Auftragsverarbeitung (AVV)

Diese Vereinbarung zur Auftragsverarbeitung (AVV) wird zwischen der Craftbase GmbH als dem im Impressum bezeichneten Anbieter und dem im Hauptvertrag bezeichneten Kunden geschlossen. Sie ergänzt den Hauptvertrag über die Nutzung von Craftbase.

Die AVV wird im Account oder zusammen mit einem individuellen Angebot elektronisch geschlossen. Craftbase dokumentiert die angenommene AVV-Fassung sowie Zeitpunkt, Unternehmen und handelnde Person; die angenommene Fassung bleibt für die Parteien abrufbar.

Die AVV gilt, soweit Craftbase personenbezogene Daten im Auftrag des Kunden verarbeitet. Sie erfasst entgeltliche Tarife, Testphasen und unentgeltliche Accounts ab dem Zeitpunkt, zu dem Craftbase erstmals personenbezogene Kundendaten im Auftrag verarbeitet.

Der Kunde handelt regelmäßig als Verantwortlicher. Verarbeitet der Kunde personenbezogene Daten seinerseits im Auftrag eines Dritten, handelt Craftbase im Anwendungsbereich dieser AVV als weiterer Auftragsverarbeiter; der Kunde gewährleistet, dass er Craftbase wirksam beauftragen und die erforderlichen Weisungen erteilen darf.

Für Verarbeitungen, bei denen Craftbase eigene Zwecke und Mittel festlegt, insbesondere die eigene Vertragsverwaltung, Abrechnung und gesetzlich erforderliche Sicherheits- oder Nachweisverarbeitung, handelt Craftbase nicht als Auftragsverarbeiter. Diese Verarbeitungen werden in der Datenschutzerklärung beschrieben.

Die Anlagen 1 bis 3 sind Bestandteil dieser AVV. Für die Auftragsverarbeitung geht diese AVV den AGB und der allgemeinen Leistungsbeschreibung vor; individuell ausgehandelte Datenschutzvereinbarungen bleiben vorrangig.

Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Absicherung, Wartung, Unterstützung und vertragsgemäße Weiterentwicklung der cloudbasierten Craftbase-Anwendung einschließlich der vom Kunden gebuchten oder aktivierten Funktionen.

Die Auftragsverarbeitung beginnt mit der erstmaligen Verarbeitung personenbezogener Kundendaten und besteht für die Dauer des Hauptvertrags einschließlich der vereinbarten Rückgabe-, Export- und Löschabwicklung.

Nach Ende des Hauptvertrags verarbeitet Craftbase noch vorhandene Kundendaten nur, soweit dies für den vereinbarten Export, die Löschung, die Sicherheit von Sicherungskopien, eine dokumentierte Weisung oder eine unmittelbar für Craftbase geltende gesetzliche Pflicht erforderlich ist.

Pflichten, die ihrem Zweck nach über das Vertragsende hinauswirken, insbesondere Vertraulichkeit, Schutz vorhandener Sicherungskopien, Rückgabe, Löschung und Nachweisführung, bleiben im erforderlichen Umfang bestehen.

Die Verarbeitung kann insbesondere das Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Übermitteln, Bereitstellen, Abgleichen, Verknüpfen, Einschränken, Sichern, Wiederherstellen, Exportieren und Löschen personenbezogener Daten umfassen.

Art und Zweck ergeben sich aus dem Hauptvertrag, der Leistungsbeschreibung, den gebuchten Funktionen, den administrativen Einstellungen und der bestimmungsgemäßen Nutzung durch den Kunden. Die Einzelheiten enthält Anlage 1.

Produktive KI-Funktionen verarbeiten Kundendaten nur durch aktive Nutzung oder Konfiguration durch einen berechtigten Nutzer. Beta- und Vorschaufunktionen setzen eine freiwillige Aktivierung voraus.

Craftbase verwendet Kundendaten nicht für eigene Werbung, Datenhandel oder zum Training eigener allgemein verfügbarer oder fremder Modelle. Ein KI-Dienstleister darf Kundendaten nur verarbeiten, wenn er nach dieser AVV wirksam einbezogen und in der aktuellen Unterauftragsverarbeiterliste genannt ist.

Craftbase verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats Craftbase unmittelbar zu einer Verarbeitung verpflichtet.

Dokumentierte Weisungen ergeben sich aus Hauptvertrag, AVV, Leistungsbeschreibung, bestimmungsgemäßer Bedienung der Anwendung, administrativen Einstellungen sowie Mitteilungen über den Account, das Supportsystem oder in Textform.

