AVV 🤝

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO.

Er gilt automatisch für alle Kunden (Verantwortliche), die Leistungen des Auftragsverarbeiters im Rahmen des Hauptvertrags nutzen.

Die Geltungsdauer entspricht der Laufzeit des Hauptvertrags.

Die Verarbeitung personenbezogener Daten erfolgt durch den Auftragsverarbeiter ausschließlich, um dem Verantwortlichen die Nutzung der Software zu ermöglichen. Die Daten werden ausschließlich innerhalb der Software im Auftrag des Verantwortlichen verarbeitet, damit dieser die Software mit seinen eigenen Daten für seine eigenen Zwecke einsetzen kann. Eine Nutzung der Daten zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

Arten personenbezogener Daten

• Stammdaten (Name, Vorname)
• Kontaktdaten (E-Mail, Telefonnummer)
• Nutzungsdaten
• Kommunikationsdaten
• Kontextbezogene Daten zur Marke und zu Kunden
• Authentifizierungs- und Berechtigungsdaten über OAuth-Schnittstellen

Kategorien betroffener Personen

• Endkunden der Agenturen
• Mitarbeiter der Agenturen

Der Auftragsverarbeiter verpflichtet sich:

• Verarbeitung ausschließlich auf dokumentierte Weisungen des Verantwortlichen.
• Verpflichtung der Mitarbeiter auf Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen (TOMs).
• Unterstützung des Verantwortlichen bei Betroffenenrechten.
• Meldung von Datenschutzverletzungen.
• Löschung oder Rückgabe der Daten nach Beendigung des Vertrags.

Der Auftragsverarbeiter trifft die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Soweit physische und infrastrukturelle Maßnahmen betroffen sind, werden diese durch die zertifizierten Rechenzentren der eingesetzten Unterauftragsverarbeiter (AWS, Region EU Frankfurt; Google Cloud, EU-Regionen; jeweils u. a. nach ISO 27001 zertifiziert) sichergestellt.

Zutrittskontrolle (physischer Zutritt)

• Verarbeitung ausschließlich in zertifizierten Rechenzentren der Unterauftragsverarbeiter mit Zutrittskontrollsystemen, Bewachung und Protokollierung; der Auftragsverarbeiter betreibt keine eigenen Rechenzentren.

Zugangskontrolle (Schutz vor unbefugter Systemnutzung)

• Individuelle, benutzerbezogene Konten (keine Sammelkonten)
• Passwortrichtlinien und verschlüsselte Passwortspeicherung
• Mehr-Faktor-Authentifizierung für administrative Zugänge
• Automatische Sperrung bei Inaktivität
• Firewalls und Netzsegmentierung

Zugriffskontrolle (Schutz vor unbefugtem Datenzugriff)

• Rollenbasiertes Berechtigungskonzept nach dem Prinzip der minimalen Rechtevergabe (Least Privilege)
• Beschränkung administrativer Zugriffe auf einen definierten Personenkreis
• Verschlüsselung der Daten bei der Übertragung (TLS/SSL) und im Ruhezustand (Encryption at Rest)

Trennungskontrolle (getrennte Verarbeitung)

• Logische Mandantentrennung der Daten in der Multi-Tenant-Architektur (Trennung auf Ebene Organisation, Workspace und Ressourcen)
• Technische Sicherstellung, dass jeder Verantwortliche ausschließlich auf die ihm zugeordneten Daten zugreifen kann
• Getrennte Verarbeitung nach Verwendungszweck
• Trennung von Produktiv-, Test- und Entwicklungsumgebungen

Pseudonymisierung

• Personenbezogene Daten werden, soweit für den jeweiligen Zweck technisch möglich und zumutbar, pseudonymisiert verarbeitet
• Trennung von Identifikationsmerkmalen und Inhaltsdaten
• Einsatz nicht direkt personenbeziehbarer Kennungen (IDs) anstelle von Klardaten in Protokollen und in der Nutzungsanalyse (PostHog, EU)

Weitergabekontrolle (Schutz bei Übermittlung)

• Verschlüsselte Datenübertragung (TLS/SSL)
• Datenverarbeitung ausschließlich innerhalb der EU/des EWR
• Vertragliche Bindung aller Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO)

Eingabekontrolle (Nachvollziehbarkeit)

• Protokollierung von Eingabe, Änderung und Löschung personenbezogener Daten (Audit-Logs)
• Nachvollziehbarkeit, durch wen Daten eingegeben, verändert oder entfernt wurden, über benutzerbezogene Konten
• Aufbewahrung der Protokolldaten für einen definierten Zeitraum

Verfügbarkeits- und Belastbarkeitskontrolle (Art. 32 Abs. 1 lit. b, c)

• Regelmäßige, automatisierte Backups (Aufbewahrung bis zu 30 Tagen)
• Redundante Infrastruktur der Cloud-Anbieter
• Verfahren zur zeitnahen Wiederherstellung der Verfügbarkeit und des Zugangs zu den Daten nach einem Zwischenfall
• Regelmäßige Überprüfung der Wiederherstellbarkeit

Auftrags-/Weisungskontrolle

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
• Verpflichtung der Mitarbeiter auf Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d, Art. 24 Abs. 1 DSGVO)

• Datenschutzmanagement: interne Datenschutzrichtlinien, Führung eines Verzeichnisses von Verarbeitungstätigkeiten, definierte Verantwortlichkeiten sowie regelmäßige Sensibilisierung und Schulung der Mitarbeiter
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Privacy by Design und by Default, Art. 25 DSGVO)
• Regelmäßige, mindestens jährliche sowie anlassbezogene Überprüfung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen
• Incident-Response-Management: definierter Prozess zur Erkennung, internen Meldung, Bewertung und Behandlung von Verletzungen des Schutzes personenbezogener Daten; unverzügliche Information des Verantwortlichen zur Ermöglichung dessen Meldepflichten nach Art. 33 und 34 DSGVO

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

• Amazon Web Services (AWS), Region EU Frankfurt - Cloud-Infrastruktur
• Google Cloud Platform (GCP), Europa-Regionen - Cloud-Dienste
• Posthog (EU) - Analytics

Die Verantwortlichen stimmen dem Einsatz dieser Unterauftragsverarbeiter durch Nutzung der Leistungen zu.

Die Verantwortlichen bleiben für die Rechtmäßigkeit der Verarbeitung verantwortlich. Sie haben das Weisungsrecht und sind berechtigt, Nachweise und Audits anzufordern.

Nach Beendigung der Hauptvertragsbeziehung werden die personenbezogenen Daten entweder gelöscht oder auf Wunsch an den Verantwortlichen zurückgegeben.

Ansprechpartner für Datenschutz

Dieser AVV ist Bestandteil der Vertragsbeziehung zwischen Glorya GmbH und ihren Kunden und gilt automatisch für alle bestehenden und zukünftigen Kunden. Mit Nutzung der Leistungen der Glorya GmbH akzeptieren die Kunden diesen AVV.

Änderungen und Ergänzungen werden auf der Website veröffentlicht und gelten ab Veröffentlichung. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des übrigen Vertrags unberührt.