Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

zwischen dem Kunden (Verantwortlicher, nachfolgend „Auftraggeber“), wie bei der Registrierung angegeben,

und Tom Zentgraf, handelnd unter „SECULIQ“, Cappenberger Str. 51c, 44534 Lünen (Auftragsverarbeiter, nachfolgend „Auftragnehmer“).

Dieser Vertrag wird mit der Registrierung auf der Plattform SECULIQ elektronisch abgeschlossen und ergänzt die Allgemeinen Geschäftsbedingungen (Hauptvertrag).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Software-Plattform SECULIQ zur Organisation und Dokumentation des Arbeitsschutzes bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich Testphase und der Zeit bis zur Löschung der Daten nach § 10.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Speichern, Organisieren, Auslesen, Abfragen, Abgleichen, Ausgeben (z. B. als PDF), Übermitteln an vom Auftraggeber benannte Empfänger (z. B. E-Mail-Benachrichtigungen, Weiterleitung von Unfallanzeigen), Löschen.

(2) Zweck: Bereitstellung der Plattformfunktionen, insbesondere Verwaltung von Beschäftigten, Qualifikationen und Unterweisungen, Gefährdungsbeurteilungen, Arbeitsmitteln und Prüfungen, Gefahrstoffen, Betriebsanweisungen, Unfällen und Erste-Hilfe-Leistungen, arbeitsmedizinischer Vorsorge, Aufgaben, Dokumenten und Benachrichtigungen sowie KI-gestützte Erstellung von Entwürfen für Gefährdungsbeurteilungen, Betriebsanweisungen und Unfallbeschreibungen; Support und Unterstützung bei der Einrichtung.

(3) Kategorien betroffener Personen:

• Beschäftigte des Auftraggebers (einschließlich Auszubildender, Praktikanten, geringfügig Beschäftigter, Leiharbeitnehmer)
• Nutzer der Plattform (Logins des Auftraggebers)
• Ansprechpartner von Dienstleistern, Prüfern, Ärzten und Servicekontakten des Auftraggebers
• an Unfällen beteiligte Personen, Zeugen und Erste Hilfe leistende Personen

(4) Kategorien personenbezogener Daten:

• Stammdaten (Name, Personalnummer, Geburtsdatum, Geschlecht, Nationalität, Telefonnummer, E-Mail-Adresse, Krankenkasse)
• Beschäftigungsdaten (Tätigkeit, Abteilung, Kostenstelle, Standort, Beschäftigungsart, Ein- und Austrittsdatum, Bemerkungen)
• Qualifikations- und Unterweisungsdaten (Nachweise, Zertifikate, Gültigkeit)
• Unfalldaten (Hergang, Ort, Zeit, Arbeitszeit am Unfalltag, Anschrift der verletzten Person, Sozialversicherungsnummer, Krankenkasse, Verletzungen nach Körperteil und Art, Erste-Hilfe-Maßnahmen, Arbeitsunfähigkeit, behandelnder Arzt, Zeugen, Ersthelfer)
• Daten der arbeitsmedizinischen Vorsorge (Vorsorgeanlass, Art der Vorsorge, Termine, Fälligkeiten, Status, Bescheinigungen)
• Nutzerdaten (Name, E-Mail-Adresse, Rolle, Zeitpunkt der letzten Anmeldung)
• Nutzungs- und Protokolldaten (Änderungsprotokolle, E-Mail-Versandprotokoll)
• vom Auftraggeber hochgeladene Dokumente

(5) Gesundheitsdaten und arbeitsmedizinische Vorsorge:

a) Unfälle und Verbandbuch: Angaben zu Verletzungen (z. B. Körperteil, Art der Verletzung), Erste-Hilfe-Maßnahmen, ärztlicher Behandlung und Arbeitsunfähigkeit sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Der Auftraggeber stellt sicher, dass er für diese Verarbeitung eine Rechtsgrundlage hat (z. B. Dokumentationspflicht nach § 24 Abs. 6 DGUV Vorschrift 1, Meldepflicht nach § 193 SGB VII i. V. m. Art. 9 Abs. 2 lit. b DSGVO und § 26 Abs. 3 BDSG), erfasst nur die dafür erforderlichen Angaben und beschränkt den Zugriff auf die zuständigen Personen (§ 5 Abs. 3).

b) Arbeitsmedizinische Vorsorge: Die Plattform dient ausschließlich der Organisation der Vorsorge. Verarbeitet werden nur Vorsorgeanlass, Art der Vorsorge (Pflicht-, Angebots- oder Wunschvorsorge), Termine, Fälligkeiten sowie die Vorsorgebescheinigung nach § 6 Abs. 3 Nr. 3 ArbMedVV (Angabe, dass, wann und aus welchem Anlass eine Vorsorge stattgefunden hat und wann die nächste angezeigt ist). Untersuchungsergebnisse, Befunde, Diagnosen oder Eignungsaussagen werden nicht verarbeitet; die Plattform ist dafür nicht vorgesehen. Der Auftraggeber lädt keine ärztlichen Unterlagen mit solchen Inhalten hoch.

(6) Die Daten werden in Deutschland gespeichert. Für die KI-Funktionen und den E-Mail-Versand werden Daten in die USA übermittelt; dies erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (siehe Anlage 2).

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Plattformfunktionen durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Insbesondere werden Daten des Auftraggebers nicht zum Training von KI-Modellen verwendet.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.

(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.

