Anfragen betroffener Personen und Unterstützung
Der Dienst bietet dem Verantwortlichen Funktionen, mit denen er auf personenbezogene Kundendaten zugreifen und diese berichtigen, exportieren und löschen kann. Kann der Verantwortliche einer Anfrage einer betroffenen Person mithilfe dieser Funktionen nicht nachkommen, leistet der Auftragsverarbeiter angemessene Unterstützung. Die Kosten für Arbeiten, die über den üblichen Umfang hinausgehen, trägt der Verantwortliche.
Erhält der Auftragsverarbeiter unmittelbar von einer betroffenen Person eine Anfrage zu personenbezogenen Kundendaten, wird er diese nicht inhaltlich beantworten, sondern unverzüglich an den Verantwortlichen weiterleiten.
Der Auftragsverarbeiter leistet angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden, soweit der Verantwortliche die erforderlichen Informationen nicht den vom Auftragsverarbeiter veröffentlichten Unterlagen entnehmen kann.
Prüfungen und Nachweis der Einhaltung
Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die nach vernünftigem Ermessen erforderlich sind, um die Einhaltung dieses DPA nachzuweisen. Dazu gehören seine Sicherheitsübersicht, die Liste der Unterauftragsverarbeiter sowie etwaige ihm vorliegende Prüfberichte oder Zertifizierungen Dritter.
Reichen diese Unterlagen nicht aus, darf der Verantwortliche die Einhaltung dieses DPA durch den Auftragsverarbeiter höchstens einmal innerhalb eines Zeitraums von zwölf Monaten prüfen, sofern er die Prüfung mindestens dreißig Tage im Voraus schriftlich ankündigt. Die Prüfung erfolgt während der Geschäftszeiten, unter Wahrung der Vertraulichkeit, ohne Zugriff auf Daten anderer Kunden und auf Kosten des Verantwortlichen. Eine Aufsichtsbehörde darf eine Prüfung durchführen, soweit dies gesetzlich vorgeschrieben ist.
Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von zweiundsiebzig Stunden, nachdem er von einer Verletzung des Schutzes personenbezogener Kundendaten Kenntnis erlangt hat. Die Benachrichtigung wird an den im Konto des Verantwortlichen hinterlegten Sicherheitskontakt gesendet.
Die Benachrichtigung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Menge der betroffenen Daten sowie die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Liegen nicht alle Informationen gleichzeitig vor, werden sie schrittweise und ohne weitere unangemessene Verzögerung bereitgestellt.
Der Auftragsverarbeiter wird die Benachrichtigung nicht bis zum Abschluss seiner Untersuchung aufschieben und den Verantwortlichen bei der Erfüllung seiner eigenen behördlichen Meldepflichten unterstützen. Die Benachrichtigung stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar.
Vertraulichkeit und Personal
Der Auftragsverarbeiter stellt sicher, dass das zur Verarbeitung personenbezogener Daten des Kunden befugte Personal schriftlich zur Vertraulichkeit verpflichtet ist, auch nach Beendigung seiner Tätigkeit, angemessene Datenschutzschulungen erhält und nur bei dienstlicher Erforderlichkeit nach dem Prinzip der geringstmöglichen Berechtigungen auf Daten zugreift.
Kontakt und Unterzeichnung
Eyeleven Inc. — Datenschutz und Compliance. Um eine gegengezeichnete Ausfertigung dieses DPA anzufordern, Benachrichtigungen über Änderungen bei Unterauftragsverarbeitern zu abonnieren oder ein Datenschutzanliegen vorzubringen, wenden Sie sich an [email protected].
Begriffsbestimmungen
- „Personenbezogene Daten des Kunden“ bezeichnet personenbezogene Daten, die in Kundendaten enthalten sind und die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet
- „Betroffene Person“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die in der GDPR festgelegte Bedeutung
- „Unterauftragsverarbeiter“ bezeichnet einen Dritten, den der Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten des Kunden beauftragt
- „SCCs“ bezeichnet die mit Beschluss 2021/914 der Europäischen Kommission genehmigten Standardvertragsklauseln
- „Anwendbares Datenschutzrecht“ bezeichnet die GDPR, die UK GDPR, das Schweizer DSG und anwendbare Datenschutzgesetze der US-Bundesstaaten
Weisungen zur Verarbeitung
Die Nutzungsbedingungen, diese DPA, die Konfiguration des Dienstes durch den Verantwortlichen und dessen dokumentierte Anfragen bilden die Gesamtheit der Weisungen des Verantwortlichen. Der Auftragsverarbeiter wird personenbezogene Daten des Kunden nicht für andere Zwecke verarbeiten.
Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstößt, und kann deren Ausführung aussetzen, bis sie geändert oder bestätigt wird. Der Auftragsverarbeiter ist nicht verpflichtet, die Weisungen des Verantwortlichen rechtlich zu prüfen.
Haftung
Die Haftung jeder Partei nach diesem DPA unterliegt den Haftungsbeschränkungen und -ausschlüssen der Nutzungsbedingungen. Dieses DPA beschränkt weder die Rechte betroffener Personen nach geltendem Datenschutzrecht noch die Haftung einer Partei gegenüber einer Aufsichtsbehörde.
Einzelheiten der Verarbeitung
- Gegenstand: Bereitstellung der KI-Belegschaftsplattform Eyeleven OS
- Dauer: Laufzeit des Abonnements zuzüglich der in dieser DPA vorgesehenen Löschfristen
- Art und Zweck: Hosting, Speicherung, Übermittlung, Abruf und KI-gestützte Verarbeitung von Nachrichten und Geschäftsunterlagen zum Betrieb der vom Verantwortlichen konfigurierten Agenten
- Kategorien betroffener Personen: Beschäftigte, Kunden, Interessenten und sonstige Kontakte des Verantwortlichen, die mit ihm kommunizieren
- Kategorien personenbezogener Daten: Identifikationsdaten, Kontaktdaten, Nachrichteninhalte und Metadaten, Konto- und Konfigurationsdaten, Nutzungs- und technische Daten
- Besondere Kategorien: nicht angefordert und nicht erforderlich; der Verantwortliche darf personenbezogene Daten besonderer Kategorien nur übermitteln, wenn dies ausdrücklich schriftlich vereinbart wurde; der Dienst ist nicht für deren Verarbeitung konfiguriert
- Häufigkeit: fortlaufend während der Laufzeit des Abonnements
Rückgabe und Löschung
Bei Kündigung oder Ablauf stellt der Auftragsverarbeiter personenbezogene Kundendaten dreißig Tage lang zum Export bereit. Nach Ablauf dieser Frist löscht er die personenbezogenen Kundendaten innerhalb von dreißig Tagen aus aktiven Systemen und innerhalb weiterer neunzig Tage im Zuge der regulären Erneuerung aus den Sicherungskopien.
Der Auftragsverarbeiter darf personenbezogene Kundendaten aufbewahren, soweit dies gesetzlich vorgeschrieben ist, und schützt sie während der gesamten Aufbewahrungsdauer weiterhin gemäß diesem DPA. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung schriftlich.
Rollen der Parteien
Der Verantwortliche legt die Zwecke und Mittel der Verarbeitung personenbezogener Daten des Kunden fest und ist für die Rechtmäßigkeit seiner Weisungen verantwortlich. Dazu zählen das Vorliegen einer gültigen Rechtsgrundlage und die Einholung aller erforderlichen Einwilligungen für den Versand von Nachrichten an betroffene Personen, deren Daten er übermittelt.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Kunden ausschließlich in seiner Rolle als Auftragsverarbeiter und auf dokumentierte Weisung des Verantwortlichen. Für eigene Geschäftszwecke — etwa die Kontoverwaltung, Abrechnung und Absicherung des Dienstes — handelt der Auftragsverarbeiter gemäß seiner Datenschutzerklärung als Verantwortlicher.
Soweit Datenschutzrecht eines US-Bundesstaates Anwendung findet, handelt der Auftragsverarbeiter als „Dienstleister“ oder „Auftragsverarbeiter“. Er verkauft personenbezogene Daten des Kunden nicht, gibt sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter, speichert oder verwendet sie nicht außerhalb der unmittelbaren Geschäftsbeziehung und führt sie nicht mit Daten aus anderen Quellen zusammen, es sei denn, dies ist gesetzlich zulässig.
Geltungsbereich und Einbeziehung
Diese Vereinbarung zur Auftragsverarbeitung („DPA“) ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden („Verantwortlicher“) und Eyeleven Inc. („Auftragsverarbeiter“) und gilt, soweit der Auftragsverarbeiter personenbezogene Daten des Kunden im Auftrag des Verantwortlichen verarbeitet.
Soweit die GDPR, die UK GDPR, das Schweizer DSG oder ein Datenschutzgesetz eines US-Bundesstaates auf diese Verarbeitung Anwendung findet, ist diese DPA maßgeblich. Bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten hat diese DPA Vorrang vor den Nutzungsbedingungen.
Diese DPA kommt durch die Annahme der Nutzungsbedingungen durch die Parteien zustande; eine gesondert unterzeichnete Ausfertigung ist für Beschaffungszwecke auf Anfrage erhältlich.
Sicherheitsmaßnahmen
Der Auftragsverarbeiter setzt die in der Sicherheitsübersicht beschriebenen technischen und organisatorischen Maßnahmen um und hält sie aufrecht. Die Sicherheitsübersicht ist als Anlage II Bestandteil dieser DPA. Zu diesen Maßnahmen gehören die Verschlüsselung bei der Übertragung und Speicherung, rollenbasierte Zugriffskontrolle nach dem Prinzip der geringstmöglichen Berechtigungen, Netzwerkisolierung, Audit-Protokollierung, die Überwachung von Fehlermeldungen, sichere Entwicklungsverfahren und ein dokumentiertes Verfahren zur Reaktion auf Sicherheitsvorfälle.
Der Auftragsverarbeiter darf seine Maßnahmen im Laufe der Zeit aktualisieren, sofern das Sicherheitsniveau insgesamt dadurch nicht wesentlich sinkt.
Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die derzeit eingesetzten Unterauftragsverarbeiter sind in der Liste der Unterauftragsverarbeiter aufgeführt, die Bestandteil dieser DPA ist.
Der Auftragsverarbeiter kündigt die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters mindestens dreißig Tage im Voraus durch Aktualisierung dieser Liste und, bei Kunden, die Benachrichtigungen abonniert haben, per E-Mail an. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; lässt sich der Widerspruch nicht ausräumen, kann er das betroffene Abonnement kündigen und erhält im Voraus gezahlte Entgelte für noch nicht genutzte Leistungen anteilig erstattet.
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zur Einhaltung von Datenschutzpflichten, die mindestens denselben Schutz bieten wie die Pflichten aus dieser DPA, und bleibt für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter verantwortlich.
Internationale Datenübermittlungen
Der Auftragsverarbeiter hat seinen Sitz in den Vereinigten Staaten. Soweit die Übermittlung personenbezogener Kundendaten durch den Verantwortlichen aus dem EWR, dem Vereinigten Königreich oder der Schweiz an den Auftragsverarbeiter einen Übermittlungsmechanismus erfordert, vereinbaren die Parteien, dass die SCCs gelten und durch Verweis Bestandteil dieses DPA werden.
Modul Zwei (Verantwortlicher an Auftragsverarbeiter) gilt, wenn der Verantwortliche selbst Verantwortlicher ist, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) gilt, wenn der Verantwortliche selbst Auftragsverarbeiter ist. Klausel 7 (Beitritt) gilt; für Klausel 9(a) gilt Option 2, allgemeine schriftliche Genehmigung, mit der in diesem DPA festgelegten Ankündigungsfrist von dreißig Tagen; die Option der unabhängigen Streitbeilegung nach Klausel 11 wird nicht gewählt; für Klausel 17 gilt irisches Recht; und nach Klausel 18(b) sind die Gerichte Irlands zuständig.
Für Übermittlungen aus dem Vereinigten Königreich gilt das UK International Data Transfer Addendum zu den SCCs. Für Übermittlungen aus der Schweiz gelten Verweise auf die GDPR als Verweise auf das Schweizer Datenschutzgesetz (DSG), und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die zuständige Behörde.
Der Auftragsverarbeiter beabsichtigt, sich nach dem EU–US Data Privacy Framework zertifizieren zu lassen; bis die Zertifizierung schriftlich bestätigt ist, bleiben die SCCs der maßgebliche Übermittlungsmechanismus.