Auftragsverarbeitungsvertrag

Für die personenbezogenen Daten, die Ihr Betrieb über seine Kunden und Mitarbeitenden eingibt, sind Sie Verantwortlicher und wir Auftragsverarbeiter. Dieser Vertrag ist Bestandteil des Öffentlichen Angebots und geht ihm bei Widersprüchen zur Verarbeitung vor.

Wir verarbeiten Kontaktdaten von Kunden, Termin- und Besuchsdaten, Zahlungsreferenzen und Personaldaten, solange Ihr Arbeitsbereich besteht, zuzüglich der im Öffentlichen Angebot genannten Aufbewahrungsfrist. Die Verarbeitung beschränkt sich auf die Erbringung des Dienstes und auf das, was Sie über ihn anweisen.

Nur auf Ihre Weisung verarbeiten; die Daten vertraulich behandeln und unser Personal darauf verpflichten; die technischen Maßnahmen aus Abschnitt 5 anwenden; Sie bei Betroffenenanfragen, Folgenabschätzungen und Behördenanfragen unterstützen; und die Daten am Ende der Verarbeitung löschen oder zurückgeben.

Die aktuelle Liste ist als Dokument „Unterauftragsverarbeiter“ veröffentlicht und Bestandteil dieses Vertrags. Wir kündigen die Aufnahme 30 Tage vorher an, und Sie können aus nachvollziehbaren Datenschutzgründen widersprechen — lässt sich der Widerspruch nicht ausräumen, können Sie kündigen und eine anteilige Erstattung verlangen.

Verschlüsselung bei Übertragung und im Ruhezustand; Integrations-Zugangsdaten mit separatem Schlüssel verschlüsselt und nach dem Speichern nur schreibbar; dreischichtige Mandantentrennung, die in Row-Level Security in Postgres endet; rollen- und datensatzbezogener Zugriff; vollständiges Audit-Protokoll; fortlaufendes Backup mit Point-in-Time-Wiederherstellung; und Support-Zugriff ausschließlich auf eine von Ihnen erteilte, zeitlich begrenzte Freigabe.

Die Verarbeitung findet im EWR statt. Arbeitet ein Unterauftragsverarbeiter außerhalb, stützt sich die Übermittlung auf Standardvertragsklauseln nebst einer Folgenabschätzung; beides ist auf Anfrage erhältlich.

Wir benachrichtigen Sie unverzüglich und in jedem Fall binnen 72 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten in Ihrem Arbeitsbereich bekannt wurde — mit dem, was wir wissen, was wir tun und was wir Ihnen empfehlen, Ihren Kunden mitzuteilen.

Nach angemessener Ankündigung, einmal jährlich, können Sie unsere Sicherheitsdokumentation und die Ergebnisse unserer eigenen Tests einsehen. Verlangt eine Aufsichtsbehörde mehr, wirken wir an einem verhältnismäßigen Vor-Ort-Audit auf Ihre Kosten mit.