Vertrag zur Auftragsdatenverarbeitung gemäß 11 BDSG

Transkript

1 Vertrag zur Auftragsdatenverarbeitung gemäß 11 BDSG Stand: 1. September 2016 Dieser Auftragsdatenverarbeitungsvertrag gilt zwischen Ihnen -im Folgenden: Auftraggeber- und der parlamind GmbH Saarbrücker Str. 20/ Berlin -im Folgenden: parlamind- Sie können sich dieses Dokument auch in PDF-Form herunterladen und archivieren, indem Sie hier klicken. Zum Öffnen der PDF-Datei benötigen Sie das kostenfreie Programm Adobe Reader ( oder vergleichbare Programme, die das PDF-Format ausführen. Präambel Zwischen dem Auftraggeber und parlamind besteht ein Auftragsverhältnis im Sinne des 11 BDSG. Der Auftraggeber hat parlamind im Rahmen der Sorgfaltspflichten des 11 BDSG als Dienstleister ausgewählt. Voraussetzung für die Zulässigkeit einer Datenverarbeitung im Auftrag ist, dass der Auftraggeber den Auftragnehmer den Auftrag schriftlich erteilt. Dieser Vertrag enthält nach dem Willen der Parteien und insbesondere des Auftraggebers den schriftlichen Auftrag zur Auftragsdatenverarbeitung i.s.d. 11 BDSG und regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Datenverarbeitung. Dies gilt nach dem Willen der Parteien auch als erfüllt, wenn der Vertrag elektronisch geschlossen wird. Zwischen dem Auftraggeber und parlamind sind die Allgemeinen Geschäftsbedingungen im Bereich Customer Support Softwareprodukte (Vertrag zur Nutzung der parlamind Software) vereinbart worden. Im Rahmen der Durchführung dieses Vertrags verarbeitet parlamind die Kontaktgründe sowie sonstige Inhalte aus s, Chat-Nachrichten, Social-Media oder sonstiger Kommunikation Seite 1 von 12

2 von Kunden des Auftraggebers (im folgenden zusammenfassend als Kundennachrichten bezeichnet), auf die ihr vom Auftraggeber Zugriff eingeräumt wird. Soweit parlamind in diesem Rahmen Zugriff auf personenbezogene Daten in Kundennachrichten erhält, gelten hierfür die Regelungen des nachfolgenden Auftragsdatenverarbeitungsvertrages (nachfolgend als Vereinbarung bezeichnet) gem. 11 BDSG. parlamind verpflichtet sich gegenüber dem Auftraggeber zur Erfüllung des Vertrages nach Maßgabe der folgenden Bestimmungen: 1 Anwendungsbereich (1) Die nachfolgenden Bestimmungen finden Anwendung auf alle Leistungen der Auftragsdatenverarbeitung im Sinne des 11 BDSG, die parlamind gegenüber dem Auftraggeber erbringt. (2) Sofern in dieser Vereinbarung der Begriff Datenverarbeitung oder Verarbeitung von Daten benutzt wird, ist darunter allgemein die Verwendung von personenbezogenen Daten zu verstehen. Eine Verwendung personenbezogener Daten umfasst insbesondere die Erhebung, Speicherung, Übermittlung, Sperrung, Löschung, Anonymisierung, Pseudonymisierung, Verschlüsselung oder sonstige Nutzung von Daten. Auf die weiteren Begriffsbestimmungen in 3 BDSG wird verwiesen. 2 Gegenstand und Dauer des Auftrags (1) parlamind verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. (2) Gegenstand des Auftrags ist die Analyse von Kontaktgründen und sonstigen Inhalten aus E- Mails, Chatnachrichten, Social Media und sonstiger Kundenkommunikation des Auftraggebers im Rahmen des mit parlamind vereinbarten Umfangs, gemäß des zugrundliegenden Vertrages. (3) Die Dauer dieser Vereinbarung entspricht der Laufzeit des zugrundeliegenden Vertrages. Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Unabhängig von der Vertragsbeendigung gelten die Bestimmungen zur Sicherung des Datenschutzes solange weiter wie parlamind personenbezogene Daten verarbeitet, zu deren Schutz der Nutzer verpflichtet ist. Seite 2 von 12