Der Kunde benennt weisungsberechtigte Personen oder stellt deren Berechtigung über die Account- und Rollenverwaltung sicher. Craftbase darf die Berechtigung bei Zweifeln in angemessener Weise prüfen.

Ist Craftbase gesetzlich zu einer nicht angewiesenen Verarbeitung verpflichtet, informiert Craftbase den Kunden vorab über die betreffende Pflicht, soweit das anwendbare Recht diese Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Hält Craftbase eine Weisung für datenschutzrechtswidrig, wird der Kunde ohne unangemessene Verzögerung informiert. Craftbase darf die betroffene Ausführung bis zur Klärung aussetzen, soweit keine unmittelbar erforderliche gesetzliche oder sicherheitsbedingte Maßnahme entgegensteht.

Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Rechte betroffener Personen und die Zulässigkeit seiner Weisungen verantwortlich. Er bestimmt innerhalb des vereinbarten Leistungsumfangs Zwecke und Mittel der Verarbeitung.

Der Kunde erfüllt insbesondere Informationspflichten, schafft erforderliche Rechtsgrundlagen und prüft die Voraussetzungen für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO.

Der Kunde verwaltet Nutzer, Rollen und Berechtigungen nach dem Erforderlichkeitsprinzip, schützt Zugangsdaten und informiert Craftbase ohne unangemessene Verzögerung über vermuteten Missbrauch oder kompromittierte Accounts.

Der Kunde stellt Craftbase die Informationen und Mitwirkung zur Verfügung, die zur vertragsgemäßen Verarbeitung, Bearbeitung von Anfragen, Eindämmung von Vorfällen und Erfüllung gesetzlicher Pflichten erforderlich sind.

Der Kunde kann im Rahmen dieser AVV Weisungen erteilen, Nachweise verlangen, Betroffenenanfragen veranlassen und die vereinbarten Kontrollrechte ausüben. Gesetzliche Rechte bleiben unberührt.

Craftbase verarbeitet Kundendaten nach dieser AVV, den dokumentierten Weisungen und dem anwendbaren Datenschutzrecht und gewährleistet, dass die mit der Verarbeitung betrauten Personen nur im zulässigen Umfang handeln.

Craftbase führt die für Auftragsverarbeiter erforderlichen Verzeichnisse von Verarbeitungstätigkeiten und stellt der zuständigen Aufsichtsbehörde die gesetzlich geschuldeten Informationen zur Verfügung.

Craftbase unterstützt den Kunden nach Maßgabe der Ziffern 11 bis 13 und informiert ihn über Umstände im eigenen Verantwortungsbereich, die dessen datenschutzrechtliche Pflichten wesentlich berühren.

Kopien und Vervielfältigungen von Kundendaten werden nur erstellt, soweit sie für Betrieb, Sicherheit, Wiederherstellung, Support oder die Erfüllung einer dokumentierten Weisung erforderlich sind.

Datenschutzbezogene Mitteilungen an Craftbase können an support@craftbase.de gerichtet werden. Ein Datenschutzbeauftragter wird in den Vertragsinformationen nur benannt, wenn eine entsprechende Bestellung und Zuständigkeit bestätigt sind.

Craftbase verpflichtet alle Personen mit möglichem Zugriff auf Kundendaten vor dem Zugriff auf Vertraulichkeit oder stellt sicher, dass sie einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt nach Ende ihrer Tätigkeit fort.

Zugriffe werden auf autorisierte Personen, erforderliche Aufgaben und den jeweils notwendigen Umfang begrenzt. Berechtigungen werden personenbezogen und rollenbezogen vergeben und bei Wegfall des Bedarfs entzogen.

Support- und Administrationszugriffe auf Kundeninhalte erfolgen nur anlassbezogen für Support, Wartung oder Sicherheit, werden sachlich und zeitlich begrenzt und soweit technisch vorgesehen nachvollziehbar protokolliert.

Muss Craftbase Kundendaten aufgrund einer vollziehbaren behördlichen oder gerichtlichen Anordnung offenlegen, wird der Kunde vorab informiert, soweit dies rechtlich zulässig ist, und die Offenlegung auf das rechtlich Erforderliche beschränkt.

Craftbase trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Die für diesen Vertrag geltenden Kontrollbereiche und Maßnahmen sind in Anlage 2 beschrieben. Sicherheitskritische Betriebsdetails und Nachweise können zum Schutz der Systeme nur berechtigten Kunden, Prüfern und Behörden vertraulich bereitgestellt werden.

