Auftragsverarbeitungsvertrag (AVV)

Dies ist ein Platzhalter. Der endgültige Vertragstext wird juristisch erstellt und hier im Admin-Bereich unter „Rechtstexte“ eingesetzt.

Die Pilzsachverständigen erfassen in dieser Anwendung Daten von Ratsuchenden und von Betroffenen eines Vergiftungsverdachts. Dafür sind sie Verantwortliche im Sinne der DSGVO; der Betreiber der Anwendung verarbeitet diese Daten in ihrem Auftrag. Dieser Vertrag nach Art. 28 DSGVO regelt die Einzelheiten und wird bei der Registrierung geschlossen.

1. Gegenstand und Dauer des Auftrags

[Gegenstand: Bereitstellung und Betrieb der Web-Anwendung zur Dokumentation von Beratungs- und Notfallprotokollen. Dauer: für die Laufzeit des Kontos.]

2. Art und Zweck der Verarbeitung, Art der Daten, Kreis der Betroffenen

• Art der Verarbeitung: Speichern, Ändern, Auslesen, Übermitteln (Berichte per E-Mail), Löschen
• Art der Daten: Kontaktdaten der Ratsuchenden; Gesundheitsdaten im Notfallprotokoll (Alter, Geschlecht, Symptome, Verlauf); Fotos
• Kreis der Betroffenen: Ratsuchende der Pilzberatung sowie Personen mit Verdacht auf eine Pilzvergiftung

3. Pflichten des Auftragsverarbeiters

[Weisungsbindung, Vertraulichkeit, Unterstützung bei Betroffenenrechten, Meldung von Datenschutzverletzungen, Nachweise, Löschung oder Rückgabe nach Vertragsende.]

4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

[Juristisch ausformulieren. Technisch umgesetzt sind derzeit:]

• Übertragung ausschließlich verschlüsselt über HTTPS
• Anmeldung mit E-Mail-Adresse und Passwort sowie einem Einmalcode per E-Mail (zweiter Faktor); Passwörter nur als Hash gespeichert
• Sperre nach mehreren Fehlversuchen, getrennt je Konto und IP-Adresse
• Vollständige Trennung der Daten je Benutzerkonto
• Protokollierung sicherheitsrelevanter Aktionen, nur für Administratoren einsehbar
• Serverstandort [Deutschland]; [Angaben zu Backups des Hosters]

5. Unterauftragsverhältnisse

[Benennung des Hosters und weiterer Unterauftragnehmer.]

6. Löschung und Rückgabe

[Regelung zum Vertragsende. Technisch können Nutzerinnen und Nutzer ihre Daten jederzeit vollständig exportieren und einzeln oder zusammen mit dem Konto endgültig löschen.]

7. Stand

[Datum des Textstands.]