DSGVO-Konformität
Gegenstand
Dieses Kapitel dient dazu, die Bedingungen festzulegen, unter denen sich der Auftragsverarbeiter verpflichtet, im Namen des für die Verarbeitung verantwortlichen Kunden die nachstehend definierten Vorgänge zur Verarbeitung personenbezogener Daten durchzuführen.
Im Rahmen ihrer vertraglichen Beziehungen verpflichten sich die Parteien, die geltenden Vorschriften über die Verarbeitung personenbezogener Daten einzuhalten, insbesondere die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016, anwendbar ab dem 25. Mai 2018, im Folgenden „die europäische Datenschutz-Grundverordnung" genannt.
Beschreibung der Verarbeitung, die Gegenstand der Auftragsverarbeitung ist
Der Auftragsverarbeiter ist berechtigt, im Namen des für die Verarbeitung verantwortlichen Kunden die personenbezogenen Daten zu verarbeiten, die zur Erbringung der folgenden Dienstleistungen erforderlich sind:
1. Hosting der Daten in Rechenzentren
- Wir arbeiten mit dem Unternehmen OVH zusammen, das im Rahmen der DSGVO durch CISPE (Cloud Infrastructure Services Providers in Europe) zertifiziert ist.
- Siehe folgenden Link: https://www.ovh.com/fr/protection-donnees-personnelles/gdpr.xml
2. Datensicherung für tägliche Backups
- Wir führen jede Nacht Backup-Skripte für alle unsere Kunden (Verantwortliche) mit Wartungsvertrag aus.
- Die Backups sind eine Kopie der aktiven Produktionsdatenbank.
- Die Backups werden auf Festplatten gespeichert, die mit XTS AES 128-Bit und einem 256-Bit-Schlüssel verschlüsselt sind.
- Die Backups werden nach einem Lebenszyklus von 15 Tagen gelöscht.
3. Support für Daten lokaler Umgebungen
- Für Test-, Support- oder Entwicklungszwecke kann es vorkommen, dass unsere Teams eine teilweise oder vollständige Kopie von Daten aus der Produktionsdatenbank erstellen müssen.
- Wenn solche Kopien erstellt werden, werden sie auf lokalen Festplatten gespeichert, die mit XTS AES 128-Bit und einem 256-Bit-Schlüssel verschlüsselt sind.
Die Art der an den Daten durchgeführten Vorgänge basiert auf diesem Vertrag und insbesondere auf dem Wartungsvertrag zwischen dem für die Verarbeitung verantwortlichen Kunden und dem Auftragsverarbeiter.
Für die Erbringung der unter diesen Vertrag fallenden Dienstleistungen kann der für die Verarbeitung verantwortliche Kunde zusätzliche Informationen bereitstellen.
Dem Auftragsverarbeiter wird keine andere Aufgabe übertragen als die Speicherung und Sicherung der Daten.
Pflichten des Auftragsverarbeiters gegenüber dem Verantwortlichen
Zweck und Weisungen
Der Auftragsverarbeiter verpflichtet sich, die Daten ausschließlich für die Zwecke zu verarbeiten, die Gegenstand des Auftragsverarbeitungsvertrags sind, nämlich ausschließlich deren Speicherung und Sicherung.
Er verpflichtet sich, die Daten gemäß den dokumentierten Weisungen des Verantwortlichen zu verarbeiten.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die europäische Datenschutz-Grundverordnung oder eine andere Bestimmung des Unionsrechts oder des Rechts der Mitgliedstaaten zum Datenschutz verstößt, unterrichtet er den Verantwortlichen unverzüglich.
Ist der Auftragsverarbeiter darüber hinaus aufgrund des Unionsrechts oder des Rechts des Mitgliedstaats, dem er unterliegt, verpflichtet, Daten an ein Drittland oder eine internationale Organisation zu übermitteln, muss er den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung informieren, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.
Vertraulichkeit
Der Auftragsverarbeiter verpflichtet sich, die Vertraulichkeit der verarbeiteten personenbezogenen Daten zu gewährleisten.
Er verpflichtet sich ferner sicherzustellen, dass Dienstleister oder Mitarbeiter, die an der Speicherung und Sicherung personenbezogener Daten im Rahmen der Durchführung dieses Vertrags beteiligt sind:
- Nicht berechtigt sind, die Daten selbst zu verarbeiten,
- Sich vertraglich zur Wahrung der Vertraulichkeit verpflichten oder einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen,
- Die erforderliche Schulung zum Schutz personenbezogener Daten sowie zur Bedeutung der Einhaltung der Datenschutzgesetzgebung erhalten.
Die im Rahmen dieses Vertrags eingegangenen Vertraulichkeitsverpflichtungen bleiben für die gesamte Laufzeit des Vertrags sowie für einen Zeitraum von zwei Jahren ab dessen Beendigung bestehen.
Schließlich verpflichtet sich der Auftragsverarbeiter, bei seinen Tools, Produkten, Anwendungen oder Dienstleistungen die Grundsätze des Datenschutzes durch Technikgestaltung und datenschutzfreundlicher Voreinstellungen zu berücksichtigen.
