AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

Diese AVV ist Teil des Kundenvertrags, soweit HouseID im Auftrag personenbezogene Daten verarbeitet. Kunde ist Verantwortlicher, HouseID Auftragsverarbeiter; für eigene Kontoverwaltung, Abrechnung, Sicherheit, Rechtspflichten und B2B-Kontakt kann HouseID selbst Verantwortlicher nach Teil C sein.

Gegenstand: Portalbetrieb, Dokumentenspeicherung/-klassifizierung, Projektimplementierung, Nutzer-/Zugriffsverwaltung, Berichte, Support, Sicherheit, Backups, genehmigte Analysen und Integrationen. Dauer: Kundenvertrag plus begrenzte Exit-, Backup- und gesetzliche Fristen. Erweiterung nur mit dokumentierter Weisung und ggf. Change Request.

Betroffene können Beschäftigte, Auftragnehmer, Administratoren, Lieferanten, Kontakte, Objektbesucher und vom Kunden genannte Personen sein. Daten umfassen Identität, Kontakt, Rolle, Rechte, Projekt-/Betriebskommunikation, Vertragsmetadaten, Schulung, Zugriff, Audit und Dokumentinhalte. Besondere Kategorien, Strafdaten, Biometrie und Kinderdaten sind ausgeschlossen, sofern nicht ausdrücklich mit Rechtsgrundlage/Risikoprüfung bestellt.

HouseID verarbeitet einschließlich Übermittlungen nur auf dokumentierte Weisung, außer bei Rechtspflicht; dann informiert es vorab, soweit zulässig. Erscheint eine Weisung rechtswidrig, weist HouseID darauf hin und kann die Operation bis zur Klärung aussetzen.

Berechtigte Personen sind vertraulich verpflichtet, geschult und rollen-/bedarfsbegrenzt. HouseID steuert Eintritt, Wechsel, Austritt, regelmäßige Rechteprüfung und privilegierte Zugriffe. Gemeinsame Konten sind außer verwalteten technischen Konten mit Geheimnisverwaltung und Audit verboten.

HouseID setzt Maßnahmen nach Art. 32 und Teil G um: Identität/Rollen, MFA, Mandantentrennung, Transport- und Speicherverschlüsselung, Geheimnisverwaltung, Logging, Monitoring, Backups, Wiederherstellung, Schwachstellen, sichere Entwicklung, Lieferanten und Wirksamkeitstests. Parameter werden belegt; keine unbelegte Zertifizierung.

Der Kunde erteilt allgemeine schriftliche Genehmigung für Unterauftragsverarbeiter in Teil H. Änderungen werden mindestens 30 Tage vorher mit Informationen für begründeten Widerspruch angekündigt. Die Parteien lösen diesen nach Treu und Glauben; ohne Abhilfe kann der Kunde die betroffene Leistung beenden. HouseID überträgt im Wesentlichen gleiche Pflichten und bleibt verantwortlich.

Unter Berücksichtigung der Verarbeitung unterstützt HouseID Betroffenenrechte, leitet Anträge unverzüglich weiter und antwortet nicht ohne Vollmacht. Es unterstützt Sicherheit, Vorfälle, DSFA und Konsultation. Angemessene Routinehilfe ist enthalten; außerordentliche kundenseitige Arbeit kann nach Kostenschätzung berechnet werden, darf Pflichten aber nicht verhindern.

HouseID meldet dem Kunden eine bestätigte Datenschutzverletzung unverzüglich nach Kenntnis, Ziel 24 Stunden nach Bestätigung, mit verfügbaren Angaben zu Art, Kategorien/Zahlen, Kontakt, Folgen, Maßnahmen und Updates. Das Ziel ist weder Schuldanerkenntnis noch Ersatz der 72-Stunden-Pflicht des Kunden. Beweise werden gesichert und Kommunikation koordiniert.

HouseID stellt Nachweise bereit und erlaubt jährlich eine Dokumenten-/Berichtprüfung mit angemessener Frist, Umfang und Vertraulichkeit. Vor-Ort-Prüfung erfolgt nur bei begründetem erheblichem Risiko oder Behördenverlangen, zu Geschäftszeiten und ohne Fremdkundendaten. Jede Partei trägt normale Kosten; wesentliche Verstöße behebt HouseID auf eigene Kosten.

Übermittlungen außerhalb des EWR erfolgen nur auf dokumentierte Weisung oder als genehmigte Leistung gemäß Kapitel V. HouseID dokumentiert Mechanismus, Drittlandsrisiko und Zusatzmaßnahmen. Beschluss 2021/915 für Verantwortlicher/Auftragsverarbeiter ist kein Drittlandinstrument; nötigenfalls gelten Klauseln 2021/914 oder ein anderes gültiges Instrument.

Bei Ende gibt HouseID Daten nach Wahl zurück oder löscht sie, sofern keine Rechtspflicht zur Speicherung besteht. Aktive Daten folgen Exitfrist, Backups dem bestätigten Zyklus. Aufbewahrte Daten bleiben geschützt und zweckfremd ungenutzt. Abschluss und Ausnahmen werden auf Wunsch belegt.