Datenverarbeitungsvertrag (DPA)

Dieser Datenverarbeitungsvertrag ist Teil der Vertragsbeziehung zwischen Chronos Web Tech Kft. ("Auftragsverarbeiter") und dem Kunden, der den Appointio-Dienst nutzt ("Verantwortlicher"). Zweck ist es, die Bedingungen festzulegen, unter denen der Auftragsverarbeiter personenbezogene Daten im Namen des Verantwortlichen im Zusammenhang mit der Online-Terminplanungsplattform Appointio verarbeitet.

Verarbeitungstätigkeiten können die Erfassung von Termininformationen, die Speicherung von Kundendatensätzen, die Synchronisierung mit verbundenen Kalenderdiensten, die Verarbeitung von Erinnerungsbenachrichtigungen, die mit der Rechnungsstellung verbundene Verarbeitung, technischen Support, Systemwartung und die Erstellung von Backups umfassen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zwecke der Erbringung der Dienste.

Je nach Verwendung durch den Verantwortlichen können personenbezogene Daten Namen, E-Mail-Adressen, Telefonnummern, Termindetails, Abrechnungsinformationen, Kommunikationsverlauf, IP-Adressen, technische Geräteinformationen und Kalenderereignisinformationen umfassen, wenn die Google Calendar-Integration aktiviert ist. Die Verarbeitung kann sich auf Kunden, potenzielle Kunden, Mitarbeiter, Auftragnehmer, Geschäftspartner und andere Personen beziehen, deren personenbezogene Daten vom Verantwortlichen in die Dienste eingegeben werden.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur nach dokumentierten Weisungen des Verantwortlichen, es sei denn, geltendes Recht sieht anderslautend vor. Personal, das zur Verarbeitung personenbezogener Daten befugt ist, unterliegt Vertraulichkeitsverpflichtungen, erhält angemessene Datenschutz- und Sicherheitsschulungen und greift nur bei Bedarf auf personenbezogene Daten zu. Vertraulichkeitsverpflichtungen bestehen über die Beendigung des Beschäftigungsverhältnisses und die Kündigung dieser Vereinbarung hinaus.

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Maßnahmen können TLS-Verschlüsselung bei der Übertragung, verschlüsselte Backups, sichere Authentifizierungsmechanismen, Zugriffskontrolle, Grundsätze der geringsten Privilegierung, Sicherheitsüberwachung, Protokollierung, regelmäßige Softwareupdates, Schwachstellenmanagement und Malware-Schutz umfassen.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzuschalten, sofern der Auftragsverarbeiter Unterauftragsverarbeiter sorgfältig auswählt, vertraglich gleichwertige Datenschutzverpflichtungen auferlegt werden und der Auftragsverarbeiter für die Leistung seiner Unterauftragsverarbeiter verantwortlich bleibt. Eine aktuelle Liste der Unterauftragsverarbeiter wird separat geführt.

Wenn personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, stellt der Auftragsverarbeiter sicher, dass angemessene Schutzmaßnahmen umgesetzt werden, einschließlich Standardvertragsklauseln (SCCs), Angemessenheitsbeschlüssen oder anderen nach der DSGVO anerkannten rechtmäßigen Übermittlungsmechanismen.

Der Auftragsverarbeiter leistet angemessene Unterstützung, damit der Verantwortliche seinen Verpflichtungen in Bezug auf Anfragen betroffener Personen, Sicherheitsverpflichtungen, Benachrichtigungen über Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgeabschätzungen (DSFA) und vorherige Anhörung von Aufsichtsbehörden, sofern erforderlich, nachkommen kann.

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten, die die im Namen des Verantwortlichen verarbeiteten personenbezogenen Daten betreffen, Kenntnis erlangt hat. Die Benachrichtigung enthält, soweit verfügbar, die Art der Verletzung, die Kategorien betroffener Daten, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und Kontaktinformationen für Rückfragen.

Bei Beendigung der Dienste kann der Verantwortliche die Rückgabe personenbezogener Daten in einem strukturierten, gängigen und maschinenlesbaren Format verlangen, soweit technisch machbar; oder die sichere Löschung personenbezogener Daten, es sei denn, die Aufbewahrung ist gesetzlich vorgeschrieben. Backups, die personenbezogene Daten enthalten, werden gemäß der Richtlinie zur Datenaufbewahrung & Löschung des Unternehmens gelöscht.

Bei angemessener Vorankündigung kann der Verantwortliche Informationen anfordern, die die Einhaltung dieser Vereinbarung durch den Auftragsverarbeiter belegen. Gegebenenfalls kann der Auftragsverarbeiter Audit-Anforderungen durch die Bereitstellung von Sicherheitsdokumentationen, Compliance-Berichten, Zertifikaten (falls vorhanden), Audit-Zusammenfassungen oder unabhängigen Bewertungen nachkommen. Physische Vor-Ort-Audits unterliegen angemessenen Vertraulichkeits-, Sicherheits- und Betriebsanforderungen.

Jede Partei bleibt für ihre eigene Einhaltung der geltenden Datenschutzgesetzgebung verantwortlich. Diese Vereinbarung unterliegt den auf die Hauptdienstvereinbarung anwendbaren Gesetzen, es sei denn, die Parteien vereinbaren etwas anderes. Im Falle eines Widerspruchs zwischen dieser Vereinbarung und der Hauptdienstvereinbarung hinsichtlich der Verarbeitung personenbezogener Daten hat diese Vereinbarung insoweit Vorrang, als der Widerspruch reicht.