Source: https://responsive.previews.myconvento.com/public/index/page/content/privacy_policy
Timestamp: 2018-01-23 01:37:53+00:00

Document:
Datenschutzerklärung der Convento GmbH, Neuss, zu myconvento
Die Convento GmbH (im Folgenden „Convento“) verarbeitet persönliche Daten, die die Auftraggeber (im folgenden „Kunden“) im Rahmen des erteilten Auftrages zur Nutzung in myconvento zur Verfügung stellen. Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Konkret: Adress- und Kommunikationsdaten zu Journalisten, Bloggern, sonstigen „Influencern“ des Auftraggebers, und Verlagen. Convento achtet das Recht und Eigentum der Kunden an ihren Daten sowie den Schutz der Privatsphäre der Betroffenen und verpflichtet sich, alles Notwendige zu tun, um diesem Anspruch gerecht zu werden.
Die Verarbeitung und Speicherung der Kundendaten erfolgt ausschließlich im Gebiet der Bundesrepublik Deutschland. Seit 2015 betreibt Convento die Kundensysteme in einem spezialisierten und nach ISO 27001 zertifizierten Rechenzentrum in D-40472 Düsseldorf bei der myloc managed IT AG(www.myloc.de).
Convento nutzt die Daten, die sie von ihren Kunden erhält, grundsätzlich nicht, sondern stellt sie nur für den jeweiligen Kunden auf der im Rechenzentrum der myLoc managed IT AG [Zertifiziertes Rechenzentrum nach ISO 27001], Am Gatherhof 44, D-40472 Düsseldorf, gemieteten Serverfarm zur Verfügung, oder integriert die Daten in die Kunden-Datenbank, wo sie dann dem Kunden exklusiv zur Verfügung stehen. Soweit Convento Teile der erhaltenen Aufträge –im Übrigen ausschließlich nur nach vorheriger schriftlicher Genehmigung durch den Kunden - an Subunternehmer vergibt, stellt sie sicher, dass dort die gleichen Anforderungen an den Datenschutz und die Datensicherheit gewährleistet sind wie bei ihr selbst. Dem Kunden werden dabei gegenüber dem Subunternehmen die gleichen Prüfungs- und Kontrollrechte eingeräumt, wie sie gegenüber Convento bestehen.
Erhebungen oder Übermittlungen persönlicher Daten an staatliche Einrichtungen und Behörden erfolgen nur im Rahmen gültiger Rechtsvorschriften. Dienstleister, die im Einflussbereich des US-Patriots-Act und USA Freedom Act liegen, werden von Convento nicht genutzt.
Der Kunde ist dabei die „verantwortliche Stelle“ im Sinne § 3 Abs. 7 BDSG. Er trägt damit die Verantwortung für die Zulässigkeit der an Convento übertragenen Aufgaben und für die Wahrung der Rechte der Betroffenen.
Der Kunde löscht einen Zugang zu myconvento („User-Account“), der für einen Anwender nicht mehr zur Verfügung stehen soll, umgehend. Stellt der Kunde bei der Auftragsdurchführung oder den Auftragsergebnissen Fehler fest, so benachrichtigt er Convento unverzüglich.
Der Kunde benennt einen verantwortlichen Ansprechpartner, der Weisungen erteilen und Entscheidungen für alle Belange des Auftrags treffen oder zeitnah herbeiführen kann. Dieser Ansprechpartner sorgt dafür, dass die myconvento Anwender beim Kunden diese Erklärung kennen und einhalten.
Jeder Anwender erhält persönliche Zugangsdaten (Usernamen und Passwort) für die Einwahl ins myconvento-System. Änderungen einzelner Anwender an den myconvento-Daten sind somit nachvollziehbar. Der Administrator des Kunden legt dabei fest, welcher Anwender myconvento nutzen darf. Die Anwender werden angehalten, keine ausspähbaren Passwörter zu verwenden, und möglichst keine Notizen zu Ihren Passwörtern mit zu führen.
Convento verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach schriftlichen Weisungen des Kunden und verwendet die überlassenen Daten für keine anderen Zwecke. Kopien oder Duplikate werden ohne Wissen des Kunden nicht erstellt.
