Auftragsverarbeitungsvertrag

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Abwicklung von Förderanträgen im BAFA-Programm „Förderung von Unternehmensberatungen für KMU“ in das Portal einstellt oder dort erheben lässt.

Die Vereinbarung beginnt mit der Freischaltung als Berater und endet mit der Beendigung des Nutzungsverhältnisses. Sie kann jederzeit gekündigt werden, wenn der Nutzungsvertrag endet.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung des Portals im vorgesehenen Umfang gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

Eine Verarbeitung außerhalb dieses Vertrags findet nicht statt. Insbesondere werden die Daten nicht zu eigenen Zwecken ausgewertet, nicht an Dritte verkauft und nicht zum Training von KI-Modellen verwendet.

Zweck: Anlage und Führung von Fördervorgängen, Antragstellung bei der BAFA, Erstellung und Bereitstellung von Dokumenten, Einholung von Unterlagen und Unterschriften beim Klienten, Einreichung des Verwendungsnachweises, Abfrage des Bearbeitungsstands sowie Benachrichtigungen zu all dem.

Betroffene Personen: Geschäftsführer, Inhaber und Ansprechpartner der beratenen Unternehmen sowie gegebenenfalls deren Beschäftigte, soweit sie in eingereichten Unterlagen genannt sind.

Datenkategorien:

Stammdaten des beratenen Unternehmens

Firmenname, Rechtsform, Anschrift, Standort, Branche

Kontaktdaten

Name, Anrede, Funktion, E-Mail-Adresse und Telefonnummer der Ansprechpartner und Geschäftsführer

Vorgangsdaten

Beratungsziel, Beratungstage, Fristen, Status, Vorgangsnummer der BAFA

Steuer- und Finanzdaten

Steuer-Identifikationsnummer oder Steuernummer, Umsatzsteuer-Identifikationsnummer, Bankverbindung, Rechnungsbeträge

Dokumente

Beratungsbericht, Verwendungsnachweis, Rechnungen, Kontoauszüge, Gewerbenachweise, Unterschriften, ESF-Fragebogen

Nutzungsdaten

Zeitpunkte von Zugriffen auf das Klientenportal, Protokolle von Änderungen an einem Vorgang

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht angefordert. Stellt der Verantwortliche solche Daten dennoch ein, verarbeitet der Auftragsverarbeiter sie ausschließlich im Rahmen dieses Vertrags.

Der Auftragsverarbeiter

• verarbeitet die Daten nur auf Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland;
• verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit;
• trifft die technischen und organisatorischen Maßnahmen nach § 4;
• unterstützt den Verantwortlichen bei Anfragen betroffener Personen (§ 6) sowie bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde;
• meldet Verletzungen des Schutzes personenbezogener Daten nach § 7;
• stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind, und ermöglicht Überprüfungen nach § 8;
• löscht oder gibt die Daten nach Beendigung zurück (§ 9).

Der Auftragsverarbeiter unterhält ein Schutzniveau nach Art. 32 DSGVO. Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst; gleichwertiger Ersatz ist zulässig, eine Absenkung des Schutzniveaus nicht.

Verschlüsselung

Übertragung ausschließlich über TLS. Zugangsdaten zum BAFA-Portal werden mit AES verschlüsselt gespeichert und nie im Klartext ausgegeben.

Zugriffskontrolle

Jede Schnittstelle prüft Anmeldung, Rolle und Eigentümerschaft am Vorgang. Ein Berater sieht ausschließlich die eigenen Vorgänge.

Zugang für Klienten

Klienten erhalten keinen Account, sondern einen befristeten Einmal-Link. Zugriffe sind ratenbegrenzt und werden protokolliert.

Protokollierung

Statusänderungen, Dokumenten-Uploads und Zugriffe auf einen Vorgang werden mit Zeitpunkt und Urheber festgehalten.

Trennung

Die Daten verschiedener Beratungsunternehmen werden logisch getrennt gehalten und bei jedem Zugriff gegen den angemeldeten Berater geprüft.

Verfügbarkeit

Regelmäßige Sicherungen der Datenbank; Dokumente liegen redundant im Objektspeicher.

Belastbarkeit

Änderungen am System werden vor der Auslieferung automatisiert getestet; fehlschlagende Prüfungen verhindern die Veröffentlichung.

Datenbank und hochgeladene Dokumente werden innerhalb der Europäischen Union verarbeitet, die Datenbank am Standort Frankfurt am Main.

Für die Berichtsassistenz und den Versand von Benachrichtigungen werden Daten an Dienstleister in den Vereinigten Staaten übermittelt (§ 6). Grundlage ist das EU-U.S. Data Privacy Framework, soweit der jeweilige Anbieter dort zertifiziert ist, im Übrigen Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO.

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der nachstehenden Unterauftragsverarbeiter. Mit jedem bestehen Verträge, die diesem Vertrag gleichwertige Pflichten auferlegen.

Änderungen dieser Liste teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist widersprechen. Widerspricht er und lässt sich die Leistung ohne den betreffenden Dienstleister nicht erbringen, darf jede Partei den Nutzungsvertrag zum Zeitpunkt der Umstellung kündigen.

Wenden sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsansprüchen sowie bei der Datenübertragbarkeit. Das Portal stellt hierfür die Ausgabe und Löschung der zu einem Vorgang gehörenden Daten bereit.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden.

Die Meldung beschreibt die Art der Verletzung, soweit möglich die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch Auskunft über die technischen und organisatorischen Maßnahmen.

Der Verantwortliche kann sich davon überzeugen — nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs. Eine Überprüfung vor Ort kommt in Betracht, wenn Auskünfte und vorgelegte Nachweise nicht ausreichen.

Nach Beendigung des Nutzungsverhältnisses löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Der Verantwortliche kann die Daten vor Beendigung in einem gängigen Format ausgeben lassen.

Die Löschung erfolgt spätestens 90 Tage nach Beendigung und wird vorher angekündigt. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; sie werden für die Dauer der Frist gesperrt und danach gelöscht.

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Regelungen des Nutzungsvertrags.

Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam; die unwirksame Bestimmung wird durch eine ersetzt, die dem verfolgten Zweck am nächsten kommt.

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht.