Vereinbarung zur Auftragsverarbeitung

Auftraggeber ist die bei der Registrierung handelnde Person beziehungsweise das von ihr vertretene Unternehmen. Auftragnehmer ist Benjamin Steininger, handelnd als SMX-Development, Berliner Straße 69, 34253 Lohfelden, Deutschland, info@smx-dev.eu. Diese Vereinbarung gilt für die Dauer der Verarbeitung im Rahmen des INVOXA-Nutzungsvertrags, einschließlich der anschließenden Rückgabe und Löschung.

Gegenstand sind Speicherung, Organisation, Anzeige, Bearbeitung, Auswertung, Export und der vom Auftraggeber ausgelöste Versand seiner Daten über INVOXA. Der Auftraggeber entscheidet über Zwecke, Inhalte und Berechtigung der Verarbeitung.

Verarbeitet werden können Namen, Kontaktdaten, Anschriften, Kunden- und Personalzuordnungen, Rechnungs- und Zahlungsdaten, Belege, Kommunikationsinhalte, Unterschriften sowie technische Nutzungs- und Zugriffsdaten. Betroffen sind insbesondere Kunden, Interessenten, Lieferanten, Ansprechpartner und Beschäftigte des Auftraggebers. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand des Auftrags und dürfen ohne gesonderte Vereinbarung nicht hochgeladen werden.

Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der vorgesehenen Funktionen gilt als Weisung; ergänzende Weisungen können an info@smx-dev.eu gerichtet werden. Gesetzlich vorgeschriebene Verarbeitungen werden dem Auftraggeber vorab mitgeteilt, soweit das Gesetz dies erlaubt. Erscheint eine Weisung rechtswidrig, informiert der Auftragnehmer unverzüglich und setzt die betreffende Verarbeitung bis zur Klärung aus.

Zugriff erhalten nur befugte Personen, die zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Pflicht unterliegen. Eine Nutzung der Auftragsdaten für eigene Werbung findet nicht statt.

Die Anlage zu dieser Vereinbarung umfasst: HTTPS für die Verbindung zur Anwendung; Speicherung von Passwörtern als Hash; Prüfung von Sitzungen, Firmenzuordnung, Rollen und Berechtigungen bei Datenzugriffen; zeitlich begrenzte Bestätigungscodes; zufällige und widerrufbare Freigabetokens; Begrenzung missbräuchlicher Anfragen; privater Datenspeicher außerhalb des Webverzeichnisses; regelmäßige Datensicherungen und Prüfung von Änderungen vor Bereitstellung.

Der Auftragnehmer hält risikogerechte Maßnahmen zum Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Wiederherstellbarkeit vor, prüft deren Wirksamkeit und entwickelt sie weiter. Änderungen dürfen das vereinbarte Schutzniveau nicht verringern. Informationen zur Umsetzung werden dem Auftraggeber auf Anfrage bereitgestellt.

Der Anwendungsserver wird vom Auftragnehmer selbst betrieben. Für E-Mail-Dienste wird IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland eingesetzt. Der Auftraggeber genehmigt diesen Einsatz für Empfängeradressen, Nachrichten, vom Auftraggeber versandte Dokumente und technische Versanddaten.

Weitere oder ersetzende Auftragsverarbeiter werden mindestens 30 Tage vor ihrem Einsatz in Textform angekündigt. Der Auftraggeber kann aus Datenschutzgründen widersprechen. Ist keine zumutbare Alternative möglich, können die betroffenen Leistungen vor dem neuen Einsatz beendet werden. Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter auf gleichwertige Datenschutzpflichten und bleibt für deren Erfüllung verantwortlich. Übermittlungen außerhalb der EU/des EWR setzen eine dokumentierte Weisung und die Voraussetzungen der Art. 44 ff. DSGVO voraus.

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen der verfügbaren Informationen und der Art der Verarbeitung bei Betroffenenrechten, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und erforderlichen Behördenkonsultationen. Anfragen betroffener Personen zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergeleitet.

Verletzungen des Schutzes personenbezogener Auftragsdaten meldet der Auftragnehmer dem Auftraggeber unverzüglich nach Bekanntwerden. Er stellt die verfügbaren Angaben zu Art, Umfang, möglichen Folgen und Abhilfemaßnahmen bereit und ergänzt sie bei neuen Erkenntnissen.

Der Auftragnehmer stellt die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Kontrollen einschließlich Inspektionen durch den Auftraggeber oder einen zur Vertraulichkeit verpflichteten Prüfer. Prüfungen werden abgestimmt, ohne erforderliche Kontrollen bei Vorfällen zu verzögern. Rechte anderer Nutzer und die Sicherheit des Systems sind zu schützen.

Nach Ende der Leistungen werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, einschließlich vorhandener Kopien, soweit keine gesetzliche Speicherungspflicht besteht. Der Auftraggeber kann zuvor die Exportfunktionen nutzen oder eine Rückgabe anfordern. Daten in Sicherungskopien bleiben bis zum regulären Überschreiben gesperrt und werden nicht anderweitig genutzt. Gesetzlich weiter aufzubewahrende Daten werden auf den erforderlichen Umfang beschränkt. Die Vertraulichkeit gilt auch nach Vertragsende.

Bei Widersprüchen geht diese Vereinbarung für die Auftragsverarbeitung den allgemeinen Nutzungsbedingungen vor. Die eigenverantwortliche Verarbeitung von Kontaktdaten zur Vertragsverwaltung ist in der Datenschutzerklärung beschrieben.