Auftragsverarbeitungsvertrag

Fassung 3.2 · Stand: 21. September 2026

1.1.1. Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und -nehmer (im Folgenden zusammen „Parteien“) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag (im Folgenden „AV-Vereinbarung“).

1.1.2. Diese AV-Vereinbarung ist so konzipiert, dass sie den Bestimmungen der seit dem 25. Mai 2018 geltenden EU Datenschutz-Grundverordnung (im Folgenden „DSGVO“), dem Bundesdatenschutzgesetz (neu) und den einschlägigen Landesdatenschutzgesetzen gerecht wird.

1.1.3. Sofern in dieser AV-Vereinbarung der Begriff „Leistungsvereinbarung“ benutzt wird, wird darunter der separate Vertragsschluss mit dem Auftraggeber verstanden, der durch den Abschluss eines kostenpflichtigen Nutzungsvertrags – gemäß der Nutzungsbedingungen des Auftragnehmers oder eines separat geschlossenen Nutzungsvertrags – entsteht.

1.1.4. Sofern in dieser AV-Vereinbarung der Begriff „talent360“ oder „Software“ benutzt wird, wird darunter die webbasierte Recruiting-, Bewerbermanagement-, Personalverwaltungs- und Kundenmanagement-Plattform verstanden, die Gegenstand der Leistungsvereinbarung ist. Dazu gehören, soweit vom Auftraggeber aktiviert oder genutzt, die REST-API, Webhooks und optionale Verbindungen zu E-Mail-, Kalender-, Kommunikations- oder Drittsystemen.

1.1.5. Diese AV-Vereinbarung findet auf solche Tätigkeiten Anwendung, bei denen der Auftragnehmer, Mitarbeiter des Auftragnehmers oder durch ihn beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Auftraggebers gemäß der Leistungsvereinbarung im Sinne von Art. 28 DSGVO verarbeiten.

1.1.6. In dieser AV-Vereinbarung verwendete Begriffe sind entsprechend ihrer Definition in der DSGVO zu verstehen.

1.2.1. Gegenstand, Umfang, Art und Zweck der Datenverarbeitung ergeben sich aus dieser AV-Vereinbarung und der Leistungsvereinbarung. Die Verarbeitung kann je nach gebuchtem und aktiviertem Funktionsumfang insbesondere das Erheben, Erfassen, Ordnen, Speichern, Anzeigen, Abgleichen, Übermitteln, Synchronisieren, Bereitstellen über die REST-API oder Webhooks, Einschränken und Löschen personenbezogener Daten umfassen.

1.2.2. Folgende Datenarten und Datenkategorien sind regelmäßig Gegenstand der Verarbeitung:

  • Personalstammdaten – insbesondere Name, Anschrift, Geburtsdatum, Telefonnummer und E-Mail
  • Vertragsstammdaten – insbesondere Angaben zum Familienstand sowie Angaben zu Anzahl der Kinder, Angaben zur beruflichen Qualifikation und Schulausbildung, Angaben zur beruflichen Weiterbildung, sonstige Dokumente, Arbeitsverträge und Bescheinigungen, die zwischen dem Auftraggeber und seinen Mitarbeitern geschlossen oder ausgestellt wurden
  • Abrechnungs- und Leistungsdaten – insbesondere Bankverbindung, Abwesenheiten, Urlaubspläne, Krankmeldungen, Arbeitszeiten, Mitarbeiterevaluationen, sowie Vertragsabrechnungs- und Zahlungsdaten
  • Sofern der Auftraggeber die Funktion nutzt, mittels digitaler Kommunikation über die Software mit Betroffenen zu kommunizieren (zum Beispiel per SMS oder WhatsApp), werden zusätzlich die folgenden Daten verarbeitet: Stammdaten (Rufnummer bzw. Accountdaten, IP-Adresse), Metadaten (Datum und Uhrzeit von Kommunikationsvorgängen), Inhaltsdaten (Kommunikationsinhalte)
  • Bewerbungs-, Recruiting- und Profildaten – insbesondere Lebensläufe, Qualifikationen, Bewerbungsunterlagen, Gesprächsnotizen, Status- und Prozessdaten
  • Kunden-, Interessenten- und Geschäftskontaktdaten – insbesondere Kontaktdaten, Unternehmenszuordnung, Kommunikationshistorie, Anfragen, Vertriebs- und Vorgangsdaten
  • E-Mail-, Kalender- und Kommunikationsdaten – insbesondere Absender, Empfänger, Betreff, Zeitstempel, Terminangaben, Metadaten und Inhalte, soweit die jeweilige Funktion aktiviert ist
  • Technische Nutzungs-, Schnittstellen- und Protokolldaten – insbesondere Nutzer- oder Kundenkonto, Zeitpunkt, Endpunkt oder Ereignis, Statuscode, Request-ID, Authentifizierungs- und Zustellereignisse

