Auftragsverarbeitungsvertrag (AVV)
Zuletzt aktualisiert: 20. Juni 2026.
Dieser AVV ist Bestandteil der Nutzungsbedingungen und wird durch diese geregelt. Er ist darauf ausgelegt, mit den wichtigsten Datenschutzrahmen in Einklang zu stehen, einschließlich Artikel 28 der EU-DSGVO sowie den für die Parteien geltenden Datenschutzgesetzen.
1. Rollen
Die Organisation ist der Verantwortliche für die personenbezogenen Daten, die sie über die Personen, Haushalte und Einrichtungen, die sie auf der Plattform erfasst und betreut (jeweils ein „Begünstigter"), sowie über ihre Mitarbeiter, Kontakte und Tätigkeiten eingibt oder hochlädt (zusammen „Organisationsdaten"). CommonLynk ist der Auftragsverarbeiter und verarbeitet Organisationsdaten ausschließlich zur Bereitstellung der Plattform und ausschließlich auf der Grundlage der dokumentierten Weisungen des Verantwortlichen (auch durch Konfiguration und Nutzung der Plattform). CommonLynk wird den Verantwortlichen informieren, falls nach seiner Einschätzung eine Weisung gegen geltendes Recht verstößt.
2. Gegenstand, Laufzeit, Art & Zweck
- Gegenstand / Art: Hosting, Speicherung, Verarbeitung und Darstellung von Organisationsdaten zur Bereitstellung der Funktionen der Plattform für Begünstigtenverwaltung, Programme, Formulare, Berichterstattung und verwandte Bereiche.
- Laufzeit: für die Dauer des Abonnements und die in der [Datenaufbewahrungsrichtlinie](./DATA_RETENTION_POLICY.md) festgelegten Aufbewahrungsfristen.
- Arten von Daten: nach Bestimmung durch den Verantwortlichen — typischerweise Identifikationsdaten, Kontaktdaten, Programm-/Anwesenheitsnachweise, Formularantworten sowie besondere Kategorien personenbezogener Daten oder Kinderdaten, die der Verantwortliche zu erfassen entscheidet.
- Kategorien betroffener Personen: die Begünstigten, Mitarbeiter und Kontakte der Organisation.
3. Pflichten des Auftragsverarbeiters
CommonLynk wird:
1. Organisationsdaten nur auf der Grundlage dokumentierter Weisungen verarbeiten, einschließlich für Übermittlungen, sofern keine gesetzliche Verpflichtung besteht (und den Verantwortlichen über eine solche Verpflichtung informieren, sofern dies gesetzlich nicht untersagt ist).
2. Sicherstellen, dass zur Verarbeitung der Daten befugte Personen zur Vertraulichkeit verpflichtet sind.
3. Geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen (Anlage A).
4. Die Bedingungen für die Einbindung von Unterauftragsverarbeitern einhalten (Abschnitt 5).
5. Den Verantwortlichen durch geeignete Maßnahmen bei der Bearbeitung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung usw.) unterstützen.
6. Den Verantwortlichen bei der Sicherheit, der Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen unterstützen, unter Berücksichtigung der CommonLynk vorliegenden Informationen.
7. Bei Vertragsbeendigung Organisationsdaten nach Wahl des Verantwortlichen löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht (vgl. Aufbewahrungsrichtlinie).
8. Die Informationen bereitstellen, die zur Nachweisbarkeit der Compliance erforderlich sind, und Prüfungen ermöglichen und dabei mitwirken (Abschnitt 7).
4. Sicherheitsmaßnahmen (Zusammenfassung Anlage A)
Verschlüsselung bei der Übertragung (HTTPS/TLS); mandantenweise Datenisolierung; rollenbasierte Zugriffssteuerung; authentifizierter, eigentumsgeprüfter Zugriff auf hochgeladene Dateien; verschlüsselte Speicherung von Zugangsdaten (Secrets); regelmäßige verschlüsselte Datensicherungen; Protokollierung und Überwachung; administrativer Zugriff nach dem Prinzip der minimalen Rechtevergabe (Least Privilege). Vollständige aktuelle Maßnahmen: [SECURITY OVERVIEW URL].
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung, damit CommonLynk Unterauftragsverarbeiter (z. B. E-Mail-Versand, Zahlungsabwicklung, Cloud-Hosting/Datensicherungen) einsetzen darf, die unter [SUB-PROCESSOR LIST URL] aufgeführt sind. CommonLynk wird (a) jedem Unterauftragsverarbeiter Datenschutzpflichten auferlegen, die mindestens so schützend sind wie dieser AVV, (b) für seine Unterauftragsverarbeiter vollumfänglich haften und (c) dem Verantwortlichen über beabsichtigte Hinzufügungen oder Wechsel vorab Mitteilung machen und ihm so die Möglichkeit geben, aus vertretbaren datenschutzrechtlichen Gründen Einspruch zu erheben.
6. Verletzungen des Schutzes personenbezogener Daten
CommonLynk wird den Verantwortlichen unverzüglich benachrichtigen, nachdem es Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die Organisationsdaten betrifft, und dabei die Informationen übermitteln, die der Verantwortliche vernünftigerweise benötigt, um seinen eigenen Meldepflichten nachzukommen (die nach einigen Rechtsvorschriften gegenüber einer Aufsichtsbehörde nur 72 Stunden betragen können). CommonLynk wird die betroffenen Personen oder Aufsichtsbehörden des Verantwortlichen nicht im Namen des Verantwortlichen benachrichtigen, sofern es nicht dazu angewiesen wird.
7. Prüfungen
CommonLynk wird die Informationen bereitstellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, und Prüfungen/Inspektionen durch den Verantwortlichen oder seinen beauftragten Prüfer unter angemessener Vorankündigung, während der Geschäftszeiten, vorbehaltlich Vertraulichkeit und ohne unverhältnismäßige Beeinträchtigung des Betriebs zu ermöglichen. CommonLynk kann Prüfungsanfragen, soweit verfügbar, durch aktuelle Zertifizierungen oder Berichte unabhängiger Dritter erfüllen.
8. Internationale Datenübermittlungen
Soweit CommonLynk Organisationsdaten grenzüberschreitend verarbeitet oder übermittelt, wird es die nach geltendem Recht erforderlichen Schutzmaßnahmen anwenden — zu denen Genehmigungen von Aufsichtsbehörden, Standardvertragsklauseln oder gleichwertige vertragliche Schutzmaßnahmen und/oder regionsinternes Hosting gehören können, soweit eine Rechtsordnung dies vorschreibt. Die Parteien werden zusammenarbeiten, um den geeigneten Mechanismus für die betroffenen Personen des Verantwortlichen zu etablieren.
9. Betroffenenanfragen
Erhält CommonLynk eine Anfrage einer betroffenen Person bezüglich der Organisationsdaten, wird es nicht direkt antworten (außer um zu bestätigen, dass die Anfrage an den Verantwortlichen zu richten ist), sondern sie unverzüglich an den Verantwortlichen weiterleiten und wie oben beschrieben Unterstützung leisten.
10. Haftung, Laufzeit & Vorrang
Die Haftung im Rahmen dieses AVV unterliegt den Haftungsbeschränkungen der Nutzungsbedingungen. Er tritt in Kraft, wenn der Verantwortliche die Nutzungsbedingungen akzeptiert, und gilt, solange CommonLynk Organisationsdaten verarbeitet. Sofern dieser AVV in datenschutzrechtlichen Angelegenheiten mit den Nutzungsbedingungen in Konflikt gerät, hat dieser AVV Vorrang.