AVV (Auftragsverarbeitungsvertrag)

• Bereitstellung der CAFM‑Software: [PLATZHALTER – Produktname / Modulübersicht]

• Betriebsmodell: [PLATZHALTER – z. B. SaaS / Hosting durch Auftragnehmer / Hosting beim Auftraggeber / Hybrid]

• Support‑ und Wartungsleistungen: [PLATZHALTER – Service Desk, Störungsbehebung, Updates / Upgrades]

• Projekt‑ und Beratungsleistungen: [PLATZHALTER – Implementierung, Customizing, Schnittstellen, Migration]

• Leistungen mit Datenverarbeitung: [PLATZHALTER]

• Laufzeit dieses AVV: [PLATZHALTER – z. B. identisch mit Laufzeit Hauptvertrag / Beginn und Ende]

• Beginn der Verarbeitung: [PLATZHALTER – Datum / Ereignis, z. B. Systembereitstellung]

• Beendigung der Verarbeitung: [PLATZHALTER – z. B. Vertragsende / Ende von Übergangs- oder Migrationsphasen]

Soweit im Hauptvertrag kürzere oder längere Fristen für Übergabe, Rückgabe und Löschung vereinbart werden, gelten diese ergänzend, sofern sie mit den Vorgaben dieses AVV vereinbar sind.

• Betrieb eines CAFM‑Systems zur Unterstützung des Facility Managements

• [PLATZHALTER – z. B. Instandhaltungsmanagement, Asset‑Management, Flächen‑ und Belegungsmanagement]

• [PLATZHALTER – z. B. Ticket‑/Störungsmanagement, Auftrags- und Dienstleistersteuerung]

• [PLATZHALTER – z. B. Besuchermanagement, Schlüssel-/Zutrittsverwaltung]

• [PLATZHALTER – z. B. Reporting, Controlling, Berichterstattung]

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters ist ausgeschlossen.

• Erheben / Erfassen von Daten: [PLATZHALTER – z. B. Anlage von Nutzerkonten, Import von Bestandsdaten]

• Speichern und Organisieren von Daten in Datenbanken: [PLATZHALTER]

• Ändern, Aktualisieren und Pflegen von Datenbeständen

• Auslesen, Abfragen und Auswerten von Daten (z. B. Berichte, Dashboards)

• Übermitteln von Daten an berechtigte Empfänger nach Weisung des Verantwortlichen

• Pseudonymisieren oder Anonymisieren (sofern vereinbart): [PLATZHALTER – Ja/Nein und Beschreibung]

• Löschen und Vernichten von Daten gemäß Löschkonzept

• Erstellung von Sicherungskopien (Backups) und Wiederherstellung im Rahmen der Notfallvorsorge

Die Bestimmung der Rechtsgrundlagen für die Verarbeitung obliegt ausschließlich dem Verantwortlichen. Der Verantwortliche stellt sicher, dass die Verarbeitung der personenbezogenen Daten im CAFM‑System auf einer geeigneten Rechtsgrundlage im Sinne der DSGVO beruht.

• Verwendete Rechtsgrundlagen (vom Verantwortlichen zu definieren): [PLATZHALTER – z. B. Art. 6 Abs. 1 lit. b, c, e, f DSGVO]

• Beschäftigte des Verantwortlichen (inkl. Beamte / Angestellte / Auszubildende): [PLATZHALTER – Ja/Nein]

• Beschäftigte von Dienstleistern / Fremdfirmen: [PLATZHALTER – Ja/Nein]

• Besucher / Gäste: [PLATZHALTER – Ja/Nein]

• Ansprechpartner bei Lieferanten, Dienstleistern und Geschäftspartnern: [PLATZHALTER]

• Sonstige Personengruppen: [PLATZHALTER – Beschreibung]

• Stammdaten (z. B. Name, Personalnummer, Organisationseinheit): [PLATZHALTER]

• Kontaktdaten (z. B. berufliche Telefonnummer, E‑Mail): [PLATZHALTER]

• Nutzer‑/Account‑Daten (z. B. Benutzerkennung, Rollen, Berechtigungen): [PLATZHALTER]

