsverarbeiter wird den Datenverantwortlichen unverzüglich benachrichtigen, wenn eine Anweisung des Datenverantwortlichen nach Ansicht des Auftragsverarbeiters zu einem Verstoß gegen das Gesetz und/oder eine gerichtliche Anordnung führen würde, wobei die Verantwortung und Haftung für die Verarbeitung in vollem Umfang beim Datenverantwortlichen verbleibt.
Der Auftragsverarbeiter wird die personenbezogenen Daten nicht für seine eigenen Zwecke verarbeiten und/oder an Dritte weitergeben, es sei denn, eine solche Weitergabe ist gemäß des Hauptvertrags zulässig.
Die personenbezogenen Daten, zu denen der Auftragsverarbeiter auf der Grundlage des Hauptvertrags Zugang hat, verarbeitet er selbst. Die Verarbeitung der personenbezogenen Daten durch einen Unterauftragsverarbeiter ist nur nach vorheriger schriftlicher Zustimmung des Datenverantwortlichen zulässig.
Falls der Auftragsverarbeiter unter ordnungsgemäßer Beachtung der Bestimmung in Artikel 4.5 einen Unterauftragsverarbeiter beauftragt, so wird der Auftragsverarbeiter dem
Unterauftragsverarbeiter Datenschutzverpflichtungen auferlegen, die dem in Artikel 28 Absatz 3 genannten Schutzniveau in Verbindung mit Absatz 4 DSGVO entsprechen.
Der Auftragsverarbeiter ist jederzeit verpflichtet, die personenbezogenen Daten weiterhin im Europäischen Wirtschaftsraum zu speichern und zu verarbeiten, vorbehaltlich der zu diesem Zweck eingeholten vorherigen schriftlichen Zustimmung des Datenverantwortlichen, an die der Datenverantwortliche Bedingungen knüpfen kann. Der Datenverantwortliche kann die Zustimmung nach eigenem Ermessen verweigern.
Die Parteien vereinbaren, dass die in Anlage 2 aufgeführte(n) Partei(en) als Unterauftragsverarbeiter für den Auftragsverarbeiter tätig wird (werden) und Zugang zu personenbezogenen Daten erhält (erhalten).
Der Auftragsverarbeiter speichert die personenbezogenen Daten auf Servern bei der in Anlage 2 genannten Partei.
Der Auftragsverarbeiter hat ausdrücklich keine Kontrolle über den Zweck und die Mittel der Verarbeitung der personenbezogenen Daten, die er im Rahmen der Ausführung des Hauptvertrags verarbeitet.
Der Auftragsverarbeiter hält sich an die DSGVO und andere geltende Gesetze und Vorschriften, insbesondere an die Gesetze und Vorschriften zum Schutz personenbezogener Daten
Der Auftragsverarbeiter wird bei der Erfüllung des Hauptvertrags mindestens die folgenden Aufgaben in Bezug auf personenbezogene Daten wahrnehmen:
- Speicherung der personenbezogenen Daten;
- Erstellung von Sicherungskopien der personenbezogenen Daten;
- Bereitstellung der personenbezogenen Daten an den Datenverantwortlichen;
- Gewährleistung des Zugangs zu den personenbezogenen Daten ausschließlich für den Datenverantwortlichen oder die betroffenen Personen über den Datenverantwortlichen;
Der Auftragsverarbeiter unterlässt sämtliche Handlungen, welche die Fähigkeiten und Rechte des Datenverantwortlichen oder der betroffenen Personen auf freien Zugang zu den personenbezogenen Daten einschränken könnte.
Der Auftragsverarbeiter hält keine personenbezogenen Daten zurück, es sei denn, dies ist für die Erfüllung des Hauptvertrags oder aufgrund einer rechtlichen Verpflichtung erforderlich.

