Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag nach Art. 28 DSGVO gilt, wenn JASP Oldenburg & Henning PartG mbB, Dresdner Landstr. 11, 01744 Dippoldiswalde („JASP“, Auftragsverarbeiter) bei einer App personenbezogene Daten im Auftrag eures Unternehmens („Kunde“, Verantwortlicher) verarbeitet. Er wird Teil des Vertrags über die App (siehe AGB, Abschnitt 9). Bei kostenpflichtigen Plänen ist er der Vertrag, den JASP nach Abschnitt 9 Absatz 2 der AGB zur Verfügung stellt; der Kunde schließt ihn mit der Bestellung des Plans ab. Wer zusätzlich eine unterschriebene Fassung braucht, schreibt an info@jasp.eu. Maßgeblich ist der deutsche Text; die englische Fassung ist eine Übersetzung.

1. Gegenstand und Dauer

(1) JASP stellt dem Kunden eine oder mehrere der Apps Raumbuchung, JASP Events, Virtuelles Büro, Kalender, Tippspiel oder Widget Builder bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden.

(2) Der AVV gilt, solange der Vertrag über die App besteht, und danach, bis JASP alle Daten nach Abschnitt 9 gelöscht hat.

2. Art, Zweck, Daten und Betroffene

(1) Art und Zweck: Speichern, Anzeigen, Übermitteln und Löschen von Daten, damit der Kunde die App nutzen kann (zum Beispiel Räume buchen, Veranstaltungen verwalten, im virtuellen Büro anwesend sein, Termine teilen, Tipps abgeben).

(2) Datenarten: Name, E-Mail-Adresse und Anzeigename; Rolle und Anmeldekennung (Subject) aus dem Anmeldeweg des Kunden; Buchungen, Anmeldungen und Antworten in Formularen; Kalendereinträge; Anwesenheit und Position im virtuellen Büro; Tipps im Tippspiel; Nutzungs- und Protokolldaten (IP-Adresse, Zeitpunkt). Je nach App fallen nur einige dieser Daten an.

(3) Betroffene: Beschäftigte, Gäste und Teilnehmende des Kunden sowie Personen, die der Kunde in der App einlädt.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Kunde trägt sie nicht in Freitextfelder ein.

(5) Verarbeitet JASP Daten zu eigenen Zwecken (Betrieb und Sicherheit der Plattform, Abrechnung, Konto- und Kontaktdaten der Administratoren), ist JASP dafür selbst Verantwortlicher; dafür gilt die Datenschutzerklärung.

3. Weisungen

(1) JASP verarbeitet die Daten nur nach dokumentierter Weisung des Kunden. Der Vertrag über die App und dieser AVV sind die Weisung; Einstellungen in der App sind weitere Weisungen. Ohne Weisung verarbeitet JASP Daten nur, wenn das Recht der Union oder eines Mitgliedstaats es verlangt; JASP teilt dem Kunden das vorher mit, sofern dieses Recht es nicht verbietet. Daten gehen nur in Drittländer, soweit es die Liste der Unterauftragsverarbeiter vorsieht und Abschnitt 6 Absatz 4 erfüllt ist.

(2) Hält JASP eine Weisung für rechtswidrig, weist JASP den Kunden darauf hin und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

4. Vertraulichkeit

JASP verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus. Sie verarbeiten die Daten nur auf Weisung von JASP, die sich auf die Weisungen des Kunden stützt.

5. Sicherheit der Verarbeitung

JASP trifft die technischen und organisatorischen Maßnahmen in der Anlage („Anlage 1“) und passt sie dem Stand der Technik an. Das Schutzniveau sinkt dabei nicht.

6. Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der Dienstleister in der Liste der Unterauftragsverarbeiter zu und erteilt JASP eine allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO für weitere Dienstleister nach Absatz 2.

(2) JASP kündigt eine Änderung (neuer oder ersetzter Dienstleister) mindestens 30 Tage vorher in Textform an. Der Kunde kann aus einem wichtigen datenschutzrechtlichen Grund in dieser Frist widersprechen. Ein neuer Dienstleister wird frühestens nach Ablauf der Frist eingesetzt. Bleibt ein Widerspruch ungelöst, können beide Seiten die betroffene App abweichend von Abschnitt 6 Absatz 2 und 6 der AGB ohne Frist zum Ende der laufenden Abrechnungsperiode kündigen; Abschnitt 6 Absatz 8 der AGB bleibt unberührt.

(3) JASP verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem AVV, insbesondere Weisungsbindung, Vertraulichkeit, Sicherheit nach Art. 32 DSGVO und Unterstützung, und haftet dem Kunden für dessen Pflichten.