3 3 Umfang, Art und Zweck der Datenerhebung, -verarbeitung oder nutzung Die übermittelten personenbezogenen Daten werden folgenden grundlegenden Verarbeitungsmaßnahmen unterzogen: - Erfassung, Kategorisierung, Visualisierung - Anonymisierung zum Zweck der statistischen Auswertung - Forschung und Entwicklung 4 Kreis der Betroffenen Der Kreis der durch den Umgang mit den personenbezogenen Daten im Rahmen des zugrundeliegenden Vertrages Betroffenen umfasst: - Endkunden des Nutzers - Sachbearbeiter des Nutzers 5 Art der personenbezogenen Daten Gegenstand der Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Zusammenhang mit der Auftragsdurchführung sind neben dem gesamten Inhalt von Kundennachrichten insbesondere folgende Kategorien von personenbezogenen Daten: - Name - Anschrift - Geburtsdatum - Einzelheiten zum Vertragsverhältnis mit dem Nutzer, z.b. Angaben zu gekauften Produkten oder Dienstleistungen - Bankverbindungsdaten - adresse - Daten zu vorherigen Äußerungen von Sachbearbeitern 6 Rechte und Pflichten des Auftraggebers (1) Für die Beurteilung der Zulässigkeit der Datenerhebung, -verarbeitung, -nutzung sowie zur Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich und somit verantwortliche Stelle im Sinne des 3 Abs. 7 BDSG. (2) Der Auftraggeber ist berechtigt, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Seite 3 von 12

4 (3) Soweit es der Auftraggeber für erforderlich hält, können weisungsberechtigte Personen benannt werden. Diese wird der Auftraggeber parlamind schriftlich mitteilen. Für den Fall, dass sich diese weisungsberechtigten Personen bei dem Auftraggeber ändern, wird dies parlamind unter Benennung der jeweils neuen Person schriftlich mitgeteilt. (4) Der Auftraggeber informiert parlamind unverzüglich, wenn Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch parlamind festgestellt werden. (5) Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung, Verarbeitung und Nutzung der Daten des Auftraggebers sowie für die Wahrung der Rechte der Betroffenen verantwortlich. Sollten Dritte gegen parlamind aufgrund der Erhebung, Verarbeitung oder Nutzung von Auftraggeberdaten Ansprüche geltend machen, wird der Auftraggeber parlamind von allen solchen Ansprüchen auf erstes Anfordern freistellen. (6) Der Auftraggeber ist berechtigt, sich vor Beginn der Datenverarbeitung und sodann in Absprache mit parlamind regelmäßig von der Einhaltung der von parlamind getroffenen technischen und organisatorischen Maßnahmen zur Datensicherheit zu überzeugen. Der Auftraggeber kann diese Kontrolle auch durch einen Dritten durchführen lassen. Ggf. aufgrund einer Kontrolle anfallenden Kosten trägt der Auftraggeber. 7 Pflichten von parlamind (1) Datenverarbeitung a. parlamind ist verpflichtet, personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den Weisungen des Auftraggebers zu verarbeiten. Eine hiervon abweichende Verarbeitung von Daten ist parlamind untersagt. parlamind ist verpflichtet, die zur Datenverarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke zu verarbeiten. b. Kopien oder Duplikate dürfen nicht erstellt werden, es sei denn, dies ist Gegenstand des Auftrags, dies ist zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich oder der Auftraggeber hat hierzu seine ausdrückliche schriftliche Einwilligung erteilt. (2) Berichtigung, Löschung und Sperrung von Daten a. parlamind hat auf Weisung des Auftraggebers die personenbezogenen Daten, die im Auftrag erhoben, verarbeitet oder genutzt werden, zu berichtigen, zu löschen oder zu sperren. Das Gleiche gilt, wenn diese Vereinbarung eine Berichtigung, Löschung oder Sperrung von Daten vorsieht. Seite 4 von 12

