Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software Solano Suite (Lizenzvertrag vom ___________), einer digitalen Arbeitsumgebung für den PV-Vertrieb.

Der AVV gilt für die Dauer des Lizenzvertrags. Nach Vertragsende gelten die Regelungen in § 10 (Löschung und Rückgabe).

Art der Verarbeitung: Speicherung, Abfrage, Änderung, Strukturierung und Löschung personenbezogener Daten über eine cloudbasierte SaaS-Anwendung.

Besondere Kategorien (Art. 9 DSGVO): Es werden keine besonderen Kategorien personenbezogener Daten verarbeitet.

Der Auftragsverarbeiter verpflichtet sich:

1. Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).
2. Sicherzustellen, dass zur Verarbeitung befugten Personen Vertraulichkeit zugesichert wurde oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (siehe § 8).
4. Den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt.
5. Den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO zu unterstützen.
6. Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung zu stellen und Überprüfungen zu ermöglichen.
7. Personenbezogene Daten nach Wahl des Verantwortlichen nach Beendigung der Verarbeitungsleistungen zu löschen oder zurückzugeben (§ 10).

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten verantwortlich und verpflichtet sich:

1. Dem Auftragsverarbeiter Weisungen zur Datenverarbeitung nur in dokumentierter Form zu erteilen.
2. Sicherzustellen, dass die Rechtsgrundlage für die Verarbeitung der Daten durch den Verantwortlichen gegeben ist.
3. Den Auftragsverarbeiter unverzüglich zu informieren, wenn Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten festgestellt werden.
4. Anfragen betroffener Personen zu koordinieren und den Auftragsverarbeiter bei der Beantwortung zu unterstützen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung folgender Pflichten gegenüber betroffenen Personen:

• Auskunft (Art. 15 DSGVO): Daten sind im System abrufbar und können dem Verantwortlichen bereitgestellt werden.
• Berichtigung (Art. 16 DSGVO): Daten können vom Verantwortlichen direkt im System korrigiert werden.
• Löschung (Art. 17 DSGVO): Der Auftragsverarbeiter stellt eine Funktion zur vollständigen Datenlöschung (Hard-Delete) bereit.
• Einschränkung (Art. 18 DSGVO): Auf Weisung des Verantwortlichen möglich.
• Datenübertragbarkeit (Art. 20 DSGVO): Daten können auf Anfrage in maschinenlesbarem Format (JSON/CSV) bereitgestellt werden.

Der Verantwortliche ist für die Beantwortung von Anfragen betroffener Personen verantwortlich. Der Auftragsverarbeiter unterstützt dabei technisch innerhalb angemessener Fristen.

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, um die Meldefrist des Verantwortlichen gegenüber der Aufsichtsbehörde (72 Stunden, Art. 33 DSGVO) einhalten zu können.

Die Meldung erfolgt per E-Mail an die vom Verantwortlichen benannte Kontaktperson. Die Meldung enthält soweit bekannt: Art der Verletzung, betroffene Datenkategorien und -mengen, wahrscheinliche Folgen sowie ergriffene Maßnahmen.

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein, denen der Verantwortliche hiermit zustimmt:

Bei Änderungen der Unterauftragsverarbeiter wird der Verantwortliche mindestens 30 Tage im Voraus schriftlich informiert und hat das Recht, Änderungen zu widersprechen.

Der Auftragsverarbeiter hat gemäß Art. 32 DSGVO folgende Maßnahmen getroffen:

Alle mit der Verarbeitung befassten Personen beim Auftragsverarbeiter sind zur Vertraulichkeit verpflichtet.

Da CMG Solutions als Einzelunternehmen tätig ist und die Schwellenwerte für die Pflicht zur Bestellung eines Datenschutzbeauftragten (§ 38 BDSG: regelmäßig mehr als 20 Personen) nicht überschreitet, ist kein Datenschutzbeauftragter bestellt. Der Verantwortliche wurde darüber informiert.

Für Datenschutzanfragen steht der Auftragsverarbeiter direkt zur Verfügung: info@cmg-solutions.de

Nach Beendigung des Lizenzvertrags hat der Verantwortliche die Wahl:

1. Datenexport: Der Auftragsverarbeiter stellt alle Daten des Verantwortlichen innerhalb von 30 Tagen nach Vertragsende in einem maschinenlesbaren Format (JSON oder CSV) bereit.
2. Löschung: Alle personenbezogenen Daten des Verantwortlichen werden nach Ablauf der Exportfrist oder auf ausdrücklichen Wunsch vollständig und unwiderruflich gelöscht.

Der Auftragsverarbeiter bestätigt die erfolgte Löschung schriftlich per E-Mail.

Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV durch den Auftragsverarbeiter zu kontrollieren. Kontrollen sind:

• Schriftlich: Fragebögen und Dokumentenanfragen jederzeit möglich.
• Vor-Ort: Nach vorheriger Ankündigung (mindestens 14 Tage) und zu Geschäftszeiten; anfallende Kosten trägt der Verantwortliche.
• Auditberichte: Der Auftragsverarbeiter kann Nachweise durch gleichwertige Auditberichte (z.B. ISO 27001, SOC 2) erbringen.

Die Haftung der Parteien richtet sich nach den Regelungen der DSGVO (Art. 82) und dem Lizenzvertrag. Jede Partei haftet für die Schäden, die durch eine ihr zurechenbare Verletzung dieses AVV entstehen.

Der Auftragsverarbeiter haftet nicht für Verarbeitungen, die der Verantwortliche außerhalb der vereinbarten Weisungen angeordnet hat.

1. Anwendbares Recht: Es gilt das Recht der Bundesrepublik Deutschland sowie die Datenschutz-Grundverordnung (DSGVO).
2. Rangfolge: Bei Widersprüchen zwischen diesem AVV und dem Lizenzvertrag hat dieser AVV in Datenschutzfragen Vorrang.
3. Änderungen: Änderungen dieses AVV bedürfen der Schriftform und der Zustimmung beider Parteien.
4. Salvatorische Klausel: Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt der AVV im Übrigen wirksam.
5. Gerichtsstand: Für Streitigkeiten aus diesem AVV ist — soweit gesetzlich zulässig — das Gericht am Sitz des Auftragsverarbeiters zuständig (Osnabrück).

Dieser AVV tritt mit Unterzeichnung durch beide Parteien in Kraft und ist Bestandteil des Lizenzvertrags vom ___________.