Convento pflegt im Allgemeinen keine Daten für den Kunden. Convento ist daher nicht verpflichtet, eine ausführliche Dokumentation der Datenverarbeitung zu führen, anhand derer der Kunde den Nachweis über die ordnungsmäßige Durchführung der Datenverarbeitung führen kann. Convento wird nur auf besondere und schriftliche Anweisung des Kunden Daten bearbeiten, insbesondere für den Datenimport und / oder Datenexport und bei einer möglichen Wiederherstellung einer vom Kunden gewünschten Datensicherung. Nur und ausschließlich in diesen Fällen führt Convento eine einfache Dokumentation der Datenverarbeitung. Im Rahmen einer Zeiterfassung wird dann dokumentiert welcher Mitarbeiter welche Daten welches Kunden wann angeschaut oder bearbeitet hat. Convento wird diese Dokumentation langfristig speichern.
Convento behandelt die Daten im Einklang mit den Bestimmungen des Bundesdatenschutzgesetzes (BDSG), des Telemediengesetzes (TMG), des Telekommunikationsgesetzes (TKG), ab dem 25. Mai 2018 der Datenschutz-Grundverordnung (DSGVO)der Europäischen Union sowie ggf. weiterer Vorschriften des Datenschutzes. Auf Wunsch stellt Convento dem Kunden die Angaben nach § 4 g Abs. 2 Satz 1 BDSG(Übersicht meldepflichtiger Verfahren nach § 4 e und zugriffsberechtigte Personen) zur Verfügung.
Um personenbezogene Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder den Zugriff durch unberechtigte Personen bestmöglich zu schützen, setzt Convento Technische und organisatorische Maßnahmen (TOM) gem. § 9 Satz 1 BDSG ein. Gemäß der technischen Entwicklung verbessern wir diese Maßnahmen kontinuierlich.
Alle Mitarbeiter, Lieferanten und Partner von Convento sind nach § 5 BDSG auf das Datengeheimnis verpflichtet.
Sollte das Eigentum des Kunden bei Convento durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so wird Convento den Kunden unverzüglich verständigen.
Convento gewährt dem Kunden oder einem von ihm benannten Prüfer im Rahmen der Auftragskontrolle gemäß Ziff. 6 der Anlage nach § 9 Satz 1 BDSG bei Bedarf ungehinderten Zugang zu ihren Geschäftsräumen. Wir ermöglichen dieser Person die Einsichtnahme in die für den Kunden oder im Zusammenhang mit dem Auftrag gespeicherten Daten, die Überprüfung der verwendeten Programmabläufe, sich dabei auch von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
Hierzu bieten wir den Prüfern einen Zugang an, der dem Zugang des betreffenden Kunden entspricht. Falls der Kunde ausnahmsweise die Verarbeitung von Daten in Privatwohnungen gestattet, stellt Convento sicher, dass die vorgenannten Kontrollen auch in diesen Wohnungen durchgeführt werden können. Convento sichert zu, dass das Einverständnis aller Bewohner dieser Privatwohnungen mit dieser Regelung vorliegt.
Personen, deren Daten Convento auf ihren Systemen speichert, gleich ob sie durch unsere Kunden oder von uns erhoben wurden, sind berechtigt, unentgeltlich Auskunft über die sie betreffenden Daten zu erhalten.
Die betroffenen Personenkreise sind üblicherweise Journalisten, Blogger, sonstigen „Influencer“ des Kunden und / oder sonstige Ansprechpartner der Öffentlichkeitsarbeit, zum Beispiel Kunden, Interessenten, Beschäftigte i. S. d. § 3 Abs. 11 BDSG, Abonnenten, Lieferanten, Handelsvertreter oder auch Aktionäre. Die betroffene Person hat das Recht auf Berichtigung, Löschung oder Sperrung ihrer in myconvento gespeicherten Daten. Sofern Convento Daten von seinen Kunden übergeben wurden, leitet Convento diese sowie die Reklamation unverzüglich weiter. Alternativ kann der Kunde Convento schriftlich sein Einverständnis zur entsprechenden Bearbeitung der Daten der Betroffenen erteilen.
Erteilt der Kunde im Rahmen seines Auftrages an Convento Weisungen, die möglicherweise gegen das Bundesdatenschutzgesetz verstoßen, so wird Convento den Kunden darauf hinweisen und kann die Durchführung der Weisung bis zur Klärung aussetzen.
Falls der Kunde die Einhaltung von Maßnahmen zu Datenschutz und Datensicherheit - selbst oder durch Dritte - kontrolliert, so ist Convento berechtigt, dabei entstehenden Aufwand zu den bei Convento üblichen Stundensätzen je angefangene Stunde in Rechnung zu stellen. Prüfungen mittels User-Account sind selbstverständlich kostenlos.
