Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Geltung

1. Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und der Muuh AS, Sukkevannslia 4, 4638 Kristiansand, Norway, als Auftragsverarbeiter («wir»).
2. Er ist Teil der AGB und wird mit ihnen geschlossen, wenn der Kunde beim Kauf die AGB und diesen Vertrag annimmt.
3. Er gilt, solange wir für den Kunden Daten im Auftrag verarbeiten. Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

2. Gegenstand, Art und Zweck

1. Wir prüfen Websites, die der Kunde angibt, automatisch auf Barrierefreiheit, speichern die Ergebnisse und stellen sie als Bericht, PDF, geführte manuelle Prüfung und Entwurf einer Erklärung zur Barrierefreiheit bereit.
2. Dabei lesen wir öffentlich erreichbare Seiten. Personenbezogene Daten verarbeiten wir nur, soweit sie auf diesen Seiten stehen oder der Kunde sie in Luentis einträgt. Wir werten sie nicht über einzelne Personen aus.
3. Die Daten für Konto, Kauf und Abrechnung verarbeiten wir als eigener Verantwortlicher. Dafür gilt unsere Datenschutzerklärung, nicht dieser Vertrag.

3. Daten und betroffene Personen

Besondere Kategorien nach Art. 9 DSGVO verarbeiten wir nicht gezielt. Sie können nur vorkommen, wenn sie auf den geprüften Seiten öffentlich stehen.

4. Weisungen

1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen von Luentis durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform an [email protected].
2. Verlangt das Recht der EU oder eines Mitgliedstaats eine andere Verarbeitung, teilen wir dem Kunden das vorher mit, soweit das Recht es erlaubt.
3. Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden unverzüglich. Wir dürfen die Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit

Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugang bekommen nur Personen, die ihn für den Betrieb von Luentis brauchen.

6. Sicherheit der Verarbeitung

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören:

1. Ort: Speicherung und Verarbeitung in Rechenzentren in der EU, in Frankfurt am Main.
2. Verschlüsselung: Übertragung nur über TLS. Passwörter werden nur als Hash gespeichert.
3. Zugang: Anmeldung mit Passwort, auf Wunsch mit zweitem Faktor. Daten sind dem Team des Kunden zugeordnet, und Mitglieder anderer Teams können sie nicht sehen. Geteilte Berichte sind nur über einen nicht erratbaren Link erreichbar, den der Kunde jederzeit zurückziehen kann.
4. Trennung: Der Scanner läuft getrennt von der App. Aufträge an den Scanner und seine Antworten sind signiert. Der Scanner ruft keine internen oder privaten Netzadressen auf, auch nicht nach Weiterleitungen.
5. Verfügbarkeit: regelmäßige Sicherungen der Datenbank beim Hosting-Anbieter.
6. Überprüfung: Wir prüfen die Maßnahmen regelmäßig und passen sie dem Stand der Technik an. Sie dürfen nur so geändert werden, dass das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

1. Der Kunde stimmt zu, dass wir diese Unterauftragsverarbeiter einsetzen:

2. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die diesem Vertrag entsprechen.
3. Neue oder andere Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden wir keine Lösung, kann der Kunde den betroffenen Vertrag kündigen und erhält bereits gezahlte Beträge für nicht erbrachte Leistungen zurück.

8. Übermittlung in Drittländer

Wir verarbeiten die Daten in der EU und im EWR. Einige Unterauftragsverarbeiter haben ihren Sitz in den USA. Soweit Daten dorthin gelangen können, stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und sonst auf die Standardvertragsklauseln der EU-Kommission.

9. Unterstützung des Kunden

1. Wir unterstützen den Kunden mit geeigneten Maßnahmen, Anfragen betroffener Personen zu beantworten. Richtet sich eine betroffene Person an uns, leiten wir die Anfrage an den Kunden weiter.
2. Wir unterstützen den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO, soweit es um unsere Verarbeitung geht.

10. Verletzungen des Schutzes

Wir melden dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem wir davon erfahren haben. Die Meldung enthält, soweit bekannt, was passiert ist, welche Daten und Personen betroffen sind, die wahrscheinlichen Folgen und unsere Gegenmaßnahmen.

11. Löschung und Rückgabe

1. Der Kunde kann Berichte während der Laufzeit jederzeit als PDF herunterladen. Die Löschung einzelner Scans oder Websites kann er per E-Mail an [email protected] verlangen.
2. Schließt der Kunde sein Konto oder verlangt er die Löschung, löschen wir die Daten aus diesem Vertrag innerhalb von 30 Tagen. Sicherungen werden im üblichen Zyklus überschrieben, spätestens nach weiteren 30 Tagen.
3. Das gilt nicht, soweit wir nach dem Recht der EU oder eines Mitgliedstaats zur Aufbewahrung verpflichtet sind.

12. Nachweise und Kontrollen

1. Wir stellen dem Kunden auf Anfrage die Informationen bereit, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen.
2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung kontrollieren, mit einer Ankündigung von mindestens 30 Tagen, während der üblichen Geschäftszeiten und höchstens einmal im Jahr, es sei denn, es gab eine Verletzung des Schutzes. Die Kosten der Kontrolle trägt der Kunde.
3. Bei Unterauftragsverarbeitern genügen deren aktuelle Prüfberichte und Zertifikate, etwa nach ISO 27001 oder SOC 2.

13. Haftung und Schlussbestimmungen

1. Für die Haftung gelten die AGB. Art. 82 DSGVO bleibt unberührt.
2. Es gilt norwegisches Recht, soweit die DSGVO nichts anderes bestimmt. Gerichtsstand ist Kristiansand.
3. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.