Auftragsverarbeitungsvereinbarung

Dieser AVV regelt die Verarbeitung personenbezogener Kundendaten durch HansaChat zur Bereitstellung des Dienstes. Gegenstand, Art, Zweck, Datenarten, Kategorien betroffener Personen und Dauer werden in Anlage 1 festgelegt.

Der Kunde bestimmt Zwecke und wesentliche Mittel der Verarbeitung von Workspace-Inhalten. HansaChat verarbeitet diese Daten im Auftrag des Kunden. Nicht erfasst sind personenbezogene Daten, die HansaChat für Abrechnung, Kontoverwaltung, Dienstsicherheit, Missbrauchsprävention, Supportverwaltung oder Compliance als eigenständig Verantwortlicher verarbeitet; hierfür gilt die Datenschutzerklärung.

HansaChat verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisungen gelten insbesondere der Nutzungsvertrag, dieser AVV, die Nutzung und Konfiguration des Dienstes durch den Kunden sowie spätere Weisungen in Textform. Ist HansaChat aufgrund von Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet, wird der Kunde vorab informiert, sofern das betreffende Recht diese Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

HansaChat informiert den Kunden unverzüglich, wenn eine Weisung nach eigener Auffassung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften der Union oder eines Mitgliedstaats verstößt, und darf die betroffene Weisung aussetzen, bis sie bestätigt oder geändert wird.

HansaChat gewährleistet, dass jede zur Verarbeitung personenbezogener Kundendaten befugte Person zur Vertraulichkeit verpflichtet ist oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegt. Zugriff wird nur gewährt, soweit er für Betrieb, Wartung, Fehlerbehebung, Sicherheit, Missbrauchsprävention, rechtliche Pflichten oder vom Kunden angeforderten Support erforderlich ist.

Soweit § 3 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) anwendbar ist, schützt HansaChat auch den Inhalt und die näheren Umstände der Kommunikation als Fernmeldegeheimnis. HansaChat verschafft sich keine Kenntnis über das für die Erbringung des Kommunikationsdienstes oder den Schutz seiner technischen Systeme erforderliche Maß hinaus und nutzt solche Kenntnisse nur dann für andere Zwecke, wenn ein Gesetz dies mit ausdrücklichem Bezug auf Telekommunikationsvorgänge erlaubt.

Die Vertraulichkeitspflicht gilt über das Ende der Tätigkeit und des Nutzungsvertrags hinaus.

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung hält HansaChat angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO aufrecht. Die derzeitigen Maßnahmen sind in Anlage 2 und auf der Sicherheitsseite beschrieben.

HansaChat darf die Maßnahmen entsprechend technischer Entwicklungen und veränderter Risiken aktualisieren, sofern das Schutzniveau während des Nutzungsvertrags insgesamt nicht wesentlich verringert wird.

Der Kunde erteilt HansaChat die allgemeine schriftliche Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. HansaChat verpflichtet jeden Unterauftragsverarbeiter im Wesentlichen auf dieselben Datenschutzpflichten, bleibt für dessen Leistung nach diesem AVV verantwortlich und hält die Liste aktuell.

HansaChat informiert den Kunden mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, der personenbezogene Kundendaten verarbeitet, per E-Mail an den Kontokontakt oder durch einen deutlich sichtbaren Hinweis im Dienst. Ist eine kurzfristigere Änderung zur Abwehr eines dringenden Sicherheits-, Rechts- oder Verfügbarkeitsrisikos notwendig, informiert HansaChat so bald wie vernünftigerweise möglich.

Der Kunde kann innerhalb der Ankündigungsfrist aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen nach Treu und Glauben eine wirtschaftlich angemessene Lösung. Ist keine Lösung möglich, darf der Kunde den betroffenen Dienst vor Beginn der Verarbeitung durch den neuen Unterauftragsverarbeiter beenden; ein vorausbezahlter, nicht genutzter Zeitraum dieses betroffenen Dienstes wird nicht berechnet.

Der primäre Workspace-Speicher befindet sich in Deutschland. Verschlüsselte Restic-Backup-Kopien werden in Frankfurt, Stockholm und London gespeichert. Netzwerkbereitstellung und optionale Zusatzfunktionen können weitere in Anlage 3 genannte Orte betreffen.

