Auftragsverarbeitung
Diese Vereinbarung konkretisiert die Pflichten der Parteien, soweit wir personenbezogene Daten im Auftrag des Kunden verarbeiten. Sie ist Bestandteil des Hauptvertrags über die Nutzung der Plattform.
01Gegenstand und Dauer
Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Plattform kerntic. Die Verarbeitung erfolgt ausschließlich zu den im Hauptvertrag festgelegten Zwecken und für dessen Laufzeit.
Verantwortlicher im Sinne von Artikel 4 Nummer 7 DSGVO ist der Kunde. Wir handeln als Auftragsverarbeiter nach Artikel 4 Nummer 8 DSGVO.
02Art der Daten und Betroffene
| Kategorie | Umfang |
|---|---|
| Betroffene Personen | Beschäftigte des Kunden mit Zugang zur Plattform, in Stellenangeboten genannte Ansprechpartner |
| Datenarten | Name, dienstliche Kontaktdaten, Rolle und Berechtigung, Protokolldaten der Nutzung |
| Verarbeitungsvorgänge | Erheben, Speichern, Ordnen, Auslesen, Übermitteln an vereinbarte Veröffentlichungskanäle, Löschen |
Bewerberdaten werden nicht Bestandteil dieser Verarbeitung, soweit der Kunde die Bewerbung über sein eigenes System entgegennimmt.
03Weisungsbindung
Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen erteilt der im Hauptvertrag benannte Ansprechpartner in Textform.
Sind wir der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weisen wir den Kunden unverzüglich darauf hin und sind berechtigt, die Ausführung bis zur Bestätigung auszusetzen.
04Technische und organisatorische Maßnahmen
Wir treffen die nach Artikel 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in einer Anlage zum Vertrag dokumentiert und werden regelmäßig überprüft.
- Zutritts-, Zugangs- und Zugriffskontrolle nach dem Prinzip der geringsten Rechte.
- Verschlüsselung bei Übertragung und Speicherung.
- Trennung der Daten unterschiedlicher Kunden.
- Protokollierung von Zugriffen und Änderungen.
- Regelmäßige Sicherung und geprüfte Wiederherstellung.
Einzelheiten führt unsere Sicherheitsübersicht auf.
05Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz von Unterauftragsverarbeitern zu, soweit diese in der Anlage zum Vertrag aufgeführt sind. Wir verpflichten Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht.
Eine Änderung der Liste teilen wir mindestens dreißig Tage im Voraus mit. Der Kunde kann innerhalb dieser Frist widersprechen; besteht ein sachlicher Grund und lässt sich keine Einigung erzielen, steht ihm ein Sonderkündigungsrecht zu.
06Unterstützungspflichten
Wir unterstützen den Kunden bei der Beantwortung von Anträgen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde.
Wenden sich betroffene Personen unmittelbar an uns, leiten wir das Anliegen unverzüglich an den Kunden weiter und beantworten es nicht selbst.
07Meldung von Verletzungen
Verletzungen des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, spätestens innerhalb von vierundzwanzig Stunden nach Kenntnis. Die Meldung enthält die nach Artikel 33 Absatz 3 DSGVO erforderlichen Angaben, soweit sie uns vorliegen.
08Nachweise und Kontrollen
Wir weisen die Einhaltung dieser Vereinbarung auf Anforderung nach, insbesondere durch aktuelle Dokumentation der Maßnahmen. Der Kunde ist berechtigt, sich nach angemessener Voranmeldung während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen.
Kontrollen werden so durchgeführt, dass der Betrieb nicht unverhältnismäßig beeinträchtigt wird und die Rechte anderer Kunden gewahrt bleiben.
09Löschung nach Beendigung
Nach Abschluss der Verarbeitung löschen wir sämtliche personenbezogenen Daten oder geben sie nach Wahl des Kunden zurück. Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Die Löschung wird dem Kunden auf Anforderung bestätigt.