Auftragsverarbeitungsvertrag priceq

Form: die Standardvertragsklauseln der Europäischen Kommission, mit ausgefüllten Anlagen.

Über diesen Vertrag

Die Europäische Kommission hat Musterklauseln für das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter festgelegt: **Durchführungsbeschluss (EU) 2021/915 vom

1. Juni 2021**, auf Grundlage von Artikel 28 Absatz 7 DSGVO. Wir übernehmen diese Klauseln

vollständig, statt selbst welche zu formulieren.

Das bedeutet für Sie zweierlei. Die Klauseln sind von der Kommission selbst festgelegt worden und erfüllen damit Artikel 28. Und Ihre Rechtsabteilung erkennt den Text wieder und muss ihn nicht Zeile für Zeile prüfen.

Die inhaltliche Arbeit steckt in den Anlagen. Der Beschluss verlangt, dass die Sicherheitsmaßnahmen konkret beschrieben werden; eine allgemeine Beschreibung genügt nicht. Anlage III ist daher eine Beschreibung dessen, was das System tatsächlich tut.

Der Vertrag

Parteien

Artikel 1: Was gilt

Auf die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt, finden die Standardvertragsklauseln aus der Anlage zum Durchführungsbeschluss (EU) 2021/915 vollständig Anwendung. Diese Klauseln sind Bestandteil dieses Vertrags, als wären sie hier vollständig wiedergegeben.

Artikel 2: Wahlmöglichkeiten innerhalb dieser Klauseln

• Einschaltung von Unterauftragsverarbeitern (Klausel 7.7): allgemeine schriftliche Genehmigung. Der Auftragsverarbeiter hält die Liste in Anlage IV aktuell und meldet eine beabsichtigte Änderung mindestens dreißig Tage im Voraus. Der Verantwortliche kann innerhalb dieser Frist Einspruch erheben; einigen sich die Parteien nicht, darf er den Vertrag zum Zeitpunkt des Inkrafttretens der Änderung kündigen.
• Bei Beendigung der Verarbeitung (Klausel 8.5): der Auftragsverarbeiter löscht die personenbezogenen Daten, es sei denn, der Verantwortliche verlangt vor dem Ende des Vertrags schriftlich deren Rückgabe. Ein vollständiger Export kann jederzeit selbst in der Anwendung abgerufen werden.
• Meldung einer Verletzung (Klausel 9): der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung und spätestens innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat, mit den zu diesem Zeitpunkt verfügbaren Informationen; fehlende Informationen folgen, sobald sie vorliegen.
• Anwendbares Recht und Gerichtsstand (Klauseln 12 und 13): niederländisches Recht, zuständiges Gericht: Rechtbank Noord-Holland (Bezirksgericht Noord-Holland, Niederlande).

Artikel 3: Überprüfungen (Klausel 7.6)

Der Verantwortliche darf die Einhaltung überprüfen. Dies geschieht zunächst auf Grundlage der vom Auftragsverarbeiter bereitgestellten Informationen. Eine Überprüfung vor Ort ist möglich, höchstens einmal jährlich, mit angemessener Frist angekündigt, während der Bürozeiten und in einer Weise, dass der Dienst für andere Kunden nicht gestört wird. Die Kosten einer Überprüfung, die keinen Mangel nachweist, trägt der Verantwortliche.

Anlage I: Parteien

Dieser Vertrag wird nicht handschriftlich unterzeichnet. Er kommt in dem Moment zustande, in dem der Kunde bei der Anmeldung zustimmt. Wir halten fest, welches Dokument, welche Version, den Fingerabdruck (SHA-256) des Textes, wie er in diesem Moment angezeigt wurde, den Zeitpunkt, die IP-Adresse und den Browser. Wer ein eigenes unterzeichnetes Exemplar möchte, fordert es über die Kontaktadresse unter /legal/bedrijfsgegevens an.

Anlage II: Beschreibung der Verarbeitung

Betroffene Personen

Mitarbeiter des Verantwortlichen, die ein Konto in der Anwendung haben, sowie Personen, mit denen er im Namen der Organisation über die Anwendung Kontakt aufnimmt.

Kategorien personenbezogener Daten

• Name und geschäftliche E-Mail-Adresse
• Rolle innerhalb der Organisation (Administrator, Supervisor, Mitarbeiter, Leser)
• Eine mit Argon2id gehashte Darstellung des Passworts sowie eine Versionsnummer, mit der eine Sitzung widerrufen werden kann
• Persönliche Einstellungen: Sprache, Darstellung, welche Benachrichtigungen jemand erhält
• Im Auditprotokoll: Benutzer-ID, Zeitpunkt, Handlung, IP-Adresse und Browser sowie die Daten, auf die sich die Handlung bezog, etwa die E-Mail-Adresse der eingeladenen Person
• Zeitpunkt und IP-Adresse des letzten Einloggens
• Ob E-Mails an die Adresse einer Person unzustellbar zurückkamen: Zeitpunkt und der vom empfangenden Mailserver angegebene Grund

Besondere Kategorien

Keine. Der Dienst ist nicht darauf ausgelegt, und es gibt kein Feld, in das sie passen.

Was ausdrücklich keine personenbezogenen Daten sind

Die Preise, Verfügbarkeiten und Produktbezeichnungen, die von öffentlichen Shop-Seiten abgerufen werden, sowie der vom Kunden bereitgestellte Katalog. Das sind Markt- und Produktdaten. Sie fallen nicht unter diesen Vertrag und werden hier nur genannt, um Missverständnisse zu vermeiden.

Art und Zweck der Verarbeitung

Die Gewährung des Zugangs zur Anwendung, die Zuweisung von Rechten, der Versand der Benachrichtigungen und Übersichten, die der Nutzer selbst einrichtet, die Absicherung des Dienstes (Anmeldebeschränkung, Sitzungsverwaltung, Auditprotokoll) und die Behebung von Störungen.

Dauer

Für die Dauer des Vertrags. Nach Beendigung werden personenbezogene Daten beim Abschluss der Akte anonymisiert, spätestens dreißig Tage nach Beendigung. Beantragt ein Administrator des Verantwortlichen die Löschung selbst in der Anwendung, gilt zunächst eine Bedenkzeit von dreißig Tagen, in der das Konto weiter funktioniert und der Antrag zurückgezogen werden kann; danach werden die Daten gelöscht. Eine frühere Löschung erfolgt auf ausdrücklichen Wunsch des Verantwortlichen.

Das Auditprotokoll folgt einer eigenen Frist: Jeder Eintrag wird zwölf Monate, nachdem er geschrieben wurde, automatisch gelöscht, auch wenn der Vertrag früher geendet hat. Bis dahin bleiben die darin enthaltenen personenbezogenen Daten erhalten, weil das Protokoll gerade dazu dient, im Nachhinein feststellen zu können, was geschehen ist.

Häufigkeit

Fortlaufend, solange die Anwendung genutzt wird.

Anlage III: Technische und organisatorische Maßnahmen

Konkret beschrieben, wie der Beschluss es verlangt.

Trennung zwischen Kunden Die Datenbank erzwingt je Zeile, zu welchem Kunden ein Datum gehört (Row-Level Security), auf jeder Tabelle mit Kundendaten, mit einer bewussten Ausnahme: den Tabellen mit Benutzerkonten und mit Einmalcodes für Einladungen und Passwortwiederherstellung. Diese werden beim Einloggen anhand der E-Mail-Adresse gesucht, bevor bekannt ist, zu welchem Kunden jemand gehört. Dort sichert die Anwendung die Trennung: Jedes Konto gehört zu genau einem Kunden, und die Anwendung sucht Konten anhand der Kunden- oder Benutzernummer aus der eingeloggten Sitzung, nie anhand einer Nummer aus der Anfrage. Die Anwendung filtert zusätzlich ausdrücklich, und in der Buildstraße läuft bei jeder Änderung ein Test, der versucht, die Daten eines anderen Kunden abzurufen; gelingt dieser Versuch, wird die Änderung nicht übernommen. Die Anwendung läuft mit einer Datenbankrolle, die diese Trennung nicht umgehen kann. Auch Cache-Schlüssel und Speicherpfade sind je Kunde getrennt.

Zugang und Authentifizierung Passwörter werden gehasht mit Argon2id gespeichert. Zwei-Faktor-Authentifizierung ist verfügbar. Passwörter werden bei der Festlegung gegen bekannte geleakte Passwörter geprüft. Wiederholte fehlgeschlagene Anmeldeversuche werden blockiert. Sitzungen können je Nutzer sofort widerrufen werden. Rechte sind in vier Rollen eingeteilt; die weitreichendsten Handlungen (vollständiger Export, Abonnement ändern, Konto löschen) sind einem Administrator vorbehalten.

Mitschauen im Konto des Kunden Für den Support kann ein Mitarbeiter des Auftragsverarbeiters die Anwendung so sehen, wie der Kunde sie sieht. Das ist ausschließlich aus seinem eigenen angemeldeten Konto heraus möglich (nicht mit einem Systemschlüssel) und erst, nachdem er einen Grund angegeben hat. Dieser Grund wird festgehalten und dem Kunden angezeigt. Eine solche Sitzung ist nur lesend: Der Server verweigert jede Handlung, die etwas ändert, gleich welchen Bildschirm der Mitarbeiter öffnet. Sie dauert dreißig Minuten und kann nicht verlängert werden; wer länger benötigt, beginnt erneut und hält erneut einen Grund fest. Im Protokoll bleibt der Mitarbeiter er selbst: Was er tut, wird niemals einem Mitarbeiter des Kunden zugeschrieben. Vier Bildschirme bleiben auch beim Mitschauen geschlossen: die Liste der Teammitglieder, das Aktivitätsprotokoll, der vollständige Export und die API-Schlüssel.

Vertraulichkeit bei Übertragung und Speicherung Der gesamte Datenverkehr läuft über TLS. Die Server sind nicht unmittelbar aus dem Internet erreichbar. Sicherungskopien werden verschlüsselt gespeichert.

Verfügbarkeit und Wiederherstellung Jede Nacht wird eine vollständige Sicherungskopie erstellt und verschlüsselt in Objektspeicher geschrieben, in je Kunde getrennten Pfaden. Die Verschlüsselung erfolgt vor dem Schreiben, sodass der Speicheranbieter ausschließlich Chiffretext erhält. Das Wiederherstellungsverfahren ist beschrieben und wird erprobt; Datum und Ergebnis der letzten Erprobung sind auf Anfrage verfügbar.

Protokollierung und Nachprüfbarkeit Handlungen rund um Konten und Zugang (jemanden einladen, eine Einladung zurückziehen, eine Rolle ändern, ein Konto deaktivieren oder reaktivieren, und ein Mitarbeiter des Auftragsverarbeiters, der mitschaut) werden in einem Auditprotokoll festgehalten, das die Anwendung nicht ändern oder löschen kann. Diese Beschränkung ist auf Datenbankebene erzwungen: Die Anwendung hat kein Recht, Zeilen im Protokoll zu ändern oder zu löschen. Einträge, die zwölf Monate alt sind, löscht eine gesonderte Wartungsaufgabe mit eigener Datenbankrolle. Der Kunde kann das Protokoll selbst in der Anwendung einsehen.

Der Eintrag zu einer Mitschau-Sitzung nennt den Grund, den Zeitpunkt und den Moment, zu dem der Zugang erlischt, und er wird geschrieben, bevor der Zugang gewährt wird: Schlägt dieses Schreiben fehl, findet kein Mitschauen statt. Eine Mitschau-Sitzung ohne Eintrag im Protokoll gibt es daher nicht.

Sicherheit der Entwicklung Der Quellcode liegt in einem geschlossenen Repository. Bei jeder Änderung laufen automatisierte Prüfungen auf Geheimnisse im Code, bekannte Schwachstellen in Abhängigkeiten und den oben genannten Trennungstest. Geheimnisse liegen in einem Schlüsseltresor und nicht im Code.

Fehlerüberwachung Die Anwendung meldet Fehler an einen externen Dienst in der EU-Region. Dieser ist so eingestellt, dass keine personenbezogenen Daten und keine Inhalte von Anfragen mitgesendet werden.

Zugang zur Produktion Beschränkt auf den Administrator des Auftragsverarbeiters, über ein geschlossenes Netzwerk, mit Schlüsselauthentifizierung. Handlungen unmittelbar auf der Produktionsumgebung werden im Nachhinein festgehalten.

Löschung Bei der Beendigung eines Kontos werden Nutzerdaten anonymisiert und alle Schlüssel und Token gelöscht. Das Auditprotokoll wird dabei nicht verändert: Die Einträge bleiben mit den darin enthaltenen personenbezogenen Daten (Benutzer-ID, IP-Adresse, Browser und zum Beispiel die E-Mail-Adresse einer eingeladenen Person) bestehen, bis sie zwölf Monate alt sind und automatisch gelöscht werden.

Anlage IV: Unterauftragsverarbeiter

Parteien, die bei der Ausführung personenbezogene Daten verarbeiten können:

Dieselben Unterauftragsverarbeiter stehen, mit mehr Einzelheiten je Partei, in der Liste der Unterauftragsverarbeiter.

Fingerabdruck dieses Textes (SHA-256): c3c6158d0eac98041f6d5f3ddb3fb2dfcd13caa4043b2db3fc3b231337046521