Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Dieser AVV gilt, wenn er in ein Angebot, Order Form oder einen Hauptvertrag mit FalkHQ einbezogen wird. Er regelt die Verarbeitung personenbezogener Daten durch FalkHQ als Auftragsverarbeiter für den Kunden als Verantwortlichen.

Bei Widersprüchen gehen individuelle Vereinbarungen, Leistungsbeschreibung und zwingende Datenschutzvorschriften vor.

Parteien und Rollen

Kunde ist das im Hauptvertrag bezeichnete Unternehmen. Auftragsverarbeiter ist der im Impressum ausgewiesene Betreiber von FalkHQ.

Der AVV gilt für personenbezogene Daten, die der Kunde oder seine Nutzer in Next Readiness einbringen oder die bei der Nutzung der Anwendung im Auftrag des Kunden entstehen. Nicht erfasst sind Daten, die FalkHQ als eigener Verantwortlicher verarbeitet, etwa Abrechnung, Vertragsverwaltung, Sicherheit, Missbrauchsprävention, rechtliche Akzeptanz und eigene Kommunikation.

Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung von Next Readiness als B2B-SaaS für Trust-/Security-Evidence-Workflows, Fragebogenbearbeitung, SOP-/Prozessdokumentation, operative Übergabe-Readiness, Aufgaben, Risikoregister und exportierbare Arbeitsergebnisse.

Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und eine anschließende Lösch- oder Rückgabephase. Art und Zweck sind Speicherung, Strukturierung, Analyse, Bereitstellung, Export, Sicherung, Support und Wiederherstellung der vom Kunden eingebrachten Inhalte.

Datenarten und betroffene Personen

Verarbeitet werden können insbesondere Stammdaten, Kontaktdaten, berufliche Rollen, Berechtigungen, Kommunikationsdaten, technische Nutzungsdaten, Sicherheitsereignisse, Dokumente, Nachweise, Prozessbeschreibungen, Fragebogenantworten, Aufgaben, Kommentare und sonstige vom Kunden bereitgestellte Inhalte.

Betroffene Personen können insbesondere Nutzer des Kunden, Beschäftigte, Ansprechpartner, Berater, Käufer-/Nachfolgerkontakte sowie in Kundendokumenten genannte Personen sein.

Besondere Kategorien personenbezogener Daten sind nicht für die Standardnutzung vorgesehen und dürfen nur eingebracht werden, wenn der Kunde die Rechtmäßigkeit sicherstellt.

Weisungen

FalkHQ verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht zur abweichenden Verarbeitung besteht. Weisungen ergeben sich aus Hauptvertrag, Produktkonfiguration, Rollen- und Berechtigungseinstellungen, Supportanfragen und sonstigen dokumentierten Kundenanweisungen.

Hält FalkHQ eine Weisung für datenschutzwidrig, wird FalkHQ den Kunden hierauf hinweisen und die Ausführung bis zur Klärung aussetzen, soweit rechtlich zulässig.

Vertraulichkeit und Sicherheit

FalkHQ verpflichtet Personen mit Zugriff auf Kundendaten zur Vertraulichkeit. Zugriffe erfolgen nach dem Need-to-know-Prinzip und werden durch technische und organisatorische Maßnahmen begrenzt.

Die technischen und organisatorischen Maßnahmen ergeben sich aus der TOM-Anlage. FalkHQ darf Maßnahmen weiterentwickeln, solange das Sicherheitsniveau insgesamt nicht wesentlich unterschritten wird.

Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern für Hosting, Infrastruktur, Identität, E-Mail, Abrechnung, Analyse, Observability, Speicher, KI-Gateway, Alerting und Sicherheitsbetrieb.

FalkHQ bindet Unterauftragsverarbeiter vertraglich so ein, dass angemessene Datenschutzpflichten übernommen werden. FalkHQ informiert den Kunden mit angemessener Frist vor dem Einsatz neuer oder ersetzter Unterauftragsverarbeiter und ermöglicht Widerspruch aus wichtigem datenschutzrechtlichem Grund.

Datenschutzverletzungen und Unterstützung

FalkHQ informiert den Kunden unverzüglich, nachdem FalkHQ eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist. Die Mitteilung enthält, soweit verfügbar, Art der Verletzung, betroffene Datenkategorien, voraussichtliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und Ansprechpartner.

FalkHQ unterstützt den Kunden angemessen bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden und Nachweisen der Einhaltung, soweit dies die Auftragsverarbeitung betrifft und dem Kunden nicht selbst möglich ist.

Rückgabe und Löschung

Nach Ende der Leistung löscht oder gibt FalkHQ personenbezogene Kundendaten nach Wahl des Kunden zurück, soweit keine gesetzlichen Aufbewahrungspflichten, Sicherheitsinteressen oder berechtigte Nachweisinteressen entgegenstehen.

Backups werden nicht einzeln bearbeitet, sondern nach Ablauf der jeweiligen Backup-Retention überschrieben oder gelöscht, sofern keine Wiederherstellung aus Sicherheitsgründen erforderlich ist.

Nachweise und Audits

FalkHQ stellt dem Kunden angemessene Informationen zur Verfügung, die zur Prüfung der Einhaltung dieses AVV erforderlich sind. Audits müssen rechtzeitig angekündigt, verhältnismäßig, sicher und vertraulich durchgeführt werden.

Audits dürfen Betriebs- und Sicherheitsinteressen, Geheimnisse anderer Kunden, personenbezogene Daten Dritter und Providerverträge nicht unverhältnismäßig beeinträchtigen. Geeignete Nachweise können Audits vor Ort ersetzen.

Drittlandtransfers

Übermittlungen in Drittländer erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch Angemessenheitsbeschluss, EU-Standardvertragsklauseln und erforderliche zusätzliche Maßnahmen.