Die Kategorien, der durch die Verarbeitung betroffenen Personen umfasst regelmäßig:

  • Mitarbeiter – freie und Angestellte – des Auftraggebers oder, falls zutreffend, eines mit ihm verbundenen Unternehmens.
  • Ehemalige Mitarbeiter – freie und angestellte – des Auftraggebers, oder falls zutreffend, eines mit ihm verbundenen Unternehmens.
  • Bewerber und zukünftige Mitarbeiter – freie und angestellte – des Auftraggebers oder, falls zutreffend, eines mit ihm verbundenen Unternehmens
  • Kunden, Interessenten, Ansprechpartner bei Geschäftspartnern und sonstige Geschäftskontakte des Auftraggebers
  • Nutzer, Administratoren und Integrationsverantwortliche des Auftraggebers

1.2.3. Soweit Unterauftragnehmer mit Sitz außerhalb der EU bzw. des EWR eingesetzt werden oder ein Zugriff aus einem Drittstaat nicht ausgeschlossen werden kann, erfolgt dies ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere durch Abschluss von Standardvertragsklauseln oder auf Grundlage eines Angemessenheitsbeschlusses.

1.2.4. Eine weitergehende Verlagerung der Verarbeitung in ein Drittland, die über die in Ziffer 1.2.3 genannten Konstellationen hinausgeht, bedarf der vorherigen Information des Auftraggebers und erfolgt ausschließlich unter Einhaltung der Art. 44 ff. DSGVO.

1.2.5. Bei Widersprüchen zwischen der Leistungsvereinbarung oder den Nutzungsbedingungen und dieser AV-Vereinbarung, geht die AV-Vereinbarung in datenschutzrechtlichen Belangen als speziellere Regelung vor.

Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung, sofern sich aus den Bestimmungen dieser AV-Vereinbarung nicht darüberhinausgehende Verpflichtungen ergeben. In letzterem Fall endet diese AV-Vereinbarung mit Wegfall der über die Leistungsvereinbarung hinaus bestehenden Pflichten.

Der Auftragnehmer gewährleistet die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29 und 32 Abs. 4 DSGVO. Der Auftragnehmer setzt bei der Durchführung der für die Auftragsverarbeitung erforderlichen Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers, der Leistungsvereinbarung und der in dieser AV-Vereinbarung eingeräumten Befugnisse verarbeiten, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.

4.1. Der Auftraggeber ist im Rahmen dieser AV-Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Verarbeitung allein verantwortlich („Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO). Sofern der Auftragnehmer dem Auftraggeber in der Software die Möglichkeit gibt, bestimmte (optionale) zusätzliche Funktionen zu nutzen (zum Beispiel die Möglichkeit, in der Software gespeicherte Daten mittels einer Schnittstelle an Dritte weiterzugeben), trägt auch für die Nutzung dieser Funktionen der Auftraggeber die Verantwortlichkeit. Dies gilt auch im Hinblick auf den in dieser Vereinbarung geregelten Gegenstand, Umfang, Art und Zweck der Datenverarbeitung, die Beschreibung der betroffenen Daten gemäß Ziffer 1.2 und die Wahrung der Betroffenenrechte.

4.2. Der Auftraggeber ist für die Auswahl eines geeigneten Auftragsverarbeiters gemäß Art. 28 DSGVO verantwortlich. Der Auftragnehmer ist für die Umsetzung und Aufrechterhaltung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO verantwortlich, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Auftraggeber trägt die Verantwortung dafür, dass die von ihm im Rahmen der Nutzung der Software vorgenommenen Konfigurationen, Zugriffsberechtigungen und Einstellungen den datenschutzrechtlichen Anforderungen entsprechen.

4.3. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig schriftlich per Mail an datenschutz@talent360.io zu informieren, wenn er im Hinblick auf die Verarbeitung bezüglich datenschutzrechtlicher Bestimmungen Fehler oder Unregelmäßigkeiten feststellt.

4.4. Der Auftraggeber nennt dem Auftragnehmer bei Bedarf den Ansprechpartner für im Rahmen dieser AV-Vereinbarung anfallende Datenschutzfragen.

4.5. Weitere Rechte und Pflichten des Auftraggebers ergeben sich aus den nachfolgenden Regelungen dieser AV-Vereinbarung und der DSGVO sowie den dazugehörigen gesetzlichen Bestimmungen.

5.1. Der Auftragnehmer – und jede ihm unterstellte Person – darf die personenbezogenen Daten nur im Rahmen von Weisungen des Auftraggebers verarbeiten, außer es liegt ein Ausnahmefall im Sinne von Artikel 28 Abs. 3 Satz 2 lit. a DSGVO oder einer anderen vorrangigen Rechtsvorschrift vor. Die Leistungsvereinbarung und die AV-Vereinbarung stellen die abschließenden Weisungen des Auftraggebers (in Bezug auf die Datenverarbeitung) zum Zeitpunkt des Abschlusses dieser AV-Vereinbarung dar. Weitere Weisungen sind dem Auftraggeber vorbehalten, werden jedoch gemäß Ziffer 5.3 behandelt. Der Auftragnehmer nimmt Weisungen des Auftraggebers in schriftlicher Form sowie über die hierfür vom Auftragnehmer angebotenen elektronischen Formate entgegen oder, sofern dies vorgesehen ist, unmittelbar in der Software (z.B. Weitergabe von Daten an Dritte mittels dem Auftraggeber zur Verfügung gestellten Schnittstellen, z.B. an Unterauftragnehmer des Auftragnehmers für bestimmte vom Auftraggeber aktivierte Funktionen oder Anbieter von Drittsoftware, denen der Auftraggeber Daten mitteilen möchte). Mündliche Weisungen sind nur in Eilfällen gestattet und durch den Auftraggeber unaufgefordert und unverzüglich schriftlich oder in einem hierfür vom Auftragnehmer angebotenen elektronischen Format zu bestätigen.

5.2. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen einschlägige Gesetze verstößt. Der Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber nach Überprüfung bestätigt oder abgeändert wurde. Für aus bestätigten Weisungen entstehende Schäden jedweder Art haftet der Auftraggeber dem Auftragnehmer im Innenverhältnis voll und stellt den Auftragnehmer gegen Ansprüche Dritter auf erste Anforderung frei. Bei andauerndem Dissens einigen sich die Parteien darauf, die für den Auftragnehmer zuständige Aufsichtsbehörde zur Entscheidung hinzuzuziehen.

5.3. Sind die Weisungen des Auftraggebers nicht vom vertraglich vereinbarten Leistungsumfang umfasst, werden diese als Antrag auf Leistungsänderung behandelt. Bei Änderungsvorschlägen teilt der Auftragnehmer dem Auftraggeber mit, welche Auswirkungen sich auf die vereinbarten Leistungen, insbesondere die Möglichkeit der Leistungserbringung, Termine und Vergütung ergeben. Ist dem Auftragnehmer die Umsetzung der Weisung nicht zumutbar, so ist der Auftragnehmer berechtigt, die Weisungen abzulehnen. Für den Fall, dass der Auftraggeber dennoch auf die Weisung besteht, steht dem Auftragnehmer ein Sonderkündigungsrecht zu und er kann die Verarbeitung beenden und die Leistungsvereinbarung jederzeit mit sofortiger Wirkung kündigen.

5.4. Der Auftraggeber benennt die zur Erteilung von Weisungen ausschließlich befugten Personen innerhalb von talent360 oder, sofern und solange dies innerhalb von talent360 nicht möglich ist, per E-Mail an folgende Adresse: datenschutz@talent360.io. Für den Fall, dass keine weisungsbefugte Person benannt wird, sind ausschließlich vertretungsberechtigte natürliche Personen des Auftraggebers zur Erteilung von Weisungen berechtigt. Der Auftragnehmer kann die Ausführungen von Weisungen solange aussetzen, bis der Auftraggeber einen Nachweis der Vertretungsberechtigung erbracht hat.

6.1.1. Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieser AV-Vereinbarung gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung nachfolgender Vorgaben.

6.1.2. Der Auftragnehmer gewährleistet die schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt. Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage bzw. innerhalb von talent360.io leicht zugänglich hinterlegt.

6.1.3. Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Für Unterstützungshandlungen, die aufgrund einer Anfrage der Aufsichtsbehörde erforderlich werden und aus der Sphäre des Auftraggebers herrühren, steht dem Auftragnehmer eine angemessene Vergütung zu.

6.1.4. Der Auftragnehmer wird den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde informieren, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten aus dieser Auftragsverarbeitung beim Auftragnehmer ermittelt, es sei denn, der Auftragnehmer ist gesetzlich oder behördlich verpflichtet, eine Mitteilung zu unterlassen.

6.1.5. Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, unterstützt ihn der Auftragnehmer auf Anfrage nach besten Kräften. Für Unterstützungsleistungen kann der Auftragnehmer eine angemessene Vergütung verlangen.

6.1.6. Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.

6.1.7. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage Dokumente zur Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gemäß Ziffer 6.2 bereit.

6.2.1. Der Auftraggeber ist berechtigt, die Einhaltung der Verpflichtungen aus dieser AV-Vereinbarung sowie der einschlägigen datenschutzrechtlichen Vorschriften nach vorheriger Abstimmung mit dem Auftragnehmer zu überprüfen oder durch einen zur Verschwiegenheit verpflichteten, unabhängigen Prüfer überprüfen zu lassen. Eine solche Prüfung ist mit einer angemessenen Vorankündigungsfrist von mindestens 30 Tagen schriftlich anzukündigen und zu den üblichen Geschäftszeiten des Auftragnehmers durchzuführen. Die Prüfung erfolgt in einer Weise, die den Geschäftsbetrieb des Auftragnehmers nicht unverhältnismäßig beeinträchtigt und die Vertraulichkeit sowie Sicherheitsinteressen anderer Kunden wahrt. Soweit möglich, wird der Nachweis der Einhaltung der Verpflichtungen durch geeignete Unterlagen, Zertifizierungen, Prüfberichte oder andere geeignete Nachweise erbracht. Im Falle eines begründeten Verdachts auf einen wesentlichen Verstoß gegen datenschutzrechtliche Pflichten oder im Falle eines Sicherheitsvorfalls kann die Ankündigungsfrist auf bis zu 48 Stunden, in besonders dringenden Fällen auf bis zu 24 Stunden, verkürzt werden.

6.2.2. Der Auftragnehmer darf die Zustimmung zur Prüfung davon abhängig machen, dass sich der Prüfende einer angemessenen Verschwiegenheitserklärung unterwirft. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen oder liegt ein anderer begründeter Fall vor, hat der Auftragnehmer gegen diesen ein Einspruchsrecht.

6.2.3. Im Rahmen dieser Ziffer ist der Auftragnehmer lediglich zur Duldung und Mitwirkung bei einer jährlichen Vor-Ort-Kontrolle verpflichtet und dies auch nur gegen Erstattung der ihm hierdurch entstehenden Kosten durch den Auftraggeber. Der Aufwand einer Vor-Ort-Kontrolle ist grundsätzlich auf einen angemessenen Zeitraum zu begrenzen, der in der Regel einen Arbeitstag nicht überschreiten soll. Für Kontrollen, die aufgrund eines Sicherheitsvorfalls oder eines wesentlichen Verstoßes gegen die Vorschriften zum Schutz personenbezogener Daten oder Festlegungen dieser AV-Vereinbarung erforderlich werden, kann die Vorankündigungsfrist angemessen verkürzt werden; in dringenden Fällen auf bis zu 48 Stunden.

