Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Jeder Nutzungsvertrag für MandatDirekt schließt automatisch einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ein. Die Rollen sind wie folgt definiert:

Gegenstand und Zweck

Montazeri Ventures GmbH betreibt die Software-Plattform MandatDirekt und verarbeitet im Auftrag des Auftraggebers folgende personenbezogene Daten von Bürgerinnen und Bürgern:

• Name, Anschrift, Kontaktdaten des Mandatsgebers
• IBAN (verschlüsselt, im UI stets maskiert)
• Mandatstext-Version, Zeitstempel, IP-Adresse, User-Agent (Audit-Trail)
• Kundennummer / Aktenzeichen (sofern vom Auftraggeber konfiguriert)

Zweck der Verarbeitung ist ausschließlich die Entgegennahme, Prüfung, Archivierung und Bereitstellung digitaler SEPA-Lastschriftmandate für den Auftraggeber.

Kategorien betroffener Personen sind die Mandatsgeberinnen und Mandatsgeber des Auftraggebers — insbesondere Bürgerinnen und Bürger, Kundinnen und Kunden sowie Gebühren- und Beitragspflichtige, die ein SEPA-Lastschriftmandat erteilen.

Weisungsbindung

Montazeri Ventures GmbH verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers — dies gilt auch für eine etwaige Übermittlung in ein Drittland oder an eine internationale Organisation, die ausschließlich auf dokumentierte Weisung oder aufgrund einer gesetzlichen Verpflichtung erfolgt. Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Weisungen können schriftlich, per E-Mail oder über die Konfigurationsoptionen der Plattform erteilt werden.

Ist Montazeri Ventures GmbH der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert sie den Auftraggeber unverzüglich. Die Ausführung der betreffenden Weisung darf bis zur Bestätigung oder Änderung durch den Auftraggeber ausgesetzt werden.

Vertraulichkeit

Montazeri Ventures GmbH stellt sicher, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die befugten Personen werden regelmäßig zu Datenschutz und Informationssicherheit geschult.

Technische und organisatorische Maßnahmen (TOM)

Wir haben geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:

Eine vollständige TOM-Beschreibung wird Auftraggebern auf Anfrage als PDF-Dokument bereitgestellt — siehe TOM-Übersicht.

Unterauftragnehmer

Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragnehmern. Wir setzen nur sorgfältig ausgewählte Unterauftragnehmer ein, die ihrerseits DSGVO-konform arbeiten. Vor jeder Hinzuziehung oder Ersetzung eines Unterauftragnehmers informieren wir den Auftraggeber, sodass dieser sein Widerspruchsrecht ausüben kann.

Wir legen jedem Unterauftragnehmer durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV vereinbart sind (insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen nach Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet Montazeri Ventures GmbH gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragnehmers.

Die aktuelle Liste der Unterauftragnehmer wird auf Anfrage mitgeteilt.

Unterstützung bei Betroffenenrechten

Montazeri Ventures GmbH unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) durch geeignete technische und organisatorische Maßnahmen — insbesondere durch Exportfunktionen, Löschprotokolle und Audit-Logs.

Unterstützung bei Sicherheit und Meldepflichten

Montazeri Ventures GmbH unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Dies umfasst insbesondere:

• die Sicherheit der Verarbeitung (Art. 32) durch die unter „TOM" beschriebenen Maßnahmen,
• die Meldung von Verletzungen des Schutzes personenbezogener Daten — der Auftraggeber wird unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, informiert, um ihm die Meldung nach Art. 33 DSGVO innerhalb von 72 Stunden zu ermöglichen,
• die Benachrichtigung betroffener Personen (Art. 34) durch Bereitstellung der erforderlichen Informationen,
• die Durchführung von Datenschutz-Folgenabschätzungen (Art. 35) und eine etwaige vorherige Konsultation der Aufsichtsbehörde (Art. 36).

Nachweis- und Kontrollrechte

Montazeri Ventures GmbH stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind. Dazu zählen insbesondere die TOM-Beschreibung, die Liste der Unterauftragnehmer sowie vorhandene Zertifikats- und Prüfnachweise.

Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV zu überprüfen. Überprüfungen erfolgen vorrangig durch Vorlage geeigneter Nachweise (z. B. aktuelle Zertifikate, Prüfberichte oder die Beantwortung eines Fragenkatalogs). Soweit dies nicht ausreicht, ermöglicht Montazeri Ventures GmbH dem Auftraggeber oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung und während der üblichen Geschäftszeiten Inspektionen, einschließlich Vor-Ort-Überprüfungen, und trägt zu diesen bei. Der laufende Betrieb darf dabei nur in geringstmöglichem Umfang beeinträchtigt werden.

Laufzeit und Löschung

Der AVV gilt für die Dauer des Nutzungsvertrags. Nach Vertragsende werden alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen gelöscht oder — auf Wunsch — als exportiertes Paket übergeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.