Vertrag
über Auftragsverarbeitung
(AV-Vertrag)
Dieser SmartChilli AV-Vertrag wird zwischen der juristischen Person, die Sie als Auftraggeber vertreten
(nachfolgend Auftraggeber
oder Arbeitgeber genannt)
und
SmartChilli GmbH
vertreten durch den Geschäftsführer
Thorsten Rensing
Konrad-Zuse-Straße 4
46397 Bocholt
(nachfolgend wir oder uns genannt)
(nachfolgend alleine Vertragspartei und gemeinsam Vertragsparteien genannt)
geschlossen.
1.1 Wir entwickelt mit dem SmartChilli Portal eine Plattform zur Erfassung der Arbeitszeit von Arbeitnehmern die u.a. über Zeitarbeiterfirmen, wie dem Auftraggeber erbracht und abgerechnet werden.
1.2 Das SmartChilli Portal funktioniert nach der Einrichtung des Arbeitgeberprofils und der einzelnen Arbeitnehmerprofile wie folgt: Zu Beginn einer Arbeitsschicht hält der Arbeitnehmer sein Smartphone an einen NFC-Patch – alternativ kann er auch den auf dem NFC-Patch aufgedruckten QR-Code einlesen –, wodurch er auf das SmartChilli Portal weitergeleitet wird. Dort kann der Arbeitnehmer sich mit seiner Kennung anmelden und den Beginn seiner Arbeitsschicht festhalten. Anschließend kann der Arbeitnehmer auch die Pausenzeit und das Ende der Arbeitszeit eingeben. Für die Nutzung des SmartChilli Portals genügt ein internetfähiges Endgerät mit Kamera und/oder NFC-Chip und einem Internetbrowser samt Internetzugang. Weitere Software ist nicht erforderlich.
1.3 Alleinstellungsmerkmal des SmartChilli Portals ist die Möglichkeit, das SmartChilli Portal durch alle drei Interessengruppen zu nutzen:
1.3.1 Der Kunde des Auftraggebers kann jederzeit sehen, welcher Mitarbeiter wann und an welchem Standort eingesetzt wurde.
1.3.2 Der Auftraggeber hat diese Möglichkeit ebenso und kann schneller auf die Informationen zurückgreifen, um diese z.B. für eine zeitnahe Abrechnung zu nutzen.
1.3.3 Schließlich hat auch der Arbeitnehmer einen Überblick über seine Einsatzzeiten und Einsatzorte.
1.4 Der Auftraggeber schloss mit uns einen Online-Abonnement-Vertrag (nachfolgend Hauptvertrag genannt) über die Nutzung des SmartChilli Portals. Bei der Durchführung des Hauptvertrages wird es zur Verarbeitung personenbezogener Daten kommen. Daher schließen die Vertragsparteien diesen AV-Vertrag, welcher die Verpflichtungen der Vertragsparteien zum Datenschutz konkretisiert und den Anforderungen des Art. 28 DS-GVO entspricht.
2.1.1 Für die Beurteilung der Zulässigkeit der Datenverarbeitung durch uns sowie für die Wahrung der Rechte der Betroffenen bleibt der Auftraggeber verantwortlich.
2.1.2 Der Auftraggeber muss insbesondere sicherstellen, dass die Betroffenen über die Weitergabe der Daten an uns informiert werden. Wir werden allerdings dabei den Auftraggeber unterstützen. Hierzu wird sie die Datenschutzhinweise möglich umfassend gestalten, um den Betroffenen (vor allem Mitarbeitern des Auftraggebers) sämtliche Informationen nach Art. 13 Abs. 1 und Abs. 2 DS-GVO zu erteilen, sodass hiermit idealerweise die Hinweispflicht des Auftraggebers nach Art. 13 Abs. 4 DS-GVO weitgehend entfällt.
2.1.3 Unsere Pflichten als Auftragsverarbeiter gegenüber dem Auftraggeber ergeben sich aus diesem AV-Vertrag und aus datenschutzrechtlichen Bestimmungen, vor allem aus der DS-GVO und aus dem BDSG.
