Auftragsverarbeitungsvertrag

DATAFIREFLY LIMITED

Auftragsverarbeitungsvertrag (AVV)

Artikel 28 DSGVO: Verhältnis Verantwortlicher / Auftragsverarbeiter

Version 1.0: Gültig ab 18. April 2026

Die englische Fassung ist der maßgebliche Text. Diese Übersetzung dient ausschließlich der Information; im Fall von Abweichungen hat die englische Fassung Vorrang.

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen:

• DATAFIREFLY LIMITED, einer nach irischem Recht gegründeten Gesellschaft mit der Registernummer 810100, mit Sitz in 15A Main Street, Blackrock, Dublin, Irland, A94T8P8, handelnd als Auftragsverarbeiter im Sinne der DSGVO (nachfolgend der „Auftragsverarbeiter" oder „Datafirefly"), vertreten unter [email protected];
• Und dem gewerblichen Kunden, der entweder im Hauptvertrag oder in der unterzeichneten Auftragsbestätigung, oder: bei online abgeschlossenen Diensten: durch das bei der Registrierung angelegte Konto und die dabei akzeptierten Bedingungen identifiziert ist, handelnd als Verantwortlicher (nachfolgend der „Verantwortliche" oder der „Kunde").

Jeweils einzeln eine „Partei" und gemeinsam die „Parteien".

Präambel

Im Rahmen der vom Kunden bei Datafirefly gebuchten Leistungen (SaaS-Plattformen, gehostete Module, Integrationen, Data Hub, Beratung, Wartung) verarbeitet Datafirefly personenbezogene Daten im Auftrag des Kunden. Dieser AVV regelt diese Verarbeitung gemäß Artikel 28 der Verordnung (EU) 2016/679 („DSGVO"), dem irischen Data Protection Act 2018 sowie den Leitlinien des Europäischen Datenschutzausschusses (EDSA).

Dieser AVV hat im Konfliktfall Vorrang vor jeder datenschutzrechtlichen Klausel der Allgemeinen Geschäftsbedingungen. Er ergänzt diese Bedingungen, ohne sie in den übrigen Aspekten zu ersetzen.

Artikel 1, Begriffsbestimmungen

Die in diesem AVV verwendeten Begriffe haben die ihnen durch die DSGVO zugewiesene Bedeutung, insbesondere: „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „betroffene Person", „Verletzung des Schutzes personenbezogener Daten", „Übermittlung", „Aufsichtsbehörde", „Drittländer", „Standardvertragsklauseln".

Artikel 2: Gegenstand und Umfang der Verarbeitung

2.1 Der Verantwortliche überträgt dem Auftragsverarbeiter, strikt im Rahmen der Durchführung des Hauptvertrags, die Verarbeitung der in Anlage 1 dieses AVV beschriebenen personenbezogenen Daten.

2.2 Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag, die vom Kunden innerhalb der Dienste konfigurierten Parameter, dieser AVV sowie jede schriftliche Anweisung des Verantwortlichen stellen dokumentierte Weisungen dar.

2.3 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung des Verantwortlichen gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich.

Artikel 3: Dauer der Verarbeitung

3.1 Dieser AVV tritt mit dem Datum der Annahme des Hauptvertrags in Kraft und bleibt in Kraft, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

3.2 Die Pflichten des Auftragsverarbeiters bestehen über das Ende der Verarbeitung hinaus fort, soweit es die Rückgabe oder Löschung der Daten gemäß Artikel 11 betrifft.

