Auftragsverarbeitungsvertrag

Gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO).

1. Hintergrund

Zwischen ECONOMY REGNSKAP AS (das „Buchhaltungsunternehmen“) und dem Kunden (jeweils eine „Partei“, gemeinsam die „Parteien“) wurde ein „Auftragsvertrag für Buchhaltungsaufträge“ (der „Vertrag“) geschlossen.

Die Durchführung des Auftrags bedeutet, dass das Buchhaltungsunternehmen personenbezogene Daten im Auftrag des Kunden verarbeitet. Das Buchhaltungsunternehmen handelt dabei als Auftragsverarbeiter für den Kunden als Verantwortlichen.

Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch das Buchhaltungsunternehmen im Auftrag des Kunden und soll sicherstellen, dass die Verarbeitung in Übereinstimmung mit dem norwegischen Personendatengesetz (personopplysningsloven, LOV-2018-06-15-38), einschließlich der EU-Datenschutz-Grundverordnung (EU/2016/679), sowie späteren Rechtsvorschriften, die diese ersetzen oder ergänzen (das „Datenschutzrecht“), erfolgt.

Die Begriffsbestimmungen in Artikel 4 der Datenschutz-Grundverordnung gelten entsprechend für die in diesem Auftragsverarbeitungsvertrag verwendeten Begriffe.

2. Zweck und Art der Verarbeitung

Zweck der Verarbeitung personenbezogener Daten durch das Buchhaltungsunternehmen ist die Durchführung des Buchhaltungsauftrags gemäß dem Vertrag, einschließlich der Standardlieferbedingungen für Buchhaltungsaufträge von Regnskap Norge (die „Standardbedingungen“).

In Anlage 1 dieses Dokuments werden die konkreten Zwecke der Verarbeitungen sowie die betroffenen Kategorien personenbezogener Daten und betroffener Personen beschrieben.

Der Auftragsverarbeitungsvertrag gilt nicht für die Verarbeitung personenbezogener Daten zu eigenen Zwecken des Buchhaltungsunternehmens. Dies umfasst auch Verarbeitungen, die zur Erfüllung gesetzlicher Pflichten des Buchhaltungsunternehmens erforderlich sind. Für solche Verarbeitungen ist das Buchhaltungsunternehmen selbst Verantwortlicher.

3. Pflichten des Buchhaltungsunternehmens

3.1 Weisungsgebundenheit und Benachrichtigungspflicht

Das Buchhaltungsunternehmen verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich im Vertrag und in Anlage 1 dieses Auftragsverarbeitungsvertrags.

Ist das Buchhaltungsunternehmen der Ansicht, dass eine Weisung des Kunden, vgl. Absatz 1, gegen das Datenschutzrecht verstößt, ist der Kunde darüber zu informieren.

Das Buchhaltungsunternehmen muss den Kunden unverzüglich benachrichtigen, wenn es nicht in der Lage sein wird, seine Pflichten aus diesem Auftragsverarbeitungsvertrag zu erfüllen.

3.2 Weitergabe und Verschwiegenheitspflicht

Das Buchhaltungsunternehmen gibt keine personenbezogenen Daten an Dritte weiter, es sei denn, der Kunde hat einer solchen Weitergabe vorher schriftlich zugestimmt oder das Buchhaltungsunternehmen ist gesetzlich zur Weitergabe der personenbezogenen Daten verpflichtet. Die Weitergabe an weitere Auftragsverarbeiter erfolgt gemäß den Bedingungen in Punkt 4 dieses Auftragsverarbeitungsvertrags.

Die Bestimmung zur Verschwiegenheitspflicht in Punkt 1.6 der Standardbedingungen gilt auch für personenbezogene Daten, die im Rahmen des Vertrags verarbeitet werden.

3.3 Informationssicherheit und Meldung von Verstößen

Das Buchhaltungsunternehmen trifft alle Maßnahmen, die erforderlich sind, um bei der Verarbeitung ein angemessenes Schutzniveau gemäß den Anforderungen von Artikel 32 der Datenschutz-Grundverordnung herzustellen. Die Maßnahmen sind zu dokumentieren.

Das Buchhaltungsunternehmen benachrichtigt den Kunden unverzüglich über jede Verletzung des Schutzes personenbezogener Daten, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten geführt hat, die im Rahmen dieses Auftragsverarbeitungsvertrags verarbeitet werden. Die Benachrichtigung muss die nach Artikel 33 Absatz 3 der Datenschutz-Grundverordnung erforderlichen Angaben enthalten.

Das Buchhaltungsunternehmen ergreift unverzüglich Maßnahmen, um die Folgen der Sicherheitsverletzung zu verhindern oder zu begrenzen.

3.4 Einsatz lokal betriebener KI-Modelle

Das Buchhaltungsunternehmen kann Open-Source-KI-Modelle zur Entscheidungsunterstützung bei der Durchführung des Buchhaltungsauftrags einsetzen, sofern die Modelle lokal auf Geräten unter der Kontrolle des Buchhaltungsunternehmens oder auf Servern betrieben werden, über die das Buchhaltungsunternehmen selbst verfügt und die es selbst kontrolliert.

Personenbezogene Daten, Buchhaltungsdaten, Dokumente, Eingabeaufforderungen (Prompts) und generierte Antworten dürfen nicht an externe KI-Anbieter, externe Modell-APIs oder sonstige Dritte übermittelt oder diesen zugänglich gemacht werden. Die Lösung ist technisch so zu konfigurieren, dass die Verarbeitung in der kontrollierten Betriebsumgebung ohne externe Datenübermittlung erfolgt, und die Daten dürfen ohne besondere dokumentierte Weisung des Kunden und ohne gültige Rechtsgrundlage nicht zum Training oder zur Weiterentwicklung von Modellen verwendet werden.

Das Buchhaltungsunternehmen dokumentiert Zugriffssteuerung, Protokollierung, Speicherung, Löschung, Sicherheitsupdates und sonstige technische und organisatorische Maßnahmen für die KI-Lösung. Der Einsatz von KI dient ausschließlich der Entscheidungsunterstützung. Fachliche Beurteilungen, Buchungen, Berichte und Einreichungen sind von autorisiertem Personal zu prüfen und freizugeben, bevor sie dem Auftrag zugrunde gelegt werden.

3.5 Unterstützungspflicht

Das Buchhaltungsunternehmen unterstützt den Kunden bei der Einhaltung der Anforderungen der Artikel 32 bis 36 der Datenschutz-Grundverordnung zur Informationssicherheit.

Das Buchhaltungsunternehmen unterstützt den Kunden außerdem bei der Erfüllung seiner Pflicht, Anfragen betroffener Personen zu beantworten, die ihre Rechte nach der Verordnung ausüben möchten. Das Buchhaltungsunternehmen beantwortet solche Anfragen nicht selbst, sondern leitet sie unverzüglich an den Kunden weiter oder verweist die betroffene Person darauf, sich direkt an den Kunden zu wenden.

3.6 Zugang zu Informationen und Sicherheitsaudits

Das Buchhaltungsunternehmen gewährt dem Kunden auf Anfrage Zugang zu allen Informationen und Unterlagen, die erforderlich sind, um nachzuweisen, dass die Verarbeitung in Übereinstimmung mit diesem Auftragsverarbeitungsvertrag und den Weisungen des Kunden erfolgt.

Stellt der Kunde Abweichungen fest, ergreift das Buchhaltungsunternehmen unverzüglich Korrekturmaßnahmen.

4. Bedingungen für die Beauftragung weiterer Auftragsverarbeiter

Der Kunde stimmt zu, dass das Buchhaltungsunternehmen die im Rahmen des Vertrags verarbeiteten personenbezogenen Daten weiteren Auftragsverarbeitern (Unterauftragnehmern) überlässt, die in Anlage 2 dieses Dokuments aufgeführt sind.