• Ticket‑, Auftrag‑ und Vorgangsdaten (z. B. Meldungen, Störungen, Auftragsverläufe): [PLATZHALTER]

• Protokoll‑ und Log‑Daten (z. B. Login‑Protokolle, Zugriffsprotokolle, Änderungsverläufe): [PLATZHALTER]

• Standort‑ oder Flächenbezüge (z. B. Zuordnung zu Gebäude, Raum, Arbeitsplatz): [PLATZHALTER]

• Sonstige Datenkategorien: [PLATZHALTER]

• Verarbeitung besonderer Kategorien von Daten vorgesehen: [PLATZHALTER – Ja/Nein]

• Falls Ja: Kategorien und Zweck der Verarbeitung: [PLATZHALTER – z. B. Gesundheitsdaten im Rahmen arbeitsmedizinischer Prozesse]

• Zusätzliche Schutzmaßnahmen: [PLATZHALTER – z. B. strenge Rollen, Pseudonymisierung]

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen. Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern nicht eine unionsrechtliche oder mitgliedstaatliche Verpflichtung besteht.

• Grundsätzliche Weisungen (z. B. bei Vertragsschluss): [PLATZHALTER – z. B. in Schriftform / Vertragsdokumenten]

• Laufende Weisungen: [PLATZHALTER – z. B. per Ticket‑System, E‑Mail, freigegebenem Change‑Prozess]

• Dokumentation von Weisungen: [PLATZHALTER – z. B. im Ticket‑System / Change‑Protokoll]

• Weisungsberechtigte beim Verantwortlichen: [PLATZHALTER – Funktion / Rollen]

• Verfahren zur Legitimation / Prüfung von Weisungen: [PLATZHALTER]

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Die Umsetzung der Weisung wird bis zur Bestätigung bzw. Anpassung durch den Verantwortlichen ausgesetzt.

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen

• Sicherstellung der Vertraulichkeit der zur Verarbeitung befugten Personen

• Verpflichtung auf Vertraulichkeit / Datenschutz: [PLATZHALTER – Beschreibung Verfahren]

• Umsetzung geeigneter technischer und organisatorischer Maßnahmen (TOMs) gemäß Anlage 1

• Unterstützung des Verantwortlichen bei der Wahrung der Betroffenenrechte

• Unterstützung bei der Einhaltung von Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, DPIA etc.)

• Führung von Verzeichnissen der Verarbeitungstätigkeiten (soweit erforderlich)

• Dokumentation und Nachweis der Einhaltung der in diesem Vertrag getroffenen Verpflichtungen

• Unverzügliche Information des Verantwortlichen bei schwerwiegenden Störungen, Verdacht auf Datenschutzverletzungen oder anderen sicherheitsrelevanten Vorfällen

(Detailregelungen siehe einzelne Paragraphen dieses AVV.)

Der Auftragsverarbeiter verpflichtet sich, ein dem Risiko für die Rechte und Freiheiten der betroffenen Personen angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten.

• Geltungsbereich und Scope: [PLATZHALTER]

• Stand / Versionsdatum: [PLATZHALTER]

• Zugriffskontrolle (physisch und logisch): [PLATZHALTER – z. B. Rollen‑ und Rechtekonzept, „Need‑to‑know“]

• Authentifizierung / Passwort‑/Identity‑Management: [PLATZHALTER]

• Verschlüsselung (Transport / Ruhende Daten): [PLATZHALTER]

• Protokollierung / Logging und regelmäßige Auswertung: [PLATZHALTER]

• Patch‑ und Schwachstellenmanagement: [PLATZHALTER]

• Backup‑ und Wiederherstellungskonzepte / Disaster Recovery: [PLATZHALTER]

• Sicherheitsrichtlinien, Schulungen, Awareness: [PLATZHALTER]

Änderungen der TOMs sind zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind dem Verantwortlichen anzuzeigen.

Der Auftragsverarbeiter darf zur Erfüllung der vertraglichen Leistungen Unterauftragsverarbeiter einsetzen, sofern die Vorgaben dieses AVV eingehalten werden.

• Einzelfallgenehmigung

• Allgemeine Genehmigung mit Widerspruchsrecht

• [PLATZHALTER – konkret festzulegen]

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das in diesem AVV festgelegte Datenschutzniveau.

• TOMs

• Vertraulichkeit

• Unterstützung des Verantwortlichen

• Löschung / Rückgabe von Daten

• Audit- und Kontrollrechten

• Bezeichnung Unterauftragsverarbeiter: [PLATZHALTER]

• Sitz / Land: [PLATZHALTER]

• Leistung / Rolle im CAFM‑Betrieb: [PLATZHALTER]

• Datenkategorien / Betroffene Personen: [PLATZHALTER]

• Drittlandsbezug: [PLATZHALTER – Ja/Nein]

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt ausschließlich, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

• Verwendete Transferinstrumente (z. B. EU‑Standardvertragsklauseln, Angemessenheitsbeschluss): [PLATZHALTER]

• Beschreibung des Drittlandbezugs: [PLATZHALTER]

• Verweis auf ergänzende technische / organisatorische Maßnahmen: [PLATZHALTER]

Der Auftragsverarbeiter dokumentiert bestehende Drittlandübermittlungen und informiert den Verantwortlichen vor Aufnahme oder Änderung entsprechender Übermittlungen. Details können in einer separaten Anlage [PLATZHALTER – z. B. Anlage 3 „Drittlandtransfers“] beschrieben werden.

• Auskunft (Art. 15 DSGVO)

• Berichtigung (Art. 16 DSGVO)

• Löschung (Art. 17 DSGVO)

• Einschränkung der Verarbeitung (Art. 18 DSGVO)

• Datenübertragbarkeit (Art. 20 DSGVO)

• Widerspruch (Art. 21 DSGVO)

• Meldeweg für Betroffenenanfragen: [PLATZHALTER – z. B. zentraler Kontakt / Ticket‑Prozess]

• Regelfrist für Umsetzung durch Auftragsverarbeiter: [PLATZHALTER – z. B. x Werktage]

• Dokumentation der Bearbeitung: [PLATZHALTER]

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von [PLATZHALTER – z. B. 24/48 Stunden] nach Kenntniserlangung, jede Verletzung des Schutzes personenbezogener Daten, die für den Verantwortlichen relevant sein kann.

• Meldeweg (z. B. E‑Mail‑Adresse / Ticket‑System / Hotline): [PLATZHALTER]

• Zuständige Ansprechpartner: [PLATZHALTER]

• Beschreibung der Art der Verletzung (Kategorien und ungefähre Anzahl betroffener Personen / Datensätze)

• Beschreibung der wahrscheinlichen Folgen

• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung möglicher nachteiliger Folgen

• Informationen zur weiteren Zusammenarbeit mit dem Verantwortlichen und ggf. Aufsichtsbehörden

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung von Datenschutz‑Folgenabschätzungen nach Art. 35 DSGVO und ggf. erforderlichen Konsultationen der Aufsichtsbehörden nach Art. 36 DSGVO, insbesondere durch:

• Bereitstellung relevanter System- und Prozessdokumentationen: [PLATZHALTER]

• Beschreibung der TOMs und des Sicherheitsniveaus

• Unterstützung bei Risikoanalysen und Maßnahmenplanung

Anfragen von Aufsichtsbehörden, die sich unmittelbar auf die im Rahmen dieses AVV verarbeiteten Daten beziehen, werden vom Auftragsverarbeiter unverzüglich an den Verantwortlichen weitergeleitet, sofern keine rechtliche Verpflichtung zur unmittelbaren Beantwortung besteht. Die Abstimmung über Antworten erfolgt zwischen den Parteien.

Der Verantwortliche ist berechtigt, die Einhaltung der in diesem AVV vereinbarten Pflichten in angemessenem Umfang zu prüfen oder durch unabhängige Prüfer prüfen zu lassen.

