Auftragsverarbeitungsvereinbarung (DPA)

Für diese DPA ist der Verantwortliche der Nutzer oder die Organisation, in deren Namen der Nutzer EZINDRA verwendet, soweit diese Zwecke und Mittel der Verarbeitung personenbezogener Daten Dritter bestimmt. Auftragsverarbeiter ist Albert Fiksak, in den Bedingungen als Anbieter bezeichnet. Handelt der Nutzer im Namen einer anderen Organisation, erklärt er, zum Abschluss dieser DPA in deren Namen befugt zu sein.

Diese DPA ist Bestandteil der Bedingungen und wird elektronisch mit deren Annahme geschlossen. Sie gilt nur für personenbezogene Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet (die „Anvertrauten Daten“). Sie gilt nicht für Daten, für die der Auftragsverarbeiter als eigenständiger Verantwortlicher handelt, einschließlich Konto-, Abrechnungs-, Sicherheits- und direkter Kontaktdaten des Nutzers.

„Anwendbares Datenschutzrecht“ bezeichnet die Datenschutz- und Privatsphärengesetze, die auf die betreffende Verarbeitung Anwendung finden, einschließlich der DSGVO, soweit anwendbar. Verweise auf Verantwortlichen und Auftragsverarbeiter umfassen gleichwertige Rollen nach dem Anwendbaren Datenschutzrecht, wenn dort eine andere Terminologie verwendet wird.

Die Verarbeitung betrifft personenbezogene Daten, die der Verantwortliche bei der Nutzung von EZINDRA übermittelt. Sie kann insbesondere Speichern, Ordnen, Abrufen, Anzeigen, Synchronisieren, Erstellen von Dokumenten und PDF-Dateien, sicheres Teilen von Angeboten, Senden von Nachrichten und Ausführen vom Nutzer initiierter Vorgänge umfassen.

Zweck ist ausschließlich die Bereitstellung und Absicherung von EZINDRA gemäß den Bedingungen und den dokumentierten Weisungen des Verantwortlichen. Die Verarbeitung dauert während der Nutzung des Dienstes und für den technisch und rechtlich erforderlichen Zeitraum zur Rückgabe oder Löschung der Daten nach Ende des Dienstes an.

Betroffene Personen können Kunden, potenzielle Kunden, Ansprechpartner, Vertreter, Mitarbeiter und andere Personen sein, deren Daten der Verantwortliche im Zusammenhang mit seinen Tätigkeiten in EZINDRA eingibt.

Personenbezogene Daten können Identitäts- und Kontaktdaten, Unternehmens- oder Organisationsinformationen, Adressen, Informationen zu Angeboten, Aufträgen, Leistungen oder Projekten, Korrespondenz, Status von Angebotsfreigaben und Entscheidungen sowie andere vom Verantwortlichen übermittelte Inhalte oder Dateien umfassen.

EZINDRA ist nicht für sensible oder besonders geschützte Kategorien personenbezogener Daten ausgelegt, einschließlich besonderer Kategorien nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO, soweit diese Vorschriften gelten. Der Verantwortliche sollte solche Daten nicht bewusst ohne vorherige Vereinbarung mit dem Auftragsverarbeiter sowie ohne geeignete Rechtsgrundlage und Schutzmaßnahmen übermitteln.

Der Auftragsverarbeiter verarbeitet Anvertraute Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich Weisungen zu internationalen Übermittlungen, es sei denn, die Verarbeitung ist nach dem Anwendbaren Datenschutzrecht vorgeschrieben. Soweit rechtlich zulässig, informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über eine solche gesetzliche Pflicht. Weisungen umfassen insbesondere Handlungen des Nutzers in der Anwendung, Kontoeinstellungen und dokumentierte Anfragen an den Auftragsverarbeiter im Zusammenhang mit dem Dienst.

