Auftragsverarbeitungsvertrag

1. Geltungsbereich und Parteien

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Pitempo und dem Kunden und gilt für alle personenbezogenen Daten, die Pitempo bei der Erbringung des Dienstes im Auftrag des Kunden verarbeitet („personenbezogene Kundendaten“). Der Kunde ist Verantwortlicher (oder, soweit er für einen anderen Verantwortlichen handelt, Auftragsverarbeiter) und Pitempo Auftragsverarbeiter (oder Unterauftragsverarbeiter). Bei Widersprüchen geht dieser AVV hinsichtlich personenbezogener Kundendaten den Bedingungen vor.

2. Begriffsbestimmungen

„Datenschutzrecht“ bezeichnet alle auf die Verarbeitung anwendbaren Vorschriften zum Schutz personenbezogener Daten, gegebenenfalls einschließlich der Verordnung (EU) 2016/679 (DSGVO), der UK GDPR und des britischen Data Protection Act 2018, des Schweizer Datenschutzgesetzes (DSG), des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK), des brasilianischen Datenschutzgesetzes (LGPD) sowie US-amerikanischer Datenschutzgesetze der Bundesstaaten wie des California Consumer Privacy Act (CCPA). Begriffe wie „Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach dem jeweils anwendbaren Datenschutzrecht. Andere großgeschriebene Begriffe haben die Bedeutung aus den Bedingungen.

3. Einzelheiten der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

4. Weisungen

Pitempo verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, sofern Pitempo nicht gesetzlich zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt Pitempo dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz eine solche Mitteilung nicht verbietet. Die Bedingungen, dieser AVV sowie die Nutzung und Konfiguration des Dienstes durch den Kunden sind die dokumentierten Weisungen des Kunden. Pitempo informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

5. Vertraulichkeit

Pitempo gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass der Zugriff auf das Erforderliche beschränkt ist.

6. Sicherheit

Pitempo trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Pitempo darf diese Maßnahmen anpassen, sofern das Gesamtschutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Kunde erteilt Pitempo eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Pitempo stellt dem Kunden die aktuelle Liste der Unterauftragsverarbeiter einschließlich ihrer Funktion und des Verarbeitungsorts auf Anfrage unter privacy@pitempo.com zur Verfügung. Pitempo informiert den Kunden mindestens 30 Tage im Voraus per E-Mail oder im Dienst über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; können die Parteien den Einspruch nicht ausräumen, kann der Kunde den betroffenen Dienst vor Wirksamwerden der Änderung kündigen. Pitempo erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die mindestens das Schutzniveau dieses AVV bieten, und haftet gegenüber dem Kunden für die Leistungen seiner Unterauftragsverarbeiter.

Dienste, die der Kunde selbst beauftragt und mit dem Dienst verbindet, etwa sein eigenes Konto bei einem SMS-Anbieter, sind keine Unterauftragsverarbeiter von Pitempo; der Kunde weist Pitempo an, ihnen die für den jeweiligen Dienst erforderlichen Daten zu übermitteln.

8. Internationale Übermittlungen

Pitempo übermittelt personenbezogene Kundendaten nur im Einklang mit dem Datenschutzrecht in Drittländer.

Soweit die Verarbeitung eine Übermittlung im Sinne von Kapitel V der DSGVO umfasst, gelten die mit Durchführungsbeschluss (EU) 2021/914 der Kommission angenommenen Standardvertragsklauseln („SCC“), die durch Verweis Bestandteil dieses AVV sind, wie folgt: Modul 2 gilt, wenn der Kunde Verantwortlicher ist, Modul 3, wenn er Auftragsverarbeiter ist; Klausel 7 (Kopplungsklausel) gilt; nach Klausel 9 Buchstabe a gilt Option 2 (allgemeine schriftliche Genehmigung mit einer Vorankündigung von 30 Tagen); die fakultative Formulierung in Klausel 11 gilt nicht; nach Klausel 17 unterliegen die SCC irischem Recht, und nach Klausel 18 werden Streitigkeiten von den Gerichten Irlands entschieden; die zuständige Aufsichtsbehörde bestimmt sich nach Klausel 13; die Anhänge I und II der SCC werden durch die Angaben in den Anlagen 1 und 2 dieses AVV ergänzt, wobei der Kunde Datenexporteur und Pitempo Datenimporteur ist.