Craftbase darf Maßnahmen an die technische Entwicklung und veränderte Risiken anpassen, sofern das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche schutzmindernde Änderungen bedürfen einer gesonderten rechtlichen Grundlage.

Craftbase unterhält Verfahren, um die Wirksamkeit der Maßnahmen risikoorientiert zu überprüfen und festgestellte wesentliche Schwächen angemessen zu behandeln. Konkrete Prüfintervalle gelten nur, wenn sie ausdrücklich dokumentiert sind.

Die Sicherheitsbeiträge des Kunden, insbesondere sichere Endgeräte, angemessene Rollenvergabe und Schutz der Zugangsdaten, ergänzen die Maßnahmen von Craftbase, verlagern aber keine gesetzlichen Pflichten von Craftbase auf den Kunden.

Der Kunde erteilt Craftbase eine allgemeine schriftliche Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter für die dort beschriebenen Leistungen einzusetzen.

Craftbase veröffentlicht die aktuelle Unterauftragsverarbeiterliste als Bestandteil dieser AVV und hält frühere operative Listenstände nachvollziehbar vor.

Craftbase informiert den administrativen Kundenkontakt grundsätzlich mindestens 30 Kalendertage vor dem beabsichtigten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters per E-Mail und aktualisiert die öffentliche Liste.

Der Kunde kann innerhalb der Ankündigungsfrist aus konkreten, nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Ein Widerspruch gegen beliebige Änderungen ohne Bezug zum Schutz personenbezogener Daten ist nicht ausreichend.

Die Parteien prüfen zunächst eine zumutbare Alternative oder Konfiguration. Ist keine angemessene Lösung verfügbar, kann jede Partei den von der Änderung betroffenen Dienst mit angemessener Frist beenden; weitergehende Rechte aus Hauptvertrag und zwingendem Recht bleiben unberührt.

Erfordert ein Sicherheits- oder Notfall einen kurzfristigeren Wechsel, darf Craftbase die Frist auf das erforderliche Maß verkürzen und informiert den Kunden mit Begründung so früh wie möglich.

Craftbase verpflichtet jeden Unterauftragsverarbeiter mindestens zu gleichwertigen Datenschutzpflichten und bleibt dem Kunden für dessen vertragsgemäße Leistung nach Art. 28 Abs. 4 DSGVO verantwortlich.

Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation erfolgen nur auf dokumentierte Weisung des Kunden oder aufgrund einer unmittelbar für Craftbase geltenden gesetzlichen Pflicht und unter Einhaltung von Kapitel V DSGVO.

Als Übermittlung gilt auch ein rechtlich relevanter Fernzugriff aus einem Drittland. Die aktuelle Anlage 3 beschreibt die bekannten Verarbeitungsorte und die für den jeweiligen Dienst herangezogenen Schutzmechanismen.

Soweit erforderlich, verwendet Craftbase insbesondere einen Angemessenheitsbeschluss oder geeignete Garantien wie die jeweils anwendbaren EU-Standardvertragsklauseln und berücksichtigt notwendige Transferprüfungen und ergänzende Maßnahmen.

Eine für regional konfigurierbare Kerndaten gewählte Region in Deutschland begründet keine pauschale Zusage, dass sämtliche Daten, Metadaten, Supportvorgänge oder Unterauftragsverarbeitungen ausschließlich in Deutschland stattfinden.

Craftbase unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch vorhandene Such-, Auskunfts-, Export-, Berichtigungs-, Einschränkungs- und Löschmöglichkeiten sowie durch angemessene ergänzende Hilfe bei Betroffenenanfragen.

Der Kunde prüft Identität, Rechtsgrundlage, Reichweite und Ausnahmen einer Betroffenenanfrage und bleibt für deren fristgerechte Beantwortung verantwortlich.

Geht eine erkennbar auf Kundendaten bezogene Anfrage unmittelbar bei Craftbase ein, leitet Craftbase sie ohne eigene Sachentscheidung und ohne unangemessene Verzögerung sicher an den zuständigen Kundenkontakt weiter, soweit keine gesetzliche Pflicht zur unmittelbaren Bearbeitung besteht.

Soweit der Kunde die zur Bearbeitung erforderlichen Daten nicht selbst über die Anwendung abrufen kann, stellt er Craftbase eine hinreichend bestimmte dokumentierte Weisung und die zur Identifizierung erforderlichen Informationen bereit.