Der Verantwortliche ist verantwortlich für die Rechtmäßigkeit der Erhebung und Übermittlung personenbezogener Daten an EZINDRA, eine geeignete Rechtsgrundlage, erforderliche Informationen an betroffene Personen, die Richtigkeit und Rechtmäßigkeit seiner Weisungen sowie die Nutzung des Dienstes im Einklang mit dem Anwendbaren Datenschutzrecht.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Anwendbares Datenschutzrecht verstößt, informiert er den Verantwortlichen, sofern ihm dies nicht gesetzlich untersagt ist.

Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung der Anvertrauten Daten befugte Personen zur Vertraulichkeit verpflichtet sind, wendet dem Risiko angemessene Sicherheitsmaßnahmen an und beschränkt den Zugriff auf das für die Bereitstellung des Dienstes erforderliche Maß.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen in angemessenem Umfang bei Betroffenenrechten und bei einschlägigen Pflichten zu Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, einschließlich Art. 32–36 DSGVO, soweit anwendbar.

Der Auftragsverarbeiter stellt Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA und, soweit die DSGVO gilt, Art. 28 DSGVO nachzuweisen, und wirkt an angemessenen Compliance-Prüfungen nach dieser DPA mit.

Der Auftragsverarbeiter setzt technische und organisatorische Maßnahmen ein, die dem Dienst und dem Risiko angemessen sind, darunter Verschlüsselung während der Übertragung über HTTPS, Authentifizierung und Zugriffskontrollen, Trennung von Daten zwischen Konten und Workspaces, Beschränkung von Berechtigungen, Schutz vor unbefugten Vorgängen, Protokollierung relevanter Sicherheitsereignisse sowie Verfahren für Sicherheitsupdates und Incident Response.

Maßnahmen können weiterentwickelt oder durch Maßnahmen mit mindestens vergleichbarem Schutzniveau ersetzt werden, wenn dies aufgrund von Sicherheit, technischer Entwicklung oder Änderungen der Infrastruktur erforderlich ist.

Nachdem der Auftragsverarbeiter von einer Verletzung des Schutzes personenbezogener Daten erfahren hat, die Anvertraute Daten betrifft, informiert er den Verantwortlichen unverzüglich und stellt, sobald verfügbar, Informationen bereit, die vernünftigerweise erforderlich sind, damit der Verantwortliche seine Pflichten nach dem Anwendbaren Datenschutzrecht erfüllen kann. Der Auftragsverarbeiter ergreift außerdem angemessene Maßnahmen zur Eindämmung des Vorfalls und zur Verringerung des Wiederholungsrisikos.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen, soweit dies für die Bereitstellung von EZINDRA erforderlich ist. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter zu Datenschutzpflichten, die den Pflichten dieser DPA im Wesentlichen entsprechen, und bleibt gegenüber dem Verantwortlichen für deren Erfüllung verantwortlich, soweit das Anwendbare Datenschutzrecht dies verlangt.

Die aktuelle Liste der von EZINDRA eingesetzten Anbieter, einschließlich der als Unterauftragsverarbeiter tätigen Unternehmen, ihrer wesentlichen Rollen sowie der wichtigsten Verarbeitungs- oder Übermittlungsorte, wird auf der Seite „Anbieter, Unterauftragsverarbeiter und Infrastruktur“ veröffentlicht.

Der Auftragsverarbeiter informiert den Verantwortlichen elektronisch an die dem Konto zugeordnete E-Mail-Adresse mindestens 14 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Mitteilung nennt mindestens den Namen des Anbieters, seine Rolle oder den Verarbeitungszweck, das geplante Einsatzdatum und, soweit dies für die Bewertung der Änderung relevant ist, den wichtigsten Verarbeitungs- oder Übermittlungsort und ermöglicht dem Verantwortlichen, vor diesem Datum einen begründeten Einwand aus Datenschutzgründen zu erheben. Die Parteien bemühen sich angemessen um eine Lösung; ist dies nicht möglich, kann der Verantwortliche den Dienst vor dem Einsatz des betreffenden Unterauftragsverarbeiters beenden.