Sicherheitsmaßnahmen und Audits
Der Auftragsverarbeiter ist verpflichtet, dafür zu sorgen, dass geeignete technische und organisatorische Maßnahmen ergriffen werden, um die personenbezogenen Daten gegen Verlust oder gegen jegliche Form der unrechtmäßigen Verarbeitung gemäß Artikel 32 DSGVO zu schützen. Auf alle Fälle wird der Auftragsverarbeiter zu jeder Zeit geeignete
Sicherheitsmaßnahmen gemäß Artikel 32 DSGVO ergreifen und generell zu jeder Zeit ein angemessenes Sicherheitsniveau gewährleisten, welches dem Wesen der Daten und dem Risiko der Verarbeitung entspricht. Der in Anlage 3 zu diesem Vertrag enthaltene Sicherheitsplan ist Bestandteil dieses Vertrages und die darin genannten Maßnahmen müssen als
Mindestschutzniveau eingehalten werden.
Der Auftragsverarbeiter ergreift alle erforderlichen Maßnahmen, um zu verhindern, dass die personenbezogenen Daten in einem unnötig größeren Umfang erhoben und weiterverarbeitet werden, als es für die Erfüllung des Hauptvertrags erforderlich ist.
Auf erstes Ersuchen des Datenverantwortlichen bietet der Auftragsverarbeiter auf Kosten des Datenverantwortlichen jede billigerweise erforderliche Zusammenarbeit an, die es dem Datenverantwortlichen ermöglicht, zu überprüfen (oder überprüfen zu lassen), ob die Verarbeitung der personenbezogenen Daten vereinbarungsgemäß erfolgt und ob der Auftragsverarbeiter alle angemessenen technischen und organisatorischen
Sicherheitsmaßnahmen gegen Verlust oder gegen jede Form der unrechtmäßigen Verarbeitung getroffen hat.
Der Datenverantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses Vertrags höchstens einmal jährlich zu überprüfen (überprüfen zu lassen), es sei denn, nach Ansicht des Datenverantwortlichen ist eine Zwischenprüfung aus wichtigem Grund wünschenswert. Der Datenverantwortliche ist berechtigt, diese Prüfung selbst vorzunehmen oder durch einen unabhängigen Wirtschaftsprüfer, Diplom-Informatiker oder einen für diesen Zweck zugelassenen Wirtschaftsprüfer vornehmen zu lassen. Die Kosten eines solchen Audits trägt der Datenverantwortliche. Die Kosten für das Personal des Auftragsverarbeiters, welches das Audit begleitet, gehen zu Lasten des Datenverantwortlichen. Ein Audit darf den Geschäftsbetrieb des Auftragsverarbeiters nicht unnötig stören. Der Datenverantwortliche wird dem
Auftragsverarbeiter die Audits mindestens zehn Tage vor deren Beginn schriftlich ankündigen und dabei die zu prüfenden Elemente beschreiben, es sei denn, der Datenverantwortliche möchte aus wichtigen Gründen ein Audit gemäß dem zweiten Satz dieses Artikels 5.4 durchführen (oder durchführen lassen).
Im Falle einer Verletzung des Datenschutzes wird der Auftragsverarbeiter den Datenverantwortlichen so schnell wie möglich - spätestens jedoch innerhalb von 48 Stunden - nach seiner Entdeckung dieser Verletzung über die Verletzung und die (erwarteten) Folgen informieren. In einem solchen Fall wird der Auftragsverarbeiter zusätzliche Informationen über das Wesen der Datenschutzverletzung zur Verfügung stellen, den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktperson, die wahrscheinlichen Folgen der Datenschutzverletzung, die Art und Weise, wie er die Datenschutzverletzung beheben wird und die Art und Weise, wie er die negativen Folgen der Datenschutzverletzung begrenzen wird. Der Auftragsverarbeiter gibt den Zeitrahmen an, innerhalb dessen er diese Maßnahmen ergreifen wird. Auf erstes Ersuchen des Datenverantwortlichen gewährt der Auftragsverarbeiter auch jede angemessene Zusammenarbeit im Hinblick auf eine Meldung an die niederländische Datenschutzbehörde.
Der Auftragsverarbeiter wird den Datenverantwortlichen auch unverzüglich über Datenschutzverletzungen informieren, einschließlich der Fakten bezüglich der Verletzung im Zusammenhang mit personenbezogenen Daten, der entsprechenden Folgen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss es der niederländischen Datenschutzbehörde ermöglichen, die Einhaltung von Artikel 33 DSGVO zu überprüfen.
Falls der Auftragsverarbeiter es unterlässt, angemessene Maßnahmen gegen eine Datenschutzverletzung zu ergreifen und er es versäumt, innerhalb einer vom
Datenverantwortlichen gesetzten Frist die entsprechenden Maßnahmen zu ergreifen, ist der Datenverantwortliche berechtigt, diese Maßnahmen auf Kosten des Auftragsverarbeiters durchführen zu lassen. Der Auftragsverarbeiter ist verpflichtet, in dieser Angelegenheit uneingeschränkt zu kooperieren.
Unter Berücksichtigung des Wesens der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung gestellten Informationen wird der Auftragsverarbeiter den Datenverantwortlichen auf dessen Kosten bei der Erfüllung seiner Pflichten gemäß der DSGVO unterstützen, einschließlich, aber nicht beschränkt auf seine Sicherungspflicht, seine Meldepflicht, die Durchführung einer Datenschutz-Folgenabschätzung und eine vorherige Konsultation im Falle einer Verarbeitung mit hohem Risiko.

