Firma
Anschrift
Vertreten durch
Julius Baumann
Flagio
Martinstrasse 42-44
73728 Esslingen am Neckar
hallo@flagio.de
Der Auftragsverarbeiter stellt dem Verantwortlichen eine webbasierte Anwendung zur Dokumentation betrieblicher Maßnahmen zur Verfügung. Der Verantwortliche erfasst darin eigenständig Angaben zu Vorgängen in seinem Betrieb.
Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen dieser Nutzung in die Anwendung eingibt oder die bei der Nutzung anfallen.
Die Laufzeit entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags. Der Vertrag endet automatisch mit dessen Beendigung.
Die Verarbeitung erfolgt ausschließlich zu dem Zweck, dem Verantwortlichen die Speicherung, Verwaltung und Auswertung der von ihm erfassten Dokumentation zu ermöglichen.
Der Verantwortliche entscheidet allein darüber, welche Daten er in die Anwendung eingibt. Der Auftragsverarbeiter fordert keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO an und empfiehlt, auf deren Eingabe zu verzichten, soweit sie für den Dokumentationszweck nicht erforderlich sind.
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten insbesondere die Vereinbarungen dieses Vertrags sowie die Bedienung der Anwendung durch den Verantwortlichen selbst.
Weitergehende Weisungen bedürfen der Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Zwecken der Analyse, der Produktverbesserung mit Personenbezug oder der Weitergabe an Dritte, findet nicht statt.
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind. Diese Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.
Der Zugriff auf Kundendaten ist auf den Auftragsverarbeiter selbst beschränkt und erfolgt ausschließlich, soweit dies für den Betrieb, die Fehlerbehebung oder die Erfüllung einer Weisung erforderlich ist.
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er ist berechtigt, diese fortzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
Der Verantwortliche stimmt dem Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter zu.
Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus in Textform über beabsichtigte Änderungen. Der Verantwortliche kann innerhalb dieser Frist widersprechen. Im Fall eines berechtigten Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.
Mit jedem Unterauftragsverarbeiter werden Verpflichtungen vereinbart, die den Regelungen dieses Vertrags im Wesentlichen entsprechen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht eigenständig.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, über jede Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält, soweit verfügbar, eine Beschreibung des Vorfalls, die betroffenen Datenkategorien, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.
Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft in Textform oder durch Vorlage von Nachweisen eingesetzter Unterauftragsverarbeiter.
Der Verantwortliche ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung zu überzeugen. Kontrollen erfolgen zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs. Der Auftragsverarbeiter kann für einen über den zumutbaren Umfang hinausgehenden Aufwand eine angemessene Vergütung verlangen.
Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die gespeicherten Daten auf Wunsch in einem gängigen, maschinenlesbaren Format zur Verfügung. Der Wunsch ist innerhalb von 30 Tagen nach Vertragsende anzuzeigen.
Anschließend löscht der Auftragsverarbeiter sämtliche Daten einschließlich vorhandener Sicherungskopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Anforderung in Textform bestätigt.
Es gelten die Haftungsregelungen des zugrunde liegenden Nutzungsvertrags sowie Art. 82 DSGVO. Die Verantwortlichkeit für die Zulässigkeit der Verarbeitung und für die Rechtmäßigkeit der eingegebenen Inhalte liegt beim Verantwortlichen.
Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.
Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
Nachfolgend die tatsächlich umgesetzten Maßnahmen nach Art. 32 DSGVO.
| Bereich | Maßnahme |
|---|---|
| Vertraulichkeit, Zutritt | Die Datenverarbeitung erfolgt ausschließlich in zertifizierten Rechenzentren der eingesetzten Dienstleister. Eigene Serverräume werden nicht betrieben. |
| Vertraulichkeit, Zugang | Der Zugang zur Anwendung erfolgt über persönliche Konten mit E-Mail und Passwort. Passwörter werden ausschließlich als Hashwert gespeichert und sind auch für den Auftragsverarbeiter nicht einsehbar. Verwaltungszugänge sind durch Zwei-Faktor-Authentisierung geschützt. |
| Vertraulichkeit, Zugriff | Die Trennung der Mandanten wird auf Ebene der Datenbank durchgesetzt. Jede Abfrage wird gegen die Zugehörigkeit des angemeldeten Nutzers geprüft, sodass ein Zugriff auf Daten anderer Verantwortlicher technisch ausgeschlossen ist. |
| Vertraulichkeit, Trennung | Daten verschiedener Verantwortlicher werden logisch getrennt gespeichert und über eine eindeutige Kennung der Organisation zugeordnet. |
| Integrität, Weitergabe | Die Übertragung erfolgt ausschließlich verschlüsselt über TLS. Unverschlüsselte Verbindungen werden abgewiesen. |
| Integrität, Eingabe | Zu jedem Eintrag werden Zeitpunkt und Urheber protokolliert. Als Nachweis erfasste Einträge sind systemseitig nicht veränderbar und nicht löschbar. Korrekturen erfolgen ausschließlich durch einen neuen, ergänzenden Eintrag. |
| Verfügbarkeit | Die Daten werden verschlüsselt gespeichert. Der eingesetzte Datenbankdienst führt regelmäßige automatisierte Sicherungen durch und ermöglicht eine Wiederherstellung. |
| Belastbarkeit | Die Anwendung wird auf einer verwalteten Infrastruktur betrieben, die Verfügbarkeit und Lastverteilung durch den Dienstleister sicherstellt. |
| Verfahren zur Überprüfung | Die eingesetzten Unterauftragsverarbeiter unterliegen eigenen Prüfverfahren und weisen anerkannte Zertifizierungen nach. Zugriffsregeln der Anwendung werden bei Änderungen überprüft. |
| Auftragskontrolle | Mit allen Unterauftragsverarbeitern bestehen Vereinbarungen zur Auftragsverarbeitung. Eine Verarbeitung außerhalb der Weisungen des Verantwortlichen findet nicht statt. |
| Unternehmen | Leistung | Ort der Verarbeitung | Grundlage |
|---|---|---|---|
| Supabase Inc. | Datenbank, Benutzerverwaltung, Sicherungen | Frankfurt am Main, Deutschland | Vereinbarung zur Auftragsverarbeitung mit dem Auftragsverarbeiter |
| Netlify Inc. | Auslieferung der Anwendungsdateien. Eine Speicherung von Inhalten des Verantwortlichen findet nicht statt. | Europäische Union | Vereinbarung zur Auftragsverarbeitung mit dem Auftragsverarbeiter |
| Zoho Corporation B.V. | Versand von E-Mails an die Kontaktperson des Verantwortlichen, etwa zur Bestätigung des Kontos | Europäische Union | Vereinbarung zur Auftragsverarbeitung mit dem Auftragsverarbeiter |
Die Zahlungsabwicklung über die Stripe Payments Europe Ltd. erfolgt in eigener datenschutzrechtlicher Verantwortung von Stripe und ist nicht Gegenstand dieses Vertrags. Daten des Verantwortlichen aus der Anwendung werden an Stripe nicht übermittelt.