Auftragsverarbeitungsvertrag

1. Definitionen und Auslegung

Dieser Auftragsverarbeitungsvertrag ("AVV") ergänzt eine Vereinbarung zwischen helpful bits GmbH und dem Kunden nur, wenn die Parteien ihn ausdrücklich annehmen oder einbeziehen. Die Bezeichnungen „Verantwortlicher“ und „Auftragsverarbeiter“ gelten nur, soweit das anwendbare Datenschutzrecht den Parteien diese Rollen für die jeweilige Verarbeitung zuweist.

• "Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, die über den Dienst verarbeitet werden
• "Verarbeitung" hat die in der DSGVO definierte Bedeutung
• "Datenschutzgesetze" bezeichnet die DSGVO und alle anderen anwendbaren Datenschutzvorschriften
• "Unterauftragsverarbeiter" bezeichnet jeden vom Auftragsverarbeiter beauftragten Dritten zur Verarbeitung personenbezogener Daten

2. Verarbeitung personenbezogener Daten

2.1 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, die Verarbeitung verlangt; in diesem Fall den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung informieren, sofern das betreffende Recht eine solche Information nicht wegen eines wichtigen öffentlichen Interesses verbietet
• Sicherstellen, dass zur Verarbeitung personenbezogener Daten befugte Personen Vertraulichkeitsverpflichtungen unterliegen
• Angemessene technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO implementieren
• Bei der Inanspruchnahme eines weiteren Auftragsverarbeiters die Bedingungen des Artikels 28 Absätze 2 und 4 DSGVO sowie Abschnitt 3 dieses AVV einhalten
• Den Verantwortlichen bei der Beantwortung von Anträgen auf Ausübung von Betroffenenrechten unterstützen
• Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten unterstützen
• Nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder an den Verantwortlichen zurückgeben und vorhandene Kopien löschen, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats die Speicherung der personenbezogenen Daten verlangt
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung des Artikels 28 DSGVO zur Verfügung stellen und Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und dazu beitragen
• Den Verantwortlichen unverzüglich informieren, falls der Auftragsverarbeiter der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt

2.2 Einzelheiten der Verarbeitung

2.3 Pflichten und Rechte des Verantwortlichen

Der Verantwortliche stellt sicher, dass die erfasste Verarbeitung, die von ihm bereitgestellten personenbezogenen Daten und seine dokumentierten Weisungen den anwendbaren Datenschutzgesetzen entsprechen. Dies umfasst Rechtmäßigkeit, Richtigkeit, Datenminimierung, eine anwendbare Rechtsgrundlage und erforderliche Informationen der betroffenen Personen. Der Verantwortliche stellt die Informationen und Zusammenarbeit bereit, die der Auftragsverarbeiter zur Erfüllung seiner Pflichten aus dem abgeschlossenen AVV benötigt, und erteilt dem Auftragsverarbeiter keine Weisung, die gegen anwendbares Recht verstößt.

Vorbehaltlich dieses AVV und des anwendbaren Rechts kann der Verantwortliche dokumentierte Weisungen erteilen, die in diesem AVV beschriebene Unterstützung und Informationen erhalten, Unterauftragsverarbeiter genehmigen und nach Abschnitt 3 gegen beabsichtigte Änderungen Einspruch erheben, Überprüfungen einschließlich Inspektionen durchführen oder beauftragen und bei Beendigung die Löschung oder Rückgabe personenbezogener Daten wählen.

3. Unterauftragsverarbeiter

3.1 Genehmigte Unterauftragsverarbeiter

Durch Abschluss dieses AVV erteilt der Verantwortliche dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung, die in der öffentlichen Anbieterliste genannten Anbieter zu beauftragen, soweit sie für die erfasste Verarbeitung als Unterauftragsverarbeiter handeln. Der Auftragsverarbeiter nimmt keinen anderen Unterauftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Die Liste ist unter plantocode.com/legal/eu/subprocessors verfügbar. Ob ein Anbieter als Unterauftragsverarbeiter, eigenständig Verantwortlicher oder sonstiger Dienstleister handelt, hängt von der Funktion und der anwendbaren Vereinbarung ab.