5 b. Soweit sich ein Betroffener unmittelbar an parlamind zwecks Berichtigung, Löschung oder Sperrung seiner Daten wendet, ist parlamind verpflichtet, dieses Ersuchen unverzüglich nach Erhalt an den Auftraggeber weiterzuleiten. (3) Kontrollpflichten a. parlamind verpflichtet sich, durch geeignete Kontrollen sicherzustellen, dass die im Auftrag erhobenen, verarbeiteten oder genutzten personenbezogenen Daten ausschließlich nach Maßgabe dieser Vereinbarung und/oder des zugrundeliegenden Vertrages und/oder den entsprechenden Weisungen verarbeitet werden. b. parlamind bestätigt, dass sie gem. 4f, 4g BDSG einen externen Datenschutzbeauftragten bestellt hat und die Einhaltung der Vorschriften zum Datenschutz und zur Datensicherheit unter Einbeziehung des Datenschutzbeauftragten überwacht. (4) Informationspflichten a. parlamind wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung ihrer Meinung nach gegen gesetzliche Vorschriften verstößt. parlamind ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird. b. parlamind ist verpflichtet, den Auftraggeber jeden Verstoß gegen datenschutzrechtliche Vorschriften, gegen die getroffenen vertraglichen Vereinbarungen und/oder die erteilten Weisungen vom Auftraggeber, der im Zuge der Verarbeitung von Daten durch sie oder andere mit der Verarbeitung betraute Personen erfolgt ist, unverzüglich mitzuteilen. (5) Ort der Datenverarbeitung Die Erhebung, Verarbeitung und Nutzung der Daten des Auftraggebers findet grundsätzlich im Gebiet der Bundesrepublik Deutschland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. (6) Löschung der personenbezogenen Daten nach Auftragsbeendigung Nach Beendigung des Vertrages ist parlamind verpflichtet, sämtliche in ihren Besitz gelangten personenbezogene Daten, Unterlagen und erstellten Verarbeitungs- und Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen sowie datenschutz- und datensicherheitskonform und gemäß den Weisungen des Auftraggebers zu löschen. Seite 5 von 12

6 8 Datenschutzkontrolle (1) parlamind räumt dem Auftraggeber das Recht ein, sich zu den üblichen Geschäftszeiten persönlich von der Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang selbst überzeugen. Der Auftraggeber wird dabei auf die betrieblichen Abläufe von parlamind Rücksicht nehmen und Kontrollen mindestens sieben Tage vorher anmelden. (2) parlamind wird den Auftraggeber bei der Durchführung von Kontrollen unterstützen und an der vollständigen und zügigen Abwicklung mitwirken. Ggf. aufgrund einer Kontrolle anfallenden Kosten trägt der Auftraggeber. (3) parlamind ist auf schriftliche Anforderung hin dem Auftraggeber gegenüber innerhalb einer angemessenen Frist zur Auskunftserteilung verpflichtet, soweit dies zur Durchführung der Kontrolle erforderlich ist. (4) parlamind hat eventuelle Kontrollmaßnahmen der Datenschutzaufsichtsbehörde zu dulden und wird den Auftraggeber, soweit personenbezogenen Daten vom Auftraggeber durch eine Kontrollmaßnahme betroffen sind, unverzüglich nach Kenntniserlangung über die Durchführung der Kontrollmaßnahme informieren. 9 Unterauftragsverhältnisse (1) Die Beauftragung von Unterauftragnehmern zur Auftragserfüllung ist nur mit Zustimmung des Auftraggebers zulässig. Die Zustimmung gilt als erteilt, wenn der Auftraggeber einer Textmitteilung über die geplante Beauftragung nicht innerhalb von zwei Wochen ab Zugang der Textmitteilung widerspricht. Der Auftragnehmer wird alle bereits zum Vertragsschluss bestehenden Unterauftragsverhältnisse in der Anlage 2 zu diesem Vertrag angeben. (2) Keiner Zustimmung bedarf die Einschaltung von Unterauftragnehmern, bei denen der Unterauftragnehmer lediglich eine Nebenleistung zur Unterstützung bei der Leistungserbringung nach dem Hauptvertrag in Anspruch nimmt, auch wenn dabei ein Zugriff auf die Auftraggeberdaten nicht ausgeschlossen werden kann; dazu zählen insbesondere Transportleistungen von Post- oder Kurierdiensten sowie Geldtransportdienstleistungen, Telekommunikationsdienste, Bewachungsdienste und Reinigungsdienste, nicht aber Prüfungs- und Wartungsleistungen i.s.v. 11 Abs. 5 BDSG. parlamind wird mit solchen Unterauftragnehmern branchenübliche Geheimhaltungsvereinbarungen treffen. (3) Die Vereinbarung zur Unterauftragsdatenverarbeitung muss ein adäquates Schutzniveau aufweisen, welches demjenigen dieses Vertrags vergleichbar ist. Dem Auftraggeber sind in Seite 6 von 12