6.2.4. Der Auftragnehmer hat das Recht, eine Vor-Ort-Kontrolle nach diesem Abschnitt abzulehnen, sofern und solange er den Nachweis über die Erfüllung seiner datenschutzrechtlichen Verpflichtungen, insbesondere die Umsetzung und Wirksamkeit der technischen und organisatorischen Maßnahmen, durch geeignete Nachweise erbringt. Geeignete Nachweise können insbesondere genehmigte Verhaltensregeln im Sinne von Art. 40 DSGVO, ein genehmigtes Zertifizierungsverfahren im Sinne von Art. 42 DSGVO, Testate oder Berichte unabhängiger Prüfer, Auditberichte, Zertifizierungen oder vergleichbare Nachweise sein. Sofern der Auftraggeber nachvollziehbar darlegt, dass die bereitgestellten Nachweise im konkreten Fall nicht ausreichen, um die Einhaltung der datenschutzrechtlichen Anforderungen angemessen zu beurteilen, werden die Parteien eine angemessene Form der weitergehenden Prüfung abstimmen. In diesem Fall ist eine Vor-Ort-Kontrolle nach Maßgabe der Ziffern 6.2.1 bis 6.2.3 zu ermöglichen.

7.1. Der Auftragnehmer hat die Umsetzung der im Vorfeld des Vertragsschlusses dargelegten und erforderlichen TOMs vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsverarbeitung, zu dokumentieren und dem Auftraggeber zur Prüfung bereitzuhalten.

7.2. Der Auftragnehmer hat die Sicherheit der Verarbeitung gemäß Art. 28 Abs. 3 lit. c und 32 DSGVO, insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO, herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen, um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. Die jeweils aktuellen technischen und organisatorischen Maßnahmen werden dem Auftraggeber auf Anfrage in geeigneter Form zur Verfügung gestellt oder sind als Anlage Bestandteil dieser AV-Vereinbarung.

7.3. Die TOMs unterliegen dem technischen Fortschritt und der Weiterentwicklung. Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei jedoch sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

7.4. Der Auftraggeber stimmt zu, dass Beschäftigte des Auftragnehmers personenbezogene Daten im Rahmen der Auftragsverarbeitung auch außerhalb der Geschäftsräume des Auftragnehmers, insbesondere im Homeoffice oder im Rahmen mobilen Arbeitens, verarbeiten dürfen. Der Auftragnehmer stellt sicher, dass eine solche Verarbeitung ausschließlich durch zur Vertraulichkeit verpflichtete Personen, unter Einhaltung der jeweils geltenden technischen und organisatorischen Maßnahmen (TOM) sowie im Rahmen der Weisungen des Auftraggebers erfolgt.

8.1. Der Auftragnehmer ist berechtigt, zur Erfüllung seiner vertraglichen Leistungen Unterauftragnehmer (Subunternehmer) einzusetzen, sofern diese im Zusammenhang mit der Verarbeitung personenbezogener Daten stehen. Nebenleistungen, wie etwa Transport, Wartung, Reinigung, Telekommunikationsleistungen oder sonstige Unterstützungsleistungen zur Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, gelten nicht als Unterauftragsverhältnisse im Sinne dieser Vereinbarung. Ungeachtet dessen stellt der Auftragnehmer auch in diesen Fällen die Einhaltung der datenschutzrechtlichen Anforderungen sicher.

8.2. Der Auftraggeber erteilt dem Auftragnehmer hiermit eine allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO zur Beauftragung von Unterauftragnehmern. Die jeweils aktuelle Übersicht der eingesetzten Unterauftragnehmer ist unter Liste der Unterauftragnehmer im Hilfecenter abrufbar.

8.3. Beabsichtigt der Auftragnehmer die Hinzuziehung weiterer oder den Austausch bestehender Unterauftragnehmer, informiert er den Auftraggeber hierüber in Textform (z. B. per E-Mail oder innerhalb der Software) rechtzeitig vor deren Einsatz. Der Auftraggeber kann gegen die beabsichtigte Änderung innerhalb von 30 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform Einspruch erheben. Erfolgt ein berechtigter Einspruch, werden die Parteien eine einvernehmliche Lösung anstreben. Ist dem Auftragnehmer die Leistungserbringung ohne den betreffenden Unterauftragnehmer wirtschaftlich oder technisch nicht zumutbar, ist er berechtigt, die Leistungsvereinbarung außerordentlich zu kündigen.

