TeamViewer Auftragsverarbeitungsvertrag (AVV)

1. Allgemeines

Für die in jeweiligen Anlage 1 dieser Vereinbarung beschriebenen Verarbeitungstätigkeiten, bei denen TeamViewer als Auftragsverarbeiter des Kunden auftritt, vereinbaren die Parteien bis auf Weiteres die folgenden Regelungen zur Auftragsverarbeitung, die die TeamViewer Endbenutzer-Lizenzvereinbarung (EULA) ergänzen (Auftragsverarbeitungsvertrag, „AVV“).

Der AVV findet keine Anwendung, wenn der Kunde eine natürliche Person ist, die die Software oder die Dienstleistungen im Rahmen einer rein persönlichen oder familiären Tätigkeit nutzt (vgl. Art. 2 Abs. 2(c) EU-Datenschutz-Grundverordnung, „DS-GVO“).

Die Regelungen dieses AVV und gleichzeitig damit abgeschlossenen EULA ergänzen sich und bestehen nebeneinander. Bei etwaigen Widersprüchen im Bereich Datenschutz geht der AVV den Regelungen der EULA vor.

2. Rechte und Pflichten von TeamViewer

-   2.1. Einhaltung des geltenden Rechts

    Die Pflichten von TeamViewer ergeben sich aus diesem AVV und dem anwendbaren Recht. Das anwendbare Recht umfasst insbesondere das Bundesdatenschutzgesetz („BDSG“) und die DS-GVO.

-   2.2. Verarbeitung nur nach Weisung

    Soweit dieser AVV Anwendung findet, wird TeamViewer personenbezogene Daten nur im Rahmen dieses AVVs und auf dokumentierte Weisungen des Kunden verarbeiten, die von den Parteien in der EULA gegenseitig vereinbart und insbesondere durch die Produktfunktionalität definiert sind, sofern TeamViewer nicht durch das Recht der EU oder der Mitgliedstaaten, dem TeamViewer unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt TeamViewer dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Kunde kann zusätzliche schriftliche Weisungen erteilen, soweit dies zur Einhaltung des anwendbaren Datenschutzrechts erforderlich ist. Die Dokumentation zu erteilten Weisungen ist für die Laufzeit des AVVs durch den Kunden zu führen.

-   2.3. Verpflichtung zur Vertraulichkeit

    TeamViewer wird sicherstellen, dass sich die zur Verarbeitung der personenbezogenen Daten eingesetzten Personen zur Vertraulichkeit verpflichtet haben, es sei denn, sie unterliegen einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung.

-   2.4. Sicherheitsmaßnahmen gemäß Art. 32 DS-GVO

    -   2.4.1. Grundsatz
        TeamViewer wird die erforderlichen Maßnahmen für die Sicherheit der Verarbeitung gemäß Art. 32 DS-GVO ergreifen (nachfolgend als „Sicherheitsmaßnahmen“ bezeichnet).
    -   2.4.2. Umfang
        Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau geschaffen. Dazu werden die Schutzziele von Art. 32 Abs. 1 DS-GVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, sowie Umstände der Verarbeitungen derart berücksichtigt, dass durch geeignete Sicherheitsmaßnahmen das Risiko auf Dauer mitigiert wird.
    -   2.4.3. Sicherheitsmaßnahmen
        Die ergriffenen Sicherheitsmaßnahmen sind in der Dokumentation der Sicherheitsmaßnahmen ausführlich beschrieben, die dieser AVV als Anlage 2 beigefügt sind.
    -   2.4.4. Verfahren zur Überprüfung
        Die Dokumentation der Sicherheitsmaßnahmen beschreibt auch Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit des jeweils aktuellen Stands der Sicherheitsmaßnahmen.
    -   2.4.5. Änderungen
        Die Sicherheitsmaßnahmen unterliegen dem technischen Fortschritt und Weiterentwicklung. TeamViewer ist es grundsätzlich gestattet, alternative angemessene Maßnahmen umzusetzen. Dabei darf das zum Zeitpunkt des Abschlusses des AVVs durch die ergriffenen oder noch umzusetzenden Sicherheitsmaßnahmen bestehende Sicherheitsniveau nicht unterschritten werden.

-   2.5. Unterstützung bei der Wahrung der Betroffenenrechte

    TeamViewer wird angesichts der Art der Verarbeitung den Kunden nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen auf Wahrnehmung der in Kapitel III der DS-GVO genannten Betroffenenrechte unterstützen. Sollte sich ein Betroffener direkt an TeamViewer wenden, um die Betroffenenrechte erkennbar hinsichtlich der im Auftrag des Kunden verarbeiteten Daten wahrzunehmen, wird TeamViewer dieses Ersuchen unverzüglich an den Kunden weiterleiten. Der Kunde wird TeamViewer den insoweit entstehenden Aufwand mit einem Stundensatz von 70 Euro vergüten, sofern und soweit nach anwendbarem Datenschutzrecht zulässig.

