Auftragsverarbeitungsvertrag

Wann dies gilt

Dieser Vertrag erläutert, wie Verbrio personenbezogene Daten schützt, die es für Geschäftskunden verarbeitet. Er ist Bestandteil der Verbrio-Bedingungen und jeder anwendbaren Bestellung.

Ein anwendbarer Auftragsverarbeitungsvertrag begleitet die unterzeichnete Leistungsbeschreibung, wenn Verbrio personenbezogene Daten auf Weisung des Kunden verarbeitet. Implementierung, Migration, Dokumentenrekonstruktion und laufender Betrieb können jeweils unterschiedliche Verarbeitungsvereinbarungen erfordern. Auch bei einer vom Kunden gehosteten Lösung müssen die tatsächlichen Zugänge und Verantwortlichkeiten dokumentiert werden.

Dieser Auftragsverarbeitungsvertrag wird zwischen Verbrio B.V. mit Sitz in Hoedemakerplein 2, 7511 JP Enschede, Niederlande, eingetragen bei der niederländischen Handelskammer unter der Nummer 96023325 und mit der USt-IdNr. NL867435276B01 (Verbrio), und dem Unternehmen geschlossen, das die Verbrio-Bedingungen akzeptiert oder eine Bestellung mit Verbrio abschließt (Kunde). Er gilt, wenn Verbrio personenbezogene Daten im Auftrag des Kunden verarbeitet.

Dieser Vertrag ist in die Vereinbarung der Parteien einbezogen und wird bindend, wenn ein bevollmächtigter Vertreter diese Vereinbarung annimmt. Begriffe der DSGVO haben ihre dort festgelegte Bedeutung. Personenbezogene Kundendaten sind personenbezogene Daten, die der Kunde an den Dienst übermittelt, mit ihm verknüpft oder von Verbrio verarbeiten lässt.

Der Kunde ist Verantwortlicher und Verbrio ist Auftragsverarbeiter der personenbezogenen Kundendaten. Für Konto-, Abrechnungs-, Support-, Sicherheits- und ähnliche Geschäftsdaten, die Verbrio für eigene rechtmäßige Zwecke nutzt, bleibt Verbrio eigenständig Verantwortlicher, wie in der Datenschutzerklärung beschrieben.

Verarbeitet der Kunde Daten für einen anderen Verantwortlichen, handelt Verbrio als Unterauftragsverarbeiter des Kunden. Der Kunde bestätigt, dass er zur Beauftragung von Verbrio befugt ist und alle für Verbrio geltenden Weisungen und Pflichten weitergibt.

Die Verarbeitungsübersicht

Vor Beginn der Verarbeitung sollte die Übersicht Parteien und Rollen, Dienstleistung, Zweck, Dauer sowie beteiligte Systeme und Quellen benennen. Sie sollte die Kategorien betroffener Personen und personenbezogener Daten, erlaubte Zugänge, Verarbeitungsvorgänge und ausdrücklich einbezogene sensible Daten auflisten.

Ein Rekonstruktionsprojekt sollte beispielsweise den Dokumentenbestand, extrahierte Felder, Nachweisverknüpfungen, Prüfschritte und das Ziel der Lieferung festlegen.

Die beibehaltenen Verarbeitungsdetails unten beschreiben gehostete Arbeitsbereiche. Andere Projektquellen, Zugriffe, Laufzeiten und Rückgabe- oder Löschanweisungen werden in der ausgefüllten projektspezifischen Verarbeitungsübersicht festgehalten; die Schutzbestimmungen des Auftragsverarbeitungsvertrags gelten weiterhin.

Gegenstand

Bereitstellung, Betrieb, Sicherung und Support des B2B-Softwaredienstes von Verbrio sowie der vom Kunden aktivierten Integrationen.

Dauer

Für die Laufzeit des Dienstes, die 30-tägige Exportfrist nach Vertragsende und danach nur noch zur Löschung aus verschlüsselten Sicherungen oder zur gesetzlich vorgeschriebenen Aufbewahrung.