(4) Übermittlungen in Drittländer erfolgen nur mit Garantien nach Kapitel V DSGVO (Angemessenheitsbeschluss oder Standardvertragsklauseln). Einzelheiten stehen in der Liste der Unterauftragsverarbeiter.

7. Rechte der Betroffenen

JASP unterstützt den Kunden mit technischen und organisatorischen Mitteln, damit er Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit beantworten kann. Wendet sich eine betroffene Person direkt an JASP, leitet JASP die Anfrage an den Kunden weiter, ohne selbst zu antworten. Wo eine App keine eigene Funktion für Auskunft, Export oder Löschung hat, führt JASP die Anfrage auf Weisung des Kunden aus.

8. Unterstützung und Meldung von Datenschutzverletzungen

(1) JASP meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem JASP sie bemerkt hat, mit den Angaben, die JASP zu dem Zeitpunkt hat.

(2) JASP unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit dies für die App erforderlich ist.

9. Löschung und Rückgabe

Nach Ende des Vertrags über die App löscht JASP nach Wahl des Kunden alle personenbezogenen Daten einschließlich vorhandener Kopien oder gibt sie zurück, es sei denn, das Recht der Union oder eines Mitgliedstaats verlangt ihre Speicherung. Der Kunde teilt seine Wahl binnen 30 Tagen nach Vertragsende mit; ohne Mitteilung löscht JASP. Daten in Sicherungen werden nicht einzeln gelöscht; sie verschwinden, wenn die Sicherung nach ihrer Aufbewahrungszeit überschrieben wird, spätestens nach zwölf Monaten (siehe Anlage 1).

Während der Vertrag läuft, bleiben die Daten gespeichert, bis der Kunde sie in der App löscht oder JASP dazu anweist. Manche Apps löschen zusätzlich automatisch: Bei JASP Events kann der Kunde je Mandant eine Aufbewahrungsfrist einstellen; der Widget Builder löscht Nutzungs- und Auditdaten nach 30 bis 180 Tagen; das Mail-Protokoll wird nach 30 Tagen gelöscht.

10. Nachweise und Kontrollen

JASP stellt dem Kunden auf Anfrage die Informationen bereit, die er braucht, um die Einhaltung dieses AVV zu prüfen, und ermöglicht Prüfungen, auch durch einen vom Kunden beauftragten Prüfer. Termin und Umfang einer Prüfung vor Ort stimmen beide Seiten vorher ab; sie findet zu den üblichen Geschäftszeiten statt und darf den Betrieb nicht stören.

11. Haftung und Schlussbestimmungen

Der Kunde ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) und prüft selbst, ob die Verarbeitung rechtmäßig ist. Es gelten die Haftungsregeln des Vertrags über die App und Art. 82 DSGVO. Widersprechen sich dieser AVV und der Vertrag über die App, geht dieser AVV vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Diese Maßnahmen gelten für die Plattform, auf der die Apps laufen. JASP passt sie nach Abschnitt 5 an.

Hosting: Server von netcup in Nürnberg. Aus dem Internet ist außer dem verschlüsselten Fernzugang für die Administration (SSH) kein Port offen; alle Zugriffe auf die Apps laufen ausschließlich über einen Cloudflare-Tunnel.
Trennung der Kunden: Jede Organisation ist ein eigener Mandant. Die Trennung erfolgt in der Anwendung.
Administrationszugang: Werkzeuge für den Betrieb (Überwachung, Logs) sind nur nach Anmeldung über Cloudflare Access mit JASP-Konto erreichbar.
Verschlüsselung bei der Übertragung: Aufrufe aus dem Internet laufen nur über HTTPS; die Verbindung von Cloudflare zu den Servern läuft durch den verschlüsselten Tunnel.
Sicherung: stündlicher Datenbank-Dump auf dem Server (48 Stände), zusätzlich tägliche und monatliche Sicherung auf einem von JASP betriebenen Sicherungssystem außerhalb des Rechenzentrums (30 tägliche, 12 monatliche Stände); die Wiederherstellung der Datenbanken ist beschrieben und wurde getestet.
Protokolle: Container-Logs 14 Tage; Mail-Protokoll der Apps 30 Tage, Anmeldecodes darin unkenntlich gemacht; Fehlerprotokolle ohne Standard-Personendaten, mit Entfernung von Pfaden, Suchparametern und freien Zusatzfeldern.
Anmeldung: über den Anmeldeweg des Kunden (Staffbase, Microsoft Entra, Google oder E-Mail-Code, je nach App).
Trennung von Test und Produktion: getrennte Server für Stage und Produktion.