Source: https://audatis.ds-manager.com/just-software/onlinevt.html?key=IBmTKdeh22ZsgPEf&lang=2
Timestamp: 2019-06-16 12:44:37
Document Index: 303929957

Matched Legal Cases: ['Art. 28', 'Art 28', 'Art. 28', 'Art 28', '§ 4', 'Art. 28', 'Art. 32', 'Art. 5', 'Art. 33', 'Art. 30', 'Art. 30', 'Art. 28', 'Art. 33', 'Art. 58', 'Art. 40', 'Art. 42', 'Art. 28', 'Art. 28', 'Art. 5', 'Art. 82', 'Art. 28', 'Art. 25']

﻿﻿ audatis MANAGER | Online CP contracts
Have you already registered? To the registration!
Lieber JUST Kunde,
Sie müssen nur die Angaben in der Anlage A zum Vertrag prüfen und bedarfsweise an Ihre Anforderungen anpassen und anschließend Ihre Kundendaten im Formular angeben.
Sollte eine Prüfung vorab z.B. durch Ihren Datenschutzbeauftragten notwendig sein, haben Sie die Möglichkeit nach Eingabe der Daten - jedoch noch vor Abschluss der Vereinbarung auf der zweiten Seite ein PDF - vorab herunterzuladen - dies ersetzt jedoch nicht den kompletten Abschluss der Vereinbarung.
Hinweis: "[XXXXX]" sind Platzhalter. Ihre Vertragspartnerdaten werden im nächsten Schritt automatisch eingefügt.
Datenschutzvereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO
wird folgende Vereinbarung geschlossen und ersetz etwaige vorherige Vereinbarungen zur Auftragsverarbeitung zum gleichen Zweck:
Der Auftragnehmer erbringt im Auftrag des Auftraggebers Hosting-Leistungen in Form einer Software as a Service. In diesem Zusammenhang ist nicht ausgeschlossen, dass der Auftragnehmer Zugriff auf personenbezogenen Daten bekommt bzw. Kenntnis von diesen erlangt. Nach Art 28 DS-GVO ist daher der Abschluss einer Vereinbarung zur Verarbeitung im Auftrag erforderlich.
Der Auftraggeber hat den Auftragnehmer im Rahmen der Sorgfaltspflichten des Art. 28 DS-GVO als Dienstleister ausgewählt. Voraussetzung für die Zulässigkeit einer Datenverarbeitung im Auftrag ist, dass der Auftraggeber dem Auftragnehmer den Auftrag schriftlich erteilt. Dieser Vertrag enthält nach dem Willen der Parteien und insbesondere des Auftraggebers den schriftlichen Auftrag zur Auftragsverarbeitung i.S.d. Art 28 Abs. 3 DS-GVO und regelt die Rechte und Pflichten der Parteien zum Datenschutz im Zusammenhang mit der Erbringung der Software as a Service (SaaS) Leistungen.
Das Eigentum an den personenbezogenen Daten liegt ausschließlich beim Auftraggeber als "Verantwortlichem" im Sinne der DS-GVO. Aufgrund dieser Verantwortlichkeit kann der Auftraggeber auch während der Laufzeit des Vertrages und nach Beendigung des Vertrages die Berichtigung, Löschung, Sperrung und Herausgabe von personenbezogenen Daten verlangen.
Der Gegenstand des Auftrages ist in Anlage A niedergelegt.
Diese Vereinbarung tritt mit ihrer Unterzeichnung durch beide Parteien in Kraft und endet im Regelfall mit Kündigung des zugrundeliegenden Hauptvertrages laut AGB. Das Recht zur außerordentlichen Kündigung bleibt unberührt.
§ 4 Beschreibung der Verarbeitung, Daten und betroffener
Umfang, Art und Zweck der Verarbeitung sind ebenso wie die Art der Daten und der Kreis der betroffenen Personen in Anlage A beschrieben.
Da der Auftragnehmer den Betrieb der Software as a Service Leistungen für den Auftraggeber auch außerhalb der Geschäftsräume des Auftraggebers durchführt, sind vom Auftragnehmer zwingend die von ihm getroffenen technischen und organisatorischen Maßnahmen i.S.d. Art. 28 Abs. 3 lit. C DS-GVO, Art. 32 DS-GVO i.V.m. Art. 5 Abs. 1 und Abs. 2 DS-GVO hierzu zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben.
Der zum Zeitpunkt des Vertragsschlusses bestehende Stand der technischen und organisatorischen Maßnahmen ist als Anlage B "Technische und organisatorische Maßnahmen zum Datenschutz“ dieser Vereinbarung beigefügt. Die Parteien sind sich darüber einig, dass zur Anpassung an technische und rechtliche Gegebenheiten Änderungen der technischen und organisatorischen Maßnahmen erforderlich werden können. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, wird der Auftragnehmer im Vorwege mit dem Auftraggeber abstimmen. Maßnahmen, die lediglich geringfügige technische oder organisatorische Änderungen mit sich bringen und die Integrität, Vertraulichkeit und Verfügbarkeit der personenbezogenen Daten nicht negativ beeinträchtigen, können vom Auftragnehmer ohne Abstimmung mit dem Auftraggeber umgesetzt werden. Der Auftragnehmer kann jederzeit eine aktuelle Fassung der vom Auftraggeber getroffenen technischen und organisatorischen Maßnahmen anfordern.
Die Umsetzung von Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft sind nur nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
Eine Verarbeitung personenbezogener Daten, die sich nicht auf die Erbringung von SaaS-Leistungen oder Support bezieht, ist dem Auftragnehmer untersagt. Es sei denn, dass der Auftraggeber dieser schriftlich zugestimmt hat.
Der Auftragnehmer bestätigt, dass er – soweit dieser gesetzlich dazu verpflichtet ist – einen betrieblichen Datenschutzbeauftragten i.S.d. Artt. 38, 39 DS-GVO bestellt hat.
Der Auftragnehmer hat Carsten Knoop, audatis Consulting GmbH, Leopoldstr. 2-8, 32051 Herford, datenschutz@justsoftwareag.com zum Datenschutzbeauftragten bestellt.
Für den Fall, dass der Auftragnehmer feststellt oder Tatsachen, die Annahme begründen, dass von ihm für den Auftraggeber verarbeitete personenbezogene Daten einer Verletzung des gesetzlichen Schutzes personenbezogener Daten gem. Art. 33 DS-GVO (Datenschutzverstoß bzw. Datenpanne) unterliegen z.B. indem diese unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, hat der Auftragnehmer den Auftraggeber unverzüglich und vollständig über Zeitpunkt, Art und Umfang des Vorfalls bzw. der Vorfälle in Schriftform oder Textform (Fax/E-Mail) zu informieren. Die Meldung an den Auftraggeber muss mindestens folgende Informationen enthalten:
a. Eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze.
b. Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen.
c. Eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten.
d. Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Der Auftragnehmer ist darüber hinaus verpflichtet, unverzüglich mitzuteilen, welche Maßnahmen durch den Auftragnehmer getroffen wurden, um die unrechtmäßige Übermittlung bzw. unbefugte Kenntnisnahme durch Dritte künftig zu verhindern.
Der Auftragnehmer stellt auf Anforderung dem Auftraggeber die für das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DS-GVO notwendigen Angaben zur Verfügung und führt als Auftragsverarbeiter selbst ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO.
Der Auftragnehmer stellt sicher, dass die mit der Verarbeitung der personenbezogenen Daten des Auftraggebers befassten Mitarbeiter gemäß Artt. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO zur Wahrung der Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen des Datenschutzes vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugriff auf personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten, einschließlich der in dieser Vereinbarung eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Diese Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.
Des Weiteren verpflichtet sich der Auftragnehmer den Auftraggeber gemäß Art. 28 Abs. 3 lit. f DS-GVO bei der Einhaltung der in Artt. 34 - 36 DS-GVO genannten Pflichten zu unterstützen:
a. Im Rahmen seiner Informationspflicht gegenüber den betroffenen Personen und dem Auftraggeber in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen.
b. Bei der Durchführung seiner Datenschutz-Folgenabschätzung.
c. Im Rahmen einer vorherigen Konsultation mit der Aufsichtsbehörde.
Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Entwicklung, Pflege und Wartung von Software und/oder IT-Systemen gegenüber dem Auftragnehmer zu erteilen. Weisungen können
c. per E-Mail
d. mündlich
erfolgen. Der Auftraggeber soll mündliche Weisungen unverzüglich in Textform (z.B. Fax oder E-Mail) gegenüber dem Auftragnehmer bestätigen.
Dem Auftraggeber obliegen die aus Art. 33 Abs. 1 DS-GVO resultierenden Meldepflichten.
Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten - insbesondere auf Auskunft, Berichtigung, Einschränkung, Datenübertragbarkeit oder Löschung - durch den Auftraggeber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Weisung des Auftraggebers treffen.
Soweit eine betroffene Person sich unmittelbar an den Auftragnehmer zwecks Berichtigung, Löschung oder Einschränkung oder Datenübertragbarkeit seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
Der Auftragnehmer ist verpflichtet, im Falle von Maßnahmen der Aufsichtsbehörde gegenüber dem Auftraggeber i.S.d. Art. 58 DS-GVO, insbesondere im Hinblick auf Auskunfts- und Kontrollpflichten die erforderlichen Auskünfte an den Auftraggeber zu erteilen.
a. die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO.
b. die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO.
c. aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsbeauftragter, Datenschutzauditoren.
d. eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach ISO 27001 oder BSI-Grundschutz).
Der Auftragnehmer nimmt für die Erbringung von SaaS-Leistungen im Auftrag des Auftraggebers keine Leistungen von Dritten in Anspruch, welche nicht in Abs. 3 genannt werden, die in seinem Auftrag Daten gem. Art. 28 DS-GVO verarbeiten ("Unterauftragnehmer").
Genehmigte Unterauftragnehmer bei durch Just Software AG gehosteten Diensten:
- Netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe (Rechenzentrum)
- Artfiles GmbH, Zirkusweg 1, 20359 Hamburg (Rechenzentrum)
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum)
Im Falle einer Beauftragung, hat der Auftragnehmer den Unterauftragnehmer sorgfältig auszuwählen und vor der Beauftragung zu prüfen, dass dieser die zwischen Auftraggeber und Auftragnehmer getroffenen Vereinbarungen einhalten kann. Der Auftragnehmer hat insbesondere vorab und regelmäßig während der Vertragsdauer zu kontrollieren, dass der Unterauftragneh-mer die nach Art. 28 Abs. 3 lit. c, 32 DS-GVO i.V.m. Art. 5 Abs. 1, Abs. 2 DS-GVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist vom Auftragnehmer zu dokumentieren und auf Anfrage dem Auftraggeber zu übermitteln. Der Auftragnehmer ist verpflichtet, sich vom Unterauftragnehmer bestätigen zu lassen, dass dieser einen betrieblichen Datenschutzbeauftragten i.S.d. Artt. 37-39 DS-GVO bestellt hat.
Die Verpflichtung des Unterauftragnehmers muss grundsätzlich schriftlich erfolgen, sofern keine andere Form angemessen ist. Dem Auftraggeber ist die Verpflichtung auf Anfrage in Kopie zu übermitteln.
Es wird auf die Haftungsregelungen des Art. 82 DS-GVO verwiesen.
Sollten die personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den personenbezogenen Daten ausschließlich beim Auftraggeber als "Verantwortlichem" im Sinne der DS-GVO liegen.
Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des Auftragnehmers - bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
[XXXXX], 16.06.2019
gez. [XXXXX] (Vertretungsberechtigter des Auftraggebers)
Hamburg, 16.06.2019
gez. Dr. Thomas Kreye (Vorstand, Just Software AG)
[Diese Vereinbarung ist ohne Unterschrift gültig]
Zutreffendes bitte auswählen oder anpassen.
Wartung und Pflege der Social Software „Just“ Zugriffe auf die IT-Systeme (speziell Social Software „Just“) des Auftraggebers per Fernwartung. Bereitstellung der Social Software „Just“ als gehostete Software im Rechenzentrum des Auftragnehmers oder eines Subunternehmers.
2. Umfang, Art und Zweck der Verarbeitung
Der Umfang der Verarbeitung und damit die Menge der eingesetzten Daten sind variabel und richtet sich nach der Nutzungsintensität durch den Auftraggeber.
