1. Parteien und Einordnung
Auftraggeber ist das im Bestellformular bezeichnete Maklerbüro als Verantwortlicher. Auftragnehmer ist NeXFinura – Inhaber Dirk Rößiger als Auftragsverarbeiter. Diese Vereinbarung konkretisiert Art. 28 DSGVO und gilt für alle Auftragsdaten im Rahmen des SaaS-Vertrags.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand ist der technische Betrieb von NeXFinura einschließlich Hosting, Speicherung, strukturierter Bestandsprüfung, Benutzer- und Mandantenportalverwaltung, 2FA, E-Mail-Verarbeitung, Import, Export, Sicherung, Protokollierung, Archivierung und Löschung. Die Verarbeitung dauert während des SaaS-Vertrags zuzüglich vereinbarter Abwicklungs- und Löschfristen.
3. Datenarten und betroffene Personen
- Stamm- und Kontaktdaten: Name, Anschrift, E-Mail, Telefon, interne oder externe Kennungen.
- Versicherungs- und Vertragsdaten: Versicherer, Sparte, Vertragsnummern, Laufzeiten, Risikomerkmale und Bestandscheckantworten.
- Portal-, Kommunikations- und Sicherheitsdaten: Einladungen, Status, Sitzungen, 2FA, Recovery- und Auditdaten.
- Import-, Export-, Aufgaben- und Kampagnendaten.
- Besondere Kategorien nur, soweit der Auftraggeber sie rechtmäßig einstellt und geeignete Schutzmaßnahmen bestehen.
Betroffen sein können Kunden, Interessenten, Versicherungsnehmer, versicherte Personen, Angehörige, Mitarbeiter und Geschäftspartnerkontakte des Auftraggebers.
4. Weisungsbindung
Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht. Produktfunktionen, vom berechtigten Administrator ausgelöste Aktionen und dokumentierte Supportanweisungen gelten als Weisungen. Rechtswidrig erscheinende Weisungen werden beanstandet und dürfen bis zur Klärung ausgesetzt werden.
5. Vertraulichkeit und Berechtigungen
Zugriffsberechtigte Personen werden auf Vertraulichkeit verpflichtet. Berechtigungen folgen Aufgabe, Rolle und Minimalprinzip und werden bei Wegfall entzogen.
6. Sicherheit
Der Auftragnehmer trifft angemessene Maßnahmen nach Art. 32 DSGVO. Der vereinbarte Mindeststandard ergibt sich aus den Technischen und organisatorischen Maßnahmen. Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.
7. Unterstützung
Der Auftragnehmer unterstützt unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen bei Betroffenenrechten, Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen. Zusätzlicher Aufwand kann vereinbart vergütet werden, soweit er nicht auf einem vom Auftragnehmer zu vertretenden Verstoß beruht.
8. Datenschutzverletzungen
Verletzungen des Schutzes von Auftragsdaten werden dem Auftraggeber unverzüglich nach Bekanntwerden gemeldet. Eine erste Meldung soll nach Möglichkeit innerhalb von 24 Stunden erfolgen und Art, Umfang, Folgen, Gegenmaßnahmen und Ansprechpartner enthalten; fehlende Angaben werden nachgereicht.
9. Unterauftragnehmer
Der Auftraggeber genehmigt allgemein den Einsatz der nachfolgend bezeichneten Unterauftragnehmer. Änderungen werden grundsätzlich mindestens 30 Tage vorher in Textform mitgeteilt. Ein Widerspruch ist aus wichtigem Datenschutzgrund möglich.
Vor Freigabe ergänzen: Sofern der SMTP-Versand nicht ebenfalls über STRATO erfolgt, muss der konkrete E-Mail-Anbieter hier aufgenommen werden.
ChatGPT/OpenAI und WhatsApp werden nicht als Unterauftragnehmer eingesetzt, da keine technische Anbindung besteht.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt erforderliche Informationen zum Nachweis der Pflichten bereit. Kontrollen sind nach angemessener Vorankündigung und grundsätzlich einmal jährlich möglich; Dokumentationen und Remote-Nachweise haben Vorrang. Sicherheit und Rechte anderer Tenants dürfen nicht beeinträchtigt werden.
11. Berichtigung, Löschung und Rückgabe
Der Auftragnehmer berichtigt, exportiert, sperrt oder löscht nach dokumentierter Weisung. Die bestätigte Einzel-Löschung durch einen berechtigten Administrator gilt als Weisung. Archivierung ist keine Löschung. Nach Vertragsende werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzlichen Pflichten bestehen; Sicherungen werden gesperrt und zyklisch überschrieben.
12. Verantwortung des Auftraggebers
Der Auftraggeber verantwortet Zulässigkeit, Transparenz, Datenminimierung, Richtigkeit, Benutzerrechte, Aufbewahrungsentscheidungen und Betroffenenrechte. Besondere Kategorien werden nur mit geeigneter Rechtsgrundlage verarbeitet.
13. Rang und Laufzeit
Der AV-Vertrag wird mit dem elektronischen Abschluss wirksam und gilt, solange Auftragsdaten verarbeitet werden. Seine Datenschutzregelungen gehen insoweit dem SaaS-Vertrag vor.