Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Parteien und Annahme

Dieser Vertrag wird geschlossen zwischen dem Nutzer der SuitBadge-App, der mit einem Formular Kontakte erfasst (Verantwortlicher), und dem oben genannten Unternehmen (Auftragsverarbeiter). Er ist Anlage der Nutzungsbedingungen und wird mit ihnen in der App angenommen.

2. Gegenstand, Dauer, Art und Zweck

Der Auftragsverarbeiter speichert die mit den Formularen des Verantwortlichen gesendeten Antworten und stellt sie ihm in der App mit Notizen, Export und Löschung bereit. Die Verarbeitung dauert so lange wie das Konto des Verantwortlichen. Einziger Zweck ist die Bereitstellung dieser Funktion.

3. Daten und betroffene Personen

Betroffene Personen: Personen, die ein Formular auf der Seite des Verantwortlichen ausfüllen. Daten: die vom Verantwortlichen gewählten Felder (z. B. Name, E-Mail, Telefon, Unternehmen, Nachricht, eine Auswahl), der akzeptierte Einwilligungstext und das Datum. Der Verantwortliche erhebt keine besonderen Kategorien von Daten (Art. 9 DSGVO) und keine Daten Minderjähriger.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen: diese Bedingungen, die Formulareinstellungen und die Aktionen in der App. Hält er eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen.

5. Vertraulichkeit

Zum Zugriff befugte Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf das für Betrieb und Sicherheit Notwendige beschränkt.

6. Sicherheit (Art. 32 DSGVO)

• Antworten und Notizen feldweise mit AES-256-GCM verschlüsselt, Schlüssel getrennt in einem Geheimnisspeicher;
• Pseudonymisierung des Kontos des Verantwortlichen mit zufälliger interner ID und schlüsselbasiertem Hash;
• Verschlüsselung von Datenbank und Dateien im Ruhezustand und bei der Übertragung (TLS);
• jede Anfrage mit dem Anmeldetoken des Verantwortlichen autorisiert; kein Zugriff auf Daten anderer Nutzer;
• Zugriff auf die Infrastruktur nach dem Prinzip der geringsten Rechte, keine Speicherung von Besucher-IP-Adressen;
• Speicherung in der Europäischen Union (AWS, Frankfurt); Datenbanksicherungen für 7 Tage.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter. Derzeit: Amazon Web Services EMEA SARL (Hosting, Datenbank, Dateien, Auslieferung; Frankfurt, mit dem CloudFront-Netz). Google Ireland Ltd und Google LLC (Firebase Authentication) verarbeiten nur die Anmeldedaten des Verantwortlichen, nicht die Kontakte. Der Auftragsverarbeiter informiert mindestens 30 Tage vor einer Hinzufügung oder Ersetzung in der App; der Verantwortliche kann widersprechen und, wenn keine Lösung gefunden wird, sein Konto löschen. Unterauftragsverarbeiter unterliegen denselben Pflichten.

8. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (die App erlaubt Einsicht, Export und Löschung jedes Kontakts) sowie, soweit nötig, bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Anfragen Betroffener an den Auftragsverarbeiter werden unverzüglich weitergeleitet.

9. Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung, die die Kontakte betrifft, unverzüglich und spätestens 48 Stunden nach Kenntnis, mit den verfügbaren Informationen, und unterstützt ihn bei seinen Pflichten.

10. Ende der Verarbeitung

Löscht der Verantwortliche einen Kontakt oder sein Konto, werden die Daten sofort aus der aktiven Datenbank gelöscht; Sicherungen werden innerhalb von 7 Tagen überschrieben. Vorher kann der Verantwortliche die Kontakte als CSV oder JSON exportieren.

11. Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Prüfungen durch den Verantwortlichen oder einen beauftragten Prüfer mit angemessener Vorankündigung, ohne Sicherheit und Vertraulichkeit anderer Nutzer zu gefährden. Zertifizierungen der Unterauftragsverarbeiter können als Nachweis dienen.

12. Internationale Übermittlungen

Die Kontakte werden in der EU gespeichert. Eine Übermittlung außerhalb des EWR erfolgt nur mit geeigneten Garantien nach Kapitel V DSGVO (Angemessenheitsbeschluss oder Standardvertragsklauseln).

13. Pflichten des Verantwortlichen

Der Verantwortliche stellt die Rechtmäßigkeit der Erhebung sicher: klarer Zweck, korrekter Einwilligungstext, Nutzung der Kontakte nur für diesen Zweck und Link zu den Hinweisen für Besucher, den der Auftragsverarbeiter unter jedem Formular anzeigt.

Weitere Dokumente

Datenschutzhinweise der SuitBadge-App · Nutzungsbedingungen der SuitBadge-App · Datenschutzhinweise für Besucher von SuitBadge-Seiten · Datenschutz & Cookies