Für internationale Übermittlungen Anvertrauter Daten wird der nach dem Anwendbaren Datenschutzrecht erforderliche Übermittlungsmechanismus verwendet. Soweit die DSGVO gilt und eine Übermittlung außerhalb des Europäischen Wirtschaftsraums einen Übermittlungsmechanismus erfordert, erfolgt die Übermittlung unter Verwendung eines Mechanismus nach Kapitel V DSGVO, der je nach Struktur der jeweiligen Übermittlung vom Auftragsverarbeiter oder dem betreffenden Unterauftragsverarbeiter angewendet wird. Dies kann insbesondere einen Angemessenheitsbeschluss oder Standardvertragsklauseln zusammen mit ergänzenden Schutzmaßnahmen umfassen, soweit erforderlich.

Informationen zur Rechtsgrundlage der Übermittlung und zu den angewandten Schutzmaßnahmen, einschließlich dazu, wie eine Kopie erhältlich ist oder wo sie verfügbar gemacht wurde, können unter contact@ezindra.com angefordert werden.

Erhält der Auftragsverarbeiter eine Anfrage einer betroffenen Person zu Anvertrauten Daten, entscheidet er darüber nicht eigenständig und leitet sie, soweit rechtlich zulässig, an den Verantwortlichen weiter. Unter Berücksichtigung der Art der Verarbeitung und der Funktionen von EZINDRA stellt der Auftragsverarbeiter angemessene technische Unterstützung zur Bearbeitung der Anfrage bereit.

Nach Beendigung der Verarbeitungsdienste gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen die Anvertrauten Daten in einem angemessenen technisch verfügbaren Format zurück oder löscht sie und bestehende Kopien, sofern nicht das Anwendbare Datenschutzrecht oder anderes bindendes Recht die weitere Speicherung bestimmter Daten verlangt. Verfügbare Exportfunktionen können zur Rückgabe der Daten genutzt werden.

Daten, die ausschließlich in rotierenden Sicherungskopien enthalten sind, bei denen eine selektive Löschung im normalen Betrieb des Systems oder der Anbieterinfrastruktur nicht verfügbar ist, bleiben nach der Löschung aus den aktiven Systemen geschützt und von der gewöhnlichen Nutzung ausgeschlossen und werden nach dem normalen Aufbewahrungszyklus der jeweiligen Sicherungskopie gelöscht oder überschrieben, sofern das Recht keine längere Aufbewahrung verlangt. Wird eine solche Sicherungskopie zur Wiederherstellung nach einem Ausfall verwendet, unterliegen die Daten weiterhin der Löschpflicht nach diesem Abschnitt.

Auf angemessene Anfrage stellt der Auftragsverarbeiter Informationen bereit, die zum Nachweis der Einhaltung dieser DPA erforderlich sind. Vorhandene Sicherheitsdokumentation, Berichte oder andere Compliance-Nachweise können vorrangig genutzt werden. Sind diese Informationen unzureichend, kann der Verantwortliche selbst oder durch einen unabhängigen Prüfer nach angemessener Vorankündigung ein Audit durchführen, sofern Sicherheit, Vertraulichkeit anderer Kunden und Dienstkontinuität nicht beeinträchtigt werden.

Soweit diese DPA hinsichtlich der Verarbeitung Anvertrauter Daten den Bedingungen widerspricht, hat die DPA Vorrang. Änderungen der DPA werden versioniert und entsprechend Gesetz und Bedingungen mitgeteilt; eine Aktualisierung der Unterauftragsverarbeiterliste nach Abschnitt 8 erfordert keine separate DPA. Wird ein länderspezifischer Zusatz ausdrücklich als für den Verantwortlichen anwendbar bezeichnet, ist er Teil dieser DPA und geht im Umfang eines Widerspruchs hinsichtlich jurisdiktionsspezifischer Anforderungen vor. Kontakt zur DPA: contact@ezindra.com.