-   2.6. Unterstützung bei der Einhaltung von Art. 32 – 36 DS-GVO

    TeamViewer wird den Kunden unter Berücksichtigung der Art der Verarbeitung und der TeamViewer zur Verfügung stehenden Informationen durch geeignete technische und organisatorische Maßnahmen bei der Einhaltung der in Art. 32-36 DS-GVO genannten Pflichten unterstützen, insbesondere hinsichtlich der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgeabschätzung und der Konsultation mit Aufsichtsbehörden. Der Kunde wird TeamViewer den insoweit entstehenden Aufwand mit einem Stundensatz von 70 Euro vergüten, sofern und soweit nach anwendbarem Datenschutzrecht zulässig.

-   2.7. Verzeichnis von Verarbeitungstätigkeiten

    TeamViewer wird dem Kunden die für die Führung des Verzeichnisses der Verarbeitungstätigkeiten notwendigen Informationen zur Verfügung stellen.

-   2.8. Löschung und Rückgabe am Ende der Verarbeitung

    TeamViewer hat nach Wahl des Kunden die personenbezogenen Daten, die im Auftrag verarbeitet werden, zu löschen oder zurückzugeben, sofern und soweit das Recht der Europäischen Union oder eines Mitgliedsstaats, dem TeamViewer unterliegt, keine Verpflichtung zur Speicherung vorsehen.

-   2.9. Informationen zum Nachweis der Einhaltung datenschutzrechtlicher Verpflichtungen und Überprüfungen

    TeamViewer wird dem Kunden alle Informationen zur Verfügung stellen, die erforderlich sind, um die Einhaltung der sich aus den Ziffern 2 und 3 dieses AVV ergebenden Verpflichtungen nachzuweisen. TeamViewer kann außerdem, soweit erforderlich, Zertifikate regelmäßiger Audits durch anerkannte Prüfer oder andere qualifizierte Dritte zur Verfügung stellen.

    Sofern objektiv begründete Anhaltspunkte für einen Verstoß durch TeamViewer gegen diesen AVV oder datenschutzrechtliche Regelungen besteht, wird TeamViewer zusätzliche Überprüfungen, einschließlich Inspektionen, die vom Kunden oder von einem vom Kunden beauftragten qualifizierten Prüfer durchgeführt werden, ermöglichen und hierzu beitragen. Bei Durchführung der Überprüfung wird der Kunde Betriebsabläufe von TeamViewer nicht unverhältnismäßig stören.

-   2.10. Mitteilungspflicht bei Zweifeln an Weisungen

    TeamViewer wird den Kunden unverzüglich informieren, wenn TeamViewer der Auffassung ist, dass die Ausführung einer Weisung zu einer Verletzung des geltenden Datenschutzrechts führen könnte. TeamViewer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Kunden nach Überprüfung schriftlich bestätigt oder geändert wird.

-   2.11. Mitteilungspflicht bei Verstößen

    Stellt TeamViewer Verstöße gegen das anwendbare Datenschutzrecht, dieser AVV, oder Weisungen des Kunden in Bezug auf die Auftragsverarbeitung fest, hat TeamViewer dies dem Kunden unverzüglich mitzuteilen.

-   2.12. Benennung eines Datenschutzbeauftragten

    TeamViewer hat Frau Hauser als externe Datenschutzbeauftragte bestellt, erreichbar unter privacy@teamviewer.com, oder TeamViewer Germany GmbH, z.Hd. Datenschutzbeauftragte, Bahnhofsplatz 2, 73033 Göppingen, Deutschland.

