Diese Seite ist nur auf Deutsch verfügbar.
VORLAGE – nicht verwenden, bevor sie rechtlich geprüft wurde. Rot markierte Punkte bestätigen oder ergänzen, insbesondere die Angaben in Anlage 1, die nur du beurteilen kannst. Kasten entfernen. Keine Rechtsberatung.
Vereinbarung zur Auftragsverarbeitung (Fernwartung)
Auftragsverarbeiter (Auftragnehmer): Deine Assistenten | Event & Agentur, Inhaber Ole Benfer, Bieler Str. 79, 58638 Iserlohn
Verantwortlicher (Auftraggeber): der Kunde laut Bestellung
Diese Vereinbarung ergänzt den Vertrag über die Nutzung von way45 (AGB). Sie gilt nur, soweit der Auftragnehmer im Rahmen einer vom Auftraggeber freigegebenen Fernwartung Zugriff auf personenbezogene Daten in der Installation des Auftraggebers erhält. Im übrigen Betrieb (Self-Hosting) hat der Auftragnehmer keinen Zugriff auf diese Daten.
1. Gegenstand, Dauer und Umfang
- Gegenstand: Unterstützung bei Einrichtung, Fehleranalyse und Konfiguration der way45-Installation des Auftraggebers über den in der Software vorgesehenen Fernwartungszugang.
- Auslöser: Der Zugang wird ausschließlich vom Auftraggeber (durch einen Administrator seiner Installation) angefordert. Er ist auf sechs Stunden befristet und kann jederzeit vorzeitig beendet werden – vom Auftraggeber und vom Auftragnehmer.
- Dauer: Die Vereinbarung gilt für die Laufzeit des Nutzungsvertrags. Eine Verarbeitung findet nur innerhalb der jeweils aktiven Freigabe statt.
2. Art und Zweck der Verarbeitung, Datenarten, Betroffene
- Art der Verarbeitung: Einsichtnahme und – soweit für die Störungsbeseitigung erforderlich – Änderung von Daten und Einstellungen in der Installation des Auftraggebers.
- Zweck: Support, Fehleranalyse, Konfigurationshilfe.
- Datenarten (abhängig von der Nutzung durch den Auftraggeber): Stammdaten von Teilnehmern, Referenten und Partnern (Name, Firma, Funktion, Anschrift, Telefon, E-Mail), Anmelde- und Check-in-Daten (Zeitpunkte), Notizen, Zugangsdaten von Team-Benutzern (Passwörter nur als Hash), hochgeladene Dateien und ggf. Standbilder der Kamera-Funktion.
- Betroffene: Teilnehmer, Referenten, Partner und Mitarbeitende des Auftraggebers.
- Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber trägt dafür Sorge, dass solche Daten nicht in die Software eingegeben werden.
3. Pflichten des Auftragnehmers
- Weisungen: Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; die Anforderung des Fernwartungszugangs und die zugehörige Support-Anfrage gelten als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
- Vertraulichkeit: Personen, die Zugriff erhalten, sind zur Vertraulichkeit verpflichtet.
- Technische und organisatorische Maßnahmen: Der Auftragnehmer setzt die in Anlage 1 beschriebenen Maßnahmen um und hält sie auf dem Stand der Technik.
- Keine Speicherung: Der Auftragnehmer kopiert oder exportiert keine personenbezogenen Daten des Auftraggebers und speichert sie nicht auf eigenen Systemen. Sind Screenshots oder Auszüge für die Fehleranalyse zwingend erforderlich, werden sie nur im nötigen Umfang erstellt und nach Abschluss des Falles unverzüglich gelöscht.
- Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber angemessen bei Anfragen Betroffener, bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden, soweit sie die Fernwartung betreffen.
- Meldung von Verletzungen: Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Fernwartung unverzüglich.
- Löschung und Rückgabe: Nach Ende einer Freigabe bzw. des Vertrags bestehen beim Auftragnehmer keine Daten des Auftraggebers mehr (Ziffer 3.4). Nachweise über gewährte Zugänge verbleiben in der Installation des Auftraggebers.