Vertraulichkeit
Der Auftragsverarbeiter garantiert, dass er jederzeit im Einklang mit seinen gesetzlichen Verpflichtungen zur Vertraulichkeit handeln wird, einschließlich, aber nicht beschränkt auf die Verpflichtung zur Vertraulichkeit gemäß Artikel 90 der DSGVO. Der Auftragsverarbeiter wird die personenbezogenen Daten weder direkt noch indirekt Dritten zur Verfügung stellen, es sei denn, der Hauptvertrag, das Gesetz oder ein Gerichtsbeschluss sehen etwas anderes vor.
Der Auftragsverarbeiter wird seine Untergebenen, die Zugang zu den personenbezogenen Daten haben, sowie die von ihm beauftragten Dritten, die einen solchen Zugang haben, (vertraglich) zur Vertraulichkeit verpflichten, wie dies in der DSGVO und in diesem Vertrag vorgesehen ist.
Der Auftragsverarbeiter ist verpflichtet, dem Datenverantwortlichen unverzüglich jedes Ersuchen um Offenlegung oder Herausgabe personenbezogener Daten zu melden.

Vernichtung und Sicherung
Im Falle der Kündigung dieses Vertrags wird der Auftragsverarbeiter dem Datenverantwortlichen die personenbezogenen Daten zusammen mit allen anderen verarbeiteten Daten in einem marktüblichen elektronischen Dateiformat zur Verfügung stellen, wobei er die Kosten in Rechnung stellt.
Vorbehaltlich seiner anderweitigen gesetzlichen Verpflichtungen ist der Auftragsverarbeiter verpflichtet, nach Beendigung des Hauptvertrags alle personenbezogenen Daten auf erste schriftliche Aufforderung des Datenverantwortlichen zu vernichten.

Haftung
Der Auftragsverarbeiter haftet für alle Schäden, die sich aus der Nichterfüllung dieses Vertrags oder der in den geltenden Gesetzen und/oder Vorschriften, insbesondere der DSGVO, festgelegten Anforderungen ergeben und entschädigt den Datenverantwortlichen für alle diesbezüglichen Schäden und Kosten, einschließlich der Kosten für Rechtsbeistand, bis zu einem Höchstbetrag in Höhe der Beträge, die der Auftragsverarbeiter auf der Grundlage des Hauptvertrags im Jahr vor dem Schadensfall in Rechnung gestellt hat, es sei denn, der Auftragsverarbeiter hat vorsätzlich oder bewusst fahrlässig gehandelt.
Falls der Datenverantwortliche von der betroffenen Person oder von einem Dritten auf Schadenersatz verklagt wird, den die betroffene Person oder der Dritte im Zusammenhang mit der Verarbeitung der personenbezogenen Daten erlitten haben will, so hat der
Datenverantwortliche ein Rückgriffsrecht auf den Auftragsverarbeiter, wenn dieser seinen Verpflichtungen aus dem Gesetz oder diesem Vertrag nicht nachgekommen ist, und zwar höchstens bis zur Höhe der Beträge, die der Auftragsverarbeiter im Jahr vor der Inanspruchnahme auf der Grundlage des Hauptvertrags in Rechnung gestellt hat, es sei denn, der
Auftragsverarbeiter hat vorsätzlich oder bewusst fahrlässig gehandelt.
Der Datenverantwortliche stellt den Auftragsverarbeiter von Ansprüchen betroffener Personen und Dritter frei, einschließlich verhängter Bußgelder und fälligem Schadensersatz, soweit diese Ansprüche auf Verstößen des Datenverantwortlichen gegen die geltenden Gesetze und Vorschriften, einschließlich der DSGVO, beruhen oder dadurch verursacht wurden.

Schlussbestimmungen
Dem Auftragsverarbeiter ist es nicht gestattet, seine Verpflichtungen aus diesem Vertrag (ganz oder teilweise) an Dritte zu übertragen oder auszulagern, es sei denn, der Datenverantwortliche hat zu diesem Zweck und vorbehaltlich der Bestimmungen des Hauptvertrags im Voraus seine schriftliche Zustimmung erteilt.
Die Parteien vereinbaren ausdrücklich, dass die allgemeinen (Einkaufs-)Bedingungen des Datenverantwortlichen nicht auf diesen Vertrag anwendbar sind.
Dieser Vertrag wird für die Dauer der Laufzeit des Hauptvertrags geschlossen.
Dieser Vertrag tritt nach seiner Unterzeichnung durch beide Parteien in Kraft.
Falls sich eine oder mehrere Bestimmungen dieses Vertrags als nichtig oder ungültig erweisen,
so bleiben die übrigen Bestimmungen dieses Vertrags in vollem Umfang in Kraft. Die Parteien sind in diesem Fall verpflichtet, die unwirksame Bestimmung durch eine rechtsverbindliche Bestimmung zu ersetzen, die von der unwirksamen Bestimmung in Anbetracht des Zwecks und der Absicht dieses Vertrags so wenig wie möglich abweicht.
Dieser Vertrag kann nur dann ganz oder teilweise vorzeitig gekündigt werden, wenn die Parteien dies schriftlich vereinbaren. In Ermangelung einer solchen schriftlichen Zustimmung kann dieser Vertrag weder ganz noch teilweise außergerichtlich aufgelöst werden. Falls dieser Vertrag Bestimmungen enthält, die aufgrund ihres Wesens nach der Kündigung fortbestehen sollen, so bleiben diese in vollem Umfang in Kraft.
Änderungen oder Ergänzungen dieses Vertrags sind nur dann verbindlich, wenn sie schriftlich vereinbart wurden.
Ändern sich die Gesetze oder Vorschriften derart, dass der Vertrag nicht mehr den Anforderungen der Gesetze und/oder Vorschriften entspricht, so passen die Parteien den Vertrag in gegenseitigem Einvernehmen an die geänderten Gesetze und/oder Vorschriften an.

