Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten nach Art. 28 DSGVO zwischen dem Verantwortlichen (Kunde/Organisation, die CurioVault nutzt) und dem Auftragsverarbeiter David Friedemann Weil, Talstraße 11, 35789 Weilmünster, Deutschland („Auftragnehmer"). Er wird mit Abschluss des Nutzungsvertrags über CurioVault wirksam.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der CurioVault-Software (Proben-/Lagerverwaltung, LIMS). Die Dauer entspricht der Laufzeit des Nutzungsvertrags; nach dessen Beendigung gelten die Regelungen zu Löschung/Rückgabe (Ziff. 8).
2. Art und Zweck der Verarbeitung
Art: Erheben, Speichern, Ordnen, Anzeigen, Ändern, Löschen und Protokollieren von Daten in einer mandantengetrennten Cloud-Anwendung. Zweck: Betrieb der Inventar-/Lagerverwaltung des Verantwortlichen; ausschließlich weisungsgebunden.
3. Art der personenbezogenen Daten
- Stammdaten der Nutzer:innen (Name, dienstliche E-Mail, Rolle)
- Nutzungs- und Protokolldaten (Audit-Trail, An-/Abmeldungen inkl. IP/Gerät)
- in Freitextfeldern ggf. weitere vom Verantwortlichen eingegebene Angaben
- KEINE Spender-/Patientendaten im Standardumfang (bewusster Scope; nur Mitarbeiter-Daten)
4. Kategorien betroffener Personen
Beschäftigte, Mitglieder und beauftragte Personen des Verantwortlichen, die CurioVault nutzen oder darin erfasst werden.
5. Pflichten des Auftragnehmers
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO)
- Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4)
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Ziff. 6)
- Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23) und Pflichten nach Art. 32–36
- Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis (Art. 33)
- Löschung oder Rückgabe nach Beendigung (Ziff. 8) und Nachweise/Kontrollen (Ziff. 9)
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselung im Transit (TLS) und ruhend (at rest) beim Infrastruktur-Anbieter
- Zugangskontrolle: rollen-/fähigkeitsbasierte Rechteverwaltung (RBAC), Zwei-Faktor-Authentifizierung (TOTP), Passwort-Richtlinie
- Mandantentrennung auf Datenbankebene (Row Level Security je Organisation)
- Sicherheits-Header (HSTS/CSP/Clickjacking-Schutz)
- Lückenloser, unveränderlicher Audit-Trail mit Hash-Kette (WORM, 21 CFR Part 11 §11.10(e))
- Elektronische Signaturen (Passwort und Biometrie/Passkey) für kritische Aktionen
- Protokollierung privilegierter Support-Zugriffe; Aufbewahrung gemäß Richtlinie
- Regelmäßige Backups und dokumentiertes Backup-/Disaster-Recovery-Konzept
7. Unterauftragsverarbeiter (Subprozessoren)
Der Verantwortliche genehmigt allgemein den Einsatz folgender Subprozessoren; über Änderungen wird vorab informiert, mit Widerspruchsmöglichkeit:
- Supabase (Postgres-Datenbank, Authentifizierung, Speicher) — Verarbeitung in der EU (Region eu-west-1)
- Hosting/Server-Infrastruktur des Auftragnehmers (EU)
- E-Mail-Versanddienst für System-/Benachrichtigungs-E-Mails
8. Löschung und Rückgabe
Nach Beendigung des Vertrags werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht. Für unveränderliche Audit-Daten erfolgt die Erfüllung von Löschbegehren durch Unkenntlichmachung der personenbezogenen Inhalte unter Wahrung der Integrität des Prüfpfads (hash-erhaltende Redaktion).
9. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Verantwortlichen die zur Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (auf Anfrage, in angemessenem Umfang, ggf. durch Bereitstellung von Nachweisen/Berichten).
Datenschutz-Kontakt des Auftragnehmers: feedback@biobanking.cloud. Diese Fassung ist eine Vorlage und wird mit Festlegung der Rechtsform verbindlich finalisiert.