Unterauftragsverarbeitung
Der Auftragsverarbeiter kann einen weiteren Auftragsverarbeiter, im Folgenden „der nachgeordnete Auftragsverarbeiter" genannt, hinzuziehen, um bestimmte Verarbeitungstätigkeiten durchzuführen.
In diesem Fall informiert er den Verantwortlichen vorab schriftlich über jede beabsichtigte Änderung im Zusammenhang mit der Hinzuziehung oder dem Austausch weiterer Auftragsverarbeiter.
Diese Information muss die ausgelagerten Verarbeitungstätigkeiten, die Identität und Kontaktdaten des Auftragsverarbeiters sowie die Daten des Unterauftragsverarbeitungsvertrags eindeutig angeben.
Der Verantwortliche hat ab dem Datum des Erhalts dieser Information eine Mindestfrist von fünfzehn Tagen, um Einwände zu erheben.
Diese Unterauftragsverarbeitung darf nur erfolgen, wenn der Verantwortliche innerhalb der vereinbarten Frist keinen Einwand erhoben hat.
Der nachgeordnete Auftragsverarbeiter ist verpflichtet, die Verpflichtungen dieses Vertrags im Namen und nach den Weisungen des Verantwortlichen einzuhalten.
Es obliegt dem ursprünglichen Auftragsverarbeiter sicherzustellen, dass der nachgeordnete Auftragsverarbeiter die gleichen ausreichenden Garantien hinsichtlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen bietet, damit die Verarbeitung den Anforderungen der europäischen Datenschutz-Grundverordnung entspricht.
Kommt der nachgeordnete Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, bleibt der ursprüngliche Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des anderen Auftragsverarbeiters in vollem Umfang haftbar.
Recht auf Information der betroffenen Personen
Es obliegt dem Verantwortlichen, die betroffenen Personen zum Zeitpunkt der Datenerhebung zu informieren.
Soweit möglich kann der Auftragsverarbeiter den Verantwortlichen dabei unterstützen, seiner Verpflichtung zur Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen nachzukommen:
- Recht auf Auskunft, Berichtigung, Löschung und Widerspruch,
- Recht auf Einschränkung der Verarbeitung,
- Recht auf Datenübertragbarkeit,
- Recht, keiner automatisierten Einzelentscheidung, einschließlich Profiling, unterworfen zu werden.
Wenn betroffene Personen Anträge auf Ausübung ihrer Rechte an den Auftragsverarbeiter richten, muss dieser sie nach Erhalt unverzüglich per E-Mail an die vom Verantwortlichen angegebene Kontaktstelle weiterleiten.
Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten innerhalb von maximal vierundzwanzig Stunden, nachdem er davon Kenntnis erlangt hat, per E-Mail.
Dieser Meldung ist jede nützliche Dokumentation beizufügen, damit der Verantwortliche gegebenenfalls die Verletzung der zuständigen Aufsichtsbehörde melden kann.
Es obliegt anschließend dem Verantwortlichen, die festgestellten Verletzungen des Schutzes personenbezogener Daten der Aufsichtsbehörde zu melden und der betroffenen Person so schnell wie möglich mitzuteilen, es sei denn, die betreffende Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Person.
Die Meldung an die Aufsichtsbehörde und die Mitteilung an die betroffene Person müssen alle von der europäischen Datenschutz-Grundverordnung geforderten Informationen enthalten.
Sicherheitsmaßnahmen
Der Auftragsverarbeiter verpflichtet sich, unter Berücksichtigung der mit der Verarbeitung verbundenen Risiken und der Art der personenbezogenen Daten angemessene technische und organisatorische Sicherheitsmaßnahmen zu ergreifen.
Er wird insbesondere Maßnahmen ergreifen, um:
- Unbefugten Personen den Zugang zu den IT-Systemen, die personenbezogene Daten verarbeiten, zu verwehren, sodass diese die Daten nicht einsehen, kopieren, ändern, löschen oder verbreiten können,
- Sicherzustellen, dass autorisierte Nutzer der Datenverarbeitungssysteme nur auf die von ihren Zugriffsrechten erfassten personenbezogenen Daten zugreifen können,
- Zu verhindern, dass personenbezogene Daten während der Übertragung und während des Transports von Speichermedien gelesen, kopiert oder gelöscht werden können,
- Die Vertraulichkeit, Integrität und Verfügbarkeit der Verarbeitungsdienste zu gewährleisten,
- Die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall innerhalb angemessener Frist wiederherzustellen,
- Regelmäßig die Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung zu bewerten.
Schicksal der Daten
Am Ende dieses Vertrags verpflichtet sich der Auftragsverarbeiter, nach Wahl des Verantwortlichen:
- Alle personenbezogenen Daten zu vernichten, oder
- Alle personenbezogenen Daten an den Verantwortlichen zurückzugeben, oder
- Die personenbezogenen Daten an den vom Verantwortlichen bestimmten Auftragsverarbeiter zurückzugeben.
