1. Parteien und Gegenstand
Verantwortlicher ist der im Einzelauftrag genannte Kunde. Auftragsverarbeiter ist Can Harmanci – Einzelunternehmen, Kölner Straße 59, 50226 Frechen. Gegenstand ist die im Einzelauftrag beschriebene Einrichtung und der Betrieb des ATLAS TGA Assistent. Laufzeit und Beendigung richten sich nach dem Hauptvertrag.
2. Art und Zweck der Verarbeitung
ATLAS kann eingehende Projektanfragen und Anlagen erfassen, projektbezogene Angaben ordnen, fehlende Informationen markieren, Entwürfe vorbereiten, vereinbarte Zielsysteme aktualisieren und Freigaben dokumentieren. Art, Umfang und zulässige Zwecke werden kundenspezifisch in Anlage 1 festgehalten.
3. Datenarten und betroffene Personen
Möglich sind insbesondere geschäftliche Kontakt- und Kommunikationsdaten, Projekt- und Gebäudedaten, Dokumentnamen und -inhalte, Bearbeitungsstatus, Freigabeentscheidungen sowie technische Protokolldaten. Betroffen sein können Ansprechpartner des Kunden, dessen Auftraggeber, Projektpartner, Beschäftigte und weitere in Projektunterlagen genannte Personen. Die konkrete Auswahl wird auf das erforderliche Maß begrenzt.
4. Weisungen und Vertraulichkeit
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Kunden, sofern keine gesetzliche Pflicht entgegensteht. Mit der Verarbeitung befasste Personen werden auf Vertraulichkeit verpflichtet. Erkennbare rechtswidrige Weisungen werden dem Kunden unverzüglich mitgeteilt.
5. Sicherheit der Verarbeitung
Die technischen und organisatorischen Maßnahmen werden in Anlage 2 festgehalten. Dazu gehören nach Risikolage insbesondere verschlüsselte Übertragung, Rollen und minimale Zugriffsrechte, getrennte Zugangsschlüssel, Protokollierung, Wiederherstellungsverfahren, Datensparsamkeit, Löschregeln, Freigaben vor Außenkommunikation und regelmäßige Prüfungen.
6. Unterauftragnehmer
Die tatsächlich eingesetzten Unterauftragnehmer, Leistungen, Verarbeitungsorte und Transfergrundlagen werden vor Produktivbetrieb in Anlage 3 aufgeführt. Neue Unterauftragnehmer werden nach dem vereinbarten Informations- und Widerspruchsverfahren eingebunden. Der Auftragsverarbeiter verpflichtet Unterauftragnehmer mindestens zu gleichwertigen Datenschutzpflichten.
7. Unterstützung des Kunden und Vorfälle
Der Auftragsverarbeiter unterstützt den Kunden im vereinbarten Umfang bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen, Nachweisen und der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO. Datenschutzverletzungen werden dem Kunden nach Bekanntwerden ohne unangemessene Verzögerung mit den verfügbaren Informationen zu Art des Vorfalls, betroffenen Daten, möglichen Folgen und ergriffenen Maßnahmen gemeldet. Fehlende Informationen werden nachgereicht, sobald sie vorliegen.
8. Nachweise und Prüfungen
Der Auftragsverarbeiter stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht angemessene Prüfungen nach vorheriger Abstimmung. Betriebs- und Geschäftsgeheimnisse, Rechte anderer Kunden und die Sicherheit der Systeme bleiben geschützt.
9. Rückgabe, Export und Löschung
Nach Ende der Leistung werden personenbezogene Daten nach Weisung des Kunden in einem vereinbarten gängigen Format zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Formate, Abruffrist, Sicherungskopien, Löschzeitpunkt und ein geeigneter Nachweis der Löschung werden im Einzelauftrag festgelegt. Gesetzlich aufzubewahrende Restdaten werden gesperrt und nur für den vorgeschriebenen Zweck verarbeitet.
10. Internationale Übermittlungen
Übermittlungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf einer Grundlage nach Kapitel V DSGVO. Die konkrete Grundlage, ergänzende Maßnahmen und Speicherorte werden in der Unterauftragnehmerliste dokumentiert.
Anlage 1 – Kundenspezifische Verarbeitung
Vor Produktivstart einzutragen: Systeme und Postfächer, Zwecke, Datenkategorien, betroffene Personengruppen, erlaubte Verarbeitungsschritte, Freigabepersonen, Laufzeit sowie fachliche Grenzen.
Anlage 2 – Technische und organisatorische Maßnahmen
Vor Produktivstart einzutragen: Hostingregion, Verschlüsselung, Rollen und Rechte, Anmeldung, Protokollierung, Sicherungen, Wiederanlauf, Löschkonzept, Test- und Produktivtrennung, Vorfallsprozess und Kontrollintervalle.
Anlage 3 – Unterauftragnehmer
Vor Produktivstart einzutragen: Anbieter, konkrete Leistung, Verarbeitungsort, Transfergrundlage, Vertragsstatus, eingesetzte Unterauftragnehmer und Datum der Information oder Freigabe durch den Kunden.
Anlage 4 – Löschung und Unterstützung
Vor Produktivstart einzutragen: Aufbewahrungs- und Löschfristen, Exportformat, Abruffrist, Umgang mit Sicherungskopien, Kontaktweg für Betroffenenanfragen und Sicherheitsvorfälle sowie vereinbarte Prüf- und Unterstützungsleistungen.