Auftragsverarbeitungsvertrag
Dieser Auftragsverarbeitungsvertrag (AVV) wird gemäß Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und der Remote Native GmbH (Auftragsverarbeiter) geschlossen und ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen.
1. Gegenstand und Weisungen
Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die Remote Native GmbH (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) im Zusammenhang mit den Diensten der TeamIntel-Plattform.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer, sofern er nicht durch das Recht der EU oder eines Mitgliedstaats dazu verpflichtet ist.
2. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter wird:
- personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten
- sicherstellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind
- geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen
- die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einhalten
- den Verantwortlichen bei Anfragen zu Betroffenenrechten unterstützen
- bei DSGVO-Pflichten unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen)
- nach Beendigung alle personenbezogenen Daten löschen oder zurückgeben
- die zum Nachweis der Einhaltung erforderlichen Informationen bereitstellen
3. Weitere Auftragsverarbeiter
Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Eine aktuelle Liste der Unterauftragsverarbeiter wird geführt und dem Verantwortlichen zur Verfügung gestellt. Beabsichtigte Änderungen werden dem Verantwortlichen mit einer Frist von mindestens 30 Tagen mitgeteilt.
4. Datensicherheit
Der Auftragsverarbeiter setzt die folgenden technischen und organisatorischen Maßnahmen um:
- AES-256-Verschlüsselung von Daten im Ruhezustand
- TLS-1.3-Verschlüsselung von Daten bei der Übertragung
- rollenbasierte Zugriffskontrolle und Prinzip der geringsten Rechte
- Mehrfaktor-Authentifizierung für alle administrativen Zugriffe
- regelmäßige Sicherheitsaudits und Penetrationstests
- EU-ansässige Infrastruktur
- automatisierte Backup- und Notfallwiederherstellungsverfahren
- Netzwerksegmentierung und Angriffserkennungssysteme
5. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde. Die Benachrichtigung umfasst die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.
6. Rechte betroffener Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO, einschließlich Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch. Der Auftragsverarbeiter leitet unmittelbar bei ihm eingehende Anträge betroffener Personen unverzüglich an den Verantwortlichen weiter.
7. Audits
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in diesem AVV festgelegten Pflichten erforderlich sind. Der Verantwortliche kann mit angemessener Ankündigung Überprüfungen, einschließlich Inspektionen, durchführen. Der Auftragsverarbeiter trägt zu solchen Überprüfungen bei und wirkt daran mit. Soweit der Auftragsverarbeiter über einen aktuellen Prüfbericht eines Dritten verfügt, kann dieser zur Erfüllung einer Auditanforderung angeboten werden; derzeit hält der Auftragsverarbeiter keine solche Zertifizierung und sagt deren Bestehen nicht zu.
8. Beendigung
Nach Beendigung der Datenverarbeitungsdienste löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht das Recht der EU oder eines Mitgliedstaats die Speicherung der personenbezogenen Daten vorschreibt. Die Daten stehen nach Beendigung für 90 Tage zum Export zur Verfügung.
9. Haftung
Die Haftung jeder Partei nach diesem AVV unterliegt den in den Allgemeinen Geschäftsbedingungen festgelegten Haftungsbeschränkungen und -ausschlüssen. Nichts in diesem AVV beschränkt die Haftung einer Partei für Verstöße gegen Datenschutzpflichten nach der DSGVO, soweit eine solche Beschränkung nach geltendem Recht nicht zulässig ist.