-   2.13. Datenübermittlungen in ein Drittland

    TeamViewer wird personenbezogene Daten, die im Rahmen dieses AVVs verarbeitet werden, in ein Land außerhalb der EU oder des Europäischen Wirtschaftsraums (EWR), für das kein Angemessenheitsbeschluss der EU-Kommission im Sinne von Art. 45 Abs. 3 DS-GVO besteht („unsicherer Drittstaat“), grundsätzlich nur übermitteln, sofern:

    -   a. der Kunde bzw. der Nutzer des Kunden TeamViewer eine Weisung zu einer solchen Übermittlung erteilt, z.B. durch die Aufforderung, eine Verbindung mit einem Endpunkt herzustellen, der in einem unsicheren Drittstaat liegt (wobei in solchen Fällen der Kunde dafür verantwortlich ist zu gewährleisten, dass die Datenübermittlung im Einklang mit Art. 44 ff. DS-GVO erfolgt), oder
    -   b. TeamViewer nach dem Recht der Europäischen Union oder eines Mitgliedstaats, dem TeamViewer unterliegt, dazu verpflichtet ist; in einem solchen Fall teilt TeamViewer dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

    Darüber hinaus ist TeamViewer berechtigt, Unterauftragsverarbeiter in einem Drittstaat zur Verarbeitung personenbezogener Daten einzusetzen, soweit die Voraussetzungen des Art. 44 DS-GVO erfüllt sind.

3. Weitere Auftragsverarbeiter (Unterauftragnehmer)

-   3.1. Bei Vertragsschluss eingesetzte Unterauftragnehmer

    TeamViewer nimmt die Dienste einer Reihe weiterer Auftragsverarbeitern (nachfolgend, „Unterauftragnehmern“) in Anspruch. Die Liste der von TeamViewer eingesetzten Unterauftragnehmer für relevante TeamViewer Produkt-Gruppe ist unter dem folgenden Link als Anlage 3 abrufbar. Mit dem Abschluss des AVV stimmt der Kunde der Beauftragung der Unterauftragnehmer zu, die im Zeitpunkt des Abschlusses des AVV in der Anlage 3 für jeweiligen TeamViewer Produkt aufgeführt sind.

-   3.2. Mitteilung weiterer Unterauftragnehmer

    Sofern TeamViewer zur Erbringung der vertraglich vereinbarten Leistungen (z.B. Hosting) weitere oder andere Unterauftragnehmer beauftragen möchte, sind diese mit der gesetzlich gebotenen Sorgfalt auszuwählen. TeamViewer benachrichtigt den Kunden spätestens 15 Tage im Voraus über die Ernennung neuer Unterauftragnehmer. Der Kunde hat das Recht, unter Darlegung von objektiv nachvollziehbaren Gründen, der Einschaltung des Unterauftragnehmers zu widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, so gilt der entsprechend mitgeteilter neue Unterauftragnehmer als genehmigt. Kann im Falle eines fristgerechten Widerspruchs keine Lösung erzielt werden, sind beide Parteien berechtigt, den AVV mit einer Frist von 2 Wochen zu kündigen. Mit Wirksamwerden der Kündigung des AVV gilt auch die EULA als beendet. Auf Ziffer B.5.5. (Folgen der Vertragsbeendigung) der EULA wird verwiesen.

-   3.3. Unterauftragnehmer in Drittstaaten

    Eine Beauftragung von Unterauftragnehmer in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

-   3.4. Verpflichtungen der Unterauftragnehmer

    -   3.4.1. Vertragsgestaltung nach den Vorgaben dieses AVVs
        TeamViewer wird die Verträge mit Unterauftragnehmern so gestalten, dass sie den Anforderungen der geltenden Datenschutzgesetze und dieses AVVs entsprechen.
    -   3.4.2. Einsatz weiterer oder anderer Unterauftragnehmer
        TeamViewer verpflichtet die Unterauftragnehmer insbesondere dazu, keine weiteren oder anderen Unterauftragnehmer mit der Verarbeitung personenbezogener Daten zu beauftragen, ohne die Bestimmungen der Ziffer 3.2 entsprechend gegenüber TeamViewer zu beachten.
    -   3.4.3. Garantien des Unterauftragnehmers
        TeamViewer wird dem Unterauftragnehmer vertraglich Pflichten auferlegen, die hinreichende Garantien dafür bieten, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DS-GVO und dieses AVVs erfolgt.

4. Änderungen dieses AVVs

TeamViewer ist grundsätzlich berechtigt, dieses AVV zu ändern. TeamViewer wird den Kunden über die geplante Änderung und den Inhalt des neuen AVVs mindestens 28 Tage vor Wirksamwerden informieren. Die Änderung gilt als genehmigt, wenn der Kunde gegenüber TeamViewer nicht innerhalb von 15 Tagen ab Zugang dieser Information widerspricht. Widerspricht der Kunde der Änderung, besteht der AVV zu den bestehenden Konditionen fort.

5. Haftung

Auf Art. 82 DS-GVO wird verwiesen.
Im Übrigen wird vereinbart, dass die Regelungen zur Haftungsbeschränkung aus dem entsprechenden Lizenzvertrag gelten sollen.

Versionsstand: 1. Januar 2021