Für Übermittlungen, die der UK GDPR unterliegen, gilt zusätzlich das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission. Für Übermittlungen, die dem DSG unterliegen, gelten die SCC mit den nach Schweizer Recht erforderlichen Anpassungen, und zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte. Verlangt anderes Datenschutzrecht, etwa das KVKK oder die LGPD, ein bestimmtes Übermittlungsinstrument, schaffen die Parteien dieses vor der Übermittlung.

9. Unterstützung

Unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen unterstützt Pitempo den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen sowie bei der Erfüllung seiner Pflichten in Bezug auf Sicherheit, Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörden. Wendet sich eine betroffene Person mit einem Anliegen zu personenbezogenen Kundendaten direkt an Pitempo, leitet Pitempo das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst, sofern der Kunde nichts anderes anweist.

10. Verletzungen des Schutzes personenbezogener Daten

Pitempo meldet dem Kunden eine Verletzung des Schutzes personenbezogener Kundendaten unverzüglich, nach Möglichkeit innerhalb von 48 Stunden, nachdem Pitempo von ihr Kenntnis erlangt hat. Soweit die Informationen vorliegen, beschreibt die Meldung die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Pitempo ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen abzumildern. Für erforderliche Meldungen an Aufsichtsbehörden und betroffene Personen, etwa binnen 72 Stunden nach der DSGVO und nach den Beschlüssen des türkischen Datenschutzrats, ist der Kunde verantwortlich.

11. Rückgabe und Löschung

Nach Ende der Leistungserbringung ermöglicht Pitempo dem Kunden den Export der personenbezogenen Kundendaten wie in Ziffer 14 der Bedingungen beschrieben und löscht sie anschließend innerhalb von 30 Tagen nach Ablauf des Abrufzeitraums, sofern nicht eine gesetzliche Speicherpflicht besteht. Kopien in Datensicherungen werden im regulären Sicherungszyklus überschrieben und außer zur Wiederherstellung nach einem Katastrophenfall nicht wiederhergestellt. Pitempo bestätigt die Löschung auf Anfrage.

12. Informationen und Überprüfungen

Pitempo stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV und des Artikels 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten unabhängigen Prüfer durchgeführt werden, und trägt dazu bei. Überprüfungen sind mindestens 30 Tage im Voraus anzukündigen, während der üblichen Geschäftszeiten ohne Störung des Betriebs durchzuführen, unterliegen der Vertraulichkeit und finden höchstens einmal jährlich statt, sofern nicht eine Verletzung des Schutzes personenbezogener Daten oder eine Anfrage einer Aufsichtsbehörde Anlass zu einer zusätzlichen Überprüfung gibt. Pitempo kann eine Prüfanfrage zunächst mit schriftlichen Informationen und Unterlagen beantworten. Jede Partei trägt ihre eigenen Kosten.