Der Zweck dient zur Verwaltung der Aufgaben und Maßnahmen im Datenschutz und Dokumentation von digitalen bzw. digitalisierten Dokumenten sowie zu durchgeführten Schulungsmaßnahmen einzelner Beschäftigter des Auftraggebers
Verändern (z.B. durch Änderungen der Benutzer an den Datensätzen) Übermitteln (z.B. durch Übermittlung per E-Mail von Nachrichten) Speichern (z.B. durch Sicherung und Archivierung auf Festplatten, anderen Speichersystemen oder Datenträgern) Löschen (z.B. durch Löschen von Datensätzen oder Vernichten von Datenträgern) Einschränken (z.B. durch Deaktivierung von einzelnen Datensätzen) Nutzen (z.B. durch Durchführung von Auswertungen) Erheben (z.B. durch Einlesen von Mitarbeiterlisten und anderen Daten)
Beschäftigtendaten (z.B. Fotos, Namen, Kontaktdaten, Position, Geburtstag). Nutzungsdaten (z.B. Protokollierung der Nutzeraktivitäten, Log-Files).
Beschäftigte und ehemalige Beschäftigte des Auftraggebers Beschäftigte und ehemalige Beschäftigte von verbundenen Unternehmen des Auftraggebers Kunden
B.1 Basismaßnahmen JUST
Unbefugten ist der Zutritt zu den zwecks Erbringung der Verarbeitung genutzten technischen Einrichtungen zu verwehren.
Elektronisches Zutrittskontrollsystem mittels Chipkarten
Türsicherungen (elektrische Türöffner) in Verbindung mit dem Zutrittskontrollsystem
Pförtner und 24/7 Überwachung durch Personal
Handvenen Scanner (für Serverräume)
Kennwortverfahren (Angabe von Kennwortparametern hinsichtlich Komplexität und Aktualisierungsintervall)
Sperrung der Clients nach gewissem Zeitablauf ohne Useraktivität (auch passwortgeschützter Bildschirmschoner oder automatische Pausenschaltung)
Verschlüsselung von Datenträgern mit dem Stand der Technik entsprechenden Verfahren.
Profile- und Rollenkonzept
Getunnelte Datenfernverbindungen (VPN=Virtual Private Network)
Sichere Übertragung der Daten im Internet durch SSL-Verschlüsselung (https) oder SSH Verbindung
1.5 Trennungskontrolle
Getrennte Systeme (logische Mandantentrennung)
Trennung von Test- und Entwicklungssystemen
Verwendung von Kennziffern für Kunden oder Personal anstatt Namen
2.1 Eingabekontrolle
Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Login Daten
2.2 Weitergabekontrolle
Die Maßnahmen zur Weitergabekontrolle gem 1.4 dienen auch der Sicherstellung der Integrität.
(USV) Unterbrechungsfreie Stromversorgung
3.2 Rasche Wiederherstellbarkeit
IT-Notfallpläne und Wiederanlaufpläne
Regelmäßige und dokumentierte Datenwiederherstellungen
4. Weitere Maßnahmenbereiche
Schriftlicher Vertrag zur Auftragsverarbeitung gem. Art. 28 DS-GVO mit Regelungen zu den Rechten und Pflichten des Auftragnehmers
Schulungen aller zugriffsberechtigten Mitarbeiter. Regelmäßig stattfindende Nachschulungen.
Verpflichtung auf die Vertraulichkeit gem. Artt. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO
Regelmäßige Datenschutzaudits des betrieblichen Datenschutzbeauftragten
4.2 Datenschutz-Managementsystem
Managementsystem zum Datenschutz und der Informationssicherheit (in Anlehnung an ISO 27001)
Incident-Response-System zur Nachvollziehbarkeit von Sicherheitsverstößen und Problemen
Durchführung regelmäßiger IT-Schwachstellenanalysen (z.B. Penetrationstest)
Einsatz von Software mit datenschutzfreundlichen Voreinstellungen gem. (Art. 25 Abs. 2 DS-GVO)
Eingabeformat: ? (? = 0-9 | # = A-Z)
Deutschland Belgien Bulgarien Dänemark Estland Finnland Frankreich Griechenland Irland Island Italien Kroatien Lettland Liechtenstein Litauen Luxemburg Malta Niederlande Norwegen Österreich Polen Portugal Rumänien Schweden Schweiz Slowakei Slowenien Spanien Tschechische Republik Ungarn Vereinigtes Königreich Zypern
*Bei diesen Feldern handelt es sich um ein Pflichtfeld.
Sprache wechseln: Deutsch (DE)
This is where registered users can find internal privacy information
About audatis MANAGER
© 2013-2019 powered by audatis MANAGER : Online data protection management made easy