Art und Zweck

Hosting, Speicherung, Abruf, Organisation, OCR-Erkennung, Extraktion, Klassifizierung, Normalisierung, Übermittlung, Integration, Support, Sicherung, Export und Löschung von Daten, damit der Kunde Dokumente, Kontakte, Bestellungen, Rechnungen und zugehörige Abläufe verwalten kann.

Arten personenbezogener Daten

Geschäftliche Kontakt- und Kontodaten; Korrespondenz und E-Mail-Metadaten; Dokumente, Anhänge, Bestellungen, Rechnungen und Zahlungsreferenzen; Integrationskennungen; Aktivitäts-, Audit- und technische Daten. Besondere Kategorien personenbezogener Daten und Daten zu Straftaten sind nicht vorgesehen, sofern die Parteien nichts anderes schriftlich vereinbaren.

Kategorien betroffener Personen

Mitarbeiter und Auftragnehmer des Kunden, Kunden und Interessenten, Lieferanten, Kontakte von Marktplätzen oder Integrationen sowie andere Personen, deren Daten der Kunde in den Dienst einstellt.

Weisungen und Vertraulichkeit

Die unterzeichnete Leistungsbeschreibung und vereinbarten Verarbeitungsweisungen bestimmen die zulässige Nutzung. Der Kunde benennt autorisierte Kontaktpersonen und die Rechte zur Bereitstellung des Materials.

Personen mit Zugang benötigen angemessene Vertraulichkeitsverpflichtungen und auf ihre Arbeiten beschränkte Zugriffsrechte.

Verbrio verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden. Die Vereinbarung, Nutzung und Konfiguration des Dienstes durch den Kunden, aktivierte Integrationen und schriftliche Supportanfragen gelten als dokumentierte Weisungen. Verbrio darf Daten verarbeiten, wenn Unionsrecht oder das Recht eines Mitgliedstaats dies verlangt, informiert den Kunden jedoch vorher, sofern das Gesetz dies nicht untersagt.

Verbrio informiert den Kunden unverzüglich, wenn eine Weisung gegen Datenschutzrecht zu verstoßen scheint, und darf die betroffene Verarbeitung aussetzen, während die Parteien die Angelegenheit klären. Weisungen außerhalb des normalen Leistungsumfangs bedürfen einer schriftlichen Vereinbarung und können angemessene Kosten verursachen.

Der Kunde ist für Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Richtigkeit der personenbezogenen Kundendaten und Weisungen verantwortlich, einschließlich einer gültigen Rechtsgrundlage, erforderlicher Informationen, der Bearbeitung von Betroffenenanfragen und notwendiger Berechtigungen für Integrationen. Der Kunde nutzt geeignete Einstellungen und beschränkt Daten auf das Erforderliche.

Der Kunde übermittelt nicht absichtlich besondere Kategorien personenbezogener Daten oder Daten zu Straftaten, sofern die Parteien nicht deren Erforderlichkeit und zusätzliche Schutzmaßnahmen schriftlich vereinbart haben.

Verbrio beschränkt den Zugriff auf Personen, die personenbezogene Kundendaten für ihre Arbeit benötigen. Diese Personen sind zur Vertraulichkeit verpflichtet und erhalten angemessene Sicherheits- und Datenschutzhinweise.

Sicherheit und Vorfälle

Die Verarbeitungsübersicht muss die bei der Leistungserbringung eingesetzten Maßnahmen beschreiben, einschließlich Zugang, Übertragung, Speicherung, Sicherungskopien und Vorfallbehandlung. Die Maßnahmen müssen den beteiligten Daten und der Umgebung entsprechen.

Die Verarbeitungsübersicht muss Vorfallkontakte, Melde- und Zusammenarbeitsverfahren festhalten, einschließlich der Informationen, die der Kunde zur Bewertung eines Vorfalls benötigt.