Der Verantwortliche muss den Auftragsverarbeiter innerhalb von fünfzehn Tagen nach Beendigung dieses Vertrags über seine Wahl informieren; andernfalls werden alle personenbezogenen Daten vernichtet, ohne dass der Auftragsverarbeiter dafür in Anspruch genommen werden kann.
Die Rückgabe geht mit der Vernichtung aller vorhandenen Kopien in den Informationssystemen des Auftragsverarbeiters einher, die dieser schriftlich bestätigt.
Datenschutzbeauftragter
Der Auftragsverarbeiter teilt dem Verantwortlichen den Namen und die Kontaktdaten seines Datenschutzbeauftragten mit, sofern er einen solchen benannt hat, gemäß Artikel 37 der europäischen Datenschutz-Grundverordnung.
Der Datenschutzbeauftragte des Verantwortlichen kann unter info@anb-rimex.be kontaktiert werden.
Pflichten des für die Verarbeitung verantwortlichen Kunden gegenüber dem Auftragsverarbeiter
Der für die Verarbeitung verantwortliche Kunde verpflichtet sich:
- Dem Auftragsverarbeiter die zur Erfüllung seiner Verpflichtungen erforderlichen Informationen zur Verfügung zu stellen.
- Jede Weisung bezüglich der Verarbeitung der Daten durch den Auftragsverarbeiter schriftlich zu formulieren. Die vom Auftragsverarbeiter zur Unterstützung des Verantwortlichen bei der Umsetzung dieser Weisungen erbrachten Leistungen sind Supportleistungen, die im Rahmen des mit dem ursprünglichen Vertrag verbundenen Wartungsvertrags geregelt sind. Der Auftragsverarbeiter führt die Leistungen erst aus, sobald der Antrag übermittelt und vom Verantwortlichen validiert wurde.
- Sowohl vorab als auch während der gesamten Dauer der Verarbeitung darauf zu achten, dass er selbst und der Auftragsverarbeiter die dem Auftragsverarbeiter durch die europäische Datenschutz-Grundverordnung auferlegten Pflichten einhalten,
- Die Verarbeitung zu überwachen.
Sonstiges
Haftung
Der Auftragsverarbeiter haftet für Schäden, die durch die ihm anvertraute Verarbeitung verursacht wurden, nur, wenn er die speziell für Auftragsverarbeiter geltenden Pflichten der europäischen Datenschutz-Grundverordnung nicht eingehalten hat oder außerhalb oder entgegen den rechtmäßigen Weisungen des Verantwortlichen gehandelt hat.
Er wird von jeglicher Haftung befreit, wenn er nachweist, dass das schadensverursachende Ereignis ihm in keiner Weise zuzurechnen ist.
Höhere Gewalt
Keine der beiden Parteien haftet gegenüber der anderen für eine Verzögerung oder Nichterfüllung ihrer vertraglichen Pflichten, die auf einen oder mehrere ihrer angemessenen Kontrolle entzogene Gründe zurückzuführen ist, insbesondere Naturkatastrophen, behördliche Entscheidungen, Krieg, Feuer, Überschwemmung, Explosion und zivile Unruhen; diese Liste ist nicht erschöpfend.
Sofern die von der Verzögerung betroffene Partei die andere Partei unverzüglich und schriftlich über den Grund der Verzögerung und deren voraussichtliche Dauer informiert, wird die Erfüllung der Pflichten der verzögerten Partei ausgesetzt, soweit die Pflichten von der Verzögerung betroffen sind, und zwar für den Zeitraum, in dem der Grund der Verzögerung fortbesteht.
Abtretung
Keine der Parteien darf die sich aus diesem Vertrag ergebenden Rechte und Pflichten ohne die vorherige schriftliche Zustimmung der anderen Partei abtreten; diese Zustimmung darf nicht ohne triftigen Grund verweigert oder verzögert werden.
Änderung
Jede Änderung dieses Vertrags muss zwingend schriftlich erfolgen und von der zur Bindung der Parteien befugten Person unterzeichnet werden.
Anwendbares Recht und Gerichtsstand
Dieser Vertrag unterliegt belgischem Recht.
Jede Streitigkeit bezüglich seiner Gültigkeit, Auslegung, Erfüllung, Auflösung oder Beendigung fällt in die ausschließliche Zuständigkeit der Gerichte am Sitz des Auftragsverarbeiters.
Der Auftragsverarbeiter kann den Verantwortlichen jedoch zur Streitverkündung und Gewährleistung vor ein anderes Gericht laden, das für die Entscheidung über eine Hauptklage zuständig ist, die die Einbeziehung des Verantwortlichen rechtfertigt.
Der Verantwortliche kann den Auftragsverarbeiter jedoch zur Streitverkündung und Gewährleistung vor ein anderes Gericht laden, das für die Entscheidung über eine Hauptklage zuständig ist, die die Einbeziehung des Verantwortlichen rechtfertigt.