13. US-Datenschutzgesetze der Bundesstaaten

Soweit US-Datenschutzgesetze der Bundesstaaten anwendbar sind, handelt Pitempo als „Service Provider“ oder „Processor“. Pitempo verkauft personenbezogene Kundendaten nicht und gibt sie nicht weiter; Pitempo speichert, nutzt oder offenbart sie zu keinem anderen Zweck als der Erbringung des Dienstes für den Kunden, einschließlich keiner anderen kommerziellen Zwecke, und nicht außerhalb der unmittelbaren Geschäftsbeziehung mit dem Kunden; Pitempo verknüpft sie nicht mit personenbezogenen Daten aus anderen Quellen, soweit gesetzlich nicht erlaubt. Pitempo erfüllt die ihm nach diesen Gesetzen obliegenden Pflichten, gewährleistet das von ihnen verlangte Datenschutzniveau und teilt dem Kunden mit, wenn es seine Pflichten nicht mehr erfüllen kann. Der Kunde kann angemessene und geeignete Maßnahmen ergreifen, um eine unbefugte Nutzung personenbezogener Kundendaten zu unterbinden und zu beheben. Pitempo bestätigt, diese Beschränkungen zu verstehen und einzuhalten.

14. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich einer Rechtsgrundlage, der Information der betroffenen Personen (etwa der Kunden, deren Fahrzeuge er wartet) und der Einholung erforderlicher Einwilligungen. Der Kunde darf im Dienst keine besonderen Kategorien personenbezogener Daten und keine Daten über strafrechtliche Verurteilungen speichern.

15. Haftung und Laufzeit

Die Haftung der Parteien aus diesem AVV unterliegt den Beschränkungen der Bedingungen, soweit Datenschutzrecht oder die SCC eine solche Beschränkung nicht ausschließen. Dieser AVV gilt, solange Pitempo personenbezogene Kundendaten verarbeitet.

Anlage 1: Einzelheiten der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

• Transportverschlüsselung: alle Verbindungen zum Dienst nutzen HTTPS/TLS; E-Mails werden über eine verschlüsselte Verbindung (STARTTLS) an unseren E-Mail-Anbieter übertragen.
• Zugangskontrolle: Anmeldung mit Passwort und optional mit Passkeys; Passwörter werden nur als gesalzene Hashes gespeichert; Einmal-Bestätigungscodes verfallen nach 5 Minuten; Anfragelimits schützen vor Brute-Force-Angriffen; Sitzungen laufen ab.
• Trennung der Kunden: die Daten jedes Kunden sind auf Datenbankebene durch Zeilensicherheitsrichtlinien (Row-Level Security) isoliert, sodass ein Kunde nicht auf die Daten eines anderen zugreifen kann.
• Berechtigungen: rollenbasierte Berechtigungen in jedem Konto; Preise, Kosten und Gewinne sind nur für berechtigte Rollen sichtbar, und Felder, die eine Rolle nicht sehen darf, werden ihrem Browser gar nicht übermittelt.
• Nachvollziehbarkeit: Protokolle von Änderungen (wer, was, wann) und Anmeldeverlauf mit gekürzten IP-Adressen.
• Administrativer Zugang: Serverzugang nur mit SSH-Schlüsseln, Passwort- und Root-Anmeldung deaktiviert; Verwaltungswerkzeuge durch zusätzliche Zugangskontrollen geschützt; Prinzip der geringsten Rechte.
• Zugangsdaten verbundener Dienste: Zugangsdaten, die der Kunde für verbundene Dienste eingibt, etwa für Konten bei SMS-Anbietern, werden verschlüsselt gespeichert.
• Verfügbarkeit: tägliche Datenbanksicherungen mit einer Aufbewahrung von 7 Tagen und ein dokumentiertes Wiederherstellungsverfahren.
• Datenminimierung und Speicherbegrenzung: automatische Anonymisierung von Nachrichtenprotokollen nach 12 Monaten; automatische Löschung alter Benachrichtigungen, des Anmeldeverlaufs nach 180 Tagen und temporärer Importdaten nach 30 Tagen.
• Sichere Entwicklung: automatisierte Tests, einschließlich Tests der Kundentrennung und der Zugriffsrechte, und Prüfung der Abhängigkeiten auf Schwachstellen vor jeder Veröffentlichung; zeitnahe Sicherheitsaktualisierungen.
• Vorfallmanagement: ein Verfahren zur Erkennung, Bewertung, Eindämmung und Meldung von Verletzungen des Schutzes personenbezogener Daten.