Auftragsverarbeitungsvertrag (AVV) für die Warenwirtschaft

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer betreibt für den Auftraggeber die Warenwirtschaft von Greenfield und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Grundlage ist der Nutzungsvertrag nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag).

(2) Dieser Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, bis alle Daten des Auftraggebers zurückgegeben oder gelöscht sind.

§ 2 Art, Zweck, Daten und Betroffene

(1) Art und Zweck: Speichern, Anzeigen, Auswerten, Exportieren, Sichern und Löschen der Daten, die der Auftraggeber in der Software erfasst, um Bestand, Einkauf, Verkauf, Rechnungen, Buchhaltungsexporte und Pflanzenschutzaufzeichnungen zu führen; Versenden von Belegen per E-Mail auf Knopfdruck über das vom Auftraggeber hinterlegte Postfach seines eigenen E-Mail-Anbieters (die Zugangsdaten werden verschlüsselt gespeichert, Inhalte und Anhänge nicht); Umwandeln von Spracheingaben in Text auf Knopfdruck; Prüfen von USt-IdNr. auf Knopfdruck; Support auf Anfrage.

• Kunden, Lieferanten und ihre Ansprechpartner: Name, Anschrift, Land, Telefon, E-Mail, USt-IdNr., Kundennummer, Konditionen, Aufträge, Belege, Zahlungsstand
• Beschäftigte des Auftraggebers: Name, E-Mail, Rolle, Sprache, Anmeldungen, Bearbeiter von Buchungen, Anwender von Pflanzenschutzmitteln
• Anfragende über den Verfügbarkeits-Link: Kontaktangabe und Nachricht
• Inhalte, die der Auftraggeber hochlädt: Fotos von Partien, Logo, übernommene Excel- und CSV-Dateien
• Sprachaufnahmen während der Spracheingabe (werden nicht in der Software gespeichert)

(2) Betroffene sind Kunden, Lieferanten, deren Ansprechpartner, Beschäftigte des Auftraggebers und Personen, die über den Verfügbarkeits-Link anfragen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen und Aktionen, die der Auftraggeber in der Software vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin.

(3) Ist der Auftragnehmer gesetzlich zu einer Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz es nicht verbietet.

§ 4 Pflichten des Auftragnehmers

(1) Personen, die Daten des Auftraggebers verarbeiten, sind zur Vertraulichkeit verpflichtet. Zugriff auf Daten eines Betriebs erhält beim Auftragnehmer nur, wer ihn für Betrieb, Wartung oder Support braucht; Support im Betrieb des Auftraggebers erfolgt auf dessen Anfrage und ist in der Software gekennzeichnet.

(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und hält sie auf dem Stand der Technik. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

(3) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Art. 12–23 DSGVO) und bei den Pflichten nach Art. 32–36 DSGVO. Anfragen Betroffener, die beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter.

(4) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau.

(2) Über geplante Änderungen informiert der Auftragnehmer mindestens vier Wochen im Voraus in Textform oder in der Software. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kann der Auftragnehmer den Unterauftragsverarbeiter nicht ersetzen, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Übermittlungen in Länder außerhalb des EWR erfolgen nur mit geeigneten Garantien nach Art. 44 ff. DSGVO, insbesondere einem Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder Standardvertragsklauseln der EU-Kommission.

§ 6 Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach, etwa diese Beschreibung der Maßnahmen, Zertifikate und Berichte der Unterauftragsverarbeiter. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist während der Geschäftszeiten möglich, soweit Unterlagen nicht ausreichen.

§ 7 Rückgabe und Löschung

Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber auf Anfrage einen vollständigen Export seiner Daten bereit und löscht die Daten drei Monate nach Vertragsende, einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden mit Ablauf ihrer Aufbewahrungsfrist überschrieben.

§ 8 Haftung und Schlussbestimmungen

(1) Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(2) Bei Widersprüchen geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter