Vertrag zur Auftragsverarbeitung

§ 1 Parteien und Gegenstand

Auftragnehmerin ist die Digitalzeit GmbH, Speditionstraße 15a, 40221 Düsseldorf (HRB 29604), Marke Sparks for Teams („Auftragnehmerin“). Auftraggeber ist der Kunde im Sinne der AGB („Auftraggeber“).

Die Auftragnehmerin verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit sie SaaS-Dienste (Chat, Meetings, Dateien, Kalender, Account, optionale KI) für den Auftraggeber betreibt. Beim Self-Host gilt dieser AVV nur, soweit die Auftragnehmerin noch personenbezogene Daten sieht (insbesondere Support, Abrechnung, Telemetrie, soweit vereinbart).

§ 2 Weisungen

Die Auftragnehmerin verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf Drittlandübermittlungen, es sei denn, sie ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet. Die AGB, dieser AVV, die Produktkonfiguration (Organisationseinstellungen, Integrationen) und Support-Tickets gelten als Weisung. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.

§ 3 Art, Zweck und Dauer

Art: Hosting und Betrieb einer Kollaborationsplattform (Übertragung, Speicherung, Anzeige, optionale Aufzeichnung, Transkription und KI-Auswertung). Zweck: Vertragserfüllung der AGB. Dauer: Laufzeit des Hauptvertrags zuzüglich gesetzlicher Aufbewahrungsfristen und der Fristen in § 3a.

§ 3a Speicherfristen (Kollaboration)

Soweit Digitalzeit als Auftragsverarbeiterin speichert, gelten die folgenden SaaS-Standardfristen. Der Auftraggeber kann kürzere oder längere Fristen in Textform anweisen, soweit technisch umsetzbar. Sparks ist kein Patientenarchiv; gesetzliche Fristen des Gesundheitswesens gibt der Auftraggeber vor. Account-, Zahlungs- und Website-Fristen stehen in der Datenschutzerklärung (dort Verantwortliche, nicht dieser AVV).

Besondere Kategorien (Art. 9 DSGVO, z. B. Gesundheitsdaten in Meetings) verarbeitet die Auftragnehmerin nur, soweit der Auftraggeber sie einstellt und eine Rechtsgrundlage nach Art. 9 hat. Dafür kann eine Zusatzvereinbarung (TOMs, Zugriffsprotokoll, kürzere Fristen) geschlossen werden. Sparks ersetzt keine Krankenakte.

§ 4 Datenarten und Betroffene

• Stammdaten von Nutzern (Name, geschäftliche E-Mail, Organisation, Rollen)
• Kommunikationsinhalte (Chat, Dateien, Kalendereinträge)
• Meeting-Daten (Audio/Video, Teilnehmerlisten, optional Aufzeichnungen und Transkripte)
• Technische Protokolle (IP-Adresse, Geräte-/Sitzungsdaten, soweit erforderlich)
• Abrechnungsdaten der Organisation (über Zahlungsdienstleister)

Betroffene: Beschäftigte und Beauftragte des Auftraggebers, Gäste in Meetings, sonstige Personen, deren Daten der Auftraggeber in die Dienste einstellt.

§ 5 Pflichten der Auftragnehmerin

• Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
• Sicherheit: geeignete TOMs gemäß § 6 und Art. 32 DSGVO.
• Unterstützung bei Betroffenenrechten (Art. 15–22) im Rahmen des Zumutbaren und der technischen Möglichkeiten.
• Unterstützung bei Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, DSFA) gegen Nachweis des Aufwands, soweit nicht bereits im Tarif enthalten.
• Keine Verarbeitung zu eigenen Zwecken und kein Training allgemeiner KI-Modelle mit Kundendaten.

§ 6 Technisch-organisatorische Maßnahmen

• Transportverschlüsselung TLS 1.2/1.3; Speicherung verschlüsselt (at rest) soweit vom jeweiligen System unterstützt
• Zugriff auf Produktionssysteme nur für autorisiertes Personal mit 2FA
• ISO-27001-zertifizierte Rechenzentren der Hosting-Anbieter
• Tägliche verschlüsselte Backups, Aufbewahrung 30 Tage, soweit SaaS
• Optional Ende-zu-Ende-Verschlüsselung für Chat/Meetings nach Organisationseinstellung
• Privacy by default: Kamera und Mikrofon beim Meeting-Beitritt standardmäßig aus

§ 7 Unterauftragnehmer

Der Auftraggeber genehmigt die nachstehenden Unterauftragnehmer. Wesentliche Änderungen teilt die Auftragnehmerin mit angemessener Frist in Textform mit (Website oder E-Mail). Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Widerspruchsfall kann die Auftragnehmerin den Hauptvertrag ordentlich kündigen.

LiveKit, Keycloak und Matrix-Homeserver betreibt die Auftragnehmerin selbst auf der genannten EU-Infrastruktur; sie sind keine gesonderten Unterauftragnehmer. Microsoft 365/Graph und mobile Push (APNs/FCM) sind optionale Kundendienste; sie werden in der Datenschutzerklärung beschrieben und sind nicht automatisch Unterauftragnehmer dieses AVV.

§ 8 Drittland

Kernverarbeitung findet in der EU/EWR statt. Soweit Unterauftragnehmer oder optionale Dienste Daten in Drittländer übermitteln (insbesondere Stripe-Konzern, Apple, Google), geschieht dies auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) und, soweit anwendbar, eines Angemessenheitsbeschlusses bzw. des EU-US Data Privacy Framework. Einzelheiten: Datenschutzerklärung.

§ 9 Verletzungen und Löschung

Die Auftragnehmerin unterrichtet den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Löschung und Anonymisierung richten sich nach § 3a, nach Weisung des Auftraggebers und nach gesetzlichen Aufbewahrungspflichten. Exportfunktionen werden, soweit im Produkt angeboten, für eine angemessene Übergangsfrist bereitgehalten.

§ 10 Nachweise und Audits

Die Auftragnehmerin stellt dem Auftraggeber die zur Erfüllung von Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung (insbesondere diese TOMs und Unterauftragnehmerliste). Vor-Ort-Prüfungen sind mit angemessener Frist, während der Geschäftszeiten und ohne Störung des Betriebs zulässig, soweit Nachweise nicht ausreichen; Kosten trägt der Auftraggeber, außer bei einem vom Auftragnehmer zu vertretenden erheblichen Mangel.

§ 11 Haftung, Laufzeit, Schluss

Haftung richtet sich nach den AGB, soweit das zwingende Datenschutzrecht nichts anderes verlangt. Dieser AVV gilt für die Dauer des Hauptvertrags und danach, soweit Daten noch verarbeitet werden. Änderungen bedürfen der Textform, soweit nicht über die in den AGB geregelte Änderungsmechanik wirksam. Es gilt deutsches Recht. Gerichtsstand wie in den AGB. Deutsch geht bei Abweichungen der Übersetzung vor.