Auftragsverarbeitungsvertrag
Diese Übersetzung dient der Information. Bei Abweichungen gilt der slowenische Text.
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die ein Unternehmen in der App WorkOrders erfasst. Er ist Bestandteil des Vertrags über die Nutzung des Dienstes und wird geschlossen, wenn das Unternehmen bei der Registrierung die Nutzungsbedingungen und diesen Vertrag akzeptiert.
1. Vertragsparteien
- Verantwortlicher: das Unternehmen oder der Einzelunternehmer, das bzw. der in WorkOrders ein Firmenkonto registriert hat (im Folgenden Kunde).
- Auftragsverarbeiter: UniCode, programske rešitve in programiranje, Sebastian Novak s.p., Štihova ulica 13, 1000 Ljubljana, Slowenien, Matrikelnummer 9021817000, Steuernummer 64110273, E-Mail info@unicode.si (UniCode s.p.).
2. Gegenstand, Art und Zweck der Verarbeitung
Der Auftragsverarbeiter stellt dem Kunden die Web-App WorkOrders bereit: Hosting und Speicherung der Daten, Anzeigen und Berechnungen in der App, Erstellung von PDF-Dokumenten, E-Mail-Versand und Übermittlung von Daten an Systeme, die der Kunde selbst verbindet. Er verarbeitet die Daten nur zu diesem Zweck und nur in dem für den Betrieb des Dienstes erforderlichen Umfang.
3. Dauer
Der Vertrag gilt, solange der Vertrag über die Nutzung des Dienstes besteht, und bis zur Löschung der Daten nach dessen Ende (Abschnitt 11).
4. Arten personenbezogener Daten und betroffene Personen
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO erfasst der Kunde nicht in der App.
6. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Zum Zeitpunkt dieses Vertrags setzt der Auftragsverarbeiter ein:
Server und Datenbank laufen auf einer Infrastruktur in Slowenien, die der Auftragsverarbeiter betreibt. Über die beabsichtigte Beauftragung oder Ersetzung eines Unterauftragsverarbeiters informiert er den Administrator des Kunden mindestens 30 Tage im Voraus per E-Mail. Der Kunde kann in dieser Frist aus berechtigtem Grund widersprechen; einigen sich die Parteien nicht, kann der Kunde den Vertrag kostenfrei kündigen. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf und haftet für sie.
Systeme, die der Kunde selbst verbindet (zum Beispiel fin., Jira, Plane, Webhook-Adressen), sind keine Unterauftragsverarbeiter: Daten gehen auf Weisung des Kunden dorthin, das Verhältnis zu deren Anbietern regelt der Kunde.
7. Übermittlung in Drittländer
Der Auftragsverarbeiter speichert die Daten in Slowenien. Eine Übermittlung außerhalb des EWR ist nur mit geeigneten Garantien nach Kapitel V DSGVO zulässig, wie beim Unterauftragsverarbeiter in Abschnitt 6.
8. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Kunden eine Verletzung unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO und die Maßnahmen zur Begrenzung der Folgen.
9. Anfragen betroffener Personen
Anfragen betroffener Personen, die er erhält, leitet der Auftragsverarbeiter an den Kunden weiter und beantwortet sie nicht selbst, es sei denn auf Weisung des Kunden. Berichtigungen und Löschungen nimmt der Kunde in der App vor; was in der App nicht möglich ist, führt der Auftragsverarbeiter auf schriftliche Anfrage des Kunden in angemessener Frist durch.
10. Haftung
Für die Haftung gelten die Nutzungsbedingungen und Art. 82 DSGVO. Der Kunde ist für die Rechtmäßigkeit der erfassten Daten und für die Information seiner Mitarbeiter und Kunden über die Verarbeitung verantwortlich.
11. Rückgabe und Löschung der Daten
Bei Vertragsende kann der Kunde innerhalb von 30 Tagen einen Export seiner Daten in maschinenlesbarem Format (JSON oder CSV) und seiner PDF-Dokumente verlangen. Der Auftragsverarbeiter löscht die Daten danach spätestens innerhalb von 30 Tagen; aus den Sicherungskopien verschwinden sie innerhalb weiterer 30 Tage, sofern nicht EU- oder slowenisches Recht eine Aufbewahrung verlangt. Für die Aufbewahrung von Rechnungen und anderen steuerlich aufbewahrungspflichtigen Unterlagen ist der Kunde selbst verantwortlich.
12. Nachweise und Prüfungen
Auf Anfrage stellt der Auftragsverarbeiter eine Beschreibung der Maßnahmen bereit und beantwortet Fragen zur Verarbeitung. Der Kunde kann einmal jährlich mit mindestens 30 Tagen Vorankündigung, auf eigene Kosten und mit Vertraulichkeitsverpflichtung eine Prüfung durchführen oder einen unabhängigen Prüfer beauftragen, der kein Wettbewerber des Auftragsverarbeiters ist. Die Prüfung darf die Sicherheit der Daten anderer Kunden nicht gefährden.
13. Schlussbestimmungen
In Fragen des Datenschutzes hat dieser Vertrag Vorrang vor den Nutzungsbedingungen. Es gilt das Recht der Republik Slowenien. Der Auftragsverarbeiter darf den Vertrag ändern, wenn Gesetze oder eine Änderung des Dienstes es erfordern; über wesentliche Änderungen informiert er den Kunden mindestens 30 Tage im Voraus.
Anlage 1: Technische und organisatorische Maßnahmen
- TLS-Verschlüsselung aller Verbindungen zur App und API.
- Trennung der Kundendaten: jede Abfrage in der App ist auf das Unternehmen des angemeldeten Nutzers beschränkt.
- Zugriffskontrolle: Rollen und Rechte, Zwei-Faktor-Anmeldung (Authenticator-App, Code per E-Mail, Passkey), optional verpflichtende Zwei-Faktor-Anmeldung für ein Unternehmen, Überblick und Widerruf von Sitzungen.
- Passwörter mit bcrypt gehasht, Token für verbundene Systeme mit AES-256-GCM verschlüsselt, Aktualisierungstoken im HttpOnly-Cookie, kurzlebiges Zugriffstoken.
- Begrenzung der Anmeldeversuche und Anmeldeverlauf.
- Prüfpfad wichtiger Änderungen in der App.
- Die Datenbank ist nicht aus dem Internet erreichbar; Zugriff auf den Server haben nur befugte Personen des Auftragsverarbeiters.
- Regelmäßige Sicherungskopien mit höchstens 30 Tagen Aufbewahrung und regelmäßige Software-Updates mit Sicherheitskorrekturen.
- Keine Analyse- oder Werbe-Tracker in der App nach der Anmeldung.