3.2 Neue Unterauftragsverarbeiter

Im Rahmen der allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen vor Wirksamwerden schriftlich über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters und gibt dem Verantwortlichen angemessene Gelegenheit, gegen die beabsichtigte Änderung Einspruch zu erheben. Die öffentliche Anbieterliste wird ebenfalls aktualisiert.

3.3 Pflichten und Haftung des Unterauftragsverarbeiters

Nimmt der Auftragsverarbeiter einen weiteren Auftragsverarbeiter in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, legt er diesem durch Vertrag oder ein anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind. Dies umfasst insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten in vollem Umfang haftbar.

4. Sicherheitsmaßnahmen

Die Sicherheitsmaßnahmen für die ausgewählte Bereitstellung müssen im abgeschlossenen AVV bestätigt werden. Die geprüfte PlanToCode-Implementierung unterstützt folgende konkrete Kontrollen:

• HTTPS und WSS für unterstützte produktive Dienstpfade; die geprüfte Nginx-Konfiguration erlaubt TLS 1.2 und TLS 1.3
• Auth0-gestützter Kontozugriff, authentifizierte Relay-Verbindungen sowie serverseitige Autorisierungsprüfungen für Nutzer oder Geräte
• Lokale Desktop-Speicherung für Arbeitsbereichszustand und Diagnosedaten
• Betriebssystem-Schlüsselspeicher oder Anwendungsverschlüsselung für ausgewählte lokale Geheimnisse, soweit implementiert; dies ist keine Aussage, dass jedes Feld AES-256 verwendet
• Datensparsame mobile Berechtigungen und Ausschlüsse von Sicherungen, soweit implementiert

Diese öffentliche Seite verspricht keinen bestimmten Audit-Rhythmus, Zeitplan für Penetrationstests, Backup-Zielwert, personellen Kontrollprozess oder eine Zertifizierung. Zusätzliche Kontrollen müssen in einer abgeschlossenen Vereinbarung festgehalten werden.

5. Internationale Übermittlungen

Verarbeitungsorte und Übermittlungsmechanismen der Anbieter unterscheiden sich je nach Funktion, Konto, Anbieter und Vertrag. Standardvertragsklauseln, UK-Zusatz, Transferfolgenabschätzung, Angemessenheitsbeschluss oder ergänzende Maßnahme, auf die sich die Parteien stützen, müssen im abgeschlossenen AVV oder im anwendbaren Anbietervertrag benannt sein. Diese öffentliche Seite schließt oder vervollständigt allein keine Standardvertragsklauseln und belegt nicht, dass eine Transferfolgenabschätzung durchgeführt wurde.

6. Meldung von Datenschutzverletzungen

Soweit helpful bits GmbH als Auftragsverarbeiter handelt, benachrichtigt sie den Verantwortlichen unverzüglich, nachdem sie von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die vom abgeschlossenen AVV erfasste Verarbeitung betrifft. Informationen werden bereitgestellt, sobald sie verfügbar sind und soweit das anwendbare Recht dies verlangt, insbesondere:

• Art der Verletzung und Kategorien der betroffenen Daten
• Wahrscheinliche Folgen der Verletzung
• Getroffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung
• Kontaktstelle für weitere Informationen

7. Prüfungsrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung des Artikels 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei.

8. Haftung und Freistellung

Haftung, Rechtsbehelfe und etwaige Freistellungen richten sich nach der abgeschlossenen Vereinbarung und zwingendem Recht. Diese öffentliche Seite begründet keine gesonderte unbeschränkte oder gegenseitige Freistellung.

9. Laufzeit und Beendigung

Ein abgeschlossener AVV bleibt in Kraft, solange die erfasste Verarbeitung andauert. Bei Beendigung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats die Speicherung der personenbezogenen Daten verlangt.

10. Anwendbares Recht

Anwendbares Recht und Gerichtsstand richten sich nach der abgeschlossenen Kundenvereinbarung und zwingendem Recht. Diese öffentliche Seite wählt allein kein anderes Recht und keinen anderen Gerichtsstand.