• Dokumentenprüfung (z. B. Zertifikate, Auditberichte, Richtlinien): [PLATZHALTER]

• Remote‑Audit (z. B. Videokonferenzen, Screen‑Sharing): [PLATZHALTER]

• On‑Site‑Audit beim Auftragsverarbeiter oder dessen Unterauftragsverarbeitern (nach Vereinbarung): [PLATZHALTER]

• Angemessene Vorlaufzeit für Vorankündigungen: [PLATZHALTER – z. B. x Werktage]

• Maximalhäufigkeit von Audits (sofern keine besonderen Anlässe): [PLATZHALTER]

• Vertraulichkeit: Der Verantwortliche trägt dafür Sorge, dass im Rahmen von Audits erhaltene Informationen vertraulich behandelt werden und nur für Zwecke der Datenschutzkontrolle genutzt werden.

• Gültige Zertifikate (z. B. ISO 27001, ISO 9001, SOC 2): [PLATZHALTER]

• Zusammenfassungen externer Audits oder Penetrationstests: [PLATZHALTER]

• Relevante interne Richtlinien und Prozessbeschreibungen: [PLATZHALTER]

Nach Beendigung der vertraglichen Leistungen hat der Auftragsverarbeiter alle personenbezogenen Daten nach Weisung des Verantwortlichen zurückzugeben oder zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

• Rückgabeformat(e): [PLATZHALTER – z. B. CSV, SQL‑Dump, Exportpaket, Schnittstellenexport]

• Frist zur Rückgabe: [PLATZHALTER – z. B. x Tage nach Vertragsende]

• Endgültige Löschung der Daten aus produktiven Systemen: [PLATZHALTER – Frist / Prozessbeschreibung]

• Löschung oder Anonymisierung in Test‑ und Entwicklungssystemen: [PLATZHALTER]

• Dokumentation der Löschung und Bereitstellung einer Löschbestätigung: [PLATZHALTER – z. B. standardisiertes Löschprotokoll]

• Umgang mit Daten in Sicherungskopien: [PLATZHALTER – z. B. Löschung im Rahmen regulärer Backup‑Zyklen]

• Maximaler Zeitraum bis zur endgültigen Unzugänglichkeit der Daten in Backups: [PLATZHALTER – z. B. x Monate]

Die Haftung der Parteien hinsichtlich dieses AVV richtet sich nach den im Hauptvertrag getroffenen Regelungen, sofern nicht zwingende datenschutzrechtliche Vorgaben entgegenstehen.

• Verweis auf Haftungsklausel Hauptvertrag: [PLATZHALTER – Klauselnummer / Abschnitt]

• Der Verantwortliche ist gegenüber betroffenen Personen und Aufsichtsbehörden primär verantwortlich.

• Der Auftragsverarbeiter haftet im Rahmen der gesetzlichen Vorgaben und der vertraglichen Vereinbarungen für Verstöße gegen seine Pflichten aus diesem AVV.

Im Falle von Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen zwischen den Parteien (insbesondere dem Hauptvertrag) gehen die Bestimmungen dieses AVV den übrigen Regelungen vor, soweit sie die Auftragsverarbeitung im Sinne der DSGVO betreffen.

Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform, soweit nicht strengere gesetzliche Formerfordernisse gelten. Dies gilt auch für eine Änderung dieser Schriftformklausel.

• Verfahren zur Dokumentation von Änderungen: [PLATZHALTER]

Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame oder undurchführbare Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.

• Anwendbares Recht: [PLATZHALTER – z. B. Recht der Bundesrepublik Deutschland]

• Gerichtsstand: [PLATZHALTER – z. B. Sitz des Verantwortlichen]

Soweit von diesem AVV Übersetzungen (z. B. englische Fassung) existieren, ist bei Auslegungsunterschieden die [PLATZHALTER – z. B. deutsche] Fassung maßgeblich.

• Ort: [PLATZHALTER]

• Datum: [PLATZHALTER]

• Name (in Druckbuchstaben): [PLATZHALTER]

• Funktion / Rolle: [PLATZHALTER]

• Unterschrift: [PLATZHALTER]

• Name (in Druckbuchstaben): [PLATZHALTER]

• Funktion / Rolle: [PLATZHALTER]

• Unterschrift: [PLATZHALTER]