Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) gilt, soweit SXAccess im Zusammenhang mit dem SXAccess-Dienst personenbezogene Daten in Ihrem Auftrag verarbeitet. Er ist Bestandteil der geltenden Nutzungsbedingungen oder einer anderen Vereinbarung über Ihre Nutzung von SXAccess.

Soweit dieser AVV gilt und in Fragen der Verarbeitung personenbezogener Daten von der geltenden Vereinbarung abweicht, geht dieser AVV in diesen Fragen vor.

Begriffsbestimmungen

Begriffe wie „Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen das geltende Datenschutzrecht zuweist.

„Datenschutzrecht“ bezeichnet die DSGVO, die UK-DSGVO und weitere Datenschutzgesetze, die auf die von diesem AVV erfasste Verarbeitung anwendbar sind.

Rollen

Soweit SXAccess bei der Erbringung des Dienstes personenbezogene Daten in Ihrem Auftrag verarbeitet, handeln Sie als Verantwortlicher und SXAccess als Auftragsverarbeiter, sofern das geltende Recht nichts anderes bestimmt.

Soweit SXAccess Informationen zu eigenen Zwecken verarbeitet, etwa zur Kontoverwaltung, Abrechnung, Kundenkommunikation oder zum Betrieb des eigenen Geschäfts, richtet sich diese Verarbeitung nach unserer Datenschutzerklärung.

Verarbeitung personenbezogener Daten

SXAccess verarbeitet personenbezogene Daten in dem Umfang, der zur Bereitstellung, zum Betrieb, zur Absicherung und Unterstützung des Dienstes erforderlich ist, im Einklang mit Ihren dokumentierten Weisungen und der geltenden Vereinbarung.

Ihre Nutzung und Konfiguration von SXAccess kann Teil dieser Weisungen sein.

Verlangt geltendes Recht von uns eine Verarbeitung personenbezogener Daten außerhalb Ihrer Weisungen, können wir dies tun, soweit dieses Recht es gestattet oder vorschreibt.

Werden wir darauf aufmerksam, dass eine Weisung gegen geltendes Datenschutzrecht verstoßen könnte, können wir Sie informieren und die betroffene Verarbeitung gegebenenfalls aussetzen, bis die Frage geklärt ist.

Einzelheiten der Verarbeitung

Die Verarbeitung betrifft im Allgemeinen die Bereitstellung cloudbasierter Netzwerkzugriffs- und Sicherheitsfunktionen für Ihre Organisation.

Je nach Ihrer Nutzung von SXAccess können in Ihrem Auftrag verarbeitete personenbezogene Daten Kontokennungen, geschäftliche Kontaktdaten, Mitglieder-, Dienstkonto- und Gruppenangaben, Geräteinformationen, Netzwerk- oder Verbindungsmetadaten, Angaben zu Zugriffsregeln, Aktivitätsaufzeichnungen sowie weitere Informationen umfassen, die im Rahmen Ihrer Nutzung übermittelt oder erzeugt werden.

Betroffene Personen können Ihre Beschäftigten, Auftragnehmer, Administratoren, Nutzer und weitere Personen sein, deren Informationen Sie über SXAccess verarbeiten.

Art und Umfang der Verarbeitung hängen davon ab, welche Funktionen Sie nutzen und wie Sie den Dienst konfigurieren.

Vertraulichkeit

Wir treffen angemessene Maßnahmen, damit zur Verarbeitung personenbezogener Daten befugte Personen entsprechenden Vertraulichkeitspflichten unterliegen und nur so weit auf personenbezogene Daten zugreifen, wie es für ihre Aufgaben erforderlich ist.

Sicherheit

Wir unterhalten angemessene technische und organisatorische Maßnahmen, die personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung, Veränderung oder Offenlegung schützen sollen.

Die angewandten Maßnahmen können je nach Art des Dienstes, den verarbeiteten Informationen und den mit der Verarbeitung verbundenen Risiken unterschiedlich ausfallen.

Weitere Informationen zu Sicherheitsmaßnahmen können gegebenenfalls gesondert bereitgestellt werden.

Unterauftragsverarbeiter

Sie erteilen SXAccess die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen, soweit dies zur Bereitstellung und Unterstützung des Dienstes vernünftigerweise erforderlich ist.

Wir verpflichten Unterauftragsverarbeiter, die in unserem Auftrag personenbezogene Daten verarbeiten, auf angemessene Datenschutzpflichten im Einklang mit dem geltenden Datenschutzrecht.

Wir können eine aktuelle Liste der relevanten Unterauftragsverarbeiter über unsere Website oder einen anderen geeigneten Kanal bereithalten.

Soweit das geltende Datenschutzrecht dies verlangt, informieren wir über beabsichtigte Änderungen bei Unterauftragsverarbeitern und geben Gelegenheit, begründete datenschutzrechtliche Einwände vorzubringen.

Der Einsatz von Unterauftragsverarbeitern entbindet uns nicht von den Pflichten, die uns das geltende Datenschutzrecht als Auftragsverarbeiter auferlegt.

Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie in angemessenem Umfang, soweit das geltende Datenschutzrecht dies verlangt, bei der Beantwortung von Anfragen von Personen, die ihre Datenschutzrechte ausüben.

Erhalten wir eine Anfrage, die sich überwiegend auf personenbezogene Daten bezieht, die wir in Ihrem Auftrag verarbeiten, können wir die anfragende Person an Sie verweisen, sofern geltendes Recht keine andere Reaktion verlangt.

Unterstützung bei der Einhaltung

Unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen unterstützen wir Sie in angemessenem Umfang, soweit erforderlich, bei der Erfüllung Ihrer Pflichten zu Sicherheit, Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und der Konsultation von Aufsichtsbehörden.

Verletzungen des Schutzes personenbezogener Daten

Werden wir auf eine Verletzung des Schutzes personenbezogener Daten aufmerksam, die in Ihrem Auftrag verarbeitete Daten betrifft, benachrichtigen wir Sie unverzüglich, soweit das geltende Datenschutzrecht dies verlangt.

Wir stellen die uns vernünftigerweise verfügbaren Informationen bereit, die für Ihre Bewertung des Vorfalls und Ihre Reaktion darauf relevant sind.

Rückgabe und Löschung

Nach Beendigung oder Ablauf des betreffenden Dienstes werden in Ihrem Auftrag verarbeitete personenbezogene Daten im Einklang mit dem geltenden Datenschutzrecht, unseren Aufbewahrungsprozessen und den technischen Möglichkeiten des Dienstes gelöscht oder zurückgegeben.

Wir können Informationen aufbewahren, soweit geltendes Recht dies verlangt oder die Aufbewahrung nach geltendem Datenschutzrecht anderweitig zulässig ist.

Sie sind dafür verantwortlich, benötigte Informationen zu exportieren, bevor Ihr Zugang zum Dienst endet.

Nachweise und Überprüfungen

Wir stellen die Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung unserer Pflichten als Auftragsverarbeiter nach geltendem Datenschutzrecht nachzuweisen.

Soweit geltendes Recht dies verlangt, ermöglichen wir angemessene Überprüfungen oder Bewertungen der von diesem AVV erfassten Verarbeitung und wirken daran mit.

Überprüfungen und Bewertungen müssen im Umfang angemessen sein, die Vertraulichkeit und Sicherheit anderer Kunden und unserer Systeme wahren und unnötige Beeinträchtigungen des Dienstes vermeiden.

Soweit angemessen, können vorhandene Sicherheitsdokumentation, Zertifizierungen, Berichte oder schriftliche Auskünfte herangezogen werden, bevor weitergehende Prüfhandlungen in Betracht gezogen werden.

Internationale Übermittlungen

Personenbezogene Daten können in anderen Ländern als Ihrem Aufenthaltsland verarbeitet werden.

Soweit das Datenschutzrecht Garantien für eine internationale Übermittlung personenbezogener Daten verlangt, setzen wir einen geeigneten rechtmäßigen Übermittlungsmechanismus ein.

Solche Mechanismen können die einschlägigen Standardvertragsklauseln oder andere nach geltendem Datenschutzrecht anerkannte Garantien umfassen.

Pflichten des Kunden

Sie sind dafür verantwortlich, für die personenbezogenen Daten, die Sie SXAccess zur Verarbeitung bereitstellen, über eine geeignete Rechtsgrundlage sowie über erforderliche Hinweise, Erlaubnisse oder Genehmigungen zu verfügen.

Ebenso verantworten Sie Ihre Nutzung und Konfiguration des Dienstes, einschließlich der Entscheidung, welche personenbezogenen Daten verarbeitet werden und wer darauf zugreifen darf.

Sie sollten SXAccess nicht zur Verarbeitung von Kategorien personenbezogener Daten nutzen, die für Ihren vorgesehenen Einsatz des Dienstes nicht erforderlich sind.

Haftung

Haftungsbeschränkungen der Vereinbarung über Ihre Nutzung von SXAccess gelten auch für diesen AVV, soweit das geltende Datenschutzrecht dies zulässt.

Änderungen

Wir können diesen AVV anpassen, soweit dies erforderlich ist, um Änderungen des Dienstes, des geltenden Datenschutzrechts oder unserer Verarbeitungspraxis abzubilden.

Die jeweils aktuelle Fassung wird über die SXAccess-Website oder einen anderen geeigneten Kanal bereitgestellt.

Kontakt

Für datenschutzrechtliche Anfragen zu diesem AVV wenden Sie sich an support@sxaccess.com.