Vertrag zur Auftragsverarbeitung

1. Parteien und Anlagen

Auftraggeber ist das im Abschlussnachweis mit vollständigem Namen und Anschrift bezeichnete Kundenunternehmen. Auftragnehmer ist PriorApps GmbH, Kreuzkämpchen 11, 40789 Monheim am Rhein, Deutschland. Die natürliche Person, die den Abschluss erklärt, muss das Kundenunternehmen wirksam vertreten dürfen.

Bestandteile der Vereinbarung sind dieser AVV, die Anlage Technische und organisatorische Maßnahmen (TOM) und die Anlage Unterauftragnehmer und weitere Dienstleister, jeweils in der im Abschlussnachweis bezeichneten Fassung. Die bloße Anzeige dieser Dokumente, ihre Kenntnisnahme oder eine Administratorrolle bewirken keinen Vertragsabschluss. Dieser erfordert die ausdrückliche Erklärung der vertretungsberechtigten Person.

Handelt der Auftraggeber seinerseits als Auftragsverarbeiter eines Mandanten, muss er vor einem Abschluss die Berechtigung zur Beauftragung eines weiteren Auftragsverarbeiters und die einschlägigen Weisungen nachweisen beziehungsweise dokumentieren. Die darauf abgestimmte Vertragskette und der Umfang der Weisungsbefugnis sind vor Nutzung festzulegen.

2. Gegenstand, Zweck und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten bei der Bereitstellung der GRINNO-Business-Plattform für die Arbeit mit Unternehmensprofilen, Förderprojekten, Dokumenten, Fallakten, Berichten, Chats und Zusammenarbeit in Arbeitsbereichen. Art und Zweck umfassen das Entgegennehmen, Speichern, Strukturieren, Auslesen, Auswerten, Bereitstellen, Übermitteln an genehmigte technische Dienstleister, Exportieren und Löschen nach Weisung des Auftraggebers. Die beauftragten KI- und Suchfunktionen sind eingeschlossen, soweit sie im vereinbarten Leistungsumfang liegen.

Die Auftragsverarbeitung beginnt mit dem wirksamen Abschluss und der vereinbarten Bereitstellung. Sie dauert während des Hauptvertrags und, soweit erforderlich, während der anschließenden vereinbarten Rückgabe- und Löschabwicklung an. Fortbestehende gesetzliche Pflichten bleiben unberührt.

Verarbeitungen für eigene Zwecke des Auftragnehmers, insbesondere eigene Vertragsverwaltung und Rechnungslegung, unterliegen den dafür geltenden Datenschutzpflichten und werden durch diesen AVV nicht zu einer Verarbeitung im Auftrag.

3. Datenarten und betroffene Personen

Der konkrete Umfang richtet sich nach den vom Auftraggeber ausgewählten Funktionen und zulässigerweise eingestellten Inhalten. Der Auftraggeber beschränkt die Daten auf das zur Zweckerfüllung Erforderliche.

• Datenarten: Namen, dienstliche Kontakt- und Zuordnungsdaten, Rollen und Mitgliedschaften; personenbezogene Unternehmens-, Beschäftigungs-, Finanz- und Projektangaben; Dokumentinhalte, Chatnachrichten, Auswertungsergebnisse und dazugehörige technische Metadaten.
• Betroffene Personen: Beschäftigte und sonstige autorisierte Nutzer des Auftraggebers, Ansprechpartner bei Kunden, Mandanten, Partnern und Förderstellen, Einzelunternehmer sowie weitere Personen, deren Angaben rechtmäßig in die beauftragten Inhalte aufgenommen werden.
• Nicht vom Standardumfang erfasst sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO. Eine Verarbeitung solcher Daten setzt eine gesonderte dokumentierte Vereinbarung einschließlich der erforderlichen Schutzmaßnahmen und Rechtsgrundlagen voraus.

4. Verantwortung und dokumentierte Weisungen

Der Auftraggeber entscheidet über Zwecke und wesentliche Mittel seiner Verarbeitung und verantwortet insbesondere die Rechtmäßigkeit der Datenerhebung, erforderliche Informationen und Einwilligungen, Datenrichtigkeit sowie die Erteilung und den Entzug von Nutzerberechtigungen. Bei einer Unterauftragskette hält er die Vorgaben des jeweiligen Verantwortlichen ein.

Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich einer Übermittlung in ein Drittland. Als Weisungen gelten der vereinbarte Leistungsumfang, dieser AVV und autorisierte Eingaben über die vorgesehenen App-Funktionen. Ergänzende Weisungen werden in Textform an den vereinbarten Kontakt übermittelt und mit Absender, Inhalt und Datum dokumentiert. Weisungsberechtigte Personen und Empfangsstellen werden bei Vertragsschluss benannt und bei Änderungen aktualisiert.

Verpflichtet das auf den Auftragnehmer anwendbare Recht der Union oder eines Mitgliedstaats zu einer weiteren Verarbeitung, informiert er den Auftraggeber vorab über die Anforderung, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und setzt die betroffene Weisung bis zur rechtmäßigen Klärung aus. Änderungen des Leistungsumfangs werden gesondert vereinbart. Der Auftragnehmer verwendet Auftragsdaten nicht für eigene Werbung oder zum eigenen Modelltraining; eine weitergehende Nutzung durch eingebundene Dienstleister muss mit der Weisung und den hierfür bestätigten Vertragsbedingungen vereinbar sein.

5. Vertraulichkeit und Zugriff

Der Auftragnehmer gewährt Personen nur den für ihre Aufgabe erforderlichen Zugriff. Er setzt ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und unterrichtet sie über die geltenden Datenschutzanforderungen.

Der Auftragnehmer ist verpflichtet, Berechtigungen für Betrieb und Support nach Aufgaben zu vergeben, bei Aufgabenwechsel zu überprüfen und bei Wegfall des Bedarfs zu entziehen. Er dokumentiert die hierfür erforderlichen Zuständigkeiten. Die Vertraulichkeitspflicht besteht über das Ende des Einsatzes hinaus.

6. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen unter Berücksichtigung des Risikos, des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung. Die zum Vertragsschluss vereinbarten Maßnahmen sind in der Anlage TOM beschrieben.

Maßnahmen dürfen an technischen Fortschritt angepasst werden, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf geeignete Weise zur Verfügung gestellt. Erfordern Änderungen eine Anpassung des vereinbarten Umfangs oder der Weisungen, ist diese vorab abzustimmen.

7. Weitere Auftragsverarbeiter

Mit einem wirksamen Abschluss erteilt der Auftraggeber die allgemeine Genehmigung zum Einsatz der in der vereinbarten Unterauftragnehmeranlage für die Auftragsverarbeitung bezeichneten Unternehmen. Die Genehmigung erfasst nur die dort beschriebenen Leistungen und entbindet den Auftragnehmer nicht von der Pflicht, die erforderlichen Datenschutzvereinbarungen mit diesen Unternehmen zu unterhalten.

Über beabsichtigte Hinzunahmen oder Ersetzungen weiterer Auftragsverarbeiter informiert der Auftragnehmer den benannten Kontakt des Auftraggebers in Textform mindestens 30 Tage vor deren Einsatz mit Identität, Leistung, Verarbeitungsorten und einschlägigen Datenschutzgarantien. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Vor Klärung eines solchen Widerspruchs werden betroffene Auftragsdaten nicht an den neuen Dienstleister übermittelt. Die Parteien suchen eine geeignete Lösung; ist keine vereinbar, wird die betroffene Leistung beendet und die zugehörige Datenabwicklung abgestimmt.

Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf dieselben einschlägigen Datenschutzpflichten, einschließlich ausreichender Garantien für geeignete Maßnahmen und der notwendigen Nachweis- und Unterstützungsrechte. Er bleibt gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch weitere Auftragsverarbeiter verantwortlich.

Dienstleister für eigene Zwecke des Auftragnehmers, beispielsweise bestimmte eigene Zahlungs- und Buchhaltungsvorgänge, sind von dieser Genehmigung nur erfasst, soweit sie tatsächlich Auftragsdaten in dessen Auftrag verarbeiten. Ihre bloße Aufnahme als weiterer Dienstleister erweitert den Gegenstand des AVV nicht.

8. Verarbeitungsorte und Drittlandübermittlungen

Die vereinbarten Dienste und ihre Verarbeitungsorte ergeben sich aus der Unterauftragnehmeranlage. Der Auftraggeber wird insbesondere über nicht ausschließlich im EWR stattfindende Authentifizierung, KI-Verarbeitung, globale Suchdienste und mögliche Supportzugriffe informiert.

Übermittlungen außerhalb des EWR setzen eine dokumentierte Weisung und die Einhaltung der Art. 44 ff. DSGVO voraus. Vor Beginn der betreffenden Verarbeitung sind die konkrete Übermittlungsgrundlage und gegebenenfalls Standardvertragsklauseln, Transferprüfung und ergänzende Maßnahmen zu dokumentieren. Auf Anfrage stellt der Auftragnehmer die erforderlichen Informationen und geeigneten Nachweise unter Wahrung berechtigter Vertraulichkeitsinteressen zur Verfügung.

Die Genehmigung eines Dienstleisters ersetzt keine notwendige Übermittlungsgrundlage. Kann der Auftragnehmer die Voraussetzungen einer betroffenen Übermittlung nicht mehr gewährleisten, informiert er den Auftraggeber und setzt diese Übermittlung aus, bis eine rechtmäßige Lösung besteht.

9. Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen. Dies umfasst, soweit möglich, die Zuordnung und Suche betroffener Datensätze, die Bereitstellung für Auskunft und Übertragbarkeit sowie die Umsetzung angewiesener Berichtigung, Einschränkung oder Löschung.

An den Auftragnehmer gerichtete Anträge zu Auftragsdaten leitet er ohne unangemessene Verzögerung an den zuständigen Auftraggeber weiter. Eine inhaltliche Entscheidung gegenüber der betroffenen Person trifft er insoweit nur auf Weisung oder bei eigener gesetzlicher Verpflichtung. Anfragen, Identitätsprüfung, Fristen und Durchführung werden so abgestimmt, dass der Auftraggeber seine gesetzlichen Fristen einhalten kann.

10. Datenschutzverletzungen und weitere Unterstützung

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt, unterrichtet er den Auftraggeber unverzüglich. Die Erstmeldung enthält die zu diesem Zeitpunkt verfügbaren Angaben zur Art des Vorfalls, zu betroffenen Daten und Personen, wahrscheinlichen Folgen, bereits ergriffenen beziehungsweise vorgesehenen Maßnahmen und zu einem erreichbaren Kontakt. Fehlende Angaben werden ohne unangemessene Verzögerung ergänzt; eine unvollständige Erstaufklärung verzögert die Erstmeldung nicht.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei dessen Pflichten nach Art. 32 bis 36 DSGVO. Er stellt erforderliche Informationen über technische Abläufe, Risiken und Schutzmaßnahmen bereit, unterstützt Meldungen an Aufsichtsbehörden und betroffene Personen sowie Datenschutz-Folgenabschätzungen und erforderliche vorherige Konsultationen.

Der Auftragnehmer dokumentiert Vorfallverlauf, Maßnahmen und Mitteilungen und sichert relevante Nachweise. Meldungen im Namen des Auftraggebers erfolgen nur auf dessen Weisung oder aufgrund einer eigenen gesetzlichen Pflicht. Der Datenschutz- und Vorfallkontakt des Auftragnehmers ist hello@grinno.ai. Der Auftraggeber hält seine beim Abschluss benannte Kontaktadresse aktuell; für einen Vorfall vereinbaren die Parteien erforderlichenfalls weitere erreichbare Ansprechpartner.

11. Nachweise, Kontrollen und Behörden

Der Auftragnehmer stellt alle zur Darlegung der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereit. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer und trägt zu ihnen bei. Geeignete Unterlagen und vorhandene Prüfberichte können zur Vorbereitung dienen; sie ersetzen erforderliche gesetzliche Kontrollrechte nicht.