2.2.1 Gegenstand des Auftrags zur Datenverarbeitung ist die im Zusammenhang mit den im Hauptvertrag genannten Pflichten stehende Datenverarbeitung durch uns im Interesse und im Auftrag des Auftraggebers. Gegenstand des Auftrags zur Datenverarbeitung sind folgende unserer Tätigkeiten: Verarbeitung von Arbeitszeiten, einschließlich der Pausenzeiten und der Zusatzinformationen, wie die Bewertung von Arbeitsstellen.
2.2.2 Der Auftrag zur Datenverarbeitung ist unbefristet erteilt. Der AV-Vertrag ist eine Zusatzvertrag zum Hauptvertrag und besteht daher nur solange, wie der Hauptvertrag besteht; endet der Hauptvertrag, so endet gleichzeitig der AV-Vertrag, ohne dass es einer gesonderten Kündigung bedarf. Darüber hinaus können beide Vertragsparteien den AV-Vertrag ohne Einhaltung einer Kündigungsfrist außerordentlich kündigen, wenn ein wichtiger Kündigungsgrund vorliegt.
2.3.1 Hinsichtlich der Art und des Zwecks der vorgesehenen Datenverarbeitung gelten die Regelungen im Hauptvertrag sowie die Ausführungen im AV-Vertrag. Diese Regelungen stellen zugleich allgemeine datenschutzrechtliche Weisungen des Auftraggebers an uns dar; der Auftraggeber kann uns jederzeit besondere bzw. konkrete datenschutzrechtliche Weisungen erteilen (Art. 29 DS-GVO). Die Weisung kann mündlich oder schriftlich erfolgen. Mündliche Weisungen werden unverzüglich vom Auftraggeber schriftlich dokumentiert und uns zur Verfügung gestellt.
2.3.2 Im Einzelnen erfolgt folgende Datenverarbeitung durch uns:
a) Erfassung der Arbeitszeiten
Wir stellen dem Auftraggeber das SmartChilli Portal zwecks Erfassung der Arbeitszeiten zur Verfügung. Dabei handelt es sich um ein Webportal, wofür wir uns des Microsoft Azure-Cloud-Dienstes bedienen.
b) Bewertung von Anwesenheitszeiten
Wir stellen dem Auftraggeber die Möglichkeit zur Verfügung, die bei ihm vor Ort eingesetzten Arbeitnehmer schichtbezogen zu bewerten. Dafür ist die Verarbeitung der personenbezogenen Daten der Mitarbeiter erforderlich.
2.3.3 Wir verarbeiten firmenbezogene Daten, Kommunikationsdaten sowie Orts- und Zeitangaben, die beim Betrieb eines Zeiterfassungssystems entstehen. Dies sind insbesondere:
· Firma
· Name des Mitarbeiters
· Vorname des Mitarbeiters
· Position des Mitarbeiters
· Anschrift des Mitarbeiters
· IP Adressen
· E-Mail-Adresse des Mitarbeiters
· Mobilfunknummern des Mitarbeiters
· Ort der Zeitbuchung
· Arbeitszeiten der Mitarbeiter
· Bewertungen der Arbeitgeber
2.3.4 Zum Kreis der Betroffenen gehören sämtliche natürliche Personen, die in einer Geschäftsbeziehung oder in einer sonstigen Beziehung (z.B. auch potentielle Mitarbeiter oder Praktikanten) mit dem Auftraggeber stehen. Dies sind insbesondere Unternehmensleitung, Mitarbeiter bzw. Angestellte, sonstige Ansprechpartner des Auftraggebers.
