Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO.
Zuletzt aktualisiert:
Table of Contents
1. Vertragsparteien und Geltungsbereich
Dieser Vertrag zur Auftragsverarbeitung nach Artikel 28 der Datenschutz-Grundverordnung (DSGVO) regelt die Verarbeitung personenbezogener Daten durch die distriko GmbH & Co. KG, Karl-Heinz-Fräger-Straße 10, 34376 Immenhausen, Deutschland, als Anbieterin von HSDSYNC im Auftrag des jeweiligen Kundenunternehmens.
Das Kundenunternehmen ist für die von ihm über HSDSYNC verarbeiteten personenbezogenen Daten Verantwortlicher. distriko ist insoweit Auftragsverarbeiter. Verantwortlicher ist das Kundenunternehmen, für dessen HubSpot-Portal HSDSYNC auf Grundlage des Nutzungsvertrags eingesetzt wird.
Fragen zum Thema Datenschutz richten Sie bitte per Mail an die allgemeine E-Mail Adresse im Kontaktbereich.
Dieser Vertrag ergänzt den Nutzungsvertrag über HSDSYNC. Für die Verarbeitung personenbezogener Daten im Auftrag gehen seine Regelungen bei Widersprüchen den allgemeinen Nutzungsbedingungen vor. Verarbeitungen, für die distriko selbst Verantwortlicher ist, werden in der Datenschutzerklärung erläutert.
2. Einbeziehung, Beginn und Dauer
Dieser Vertrag wird durch seine wirksame Einbeziehung in den Nutzungsvertrag geschlossen. Die aktuelle Fassung wird auf dieser Seite bereitgestellt. Für ein bestehendes Vertragsverhältnis bleibt die bei Abschluss wirksam einbezogene Fassung maßgeblich, soweit nicht eine Änderung wirksam vereinbart wird. Frühere Vertragsfassungen werden zum Nachweis aufbewahrt.
Die Verarbeitung beginnt mit der aktiven Installation und Verknüpfung von HSDSYNC, soweit dabei personenbezogene Daten abgerufen oder anderweitig verarbeitet werden. Dies gilt auch für die aktive Testnutzung. Die Freigabe der Lese- und Schreibrechte bestimmt den technischen Zugriffsumfang.
Die Vertragsbedingungen einschließlich dieses Vertrags sind vor Beginn der Auftragsverarbeitung wirksam einzubeziehen. Die wirksame Einbeziehung und die angenommene Vertragsfassung müssen dem jeweiligen Kundenunternehmen nachvollziehbar zugeordnet werden. Die technische Freigabe von Lese- und Schreibrechten allein ersetzt keine Vertragsannahme.
Die Dauer der Verarbeitung richtet sich nach dem Nutzungsvertrag und den notwendigen Arbeiten zur Rückgabe oder Löschung der Daten.
3. Gegenstand, Art und Zweck der Verarbeitung
HSDSYNC unterstützt die Erstellung und den Versand von E-Rechnungen auf Grundlage von Rechnungsdaten aus HubSpot. Je nach aktivierten Funktionen werden Daten aus angebundenen Systemen abgerufen, zu Rechnungsdokumenten oder Berichten verarbeitet, versendet und Statusinformationen an HubSpot zurückgegeben. Optional können Stripe-Daten verarbeitet und Belege an eine vom Kundenunternehmen eingerichtete DATEV-Upload-Adresse übermittelt werden.
Die Verarbeitung umfasst, soweit für die beauftragten Funktionen erforderlich, das Abrufen, Auslesen, Strukturieren, Umwandeln, Übermitteln, Protokollieren, Speichern und Löschen personenbezogener Daten. Welche Vorgänge stattfinden, richtet sich nach dem gebuchten Leistungsumfang, den aktivierten Integrationen und den dokumentierten Weisungen.
Datenarten
- Stamm- und Kontaktdaten von Rechnungsempfängern, insbesondere Namen, Anschriften und E-Mail-Adressen.