Reguläre Prüfungen werden mit angemessener Vorankündigung hinsichtlich Ablauf, Vertraulichkeit und Schutz anderer Kunden abgestimmt. Bei konkreten Vorfällen, behördlicher Anordnung oder sonstiger Dringlichkeit sind kurzfristige Prüfungen möglich. Die Abstimmung darf eine wirksame Kontrolle nicht vereiteln. Berechtigte Geheimhaltungsinteressen werden durch angemessene Schutzvorkehrungen gewahrt.

Der Auftragnehmer arbeitet im gesetzlichen Umfang mit der zuständigen Aufsichtsbehörde zusammen und informiert den Auftraggeber über Kontrollen oder Maßnahmen, die dessen Auftragsdaten betreffen, soweit dies rechtlich zulässig ist. Er meldet Umstände, die eine vertragsgemäße Verarbeitung wesentlich beeinträchtigen können.

12. Rückgabe und Löschung bei Auftragsende

Nach Abschluss der Leistungen gibt der Auftragnehmer nach Wahl des Auftraggebers die Auftragsdaten in einem vereinbarten gängigen Format zurück oder löscht sie. Nach erfolgter Rückgabe werden vorhandene Kopien ebenfalls gelöscht, soweit keine Pflicht zur weiteren Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Eine solche Pflicht wird mit Umfang und Dauer offengelegt, soweit rechtlich zulässig; die Daten werden auf den verpflichtenden Zweck beschränkt.

Die Abwicklung wird über hello@grinno.ai angefordert. Der Auftragnehmer bestätigt den Eingang, stimmt den erforderlichen Datenumfang und einen sicheren Übertragungsweg mit der weisungsberechtigten Person ab und führt Rückgabe oder Löschung ohne unangemessene Verzögerung durch. Der Auftraggeber erhält Angaben zu erforderlichen Abwicklungsschritten und noch laufenden Anbieter-Löschfristen. Die Abwicklung erfasst Produktivdaten, Dateien, Suchrepräsentationen, Auftragsdaten in Protokollen, Sicherungen und Daten bei Unterauftragnehmern.

Sicherungskopien dürfen bis zum planmäßigen Ablauf ausschließlich gesichert aufbewahrt und nur im erforderlichen Wiederherstellungsfall verwendet werden. Bei Wiederherstellung sind bereits erteilte Löschweisungen erneut umzusetzen. Für die endgültige Löschung aus Systemen der Dienstleister gelten deren einschlägige Löschverfahren; diese dürfen nicht als Grund dienen, Auftragsdaten im laufenden Anwendungsbestand ohne weiteren Zweck aufzubewahren.

Die Durchführung wird dem Auftraggeber in Textform bestätigt. Geheimhaltungs- und Schutzpflichten bestehen bis zur ordnungsgemäßen Rückgabe beziehungsweise vollständigen Löschung fort.

13. Abschluss, Änderungen und Vorrang

Der Vertrag wird elektronisch in einem dokumentierten Verfahren geschlossen. Der Auftraggeber erklärt ausdrücklich den Abschluss dieses AVV einschließlich TOM und Unterauftragnehmeranlage durch seine vertretungsberechtigte Person. Die Erklärung zu den Nutzungsbedingungen ist davon getrennt. Die Datenschutzerklärung wird zur Kenntnis bereitgestellt und ist keine pauschale Einwilligung.

Der Nachweis ordnet das vertretene Kundenunternehmen, die erklärende Person, ihre Erklärung zur Vertretungsbefugnis, den Zeitpunkt und sämtliche vereinbarten Dokumentfassungen dauerhaft zu. Der Auftraggeber kann seinen Abschlussnachweis herunterladen. Eine Änderung dieser Internetseite ändert einen bereits geschlossenen Vertrag nicht automatisch.

Änderungen werden dokumentiert vereinbart, soweit dieser Vertrag kein konkretes zulässiges Änderungsverfahren vorsieht. Bei Widersprüchen gehen die Datenschutzregelungen dieses AVV hinsichtlich der Auftragsverarbeitung den allgemeinen Vertragsbedingungen vor. Zwingende gesetzliche Rechte, insbesondere von betroffenen Personen und Aufsichtsbehörden, bleiben unberührt.