Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch Peter Sager (OpenSpot) als Auftragsverarbeiter im Auftrag des Kunden als Verantwortlichem gemäß Art. 28 DSGVO.

§ 1 Vertragsgegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen gemäß dem Hauptvertrag (Nutzungsvertrag OpenSpot). Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

Dieser AVV tritt mit dem Abschluss des Nutzungsvertrages in Kraft und endet mit dessen Beendigung.

§ 2 Art, Umfang und Zweck der Verarbeitung

Art der Verarbeitung: Speicherung, Erfassung, Auswertung, Übermittlung

Zweck: Bereitstellung der OpenSpot-Campus-Plattform zur Anzeige der Live-Auslastung von Etagen und Lernbereichen sowie zum Besucher-Check-in per QR-Code

Kategorien personenbezogener Daten:

• E-Mail-Adressen und Namen der Mitarbeiter-Konten des Verantwortlichen (Bibliotheksleitung, Personal)
• vom Besucher selbst eingegebener Name sowie Check-in-/Check-out-Zeitpunkt und ggf. gewählte Etage (Besucher benötigen kein eigenes Konto)
• Nutzungsstatistiken (aggregiert)

Kategorien betroffener Personen: Mitarbeiter-Konten sowie Besucher der Bibliothek des Verantwortlichen

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten
• alle zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten
• alle erforderlichen technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO zu treffen
• die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern (Art. 28 Abs. 2 und 4 DSGVO) einzuhalten und ihnen dieselben Datenschutzpflichten aufzuerlegen, die in diesem Vertrag festgelegt sind
• personenbezogene Daten nur dann in ein Drittland oder an eine internationale Organisation zu übermitteln, wenn dies der Verantwortliche angewiesen hat (hierzu zählt die Genehmigung der in § 5 genannten Unterauftragsverarbeiter) oder eine rechtliche Verpflichtung besteht
• den Verantwortlichen unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt; er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen
• den Verantwortlichen bei der Erfüllung seiner Pflichten zu unterstützen, insbesondere bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)
• nach Wahl des Verantwortlichen alle Daten zu löschen oder zurückzugeben
• dem Verantwortlichen alle erforderlichen Informationen zur Nachweisführung bereitzustellen und Kontrollen (auch durch von ihm beauftragte Prüfer) zu ermöglichen

§ 4 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter hat folgende Maßnahmen zum Schutz personenbezogener Daten getroffen; eine detaillierte TOM-Anlage mit weiteren Einzelheiten wird auf Anfrage zur Verfügung gestellt:

• Zutrittskontrolle: Kein physischer Zugang zu Servern (Cloud-Hosting bei Vercel/Supabase)
• Zugangskontrolle: Authentifizierung über Supabase Auth, Passwörter werden gehasht (bcrypt) gespeichert, keine Klartextspeicherung; Mehr-Faktor-Authentifizierung (MFA) steht für Administrator-Konten zur Verfügung
• Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (Owner, Admin, Member/Viewer)
• Transportverschlüsselung: TLS 1.2+ für alle Verbindungen (HTTPS)
• Verschlüsselung im Ruhezustand: Datenbankverschlüsselung (Encryption at Rest) durch den Datenbankanbieter
• Datensparsamkeit: Verarbeitung nur notwendiger Daten, anonymer Check-in-Modus ohne Personenbezug wählbar
• Trennungsgebot: Mandantentrennung auf Datenbankebene per Row-Level-Security
• Protokollierung: Protokollierung sicherheitsrelevanter Ereignisse und administrativer Zugriffe auf personenbezogene Daten
• Backups: Nutzung der Datensicherungsfunktionen des Datenbankanbieters im Rahmen des jeweils eingesetzten Tarifs; die Daten können vom Verantwortlichen jederzeit exportiert werden
• Incident Response: Meldung von Datenpannen an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung

§ 5 Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

Die personenbezogenen Daten (Besuchernamen bzw. Pseudonyme, Check-in-/Check-out-Zeitpunkte) werden im Regelbetrieb in einem EU-Rechenzentrum (Frankfurt am Main) gespeichert und verarbeitet. Da die eingesetzten Dienstleister ihren Sitz in den USA haben, kann ein Zugriff aus einem Drittland (z. B. für Support und Betrieb) nicht ausgeschlossen werden; die Übermittlung ist durch den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Dienstleister zertifiziert ist, im Übrigen durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Der Auftragsverarbeiter schließt mit den Unterauftragsverarbeitern Verträge, die den Anforderungen von Art. 28 Abs. 4 DSGVO entsprechen.

Für Kontakt-, Umfrage- und Wartelisteformulare auf der Website (nicht Bestandteil der eigentlichen Auslastungs- und Check-in-Verarbeitung) werden die Eingaben über eine eigene Schnittstelle der Website entgegengenommen und per E-Mail-Dienst Resend weitergeleitet; Einzelheiten hierzu enthält die Datenschutzerklärung.

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Inanspruchnahme der genannten Unterauftragsverarbeiter. Über die beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vorab in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Vertrag zum Zeitpunkt der geplanten Änderung außerordentlich kündigen.

§ 6 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit). Anfragen sind an den Verantwortlichen zu richten.

§ 7 Datenpannen

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch binnen 48 Stunden, nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die von ihm verarbeitete Daten des Verantwortlichen betrifft.

§ 8 Löschung und Rückgabe

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter alle verarbeiteten personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Dies umfasst auch automatisierte Datensicherungen (Backups), die im Rahmen des üblichen Sicherungszyklus des Datenbankanbieters rollierend überschrieben werden. Auf Wunsch wird der Verantwortliche über die erfolgte Löschung informiert.

§ 9 Kontakt & Anfragen

Für Fragen zum AVV oder zur Datenverarbeitung: