Auftragsverarbeitungsvertrag

Der Auftragsverarbeiter stellt dem Verantwortlichen mit WERG eine Software zur Verwaltung von Aufträgen, Kunden, Terminen, Angeboten, Rechnungen, Mitarbeitern und deren Arbeitszeiten bereit. Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche in WERG eingibt oder über WERG erhält, ausschließlich in dessen Auftrag.

Soweit WERG Daten für eigene Zwecke als Plattformbetreiber verarbeitet (Kundenkonten, Suche und Vermittlung, Bewertungen, Sicherheit, Abrechnung des eigenen Abos), ist WERG selbst Verantwortlicher. Dafür gilt die Datenschutzerklärung, nicht dieser Vertrag. Zahlungen der Kunden wickelt der Verantwortliche über sein eigenes Konto bei Stripe ab; dafür gilt sein Vertrag mit Stripe.

Der Vertrag läuft, solange der Verantwortliche WERG nutzt, und endet mit der Löschung seines Kontos.

Verarbeitet werden insbesondere:

• Kontaktdaten: Name, Anschrift, Telefonnummer, E-Mail-Adresse
• Auftragsdaten: Leistungen, Termine, Einsatzorte, Notizen, Fotos und Dokumente
• Angebots-, Rechnungs- und Zahlungsdaten (Beträge, Zahlungsstatus; keine Kartendaten)
• Nachrichten zwischen Verantwortlichem, seinen Kunden und seinen Mitarbeitern
• Daten der Mitarbeiter: Name, Benutzername, zugewiesene Einsätze, Meldungen und Fotos
• Arbeitszeiten der Mitarbeiter, wenn der Verantwortliche die Zeiterfassung nutzt: Beginn, Ende und Pausen, Urlaubs- und Krankheitstage, Nachträge und Änderungen mit Grund, Zeitpunkt und Person, Monatsbestätigungen und Einwände (kein Standort)

Betroffen sind Kunden und Interessenten des Verantwortlichen, seine Beschäftigten sowie deren Ansprechpartner.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzung der Funktionen von WERG durch den Verantwortlichen sowie Weisungen in Textform an info@werg.eu.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er das dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.

• Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), soweit der Verantwortliche diese nicht selbst über die Funktionen von WERG erledigen kann.
• Er unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung).
• Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
• Er stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.

Der Verantwortliche kann die Einhaltung dieses Vertrags überprüfen, vorrangig durch Auskünfte und Unterlagen. Prüfungen vor Ort sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, ohne den Betrieb des Auftragsverarbeiters unnötig zu stören und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden.

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich auf ein gleichwertiges Schutzniveau.

Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche den Nutzungsvertrag zum Zeitpunkt des Wechsels kündigen.

Daten werden grundsätzlich in der Europäischen Union oder einem Staat mit Angemessenheitsbeschluss verarbeitet. Eine Übermittlung in andere Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage von EU-Standardvertragsklauseln.

Der Verantwortliche kann seine Daten während der Nutzung über die Funktionen von WERG einsehen und exportieren (z. B. Rechnungen und Stundenzettel als PDF und CSV).

Nach Ende des Vertrags löscht der Auftragsverarbeiter die Daten innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Sicherungskopien werden mit deren regulärem Ablauf gelöscht.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

• Verschlüsselte Übertragung aller Verbindungen (TLS)
• Verschlüsselte Speicherung der Datenbank und Dateien beim Datenbank-Anbieter
• Trennung der Daten je Betrieb durch Zugriffsregeln auf Datenbankebene (Row Level Security)
• Passwörter nur als Hash gespeichert, Bot-Schutz und Begrenzung von Anmeldeversuchen
• Zugang zu Verwaltungs- und Produktivsystemen nur für den Inhaber

• Schutzregeln in der Datenbank verhindern, dass Nutzer Geld-, Status- und Prüffelder selbst verändern
• Anwendungsprotokolle ohne Kontakt- oder Bankdaten (nur pseudonyme Kennungen)

• Betrieb bei spezialisierten Hosting- und Datenbank-Anbietern in Rechenzentren in Europa
• Datensicherungen im Rahmen der Leistungen des Datenbank-Anbieters

• Automatisierte Sicherheitstests der Zugriffsregeln bei Änderungen an WERG
• Prüfung und Anpassung dieser Maßnahmen bei wesentlichen Änderungen