Gegenstand dieser Vereinbarung ist die Konkretisierung der Pflichten der Parteien im Zusammenhang mit dem Datenschutz, die sich aus dem Hauptvertrag über das Zammad-Hosting (siehe AGB) ergeben. Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags.
Zweck der Verarbeitung: Bereitstellung und Betrieb einer
dedizierten Zammad-Instanz für den Kunden als Ticketsystem für dessen
Kundenkommunikation.
Art der Daten: Insbesondere Namen, Kontaktdaten (E-Mail,
Telefon), Ticketinhalte und ggf. weitere vom Kunden in Zammad hinterlegte Daten.
Kreis der Betroffenen: Kund:innen, Mitarbeitende und sonstige
Kontaktpersonen des Kunden, die über die Zammad-Instanz kommunizieren.
Der Auftragsverarbeiter (it-clemens.de) verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen (Kunde), es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet. Er stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.
Der Kunde hat das Recht, jederzeit Weisungen zu Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen werden unverzüglich in Textform bestätigt.
Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen zum Schutz der Daten gemäß Art. 32 DSGVO, u. a.:
[Detaillierte TOM-Anlage ergänzen: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle, Trennungsgebot – konkret pro Rechenzentrum/Provider.]
Der Einsatz von Unterauftragsverarbeitern (z. B. Hosting-Infrastruktur) ist zulässig. Der Auftragsverarbeiter informiert den Verantwortlichen über die aktuell eingesetzten Unterauftragsverarbeiter und etwaige beabsichtigte Änderungen; der Verantwortliche kann diesen Änderungen aus wichtigem Grund widersprechen.
[Liste aktueller Unterauftragsverarbeiter ergänzen]
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich.
Der Verantwortliche hat das Recht, sich von der Einhaltung der in dieser Vereinbarung festgelegten Pflichten zu überzeugen, insbesondere durch Einholung von Auskünften und Nachweisen (z. B. Zertifizierungen).
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
Es gelten die Haftungsregelungen der AGB, soweit diese Vereinbarung keine abweichenden Regelungen trifft.
Diese Vereinbarung unterliegt deutschem Recht. Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen Hauptvertrag und dieser Vereinbarung geht diese Vereinbarung hinsichtlich datenschutzrechtlicher Fragen vor.
Stand: [Datum ergänzen]