Vertrag zur Auftragsverarbeitung

(1) Gegenstand ist die Bereitstellung der gehosteten Kollaborationsplattform Enclessa.

(2) Art und Zweck der Verarbeitung sind das Speichern, Übermitteln, Anzeigen, Sichern und Löschen der Inhalte, die der Verantwortliche und seine Nutzer erzeugen, sowie der zum Betrieb erforderlichen Metadaten.

(3) Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich der in Ziffer 10 geregelten Fristen.

(4) Die Verarbeitung findet ausschließlich in der Europäischen Union statt; Ausnahmen sind in der Anlage zu den Unterauftragsverarbeitern benannt.

Betroffene Personen sind die Beschäftigten, Auftragnehmer, Bewerber, Kunden und Geschäftspartner des Verantwortlichen sowie sonstige Personen, deren Daten der Verantwortliche einstellt.

(1) Enclessa verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Nutzungsvertrag, dieser Vertrag und die Nutzung der Funktionen der Plattform durch den Verantwortlichen stellen solche Weisungen dar.

(2) Weisungen darüber hinaus erfolgen in Textform an die in Ziffer 11 genannte Adresse.

(3) Ist Enclessa der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt Enclessa dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

(4) Besteht ausnahmsweise eine gesetzliche Verpflichtung zur Verarbeitung, unterrichtet Enclessa den Verantwortlichen vor der Verarbeitung, sofern das Gesetz dies nicht verbietet.

(1) Enclessa verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit und unterweist sie in den einschlägigen Pflichten des Datenschutzrechts.

(2) Die Verwaltungsebene, mit der der Betrieb der Plattform gesteuert wird, ist eine eigene Identität mit eigener Anmeldung und eigenem Protokoll. Sie kann Organisationen auflisten, sperren, zur Löschung vormerken und löschen; Inhalte kann sie nicht lesen. Diese Trennung ist durch eine Prüfung im Bauprozess abgesichert: das Paket der Verwaltungsebene darf nichts einbinden, was Inhalte lesen kann, und der Bau schlägt fehl, wenn sich das ändert. Eine Funktion, mit der Mitarbeiter des Anbieters die Identität eines Nutzers annehmen könnten, existiert nicht.

Enclessa trifft die nachstehenden Maßnahmen und hält sie während der Vertragslaufzeit aufrecht. Sie dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der nachstehenden Unterauftragsverarbeiter.

(2) Enclessa unterrichtet den Verantwortlichen mindestens 30 Tage vor der Beauftragung eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Verantwortliche den Nutzungsvertrag zum Zeitpunkt der beabsichtigten Änderung außerordentlich kündigen.

(3) Enclessa verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die den hier vereinbarten entsprechen, und haftet für dessen Verhalten wie für eigenes.

(1) Enclessa unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Wendet sich eine betroffene Person unmittelbar an Enclessa, wird sie an den Verantwortlichen verwiesen und dieser unverzüglich unterrichtet.

(2) Enclessa unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, und stellt die dafür erforderlichen Informationen bereit.

(3) Anfragen werden innerhalb von zehn Arbeitstagen beantwortet, dringende Anfragen unverzüglich.

(1) Enclessa unterrichtet den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft.

(2) Die Meldung beschreibt die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sind nicht alle Angaben sofort verfügbar, werden sie nachgereicht.

(3) Meldungen und Rückfragen laufen über security@enclessa.app.

(1) Enclessa stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und beantwortet einmal je Kalenderjahr einen Fragebogen zur Auftragskontrolle.

(2) Weitergehende Überprüfungen erfolgen vorrangig anhand von Dokumentation und schriftlichen Auskünften. Eine Überprüfung vor Ort kann der Verantwortliche verlangen, wenn ein konkreter Anlass besteht; sie wird mit einer Frist von 30 Tagen angekündigt, findet während der üblichen Geschäftszeiten statt, darf den Betrieb nicht beeinträchtigen und setzt die Vertraulichkeitsverpflichtung der prüfenden Personen voraus. Der Prüfende darf kein Wettbewerber sein.

(3) Enclessa hält keine Zertifizierung nach ISO 27001, SOC 2 oder einem vergleichbaren Standard und hat keine externe Sicherheitsprüfung durchlaufen. Diese Feststellung ist Bestandteil der Auskunft und wird nicht durch eine allgemeine Aussage zum Stand der Technik ersetzt.

(1) Nach Beendigung des Nutzungsvertrags kann der Verantwortliche seine Daten 30 Tage lang über die Exportfunktion vollständig herunterladen.

(2) Anschließend löscht Enclessa die Daten innerhalb von 30 Tagen aus dem laufenden Betrieb. Die Löschung erfolgt anhand des Datenmodells statt anhand einer gepflegten Liste von Tabellen, ist wiederaufnehmbar und wird protokolliert; die Löschung gespeicherter Dateien wird wiederholt, bis der Speicher sie bestätigt. Sicherungskopien verfallen mit ihrem Zyklus von 30 Tagen, sodass die Daten spätestens 31 Tage nach der Löschung im laufenden Betrieb in keiner Sicherung mehr enthalten sind; wird zuvor eine Sicherung eingespielt, wiederholt Enclessa die Löschung.

(3) Ausgenommen sind nur Daten, die Enclessa aufgrund einer Enclessa selbst treffenden gesetzlichen Pflicht aufbewahren muss, namentlich die eigenen Rechnungen an den Verantwortlichen und die zugehörigen Zahlungsnachweise (§ 14b UStG, § 147 AO); sie werden gesperrt und nach Fristablauf gelöscht. Aufbewahrungspflichten des Verantwortlichen selbst hindern die Löschung nicht (Art. 28 Abs. 3 lit. g DSGVO); er erfüllt sie über den Export nach Absatz 1. Auf Verlangen bestätigt Enclessa die Löschung in Textform.

(1) Ansprechpartner für Datenschutzfragen bei Enclessa: privacy@enclessa.app. Datenschutzbeauftragter: nicht bestellt. Beim Anbieter sind weniger als zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG), und keine der Voraussetzungen des Art. 37 Abs. 1 DSGVO liegt vor. Datenschutzanfragen beantwortet der Anbieter unmittelbar.

(2) Widersprechen sich dieser Vertrag und der Nutzungsvertrag hinsichtlich der Verarbeitung personenbezogener Daten, geht dieser Vertrag vor.

(3) Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Regelungen des Nutzungsvertrags.

(4) Es gilt deutsches Recht. Änderungen bedürfen der Textform.