Wir werden
3.1.1 einschlägige Datenschutzvorschriften, insbesondere die Vorschriften der DS‑GVO und des BDSG und des Strafrechts in der jeweils gültigen Fassung beachten und die Einhaltung dieser Vorschriften in ihrem Tätigkeitsbereich als Auftragsverarbeiter eigenverantwortlich überwachen; Wir bestätigt, dass uns die einschlägigen datenschutzrechtlichen und die strafrechtlichen Vorschriften bekannt sind,
3.1.2 ein Verzeichnis der bei uns bzw. durch uns als Auftragsverarbeiter stattfindenden Datenverarbeitungstätigkeiten nach diesem AV-Vertrag (kurz AV-Verzeichnis genannt) erstellen und pflegen (Art. 30 Abs. 2 DS-GVO) sowie auf Anforderung des Auftraggebers dieses in der jeweils aktuellen Fassung zur Verfügung stellen,
3.1.3 jegliche Daten ausschließlich nach dokumentierter Weisung des Auftraggebers (Art. 28 Abs. 3 S. 2 lit. a) und Art. 29 DS-GVO) und insbesondere ausschließlich zu den in diesem AV-Vertrag oder in der dokumentierten Weisung enthaltenen Zwecken verarbeiten,
3.1.4 den Auftraggeber bei der Wahrung der Rechte der Betroffenen (Art. 28 Abs. 3 S. 2 lit. e) DS-GVO) und bei der Einhaltung der übrigen datenschutzrechtlichen Verpflichtungen (Art. 28 Abs. 3 S. 2 lit. f) DS-GVO) unterstützen, insbesondere
a) im Rahmen der Informationspflicht des Auftraggebers und bei der Geltendmachung von Betroffenenrechten nach Art. 15 bis 22 DS-GVO gegenüber dem Betroffenen unterstützen, vor allem durch Zurverfügungstellung von sämtlichen relevanten Informationen, Unterlagen, Daten,
b) bei der Erstellung und Aktualisierung der Datenschutz-Folgenabschätzung (Art. 35 DS-GVO) und
c) im Rahmen der Konsultationen mit der Aufsichtsbehörde,
3.1.5 das fremde Eigentum an Daten (z.B. Datenträger, Arbeitskopien, Behältnisse) unverzüglich kennzeichnen und die im Auftrag des Auftraggebers verarbeiteten und zu verarbeitenden Daten von sonstigen Datenbeständen getrennt verarbeiten oder jedenfalls so verarbeiten, dass Auftraggeber nicht auf die Daten des jeweils anderen Auftraggebers zugreifen können (Mandantenfähigkeit),
3.1.6 die Kontaktdaten des Datenschutzbeauftragten auf unserer Website im Bereich „Datenschutz“ veröffentlichen und aktuell halten.
3.2.1 Wir behandeln die Angelegenheiten des Auftraggebers, wie Informationen über die Arbeitnehmer, deren Namen, deren Kontaktdaten sowie deren Standorte, über wirtschaftliche und über rechtliche Belange oder Vorgänge sowie über etwaige interne Zahlen, vertraulich. Dies gilt nur dann nicht, wenn die Vertragsparteien eine Ausnahme vereinbaren.
3.2.2 Zur Erfüllung ihrer vertraglichen und sonstigen Pflichten werden wir ausschließlich Beschäftigte (Mitarbeiter oder Dritte) heranziehen, die auf das Datengeheimnis und auf die Vertraulichkeit und zuvor mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden. Die Beschäftigten sind zu verpflichten, jegliche Datenverarbeitung ausschließlich nach unserer Weisung vorzunehmen (Art. 28 Abs. 3 S. 2 lit. b) DS-GVO und Art. 29 DS-GVO).
3.2.3 Wir gewährleisten, dass mit der Vertragserfüllung beauftragte Beschäftigte über die erforderlichen Qualifikationen und Erfahrungen für die Erbringung der von uns geforderten Leistungen und über die ausreichende Zuverlässigkeit verfügen.
3.3.1 Wir gewährleisten ein angemessenes Schutzniveau der personenbezogenen Daten. Hierzu setzt wir (nach Art. 28 Abs. 3 S. 2 lit. c) DS-GVO und Art. 32 DS-GVO) insbesondere die sich aus der Anlage 1 ergebenden technischen und organisatorischen Maßnahmen („nachfolgend TOMs genannt) um, die die Eintrittswahrscheinlichkeit und der Schwere der etwaigen Risiken angemessen berücksichtigen. Die Regelungen der Anlage 1 sind Vertragsbestandteil.
3.3.2 Wir gewährleisten während der gesamten Vertragsdauer ein angemessenes Datenschutzniveau. Wir sind verpflichtet, die TOMs zu aktualisieren, wenn das Datenschutzniveau (z.B. aufgrund technischer, organisatorischer oder sonstiger Entwicklungen) ohne eine Aktualisierung im Vergleich zum jeweils aktuellen Stand absinkt. Die Umsetzung der Aktualisierung erfolgt nur, nachdem wir den Auftraggeber hierüber informiert hat. Die Aktualisierung kann dazu führen, dass einzelne Maßnahmen modifiziert, ergänzt, ersetzt oder gestrichen werden.
