Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter (AutoLetter GmbH, nachfolgend „Auftragnehmer“) im Auftrag des Nutzers (nachfolgend „Auftraggeber“).

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages (Nutzung der Plattform briefsenden.com).

§ 2 Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zum Zweck des physischen Briefversands. Dies umfasst:

• Entgegennahme und temporäre Speicherung von Briefdokumenten (PDF)
• Verarbeitung von Empfängeradressen für den Versand
• Übermittlung der Daten an die Deutsche Post AG zur physischen Zustellung
• Speicherung von Versandstatus und Zustellinformationen

§ 3 Art der personenbezogenen Daten

Folgende Arten personenbezogener Daten werden verarbeitet:

• Name und Anschrift der Briefempfänger
• Inhalt der Briefdokumente (soweit personenbezogene Daten enthalten)
• Absenderdaten des Auftraggebers
• Versand- und Zustelldaten

Der Briefinhalt kann besondere Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO enthalten – insbesondere Gesundheitsdaten (z. B. bei der Verarbeitung ärztlicher Privatabrechnungen, Befunde, Recall-Schreiben) – soweit der Auftraggeber solche Dokumente übermittelt.

Betroffene Personengruppen: Briefempfänger des Auftraggebers, Patientinnen und Patienten, Mandantinnen und Mandanten sowie Beschäftigte des Auftraggebers, ferner Mitarbeiter und Geschäftspartner des Auftraggebers.

§ 4 Pflichten des Auftraggebers

Der Auftraggeber ist verantwortlich für:

• Die Rechtmäßigkeit der Datenverarbeitung gemäß DSGVO
• Die Wahrung der Rechte der betroffenen Personen
• Die Sicherstellung, dass nur rechtmäßige Inhalte versendet werden
• Die Information der betroffenen Personen über die Datenverarbeitung

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragnehmer verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten
• Alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit zu verpflichten sowie, soweit Geheimnisse i.S.d. § 203 StGB betroffen sind, gemäß § 6 dieses Vertrages zur Geheimhaltung zu verpflichten
• Geeignete technische und organisatorische Maßnahmen zu ergreifen
• Den Auftraggeber bei der Erfüllung seiner Pflichten zu unterstützen
• Den Auftraggeber bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten (Datenpannen) sowie der Datenschutz-Folgenabschätzung gemäß Art. 32–36 DSGVO zu unterstützen und ihm eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden mitzuteilen
• Den Auftraggeber unverzüglich zu informieren, falls er der Auffassung ist, dass eine Weisung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt
• Nach Beendigung des Auftrags alle Daten zu löschen oder zurückzugeben
• Dem Auftraggeber alle erforderlichen Informationen und Kontrollmöglichkeiten bereitzustellen sowie Überprüfungen und Inspektionen zu ermöglichen und zu unterstützen

§ 6 Wahrung von Berufsgeheimnissen (§ 203 StGB)

(1) Den Parteien ist bewusst, dass der Auftraggeber einer beruflichen Geheimhaltungspflicht unterliegen kann, insbesondere nach § 203 StGB (z. B. als Arzt, Zahnarzt, Angehöriger eines anderen Heilberufs, Rechtsanwalt, Steuerberater, Wirtschaftsprüfer oder als Stelle der Lohn- und Gehaltsabrechnung), und dass dem Auftragnehmer im Rahmen der Auftragsverarbeitung fremde Geheimnisse i.S.d. § 203 StGB offenbart werden können.

(2) Der Auftragnehmer sowie alle bei ihm beschäftigten und mit der Verarbeitung befassten Personen werden hiermit ausdrücklich verpflichtet, solche Geheimnisse geheim zu halten (§ 203 Abs. 4 StGB). Diese Verpflichtung besteht über die Beendigung des Vertragsverhältnisses hinaus fort. Der Auftragnehmer belehrt die bei ihm tätigen Personen über die Strafbarkeit einer unbefugten Offenbarung.

(3) Der Auftragnehmer stellt sicher, dass jede weitere mitwirkende Person (Unterauftragsverarbeiter), die Zugang zu Geheimnissen i.S.d. § 203 StGB erhält, in gleichem Umfang schriftlich oder in vergleichbarer Form zur Geheimhaltung verpflichtet wird, bevor sie Zugang erhält (§ 203 Abs. 4 S. 2 Nr. 1 StGB). Mitwirkende Personen ohne Zugang zum Briefinhalt sind hiervon ausgenommen.

(4) Der Zugang zum Klartext-Briefinhalt ist auf solche Unterauftragsverarbeiter beschränkt, die zur Erbringung der Leistung zwingend erforderlich und nach Absatz 3 zur Geheimhaltung verpflichtet sind. Dies sind derzeit ausschließlich die in § 8 (Unterauftragsverarbeiter) mit dem Vermerk „Zugriff auf Briefinhalt: Ja“ gekennzeichneten Stellen, die sämtlich in der Europäischen Union ansässig sind.

(5) Für österreichische Auftraggeber gelten die entsprechenden berufsrechtlichen Verschwiegenheitspflichten (insb. § 54 ÄrzteG, § 121 öStGB) sinngemäß.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragnehmer hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:

• Vertraulichkeit: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Trennungsgebot
• Integrität: Weitergabekontrolle, Eingabekontrolle
• Verfügbarkeit: Verfügbarkeitskontrolle, regelmäßige Backups
• Belastbarkeit: Redundante Systeme, Wiederherstellbarkeit
• Verschlüsselung: TLS-Verschlüsselung bei der Übertragung sowie Verschlüsselung der Briefdokumente im Ruhezustand (Encryption at Rest)
• Verarbeitungsort: Die Verarbeitung der Briefinhalte erfolgt ausschließlich auf Servern in Deutschland (Hetzner Online GmbH)
• Zugriffsbeschränkung: Zugriff auf Briefinhalte ausschließlich nach dem Need-to-know-Prinzip; Protokollierung der Zugriffe auf Briefinhalte
• Automatisierte Löschung: Die Briefinhalte werden nach erfolgtem Versand automatisiert gelöscht, spätestens 30 Tage nach Zustellung bzw. nach Abschluss des Versandvorgangs
• Regelmäßige Überprüfung: Verfahren zur regelmäßigen Überprüfung und Bewertung der Maßnahmen

§ 8 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Zugang zum Klartext-Briefinhalt haben ausschließlich die mit „Ja“ gekennzeichneten Unterauftragsverarbeiter; diese sind sämtlich in der EU ansässig und nach § 6 (§ 203 StGB) zur Geheimhaltung verpflichtet. Die übrigen Unterauftragsverarbeiter verarbeiten keine Briefinhalte.

Der Auftragnehmer wird den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informieren. Der Auftraggeber kann gegen solche Änderungen Einspruch erheben.

§ 9 Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen gemäß Art. 12–22 DSGVO, insbesondere bei:

• Auskunftsersuchen
• Berichtigungsverlangen
• Löschungsverlangen
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruchsrechten

Wendet sich eine betroffene Person direkt an den Auftragnehmer, wird dieser den Auftraggeber unverzüglich informieren.

§ 10 Schlussbestimmungen

Dieser AVV unterliegt österreichischem Recht unter Ausschluss des UN-Kaufrechts. Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Die berufsrechtlichen und strafrechtlichen Geheimhaltungspflichten des Auftraggebers (insb. § 203 StGB) gelten unabhängig vom Vertragsstatut; § 6 dieses Vertrages stellt deren Einhaltung sicher.