Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

(1) Bechtle verarbeitet im Rahmen des Dienstes „License Insights“ („Dienst“) personenbezogene Daten im Auftrag des Kunden. Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Nicht Gegenstand dieses AVV sind:

• die Erhebung im Microsoft-365-Tenant mit dem PS1 sowie die Speicherung der Ergebnis-, Konfigurations- und Protokolldateien auf den Systemen des Kunden. Diese Verarbeitungen führt der Kunde selbst durch; Bechtle und ihre Unterauftragsverarbeiter haben darauf keinen Zugriff.
• die Verarbeitung der Konto-, Anmelde- und Protokolldaten der Portalnutzer. Hierfür ist Bechtle selbst Verantwortliche (siehe Datenschutzerklärung).

(3) Der AVV gilt für die Dauer des Hauptvertrags. Er endet spätestens mit dem Abschluss der Löschung nach § 10, bei Abschaltung des Dienstes also spätestens am 30. September 2027.

§ 2 Weisungen

(1) Bechtle verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO), es sei denn, sie ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt Bechtle dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen sind durch den Hauptvertrag, diesen AVV und die bestimmungsgemäße Bedienung des Dienstes durch den Kunden festgelegt. Jede Funktion, die der Kunde im Dashboard auslöst (zum Beispiel Berechnung, Entsperren, Report-Erstellung, Speicherung von Einstellungen, Aktivieren einer internen Freigabe oder Partnerfreigabe), gilt als Weisung. Weitere Weisungen erteilt der Kunde in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(3) Bechtle informiert den Kunden unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt. Bechtle darf die Ausführung der Weisung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.

§ 3 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen, eine gegebenenfalls erforderliche Datenschutz-Folgenabschätzung und die Beteiligung der Arbeitnehmervertretung.

(2) Der Kunde übermittelt keine besonderen Kategorien personenbezogener Daten (Art. 9, 10 DSGVO) an den Dienst.

(3) Der Kunde schützt den License-Insights-Lizenzschlüssel und die Zugangsdaten zum Portal. Er informiert Bechtle unverzüglich über Fehler oder Unregelmäßigkeiten, die er bei der Prüfung der Auftragsergebnisse feststellt.

§ 4 Vertraulichkeit

Bechtle gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Personen verarbeiten die Daten nur auf Weisung, sofern sie nicht gesetzlich zur Verarbeitung verpflichtet sind (Art. 29 DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen

(1) Bechtle trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 2 (TOM) beschrieben. Bechtle stellt durch den Vertrag mit der Bauer365 GmbH sicher, dass diese Maßnahmen beim Betrieb umgesetzt werden.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Bechtle darf sie durch gleichwertige oder höherwertige Maßnahmen ersetzen. Das Sicherheitsniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert Bechtle.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt Bechtle die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Bechtle informiert den Kunden mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Bechtle erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet Bechtle gegenüber dem Kunden für dessen Pflichterfüllung.

(4) Die Verarbeitung erfolgt ausschließlich in Deutschland. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Kunden in Textform und der Erfüllung der Voraussetzungen der Art. 44 ff. DSGVO.

§ 7 Unterstützung des Kunden

(1) Bechtle unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an Bechtle, leitet Bechtle das Anliegen unverzüglich an den Kunden weiter.

(2) Bechtle unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere durch Bereitstellung der Angaben in diesem AVV, der Anlagen und des Dokuments „Datenfluss, Speicherdauer und PS1-Erhebung“.

(3) Für Unterstützungsleistungen, die über die Bereitstellung vorhandener Informationen hinausgehen und nicht durch einen Verstoß von Bechtle veranlasst sind, kann Bechtle eine angemessene Vergütung verlangen, sofern sie diese vorher angekündigt hat.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Bechtle meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihr bekannt geworden ist (Art. 33 Abs. 2 DSGVO), möglichst innerhalb von 24 Stunden.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Bechtle reicht fehlende Angaben nach, sobald sie vorliegen, und ergreift unverzüglich Maßnahmen zur Eindämmung und Behebung.

(3) Die Meldung an Aufsichtsbehörden und die Benachrichtigung betroffener Personen sind Sache des Kunden. Bechtle unterstützt ihn dabei.

§ 9 Nachweise und Überprüfungen

(1) Bechtle stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch diesen AVV, die TOM, Selbstauskünfte und Bestätigungen der Unterauftragsverarbeiter erbracht werden.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von Bechtle oder der Bauer365 GmbH ist, kann Überprüfungen einschließlich Inspektionen durchführen. Überprüfungen sind mit einer Frist von mindestens 30 Tagen anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Ohne konkreten Anlass sind sie höchstens einmal je Kalenderjahr zulässig.

(3) Überprüfungen bei Unterauftragsverarbeitern führt Bechtle auf Verlangen des Kunden durch oder ermöglicht sie im Rahmen ihrer eigenen vertraglichen Kontrollrechte. Bechtle teilt dem Kunden die Ergebnisse mit.