Verbrio trifft technische und organisatorische Maßnahmen, die dem Risiko, dem Stand der Technik, den Implementierungskosten und der Art der Verarbeitung angemessen sind. Dazu gehören:

Identitäts- und Zugriffskontrollen, Zugriff nach dem Prinzip der geringsten Rechte und Zugriffsüberprüfungen;

Verschlüsselung bei der Übertragung und Speicherung sowie Schutz von Zugangsdaten, Schlüsseln und Geheimnissen;

Protokollierung, Überwachung, Schwachstellenmanagement und Verfahren zur Reaktion auf Sicherheitsvorfälle; und

Widerstandsfähigkeit, verschlüsselte Sicherungen, Wiederherstellungsverfahren, Lieferantenprüfung und regelmäßige Tests.

Unter Berücksichtigung der Verarbeitung unterstützt Verbrio den Kunden angemessen bei der Bearbeitung von Anträgen auf Ausübung der Rechte betroffener Personen. Verbrio leitet Anfragen zu personenbezogenen Kundendaten an den Kunden weiter und beantwortet sie nicht selbst, sofern der Kunde dies nicht anweist oder das Gesetz es verlangt.

Verbrio benachrichtigt den Kunden unverzüglich, nachdem es von einer Verletzung personenbezogener Daten mit Bezug zu personenbezogenen Kundendaten Kenntnis erlangt hat. Sobald Informationen vorliegen, beschreibt Verbrio die Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und Gegenmaßnahmen und unterstützt die Reaktion des Kunden angemessen. Die Meldung ist kein Schuldeingeständnis.

Verbrio unterstützt den Kunden außerdem angemessen bei seinen Pflichten nach den Artikeln 32 bis 36 DSGVO, einschließlich Sicherheitsbewertungen, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation. Leistungen außerhalb der Standardfunktionen des Dienstes können zu angemessenen Sätzen berechnet werden, sofern sie nicht durch einen Verstoß von Verbrio gegen diesen Vertrag verursacht wurden.

Anbieter und Übermittlungen

Die Verarbeitungsübersicht muss Unterauftragsverarbeiter, Verarbeitungsorte, Genehmigungsverfahren und anwendbare Übermittlungsvereinbarungen für die Dienstleistung benennen. Anbieteränderungen folgen dem Melde- und Widerspruchsverfahren dieses Auftragsverarbeitungsvertrags. Geprüfte Alternativen sind keine beauftragten Anbieter.

Der Kunde erteilt Verbrio eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Verbrio wählt Anbieter mit angemessenen Datenschutzgarantien aus, verpflichtet sie zu mindestens gleichwertigen Schutzpflichten wie in den relevanten Teilen dieses Vertrags und bleibt im gesetzlich vorgeschriebenen Umfang für ihre Leistung verantwortlich.

Der Kunde kann während der Mitteilungsfrist aus angemessenen Datenschutzgründen widersprechen. Die Parteien bemühen sich nach Treu und Glauben um eine praktikable Lösung. Ist keine Lösung möglich, kann der Kunde den betroffenen Dienst vor Wirksamwerden der Änderung ohne Kündigungsgebühr beenden; bereits erbrachte Leistungen bleiben zahlbar.

Verbrio übermittelt personenbezogene Kundendaten außerhalb des Europäischen Wirtschaftsraums nur auf dokumentierte Weisung des Kunden, einschließlich dieses Vertrags und der vom Kunden aktivierten Integrationen, und nur auf Grundlage eines rechtmäßigen Übermittlungsmechanismus. Das Verzeichnis der Unterauftragsverarbeiter nennt die relevanten Verarbeitungsorte.

Liegt kein Angemessenheitsbeschluss vor, setzt Verbrio Garantien wie die Standardvertragsklauseln der Europäischen Kommission und erforderlichenfalls zusätzliche Maßnahmen ein und unterstützt angemessen bei Übermittlungsbewertungen. Anwendbare Standardvertragsklauseln gehen widersprechenden Bestimmungen dieses Vertrags vor.

Die aktuellen Anbieter, ihre Rollen, Standorte und ihr Status sind im Verzeichnis der Unterauftragsverarbeiter. Verbrio informiert den Kontakt des Kundenkontos mindestens 30 Tage vor der Beauftragung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Ist dies wegen dringender rechtlicher oder sicherheitsbezogener Gründe nicht praktikabel, informiert Verbrio so früh wie vernünftigerweise möglich.