Bevor neue Auftragsverarbeiter in die Verarbeitung einbezogen werden, ist der Kunde spätestens zwei Wochen, bevor die personenbezogenen Daten dem neuen Auftragsverarbeiter überlassen werden, schriftlich zu benachrichtigen. Die Benachrichtigung muss Angaben dazu enthalten, wo die Verarbeitung stattfinden wird, vgl. Punkt 5 dieses Auftragsverarbeitungsvertrags.

Der Kunde kann der Überlassung der personenbezogenen Daten an neue Auftragsverarbeiter widersprechen. In diesem Fall bemühen sich die Parteien loyal um eine für beide Parteien akzeptable Lösung. Führt dies nicht zum Erfolg, kann der Vertrag von beiden Parteien gemäß Punkt 12 der Standardbedingungen gekündigt werden.

Das Buchhaltungsunternehmen schließt mit seinen Auftragsverarbeitern einen schriftlichen Vertrag, der diesen dieselben Pflichten auferlegt, die das Buchhaltungsunternehmen selbst nach diesem Auftragsverarbeitungsvertrag hat. Das Buchhaltungsunternehmen haftet gegenüber dem Kunden in vollem Umfang für die Verarbeitung durch den Auftragsverarbeiter.

5. Bedingungen für die Übermittlung außerhalb der EU/des EWR

Personenbezogene Daten dürfen nur dann in Länder außerhalb der EU/des EWR übermittelt werden, wenn der Kunde vorher zugestimmt hat.

Der Kunde stimmt Übermittlungen außerhalb der EU/des EWR zu, die im Zusammenhang mit der Überlassung der personenbezogenen Daten an bestehende Auftragsverarbeiter zu den in Anlage 2 dieses Dokuments genannten Bedingungen erfolgen.

Als vorherige Zustimmung im Sinne dieser Bestimmung gilt auch das Ausbleiben von Einwänden dagegen, dass die Verarbeitung einem Auftragsverarbeiter überlassen wird, der die personenbezogenen Daten außerhalb der EU/des EWR verarbeitet, vgl. Punkt 4 dieses Auftragsverarbeitungsvertrags.

6. Löschung und Rückgabe personenbezogener Daten

Bei Beendigung des Vertrags ist das Buchhaltungsunternehmen verpflichtet, alle personenbezogenen Daten gemäß den näheren Weisungen des Kunden zum Beendigungszeitpunkt zurückzugeben, zu löschen oder zu anonymisieren. Die Parteien einigen sich loyal über die praktische Umsetzung dieser Pflicht, die den Bedürfnissen beider Parteien zur Erfüllung gesetzlicher Anforderungen und zur Sicherung des laufenden Betriebs Rechnung trägt.

Die Löschpflicht gilt in keinem Fall für personenbezogene Daten, die Teil der eigenen Auftragsdokumentation des Buchhaltungsunternehmens sind, vgl. Punkt 2 Absatz 3 dieses Auftragsverarbeitungsvertrags.

7. Laufzeit und Änderungen des Auftragsverarbeitungsvertrags

Der Auftragsverarbeitungsvertrag gilt, solange das Buchhaltungsunternehmen personenbezogene Daten im Auftrag des Kunden verarbeitet. Die Verschwiegenheitspflicht gilt unbefristet.

Der Auftragsverarbeitungsvertrag kann bei Bedarf und im Einvernehmen der Parteien gemäß Punkt 7 der Standardbedingungen geändert werden.

8. Mitteilungen und sonstige Kommunikation

Mitteilungen und sonstige Kommunikation nach diesem Auftragsverarbeitungsvertrag erfolgen gemäß Punkt 1.4 der Standardbedingungen.

9. Rechtswahl und Gerichtsstand

Rechtswahl und Gerichtsstand sind in Punkt 15 der Standardbedingungen geregelt.