3.4.1 Wir nehmen die vom Auftraggeber geforderte Berichtigung, Löschung oder Sperrung von personenbezogenen Daten im geforderten Umfang – soweit rechtlich zulässig – unverzüglich vor.
3.4.2 Wir werden darüber hinaus nach Art. 28. Abs. 3 S. 2 lit. g) DS-GVO verpflichtet, spätestens nach Beendigung dieses AV-Vertrages sämtliche erhaltenen Daten auf allen Datenträgern (einschließlich des Datenbestandes zur Datensicherung) nach Wahl des Auftraggebers zu löschen oder zurückzugeben. Dies gilt nicht, soweit und solange wir einer gesetzlichen Speicherpflicht unterliegen, über welche wir den Auftraggeber unverzüglich in Textform unterrichtet. Wir dokumentieren gegenüber dem Auftraggeber die Art und Weise der Löschung.
3.5.1 Der Auftraggeber stimmt einer Unterbeauftragung der Microsoft Ireland Operations Limited, 1 Microsoft Plc, Leopardstown South County Business Park Dublin 18, D18 P521 Ireland hinsichtlich der technischen Realisierung des SmartChilli Portals zu.
3.5.2 Wir werden nur nach vorheriger schriftlicher Einwilligung des Auftraggebers einen weiteren Auftragsverarbeiter, also einen Unterauftragnehmer einsetzen oder durch einen anderen Unterauftragnehmer ersetzen. Der Auftraggeber darf die Einwilligung nicht versagen, wenn wir belegen, dass wir unserem Auftragsverarbeiter dieselben Datenschutzpflichten auferlegt, denen wir nach diesem AV-Vertrag gegenüber dem Auftraggeber unterliegen (Art. 28 Abs. 4 DS-GVO).
3.5.3 Die an uns etwaig übermittelten Daten werden ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem EU-Mitgliedsstaat oder in einem EWR-Staat verarbeitet. Jede Verlagerung in ein sonstiges Drittland bedarf der Einwilligung des Auftraggebers und darf nur erfolgen, wenn die Regelungen der Art. 44 ff. DS-GVO eingehalten werden.
3.6.1 Wir teilen dem Auftraggeber unverzüglich mit, wenn wir feststellen, dass bei uns verarbeitete personenbezogene Daten unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind (Art. 33 Abs. 2 DS-GVO). Wir stellen dem Auftraggeber alle Informationen zur Verfügung, die es dem Auftraggeber ermöglichen, zu beurteilen, ob die Rechte oder schutzwürdigen Interessen der Betroffenen beeinträchtigt sind oder beeinträchtigt werden könnten.
3.6.2 Wir geben dem Auftraggeber unverzüglich Auskunft über die Art und den Umfang der unrechtmäßigen Kenntniserlangung und teilt dem Auftraggeber mit, welche Maßnahmen sie zur Sicherung der Daten des Auftraggebers bzw. der personenbezogenen Daten der Betroffenen bereits ergriffen hat. Sie teilt zudem mit, welche Maßnahmen der Auftraggeber oder der Betroffene selbst ergreifen können, um mögliche Nachteile zu mindern oder zu verhindern.
3.6.3 Wir teilen dem Auftraggeber unverzüglich mit, soweit der Schutz personenbezogener Daten durch Maßnahmen Dritter, etwa infolge eines Insolvenzverfahrens oder durch sonstige Ereignisse gefährdet wird.
3.6.4 Alle Mittelungen in Ziffer 3.6 können mündlich, in Textform oder schriftlich erfolgen. Wir haben mündliche Mitteilungen unverzüglich in Textform dem Auftraggeber zuzuleiten.
4.1 Der Auftraggeber darf regelmäßige Kontrollen der TOMs zur Wahrung unseres Datenschutzes durchführen oder einen geeigneten Prüfer hiermit beauftragen. Die Kontrollen können in einem festen Zyklus erfolgen (z.B. jährlich) oder bei Bedarf aufgrund von Indizien für einen Verstoß stattfinden. Das Kontrollergebnis ist zu dokumentieren. Wir unterwerfen uns insoweit der Kontrolle des Datenschutzbeauftragten des Auftraggebers.