Datenschutzbeauftragte (siehe unten) über die einzuhaltenden Pflichten nach dem BDSG und anderen gesetzlichen Bestimmungen. Convento sorgt dafür, dass die Maßnahmen gemäß der Anlage zu § 9 Satz 1 BDSG im laufenden Betrieb eingehalten und dokumentiert und auf Wunsch dem Kunden verfügbar gemacht werden. Das gilt auch für die mit dem Kunden vereinbarten Maßnahmen für den Austausch, die Bereitstellung, die Verarbeitung, die Haltung, die Ausgabe und den Versand der Daten.
Zum Nachweis der getroffenen technischen und organisatorischen Maßnahmen stellt Convento dem Kunden alle vorhandenen geeigneten Unterlagen, Protokolle und Berichte – auch unabhängiger Instanzen – zur Verfügung. Convento behält sich vor, dem technischen und organisatorischen Fortschritt entsprechende Maßnahmen einzusetzen, die mindestens die gleichen Anforderungen an Datenschutz und Datensicherheit erfüllen wie die in der Anlage genannten.
Eine genau festgelegte Nachrichtenkette sorgt bei Kontrollhandlungen, Maßnahmen und Ermittlungen nach den § 38, 43, 44 BDSG für unverzügliche Information des Kunden. Ebenso informiert Convento den Kunden unverzüglich bei etwaigen Verstößen gegen Vorschriften zum Schutz personenbezogener Daten des Kunden (z. B. nach § 42a BDSG) oder gegen die im Auftrag getroffenen Festlegungen durch ihn selbst oder die bei ihm beschäftigten Personen, ebenso wie bei gravierenden Störungen des Betriebsablaufes. Dies gilt auch schon bei einem bloßen Verdacht auf solche Vorkommnisse.
Convento informiert in folgenden Fällen, unabhängig vom Grund und auch schon im Verdachtsfall:
wenn in § 42a BDSG genannte Daten bei Convento abhandengekommen sind
wenn Dritte möglicherweise unrechtmäßig von diesen Daten Kenntnis erlangt haben
Convento haftet nach den gesetzlichen Bestimmungen gegenüber dem Kunden für Schäden, die ihre Mitarbeiter oder die von ihr mit der Vertragsdurchführung Beauftragten bei der Erbringung der Leistung vorsätzlich oder grob fahrlässig verursachen. Der Schaden ist vom Kunden nachzuweisen. Bei fahrlässig verursachten Sach- und Vermögensschäden haften Convento und seine Erfüllungsgehilfen nur bei der Verletzung einer wesentlichen Vertragspflicht, jedoch der Höhe nach beschränkt auf die bei Vertragsschluss vorhersehbaren und vertragstypischen Schäden. Die Handlung eines Convento Mitarbeiters kann nur einen Schadensfall begründen.
Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Vorschriften für den Datenschutz unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Kunde gegenüber dem Betroffenen verantwortlich. Soweit der Kunde zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff auf Convento vorbehalten
Mit dem Ende des Auftragsverhältnisses gibt Convento alle in ihrem Besitz befindlichen Unterlagen des Kunden und mit dem Auftrag in Zusammenhang stehenden Dateien, Datenträger und Dokumente an den Kunden zurück oder entsorgt sie mit seinem Einverständnis datenschutzgerecht. Convento bestätigt anschließend die datenschutzgerechte Löschung oder Vernichtung.
Der Kunde kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn seitens Convento ein schwerwiegender Verstoß gegen die datenschutzrechtlichen Bestimmungen oder den zugrundeliegenden Vertrag vorliegt, Convento eine datenschutzrechtliche Weisung des Kunden nicht ausführen kann oder will oder dem Kunden den Zutritt vertragswidrig verweigert.
myconvento erfordert den Einsatz von "Cookies". Sie helfen dabei, den Nutzungskomfort für den Kunden zu erhöhen. Zum Beispiel speichern Cookies die Login Daten der Besucher von Webseiten, damit diese sich nicht bei jedem Login neu anmelden müssen. Die meisten Browser sind so eingestellt, dass sie Cookies automatisch akzeptieren.
myconvento protokolliert außerdem die allgemeine Intensität der myconvento Nutzung eines Kunden. Die Informationen werden ausschließlich dazu verwendet, die Kundenbetreuung zu verbessern und die Kapazität des Gesamtsystems zu überwachen und sicher zu stellen
Mit der Nutzung von myconvento stimmen Sie zu, dass Convento im oben beschriebenen Umfang Informationen sammeln und entsprechend verwenden darf. Die schnelle Entwicklung des Internet macht von Zeit zu Zeit Anpassungen in unserer Datenschutzerklärung erforderlich. Als Kunde werden Sie per E-Mail über eine Änderung der Datenschutzerklärung benachrichtigt. Auf der Website www.myconvento.com kann die aktuelle Version jederzeit eingesehen werden.