Unterstützung und Rechenschaft

Dieser Auftragsverarbeitungsvertrag regelt die Zusammenarbeit bei Anfragen zu personenbezogenen Daten, Sicherheitsbewertungen, Vorfallbehandlung und Nachweisen der vereinbarten Schutzmaßnahmen. Er legt fest, wie Informations- und Audit-Anfragen bearbeitet werden, einschließlich des Umfangs zusätzlicher Unterstützung.

Verbrio stellt Informationen bereit, die vernünftigerweise zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, etwa Sicherheitsdokumentation, Fragebögen, Zertifizierungen oder unabhängige Berichte. Der Kunde behandelt nicht öffentliche Informationen vertraulich und kann verfügbare Nachweise Dritter berücksichtigen, bevor er ein Audit verlangt.

Sind diese Informationen unzureichend, darf der Kunde einmal jährlich auf eigene Kosten durch einen unabhängigen, nicht konkurrierenden Prüfer ein Audit durchführen lassen, mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden oder Entstehung von Sicherheitsrisiken. Diese Beschränkungen gelten nicht, wenn eine Aufsichtsbehörde ein Audit verlangt, nach einer relevanten Verletzung oder bei begründeten Anhaltspunkten für einen wesentlichen Verstoß.

Rückgabe, Löschung und Abschluss

Die Verarbeitungsübersicht des Projekts muss festhalten, wie Kundendaten nach Abschluss der Arbeiten zurückgegeben oder gelöscht werden, einschließlich Kundenweisungen, Lieferformat, Beendigung von Zugängen, Handhabung von Sicherungskopien und erforderlicher Aufbewahrung. Der Zeitplan muss den vereinbarten Leistungsmodalitäten und geltenden Pflichten entsprechen.

Die Dienstleistungsbedingungen, dieser Auftragsverarbeitungsvertrag und die unterzeichnete Leistungsbeschreibung legen die anwendbaren Rückgabe- und Löschvereinbarungen fest. Exportfenster und Löschfristen hängen von den vereinbarten Leistungsmodalitäten ab.

Nach Ende des Dienstes kann der Kunde die Rückgabe über die verfügbaren Exportfunktionen oder die Löschung der personenbezogenen Kundendaten wählen. Sofern der Kunde keine frühere Löschung verlangt, hält Verbrio aktive Arbeitsbereichsdaten nach Vertragsende 30 Tage zum Export bereit. Der Kunde ist dafür verantwortlich, den Export in diesem Zeitraum abzuschließen. Anschließend löscht Verbrio die aktiven Arbeitsbereichsdaten.

Verschlüsselte Sicherungskopien bleiben geschützt, verfallen im Rahmen des Backup-Aufbewahrungszyklus von Verbrio und werden nur zur Notfallwiederherstellung eingespielt; nach einer Wiederherstellung wird der Löschprozess erneut angewendet. Verbrio darf nur Daten aufbewahren, deren Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben ist, und hält sie isoliert, zugriffsbeschränkt und ungenutzt für andere Zwecke.

Dieser Vertrag beginnt mit seiner Einbeziehung in die Vereinbarung der Parteien und gilt, bis Verbrio alle personenbezogenen Kundendaten wie oben beschrieben gelöscht hat. Wesentliche Änderungen werden nach den Änderungs- und Mitteilungsregeln der Bedingungen bekannt gegeben.

Für Fragen der Datenverarbeitung haben zunächst anwendbare Standardvertragsklauseln, danach dieser Vertrag und anschließend die Bedingungen oder Bestellung Vorrang. Die Haftungsbeschränkungen und Rechtsbehelfe der Bedingungen gelten auch für diesen Vertrag, soweit zwingendes Recht nichts anderes verlangt. Ebenso gelten die Bestimmungen der Bedingungen zu anwendbarem Recht und Gerichtsstand.

Kontakt

Senden Sie Datenschutzweisungen, Vorfallmeldungen, Einwände gegen Unterauftragsverarbeiter und Fragen zu diesem Vertrag an: