Auftragsverarbeitung

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO – Entwurf 1. Parteien und Gegenstand Auftraggeber ist der jeweilige Firmenkunde; Auftragnehmer ist der im Impressum genannte Betreiber. Gegenstand ist der Betrieb des gebuchten Flow-Arbeitsbereichs einschließlich getrennter Datenbank und gegebenenfalls gebuchter Sicherungen für die Vertragslaufzeit. 2. Art und Zweck Speicherung, Organisation, Abruf, Änderung, Übermittlung im Rahmen beauftragter Benachrichtigungen sowie Löschung von Buchungs-, Kontakt-, Gutschein- und Dokumentendaten zur Bereitstellung der Anwendung. 3. Daten und Personen Betroffen können Kunden, Gäste, Ansprechpartner und Beschäftigte des Auftraggebers sein. Verarbeitet werden insbesondere Namen, Kontaktdaten, Termin- und Raumdaten, Zahlungsstatus, Gutscheinnummern, Einlöseprotokolle und vom Auftraggeber hochgeladene Dokumente. Besondere Kategorien und Ausweisdokumente dürfen nur bei geprüfter Rechtsgrundlage und geeigneten zusätzlichen Schutzmaßnahmen verwendet werden. 4. Weisung und Vertraulichkeit Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht. Berechtigte Personen werden zur Vertraulichkeit verpflichtet. Erkennbare rechtswidrige Weisungen werden dem Auftraggeber mitgeteilt. 5. Technische und organisatorische Maßnahmen HTTPS, personengebundene Zugänge, rollenbasierte Freigaben, optionale Zwei-Faktor-Anmeldung, Passwort-Hashes, verschlüsselte technische Geheimnisse, getrennte Datenbanken, private Dateiverzeichnisse, Zugriffskontrollen, Protokollierung und – soweit gebucht – Datenbankbackups. Konkrete Hosting-, Schlüssel-, Netzwerk- und Wiederherstellungsmaßnahmen sind in einer verbindlichen TOM-Anlage zu ergänzen. 6. Unterauftragnehmer Hosting, Versanddienst und weitere tatsächliche Unterauftragnehmer sind in einer aktuellen Anlage mit Verarbeitungsort zu benennen. Änderungen, Information des Auftraggebers, Einwendungsmöglichkeiten und gleichwertige Pflichten sind vertraglich festzulegen. 7. Betroffenenrechte und Vorfälle Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenanfragen, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und gesetzlichen Pflichten im gesetzlich erforderlichen Umfang. Meldeweg und Reaktionsfristen sind im Leistungsblatt zu konkretisieren. 8. Prüfungen Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis der Pflichten bereit und ermöglicht gesetzlich vorgesehene Prüfungen unter angemessener organisatorischer Abstimmung. 9. Drittlandverarbeitung Eine Verarbeitung außerhalb des zulässigen Vertragsrahmens erfolgt nur unter dokumentierter Weisung und mit den erforderlichen Garantien nach Kapitel V DSGVO. Eingesetzte Zahlungs- oder Kommunikationsdienste sind gesondert zu bewerten. 10. Vertragsende Nach Beendigung werden Daten nach Wahl und Weisung des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht entgegensteht. Format, Übergabeverfahren, Fristen und verbleibende Backupzyklen sind vor dem produktiven Dienstbetrieb zu vereinbaren. 11. Anlagen Vor Freischaltung beizufügen: konkrete TOM, Liste der Unterauftragnehmer, Hosting-/Verarbeitungsorte, Support- und Vorfallkontakt, Lösch- und Rückgabekonzept.