Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand, Art und Zweck der Verarbeitung

1. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für die Verantwortliche im Rahmen der Bereitstellung und des Betriebs von Flow Present.
2. Art, Umfang, Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anhang 1.
3. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt, soweit in Anhang 3 nicht ausdrücklich etwas anderes geregelt ist.

§ 2 Dauer des Auftrags

Der Vertrag beginnt mit der Registrierung bzw. der ersten Nutzung des Dienstes durch die Verantwortliche und läuft auf unbestimmte Zeit. Er endet automatisch mit der Beendigung des Nutzungsverhältnisses (Löschung des Kontos bzw. der Organisation). Die Bestimmungen zu Löschung und Rückgabe (§ 9) bleiben über das Vertragsende hinaus wirksam.

§ 3 Weisungsrecht der Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet.
2. Die Nutzung des Dienstes gemäß der Dokumentation und der getroffenen Konfigurationseinstellungen gilt als dokumentierte Weisung. Einzelweisungen erfolgen in Textform an datenschutz@flowpresent.org.
3. Der Auftragsverarbeiter informiert die Verantwortliche unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• die Verarbeitung ausschließlich im Rahmen dieses Vertrages und der Weisungen der Verantwortlichen vorzunehmen;
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO);
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anhang 2 umzusetzen und einzuhalten;
• die Verantwortliche bei der Erfüllung ihrer Pflichten nach Art. 32–36 DSGVO im Rahmen seiner Möglichkeiten zu unterstützen (§ 6);
• einen Datenschutzkontakt für Datenschutzanfragen bereitzustellen (datenschutz@flowpresent.org); eine gesetzliche Pflicht zur Benennung einer/eines Datenschutzbeauftragten besteht derzeit nicht;
• ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen;
• die Verantwortliche unverzüglich zu informieren, wenn eine Aufsichtsbehörde gegenüber dem Auftragsverarbeiter tätig wird, soweit dies die Auftragsverarbeitung betrifft.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter trifft die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten und hält diese während der Vertragslaufzeit aufrecht.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie weiterzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterstützungspflichten

1. Der Auftragsverarbeiter unterstützt die Verantwortliche durch geeignete technische und organisatorische Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO) zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an die Verantwortliche weiter.
2. Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet der Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitet werden, unverzüglich – in der Regel innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar. Die Meldung nach Art. 33 DSGVO an die Aufsichtsbehörde sowie ggf. die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen der Verantwortlichen.

§ 8 Unterauftragsverarbeitung

1. Die Verantwortliche stimmt dem Einsatz der in Anhang 3 aufgeführten Unterauftragsverarbeiter zu (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).
2. Der Auftragsverarbeiter informiert die Verantwortliche über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern vorab in Textform (z. B. per E-Mail oder über eine veröffentlichte Liste unter flowpresent.org). Die Verantwortliche kann einer Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen; im Widerspruchsfall sind die Parteien zur einvernehmlichen Lösung verpflichtet, andernfalls steht der Verantwortlichen ein Kündigungsrecht zu.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf datenschutzrechtliche Pflichten, die denen dieses Vertrages entsprechen (Art. 28 Abs. 4 DSGVO). Verletzt ein Unterauftragsverarbeiter seine Datenschutzpflichten, haftet der Auftragsverarbeiter gegenüber der Verantwortlichen wie für eigenes Handeln.
4. Nicht als Unterauftragsverarbeitung im Sinne dieses Vertrages gelten Nebenleistungen (Telekommunikations-, Wartungs- oder vergleichbare Dienste) sowie optionale Drittdienste, die erst durch eine eigene Handlung der Verantwortlichen oder der Teilnehmenden ausgelöst werden (siehe Anhang 3, Abschnitt B).

§ 9 Löschung und Rückgabe nach Vertragsende

1. Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl der Verantwortlichen zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.
2. Die Verantwortliche kann ihre Daten während der Vertragslaufzeit jederzeit selbst exportieren. Mit der Löschung des Kontos bzw. der Organisation über die Einstellungen werden die zugehörigen Inhalte und hochgeladenen Dateien unmittelbar entfernt.
3. Gesetzliche Aufbewahrungspflichten (insbesondere für Abrechnungsdaten) bleiben unberührt; entsprechende Daten werden für die Dauer der gesetzlichen Fristen gesperrt und anschließend gelöscht.

§ 10 Kontroll- und Nachweisrechte

1. Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch die Verantwortliche oder eine von ihr beauftragte Prüfperson.
2. Der Nachweis kann auch durch geeignete Zertifizierungen, aktuelle Prüfberichte oder Berichte unabhängiger Stellen (z. B. ISO 27001 der eingesetzten Infrastruktur-Anbieter) sowie durch eine dokumentierte Selbstauskunft erfolgen.
3. Vor-Ort-Kontrollen sind mit angemessener Vorlauffrist, während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs durchzuführen.

§ 11 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.
2. Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses Vertrages in datenschutzrechtlichen Fragen vor.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck möglichst nahekommt.
4. Es gilt das Recht der Bundesrepublik Deutschland.

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb in ISO-27001-zertifizierten Rechenzentren der eingesetzten Infrastruktur-Anbieter (AWS-Region eu-central-1, Frankfurt); kein eigener physischer Serverbetrieb.
• Zugangskontrolle: passwortlose Authentifizierung per Magic Link (keine Passwortspeicherung); Session-Cookies httpOnly und Secure.
• Zugriffskontrolle: rollen- und organisationsbezogene Zugriffsbeschränkung; Daten ausschließlich dem jeweiligen Team zugänglich; Trennung auf Datenbankebene.
• Trennungskontrolle: mandantenfähige Datenhaltung, logische Trennung der Daten je Organisation.
• Pseudonymisierung: Teilnehmenden-Antworten werden über einen zufälligen, gerätegebundenen Schlüssel ohne Verknüpfung zu einem Nutzungskonto gespeichert.

2. Integrität

• Weitergabekontrolle: Transportverschlüsselung (TLS) für alle Datenübertragungen; Verschlüsselung ruhender Daten auf Infrastrukturebene.
• Eingabekontrolle: nachvollziehbare Bearbeitung kollaborativer Dokumente; Protokollierung relevanter System- und Zugriffsereignisse.

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung durch die eingesetzten Infrastruktur-Dienstleister.
• Monitoring von Stabilität und Sicherheit; Fehler- und Ausfallerkennung.
• Redundante, skalierbare Cloud-Infrastruktur.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Datenminimierung, keine Werbe-Tracker, keine Nutzungsprofile zu Werbezwecken.
• Auftragskontrolle: vertragliche Bindung aller Unterauftragsverarbeiter; Prüfung der getroffenen Schutzmaßnahmen.
• Incident-Management-Prozess für den Umgang mit Sicherheitsvorfällen.