4.2 Die Vertragsparteien tragen die eigenen Kosten dieser Prüfungen (also insbesondere Personalkosten, Reisekosten, Sachverständigen- und sonstige Drittkosten) jeweils selbst.
4.3 Wir können das Kontrollbegehren dadurch erfüllen, dass sie dem Auftraggeber die Einhaltung der TOMs durch Vorlage von Zertifikaten, Testaten oder Auditberichten belegt, die den datenschutzrechtlichen Anforderungen entsprechen, insbesondere solchen nach Art. 40 ff. DS-GVO.
4.4 Wir lassen in regelmäßigen Abständen interne oder externe Datenschutzaudits bezüglich ihrer eigenen Datenverarbeitungsanlagen und des Umgangs mit personenbezogenen Daten durchführen. Festgestellte Mängel werden analysiert, aus den Analysen werden Maßnahmen abgeleitet, wie z.B. Beseitigung des mangelhaften Zustandes oder Prozesse zur Verhinderung von gleichen oder ähnlichen Zuständen.
Sämtliche Leistungen der Vertragsparteien im Rahmen dieses AV-Vertrages erfolgen auf eigene Kosten.
6.1 Wir können von Betroffenen, insbesondere auf Schadensersatz, in Anspruch genommen werden. Im Innenverhältnis zum Auftraggeber haften wir jedoch nur bei und im Umfang der Verletzung unserer Pflichten als Auftragsverarbeiter. Es gelten die Regelungen des Art. 82 DS-GVO.
6.2 Wir haften gegenüber dem Auftraggeber
6.2.1 unbeschränkt nur für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, die auf einer fahrlässigen Pflichtverletzung von uns oder einer vorsätzlichen oder fahrlässigen Pflichtverletzung gesetzlicher Vertreter oder Erfüllungsgehilfen beruhen, und
6.2.2 im Übrigen unbeschränkt nur bei Arglist, bei Nichtvorhandensein einer garantierten oder zugesicherten Beschaffenheit sowie für Vorsatz und grobe Fahrlässigkeit gesetzlicher Vertreter und Erfüllungsgehilfen sowie
6.2.3 für leichte Fahrlässigkeit nur, sofern eine Pflicht verletzt wird, deren Einhaltung für die Erreichung des Vertragszwecks von besonderer Bedeutung ist (Kardinalpflicht). In diesen Fällen der leichten Fahrlässigkeit ist die Haftung auf 5.000,00 € sowie auf solche Schäden beschränkt, mit deren Entstehung im Rahmen dieses AV-Vertrages und der Vertragsdurchführung typischerweise gerechnet werden muss.
6.3 Im Übrigen haften wir gegenüber dem Auftraggeber nicht.
7.1 Die Vertragsparteien verpflichten sich, alle Rechte und Pflichten den jeweiligen Rechtsnachfolgern und verbundenen Unternehmen aufzuerlegen.
7.2 Die Vertragsparteien können nur mit unbestrittenen, bestrittenen aber entscheidungsreifen oder rechtskräftig festgestellten Ansprüchen aufrechnen. Ihnen steht die Geltendmachung eines Zurückbehaltungsrechts nur wegen Gegenansprüchen aus diesem AV-Vertrag zu.
7.3 Änderungen des AV-Vertrages durch individuelle Vertragsabreden sind formlos wirksam. Im Übrigen bedürfen Änderungen oder Ergänzungen dieses AV-Vertrages der Textform. Mündliche Vereinbarungen über die Aufhebung der Textform sind nichtig.
7.4 Dieser AV-Vertrag unterliegt ausschließlich dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).
7.5 Vorbehaltlich eines abweichenden ausschließlichen Gerichtsstandes vereinbaren die Vertragsparteien für alle Rechtsstreitigkeiten aus oder in Zusammenhang mit diesem AV-Vertrag als ausschließlichen Gerichtsstand Bocholt.