Artikel 4, Pflichten des Auftragsverarbeiters

Gemäß Artikel 28 DSGVO verpflichtet sich der Auftragsverarbeiter:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf Übermittlungen außerhalb des Europäischen Wirtschaftsraums, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten dazu verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern dies nicht rechtlich untersagt ist
• Sicherzustellen, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen
• Geeignete technische und organisatorische Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (Artikel 32 DSGVO) umzusetzen, wie in Anlage 2 beschrieben
• Die Bedingungen für die Hinzuziehung weiterer Auftragsverarbeiter einzuhalten (Artikel 6 dieses AVV)
• Den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen zu unterstützen (Artikel 12 bis 23 DSGVO)
• Den Verantwortlichen bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen, zu Datenschutz-Folgenabschätzungen und zur vorherigen Konsultation zu unterstützen (Artikel 32 bis 36 DSGVO)
• Nach Beendigung der Leistungen nach Wahl des Verantwortlichen alle personenbezogenen Daten zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern nicht das Recht der Union oder der Mitgliedstaaten eine Aufbewahrung vorschreibt
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO zur Verfügung zu stellen und Überprüfungen gemäß Artikel 10 dieses AVV zu ermöglichen

Artikel 5, Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

• Für jede dem Auftragsverarbeiter übertragene Verarbeitung über eine gültige Rechtsgrundlage zu verfügen (Artikel 6 DSGVO)
• Die betroffenen Personen gemäß den Artikeln 13 und 14 DSGVO zu informieren
• Die Einwilligung, soweit erforderlich, einzuholen und deren Nachweis aufzubewahren
• Klare, dokumentierte und DSGVO-konforme Weisungen zu erteilen
• Dem Auftragsverarbeiter nur die zur Erbringung der Leistungen unbedingt erforderlichen Daten zu übermitteln (Datenminimierung)
• Keine sensiblen Daten im Sinne von Artikel 9 DSGVO zu übermitteln, ohne den Auftragsverarbeiter zuvor zu informieren und erforderlichenfalls einen gesonderten Nachtrag zu unterzeichnen

Artikel 6, Weitere Auftragsverarbeiter

6.1 Der Verantwortliche ermächtigt den Auftragsverarbeiter ausdrücklich, die in Anlage 3 dieses AVV aufgeführten weiteren Auftragsverarbeiter hinzuzuziehen.

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen schriftlich über jede beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters mit einer Frist von mindestens 30 Kalendertagen. Der Verantwortliche kann dieser Änderung aus berechtigten Datenschutzgründen widersprechen. Im Fall eines Widerspruchs suchen die Parteien nach Treu und Glauben eine Lösung; andernfalls kann der Verantwortliche den Hauptvertrag ohne Nachteil kündigen.

6.3 Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten durch die weiteren Auftragsverarbeiter voll verantwortlich. Er schließt mit jedem weiteren Auftragsverarbeiter einen Vertrag, der gleichwertige Datenschutzpflichten auferlegt.

Artikel 7: Übermittlungen außerhalb des Europäischen Wirtschaftsraums

7.1 Jede Datenübermittlung außerhalb des EWR erfolgt gemäß Kapitel V der DSGVO. Die anwendbaren Garantien sind in Anlage 4 beschrieben.

7.2 Der Auftragsverarbeiter bevorzugt nach Möglichkeit Empfänger mit Sitz im EWR oder in einem Land, für das ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt.

7.3 Für Übermittlungen in Drittländer ohne anerkanntes Angemessenheitsniveau setzt der Auftragsverarbeiter die von der Europäischen Kommission erlassenen Standardvertragsklauseln („SCC") oder jeden anderen konformen Übermittlungsmechanismus (verbindliche interne Datenschutzvorschriften, Verhaltensregeln, Zertifizierung) um.

7.4 Der Auftragsverarbeiter führt, soweit erforderlich, eine Transfer Impact Assessment durch und setzt die notwendigen ergänzenden Maßnahmen um, um ein dem EWR im Wesentlichen gleichwertiges Schutzniveau zu gewährleisten.

Artikel 8: Sicherheit der Verarbeitung

8.1 Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen geeigneten technischen und organisatorischen Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere:

• Verschlüsselung der Daten bei der Übertragung und, soweit relevant, im Ruhezustand
• Zugriffskontrolle nach dem Prinzip der geringsten Rechte
• Starke Authentifizierung für Administratoren und Betreiber
• Protokollierung und Überwachung von Zugriffen und Vorgängen
• Regelmäßige, getestete und isolierte Sicherungen
• Verfahren zur Betriebskontinuität und Notfallwiederherstellung
• Sensibilisierung und Schulung des Personals

8.2 Die Sicherheitsmaßnahmen werden regelmäßig überprüft und können vom Auftragsverarbeiter im Rahmen der kontinuierlichen Verbesserung jederzeit verstärkt werden. Sie dürfen ohne Zustimmung des Verantwortlichen nicht herabgesetzt werden.

