Vereinbarung zur Auftragsverarbeitung

1. Parteien und Gegenstand

Diese Vereinbarung gilt zwischen dem Quickard-Kunden als Verantwortlichem („Auftraggeber“) und der EBS Euchner Büro- und Schulsysteme GmbH als Auftragsverarbeiter („Auftragnehmer“). Sie ergänzt den Hauptvertrag über Quickard und gilt für jede Verarbeitung personenbezogener Daten im Auftrag.

2. Dauer, Art und Zweck

Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags zuzüglich technisch und gesetzlich erforderlicher Abwicklungsfristen. Sie umfasst Speichern, Organisieren, Abrufen, Übermitteln, Bereitstellen, Einschränken und Löschen zum Betrieb digitaler Visitenkarten, Kontaktseiten, Formulare, Newsletterfunktionen, Support und vereinbarter Zusatzfunktionen.

3. Daten und betroffene Personen

Je nach Nutzung werden Kontakt-, Berufs-, Profil-, Inhalts-, Kommunikations-, Nutzungs-, Geräte-, Protokoll- und Supportdaten verarbeitet. Betroffen sein können Beschäftigte, Karteninhaber, Interessenten, Kunden, Formularabsender, Newsletterempfänger und sonstige vom Auftraggeber bestimmte Personen. Besondere Kategorien dürfen nur aufgrund vorheriger dokumentierter Weisung und geeigneter Schutzmaßnahmen verarbeitet werden.

4. Weisungen und Pflichten

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht. Die Nutzung und Konfiguration des Dienstes, Supportaufträge und schriftliche Weisungen bilden die Weisung. Rechtswidrige Weisungen werden angezeigt. Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

5. Unterstützung und Vorfälle

Der Auftragnehmer unterstützt den Auftraggeber angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, vorheriger Konsultation und Nachweispflichten. Verletzungen des Schutzes auftragsverarbeiteter personenbezogener Daten werden unverzüglich mit den verfügbaren Pflichtangaben gemeldet; ergänzende Informationen können schrittweise folgen.

6. Technische und organisatorische Maßnahmen

• Zutritts- und Zugangsschutz der Betriebsumgebung sowie rollenbasierte, organisationsbezogene Zugriffskontrollen in der Anwendung
• Mehrfaktor-Authentifizierung für privilegierte Zugänge, sichere Sitzungen und regelmäßige Berechtigungsprüfung
• Transportverschlüsselung, geschützte Geheimnisse und getrennte Mandantendaten mit Row Level Security
• Protokollierung sicherheitsrelevanter Vorgänge, Monitoring, Fehleranalyse und geregelte Incident-Reaktion
• Datensicherung, Wiederherstellungsverfahren und regelmäßige Prüfung der Verfügbarkeit
• Datenminimierung, definierte Löschprozesse und Kontrolle von Exporten und Supportzugriffen
• Vertraulichkeitsverpflichtung, Datenschutz- und Sicherheitsunterweisung der zugriffsberechtigten Personen
• Lieferantenprüfung und vertragliche Bindung eingesetzter Unterauftragsverarbeiter

Die Maßnahmen werden risikoorientiert weiterentwickelt. Wesentliche Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung für die nachfolgend aufgeführten Unterauftragsverarbeiter. Über beabsichtigte Änderungen wird mit angemessener Frist informiert; aus wichtigem Datenschutzgrund kann widersprochen werden.

• Betriebs- und Hostinginfrastruktur von EBS: Anwendungsbetrieb, Datenbank, Authentifizierung und Dateispeicher. Verarbeitungsort: Vom Verantwortlichen administrierte Infrastruktur; konkreter Standort gemäß jeweils aktueller Produktinformation.
• Plus Five Five, Inc. (Resend): Versand von Transaktions-E-Mails. Verarbeitungsort: USA; Drittlandtransfer nur mit Garantie nach Art. 44 ff. DSGVO.
• OpenAI Ireland Ltd.: Optionaler KI-Assistent Quin, nur bei Nutzung und im dokumentierten Weisungsumfang. Verarbeitungsort: EWR; weitere Verarbeitung/Transfers nach Vertrags- und Produktkonfiguration.

Externe Dienste, die der Auftraggeber selbst aktiviert oder verlinkt und die als eigene Verantwortliche handeln, sind keine Unterauftragsverarbeiter des Auftragnehmers für diesen Vorgang.

8. Drittlandübermittlungen

Verarbeitungen außerhalb des EWR erfolgen nur bei erfüllten Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien einschließlich Standardvertragsklauseln und erforderlicher ergänzender Maßnahmen.

9. Nachweise und Prüfungen

Der Auftragnehmer stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht verhältnismäßige Prüfungen. Zur Schonung aller Kunden werden zunächst geeignete Zertifikate, Berichte und Fragebögen genutzt; Vor-Ort-Prüfungen erfolgen nach angemessener Vorankündigung, unter Vertraulichkeit und ohne Beeinträchtigung anderer Mandanten.

10. Rückgabe und Löschung

Nach Ende der Leistung werden auftragsverarbeitete Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Bestehende Sicherungskopien werden bis zum regulären Überschreiben gesperrt und nicht produktiv genutzt.

11. Rangfolge und Textform

Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieser AVV für die Auftragsverarbeitung vor. Änderungen und ergänzende Weisungen sollen in Textform dokumentiert werden. Gesetzliche Rechte und Pflichten bleiben unberührt.

Annahme

Melde dich an und öffne diese Seite erneut, um die Annahme organisationsbezogen und mit Zeitstempel zu protokollieren.