Auftragsverarbeitung

Dieser Vertrag gilt zwischen dem Kunden („Verantwortlicher“) und Tobias Witte („Auftragsverarbeiter“) für die Verarbeitung personenbezogener Daten nach Art. 28 DSGVO, die der Auftragsverarbeiter beim Betrieb von Maklerpult für den Verantwortlichen erbringt. Er ergänzt die AGB.

1 · Gegenstand und Dauer

Gegenstand ist der Betrieb von Maklerpult als Software über das Internet. Der Vertrag läuft, solange der Hauptvertrag läuft, und endet mit ihm.

2 · Art und Zweck der Verarbeitung

Speichern, Ordnen, Auslesen, Verändern und Löschen der Daten, die der Verantwortliche in Maklerpult einträgt, zu dem Zweck, ihm die Arbeit mit Aufgaben, Wiedervorlagen, Checklisten und Kundenkontakten zu ermöglichen. Eine Nutzung für eigene Zwecke findet nicht statt.

3 · Art der Daten und Kreis der Betroffenen

Arten: Name, Telefonnummern, E-Mail-Adresse und Kundentyp der Kunden des Verantwortlichen; Titel, Beschreibungen, Notizen, Checklistenpunkte, Fristen und Anhänge, die der Verantwortliche anlegt; Name, E-Mail-Adresse, Rolle, Einstellungen und Anmeldedaten der Personen, die für ihn arbeiten.

Betroffene: Kunden und Interessenten des Verantwortlichen, seine Beschäftigten und seine externen Partner.

4 · Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das mit und darf sie bis zur Bestätigung aussetzen.

Die Einrichtung des Büros und die Einstellungen, die der Verantwortliche in Maklerpult vornimmt, gelten als Weisung.

5 · Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und über die Pflichten aus der DSGVO unterrichtet.

6 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Trennung: Jedes Büro hat eine eigene Datenbank und eine eigene Dateiablage unter einer eigenen Adresse. Kein Weg macht Daten eines Büros in einem anderen sichtbar.
• Zugriffsbegrenzung im Büro: Aufgaben sind nur auf eigenen und ausdrücklich geteilten Brettern sichtbar; diese Regel gilt an einer Stelle für Liste, Suche, Export, Auswertung, Detailansicht und Anhänge. Eine fremde Adresse antwortet mit „nicht gefunden“, nicht mit „kein Zugriff“.
• Zugangskontrolle: Passwort und zweiter Faktor für alle Zugänge, ohne Möglichkeit, den Faktor abzuschalten. Eingeladene Zugänge werden über einen signierten, einmal gültigen Link eingerichtet.
• Übertragung: TLS für alle Verbindungen; eine unverschlüsselte Verbindung wird auf die verschlüsselte umgeleitet.
• Datensparsamkeit: Zum Kunden gibt es nur wenige feste Felder; Mails, Push-Nachrichten und Protokolle enthalten keine Kundendaten.
• Protokollierung: Anmeldungen und sicherheitsrelevante Vorgänge werden mit Kennung, Benutzer-ID, Zeitpunkt und bei Anmeldungen der IP-Adresse protokolliert und nach 90 Tagen gelöscht.
• Verfügbarkeit: Tägliche Sicherung aller Datenbanken und Dateiablagen, vor der Ablage verschlüsselt (AES-256-GCM); Aufbewahrung höchstens vier Wochen; das Einspielen einer Sicherung wird mit Zählwerten geprüft.
• Server: Betrieb in Deutschland, getrennte Dienste für Anwendung, Hintergrundarbeit und Datenbank, kein Dienst läuft mit Administratorrechten.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau erhalten bleibt.

7 · Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• Server der Anwendung und der Datenbanken: netcup GmbH, Deutschland
• Postfächer, Versand der Mails und DNS: Hetzner Online GmbH, Deutschland

Wechsel oder Hinzukommen teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er zum Wirksamwerden kündigen.

8 · Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei der Datenschutz-Folgenabschätzung und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten. Wird ihm eine solche Verletzung bekannt, meldet er sie dem Verantwortlichen unverzüglich mit allen Angaben, die dieser für seine eigene Meldung braucht.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage weiter und beantwortet sie nicht selbst.

9 · Löschung und Rückgabe

Nach dem Ende des Vertrags stellt der Auftragsverarbeiter die Daten 30 Tage lang zum Export bereit und löscht danach alle Daten einschließlich der Sicherungen, sobald deren Aufbewahrungszeit abgelaufen ist.

10 · Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage in Textform nach. Der Verantwortliche kann sich nach Ankündigung mit angemessener Frist, höchstens einmal im Jahr und ohne Störung des Betriebs von der Einhaltung überzeugen.