7 dem Unterauftragsdatenverarbeitungsvertrag gegenüber dem Unterauftragnehmer eigene Kontrollrechte nach 9 dieses Vertrags einzuräumen. (4) parlamind wird die Einhaltung der Pflichten des Unterauftragnehmers regelmäßig überprüfen. parlamind hat insbesondere vorab und regelmäßig während der Vertragsdauer zu kontrollieren, dass der Unterauftragnehmer die nach 9 BDSG erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. (5) Die Übergabe von Daten an den Unterauftragnehmer ist dann zulässig, wenn der Unterauftragnehmer die Verpflichtung nach 11 BDSG erfüllt hat. (6) Die Verpflichtung des Unterauftragnehmers muss schriftlich oder in Textform erfolgen. Dem Auftraggeber ist die Verpflichtung auf Anfrage zu übermitteln. 10 Datengeheimnis (1) parlamind ist bei der Verarbeitung von Daten für den Auftraggeber zur Wahrung des Datengeheimnisses im Sinne des 5 BDSG verpflichtet. (2) parlamind sichert zu, dass ihm die jeweils geltenden datenschutzrechtlichen Vorschriften bekannt sind und sie mit der Anwendung dieser vertraut ist. (3) parlamind verpflichtet sich bei der Erfüllung des Auftrags nur Mitarbeiter einzusetzen, die auf das Datengeheimnis gemäß 5 BDSG verpflichtet und in geeigneter Weise mit den Anforderungen des Datenschutzes vertraut gemacht worden sind. 11 Technische und organisatorische Maßnahmen (1) Die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen werden als verbindlich festgelegt. (2) parlamind beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung. Sie gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen. (3) Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Wesentliche Änderungen sind schriftlich oder in Textform zu vereinbaren. (4) parlamind teilt dem Auftraggeber unverzüglich Störungen, Verstöße von parlamind oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in Seite 7 von 12

8 dieser Vereinbarung getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Informationspflichten des Auftraggebers nach 42a BDSG. parlamind sichert zu, den Auftraggeber bei seinen Pflichten nach 42a BDSG zu unterstützen. 12 Vergütung Die Vergütung von parlamind ergibt sich aus dem zugrundeliegenden Vertrag. 13 Sonstiges (1) Im Falle von Widersprüchen zwischen den Bestimmungen in dieser Vereinbarung und den Regelungen des Vertrages gehen die Bestimmungen dieser Vereinbarung vor. (2) Änderungen und Ergänzungen dieser Vereinbarung müssen schriftlich oder in Textform erfolgen und bedürfen der ausdrücklichen Angabe, dass damit die vorliegenden Bestimmungen geändert und/oder ergänzt werden. Dies gilt auch für den Verzicht auf dieses Formerfordernis. (3) Sollte eine Bestimmung dieser Vereinbarung unwirksam oder nicht durchsetzbar sein oder werden, so bleiben die übrigen Bestimmungen dieser Vereinbarung hiervon unberührt. Die unwirksame oder nicht durchsetzbare Bestimmung ist durch eine wirksame und durchsetzbare Bestimmung zu ersetzen, welche dem Zweck der ersetzenden Bestimmung am nächsten kommt. (4) Diese Vereinbarung unterliegt deutschem Recht. Hinweis: Dieser Vertrag zur Auftragsdatenverarbeitung ist ohne Unterschrift durch die Annahme und Bestätigung im Anmeldeprozess wirksam. Aus Beweissicherungsgründen empfehlen wir jedoch dem Auftraggeber den Vertrag auszudrucken und 2 unterschriebene Exemplare an den Auftragnehmer an die oben angegebene Adresse zuzusenden. Seite 8 von 12