Craftbase meldet dem Kunden eine Verletzung des Schutzes personenbezogener Kundendaten im eigenen Verantwortungsbereich ohne unangemessene Verzögerung nach Bekanntwerden.

Die Erstmeldung enthält, soweit verfügbar, eine Beschreibung des Vorfalls, betroffene Daten und Personengruppen, mögliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und einen Ansprechpartner. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

Craftbase trifft angemessene Maßnahmen zur Eindämmung, Untersuchung, Beweissicherung und Vermeidung vergleichbarer Vorfälle und unterstützt den Kunden mit den verfügbaren Informationen bei dessen Risikobewertung.

Der Kunde entscheidet grundsätzlich über Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen. Craftbase kommuniziert zu Kundendaten nur auf dokumentierte Weisung oder aufgrund einer eigenen zwingenden gesetzlichen Pflicht.

Craftbase unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei dessen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit, Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

Übliche Unterstützung durch Produktfunktionen, Dokumentation und Standardauskünfte ist mit dem SaaS-Entgelt abgegolten. Außergewöhnlicher kundenspezifischer Aufwand kann nach vorheriger Information und Abstimmung berechnet werden; gesetzlich geschuldete Basishilfe bleibt unberührt.

Craftbase stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, und wirkt an gesetzlich erforderlichen Prüfungen mit.

Nachweise werden vorrangig durch diese AVV, die TOM-Dokumentation, die Unterauftragsverarbeiterliste, standardisierte Auskünfte und vorhandene geeignete Prüfberichte erbracht.

Reichen diese Nachweise für berechtigte Fragen nicht aus, kann der Kunde selbst oder durch einen unabhängigen fachkundigen Prüfer ergänzende Prüfungen durchführen. Sie sind angemessen anzukündigen, auf den erforderlichen Umfang zu begrenzen und grundsätzlich während üblicher Geschäftszeiten durchzuführen.

Ohne konkreten Anlass ist grundsätzlich eine Kundenprüfung pro Kalenderjahr vorgesehen. Zusätzliche Prüfungen bleiben bei einem erheblichen Vorfall, begründetem Verdacht, wesentlicher Änderung oder behördlicher Anordnung möglich.

Prüfer sind auf Vertraulichkeit zu verpflichten. Daten anderer Kunden, Geschäftsgeheimnisse, Quellcode und sicherheitskritische Informationen werden nur offengelegt, soweit dies gesetzlich erforderlich ist und kein gleichwertiger Nachweis genügt.

Jede Partei trägt grundsätzlich ihre eigenen Prüfungskosten. Außergewöhnlichen Zusatzaufwand stimmt Craftbase vorab mit dem Kunden ab; bei einem nachgewiesenen wesentlichen Verstoß von Craftbase werden die erforderlichen Nachweiskosten nicht auf den Kunden verlagert.

Während der Vertragslaufzeit kann der Kunde die jeweils produktiv unterstützten Export- und Löschfunktionen nutzen. Kundenspezifische Formate oder zusätzliche Datenaufbereitung sind nur geschuldet, wenn sie gesondert vereinbart wurden.

Nach Ende eines entgeltlichen Hauptvertrags erhält der Kunde für 30 Kalendertage einen eingeschränkten Lese- und Exportzugriff. Der Kunde sichert innerhalb dieses Zeitraums die von ihm benötigten Daten und Dokumente.

Eine Rückgabe erfolgt grundsätzlich über die unterstützten Exporte. Abweichende dokumentierte Weisungen werden umgesetzt, soweit sie rechtlich zulässig, technisch möglich und vom vereinbarten Leistungsumfang umfasst sind.

Nach Ablauf des Exportzeitraums löscht oder anonymisiert Craftbase Kundendaten aus den Produktivsystemen nach dem dokumentierten Löschverfahren. Dies umfasst grundsätzlich auch vom Kunden ausgestellte Rechnungen und sonstige Dokumente, sofern keine gesonderte Aufbewahrung beauftragt ist oder eine unmittelbar für Craftbase geltende Pflicht entgegensteht.

Gesetzliche Aufbewahrungspflichten des Kunden begründen für sich allein keine eigene Aufbewahrungsbefugnis von Craftbase nach Vertragsende. Eine fortgesetzte Aufbewahrung im Auftrag erfordert eine dokumentierte Weisung und eine entsprechende vertragliche Grundlage.

In Sicherungskopien verbleibende Daten werden nur für Wiederherstellung und Sicherheit verarbeitet und nach den technisch festgelegten Sicherungszyklen überschrieben. Werden Sicherungen wiederhergestellt, gelten die Lösch- und Sperrvorgaben erneut.