- Rechnungs- und Transaktionsdaten, insbesondere Positionen, Beträge, Steuern, Rechnungsnummern und Zahlungsreferenzen, soweit personenbezogen.
- Personenbezogene Daten in den beauftragten Rechnungsdokumenten und Berichten.
- Technische Zuordnungs- und Kommunikationsdaten, insbesondere Datensatzkennungen, Versandzeitpunkte und Verarbeitungsstatus, soweit personenbezogen.
Betroffene Personengruppen
Betroffen sein können Kundinnen und Kunden des Kundenunternehmens sowie dessen Beschäftigte, Ansprechpersonen und sonstige Geschäftskontakte, soweit ihre Daten in den beauftragten Vorgängen enthalten sind.
Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 DSGVO ist nicht Gegenstand des vorgesehenen Leistungsumfangs. Eine notwendige Erweiterung ist vorab gesondert zu vereinbaren.
4. Weisungen und Verantwortlichkeit des Kundenunternehmens
distriko verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kundenunternehmens, sofern keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht. In einem solchen Fall informiert distriko das Kundenunternehmen vorab, soweit das Gesetz diese Information nicht untersagt.
Der Nutzungsvertrag, dieser Vertrag und die vom Kundenunternehmen vorgenommenen Einstellungen bilden die grundsätzlichen Weisungen. Ergänzende Weisungen können in Textform erteilt werden. Hält distriko eine Weisung für datenschutzwidrig, informiert distriko das Kundenunternehmen unverzüglich.
Das Kundenunternehmen verantwortet die Rechtmäßigkeit der bereitgestellten Daten, die erforderlichen Informationen an betroffene Personen und die Berechtigung zur Nutzung der angebundenen Systeme. Die eigenen Pflichten von distriko bleiben davon unberührt.
5. Vertraulichkeit und technische Sicherheit
distriko stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.
distriko setzt risikogerechte technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO um. Die nachfolgenden Regelungen zu den Schutzmaßnahmen sind unmittelbar Bestandteil dieses Vertrags. Anpassungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
Zugriffsschutz
Der Zugriff auf die Datenbank setzt entsprechende Zugangsdaten voraus. Die innerhalb der Web-App verfügbaren Daten richten sich nach den jeweiligen Berechtigungen. Die Verbindungen zu HubSpot und weiteren angebundenen Systemen erfolgen im Rahmen der eingerichteten Berechtigungen.
Schutz der Verarbeitung
Personenbezogene Daten sind durch geeignete Maßnahmen gegen unbefugten Zugriff, Verlust und unzulässige Veränderung zu schützen. Die Maßnahmen müssen insbesondere die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der eingesetzten Systeme gewährleisten. Dazu gehören ein angemessener Schutz der Übertragung und der Zugangsdaten sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Schutzmaßnahmen.
Datensicherung und Wiederherstellung
distriko ist verpflichtet, im Rahmen der Anforderungen nach Artikel 32 DSGVO die Fähigkeit sicherzustellen, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall zeitnah wiederherzustellen. Einzelheiten zu den eingesetzten Schutz- und Wiederherstellungsverfahren werden dem Kundenunternehmen im Rahmen der Nachweis- und Kontrollrechte nach Abschnitt 8 zur Verfügung gestellt.
6. Weitere Auftragsverarbeiter und Verarbeitungsorte
Das Kundenunternehmen erteilt mit dem wirksamen Abschluss dieses Vertrags die allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten weiteren Auftragsverarbeiter für die beschriebenen Aufgaben. distriko verpflichtet diese auf die einschlägigen Datenschutzpflichten. Die Verantwortung von distriko gegenüber dem Kundenunternehmen gemäß Artikel 28 Absatz 4 DSGVO bleibt bestehen.
distriko informiert das Kundenunternehmen vor der Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters in Textform und räumt einen angemessenen Zeitraum für einen datenschutzrechtlich begründeten Einspruch ein. Ein Einspruch kann über mail@hsdsync.app erfolgen und wird vor der vorgesehenen Änderung geprüft. Das weitere Vorgehen stimmen die Parteien unter Wahrung der gesetzlichen Anforderungen ab.
