Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

1. Parteien und Gegenstand

Verantwortlicher ist der Kunde, der FokaOffice nutzt. Auftragsverarbeiter ist FOKALiS - AI Engineering & Media (Inhaber Matthias Weggel), Krippleinstraße 3, 95490 Mistelgau („FOKALiS“).

Gegenstand ist der Betrieb von FokaOffice für den Kunden. FOKALiS speichert und verarbeitet dabei die personenbezogenen Daten, die der Kunde in FokaOffice erfasst oder hochlädt, ausschließlich zur Bereitstellung der Software.

Der Vertrag gilt ab der Registrierung, auch während der Testphase, und solange FOKALiS Daten des Kunden verarbeitet – also für die Dauer des Nutzungsvertrags und darüber hinaus bis zur Rückgabe bzw. Löschung der Daten.

Daten, die FOKALiS zur Abwicklung des Vertrags mit dem Kunden selbst verarbeitet (Firmenstammdaten, Nutzerkonten, Rechnungs- und Zahlungsdaten), verarbeitet FOKALiS als Verantwortlicher; dafür gilt die Datenschutzerklärung.

2. Art der Daten und betroffene Personen

Datenarten: Namen, Anschriften und Kontaktdaten; Rechnungs-, Angebots- und Belegdaten; Bankverbindungen und Kontoumsätze; Buchungsdaten; Steuerdaten; Protokolle der Vorgänge, die Nutzer des Kunden in FokaOffice ausführen.

Betroffene: Kunden, Interessenten und Lieferanten des Kunden und deren Ansprechpartner; Beschäftigte und sonstige Nutzer des Kunden; sonstige Personen, die in Belegen und Kontoumsätzen vorkommen.

3. Weisungen

FOKALiS verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag und aus der Bedienung von FokaOffice durch den Kunden (z. B. Speichern, Versenden, Übermitteln an ELSTER, Exportieren, Löschen). Weitere Weisungen erteilt der Kunde in Textform.

Hält FOKALiS eine Weisung für rechtswidrig, weist sie den Kunden unverzüglich darauf hin.

Eine Verarbeitung außerhalb der EU bzw. des EWR findet nur auf Weisung des Kunden und nur bei den genannten Unterauftragsverarbeitern statt. Beim Versand von E-Mails über Google kann eine Übermittlung an Google LLC (USA) erfolgen; Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, hilfsweise die Standardvertragsklauseln der EU.

4. Vertraulichkeit und Sicherheit

Personen, die bei FOKALiS Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

FOKALiS trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: Betrieb auf einem Server in Deutschland; verschlüsselte Übertragung (TLS); strikte Trennung der Daten der Kunden in der Datenbank (jede Firma kann technisch nur ihre eigenen Daten sehen); Zugang zum Server nur per Schlüssel; Zwei-Faktor-Anmeldung für die Serververwaltung; nächtliche verschlüsselte Sicherungen mit Kopie an einem zweiten Ort bei FOKALiS; Protokoll wesentlicher Vorgänge.

5. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: ZAP-Hosting GmbH, Hafenweg 8, 48155 Münster (Server in Deutschland); Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Versand der E-Mails aus FokaOffice).

FOKALiS verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag gelten, und bleibt dem Kunden gegenüber für deren Erfüllung verantwortlich.

Über neue oder ersetzte Unterauftragsverarbeiter informiert FOKALiS vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann kann jede Seite den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

6. Unterstützung des Kunden

FOKALiS unterstützt den Kunden mit den Mitteln von FokaOffice (insbesondere Export und Löschen) und im Übrigen angemessen bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Aufsichtsbehörde.

Verletzungen des Schutzes personenbezogener Daten meldet FOKALiS dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

7. Ende des Vertrags

Nach dem Ende des Nutzungsvertrags löscht FOKALiS die Daten nach Wahl des Kunden oder gibt sie heraus (Export). Teilt der Kunde innerhalb von 90 Tagen nichts mit, werden die Daten gelöscht; auf Weisung des Kunden in Textform bleiben sie bis höchstens zwölf Monate nach Vertragsende erhalten. Enthält die Firma festgeschriebene Belege oder Buchungen, weist der Kunde FOKALiS an, die Firma statt der Löschung schreibgeschützt bis zum Ende des zehnten Kalenderjahres nach Vertragsende aufzubewahren und sie danach zu löschen (Ziffer 9 der AGB); der Kunde kann jederzeit in Textform die frühere Löschung verlangen. Während der Aufbewahrung gilt dieser Vertrag fort. Sicherungskopien werden spätestens 14 Monate nach ihrer Erstellung überschrieben; bis dahin sind gelöschte Daten nur in verschlüsselten Sicherungen enthalten und werden nur zur Wiederherstellung genutzt.

8. Nachweise und Kontrollen

FOKALiS stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs.

9. Sonstiges

Im Übrigen gelten die Allgemeinen Geschäftsbedingungen für FokaOffice. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.