Craftbase bestätigt dem Kunden auf Anfrage in angemessener Form den Abschluss des regulären Löschprozesses. Gesetzlich zulässige oder erforderliche Restverarbeitungen werden auf den jeweiligen Zweck beschränkt.

Die Haftung zwischen den Parteien richtet sich nach Art. 82 DSGVO, sonstigem zwingendem Recht und den rechtlich freigegebenen Haftungsregelungen des Hauptvertrags. Rechte betroffener Personen und Befugnisse der Aufsichtsbehörden werden durch diese AVV nicht beschränkt.

Bei einem wesentlichen behebbaren Verstoß gegen diese AVV kann die andere Partei zunächst Abhilfe innerhalb angemessener Frist verlangen. Bleibt der Verstoß bestehen oder ist ein Abwarten unzumutbar, kann der betroffene Dienst aus wichtigem Grund beendet werden.

Die Beendigung des Hauptvertrags beendet auch diese AVV, soweit nicht Vertraulichkeit, Rückgabe, Löschung, Schutz von Sicherungskopien und Nachweise ihrem Zweck nach fortgelten.

Materielle Änderungen dieser AVV werden aktiv zwischen den Parteien vereinbart. Redaktionelle Klarstellungen und ausschließlich schutzverstärkende Anpassungen können dokumentiert mitgeteilt werden, ohne laufende Rechte rückwirkend zu verändern.

Änderungen der TOMs sind ohne erneute Zustimmung zulässig, wenn das vereinbarte Schutzniveau insgesamt erhalten bleibt. Änderungen der Unterauftragsverarbeiterliste folgen ausschließlich dem Verfahren nach Ziffer 9.

Es gilt die im Hauptvertrag vereinbarte Rechtsordnung und, soweit wirksam vereinbart, dessen Gerichtsstand. Zwingende datenschutzrechtliche Zuständigkeiten bleiben unberührt.

Sollte eine Bestimmung dieser AVV unwirksam oder undurchführbar sein, bleiben die übrigen Bestimmungen wirksam. An die Stelle der betroffenen Regelung tritt das anwendbare Gesetz.

Die deutsche Fassung dieser AVV ist allein verbindlich. Die englische Fassung und andere Übersetzungen dienen ausschließlich der Information; bei Abweichungen geht die deutsche Fassung vor.

Diese Anlage konkretisiert Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Datenarten und Kategorien betroffener Personen. Maßgeblich sind nur die vom Kunden tatsächlich genutzten Funktionen.

Der Kunde darf besondere Kategorien personenbezogener Daten nur im vorgesehenen Umfang und bei Vorliegen der gesetzlichen Voraussetzungen verarbeiten. Craftbase erhält dadurch keine Befugnis, diese Daten für eigene Zwecke zu verwenden.

Ändert sich der gebuchte Funktionsumfang, gilt diese Anlage für die dadurch bestimmungsgemäß hinzukommenden Verarbeitungsvorgänge, soweit keine materielle Änderung der AVV erforderlich ist.

Die folgenden Kontrollbereiche beschreiben das vertraglich geschuldete Schutzniveau. Craftbase setzt die Maßnahmen risikoorientiert und entsprechend der jeweils eingesetzten technischen Architektur um.

Einzelne Maßnahmen können durch gleichwertige oder wirksamere Maßnahmen ersetzt werden. Das Schutzniveau darf dadurch insgesamt nicht unterschritten werden.

Weitergehende technische Nachweise, Konfigurationen und Prüfunterlagen werden berechtigten Empfängern vertraulich bereitgestellt, soweit dies zum Nachweis erforderlich und mit dem Schutz der Systeme vereinbar ist.

Diese Anlage führt die für die Auftragsverarbeitung bestätigten Unterauftragsverarbeiter auf. Ein Dienst darf Kundendaten im Auftrag erst verarbeiten, wenn seine Rolle, Leistung und erforderlichen Übermittlungsinformationen geprüft und dokumentiert sind.

Änderungen werden nach Ziffer 9 angekündigt und mit einem neuen datierten Listenstand veröffentlicht. Frühere operative Listenstände bleiben als Nachweis erhalten.

Die Angaben zu Regionen beziehen sich nur auf die jeweils regional konfigurierbaren Dienste. Abweichende Support-, Metadaten- oder weitere Unterauftragsverarbeitungen richten sich nach den dienstbezogenen Vertrags- und Übermittlungsinformationen.