Vertrag

Auftragsverarbeitungsvertrag (AVV)

Gemäß Art. 28 DSGVO · Standardfassung Venne Control

1Vertragsparteien

Auftragsverarbeiter („Auftragnehmer"):
Venne Media GmbH, Warendorfer Str. 28, 48361 Beelen, Deutschland
vertreten durch die Geschäftsführung; Datenschutz-Kontakt: datenschutz@venne-media.de.

Verantwortlicher („Auftraggeber"): der Inhaber des jeweiligen Venne Control-Accounts.

2Gegenstand, Umfang und Dauer

2.1 Gegenstand

Bereitstellung und Betrieb der Fernwartungs- und Kiosk-Management-Plattform „Venne Control" einschließlich Server-Infrastruktur, WebSocket-Backend und Update-Auslieferung.

2.2 Dauer

Der AVV gilt für die Laufzeit des Hauptvertrags und endet automatisch mit dessen Beendigung.

2.3 Art und Zweck

Fernwartung von Windows-Endgeräten des Auftraggebers, Live-Übertragung von Bildschirminhalten während aktiver Remote-Sessions, Verwaltung von Kiosk-Konfigurationen (URLs, Slots, Zeitpläne) und Audit-Trail über sicherheitsrelevante Aktionen.

2.4 Art der Daten

  • Geräte-Stammdaten (Hostname, OS-Version, Bildschirmkonfiguration, IP, optional MAC)
  • Operator-Stammdaten (E-Mail, Passwort-Hash, optionales TOTP-Geheimnis)
  • Audit-Logs (Pairing, Session-Start, Kiosk-Änderung)
  • Bildschirminhalte während aktiver Remote-Sessions (Live, nicht aufgezeichnet)

2.5 Kategorien betroffener Personen

Mitarbeitende des Auftraggebers, deren PC fernverwaltet wird; Operator-Konten des Auftraggebers; Kunden/Besucher, deren Daten am Kiosk-Display erscheinen können.

2aRollenverteilung

Der Auftraggeber ist und bleibt datenschutzrechtlich Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO für sämtliche verarbeiteten personenbezogenen Daten. Der Auftragnehmer stellt die technische Infrastruktur (Hosting, WebSocket-Relay, Speicherung) bereit und hat keinen Einfluss auf den konkreten Verarbeitungszweck oder die Inhalte.

Der Auftraggeber ist allein verantwortlich dafür,

  • dass die Fernwartung der Endgeräte auf einer wirksamen Rechtsgrundlage erfolgt (Mitarbeiter-Einwilligung, Betriebsvereinbarung, berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO);
  • dass den betroffenen Mitarbeitenden vor der Erst-Einrichtung die Datenschutzinformationen nach Art. 13 DSGVO bereitgestellt werden;
  • dass die im Kiosk-Modus geladenen URLs und Inhalte rechtmäßig sind;
  • dass Operator-Zugänge nur an dazu berechtigte Personen vergeben werden.

3Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Drittlandübermittlungen finden im regulären Betrieb nicht statt — sämtliche Verarbeitungen erfolgen in deutschen Rechenzentren. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Weisungen erfolgen in der Regel über die Konfigurationsoberfläche des Dashboards.

4Vertraulichkeit

Der Auftragnehmer gewährleistet, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen sich schriftlich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt auch nach Beendigung des Beschäftigungsverhältnisses fort.

5Technische und organisatorische Maßnahmen

  • Verschlüsselung: Durchgehend TLS 1.3 (HTTPS/WSS). Auth-Tokens auf dem Client mit Windows DPAPI verschlüsselt. Datenbank-Backups verschlüsselt at-rest.
  • Vertraulichkeit: Rollen-/Rechte-Konzept im Backend, Pflicht-2FA (TOTP) für Administratoren, Login-Throttling.
  • Integrität: Append-only Audit-Log aller sicherheitsrelevanten Aktionen, Datenbank-Constraints, Eingaben-Validierung.
  • Verfügbarkeit: Hosting bei ISO-27001-zertifiziertem EU-Anbieter, tägliche Backups (14 Tage), Monitoring.
  • Wiederherstellbarkeit: Dokumentiertes Verfahren zur Wiederherstellung innerhalb von 24 Stunden.
  • Regelmäßige Überprüfung: Automatisierte Dependency-Scans, interne Sicherheitsaudits halbjährlich.
  • Belastbarkeit: Rate-Limiting, DDoS-Schutz, fail2ban.

6Unterauftragsverarbeiter

Der Auftraggeber genehmigt die Hinzuziehung der folgenden Unterauftragsverarbeiter:

  • Hosting/Server-Infrastruktur: ISO-27001-zertifizierter EU-Anbieter mit Rechenzentrumsstandort Deutschland.
  • E-Mail-Versand (transactional): EU-basierter Versanddienstleister.

Vor jedem Wechsel oder jeder Hinzuziehung informiert der Auftragnehmer den Auftraggeber mit einer Vorlaufzeit von mindestens 30 Tagen. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen schriftlich widersprechen.

7Unterstützung bei Betroffenenrechten

  • Auskunft (Art. 15) — Export der zu einer Person gespeicherten Daten über das Dashboard möglich.
  • Berichtigung (Art. 16) — manuelle Korrektur im Dashboard möglich.
  • Löschung (Art. 17) — Einzellöschung von Geräten/Sessions/Operatoren.
  • Einschränkung (Art. 18) — Sperrung einzelner Geräte oder Operator-Konten.
  • Datenübertragbarkeit (Art. 20) — strukturierter JSON-Export auf Anfrage.
  • Widerspruch (Art. 21) — Entkopplung einzelner Geräte möglich.

8Meldepflichten bei Datenpannen

Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO).

9Löschung und Rückgabe

Nach Beendigung des Hauptvertrags gibt der Auftragnehmer auf Wahl des Auftraggebers entweder alle personenbezogenen Daten als strukturierten Export zurück oder löscht sie vollständig. Die Löschung erfolgt spätestens 30 Tage nach Vertragsende. Backups werden im Zuge des regulären Backup-Lebenszyklus überschrieben (max. 14 Tage). Auf Anforderung bestätigt der Auftragnehmer die ordnungsgemäße Löschung schriftlich.

10Kontroll- und Auditrechte

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind. Der Auftraggeber ist berechtigt, sich regelmäßig (einmal jährlich) von der Einhaltung der vereinbarten Maßnahmen zu überzeugen — durch schriftliche Auskünfte, Anforderung der TOM-Liste oder Vor-Ort-Kontrolle nach Voranmeldung (mindestens 14 Tage).

11Haftung

Für Schäden, die einer betroffenen Person durch eine Verarbeitung im Rahmen dieses Vertrags entstehen, gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien nach den allgemeinen Vorschriften und nach Maßgabe ihres jeweiligen Verursachungsbeitrags.

12Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen gehen die Regelungen dieses AVV in Bezug auf die Verarbeitung personenbezogener Daten vor. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt. Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragnehmers, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Bestätigen