Bei Fragen, Wünschen oder Kommentaren zum Thema Datenschutz wenden Sie sich bitte per E-Mail an datenschutz@convento.de oder direkt an unseren externen Datenschutzbeauftragten:
Herrn Axel Krause
Telefon: 02131 2009-290
Anlage: Technische und organisatorische Maßnahmen (TOM) gem. §9 Satz 1 BDSG
Die Zugangskontrolle zu den Datenbeständen erfolgt per Username und Passwort. Ein Passwort muss mindestens 8 Zeichen lang sein und ein Sonderzeichen sowie eine Ziffer enthalten. Ein aktueller Virenschutz, der mindestens einmal pro Tag aktualisiert wird, ist auf jedem Arbeitsplatz und Server im Einsatz.
Die Zugriffskontrolle erfolgt ebenfalls per Username und Passwort. Ein optionaler Passkey (Zustellung per E-Mail) kann vom Kunden-Administrator zusätzlich zu Username und Passwort aktiviert werden.
Die Verbindung vom lokalen Client beim Kunden (Browser) zur Serverfarm von Convento im Rechenzentrum der myLoc managed IT AG [Zertifiziertes Rechenzentrum nach ISO 27001], Am Gatherhof 44, D-40472 Düsseldorf, ist mit einer SSL-Verschlüsselung über Port 443 versehen. Ebenso bietet myconvento eine automatische temporäre Sperrung eines User-Accounts nach 3 erfolglosen Anmeldeversuchen. Eine permanente Sperrung des Accounts erfolgt nach 5 Fehlversuchen, und eine IP-Adresse wird nach 20 aufeinanderfolgenden Fehlversuchen automatisch für die Anmeldung geblockt. Ein Passwortablaufzeitraum kann ebenfalls von jedem Kunden-Administrator festgelegt und aktiviert werden. Eine weitere Sicherheitsfunktion verhindert die Verwendung des letzten Passwortes.
Bei einem externen Zugriff durch Convento-Mitarbeiter werden VPN-Clients mit einem gültigen Zertifikat (zeitlich beschränke Gültigkeitsdauer) und dem dazugehörigen Passwort benötigt. Die Verschlüsselungstiefe beträgt hier 1024 Bit.
Die Weitergabekontrolle wird dadurch sichergestellt, dass unberechtigte Personen keinen Zugang oder Zugriff zu den Kundensystemen bzw. auf die Daten haben. Convento-Mitarbeiter und externe Dienstleister sind über §5 BDSG hinaus zu weitergehender Verschwiegenheit verpflichtet. Die Datensicherung erfolgt jeweils auf verschlüsselten Datenträgern. Jeder Kunde hat die Möglichkeit, ohne Mitwirkung und Mitwissen von Convento die eigenen Daten aus der myconvento-Datenbank in ein zweidimensionales Daten-Modell zu extrahieren.
myconvento bietet die Funktion, die Herkunft eines Personen- oder Mediendatensatzes wie auch die erfolgten Änderungen und Löschungen jeweils mit dem Usernamen zu protokollieren. Diese Protokolle können auf Wunsch dem myconvento-Kunden-Administrator zur Verfügung gestellt werden.
Weisungen des Kunden erfolgen schriftlich und durch den von ihm benannten Ansprechpartner. Bei ggf. auftretenden Unklarheiten wird mit dem Ansprechpartner Rücksprache gehalten bzw. der Kunden-Mitarbeiter wird an diesen verwiesen.
Convento bewahrt die täglich gesicherten Daten vier Wochen lang auf. Die Datensicherungen erfolgen unabhängig voneinander jeweils an zwei Standorten. Die Datensicherungen werden nach vier Wochen automatisch vernichtet.
Die Trennung der Daten erfolgt auf dem MS SQL-Server jeweils durch separate Datenbanken. Auf den Web-Servern wird die Trennung der Daten über eine Verwaltungsdatenbank gewährleistet. Die Daten jedes Kunden sind von denen anderer Kunden und sonstiger Anwender daher streng getrennt.

References: § 3
 § 4
 § 4
 § 9
 § 5
 § 9
 § 3
 § 9
 § 38
 § 42
 § 42
 §9
 §5