7.6 Sollte eine Bestimmung oder sollten mehrere Bestimmungen des AV-Vertrags unwirksam sein oder werden, bleiben die übrigen Bestimmungen des AV-Vertrags hiervon unberührt. Die Vertragsparteien verpflichten sich für diesen Fall, die unwirksame Bestimmung durch eine solche wirksame Bestimmung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
Die folgenden Festlegungen repräsentieren das Datenschutzkonzept von SmartChilli GmbH. SmartChilli legt damit fest, wie alle Formen von papiergebundenen und elektronischen Informationen während der Verarbeitung, vom Dateneingang bis zur Vernichtung der Daten, behandelt, geschützt und nach der Erbringung der Dienstleistung gemäß der jeweils vereinbarten Anforderung der Betroffenen vernichtet werden. Es werden in einzelnen Teilbereichen die entsprechenden Maßnahmen beschrieben, die SmartChilli durchführt, um einen unzulässigen Umgang mit personenbezogenen Daten und Dokumenten sowie eine unzulässige Verwendung von personenbezogenen Daten gemäß der jeweils gültigen Datenschutzgesetze zu verhindern und eine entsprechende IT-Sicherheit zu gewährleisten.
Die folgenden Festlegungen werden für die gesamte Verarbeitung und somit für alle von SmartChilli übernommenen Aufträge und Aufgaben eingehalten. Da aufgrund verschiedenster Auftragsspezifikationen davon auszugehen ist, dass verschiedene Aufträge mit höheren oder niedrigeren Datenschutzstandards verarbeitet werden müssen, ist der Anwendungsbereich der in diesem Dokument definierten Standards durch entsprechende Einzelvereinbarungen mit den Auftraggebern einzuschränken oder zu erweitern. Weiterhin können die Sicherheitsanforderungen auf Wunsch eines Auftraggebers, erhöht werden, soweit dies in einem Dokument zur entsprechenden Auftragsdokumentation schriftlich vereinbart wird.
Die Gesamtverantwortung, insbesondere für die Festlegung der Anforderungen sowie Inhalte und Ziele des Datenschutzkonzepts einschließlich der fortlaufenden Prüfungen und Verbesserung der Regelungen, übernimmt der Datenschutzbeauftragte von SmartChilli.
Das Ziel einer Zutrittskontrolle ist es, Unbefugten den Zutritt (z.B. zu Datenverarbeitungsanlagen) zu verwehren, mit denen personenbezogene Daten verarbeitet oder genutzt werden. Der Begriff des Zutritts ist dabei räumlich zu verstehen. Den Zutritt zu unserem Firmengebäude stellen wir durch folgende Maßnahmen sicher:
- Ein Zutrittskontrollsystem ist im Unternehmen vorhanden d.h. Zugangschips
- Die Räumlichkeiten des Unternehmens sind stets verschlossen.
- Im Unternehmen ist eine zentrale Schlüsselverwaltung zur Ausgabe von Schlüsseln etabliert.
- An zentraler Stelle wird eine Schlüsselliste geführt, aus der hervorgeht, welcher Mitarbeiter wann einen Schlüssel erhalten hat.
- Mitarbeiter wurden schriftlich dazu verpflichtet, den Verlust eines Schlüssels umgehend zu melden.
- Der Zutritt zu Serverräumen ist auf berechtigte Mitarbeiter beschränkt.
- Serverräume sind stets verschlossen.
- Das Gebäude ist alarmgesichert.
- Mitarbeiter erhalten individuelle Benutzernamen und Kennwörter für die Anmeldung am PC-Arbeitsplatz.
- Kennwörter müssen regelmäßig geändert werden.
- Kennwortregelung (Anzahl Zeichen, Sonderzeichen, Historie, keine Zeichenfolgen)
- Administrative Kennwörter sind mindestens 12 Zeichen lang.
- PC-Arbeitsplätze werden bei Inaktivität automatisch gesperrt und können nur durch Kennworteingabe wieder entsperrt werden.
- Interne Netze sind gegen unberechtigte Zugriffe von extern durch eine Firewall geschützt.
- Externe Zugriffe auf interne Netze sind ausschließlich über verschlüsselte VPN Verbindungen mit zwei Faktor Authentifizierung möglich.
- PC-Arbeitsplätze und Notebooks verfügen über einen Anti-Viren-Schutz.
- Ein Berechtigungskonzept liegt im Unternehmen vor und enthält differenzierte Berechtigungsstufen.
- Über Benutzerprofile ist in den Anwendungen sichergestellt, dass Mitarbeiter ausschließlich die Rechte erhalten, die zur Aufgabenerfüllung notwendig sind.