Artikel 9: Verletzung des Schutzes personenbezogener Daten

9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten innerhalb von höchstens 48 Stunden nach Kenntniserlangung per E-Mail an den vom Verantwortlichen benannten Datenschutzkontakt.

9.2 Die Meldung enthält, soweit möglich:

• Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Kontaktdaten des Datenschutzbeauftragten oder der Anlaufstelle
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen

9.3 Der Auftragsverarbeiter arbeitet mit dem Verantwortlichen umfassend zusammen, insbesondere um diesem die Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Artikel 33 DSGVO) und gegebenenfalls die Benachrichtigung der betroffenen Personen (Artikel 34) zu ermöglichen.

Artikel 10: Überprüfung und Kontrolle

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf schriftliche Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung seiner DSGVO-Pflichten erforderlich sind: Sicherheitsrichtlinien, Zertifizierungen, aktuelle externe Prüfberichte, Testergebnisse.

10.2 Der Verantwortliche kann auf eigene Kosten und mit angemessener Vorankündigung von 30 Kalendertagen jährlich eine Überprüfung der Sicherheitsmaßnahmen und Verarbeitungsvorgänge durchführen. Die Überprüfung erfolgt während der Geschäftszeiten, unter Bedingungen, die den Betrieb nicht stören, und unter Wahrung der Vertraulichkeit anderer Kunden.

10.3 Bei begründetem Verdacht auf einen schwerwiegenden Verstoß kann eine außerordentliche Überprüfung mit einer Frist von 10 Werktagen durchgeführt werden. Die Feststellungen können zu Maßnahmenplänen führen.

10.4 Der Verantwortliche kann einen unabhängigen Dritten mit der Überprüfung beauftragen, sofern dieser einer gleichwertigen Vertraulichkeitspflicht unterliegt und kein unmittelbarer Wettbewerber des Auftragsverarbeiters ist.

Artikel 11: Ende der Verarbeitung und Verbleib der Daten

11.1 Bei Beendigung oder Ablauf des Hauptvertrags gibt der Auftragsverarbeiter auf schriftliche Weisung des Verantwortlichen und innerhalb von höchstens 30 Kalendertagen die Daten in einem gängigen und maschinenlesbaren elektronischen Format an den Verantwortlichen zurück oder löscht sie endgültig.

11.2 Fehlt bei Ablauf der Frist von 30 Tagen eine Weisung des Verantwortlichen, löscht der Auftragsverarbeiter die Daten.

11.3 Der Auftragsverarbeiter darf Kopien nur insoweit aufbewahren, als dies zur Erfüllung einer gesetzlichen Pflicht erforderlich ist (Buchhaltung, Rechtsstreitigkeiten). Diese Kopien unterliegen weiterhin denselben Sicherheits- und Vertraulichkeitspflichten.

11.4 Der Auftragsverarbeiter stellt auf Anfrage eine Löschbescheinigung aus.

Artikel 12: Haftung und Beschränkung

12.1 Jede Partei haftet für Schäden aus einer nicht DSGVO-konformen Verarbeitung nach Maßgabe von Artikel 82 DSGVO.

12.2 Die Haftung des Auftragsverarbeiters aus diesem AVV ist entsprechend den Bestimmungen der Allgemeinen Geschäftsbedingungen begrenzt, vorbehaltlich zwingender gesetzlicher Bestimmungen, insbesondere von der Aufsichtsbehörde verhängter Geldbußen.

12.3 Die Parteien verpflichten sich, im Fall streitiger oder behördlicher Verfahren im Bereich des Datenschutzes nach Treu und Glauben zusammenzuarbeiten.

