Source: https://erhebung.de/auftragsdatenverarbeitung
Timestamp: 2020-01-23 02:48:55
Document Index: 351384300

Matched Legal Cases: ['Art. 28', 'Art. 28', 'Art. 28', 'Art. 5', 'Art. 32', 'Art. 28', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 25']

erhebung.de - ADV-Vereibarung
Vereinbarung zur Auftragsdatenverarbeitung gemäß Art. 28 der DSGVO
Diese Vereinbarung erfolgt gemäß Art. 28 Abs. 9 der DSGVO in elektronischer Form. Falls Sie ADV-Vereinbarung in Papierform eingehen möchten, wenden Sie sich bitte an
Gegenstand: Der Gegenstand des Auftrags ergibt sich aus der Registrierung und der Teilnahme auf der Plattform erhebung.de und den darauf verfügbaren Diensten, auf die hier verwiesen wird (im Folgenden Leistungsvereinbarung).
Dauer: Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung.
Die Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber werden durch den Auftraggeber bei der Erstellung und Durchführung der Umfrage bestimmt. Auf die jeweilige Umfrage und die dabei erhobenen Daten wird Bezug genommen. Hierfür ist der Auftraggeber alleine verantwortlich.
Die Art der verwendeten personenbezogenen Daten wird durch den Auftraggeber im Rahmen der Erstellung der Umfrage selbst festgelegt. Jede Umfrage besteht aus verschiedenen Eingabefeldern und den dazugehörigen Fragen – diese Fragen geben Aufschluss über die Art der erhobenen Daten.
Die Kategorien der durch die Verarbeitung betroffenen Personen wird durch den Auftraggeber bei der Erstellung der jeweiligen Umfrage bestimmt. Sie hängt insbesondere davon ab, welche Teilnehmer eingeladen werden, und ob der Zugriff auf die Umfrage öffentlich oder privat gewählt wird.
Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen [Einzelheiten in Punkt 11.].
Der Auftragnehmer ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Als Ansprechpartner bei Auftragnehmer wie folgt benannt:
Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 DS-GVO gemäß Punkt 11.
Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. Die Auslagerung auf Unterauftragnehmer oder der Wechsel des bestehenden Unterauftragnehmers sind zulässig, soweit:
Eine weitere Auslagerung durch den Unterauftragnehmer ist nicht gestattet;
11. Technisch-organisatorische Maßnahmen
11.1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
Kein unbefugter Zutritt zu Datenverarbeitungsanlagen: Unsere Server-Racks sind durch doppelten Türschutz gesichert. Der Zutritt in den Serverraum ist lediglich Administratoren sowie Technikern gestattet. Nach dem Passieren der ersten Tür bedarf es der Legitimierung durch den Pförtner.
Keine unbefugte Systembenutzung: Der Zugang auf hausinterne Systeme ist durch SSL gesichert. Eine wiederholte Falscheingabe (3x) der Zugangsdaten führt zur sofortigen unbefristeten Sperrung der IP-Adresse des Betroffenen und kann nur durch einen Systemadministrator aufgehoben werden.
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems: Jeder Administrator erhält lediglich so viel Zugriffsberechtigungen wie seine Tätigkeit erfordert. Desweiteren ist jeder administrative Zugriff auf hausinterne Systeme protokolliert.
Getrennte Verarbeitung von Daten: Datensätze werden grundsätzlich logisch voneinander getrennt und erst durch eine Authorisierung mit Zugriffsrechten zugänglich. Hierbei gilt, dass ein Prozess nicht mehr Zugriff erhält wie er benötigt.
Alle Umfragen werden entweder pseudonymisiert oder vollständig anonymisiert. Der Auftraggeber hat die Möglichkeit bei der Erstellung einer Umfrage entsprechende Optionen festzulegen. Die Pseudonymisierung findet über eine Assoziation mit einem gehashten Schlüssel statt.
11.2. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport: Jede Art der Datenübertragung, insbesondere zwischen Benutzer und Webplattform sowie Administrator und Applikation ist vollständig verschlüsselt (SSL). Implementierungen von Features ist nur innerhalb des privaten Netzwerks möglich.
Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind: In unseren Datenbanken wird jede Erstellung oder Veränderung eines Eintrags protokolliert. Diese Charakteristik umfasst alle existierenden Datensätze.
11.3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust: Regelmäßige Health-Checks aller Services geben Information über den aktuell Status der Webapplikation insgesamt. Darüber hinaus garantiert unsere Firewall vorsätzliche Angiffe aus dem Internet zu blocken.
Alle personenbezogenen sowie nicht personenbezogenen Daten werden in regelmäßigen Abständen als Backup auf einem separaten Medium gespeichert. Der Zugriff auf dieses Medium ist aus dem Internet nicht möglich. Im Falle eines unvorhersehbaren Datenverlustes beträgt die Dauer bis zur vollständigen Wiederherstellung maximal 24 Stunden.
11.4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)