9 Berlin, den, den parlamind Auftraggeber Christian Wolf, Geschäftsführer Name in Blockschrift Seite 9 von 12

10 Anlage 1 Technische und organisatorische Maßnahmen des Auftragnehmers gemäß 9 BDSG 1. Zutrittskontrolle Maßnahmen, die unbefugten Personen den Zutritt zu IT-Systemen und Datenverarbeitungsanlagen mit denen personenbezogene Daten verarbeitet werden, sowie vertraulichen Akten und Datenträgern physisch verwehren. Beschreibung des Zutrittskontrollsystems: Unser Rechenzentrum verfügt über per Video überwachte Hochsicherheitszäune um den gesamten Datacenterpark. Die Zufahrt ist nur über Zutrittskontrollterminals mit Transponder bzw. Zutrittskarten möglich. Überwachungskameras überwachen Zufahrten, Eingänge, Sicherheitsschleusen und Serverräume 24 Stunden am Tag, 7 Tage die Woche. 2. Zugangskontrolle Maßnahmen, die verhindern, dass Unbefugte datenschutzrechtlich geschützte Daten verarbeiten oder nutzen können. Beschreibung des Zugangskontrollsystems: Die Anwendung erfordert eine Anmeldung über Benutzername und Passwort um auf Informationen zuzugreifen oder Einstellungen zu ändern. Kunden können nach Anmeldung weitere Nutzer einladen, die sich ebenfalls einen Benutzernamen und Passwort geben. Für Passwörter bestehen Mindestanforderungen an Zeichenlänge und Komplexität. Passwörter und API-Zugangsdaten zu Drittsystemen werden verschlüsselt gespeichert. 3. Zugriffskontrolle Maßnahmen, die gewährleisten, dass die zur Benutzung der Datenverarbeitungsverfahren Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können, so dass Daten bei der Verarbeitung, Nutzung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Beschreibung des Zugriffskontrollsystems: Nutzer können die Zugriffsberechtigung auf die Anwendung in einem Nutzermenu überwachen, Berechtigungen vergeben und löschen. 4. Weitergabekontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, Seite 10 von 12

11 kopiert, verändert oder entfernt werden können sowie Maßnahmen mit denen überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten vorgesehen ist. Beschreibung der Weitergabekontrolle: Kunden greifen auf die Anwendung über SSL-verschlüsselte Übertragung zu. Unsere Mitarbeiter greifen auf die Administrationsbereiche und sonstige Serverbereiche mittels SSH- gesicherter Übertragungen zu. Innerhalb des Rechenzentrums erfolgt der Transport per VPN. 5. Eingabekontrolle Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in DV-Systeme eingegeben, verändert oder entfernt worden sind. Beschreibung des Eingabekontrollvorgangs: Es bestehen branchenübliche Protokollierungs- und Protokollauswertungssysteme (Logfiles). 6. Auftragskontrolle Maßnahmen, die gewährleisten, dass in einem Auftragsdatenverarbeitungsverhältnis jede Verarbeitung von personenbezogenen Daten nur im Rahmen der ergangenen Weisungen und Vorgaben des Auftraggebers erfolgt. Beschreibung des Auftragskontrollvorgangs: Aufträge werden grundsätzlich nur schriftlich vergeben. Abweichungen von den Weisungen des Auftraggebers, insbesondere die Durchführung unzulässiger Verarbeitungsschritte sowie das unerlaubte Kopieren personenbezogener Daten werden in der Beauftragung ausgeschlossen. 7. Verfügbarkeitskontrolle Maßnahmen, die sicherstellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Beschreibung des Verfügbarkeitskontrollsystems: Die unterbrechungsfreie Stromversorgung (USV) wird durch eine 15-minütige Batteriekapazität und Notstrom-Dieselaggregate sichergestellt. Die Server werden kontinuierlich mit Sicherheitsupdates versehen und ein branchenüblicher Virenschutz sowie eine Firewall genutzt. Es werden regelmäßig Backups auf zentralen Backup-Servern angelegt. Ein RAID-1-Festplattensystem reduziert das Risiko eines Datenverlustes. 8. Trennungskontrolle Seite 11 von 12

12 Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden und so von anderen Daten und Systemen getrennt sind, dass eine ungeplante Verwendung dieser Daten zu anderen Zwecken ausgeschlossen ist. Beschreibung des Trennungskontrollvorgangs: Die Daten unterschiedlicher Nutzer werden getrennt verarbeitet. Die verarbeiteten Daten werden lediglich zum Zwecke der statistischen Auswertung sowie für Forschung & Entwicklung genutzt. Anlage 2 Unterauftragnehmer Der Auftragnehmer nimmt für die Verarbeitung von Daten im Auftrag des Auftraggebers Leistungen von Dritten in Anspruch, die in seinem Auftrag Daten verarbeiten ( Unterauftragnehmer ). Dabei handelt es sich um nachfolgende Unternehmen und Einrichtungen: - Hetzner Online GmbH, Gunzenhausen (Rechenzentrum) - Universität Potsdam (Annotationsdienste, Forschung & Entwicklung) Seite 12 von 12