- Administrative Rechte stehen ausschließlich für berechtigte Mitarbeiter zur Verfügung.
- Datenschutzkonforme Entsorgung von Datenträgen und Papier
- Mobile Datenträger enthalten keine personenbezogenen Daten
Das Ziel des Trennungsgebots ist es zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten ebenfalls getrennt voneinander verarbeitet werden. Um sicherzustellen, dass zu unterschiedlichen Zwecken erhobene Daten getrennt voneinander verarbeitet werden, haben wir die folgenden Maßnahmen getroffen:
- Zu unterschiedlichen Zwecken erhobene personenbezogene Daten werden getrennt gespeichert.
- Die Anwendungen erlauben eine Funktionstrennung durch Auftraggeber / Arbeitgeber Trennfähige Systeme.
- Berechtigungskonzept für die jeweiligen Anwenderrollen und Anwender
- Im Unternehmen wird zwischen Produktiven, Test- oder Demosystemen unterschieden.
- Daten unterschiedlicher Auftraggeber / Arbeitgeber werden, getrennt verarbeitet.
Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen
- Pseudonymisierung mittels einer eindeutigen Identifikationsnummer (Id). Diese Id wird im System bei der Erstellung von Protokollierungen verwendet.
Das Ziel einer Weitergabekontrolle ist es zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, vervielfältigt, verändert oder entfernt werden können und dass überprüft sowie festgestellt werden kann, an welchen Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zu Datenübertragung vorgesehen ist. Folgende Maßnahmen haben wir im Bezug auf die Weitergabe von personenbezogenen Daten getroffen:
- Im Unternehmen werden Verfahren, für einen verschlüsselten Austausch personenbezogener Daten verwendet (u.a. E-Mail-Verschlüsselung, SFTP, https)
Das Ziel einer Eingabekontrolle ist es, dass nachträglich festgestellt werden kann, ob und von wem personenbezogene Daten in die Systeme und Anlagen zur Datenverarbeitung eingegeben, verändert oder entfernt worden sind. Die Nachvollziehbarkeit innerhalb der Datenverwaltung stellen wir wie folgt sicher:
- Eine Nachvollziehbarkeit von Eingabe, Änderung und Löschung von personenbezogenen Daten wird systemseitig durch eine Protokollierung (Wer? Wann?) durchgeführt.
Das Ziel der Verfügbarkeitskontrolle ist es zu gewährleisten, dass personenbezogene Daten gegen die Zerstörung oder Verlust physisch sowie auch logisch geschützt sind. Da die Daten ausschließlich in den Räumlichkeiten unserer externen Partner verarbeitet werden, verweisen wir hinsichtlich der Verfügbarkeit der Daten auf die Anlage 1.A zu dieser Vereinbarung.
Allgemeine Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung.
Datenschutz-Management
- Ein Datenschutzbeauftragter ist im Unternehmen schriftlich bestellt.
- Durch eine Leitlinie zum Datenschutz und zur Informationssicherheit hat die Geschäftsleitung alle Mitarbeiter über die Notwendigkeit des Datenschutzes informiert.
- Im Unternehmen bestehen schriftliche Vorgaben für den Umgang mit Daten und den IT-Systemen.
- Mitarbeiter werden in Schulungen bezüglich des Datenschutzes sensibilisiert.
- Mitarbeiter sind schriftlich zur Verschwiegenheit verpflichtet.
- Im Unternehmen liegt ein dokumentiertes Verzeichnis der Verarbeitungstätigkeiten vor.
- Darin werden, sofern notwendig, auch Verarbeitungstätigkeiten im Auftrag dokumentiert.
- Im Unternehmen liegt eine Dokumentation der Maßnahmen zur Sicherheit der Verarbeitungstätigkeiten vor.
- In regelmäßigen Prüfungen wird sichergestellt, dass die etablierten Maßnahmen zur Einhaltung des Datenschutzes angemessen sind.
- Der Datenschutzbeauftragte erstellt einen jährlichen Bericht
Das Ziel einer Auftragskontrolle im Sinne von Art. 28 DS-GVO ist es zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend des Auftrags und den Weisungen des Auftragsgebers verarbeitet werden können.