DigitalOcean: Cloud-Hosting
Anbieter: DigitalOcean, LLC, 101 Avenue of the Americas, 10th Floor, New York, NY 10013, USA.
Aufgabe: Bereitstellung der Cloud-Infrastruktur für den Betrieb von HSDSYNC.
Standort der eingesetzten Anwendungsinfrastruktur: Frankfurt am Main, Deutschland, Region FRA1.
MongoDB: Cloud-Datenbank
Anbieter: MongoDB Limited, Building 2, Number 1 Ballsbridge, Shelbourne Road, Ballsbridge, Dublin, D04 Y3X9, Irland.
Aufgabe: Bereitstellung des Cloud-Datenbankdienstes für HSDSYNC.
Standort der Datenbank: MongoDB Atlas auf Amazon Web Services (AWS), Region Frankfurt am Main, Deutschland (eu-central-1).
Die genannten Regionen beschreiben die eingesetzte Anwendungs- und Datenbankinfrastruktur. Sie stellen keine Zusicherung dar, dass sämtliche Verarbeitungsvorgänge der beteiligten Cloud-Anbieter ausschließlich in Deutschland stattfinden. Soweit personenbezogene Daten in Drittländer übermittelt oder von dort durch weitere Auftragsverarbeiter zugänglich gemacht werden, müssen die Voraussetzungen des Kapitels V DSGVO erfüllt und die hierfür erforderlichen Informationen und Garantien bereitgestellt werden.
7. Unterstützung und Datenschutzverletzungen
distriko unterstützt das Kundenunternehmen unter Berücksichtigung der Art der Verarbeitung durch geeignete Maßnahmen bei der Erfüllung der Rechte betroffener Personen. Direkt eingehende Anfragen zu Daten des Kundenunternehmens werden unverzüglich an dieses weitergeleitet; eine inhaltliche Beantwortung erfolgt auf dessen Weisung, soweit keine gesetzliche Verpflichtung entgegensteht.
distriko unterstützt das Kundenunternehmen unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen bei seinen Pflichten nach den Artikeln 32 bis 36 DSGVO, insbesondere bei Sicherheitsmaßnahmen, Meldungen von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.
Wird distriko eine Verletzung des Schutzes personenbezogener Daten im Rahmen der Auftragsverarbeitung bekannt, informiert distriko das Kundenunternehmen unverzüglich und stellt die verfügbaren Informationen zur Bewertung und Behandlung des Vorfalls bereit. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.
8. Nachweise und Kontrollen
distriko stellt dem Kundenunternehmen die erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Artikel 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch das Kundenunternehmen oder einen von ihm beauftragten Prüfer. Die praktische Durchführung wird unter Wahrung berechtigter Sicherheits- und Vertraulichkeitsinteressen abgestimmt; gesetzliche Kontrollrechte bleiben gewahrt.
9. Datenminimierung, Rückgabe und Löschung
Personenbezogene Daten werden auf das für die beauftragten Funktionen erforderliche Maß beschränkt. Eine vorübergehende Verarbeitung von Rechnungsinhalten ist von der Speicherung technischer Verbindungsdaten, Berechtigungsnachweise und Statusprotokolle zu unterscheiden.
Nach Abschluss der Verarbeitungsleistungen löscht distriko die personenbezogenen Daten nach Wahl des Kundenunternehmens oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.
Die Speicherdauer richtet sich nach der Erforderlichkeit für die beauftragten Vorgänge und den dokumentierten Weisungen. Daten, deren Verarbeitungszweck entfällt und für die keine Aufbewahrungspflicht besteht, sind ohne unangemessene Verzögerung zu löschen. Die Löschung umfasst auch vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Rechtsgrundlage und weitere Informationen
Rechtsgrundlage für diese Vereinbarung ist insbesondere Artikel 28 DSGVO. Die EU-Kommission stellt mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln für die Auftragsverarbeitung bereit. Dieser Vertrag ist eigenständig formuliert und keine unveränderte Übernahme dieser Standardvertragsklauseln.