Vertrag über Auftragsverarbeitung

Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die wir im Rahmen von VS Easy in Ihrem Auftrag durchführen. Er ist Bestandteil der Nutzungsbedingungen und bedarf keiner gesonderten Unterzeichnung.

Verantwortlicher sind Sie als Kundin oder Kunde. Auftragsverarbeiter ist die Fiegenbaum & Cie. GmbH.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung von VS Easy zur Erstellung von Nachhaltigkeitsberichten nach dem Voluntary Standard. Die Verarbeitung dauert an, solange der Nutzungsvertrag besteht.

2. Art und Zweck der Verarbeitung

Wir verarbeiten die Daten ausschließlich, um Ihnen die Erstellung, Speicherung, Auswertung und den Export Ihres Nachhaltigkeitsberichts zu ermöglichen, einschließlich der KI-gestützten Erzeugung von Erläuterungstexten und der Auswertung von Dokumenten, die Sie hochladen. Eine Nutzung für eigene Zwecke findet nicht statt.

3. Art der Daten und Kreis der Betroffenen

Verarbeitet werden im Wesentlichen unternehmensbezogene Daten. Personenbezug kann sich ergeben aus Kontaktdaten der von Ihnen benannten Personen, Angaben zur Belegschaft wie Beschäftigtenzahlen, Geschlechterverteilung, Fluktuation, Schulungsstunden und Arbeitsunfällen sowie aus Inhalten der Dokumente, die Sie hochladen. Betroffen sind Ihre Beschäftigten sowie Ihre Ansprechpersonen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Bitte laden Sie keine solchen Daten hoch.

4. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf Ihre dokumentierte Weisung. Ihre Nutzung der Anwendung gilt als Weisung. Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit und dürfen die Ausführung aussetzen.

5. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen

Die Maßnahmen nach Art. 32 DSGVO sind in Abschnitt 11 beschrieben. Wir passen sie an den Stand der Technik an; das Schutzniveau wird dabei nicht unterschritten.

7. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die jeweils aktuelle Liste ist unter Unterauftragsverarbeiter veröffentlicht.

Vor der Aufnahme eines neuen Unterauftragsverarbeiters informieren wir Sie mindestens 15 Tage im Voraus. Innerhalb dieser Frist können Sie aus sachlichen Datenschutz- oder Sicherheitsgründen widersprechen. Wird der Widerspruch nicht ausgeräumt, können Sie den Vertrag mit Wirkung für die Zukunft kündigen.

Wir verpflichten Unterauftragsverarbeiter auf ein Schutzniveau, das dem dieses Vertrags im Wesentlichen entspricht.

8. Unterstützung

Wir unterstützen Sie bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 33 und 34 DSGVO. Wenden sich betroffene Personen unmittelbar an uns, leiten wir die Anfrage an Sie weiter.

Von einer Verletzung des Schutzes personenbezogener Daten unterrichten wir Sie unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

9. Löschung und Rückgabe

Nach Ende des Nutzungsvertrags löschen wir die Daten innerhalb von 30 Tagen, sofern Sie keine Rückgabe verlangen und keine gesetzliche Aufbewahrungspflicht entgegensteht. Bis dahin können Sie Ihre Berichte jederzeit selbst exportieren.

10. Nachweise und Kontrollen

Wir stellen Ihnen die zum Nachweis erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach angemessener Vorankündigung und während der üblichen Geschäftszeiten möglich; wir können sie durch geeignete Nachweise ersetzen.

11. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Verschlüsselung. Der Zugriff auf die Anwendung erfolgt ausschließlich über TLS. Die Datenbank ist verschlüsselt gespeichert, hochgeladene Nachweise liegen verschlüsselt im Objektspeicher.

Zugangs- und Zugriffskontrolle. Die Anmeldung erfolgt passwortlos über einen einmalig gültigen Anmeldelink an eine geschäftliche E-Mail-Adresse. Innerhalb der Anwendung sind Daten nach Arbeitsbereichen getrennt; ein Zugriff über Arbeitsbereichsgrenzen hinweg ist technisch ausgeschlossen. Administrativer Zugang zur Produktivdatenbank ist auf den Geschäftsführer beschränkt, erfolgt über zeitlich befristete Zugänge und wird protokolliert.

Trennungskontrolle. Produktiv- und Entwicklungsumgebung sind getrennt.

Eingabekontrolle. Änderungen an Berichten werden versioniert; Berichtsstände lassen sich als Momentaufnahme sichern und vergleichen. Hochgeladene Nachweise werden mit einem Prüfwert abgelegt, sodass nachträgliche Veränderungen erkennbar sind.

Verfügbarkeitskontrolle. Die Datenbank wird als verwalteter Dienst mit automatischen Sicherungen betrieben. Der Serverstandort liegt in Frankreich.

Auftragskontrolle. Unterauftragsverarbeiter sind vertraglich gebunden und in der Liste nach Abschnitt 7 veröffentlicht.

Belastbarkeit und Wiederherstellbarkeit. Die Anwendung läuft in einer verwalteten Container-Umgebung, die bei Ausfall neu gestartet wird. Ein Wiederherstellungspunkt ergibt sich aus den automatischen Datenbanksicherungen.

12. Verhältnis zu den Nutzungsbedingungen

Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen die Regelungen dieses Vertrags für die Verarbeitung personenbezogener Daten vor.