Auftragsverarbeitungsvertrag

Diese Klauseln legen die Rechte und Pflichten des Auftragsverarbeiters fest, wenn dieser personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Die Klauseln wurden im Hinblick auf die Einhaltung von Art. 28 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung) durch die Parteien gestaltet.

Im Zusammenhang mit der Bereitstellung der JustParity-Compliance-Plattform verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen gemäß diesen Klauseln.

Die Klauseln haben Vorrang vor etwaigen entsprechenden Bestimmungen in anderen Vereinbarungen zwischen den Parteien.

Zu diesen Klauseln gehören vier Anhänge, die integraler Bestandteil der Klauseln sind:

• Anhang A: Informationen zur Verarbeitung (Zweck, Datenkategorien, betroffene Personen, Dauer)
• Anhang B: Unterauftragsverarbeiter (genehmigte Unterauftragsverarbeiter und Bedingungen)
• Anhang C: Weisung zur Verarbeitung (Sicherheitsmaßnahmen, Standort, Übermittlungen, Prüfungen)
• Anhang D: Regelung sonstiger Angelegenheiten durch die Parteien

Der Verantwortliche ist dafür verantwortlich sicherzustellen, dass die Verarbeitung personenbezogener Daten im Einklang mit der Datenschutz-Grundverordnung, den Datenschutzbestimmungen des sonstigen Unionsrechts oder des dänischen Rechts sowie diesen Klauseln erfolgt.

Der Verantwortliche hat das Recht und die Pflicht, über die Zwecke und Mittel der Verarbeitung personenbezogener Daten zu entscheiden.

Der Verantwortliche ist dafür verantwortlich sicherzustellen, dass für die Verarbeitung personenbezogener Daten, mit der der Auftragsverarbeiter beauftragt wird, eine Rechtsgrundlage besteht.

4.1 Der Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, es sei denn, er ist nach dem Unionsrecht oder dem dänischen Recht, dem er unterliegt, dazu verpflichtet. Die Weisungen sind in den Anhängen A und C festgelegt. Nachträgliche Weisungen können während der laufenden Verarbeitung erteilt werden, müssen jedoch stets dokumentiert und schriftlich aufbewahrt werden.

4.2 Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die Datenschutz-Grundverordnung oder gegen Datenschutzbestimmungen des sonstigen Unionsrechts oder des dänischen Rechts verstößt. Der Auftragsverarbeiter ist nicht verpflichtet, eine Weisung zu befolgen, die zu einem Verstoß gegen geltendes Recht führen würde.

4.3 Die Aktivierung einer Entgeltsystem-Integration über die JustParity-Plattform durch den Verantwortlichen stellt eine dokumentierte Weisung an den Auftragsverarbeiter dar, die von dem betreffenden Entgeltsystem übermittelten personenbezogenen Daten zu empfangen und zu verarbeiten. Der Verantwortliche ist dafür verantwortlich sicherzustellen, dass die Übermittlung auf einer Rechtsgrundlage beruht.

Der Auftragsverarbeiter darf den Zugang zu personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet werden, nur Personen gewähren, die seiner Weisungsbefugnis unterliegen, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur im erforderlichen Umfang.

Die Liste der zugangsberechtigten Personen wird laufend überprüft. Der Zugang wird gesperrt, sobald er nicht mehr erforderlich ist. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Klauseln fort.

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der betreffenden Verarbeitung sowie der Risiken unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen trifft der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein diesen Risiken angemessenes Schutzniveau zu gewährleisten.

Da die Verarbeitung Entgeltdaten, Geschlechtsdaten und potenziell Daten zur Gewerkschaftszugehörigkeit (Art. 9) umfasst, ist ein hohes Sicherheitsniveau zu gewährleisten.

Der Auftragsverarbeiter trifft mindestens die folgenden Maßnahmen, vgl. Anhang C:

• Verschlüsselung: TLS 1.3 für Daten während der Übertragung, AES-256 für ruhende Daten, verschlüsselte Datenbankverbindungen und Backups
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (RBAC) nach dem Least-Privilege-Prinzip, Mehr-Faktor-Authentifizierung (MFA) für privilegierten Zugriff, eindeutige Benutzerkonten, automatischer Sitzungs-Timeout
• Datenisolierung: Multi-Tenant Row Level Security (RLS). Kundendaten sind mittels Row-Level Security logisch getrennt, sodass die Daten eines Kunden vor dem Zugriff durch andere Kunden geschützt sind
• Protokollierung und Überwachung: Jeder Zugriff auf personenbezogene Daten wird protokolliert, Systemadministrator-Aktivitäten werden gesondert protokolliert, automatische Benachrichtigung bei unbefugten Zugriffsversuchen
• Schwachstellenmanagement: Laufendes Schwachstellen-Scanning, kritische Sicherheitspatches werden so schnell wie möglich und innerhalb der risikobasierten Fristen des Incident-Response-Verfahrens eingespielt, sowie regelmäßige Penetrationstests gemäß dem Sicherheitsprogramm
• Backup und Wiederherstellung: Tägliches automatisches Backup, Point-in-Time-Recovery, Notfallwiederherstellungsplan mit dokumentierten RTO und RPO
• Incident Response: Dokumentiertes Verfahren zur Behandlung von Sicherheitsvorfällen, Klassifizierung nach Schweregrad, Eskalation und Benachrichtigung gemäß Abschnitt 10
• Personal: Alle Mitarbeiter mit Zugang zu personenbezogenen Daten haben eine Vertraulichkeitserklärung unterzeichnet und erhalten regelmäßige Sicherheitsschulungen

Der Auftragsverarbeiter verpflichtet sich, das Gesamtsicherheitsniveau nicht wesentlich zu senken, ohne den Verantwortlichen zuvor schriftlich zu unterrichten.

7.1 Der Auftragsverarbeiter verfügt über die allgemeine Genehmigung des Verantwortlichen zum Einsatz der in Anhang B aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter stellt sicher, dass mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung geschlossen wird, die diesem dieselben Datenschutzpflichten auferlegt, wie sie in diesen Klauseln festgelegt sind.

7.2 Der Auftragsverarbeiter unterrichtet den Verantwortlichen schriftlich über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens 30 Tagen und gibt dem Verantwortlichen damit die Möglichkeit, gegen solche Änderungen Einspruch zu erheben.

7.3 Der Verantwortliche kann innerhalb von 14 Tagen nach Erhalt der Mitteilung begründeten Einspruch gegen einen neuen Unterauftragsverarbeiter erheben. Der Auftragsverarbeiter bemüht sich in angemessenem Umfang um eine alternative Lösung. Können sich die Parteien nicht einigen, kann der Verantwortliche den betroffenen Teil des Servicevertrags mit Wirkung zu dem Zeitpunkt kündigen, zu dem der neue Unterauftragsverarbeiter eingesetzt werden sollte.

7.4 Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters in vollem Umfang verantwortlich. Dies berührt nicht die Rechte der betroffenen Personen gemäß der Datenschutz-Grundverordnung, insbesondere Art. 79 und 82.

Jede Übermittlung personenbezogener Daten in Drittländer oder an internationale Organisationen darf vom Auftragsverarbeiter nur auf der Grundlage dokumentierter Weisungen des Verantwortlichen und stets im Einklang mit Kapitel V der Datenschutz-Grundverordnung vorgenommen werden.

Personenbezogene Daten werden in EU/EWR-Rechenzentren gespeichert und verarbeitet (vorwiegend Frankfurt, Deutschland). Einzelne Unterauftragsverarbeiter sind US-Unternehmen, deren konzernverbundene Muttergesellschaften Support-Zugriff aus Drittländern haben können. Für solche Übermittlungen wurden EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c geschlossen, ergänzt durch das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist.

Die Weisungen des Verantwortlichen zur Übermittlung personenbezogener Daten in Drittländer, einschließlich der Übermittlungsgrundlage, sind in Anhang C aufgeführt.

9.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen so weit wie möglich bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen gemäß Kapitel III der Datenschutz-Grundverordnung. Dies umfasst Unterstützung in Bezug auf:

1. die Informationspflicht bei Erhebung personenbezogener Daten bei der betroffenen Person
2. die Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
3. das Auskunftsrecht
4. das Recht auf Berichtigung
5. das Recht auf Löschung ("Recht auf Vergessenwerden")
6. das Recht auf Einschränkung der Verarbeitung
7. die Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung
8. das Recht auf Datenübertragbarkeit
9. das Widerspruchsrecht
10. das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden

9.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei:

1. der Meldung einer Verletzung des Schutzes personenbezogener Daten an die dänische Datenschutzbehörde (Datatilsynet), vgl. Art. 33
2. der Benachrichtigung der betroffenen Personen über eine Verletzung, vgl. Art. 34
3. Datenschutz-Folgenabschätzungen (DSFA), vgl. Art. 35, indem er alle erforderlichen technischen Informationen über die Verarbeitungstätigkeiten, Sicherheitsmaßnahmen und Datenflüsse der Plattform bereitstellt
4. der vorherigen Konsultation der dänischen Datenschutzbehörde (Datatilsynet), vgl. Art. 36

10.1 Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Unterrichtung erfolgt spätestens 24 Stunden, nachdem der Auftragsverarbeiter von der Verletzung Kenntnis erlangt hat, damit der Verantwortliche seine Pflicht zur Meldung der Verletzung an die dänische Datenschutzbehörde (Datatilsynet) innerhalb von 72 Stunden erfüllen kann, vgl. Art. 33.