- Die Auswahl von externen Dienstleistern erfolgt unter Anwendung größter Sorgfalt.
- Beim Einsatz externer Dienstleister ist sichergestellt, dass eine Datenverarbeitung nicht außerhalb der EU oder einem sicheren Drittland erfolgt.
- Mit externen Dienstleistern, die personenbezogene Daten verarbeiten oder im Rahmen der Tätigkeit einsehen könnten, bestehen vertragliche Regelungen unter Einhaltung der Vorgaben aus Art. 28 der Datenschutzgrund-Verordnung.
- Beim Einsatz externer Dienstleister, die personenbezogene Daten verarbeiten, wird sichergestellt, dass eine Rechtsgrundlage für die Verarbeitung (z.B. Vereinbarung zur Auftragsdatenverarbeitung, EU-Standardvertragsklauseln) gegeben ist.
- Es sind Verfahren implementiert, die sicherstellen, dass personenbezogene Daten nach Auftragsende vernichtet bzw. gelöscht werden.
- Etwaige gesetzliche Aufbewahrungsfristen werden dabei berücksichtigt und eingehalten.
- In den vertraglichen Regelungen mit externen Dienstleistern werden Kontrollrechte vereinbart.
- Die vereinbarten Kontrollrechte werden in regelmäßigem Abstand geltend gemacht.
- Externe Dienstleister werden zur Verschwiegenheit verpflichtet.
Die Verarbeitung personenbezogenen Daten erfolgt auf Servern des von SmartChilli beauftragten Partners. SmartChilli hat alle erforderlichen datenschutzrechtlichen Verträge mit dem Partner abgeschlossen. In Anlage 1. A sind die technischen und organisatorischen Maßnahmen des Partners beschrieben.
Sämtliche Beschäftigten von SmartChilli, die personenbezogene Daten verarbeiten, sind in Schriftform zur Wahrung der Vertraulichkeit verpflichtet. Die Beschäftigten werden durch den Datenschutzbeauftragten regelmäßig im Umgang mit personenbezogenen Daten geschult.
Der Datenschutz unterliegt bei SmartChilli einem kontinuierlichen Verbesserungsprozess und wird an die jeweiligen aktuellen und gültigen Datenschutzbestimmungen angepasst. Eine Aktualisierung des Dokuments findet fortlaufend statt.
Unser Partner Microsoft mit der Azure Cloud hat den neuen internationalen Standard für den Datenschutz in der Cloud, die ISO/IEC 27018 umgesetzt.
Dieser Standard legt u.a. folgende Datenschutzrechtlichen Vorgaben fest.
· Personenbezogene Daten dürfen ausschließlich in Übereinstimmung mit den Vorgaben der Kunden verarbeitet werden.
· ISO 27018 verlangt, dass Cloud-Provider Tools anbieten, die ihren Kunden bei der Verpflichtung helfen, Endnutzern Zugang zu persönlichen Daten zu gewähren beziehungsweise diese ändern, löschen und korrigieren zu können.
· Cloud-Provider haben Prozesse festzulegen, die Rückgabe, Übermittlung, Transfer und Vernichtung von personenbezogenen Daten festlegen.
· Die Herausgabe von Daten an Strafverfolgungsbehörden darf nur bei vorliegender rechtlicher Verpflichtung erfolgen. Der betroffene Kunde muss von der rechtlichen Verpflichtung in Kenntnis gesetzt werden, es sei denn, diese Information ist rechtlich untersagt.
· Personenbezogene Daten sind nicht für eigene Zwecke zu nutzen.
· Bevor personenbezogene Daten für Marketing- oder Werbezwecke genutzt werden, bedarf es einer ausdrücklichen Einwilligung des Kunden.
· Cloud-Provider habe die Länder offen zu legen, in denen eine Verarbeitung personenbezogener Daten stattfindet.
· Cloud-Anbieter müssen dem Kunden jede Art von Verletzung der Datensicherheit anzeigen und ihm diejenigen Informationen bereitstellen, die er seinerseits benötigt, um seinen Anzeigepflichten nachzukommen.
· Der Zeitraum für die Vornahme der Anzeigeverpflichtung ist festzulegen.
· Zeitpunkt, Art und Konsequenzen hinsichtlich der Verletzung der Datensicherheit sind zu dokumentieren.