Auftragsverarbeitungsvertrag (AVV)

1. Parteien, Gegenstand und Dauer

Auftragsverarbeiter ist DynaSoft Sàrl, 4a, op der Haart, L-9999 Wemperhardt, Luxembourg. Gegenstand ist die Bereitstellung und der Betrieb von Sprint.manager. Die Verarbeitung dauert grundsätzlich so lange wie der zugehörige Workspace-Vertrag und die anschließende vertragsgemäße Rückgabe oder Löschung.

2. Art, Zweck und Umfang

• Speichern, Strukturieren, Abrufen, Anzeigen, Übermitteln innerhalb berechtigter Workspace-Rollen, Sichern und Löschen von Kundendaten
• Projektverwaltung, Ticketbearbeitung, Sprintplanung, Dokumentation, Anhänge, Zeiterfassung und vom Kunden aktivierte KI-Unterstützung
• Technischer Support, Fehleranalyse, Sicherheitsmaßnahmen und Wiederherstellung

3. Betroffene Personen und Datenarten

• Workspace-Mitglieder, Beschäftigte, freie Mitarbeiter, Kunden, Ansprechpartner und weitere Personen, deren Daten der Kunde eingibt
• Stammdaten, Kontaktdaten, Benutzerkennungen und Rollen
• Projekt-, Ticket-, Kommunikations-, Dokumentations-, Datei- und Zeitdaten
• Technische Nutzungs-, Sicherheits- und Protokolldaten

4. Weisungen und Pflichten des Kunden

DynaSoft verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Die Nutzung der konfigurierten Funktionen gilt als Weisung. Der Kunde ist für Rechtmäßigkeit, Transparenz, Datenminimierung, Berechtigungen und die Bearbeitung der Inhalte verantwortlich. Rechtswidrige Weisungen werden dem Kunden mitgeteilt und bis zur Klärung ausgesetzt.

5. Pflichten von DynaSoft

• Vertraulichkeitsverpflichtung für berechtigte Personen
• Angemessene technische und organisatorische Sicherheitsmaßnahmen
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenanfragen im angemessenen Umfang
• Unverzügliche Information über festgestellte Verletzungen des Schutzes von Kundendaten
• Nachweise und angemessene Audits nach vorheriger Abstimmung, ohne Sicherheit oder Rechte anderer Kunden zu beeinträchtigen

6. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung
• Rollen- und workspacebezogene Zugriffskontrollen
• Passwort-Hashing, CSRF-Schutz und Rate Limits
• Protokollierung sicherheits- und zustimmungsrelevanter Vorgänge
• Begrenzung von Datei-Uploads und Workspace-Speicher
• Server-, Netzwerk-, Update- und Sicherungsmaßnahmen innerhalb der betriebenen Infrastruktur
• Verfahren zur Wiederherstellung und regelmäßigen Überprüfung der Schutzmaßnahmen

7. Unterauftragnehmer

Der Kunde erteilt eine allgemeine Genehmigung für die auf der Datenschutzerklärungsseite aufgeführten Unterauftragnehmer. Aktuell wird OVHcloud für Infrastrukturhosting in Deutschland eingesetzt. Die Ollama-KI-Instanz wird von DynaSoft selbst betrieben. Über neue oder ersetzte Unterauftragnehmer wird vorab angemessen informiert; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

8. Drittlandübermittlungen

Eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung oder mit einer nach DSGVO zulässigen Grundlage und geeigneten Garantien. Der aktuelle Kernbetrieb ist in Deutschland vorgesehen.

9. Rückgabe und Löschung

Nach Ende der Leistung löscht oder gibt DynaSoft Kundendaten auf dokumentierte Anfrage zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bis eine automatische Selbstbedienungsfunktion verfügbar ist, werden Anträge über andreas.plumacher@dynasoft.lu koordiniert. Gesetzlich aufzubewahrende Daten werden für andere Zwecke gesperrt.

10. Rangfolge und Kontakt

Bei Widersprüchen gehen die Regelungen dieses AVV hinsichtlich der Auftragsverarbeitung anderen Nutzungsbedingungen vor. Individuelle schriftliche Vereinbarungen und zwingendes Datenschutzrecht bleiben unberührt.

Kontakt für Datenschutz und AVV: andreas.plumacher@dynasoft.lu.