Vereinbarung zur Auftragsverarbeitung

Für die Zwecke dieser Vereinbarung zur Auftragsverarbeitung ("DPA") gilt:

• "Verantwortlicher" bezeichnet die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
• "Auftragsverarbeiter" bezeichnet die natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• "Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• "Verarbeitung" bezeichnet jeden Vorgang mit personenbezogenen Daten, einschließlich Erhebung, Speicherung, Nutzung, Offenlegung oder Löschung.
• "Betroffene Person" bezeichnet die Person, auf die sich personenbezogene Daten beziehen.
• "Unterauftragsverarbeiter" bezeichnet jeden von Chargezen mit der Verarbeitung personenbezogener Daten beauftragten Dritten.

Diese DPA gilt für die Verarbeitung personenbezogener Daten durch Chargezen (als Auftragsverarbeiter) im Auftrag des Kunden (als Verantwortlicher) im Zusammenhang mit den gemäß den Nutzungsbedingungen erbrachten Diensten.

Chargezen verarbeitet personenbezogene Daten ausschließlich:

• Zum Zweck der Erbringung der Dienste
• Soweit dies zur Einhaltung geltenden Rechts erforderlich ist
• Nach sonstiger schriftlicher Weisung des Kunden

Der Kunde sichert zu und gewährleistet, dass:

• Er über alle erforderlichen Rechte und Einwilligungen verfügt, um Chargezen personenbezogene Daten bereitzustellen
• Er alle geltenden Datenschutzgesetze einhalten wird
• Seine Weisungen zur Verarbeitung kein geltendes Recht verletzen werden
• Er für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten verantwortlich ist

Chargezen verpflichtet sich:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten
• Sicherzustellen, dass zur Verarbeitung personenbezogener Daten befugtes Personal zur Vertraulichkeit verpflichtet ist
• Geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen
• Den Kunden bei der Beantwortung von Anfragen betroffener Personen zu unterstützen
• Den Kunden bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden zu unterstützen
• Personenbezogene Daten bei Beendigung nach Wahl des Kunden zu löschen oder zurückzugeben
• Die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen

Chargezen unterhält umfassende Sicherheitsmaßnahmen, darunter:

• Verschlüsselung: AES-256-Verschlüsselung gespeicherter Daten, TLS 1.3 bei der Übertragung
• Zugriffskontrolle: rollenbasierter Zugriff, MFA, SSO-Unterstützung
• Überwachung: Sicherheitsüberwachung und Bedrohungserkennung rund um die Uhr
• Infrastruktur: nach SOC 2 Typ II zertifizierte Hosting-Anbieter
• Schwachstellenmanagement: regelmäßige Penetrationstests und Sicherheitsaudits
• Reaktion auf Vorfälle: dokumentierte Verfahren zur Reaktion auf Vorfälle

Der Kunde ermächtigt Chargezen, Unterauftragsverarbeiter für Verarbeitungstätigkeiten einzusetzen. Chargezen wird:

• Eine aktuelle Liste der Unterauftragsverarbeiter führen (auf Anfrage erhältlich)
• Den Kunden über beabsichtigte Änderungen bei Unterauftragsverarbeitern informieren
• Schriftliche Vereinbarungen mit Unterauftragsverarbeitern schließen, die gleichwertige Datenschutzpflichten auferlegen
• Für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter haftbar bleiben

Der Kunde kann innerhalb von 30 Tagen nach Benachrichtigung einem neuen Unterauftragsverarbeiter widersprechen. Wird der Widerspruch des Kunden nicht ausgeräumt, kann der Kunde die betroffenen Dienste kündigen.

Chargezen darf personenbezogene Daten unter Einhaltung der DSGVO-Anforderungen außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln und nutzt dafür:

• Standardvertragsklauseln (SCCs): von der EU genehmigte Musterklauseln für Datenübermittlungen
• Angemessenheitsbeschlüsse: Übermittlungen in Länder mit angemessenem Schutz
• Zusätzliche Garantien: Verschlüsselung und Zugriffskontrollen als ergänzende Maßnahmen

Für Übermittlungen in die Vereinigten Staaten setzt Chargezen zusätzliche technische Maßnahmen zum Schutz vor staatlichem Zugriff um.

Chargezen unterstützt den Kunden bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen, darunter:

• Auskunft über personenbezogene Daten
• Berichtigung unrichtiger Daten
• Löschung ("Recht auf Vergessenwerden")
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen die Verarbeitung

Chargezen informiert den Kunden unverzüglich, wenn eine Anfrage einer betroffenen Person eingeht.

Bei einer Verletzung des Schutzes personenbezogener Daten wird Chargezen:

• Den Kunden ohne unangemessene Verzögerung benachrichtigen (innerhalb von 72 Stunden nach Bekanntwerden)
• Informationen über die Art der Verletzung, die Kategorien betroffener Daten und die wahrscheinlichen Folgen bereitstellen
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung beschreiben
• Bei der Untersuchung und den Benachrichtigungspflichten des Kunden mitwirken

Der Kunde hat das Recht, die Einhaltung dieser DPA durch Chargezen zu prüfen. Prüfungen können durchgeführt werden:

• Durch den Kunden oder einen unabhängigen externen Prüfer (unter Wahrung der Vertraulichkeit)
• Nach angemessener Vorankündigung (mindestens 30 Tage)
• Höchstens einmal jährlich (sofern eine Aufsichtsbehörde nichts anderes verlangt)
• Auf Kosten des Kunden (es sei denn, die Prüfung ergibt einen wesentlichen Verstoß)

Chargezen stellt auf Anfrage unter einer Vertraulichkeitsvereinbarung auch Prüfberichte bereit (z. B. SOC 2 Typ II).

Diese DPA bleibt für die Laufzeit der Dienstleistungsvereinbarung in Kraft. Bei Beendigung:

• Stellt Chargezen die Verarbeitung personenbezogener Daten ein (außer soweit gesetzlich vorgeschrieben)
• Löscht Chargezen nach Wahl des Kunden sämtliche personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie zurück
• Bestätigt Chargezen die Löschung auf Anfrage schriftlich

Die Haftung aus dieser DPA unterliegt den Beschränkungen der Dienstleistungsvereinbarung. Jede Partei haftet nur für Schäden durch eine Verarbeitung, die gegen Folgendes verstößt:

• Diese DPA
• Geltende Datenschutzgesetze
• Rechtmäßige Weisungen des Kunden