8.4. Beauftragt der Auftragnehmer Unterauftragnehmer mit der Verarbeitung personenbezogener Daten, erfolgt dies ausschließlich auf Grundlage einer vertraglichen Vereinbarung gemäß Art. 28 Abs. 2 bis 4 DSGVO. Der Auftragnehmer stellt sicher, dass Unterauftragnehmer mindestens gleichwertige Datenschutzpflichten erfüllen, wie sie in dieser AV-Vereinbarung festgelegt sind. Dies umfasst insbesondere:

  • Verpflichtungen zur Vertraulichkeit,
  • die Umsetzung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO,
  • die Unterstützung bei der Wahrung von Betroffenenrechten,
  • Mitwirkungs- und Informationspflichten im Falle von Datenschutzverletzungen,
  • die Einhaltung der Anforderungen an Drittlandübermittlungen gemäß Art. 44 ff. DSGVO.

Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung der datenschutzrechtlichen Verpflichtungen durch den jeweiligen Unterauftragnehmer verantwortlich.

8.5. Soweit Unterauftragnehmer in Drittstaaten eingesetzt werden oder ein Zugriff aus einem Drittstaat nicht ausgeschlossen werden kann, erfolgt dies ausschließlich unter Einhaltung der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.

8.6. Eine unmittelbare Vor-Ort-Kontrolle beim Unterauftragnehmer durch den Auftraggeber erfolgt grundsätzlich nicht. Der Auftragnehmer stellt jedoch geeignete Nachweise zur Verfügung, aus denen sich ergibt, dass der Unterauftragnehmer die vertraglich vereinbarten datenschutzrechtlichen Anforderungen erfüllt.

9.1. Richtet sich ein Betroffener an den Auftragnehmer mit einer Forderung aus Kapitel III der DSGVO im Hinblick auf die Rechte der betroffenen Personen, dann wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auftraggeber nach Angabe der betroffenen Personen möglich ist. Weiterhin leitet der Auftragnehmer den Antrag der betroffenen Person unverzüglich an den Auftraggeber weiter.

9.2. Unbeschadet Ziffer 9.1 gilt, dass talent360 eine umfassende Selbstverwaltung der Daten sowie den autonomen Zugriff, die Bearbeitung und Überprüfung der verarbeiteten Daten durch jeden Mitarbeiter oder Administrator des Auftraggebers, im Rahmen der zugewiesenen Zugriffsrechte, ermöglicht. Sofern es also um die Wahrung der Betroffenenrechte aus Kapitel III der DSGVO geht, ist der Auftraggeber in erster Linie selbst in der Lage und verantwortlich, dem Verlangen eines Betroffenen nachzukommen.

9.3. Sollte trotz der Möglichkeit einer solchen Selbstverwaltung zusätzlich die Unterstützung seitens des Auftragnehmers erforderlich sein, dann unterstützt dieser den Auftraggeber bei der Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person nach Möglichkeit. Der Auftragnehmer ist berechtigt für solche Leistungen eine angemessene Vergütung vom Auftraggeber zu verlangen.

9.4. Der Auftragnehmer haftet nicht, sofern das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird und dies einzig von diesem verschuldet ist.

10.1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen und vorherigen Konsultationen, sofern notwendig. Hierzu gehören unter anderem:

10.1.1. die Verpflichtung, Verletzung des Schutzes personenbezogener Daten durch den Auftragnehmer, Mitarbeiter des Auftragnehmers oder durch ihn beauftragte Unterauftragnehmer unverzüglich an den Auftraggeber im Sinne von Art. 33 Absatz 2 DSGVO zu melden.

10.1.2. die Unterstützung des Auftraggebers für dessen Datenschutz- Folgenabschätzung, sofern notwendig. Diesem kann der Auftragnehmer dadurch nachkommen, dass er dem Auftraggeber auf Anforderung die erforderlichen Angaben und Dokumentationen zur Verfügung stellt.

10.1.3. die Unterstützung des Auftraggebers im Rahmen von Konsultationen mit der Aufsichtsbehörde vor der Verarbeitung.

10.2. Für Unterstützungsleistungen gemäß Ziffer 10.1 kann der Auftragnehmer eine angemessene Vergütung verlangen.

11.1. Mit Beendigung der Auftragsverarbeitung hat der Auftragnehmer die eingebrachten personenbezogenen Daten gemäß den nachfolgenden Ziffern herauszugeben. Die Auftragsverarbeitung endet mit Vertragsende der Leistungsvereinbarung.

