Auftragsverarbeitung

Zwischen wem diese Vereinbarung gilt

Auftraggeber (verantwortliche Stelle): der Kunde laut Hauptvertrag, im Folgenden "Kunde".
Auftragsverarbeiterin: honeyflow GmbH, Weiherstrasse 22, 8280 Kreuzlingen, Schweiz, im Folgenden "honeyflow".

Diese Vereinbarung ergänzt den zwischen den Parteien geschlossenen Vertrag über die Erstellung und Betreuung von Webseiten und Automatisierungen (Hauptvertrag) und setzt Art. 28 der Datenschutz-Grundverordnung (DSGVO) sowie Art. 9 des schweizerischen Datenschutzgesetzes (DSG) um.

1. Gegenstand und Dauer

honeyflow verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der Leistungen aus dem Hauptvertrag erforderlich ist. Einzelheiten zu Art, Zweck, Datenarten und betroffenen Personen stehen in Anhang 1.

Die Vereinbarung beginnt mit dem Hauptvertrag und endet mit ihm. Sie kann unabhängig davon nicht gesondert gekündigt werden, solange der Hauptvertrag läuft.

2. Weisungsrecht des Kunden

honeyflow verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gelten der Hauptvertrag, diese Vereinbarung und einzelne Anweisungen in Textform, zum Beispiel per E-Mail.

Ist honeyflow der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist sie den Kunden darauf hin und darf die Ausführung bis zu dessen Bestätigung aussetzen. Muss honeyflow aufgrund gesetzlicher Verpflichtung Daten verarbeiten oder herausgeben, informiert sie den Kunden vorab, sofern das Gesetz dies nicht verbietet.

3. Vertraulichkeit

honeyflow setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind und die im Umgang mit personenbezogenen Daten unterwiesen wurden. Die Verpflichtung gilt auch nach dem Ende der Tätigkeit fort.

4. Sicherheit der Verarbeitung

honeyflow trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der aktuelle Stand ist in Anhang 2 beschrieben. Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

5. Weitere Auftragsverarbeiter

Der Kunde erteilt honeyflow die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die derzeit eingesetzten Unternehmen sind in Anhang 3 aufgeführt.

Eine Änderung oder Ergänzung kündigt honeyflow mindestens vier Wochen vorher in Textform an. Der Kunde kann aus wichtigem, datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen. Widerspricht er, kann honeyflow die betroffene Leistung einstellen; ist die Leistung ohne den Dienstleister nicht erbringbar, dürfen beide Parteien den Hauptvertrag insoweit auf den Zeitpunkt der Umstellung kündigen.

honeyflow verpflichtet jeden weiteren Auftragsverarbeiter auf Datenschutzpflichten, die denen dieser Vereinbarung entsprechen.

6. Unterstützung des Kunden

honeyflow unterstützt den Kunden mit angemessenen Mitteln:

• bei Anfragen betroffener Personen, etwa auf Auskunft, Berichtigung oder Löschung. Wendet sich eine betroffene Person direkt an honeyflow, leiten wir sie an den Kunden weiter und beantworten sie nicht selbst.
• bei der Meldung von Verletzungen des Schutzes personenbezogener Daten,
• bei Folgenabschätzungen zum Datenschutz und der vorherigen Konsultation der Aufsichtsbehörde, soweit erforderlich.

7. Meldung von Datenschutzverletzungen

Wird honeyflow eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert sie den Kunden unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, und teilt die bekannten Einzelheiten sowie die getroffenen Gegenmaßnahmen mit. Die Meldung an die Aufsichtsbehörde nimmt der Kunde vor.

8. Nachweise und Kontrollen

honeyflow stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind. Der Kunde kann sich nach vorheriger Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten von der Einhaltung überzeugen, auch durch beauftragte Prüfer, die nicht Wettbewerber von honeyflow sein dürfen. Der Betriebsablauf darf dadurch nicht unangemessen gestört werden.

9. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags gibt honeyflow die verarbeiteten Daten nach Wahl des Kunden zurück oder löscht sie, einschließlich vorhandener Kopien. Dokumentation, die dem Nachweis der ordnungsgemäßen Verarbeitung dient, sowie Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, dürfen entsprechend länger aufbewahrt werden.

10. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der Schweiz und des Europäischen Wirtschaftsraums findet nur bei den in Anhang 3 genannten Dienstleistern statt. Grundlage sind die Standardvertragsklauseln der EU-Kommission, ergänzt um den anerkannten Angemessenheitsbeschluss beziehungsweise die Zertifizierung nach dem EU-US Data Privacy Framework, soweit der Anbieter daran teilnimmt.

Der Sitz von honeyflow in der Schweiz ist datenschutzrechtlich kein Drittland-Problem: Die EU-Kommission hat der Schweiz ein angemessenes Datenschutzniveau bescheinigt.

11. Haftung und Schlussbestimmungen

Für die Haftung gelten die Regelungen des Hauptvertrags, soweit das Datenschutzrecht nichts anderes zwingend vorschreibt. Widersprechen sich Hauptvertrag und diese Vereinbarung in Datenschutzfragen, geht diese Vereinbarung vor. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags, insbesondere Rechtswahl und Gerichtsstand.

Anhang 1: Gegenstand der Verarbeitung

Anhang 2: Technische und organisatorische Maßnahmen

Zutritt, Zugang und Zugriff

• Die Verarbeitung findet in Rechenzentren der in Anhang 3 genannten Anbieter statt, die zertifizierte Zutrittskontrollen betreiben. Eigene Server für Kundendaten betreiben wir am Firmensitz nicht öffentlich zugänglich.
• Alle Arbeitsgeräte sind mit Festplattenverschlüsselung, Bildschirmsperre und aktuellen Sicherheitsaktualisierungen geschützt.
• Zugänge sind persönlich, mit starken Passwörtern aus einem Passwortmanager und mit Zwei-Faktor-Anmeldung gesichert. Zugriff erhält nur, wer die Daten für seine Aufgabe braucht.
• Zugänge ausscheidender Personen werden unverzüglich entzogen.

Übertragung und Speicherung

• Webseiten und Formulare werden ausschließlich verschlüsselt übertragen (HTTPS, aktuelle Verfahren).
• Datenweitergabe an den Kunden erfolgt über verschlüsselte Verbindungen, in der Regel per E-Mail an eine vom Kunden benannte Adresse.
• Sicherungskopien der Webseiten werden regelmäßig erstellt und getrennt aufbewahrt.

Verfügbarkeit und Belastbarkeit

• Die Seiten laufen auf einer verteilten Infrastruktur mit automatischer Wiederherstellung.
• Der Quellcode jeder Seite liegt versioniert vor, ein früherer Stand kann kurzfristig wiederhergestellt werden.

Organisation

• Verpflichtung aller eingesetzten Personen auf Vertraulichkeit, Unterweisung im Datenschutz.
• Verträge zur Auftragsverarbeitung mit allen Dienstleistern.
• Trennung der Daten verschiedener Kunden durch getrennte Projekte, Konten und Zugänge.
• Grundsatz der Datensparsamkeit: Formulare fragen nur ab, was für den Zweck nötig ist.

Anhang 3: Eingesetzte weitere Auftragsverarbeiter

Die Liste wird aktuell gehalten. Änderungen kündigen wir nach Ziffer 5 an.

Ausfertigung mit Unterschrift

Diese Vereinbarung gilt mit dem Abschluss des Hauptvertrags. Wenn Sie eine unterschriebene Fassung für Ihre Unterlagen benötigen, schreiben Sie an torben@honeyflow.ch. Sie können diese Seite auch ausdrucken und unterschrieben zurücksenden.