Artikel 13: Allgemeine Bestimmungen

13.1 Dieser AVV unterliegt irischem Recht, entsprechend den Allgemeinen Geschäftsbedingungen. Streitigkeiten werden den zuständigen Gerichten in Dublin vorgelegt.

13.2 Die Anlagen sind Bestandteil dieses AVV. Im Fall eines Widerspruchs zwischen dem Hauptteil des AVV und seinen Anlagen hat der Hauptteil Vorrang.

13.3 Jede Änderung des AVV bedarf eines von beiden Parteien unterzeichneten schriftlichen Nachtrags. Der Auftragsverarbeiter kann jedoch Anlage 3 (weitere Auftragsverarbeiter) nach dem Verfahren des Artikels 6 einseitig aktualisieren.

13.4 Die Unwirksamkeit einer Klausel berührt die Wirksamkeit der übrigen Klauseln nicht.

Anlage 1, Beschreibung der Verarbeitung

Anlage 2: Technische und organisatorische Sicherheitsmaßnahmen

Technische Maßnahmen

• Verschlüsselung mit mindestens TLS 1.2 für alle externen Kommunikationen (verpflichtendes HTTPS)
• Hashing von Passwörtern mit einer robusten kryptografischen Funktion (bcrypt oder gleichwertig)
• Starke Zwei-Faktor-Authentifizierung für Administratorzugänge
• Logische Trennung der Umgebungen (Produktion, Staging, Entwicklung)
• Isolierung der Kundendatenbanken mit Zugriffskontrollen auf Anwendungsebene
• Automatisierte tägliche Sicherungen, mindestens 30 Tage aufbewahrt, auf getrennter Infrastruktur gespeichert
• Anwendungs-Firewall und Anti-DDoS-Schutz auf Ebene des Hosting-Anbieters
• Sicherheitsupdates innerhalb angemessener Frist nach Veröffentlichung des Patches
• Protokollierung von Administratorzugriffen und sensiblen Vorgängen
• Virenschutz und Überwachung der Arbeitsplätze mit Administratorzugang

Organisatorische Maßnahmen

• Zugriffsverwaltungsrichtlinie nach dem Prinzip der geringsten Rechte
• Von jedem Mitarbeitenden mit Datenzugriff unterzeichnete Vertraulichkeitsverpflichtung
• Sensibilisierung und Datenschutzschulung des Personals
• Dokumentiertes Verfahren zum Umgang mit Vorfällen und Verletzungen
• Jährliche Überprüfung der Sicherheitsmaßnahmen und Zugriffsrechte
• Dokumentierte Verfahren zur Betriebskontinuität und Notfallwiederherstellung
• Verträge mit weiteren Auftragsverarbeitern, die gleichwertige Datenschutzpflichten auferlegen

Anlage 3: Zugelassene weitere Auftragsverarbeiter

Die Liste der weiteren Auftragsverarbeiter wird vom Auftragsverarbeiter nach dem Verfahren des Artikels 6 aktualisiert. Die zum Zeitpunkt des Inkrafttretens dieses AVV geltende Fassung lautet:

Anlage 4: Übermittlungen außerhalb des EWR und Garantien

Für Empfänger außerhalb des EWR, die nicht von einem Angemessenheitsbeschluss erfasst sind, setzt der Auftragsverarbeiter die von der Europäischen Kommission mit Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 erlassenen Standardvertragsklauseln (SCC) um, gegebenenfalls ergänzt durch zusätzliche Maßnahmen (Ende-zu-Ende-Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen, rechtliche Risikobewertung lokaler Gesetze).

Der Auftragsverarbeiter stellt dem Verantwortlichen auf schriftliche Anfrage die Fundstellen der mit jedem betroffenen weiteren Auftragsverarbeiter unterzeichneten SCC sowie die Ergebnisse der durchgeführten Transfer Impact Assessments zur Verfügung.

Offizielles Dokument

DATAFIREFLY LIMITED

Reg.-Nr. 810100: 15A Main Street, Blackrock, Dublin, Irland, A94T8P8

AVV: Version 1.0: April 2026