- Nachweise und Kontrollen: Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung und ermöglicht Überprüfungen, die der Auftraggeber oder ein von ihm beauftragter Prüfer nach Vorankündigung und in angemessenem Umfang durchführt. [[Prüfen: Umfang der Kontrollrechte (z. B. Selbstauskunft statt Vor-Ort-Prüfung)]]
4. Pflichten des Auftraggebers
- Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich.
- Er gibt den Fernwartungszugang nur frei, wenn und solange die Unterstützung erforderlich ist, und beendet ihn danach.
- Er benennt dem Auftragnehmer auf Anfrage Ansprechpartner für Datenschutzfragen.
5. Unterauftragsverarbeiter
Der Auftragnehmer setzt für die Fernwartung keine Unterauftragsverarbeiter ein, die Zugriff auf die Daten des Auftraggebers erhalten. Für die Kommunikation (Zugangslink per E-Mail) nutzt der Auftragnehmer E-Mail-Dienste seines Hosting-Anbieters; personenbezogene Daten der Betroffenen werden darüber nicht übermittelt. [[Prüfen: Support-Postfach und Hosting-Anbieter bestätigen; bei Änderungen Auftraggeber vorab informieren und Einspruchsrecht einräumen]]
6. Übermittlung in Drittländer
Eine Übermittlung personenbezogener Daten in Drittländer findet nicht statt.
7. Haftung
Für die Haftung gelten Art. 82 DSGVO und ergänzend die Haftungsregelungen der AGB, soweit gesetzlich zulässig.
8. Schlussbestimmungen
- Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen geht diese Vereinbarung den AGB im Hinblick auf den Datenschutz vor.
- Es gilt deutsches Recht.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Zugangs- und Zugriffskontrolle
- Fernwartung nur auf Anforderung eines echten Administrators des Auftraggebers; der Support-Zugang kann sich nicht selbst erneuern oder verlängern.
- Zugang über ein zufälliges Einmal-Token (160 Bit), befristet auf sechs Stunden; nach Ablauf oder Beendigung ungültig.
- Es ist immer nur ein Zugang gleichzeitig aktiv; eine neue Anforderung beendet einen laufenden alten Zugang.
- Der Auftraggeber und der Auftragnehmer können den aktiven Zugang jederzeit beenden; Beginn, Ende und Beendigungsgrund werden in der Installation des Auftraggebers festgehalten.
Übertragung und Trennung
- Verschlüsselte Übertragung (HTTPS mit HSTS).
- Die Daten verbleiben im Self-Hosting ausschließlich auf dem Webspace des Auftraggebers; der Auftragnehmer hält keine Kopie.
- Der Zugangslink wird nur an das Support-Postfach des Auftragnehmers gesendet und nach der Sitzung gelöscht. [[Prüfen: Löschung des Links aus dem Postfach nach Abschluss]]
Protokollierung
- Schreibende Verwaltungsaktionen werden im Aktionsprotokoll der Installation mit der Kennung „Support (Fernwartung)" festgehalten und sind dem Support-Zugang zuordenbar.
- [[Hinweis: Lesende Zugriffe werden derzeit nicht protokolliert – Erweiterung der Protokollierung erwägen bzw. Beschreibung entsprechend anpassen]]
Organisatorische Maßnahmen beim Auftragnehmer
- Zugriff ausschließlich durch den Inhaber bzw. durch schriftlich zur Vertraulichkeit verpflichtete Personen. [[Bestätigen: Ein-Personen-Betrieb oder weitere Personen]]
- Arbeitsplatz gesichert: [[Bestätigen: verschlüsselte Datenträger, Bildschirmsperre, automatische Sicherheitsupdates, Passwortmanager und Zwei-Faktor-Anmeldung für E-Mail und Hosting]]
- Keine dauerhafte Speicherung von Kundendaten auf lokalen Geräten; Screenshots nur im erforderlichen Umfang und nach Fallabschluss gelöscht.
- Sensibilisierung im Umgang mit Kundendaten; Prüfung der Maßnahmen mindestens jährlich.
Belastbarkeit, Wiederherstellung
- Datensicherung und Wiederherstellung der Installation liegen im Verantwortungsbereich des Auftraggebers (siehe AGB). Änderungen im Rahmen der Fernwartung nimmt der Auftragnehmer nach Absprache und nach Möglichkeit erst nach einer Sicherung vor.