11.2. Der Auftragnehmer ist verpflichtet, die eingebrachten personenbezogenen Daten mit Beendigung der Leistungsvereinbarung gemäß Ziffer 2 dieser Vereinbarung unverzüglich und unwiderruflich zu löschen. Der Auftraggeber ist berechtigt, jederzeit in Textform bis zum Ablauf der Leistungsvereinbarung die Herausgabe in einem maschinenlesbaren Format oder Löschung der gespeicherten personenbezogenen Daten zu verlangen bzw., sofern möglich, diese direkt aus der Software herunterzuladen.

11.3. Erteilt der Auftraggeber dem Auftragnehmer eine verbindliche vorzeitige Löschanweisung in Textform, so ist der Auftragnehmer verpflichtet auch vor dem in Ziffer 11.2 genannten Zeitpunkt die Datenlöschung durchzuführen. Hiervon ausgenommen sind lediglich die Daten, hinsichtlich derer der Auftragnehmer gesetzlich zur Aufbewahrung verpflichtet ist.

11.4. Sollte der Auftraggeber bis zum Ablauf der Leistungsvereinbarung gemäß Ziffer 11.2 weder die herauszugebenden Daten angefordert, noch die Löschung dieser verlangt haben, ist der Auftragnehmer verpflichtet, diese Daten zu löschen.

12.1. Sofern ein Schaden entstanden ist, weil der Auftragnehmer seinen speziell auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder dieser unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen entstanden ist oder weil der Auftragnehmer gegen diese Anweisungen gehandelt hat, haftet er nach Art. 82 Absatz 2 DSGVO anteilig für den entstandenen Schaden.

12.2. In Fällen, in denen der Auftraggeber ausschließlich den Schaden alleinig verursacht hat, haftet der Auftraggeber im Innenverhältnis voll für den Schaden und stellt den Auftragnehmer von etwaigen Ansprüchen des Betroffenen oder Dritten auf erste Anforderung frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Auftragnehmer erhoben werden.

12.3. Der Auftraggeber trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstands ist.

12.4. Jegliche Haftungsausschlüsse in diesem Vertrag gelten nicht im Falle von Vorsatz und grober Fahrlässigkeit sowie bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit.

12.5. Im Übrigen richtet sich die Haftung nach der Leistungsvereinbarung.

13.1. Die Annahme oder Bestätigung des Vertragsschlusses durch den Auftragnehmer kann in einem elektronischen Format im Sinne von Art. 28 Absatz 9 DSGVO erfolgen.

13.2. Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Dies gilt insbesondere auch für die Inhalte dieser AV-Vereinbarung sowie alle im Rahmen der datenschutzrechtlichen Prüfung zur Verfügung gestellten Dokumente, Nachweise etc. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe durch die andere Partei als vertraulich zu behandeln.

13.3. Änderungen und Ergänzungen dieser AV-Vereinbarung und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – sind gemäß DSGVO schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt.

13.4. Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Beteiligten unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als „Verantwortlicher“ im Sinne der DSGVO liegen.

13.5. Die Einrede des Zurückbehaltungsrechts im Sinne von §273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten ausgeschlossen.

13.6. Es gilt das Recht der Bundesrepublik Deutschland. Die Anwendung des UN-Kaufrechts (CISG) ist ausgeschlossen.

13.7. Für alle Streitigkeiten im Zusammenhang mit dieser AV-Vereinbarung wird, sofern zulässig, der Sitz des Auftragnehmers als ausschließlicher Gerichtsstand vereinbart.

13.8. Diese AV-Vereinbarung ersetzt alle vorherigen oder gleichzeitigen Zusicherungen, Absprachen, Vereinbarungen, Verträge oder Mitteilungen zwischen dem Auftraggeber und dem Auftragnehmer, ob schriftlich oder mündlich in Bezug auf den Gegenstand dieser AV-Vereinbarung. Die jeweils geschlossenen Leistungsvereinbarungen bleiben hiervon unberührt.

13.9. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Leistungsvereinbarung (Auftragsbestätigung) zwischen Auftraggeber und Auftragnehmer. Er wird in elektronischer Form gemäß Art. 28 Abs. 9 DSGVO geschlossen. Der AVV gilt mit Zugang der Auftragsbestätigung bzw. mit Zustandekommen der Leistungsvereinbarung als vereinbart. Eine gesonderte Unterzeichnung oder separate Bestätigung dieses AVV ist nicht erforderlich.