10.2 Die Unterrichtung muss die folgenden Angaben enthalten (vgl. Art. 33 Abs. 3):

• die Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen
• die Kategorien und die ungefähre Zahl der betroffenen personenbezogenen Datensätze
• die wahrscheinlichen Folgen der Verletzung
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen
• die Kontaktdaten der Kontaktperson des Auftragsverarbeiters

11.1 Bei Beendigung der Dienste im Zusammenhang mit der Verarbeitung personenbezogener Daten gibt der Auftragsverarbeiter alle personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format (CSV oder JSON) an den Verantwortlichen zurück und löscht anschließend vorhandene Kopien spätestens 30 Tage nach Beendigung, sofern das geltende Recht keine Speicherung vorschreibt.

11.2 Der Auftragsverarbeiter bestätigt dem Verantwortlichen schriftlich, dass die Löschung durchgeführt wurde, auch bei allen Unterauftragsverarbeitern.

11.3 Die folgenden Vorschriften schreiben die Speicherung personenbezogener Daten nach Beendigung vor: das dänische Buchführungsgesetz (5 Jahre), die Steuer- und Abgabengesetzgebung sowie das Arbeitsrecht. Solche Daten werden weiterhin gemäß den Sicherheitsbestimmungen dieser Klauseln gespeichert und gelöscht, sobald die Aufbewahrungspflicht endet. Für Verantwortliche, die dem deutschen Recht unterliegen, können eigene gesetzliche Aufbewahrungsfristen gelten, insbesondere nach § 257 HGB und § 147 AO (in der Regel sechs bis zehn Jahre für buchhaltungs- und steuerrelevante Unterlagen); für deren Einhaltung ist der Verantwortliche selbst verantwortlich.

12.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 der Datenschutz-Grundverordnung und dieser Klauseln erforderlich sind, und ermöglicht und trägt zu Überprüfungen, einschließlich Inspektionen, bei, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden.

12.2 Der Verantwortliche kann einmal jährlich mit einer Frist von mindestens 30 Tagen eine ordentliche Prüfung durchführen. Die Prüfung kann im gegenseitigen Einvernehmen durch einen unabhängigen Dritten durchgeführt werden. Alternativ kann der Auftragsverarbeiter einen unabhängigen Prüfbericht als Nachweis der Einhaltung zur Verfügung stellen.

12.3 Bei begründetem Verdacht auf einen Verstoß oder nach einer Sicherheitsverletzung kann der Verantwortliche mit angemessener Frist eine außerordentliche Prüfung durchführen.

12.4 Der Auftragsverarbeiter ist verpflichtet, der dänischen Datenschutzbehörde (Datatilsynet), die nach geltendem Recht Zugang zu den Räumlichkeiten des Verantwortlichen oder des Auftragsverarbeiters hat, gegen Vorlage eines entsprechenden Ausweises Zugang zu den Räumlichkeiten des Auftragsverarbeiters zu gewähren.

13.1 Die Gesamthaftung des Auftragsverarbeiters aus diesen Klauseln ist auf den Betrag begrenzt, den der Verantwortliche in den 12 Monaten vor dem den Anspruch auslösenden Ereignis an Abonnementgebühren gezahlt hat. Die Haftungsbeschränkung gilt nicht für Ansprüche, die aus einer Verletzung der Rechte der betroffenen Personen gemäß Art. 82 entstehen (zwingende Vorschrift), oder soweit der Schaden auf grober Fahrlässigkeit oder Vorsatz beruht.

13.2 Diese Klauseln unterliegen dänischem Recht. Streitigkeiten werden von den dänischen Gerichten entschieden, wobei das Gericht in Frederiksberg (Retten på Frederiksberg) in erster Instanz zuständig ist.

Die Klauseln treten mit Abschluss des Servicevertrags in Kraft. Jede Partei kann eine Neuverhandlung der Klauseln verlangen, wenn Gesetzesänderungen oder Unzweckmäßigkeiten dazu Anlass geben.

Die Klauseln gelten, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Nach Beendigung gelten die Bestimmungen zur Vertraulichkeit (Abschnitt 5) und zur Löschung (Abschnitt 11) fort.

Die Kontaktpersonen der Parteien für Fragen zu diesen Klauseln und für die Meldung von Verletzungen des Schutzes personenbezogener Daten sind: