Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag regelt die Bearbeitung personenbezogener Daten, die die Gridvision Engineering GmbH („Gridvision“) bei der Erbringung der Gleeo-Dienste im Auftrag des Kunden vornimmt. Er ist Bestandteil der Business-Vereinbarung und gilt mit deren Annahme; einer gesonderten Unterzeichnung bedarf es nicht. Verantwortlicher im Sinne der Klauseln ist der Kunde, Auftragsverarbeiter ist Gridvision.

Der Vertrag besteht aus den Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021) im amtlichen Wortlaut und den Anhängen I bis IV. Die fakultative Klausel 5 wird nicht verwendet; in Klausel 7.7 gilt Option 2. Bei den Verweisen gilt jeweils die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung).

Für Kunden mit Sitz in der Schweiz gelten Verweise auf die Verordnung (EU) 2016/679 sinngemäss als Verweise auf das Bundesgesetz über den Datenschutz (DSG) und Verweise auf das Recht der Union oder eines Mitgliedstaats auch als Verweise auf das schweizerische Recht; zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Erhebt der Kunde gemäss Klausel 7.7 Einwände gegen eine angekündigte Änderung der Unterauftragsverarbeiter, kann er das Abonnement gemäss Ziffer 7.3 der Business-Vereinbarung auf den Zeitpunkt der Änderung kündigen.

Standardvertragsklauseln

ABSCHNITT I

Klausel 1
Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln“) soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sichergestellt werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2
Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3
Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4
Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 – fakultativ
Kopplungsklausel

Wird nicht verwendet.

ABSCHNITT II
PFLICHTEN DER PARTEIEN

Klausel 6
Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7
Pflichten der Parteien

7.1. Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3. Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4. Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5. Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten“), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6. Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7. Einsatz von Unterauftragsverarbeitern

a) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche – im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist – das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8. Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8
Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden „Datenschutz-Folgenabschätzung“), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;

2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft;

3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;

4) Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9
Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:

1) die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

2) die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

3) die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III
SCHLUSSBESTIMMUNGEN

Klausel 10
Verstöße gegen die Klauseln und Beendigung des Vertrags

a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche – unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 – den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn

1) der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde;

2) der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt;

3) der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I
Liste der Parteien

Verantwortlicher

Name: der Kunde, der der Business-Vereinbarung zugestimmt hat — Firma, wie bei der Bestellung angegeben

Anschrift: die bei der Bestellung angegebene Rechnungsadresse

Kontaktperson: die Administratorinnen und Administratoren des Abonnements, erreichbar über die im Konto hinterlegte E-Mail-Adresse; ein allfälliger Datenschutzbeauftragter des Kunden, sofern er Gridvision mitgeteilt wurde

Unterschrift und Beitrittsdatum: entfällt; der Kunde stimmt diesen Klauseln mit der Annahme der Business-Vereinbarung zu, massgebend ist das Datum der Annahme

Auftragsverarbeiter

Name: Gridvision Engineering GmbH, CHE-105.209.602

Anschrift: Erlifeldstrasse 29, 5035 Unterentfelden, Schweiz

Kontaktperson: Jan Linus Marty, info@gleeo.com; ein Datenschutzbeauftragter ist nicht benannt

Unterschrift und Beitrittsdatum: entfällt; Gridvision stimmt diesen Klauseln mit ihrer Veröffentlichung als Bestandteil der Business-Vereinbarung zu

ANHANG II
Beschreibung der Verarbeitung

Kategorien betroffener Personen

Mitarbeitende des Kunden und weitere Personen, die der Kunde in sein Abonnement aufnimmt oder in seine Domänen einlädt, etwa freie Mitarbeitende.

Kategorien personenbezogener Daten

Konto: E-Mail-Adresse, Vor- und Nachname (sofern erfasst), Sprache, Passwort-Hash, Zeitpunkt der letzten Anmeldung, App-Version
Abonnement und Berechtigungen: Zugehörigkeit zum Abonnement, Administratorrolle, Berechtigungen in den Domänen, Einladungen
Projektzeit: Beginn und Ende der Zeiteinträge, Zeitzone, Detailtext, Ort, Änderungsverlauf
Arbeitszeit (sofern das Arbeitszeitmodul genutzt wird): Arbeitszeiten, Ferien, bezahlte Abwesenheiten samt Abwesenheitstyp, Pensum und Zeitmodell, Salden, Freigaben
Technische Daten: Sitzungskennung, IP-Adressen in den Server-Protokollen

Nicht Gegenstand dieses Vertrags sind die Angaben aus der Bestellung (Firma, Rechnungsadresse, MWST-Nummer, E-Mail für die Rechnung) und die Korrespondenz mit Gridvision: Diese bearbeitet Gridvision als Verantwortlicher für die eigene Rechnungsstellung und den Support.

Sensible Daten und angewandte Garantien

Der Kunde legt die Bezeichnungen der Abwesenheitstypen selbst fest. Lautet eine Bezeichnung etwa „Krankheit“ oder „Unfall“, lassen die bezahlten Abwesenheiten zusammen mit Person und Datum Rückschlüsse auf die Gesundheit zu. Garantien:

Die Bezeichnungen der Abwesenheitstypen sind auf dem Server verschlüsselt gespeichert (AES-256-GCM); der Schlüssel liegt getrennt von Datenbank und Sicherungen.
Gridvision wertet diese Daten nicht aus, gibt sie nicht weiter und greift nur im Rahmen von Betrieb und Support auf Anfrage des Kunden darauf zu.
Zugang zu Server und Datenbank hat ausschliesslich eine Person (Anhang III).

Der Kunde erfasst in den Bezeichnungen und in Detailtexten nur den Grund einer Abwesenheit und keine Diagnosen oder weiteren Gesundheitsangaben (Ziffer 2.3 der Business-Vereinbarung).

Art der Verarbeitung

Speicherung auf den Servern von Gridvision, Synchronisation zwischen den Geräten und der Web-Anwendung, Berechnung von Salden und Warnungen der Arbeitszeit, Anzeige, Export, Sicherung und Löschung.

Zweck der Verarbeitung

Erbringung der Gleeo-Dienste für den Kunden: Erfassung und Auswertung von Projekt- und Arbeitszeiten, gemeinsame Nutzung der Daten im Team, Support auf Anfrage des Kunden.

Dauer der Verarbeitung

Für die Laufzeit des Abonnements, danach gemäss Ziffer 4.3 der Business-Vereinbarung (Löschung spätestens 24 Monate nach dem letzten Lebenszeichen). Der Kunde kann seine Daten jederzeit über die App oder die Web-Anwendung exportieren und Konten selbst löschen. Gelöschte Daten verschwinden innerhalb von höchstens 44 Tagen auch aus den Sicherungen; Server-Protokolle werden nach 30 Tagen gelöscht.

Verarbeitung durch Unterauftragsverarbeiter

Gegenstand, Art und Dauer der Verarbeitung durch die Unterauftragsverarbeiter sind in Anhang IV beschrieben.

ANHANG III
Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten

Verschlüsselung

Ende-zu-Ende: Projekt- und Task-Namen samt Zusatzfeldern, Detailtexte und Orte der Zeiteinträge werden in der App bzw. im Browser mit AES-256 verschlüsselt, bevor sie den Server erreichen. Das Domänen-Passwort verlässt die Geräte nie und ist Gridvision nicht bekannt.
Auf dem Server: Vor- und Nachnamen sowie die Bezeichnungen der Abwesenheitstypen werden mit AES-256-GCM verschlüsselt gespeichert. Der Schlüssel liegt in einer eigenen Datei ausserhalb von Datenbank und Sicherungen.
Sicherungen werden vor dem Verlassen des Servers verschlüsselt (age).
Nicht verschlüsselt sind E-Mail-Adressen, Domänen-Namen, alle Zeit- und Datumsangaben sowie die Arbeitszeitdaten: Der Dienst braucht sie, um zuzuordnen und zu rechnen. Die Festplatte des Servers ist nicht verschlüsselt; ein Schlüssel müsste auf derselben Maschine liegen und schützte damit nicht gegen den Angreifer, der zählt.

Schutz während der Übermittlung

Alle Verbindungen von aussen laufen über HTTPS (TLS, HSTS). Die Anwendungsdienste sind nur über die Loopback-Schnittstelle des Servers erreichbar; die Daten verlassen die Maschine zwischen Webserver, Anwendung und Datenbank nicht.
E-Mails werden über einen eigenen Mailserver verschickt, der die Anmeldung nur über eine verschlüsselte Verbindung (STARTTLS) zulässt; SPF, DKIM und DMARC sind eingerichtet.

Schutz während der Speicherung und physische Sicherheit

Server und Datenbank stehen im Rechenzentrum der Hetzner Online GmbH in Deutschland (ISO 27001, BSI C5 Typ 2, jährliche externe Prüfung der Massnahmen).
Von aussen sind nur die Ports für HTTP, HTTPS und SSH offen (Firewall). Die Datenbank ist nur lokal erreichbar und durch ein eigenes Passwort geschützt, das nur für den Systemverwalter lesbar ist.

Identifizierung und Autorisierung der Benutzer

Anmeldung mit Google oder Apple (über Firebase Authentication, Token mit Signaturprüfung) oder mit E-Mail-Adresse und Passwort; Passwörter werden nur als Hash (BCrypt) gespeichert.
Codes für Registrierung und Passwort-Reset gehen nur per E-Mail hinaus, gelten 15 Minuten und sind in der Zahl der Anforderungen und Fehlversuche begrenzt. Eine fehlgeschlagene Anmeldung gibt für eine unbekannte Adresse und ein falsches Passwort dieselbe Meldung aus.
Sitzungs-Cookie mit den Attributen Secure, HttpOnly und SameSite, Ablauf nach 30 Tagen ohne Nutzung.
Berechtigungen je Domäne (Eigentümer, Administrator, Bearbeiten aller Einträge, Einsehen aller Einträge, nur eigene Einträge); sie vergibt der Kunde selbst.

Zugang des Auftragsverarbeiters

Zugang zu Server und Datenbank hat ausschliesslich eine Person. SSH ist nur mit Schlüssel möglich, nicht mit Passwort.
Das Wartungswerkzeug der Web-Anwendung ist nur nach einer Anmeldung mit Google und damit mit zweitem Faktor zugänglich; in einer Übernahme zu Supportzwecken sind schreibende Zugriffe gesperrt.

Verfügbarkeit und Wiederherstellung

Tägliche Vollsicherung der Datenbank, verschlüsselt auf einen zweiten Server in der Schweiz übertragen; Aufbewahrung 30 Tage plus höchstens 14 Tage Versionsverlauf.
Die Wiederherstellung wird regelmässig durchgeführt und dauert höchstens 15 Minuten.

Systemkonfiguration, Überprüfung und Protokollierung

Sicherheitsupdates des Betriebssystems werden täglich automatisch eingespielt.
Die Sicherheitsfunktionen der Anmeldung sind durch automatisierte Tests abgedeckt, darunter die Abweisung gefälschter Anmelde-Tokens.
Zugriffs- und Anwendungsprotokolle werden 30 Tage aufbewahrt; Passwörter und Anmelde-Tokens werden nicht protokolliert.

Datenminimierung und begrenzte Speicherung

Keine Analyse-, Tracking- oder Werbedienste. Externe Dienste (Google Maps, Anmeldung mit Apple) werden in der Web-Anwendung erst geladen, wenn die Funktion benutzt wird.
Ruhende Konten werden automatisch gelöscht (Ziffer 4.3 der Business-Vereinbarung); die Löschung wird 30 Tage vorher angekündigt, mit einer Erinnerung 7 Tage vorher.

Datenübertragbarkeit und Löschung

Export aller Zeiteinträge als CSV jederzeit aus der App und der Web-Anwendung.
Konten lassen sich in der App jederzeit selbst löschen, samt allen Daten auf dem Server. Entfernt der Kunde einen Benutzer aus dem Abonnement, bleiben die dem Abonnement zuzurechnenden Daten beim Kunden (Ziffer 4.4 der Business-Vereinbarung).

Unterstützung des Verantwortlichen

Anträge betroffener Personen leitet Gridvision unverzüglich an die Administratoren des Abonnements weiter. Auskunft, Berichtigung, Export und Löschung kann der Kunde in der App und der Web-Anwendung grösstenteils selbst vornehmen; im Übrigen unterstützt Gridvision auf Anfrage.
Eine Verletzung des Schutzes personenbezogener Daten meldet Gridvision unverzüglich per E-Mail an die Administratoren des Abonnements, mit den Angaben nach Klausel 9.2; Kontaktstelle ist info@gleeo.com. Der Ablauf dafür ist festgelegt, und jeder Vorfall wird in einem Register festgehalten.
Bei Unterauftragsverarbeitern stellt deren eigener Auftragsverarbeitungsvertrag die Unterstützung sicher; beigezogen werden nur Anbieter, die einen solchen samt EU-Standardvertragsklauseln anbieten.

ANHANG IV
Liste der Unterauftragsverarbeiter

Dies ist die vereinbarte Liste im Sinne von Klausel 7.7 Buchstabe a (Option 2). Änderungen kündigt Gridvision gemäss Ziffer 7.3 der Business-Vereinbarung mindestens 30 Tage im Voraus an.

1. Hetzner Online GmbH

Anschrift: Industriestr. 25, 91710 Gunzenhausen, Deutschland; Kontakt: dataprotection@hetzner.com

Verarbeitung: Bereitstellung von Server, Datenbank und Website sowie des Mailservers für den Versand. Alle im Sync&Team Service gespeicherten Daten liegen dort, teils verschlüsselt. Verarbeitung ausschliesslich in Deutschland, für die Laufzeit des Vertrags.

2. Google Ireland Limited / Google LLC

Anschrift: Gordon House, Barrow Street, Dublin 4, Irland / 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA

Verarbeitung: Firebase Authentication und Google Sign-In für die Anmeldung mit Google oder Apple (E-Mail-Adresse, Konto-Kennung, Anmelde-Token, IP-Adresse); Google Play für Kauf und Prüfung des Abonnements; Google Maps für die Kartenanzeige, nur während eine Karte geöffnet ist; Google Drive für die optionale Sicherung der App, nur wenn der Benutzer sie einschaltet, in dessen eigenes Konto. Zeiteinträge, Arbeitszeitdaten sowie Projekt- und Task-Namen werden — ausser bei der Sicherung auf Google Drive — nicht übermittelt. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln. Dauer: jeweils für die Nutzung der Funktion.

3. Apple Distribution International Ltd. / Apple Inc.

Anschrift: Hollyhill Industrial Estate, Hollyhill, Cork, Irland / One Apple Park Way, Cupertino, CA 95014, USA

Verarbeitung: „Mit Apple anmelden“ (E-Mail-Adresse, Konto-Kennung, Anmelde-Token, IP-Adresse), nur bei dieser Art der Anmeldung; App Store für Kauf und Prüfung des Abonnements. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln. Dauer: jeweils für die Nutzung der Funktion.