Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("DPA") ist die von Ibrave Software Engineering ("Auftragsverarbeiter", "wir", "unser") angebotene Vorlage für jeden Kunden ("Verantwortlicher"), dessen Zusammenarbeit mit uns die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen umfasst. Der DPA wird als Teil des zwischen den Parteien unterzeichneten Master Services Agreement (MSA) oder Statement of Work (SOW) geschlossen und bildet eine integrale Anlage dazu.

Diese Vorlage soll die Anforderungen von Artikel 28 der EU-Datenschutz-Grundverordnung (GDPR / DSGVO) sowie der UK GDPR erfüllen. Um einen DPA abzuschließen, kontaktieren Sie uns unter hello@ibrave.co mit den Angaben zu Ihrer Einrichtung, und wir stellen Ihnen ein gegengezeichnetes Exemplar bereit, das auf Ihre Zusammenarbeit zugeschnitten ist.

1. Begriffsbestimmungen

Groß geschriebene Begriffe, die in diesem DPA verwendet, aber nicht definiert werden, haben die Bedeutung, die ihnen im anwendbaren Datenschutzrecht zugewiesen wird. Für die Zwecke dieses DPA gilt:

• Datenschutzrecht bezeichnet die EU-Datenschutz-Grundverordnung (Verordnung 2016/679, "GDPR"), die UK GDPR im Sinne von section 3 des Data Protection Act 2018 sowie jedes andere anwendbare Recht betreffend die Verarbeitung personenbezogener Daten.
• Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person und Aufsichtsbehörde haben die in der GDPR angegebene Bedeutung.
• Unterauftragsverarbeiter bezeichnet jeden Dritten, der vom Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen beauftragt wird.
• SCCs bezeichnet die Standardvertragsklauseln der Europäischen Kommission für die Übermittlung personenbezogener Daten in Drittländer, angenommen durch den Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021.
• UK IDTA bezeichnet das United Kingdom International Data Transfer Addendum zu den SCCs der EU-Kommission, erlassen gemäß section 119A des Data Protection Act 2018.

2. Anwendungsbereich und Rollen

Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten in seinem Auftrag im Zusammenhang mit den im MSA oder SOW beschriebenen Leistungen. In Bezug auf diese Verarbeitung ist der Verantwortliche der Verantwortliche und der Auftragsverarbeiter der Auftragsverarbeiter.

3. Gegenstand, Art, Zweck und Dauer

Gegenstand, Art, Zweck, Dauer, Kategorien personenbezogener Daten und Kategorien betroffener Personen sind in Anlage 1 festgelegt.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf Übermittlungen, es sei denn, er ist durch anwendbares Recht zu einer anderen Vorgehensweise verpflichtet (in diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet).
2. gewährleisten, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
3. die in Anlage 4 dargelegten technischen und organisatorischen Maßnahmen umsetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, im Einklang mit Artikel 32 GDPR.
4. Unterauftragsverarbeiter nur in Übereinstimmung mit dem nachstehenden Abschnitt 5 beauftragen.
5. unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen nach Möglichkeit dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Person (Artikel 12 bis 23 GDPR) nachzukommen.
6. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten des Verantwortlichen gemäß Artikel 32 bis 36 GDPR (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörden) unterstützen.
7. nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung der Leistungen an den Verantwortlichen löschen oder zurückgeben und vorhandene Kopien löschen, es sei denn, das anwendbare Recht schreibt die Speicherung der personenbezogenen Daten vor.
8. dem Verantwortlichen alle Informationen zur Verfügung stellen, die erforderlich sind, um die Einhaltung dieses DPA und des Artikels 28 GDPR nachzuweisen, und Überprüfungen, einschließlich Inspektionen, ermöglichen und dazu beitragen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden, vorbehaltlich angemessener Ankündigung und Vertraulichkeitsverpflichtungen.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 2 aufgeführten Unterauftragsverarbeiter zu beauftragen. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen mindestens vierzehn (14) Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen damit die Möglichkeit, aus berechtigten Gründen Einspruch zu erheben. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem DPA festgelegten.

6. Internationale Datenübermittlungen

Soweit der Auftragsverarbeiter oder ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) oder des Vereinigten Königreichs verarbeitet, stützen sich die Parteien auf einen geeigneten Übermittlungsmechanismus gemäß Kapitel V GDPR. Soweit erforderlich, werden die SCCs (Modul Zwei: Verantwortlicher-an-Auftragsverarbeiter) durch Verweis in diesen DPA aufgenommen und gelten für solche Übermittlungen. Übermittlungen in das oder aus dem Vereinigten Königreich unterliegen zusätzlich dem UK IDTA. Eine Übersicht der Übermittlungsziele ist in Anlage 3 enthalten.

7. Sicherheit

Der Auftragsverarbeiter unterhält die in Anlage 4 beschriebenen technischen und organisatorischen Maßnahmen. Diese Maßnahmen werden regelmäßig überprüft und aktualisiert, um Änderungen des Risikos, der Technologie und der anwendbaren Leitlinien Rechnung zu tragen.

8. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, in jedem Fall jedoch innerhalb von zweiundsiebzig (72) Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die personenbezogenen Daten des Verantwortlichen betrifft. Die Benachrichtigung umfasst, soweit zum jeweiligen Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die zur Behebung ergriffenen oder vorgeschlagenen Maßnahmen.

9. Haftung

Die Haftung jeder Partei, die sich aus oder im Zusammenhang mit diesem DPA ergibt, richtet sich nach den Haftungs- und Freistellungsbestimmungen des MSA, mit der Ausnahme, dass keine dieser Bestimmungen die Haftung einer Partei für eine Verletzung dieses DPA beschränkt oder ausschließt, soweit das anwendbare Recht eine solche Beschränkung nicht zulässt, einschließlich, aber nicht beschränkt auf Artikel 82 GDPR.

10. Laufzeit und Kündigung

Dieser DPA tritt an dem Tag in Kraft, an dem das MSA oder SOW von beiden Parteien unterzeichnet wird, und bleibt für die Laufzeit des MSA oder SOW in Kraft. Die Pflichten des Auftragsverarbeiters gemäß Abschnitt 4(g) und 4(h) bestehen nach Beendigung fort.

11. Rangfolge

Im Falle eines Widerspruchs zwischen diesem DPA und dem MSA oder SOW in Bezug auf die Verarbeitung personenbezogener Daten hat dieser DPA Vorrang. Die SCCs und der UK IDTA haben, soweit sie Anwendung finden, Vorrang vor widersprechenden Bestimmungen dieses DPA.

12. Anwendbares Recht

Dieser DPA unterliegt dem im MSA angegebenen Recht. Streitigkeiten unterliegen der im MSA angegebenen Gerichtsbarkeit.

Anlage 1. Einzelheiten der Verarbeitung

• Gegenstand und Dauer: wie im MSA oder SOW festgelegt, für die Laufzeit der Zusammenarbeit.
• Art und Zweck der Verarbeitung: Erbringung der im MSA oder SOW beschriebenen Leistungen, einschließlich Entwicklung, Test, Bereitstellung, Support und Betrieb von Softwaresystemen im Auftrag des Verantwortlichen.
• Kategorien personenbezogener Daten: Identifikationsdaten (Namen, E-Mail-Adressen, Telefonnummern), berufliche Daten (Berufsbezeichnungen, Arbeitgeber), gegebenenfalls Authentifizierungsdaten sowie alle weiteren Kategorien personenbezogener Daten, die der Verantwortliche über die Leistungen zu verarbeiten wählt. Besondere Kategorien personenbezogener Daten (Artikel 9 GDPR) werden nicht verarbeitet, sofern dies nicht ausdrücklich im MSA oder SOW vereinbart ist.
• Kategorien betroffener Personen: die Endnutzer, Kunden, Mitarbeiter, Auftragnehmer des Verantwortlichen sowie alle sonstigen Personen, deren personenbezogene Daten über die Leistungen verarbeitet werden.

Anlage 2. Unterauftragsverarbeiter

Die aktuelle Liste der zugelassenen Unterauftragsverarbeiter, die zur Erbringung unserer Leistungen eingesetzt werden, lautet:

• Vercel Inc. (Vereinigte Staaten): Hosting von Website und API, Anfragen-Routing, Edge-Funktionen.
• Resend, Inc. (Vereinigte Staaten): Zustellung transaktionaler E-Mails für Kontaktformular-Übermittlungen und Benachrichtigungen.
• Supabase, Inc. (Vereinigte Staaten / EU-Regionen): Datenbank, Authentifizierung und Speicherung, soweit von der Zusammenarbeit genutzt.

Zusammenarbeitsspezifische Unterauftragsverarbeiter (zum Beispiel ein vom Verantwortlichen angeforderter Cloud-Anbieter oder ein Analysewerkzeug) sind im jeweiligen SOW aufgeführt. Der Auftragsverarbeiter hält diese Anlage auf dem aktuellen Stand und benachrichtigt den Verantwortlichen über Änderungen gemäß Abschnitt 5.

Anlage 3. Internationale Datenübermittlungen

Der Auftragsverarbeiter ist von einem einzigen Büro in Addis Abeba, Äthiopien, aus tätig. Die in Anlage 2 aufgeführten Unterauftragsverarbeiter sind in den Vereinigten Staaten ansässig und können personenbezogene Daten in den Vereinigten Staaten, der Europäischen Union oder anderen Rechtsordnungen speichern oder verarbeiten, abhängig von der für die Zusammenarbeit gewählten Region.

Für Übermittlungen aus dem EWR gelten die SCCs (Modul Zwei). Für Übermittlungen aus dem Vereinigten Königreich gilt der UK IDTA. Für Übermittlungen in oder Verarbeitung in Rechtsordnungen, die von einem EU-Angemessenheitsbeschluss profitieren, gilt der Angemessenheitsbeschluss, und die SCCs sind nicht erforderlich.

Anlage 4. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter unterhält die folgenden Maßnahmen, die überprüft und aktualisiert werden, während sich die Zusammenarbeit weiterentwickelt:

• Transportverschlüsselung: alle zwischen Systemen übertragenen Daten werden mittels HTTPS / TLS verschlüsselt.
• Zugriffskontrollen: rollenbasierte Zugriffskontrolle nach dem Prinzip der geringsten Rechte; Zugriff wird regelmäßig überprüft und bei Personaländerungen entzogen.
• Authentifizierung: Mehr-Faktor-Authentifizierung ist für den administrativen Zugriff auf Systeme erforderlich, die personenbezogene Daten enthalten.
• Audit-Protokollierung: System- und Anwendungsprotokolle, die sicherheitsrelevante Ereignisse aufzeichnen und für einen dem Risiko angemessenen Zeitraum aufbewahrt werden.
• Verwaltete Cloud-Infrastruktur: Leistungen, die bei etablierten Cloud-Anbietern gehostet werden, die branchenübliche Zertifizierungen unterhalten, die der Arbeitslast angemessen sind.
• Software-Lieferkette: Scannen von Abhängigkeiten und zeitnahe Anwendung von Sicherheitsupdates.
• Vertraulichkeit: alle Personen mit Zugriff auf personenbezogene Daten sind durch schriftliche Vertraulichkeitsverpflichtungen gebunden.
• Reaktion auf Vorfälle: dokumentiertes Verfahren zur Erkennung, Eindämmung, Behebung und Meldung von Sicherheitsvorfällen.

Um diesen DPA für Ihre Zusammenarbeit abzuschließen, senden Sie eine E-Mail an hello@ibrave.co mit Ihrem Firmennamen, Ihrer eingetragenen Anschrift und dem relevanten MSA- oder SOW-Verweis. Wir senden Ihnen ein gegengezeichnetes Exemplar und eine ausgefüllte Anlage 2 zurück, die auf Ihre Zusammenarbeit zugeschnitten ist.