Auftragsverarbeitungsvertrag

1. Einleitung und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag ("DPA") ist Bestandteil der Servicevereinbarung zwischen TR7 Ltd ("TR7", der "Auftragsverarbeiter") und dem Kunden ("Kunde", der "Verantwortliche"). Dieser DPA legt die Bedingungen fest, unter denen TR7 personenbezogene Daten im Auftrag des Kunden verarbeitet, in Übereinstimmung mit der Datenschutz-Grundverordnung des Vereinigten Königreichs (UK GDPR), der Datenschutz-Grundverordnung der Europäischen Union (EU GDPR 2016/679) und der Data Protection Act 2018.

2. Definitionen

In diesem DPA haben die Begriffe "personenbezogene Daten", "betroffene Person", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "Unterauftragsverarbeiter" und "Aufsichtsbehörde" die ihnen in der UK GDPR und der EU GDPR zugewiesene Bedeutung. "Datenschutzgesetze" bezeichnet die UK GDPR, die EU GDPR, die Data Protection Act 2018 und alle anwendbaren nationalen Umsetzungsgesetze in der jeweils geltenden Fassung.

3. Rollen und Verantwortlichkeiten

Der Kunde handelt als Verantwortlicher und bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten. TR7 handelt als Auftragsverarbeiter und verarbeitet personenbezogene Daten ausschließlich im Auftrag und gemäß den dokumentierten Weisungen des Kunden. TR7 wird personenbezogene Daten nicht für andere als die vom Kunden angewiesenen Zwecke verarbeiten, es sei denn, dies ist nach geltendem Recht erforderlich. In diesem Fall wird TR7 den Kunden vor der Verarbeitung informieren (sofern das Recht dies nicht untersagt).

4. Datenkategorien

Die folgenden Kategorien personenbezogener Daten können im Rahmen dieses DPA verarbeitet werden:

Betroffene Personen: Mitarbeiter, Auftragnehmer, Endbenutzer und autorisierte Kontaktpersonen des Kunden.

Kategorien personenbezogener Daten:
• Kontaktinformationen (Name, E-Mail-Adresse, Telefonnummer, Position)
• Kontoanmeldeinformationen (Benutzernamen, verschlüsselte Passwörter)
• Systemzugriffsprotokolle und IP-Adressen
• Kommunikation mit dem technischen Support und Ticketinhalte
• Konfigurationsmetadaten, die benannten Benutzern zugeordnet sind

Besondere Kategorien: TR7 verarbeitet nicht absichtlich besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten, biometrische Daten). Der Kunde darf ohne vorherige schriftliche Vereinbarung keine Daten besonderer Kategorien an TR7 übermitteln.

5. Zweck und Dauer der Verarbeitung

TR7 verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:

• Bereitstellung und Betrieb der TR7-Software und zugehöriger Dienste
• Erbringung von technischem Support und professionellen Dienstleistungen
• Verwaltung von Benutzerkonten und Zugriffskontrollen
• Erstellung von Nutzungsanalysen und Leistungsberichten (soweit möglich anonymisiert)
• Einhaltung gesetzlicher und regulatorischer Verpflichtungen

Die Verarbeitung erfolgt für die Dauer der Servicevereinbarung und wird nach deren Beendigung eingestellt, vorbehaltlich Abschnitt 10 (Datenaufbewahrung und -löschung).

6. Sicherheitsmaßnahmen

TR7 implementiert und unterhält angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, einschließlich, aber nicht beschränkt auf:

• Verschlüsselung: Daten im Transit werden mit TLS 1.2 oder höher verschlüsselt. Ruhende Daten werden mit AES-256 oder gleichwertig verschlüsselt.
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der geringsten Berechtigung. Multi-Faktor-Authentifizierung (MFA) für alle TR7-Mitarbeiter, die auf Kundendaten zugreifen.
• Netzwerksicherheit: Firewall-Schutz, Intrusion-Detection-Systeme und Netzwerksegmentierung zur Isolierung der Kundenumgebungen.
• Überwachung: Kontinuierliche Sicherheitsüberwachung, Protokollanalyse und automatisierte Warnmeldungen bei verdächtigen Aktivitäten.
• Personal: Alle TR7-Mitarbeiter mit Zugriff auf personenbezogene Daten unterliegen Vertraulichkeitsverpflichtungen und erhalten regelmäßige Datenschutzschulungen.
• Physische Sicherheit: Die von TR7 genutzten Rechenzentren verfügen über branchenübliche physische Sicherheitskontrollen, einschließlich 24/7-Überwachung, biometrischem Zugang und Umgebungskontrollen.
• Reaktion auf Vorfälle: Dokumentierte Verfahren zur Reaktion auf Vorfälle mit definierten Rollen, Kommunikationsprotokollen und Nachbearbeitungsprozessen.
• Geschäftskontinuität: Regelmäßige Sicherungen, Notfallwiederherstellungsverfahren und Redundanzmaßnahmen zur Sicherstellung der Datenverfügbarkeit.

7. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für TR7, Unterauftragsverarbeiter für die Verarbeitung personenbezogener Daten zu beauftragen, vorbehaltlich folgender Bedingungen:

• TR7 führt eine Liste der aktuellen Unterauftragsverarbeiter, die auf Anfrage verfügbar ist.
• TR7 wird den Kunden mindestens dreißig (30) Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters oder dem Austausch eines bestehenden informieren.
• Der Kunde kann innerhalb von vierzehn (14) Tagen nach Benachrichtigung Einspruch gegen einen neuen Unterauftragsverarbeiter erheben. Erhebt der Kunde aus begründeten Gründen Einspruch und kann TR7 den Einspruch nicht berücksichtigen, kann jede Partei die betroffenen Dienste kündigen.
• TR7 wird jedem Unterauftragsverarbeiter Datenschutzverpflichtungen auferlegen, die nicht weniger streng sind als die in diesem DPA festgelegten.
• TR7 bleibt vollumfänglich für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter verantwortlich.

8. Rechte der Betroffenen

TR7 wird den Kunden bei der Beantwortung von Anfragen betroffener Personen unterstützen, die ihre Rechte gemäß den Datenschutzgesetzen ausüben, einschließlich des Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und des Widerspruchsrechts. TR7 wird den Kunden unverzüglich benachrichtigen, wenn eine Anfrage einer betroffenen Person direkt eingeht, und wird ohne vorherige schriftliche Anweisungen des Kunden nicht auf eine solche Anfrage antworten, es sei denn, dies ist gesetzlich vorgeschrieben.

9. Meldung von Datenschutzverletzungen

TR7 wird den Kunden unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten benachrichtigen. Die Benachrichtigung umfasst:

• Art der Verletzung, einschließlich der Kategorien und der ungefähren Anzahl betroffener Personen und Datensätze
• Die wahrscheinlichen Folgen der Verletzung
• Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und Minderung ihrer Auswirkungen
• Die Kontaktdaten des Datenschutzansprechpartners von TR7

TR7 wird mit dem Kunden zusammenarbeiten und alle angemessenen Schritte unternehmen, um bei der Untersuchung, Eindämmung und Behebung der Verletzung zu helfen.

10. Datenaufbewahrung und -löschung

Nach Beendigung der Servicevereinbarung wird TR7, nach Wahl des Kunden, entweder alle personenbezogenen Daten an den Kunden zurückgeben oder alle personenbezogenen Daten innerhalb von neunzig (90) Tagen sicher löschen, es sei denn, die Aufbewahrung ist nach geltendem Recht erforderlich. TR7 wird auf Anfrage des Kunden eine schriftliche Bestätigung der Löschung bereitstellen. Personenbezogene Daten, die aus Gründen der Rechtskonformität aufbewahrt werden, werden weiterhin in Übereinstimmung mit diesem DPA geschützt.

11. Internationale Datenübermittlungen

TR7 wird personenbezogene Daten nicht ohne vorherige schriftliche Zustimmung des Kunden und ohne Sicherstellung geeigneter Garantien außerhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums (EWR) übermitteln, wie z. B.:

• Standardvertragsklauseln (SCCs), die vom UK Information Commissioner's Office (ICO) oder der Europäischen Kommission genehmigt wurden
• Ein Angemessenheitsbeschluss des britischen Staatssekretärs oder der Europäischen Kommission
• Verbindliche unternehmensinterne Vorschriften (Binding Corporate Rules), die von der zuständigen Aufsichtsbehörde genehmigt wurden

TR7 wird bei Bedarf eine Bewertung der Auswirkungen der Übermittlung durchführen und erforderlichenfalls ergänzende Maßnahmen ergreifen, um ein im Wesentlichen gleichwertiges Datenschutzniveau zu gewährleisten.

12. Prüfungen und Inspektionen

TR7 wird dem Kunden alle Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung dieses DPA erforderlich sind, und Prüfungen einschließlich Inspektionen ermöglichen und dazu beitragen, die vom Kunden oder einem vom Kunden beauftragten unabhängigen Prüfer durchgeführt werden. Solche Prüfungen werden mit angemessener Vorankündigung (mindestens dreißig Tage), während der normalen Geschäftszeiten und ohne unangemessene Beeinträchtigung des Betriebs von TR7 durchgeführt. Der Kunde trägt die Kosten der Prüfung, es sei denn, die Prüfung ergibt eine wesentliche Nichteinhaltung durch TR7.

13. Datenschutz-Folgenabschätzung

TR7 wird den Kunden bei der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) angemessen unterstützen, soweit dies nach den Datenschutzgesetzen erforderlich ist, sowie bei jeder vorherigen Konsultation der zuständigen Aufsichtsbehörde.

14. Haftung

Die Haftung jeder Partei im Rahmen dieses DPA unterliegt den in der Servicevereinbarung und der Endbenutzer-Lizenzvereinbarung (EULA) festgelegten Beschränkungen. Jede Partei haftet für Schäden, die durch eine gegen die Datenschutzgesetze verstoßende Verarbeitung verursacht werden, gemäß den Haftungsbestimmungen der UK GDPR und der EU GDPR.

15. Kontakt

Für Datenschutzanfragen:

TR7 Ltd
Datenschutzkontakt
EAGLE TOWER, Montpellier Drive, Office Suite 120
Cheltenham GL50 1TA, United Kingdom
Email: privacy@tr7.com

UK Information Commissioner's Office (ICO): ico.org.uk