Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend “AVV”) wird geschlossen zwischen dem Kunden der SaaS-Plattform LYNKOS (nachfolgend “Verantwortlicher”) und:

LYNKOS GmbH
Sitz: Niedernberg
Rüttelweg 5
63843 Niedernberg
Handelsregister B, HRB 18652
Amtsgericht Aschaffenburg
Deutschland
(nachfolgend “Auftragsverarbeiter”)

Der AVV ergänzt die Allgemeinen Geschäftsbedingungen und die Datenschutzerklärung.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform LYNKOS. Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag (AGB).

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

(3) Die Art der verarbeiteten personenbezogenen Daten umfasst:

• Kontaktdaten (Name, E-Mail, Telefon, Adresse) von Leads/Kunden
• Projektdaten (PV-Anlagenplanung, Heizlastberechnungen, Grundrisse)
• Fotos, Dokumente und Unterschriften aus Vor-Ort-Terminen
• Angebots- und Rechnungsdaten
• Termine und Kommunikation (E-Mails, Notizen)
• Geodaten (Adresskoordinaten, Modulplatzierungen)
• Mitarbeiterdaten der Organisation des Verantwortlichen (z. B. Zeiterfassung)

(4) Kategorien betroffener Personen: Kunden/Leads des Verantwortlichen, Mitarbeiter des Verantwortlichen, Endkunden.

§ 2 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur:

• auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO)
• für die im Hauptvertrag vereinbarten Zwecke

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe § 5).

§ 3 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen (Art. 28 Abs. 2 DSGVO).

(2) Aktuelle Unterauftragsverarbeiter:

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf Unterauftragsverarbeiter mindestens 30 Tage im Voraus in Textform (E-Mail) und gibt ihm die Möglichkeit, aus wichtigem datenschutzrechtlichem Grund Einspruch zu erheben (Art. 28 Abs. 2 DSGVO). Kommt keine Einigung zustande, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht. Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

(5) Keine Unterauftragsverarbeiter sind Dienste, die der Verantwortliche selbst anbindet und mit deren Anbieter er einen eigenen Vertrag hat (z. B. Microsoft 365/Outlook, eigenes E-Mail-Postfach, DATEV, Lead-Portale). Für diese Dienste ist der Verantwortliche selbst verantwortlich.

(6) Kartendienste in eigener Verantwortung: Für Karten, Luftbilder, Adresssuche und Solarpotenzial übermittelt der Auftragsverarbeiter auf Weisung des Verantwortlichen nur die dafür nötigen Daten (Adresstext bzw. Koordinaten und Kartenausschnitt, keine Namen oder Kontaktdaten) an die folgenden Anbieter. Diese verarbeiten die Daten nach ihren eigenen Bedingungen in eigener Verantwortung und sind keine Unterauftragsverarbeiter im Sinne dieses § 3. Mit der Nutzung der Karten- und Planungsfunktionen weist der Verantwortliche diese Übermittlung an.

§ 4 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflicht des Verantwortlichen, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte gemäß Kapitel III DSGVO zu bearbeiten (Art. 28 Abs. 3 lit. e DSGVO).

(2) Über die Plattform kann der Verantwortliche eigenständig Daten exportieren, berichtigen und löschen. Bei darüber hinausgehenden Anfragen unterstützt der Auftragsverarbeiter den Verantwortlichen.

§ 5 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter hat folgende Maßnahmen gemäß Art. 32 DSGVO implementiert:

• Verschlüsselung: TLS-Verschlüsselung aller Datenübertragungen, verschlüsselte Datenbank (Supabase encryption at rest)
• Zugriffskontrolle: Row Level Security (RLS) auf Datenbankebene, rollenbasierte Zugriffskontrolle in der Anwendung
• Authentifizierung: Passwörter nur gehasht gespeichert, Anmeldung über signierte, zeitlich begrenzte Sitzungstoken, abgestufte Rollen und Berechtigungsgruppen
• Mandantentrennung: Strikte Datentrennung zwischen Organisationen durch RLS-Policies auf allen Tabellen
• Datensicherung: Tägliche automatische Datenbank-Backups sowie zusätzliche verschlüsselte Sicherungen von Datenbank und Dateien bei einem zweiten Anbieter in Deutschland
• Protokollierung: Audit-Logging für sicherheitsrelevante Aktionen
• Verfügbarkeit: Datenbank und Anwendung in EU-Rechenzentren (Frankfurt)

§ 6 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Verantwortliche hat nach Vertragsbeendigung 30 Tage Zeit, seine Daten über die Export-Funktion der Plattform herunterzuladen.

(3) Die Löschung wird dem Verantwortlichen auf Wunsch bestätigt.

(4) Daten in Sicherungskopien werden nicht einzeln gelöscht. Sie werden im regulären Sicherungszyklus überschrieben, spätestens nach zwölf Monaten, und bis dahin verschlüsselt und ohne Zugriff im laufenden Betrieb aufbewahrt.

(5) Handels- und steuerrechtliche Aufbewahrungspflichten des Verantwortlichen (z. B. für Rechnungen) erfüllt dieser selbst, indem er seine Daten vor Ablauf der Frist nach Abs. 2 exportiert.

§ 7 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses AVV zu überprüfen — einschließlich durch Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen.

§ 8 Meldepflichten bei Datenschutzvorfällen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens folgende Informationen:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
• Beschreibung der wahrscheinlichen Folgen
• Beschreibung der ergriffenen Maßnahmen

§ 9 Schlussbestimmungen

(1) Dieser AVV tritt mit der Zustimmung im Bestellvorgang oder mit der Registrierung auf der Plattform LYNKOS in Kraft und gilt für die Dauer des Hauptvertrages.

(2) Änderungen dieses AVV bedürfen der Textform.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.