(3) Er unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Aufsichtsbehörden. Anfragen betroffener Personen, die direkt beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter.

(4) Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(5) Ansprechpartner für den Datenschutz beim Auftragnehmer: Tom Zentgraf, info@seculiq.de

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der Betroffenen verantwortlich, insbesondere für die Information seiner Beschäftigten über die Nutzung der Plattform.

(2) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Er verwaltet die Zugänge und Berechtigungen seiner Nutzer selbst und beschränkt den Zugriff auf Gesundheitsdaten (Unfälle, Vorsorge) auf die dafür zuständigen Personen. Die Plattform ermöglicht es, einzelne Module für einzelne Nutzer auszublenden.

(4) Er gibt in KI-Funktionen nur die für den jeweiligen Zweck erforderlichen Daten ein, insbesondere keine Namen oder Gesundheitsdaten einzelner Personen.

(5) Über Empfänger und Versand von Unfallanzeigen, die er über die Plattform per E-Mail weiterleitet, entscheidet er selbst.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 4 Wochen vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ein gleichwertiges Schutzniveau sicherstellt.

§ 7 Kontrollrechte

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung dieses Vertrags auf Anfrage nach, z. B. durch Auskünfte, aktuelle Dokumentation der Maßnahmen nach Anlage 1 oder Nachweise der Unterauftragsverarbeiter (z. B. Zertifizierungen des Rechenzentrums).

(2) Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung (mindestens 4 Wochen) während der Geschäftszeiten möglich, ohne den Betriebsablauf zu stören und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 9 Ort der Verarbeitung

Die Daten werden auf Servern in Deutschland gespeichert. Fernwartung und Support erfolgen aus Deutschland. Ausnahmen für die KI-Funktionen und den E-Mail-Versand ergeben sich aus Anlage 2.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Mit Ende des Hauptvertrags wird der Zugang des Auftraggebers gesperrt. Der Auftraggeber sichert seine Daten vor Vertragsende über die Exportfunktionen der Plattform. 90 Tage nach Vertragsende löscht der Auftragnehmer alle Daten des Auftraggebers, einschließlich Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Vor der Löschung weist er per E-Mail darauf hin. Vertrags- und Abrechnungsdaten des Auftraggebers sind keine Auftragsdaten; sie bleiben für die Vertragsabwicklung und die gesetzlichen Aufbewahrungspflichten erhalten.

(2) Testkonten ohne Buchung werden 30 Tage nach Ende der Testphase gelöscht.

(3) Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben, spätestens nach 7 Tagen.

(4) Die Löschung wird auf Anfrage bestätigt.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen hat dieser Vertrag Vorrang vor dem Hauptvertrag, soweit es um den Datenschutz geht.

(2) Es gilt deutsches Recht. Gerichtsstand wie im Hauptvertrag.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Zutrittskontrolle (Rechenzentrum)

• Hosting im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Deutschland); physische Sicherheit gemäß Zertifizierung des Rechenzentrums (ISO/IEC 27001).

2. Zugangskontrolle (Systeme)

• Server-Zugang nur per SSH-Schlüssel, Firewall vor dem Server.
• Verwaltungsoberfläche des Servers mit Zwei-Faktor-Anmeldung.
• Anmeldung der Nutzer mit Passwort (mindestens 8 Zeichen); Passwörter nur als Hashwert (bcrypt) gespeichert.
• Zwei-Faktor-Anmeldung für Nutzer standardmäßig aktiv (Authenticator-App oder Code per E-Mail).

3. Zugriffskontrolle (Daten)

• Logische Trennung der Kundendaten je Mandant (Firmenkonto); jeder Datensatz ist einem Mandanten zugeordnet und nur in dessen Konto abrufbar.
• Rollen innerhalb eines Kundenkontos (Administrator, Bearbeiter, Standortverantwortlicher, Mitarbeitende mit Lesezugriff); Beschränkung auf einzelne Standorte und Ausblenden einzelner Module je Nutzer möglich.
• Dokumente in einem Objektspeicher; Abruf nur über zeitlich begrenzte, signierte Links.

4. Weitergabekontrolle

• Verschlüsselte Übertragung ausschließlich per HTTPS (TLS 1.2/1.3), HSTS aktiviert.
• Sitzungs-Cookies mit „Secure“ und „HttpOnly“, Schutz gegen CSRF.

5. Eingabekontrolle

• Protokollierung von Änderungen an Gefährdungsbeurteilungen, Mitarbeitenden, Arbeitsmitteln und Unfällen.
• Protokoll der versendeten Benachrichtigungen (12 Monate).
• Protokollierung von Support-Zugriffen auf Kundenkonten.

6. Verfügbarkeitskontrolle

• Tägliche Datensicherung beim Hosting-Anbieter, Aufbewahrung 7 Tage.
• Regelmäßige Sicherheitsupdates von Betriebssystem und Software.
• Überwachung von Erreichbarkeit und Zertifikatslaufzeiten.

7. Trennungskontrolle

• Logisch getrennte Verarbeitung der Daten verschiedener Kunden; Test- und Produktivsystem getrennt.

8. Verschlüsselung

• Transportverschlüsselung aller Verbindungen (TLS 1.2/1.3).

9. Organisatorisches

• Verpflichtung aller Beteiligten auf Vertraulichkeit; Meldung von Datenschutzverletzungen nach § 4 Abs. 4; regelmäßige Überprüfung dieser Maßnahmen.

Anlage 2: Unterauftragsverarbeiter