HansaChat übermittelt personenbezogene Kundendaten nur dann an ein Drittland oder eine internationale Organisation, wenn der Kunde dies anweist, eine aktivierte Dienstfunktion dies erfordert oder eine gesetzliche Pflicht besteht, und nur unter Einhaltung von Kapitel V DSGVO. Geeignete Garantien können ein Angemessenheitsbeschluss, die Standardvertragsklauseln der Europäischen Kommission und ergänzende technische und organisatorische Maßnahmen sein.

Erhält HansaChat eine Anfrage einer betroffenen Person zu personenbezogenen Kundendaten, leitet HansaChat sie unverzüglich an den Kunden weiter und beantwortet sie nur, wenn der Kunde dies gestattet oder eine gesetzliche Pflicht besteht.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt HansaChat den Kunden angemessen bei Betroffenenrechten und bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere hinsichtlich Sicherheit, Bewertung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation.

HansaChat informiert den Kunden unverzüglich, nachdem HansaChat eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist. Die Meldung enthält die HansaChat vorliegenden Informationen, die der Kunde vernünftigerweise zur Erfüllung seiner Pflichten aus Art. 33 und 34 DSGVO benötigt. Weitere Informationen können schrittweise nachgereicht werden.

HansaChat trifft angemessene Maßnahmen zur Eindämmung, Untersuchung, Behebung und Minderung der Verletzung und arbeitet mit dem Kunden zusammen. Eine Meldung stellt kein Anerkenntnis von Verschulden oder Haftung dar.

Nach Ende der Verarbeitungsleistungen gibt HansaChat nach Wahl des Kunden alle personenbezogenen Kundendaten zurück oder löscht sie einschließlich vorhandener Kopien, sofern keine Speicherungspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Der Kunde muss die Rückgabe vor dem Löschdatum des Workspace anfordern; ohne Weisung gilt die Löschung als gewählt.

Kostenpflichtige Workspaces werden nach Kündigung schreibgeschützt und nach 30 Tagen gelöscht. Demo-Workspaces werden nach 24 Stunden, kostenlose Workspaces nach 60 Tagen Inaktivität gelöscht. Hochgeladene Dateien werden zusammen mit dem Workspace gelöscht. Backup-Kopien laufen nach dem Zeitplan in Anlage 2 aus; Backups mit gelöschten Workspace-Daten werden 30 Tage nach dem letzten Backup gelöscht, das diese Daten enthält.

HansaChat stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise zum Nachweis der Einhaltung von Art. 28 DSGVO und dieses AVV erforderlich sind. Der Kunde kann die erfasste Verarbeitung selbst oder durch einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer kontrollieren.

Kontrollen sollen grundsätzlich mit vorhandenen Unterlagen und einer Fernprüfung beginnen. Eine Vor-Ort-Prüfung ist möglich, wenn Unterlagen nicht ausreichen oder begründete Hinweise auf einen Verstoß bestehen, mit angemessener Vorankündigung und ohne Daten anderer Kunden, Sicherheit oder Geschäftsgeheimnisse zu gefährden. Der Kunde trägt angemessene Prüfungskosten, sofern kein wesentlicher Verstoß von HansaChat festgestellt wird. Befugnisse der Aufsichtsbehörden bleiben unberührt.

Dieser AVV beginnt, sobald er nach Maßgabe des Abschnitts Vertragsstatus verbindlich wird, und gilt, bis HansaChat alle personenbezogenen Kundendaten gelöscht hat. Kann HansaChat diesen AVV nicht einhalten, wird der Kunde unverzüglich informiert. Der Kunde darf die Verarbeitung aussetzen oder den betroffenen Dienst beenden, wenn ein wesentlicher Verstoß nicht innerhalb angemessener Frist behoben wird.

Haftung, anwendbares Recht und Gerichtsstand richten sich nach dem Nutzungsvertrag, soweit zwingendes Datenschutzrecht nichts anderes verlangt. Rechte betroffener Personen und Befugnisse einer zuständigen Aufsichtsbehörde werden durch diesen AVV nicht beschränkt.