Auftragsverarbeitungsvertrag

Du nutzt PrivadiOffice, um deinen Betrieb zu verwalten. Dabei speicherst du Daten von Menschen, die nicht wir sind: deine Kunden, deine Mitarbeiter, deine Ansprechpartner. Für diese Daten bist du verantwortlich. Wir speichern und verarbeiten sie nur, weil du uns damit beauftragst.

Was mit deinen eigenen Daten passiert, steht in der Datenschutzerklärung und nicht hier.

Gegenstand: Bereitstellung und Betrieb der Software PrivadiOffice zur Verwaltung von Kunden, Angeboten, Rechnungen, Terminen, Ausgaben, Schreiben und Mitarbeitern.

Dauer: für die Laufzeit des Nutzungsvertrags, einschliesslich der Testphase.

Art und Zweck: Speichern, Ordnen, Auslesen, Verändern, Löschen und Übermitteln der von dir eingegebenen Daten, ausschliesslich um dir die Funktionen der Software bereitzustellen.

Betroffene Personen: deine Kunden und deren Ansprechpartner, deine Mitarbeiter, deine Lieferanten.

Datenarten: Stammdaten (Name, Firma, Anschrift), Kontaktdaten, Vertrags- und Abrechnungsdaten, Termindaten, sowie — soweit du die Mitarbeiterverwaltung nutzt — Personalstammdaten einschliesslich Geburtsdatum, Geburtsort, Staatsangehörigkeit, Steuer-Identifikationsnummer, Steuerklasse, Konfession, Sozialversicherungsnummer, Krankenkasse, Bankverbindung und Angaben zum Arbeitsverhältnis.

Hinweis: Die Konfession ist eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Erfasse sie nur, soweit du sie für die Lohnabrechnung tatsächlich brauchst.

Nutzt du Zeiterfassung und Abwesenheiten, kommen hinzu: Arbeitszeiten (Beginn und Ende je Einsatz, zugeordnetes Objekt, errechnete Stunden, Änderungsprotokoll) sowie Abwesenheiten mit Art, Zeitraum, Status und Notiz.

Auch die Angabe, dass ein Mitarbeiter an bestimmten Tagen krank war, ist eine besondere Kategorie nach Art. 9 DSGVO. Erfasse als Art der Abwesenheit „Krankheit“ und trage keine Diagnosen ein.

Wir verarbeiten die Daten ausschliesslich nach deinen Weisungen. Als Weisung gilt in erster Linie das, was du in der Software selbst tust. Weitere Weisungen richtest du an info@privadi.net.

Halten wir eine Weisung für rechtswidrig, sagen wir dir das und dürfen ihre Ausführung aussetzen.

Wir nutzen die Daten deiner Kunden und Mitarbeiter zu keinem eigenen Zweck — nicht für Werbung, nicht für Auswertungen, nicht für die Weiterentwicklung der Software.

Alle Personen, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet. Derzeit ist das ausschliesslich der Betreiber selbst.

Nach Art. 32 DSGVO treffen wir insbesondere folgende Massnahmen:

• Verschlüsselte Übertragung über TLS, erzwungen für alle Seiten
• Passwörter nur als Prüfsumme gespeichert, nie im Klartext
• Trennung der Konten in der Datenbank: jede Abfrage ist auf das eigene Konto gefiltert
• Automatische Abmeldung nach einer Stunde ohne Nutzung
• Rücksetz-Links für Passwörter gelten 60 Minuten und genau einmal
• Serverstandort Deutschland, Zugang nur über Schlüsseldatei
• Regelmässige Sicherungen mit Versionierung beim Serveranbieter
• Kein Zugang für den Betreiber zu den Kundendaten der Nutzer; Support-Einblick nur auf ausdrückliche, befristete Freigabe und protokolliert

Wir dürfen die Massnahmen fortentwickeln, solange das Schutzniveau nicht sinkt.

Du stimmst dem Einsatz folgender Unterauftragnehmer zu:

• STRATO AG, Pascalstraße 10, 10587 Berlin — Serverbetrieb und Sicherungen. Standort Deutschland.

Kommt ein weiterer Unterauftragnehmer hinzu, teilen wir dir das vorher mit. Du kannst innerhalb von 14 Tagen widersprechen; in dem Fall darfst du den Vertrag ausserordentlich kündigen.

Nicht als Unterauftragnehmer gilt dein eigener E-Mail-Anbieter: Der Versand deiner Rechnungen läuft über den Postausgangsserver, den du selbst hinterlegst.

Wir unterstützen dich dabei, Anfragen betroffener Personen zu beantworten und deine Pflichten nach Art. 32 bis 36 DSGVO zu erfüllen.

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, melden wir dir das unverzüglich — damit du deine eigene 72-Stunden-Frist gegenüber der Aufsichtsbehörde halten kannst.

Auf Anfrage weisen wir dir die Einhaltung dieses Vertrags nach. Du darfst dich davon überzeugen, in angemessenem Umfang und nach Ankündigung. Vorrangig geschieht das über eine schriftliche Auskunft, damit der Betrieb anderer Nutzer nicht gestört wird.

Nach Ende des Nutzungsvertrags löschen wir die für dich verarbeiteten Daten innerhalb von 30 Tagen. Vorher kannst du sie jederzeit selbst herunterladen.

Ausgenommen sind Daten, für die uns eine gesetzliche Aufbewahrungspflicht trifft. Diese werden gesperrt statt gelöscht.

Ändert sich etwas an der Verarbeitung, legen wir dir eine neue Fassung vor. Bis du sie annimmst, gilt die bisherige weiter.

Massgeblich ist die deutsche Fassung dieses Vertrags.