Geltendes Recht und Wahl des Gerichtsstandes
Dieser Vertrag sowie alle Rechtsverhältnisse, auf die der Vertrag anwendbar ist oder die sich aus dem Vertrag ergeben sollten, unterliegen dem niederländischen Recht.
Für alle Streitigkeiten, die sich zwischen den Parteien im Zusammenhang mit diesem Vertrag oder in Folge dieses Vertrags ergeben, ist Den Haag, Niederlande, der zuständige Gerichtsstand.

LISTE DER ANHÄNGE:

• Anlage 1 - Kategorien von betroffenen Personen und personenbezogenen Daten

Verarbeitung	Zweck	Kategorien von betroffenen Personen	Kategorien von personenbezogenen Daten	Übertragun g in ein Drittland
Speicherung von personenbezoge nen Daten	Hosting	Endnutzer des Kunden	Siehe Anlage 1A	Nein
Zugang zu personenbezoge nen Daten	Durchführung von Service- und Wartungsarbeiten an den technischen Anlagen: • Diagnose und Behebung von Fehlfunktionen; • Aktualisierung neuer Softwareversionen; • Einspielen von Patches und Hotfixes; • Backups; • Umzug technischer Umgebungen.	Endnutzer des Kunden	Siehe Anlage 1A	Nein

• Anlage 1A - ATLAS Microsoft Entra ID-Berechtigungen

ATLAS MS EntraID permissions

• Anlage 2 - Unterauftragsverarbeiter

Partei	Adresse	Sitz der Gesellschaft	Ort des Rechenzentrums
Amazon Web Services EMEA SARL	38 Avenue John F. Kennedy, L-1855	Luxemburg	Frankfurt am Main - Deutschland

• Anlage 3 - Sicherheitsplan

Angewandte Sicherheitsmaßnahmen

Die Zuständigkeiten für die Informationssicherheit wurden zugewiesen.
Änderungen an Daten oder an der Informationsverarbeitung werden ausschließlich im Rahmen eines Änderungsmanagementverfahrens durchgeführt.
Der Auftragsverarbeiter hat ausgewählte und überprüfte Mitarbeiter geschult und verfügt über Erfahrungen in diesem Bereich (einschließlich angemessener Sicherheit der Informationen).
Der Auftragsverarbeiter ist zertifiziert, um dem Kunden seine Sicherheitsdienste und -produkte professionell anbieten und diese unterstützen zu können.
Der Auftragsverarbeiter führt regelmäßig eigene interne Audits durch, um den erforderlichen Nachweis der Konformität mit den Normen und Anforderungen zu erbringen.
Der Auftragsverarbeiter hat angemessene Verfahren für die Kommunikation und die Unterstützung koordiniert und das Management handelt entsprechend.
Es wurden Sicherheitsrichtlinien festgelegt, die auch umgesetzt werden.
Maßnahmen zur Sicherung des physischen Zugangs, einschließlich der organisatorischen Kontrolle.
Einbruchsalarm.
Maßnahmen gegen Schadsoftware.
Safe zur Lagerung von Dateien.
Angemessene logische Zugangskontrolle unter Verwendung von 2-Faktor-Authentifizierung, biometrischen Daten usw.
Automatische Protokollierung des Datenzugriffs, inkl. eines Kontrollverfahrens.
Kontrolle der vergebenen Berechtigungen.
Verschlüsselung personenbezogener Daten bei der Übermittlung.
Verschlüsselung der personenbezogenen Daten bei der Speicherung.
Geschäftskontinuitätsmanagement, Kontinuitätspläne.
Verfahren zur Sicherung und Wiederherstellung.

Durch Anklicken von ICH AKZEPTIERE unten zeigt der Kunde an, dass er die oben dargestellten Geschäftsbedingungen dieses Vertrags gelesen und akzeptiert hat und damit einverstanden ist, dass sie zwischen den Parteien verbindlich sind.