(4) Jede Partei trägt die eigenen Kosten einer Überprüfung. Stellt die Überprüfung einen wesentlichen Verstoß von Bechtle fest, trägt Bechtle die angemessenen Kosten des Kunden.

§ 10 Löschung und Rückgabe

(1) Die im Auftrag verarbeiteten Daten werden nach Maßgabe von Anlage 1 fortlaufend gelöscht. Daten im Arbeitsspeicher werden nach Abschluss der Anfrage verworfen. Report-Daten werden spätestens 24 Stunden nach Fertigstellung gelöscht.

(2) Nach Beendigung des Hauptvertrags gibt Bechtle die gespeicherten Daten des Kunden auf dessen Verlangen in einem gängigen maschinenlesbaren Format (JSON) heraus. Das Verlangen ist bis spätestens 30 Tage nach Vertragsende in Textform zu stellen. Danach löscht Bechtle die Daten innerhalb von weiteren 30 Tagen, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(3) Mit der Abschaltung des Dienstes am 31. August 2027 werden sämtliche Daten auf dem Server, einschließlich Datensicherungen, bis spätestens 30. September 2027 gelöscht. Bechtle bestätigt dem Kunden die Löschung auf Anfrage in Textform.

§ 11 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis zwischen den Parteien gelten die Haftungsregelungen des Hauptvertrags (§ 8 der AGB), soweit Art. 82 DSGVO nicht entgegensteht.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor.

(2) Änderungen dieses AVV bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der AVV im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.

(3) Es gilt deutsches Recht. Gerichtsstand ist der Gerichtsstand des Hauptvertrags.

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung

1. Zweck

Auswertung der vom Kunden in seiner eigenen Umgebung erhobenen Daten seines Microsoft-365-Tenants zur Berechnung von Lizenz-, Nutzungs- und Sicherheitsempfehlungen, zur Anzeige im Dashboard, zur Erstellung von Berichten und zur Speicherung von Einstellungen des Kunden.

2. Verarbeitungsvorgänge und Speicherdauer

3. Verschlüsselung der Ergebnisdatei

Die personenbezogenen Blöcke der Ergebnisdatei werden vom PS1 mit AES-256-GCM verschlüsselt; der Schlüssel wird aus dem License-Insights-Lizenzschlüssel des Kunden abgeleitet. Die Entschlüsselung erfolgt im Browser des Nutzers. Der Server prüft zuvor lediglich, ob der eingegebene Schlüssel einer gültigen License-Insights-Lizenz des angemeldeten Nutzers zugeordnet oder für ihn freigegeben ist. Für die Empfehlungsberechnung entschlüsselt der Server ausschließlich die pseudonymisierten Berechnungsdaten. Eine serverseitige Entschlüsselung weiterer Blöcke findet nur bei der vom Inhaber der License-Insights-Lizenz aktivierten internen Freigabe ohne Schlüssel statt (Nummer 2).

4. Art der Daten

Im Regelbetrieb verarbeitet der Server:

• Pseudonymisierte Merkmale je Benutzerkonto ohne Namen, Anmeldenamen und E-Mail-Adressen: zugewiesene Microsoft-Lizenzen und Pläne, Kontotyp und -status, Nutzungs- und Aktivitätszähler (Zeitraum bis 180 Tage), Postfachgröße, Admin-Rollen, MFA-, Conditional-Access- und Schutzstatus
• Tenant- und Konfigurationsdaten: Tenant-ID, -Name und -Domäne, Lizenzreservierungen, Richtlinien- und App-Consent-Einstellungen ohne Personennamen und Empfängeradressen, Domänen von Gastkonten
• Vom Kunden gepflegte Einträge: Anmeldenamen (UPN) einzelner Konten, die der Kunde als Dienstkonto-Ausnahme hinterlegt

Nur bei aktivierter interner Freigabe ohne Schlüssel zusätzlich: Identifikationsdaten (Anzeigename, Anmeldename, E-Mail-Adresse, Objekt-ID, Personalnummer, Telefonnummern), Organisationsdaten (Firma, Abteilung, Position, Standort, Ort, Land), Gruppen- und Postfachnamen, Administratoren, Weiterleitungsziele von Postfächern sowie Richtlinien-, Geräte- und Lizenzreservierungsdaten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

5. Kategorien betroffener Personen

• Beschäftigte des Kunden und sonstige Nutzer seines Microsoft-365-Tenants,
• Gastkonten (externe Personen mit Zugang zum Tenant),
• Administratoren des Kunden.

Anlage 2: Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen sind im Dokument „Technische und organisatorische Maßnahmen (TOM)“ in der jeweils gültigen Fassung beschrieben. Es ist Bestandteil dieses AVV.

Anlage 3: Genehmigte Unterauftragsverarbeiter