Gemäß Art. 28 DSGVO.
Dieser Auftragsverarbeitungsvertrag ("AVV") ergänzt die AGB zwischen der Kundin/dem Kunden ("Verantwortlicher") und der Nowaity UG (haftungsbeschränkt), Feldmochinger Straße 26, 80992 München, Deutschland ("Auftragsverarbeiter") und regelt die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Zusammenhang mit dem Dienst KONFORMA gemäß Art. 28 DSGVO.
Dieser AVV gilt, solange der Auftragsverarbeiter im Auftrag des Verantwortlichen personenbezogene Daten im Rahmen des Hauptvertrags verarbeitet, und endet automatisch mit dessen Beendigung, sobald alle personenbezogenen Daten gemäß Ziffer 8 gelöscht oder zurückgegeben wurden.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten zur Bereitstellung des Dienstes KONFORMA: Konto- und Organisationsverwaltung, Speicherung und Verarbeitung von Produkt-, Release- und SBOM-Daten, die der Verantwortliche hochlädt, Schwachstellen-Monitoring und Alarmierung, Erstellung von Compliance-Dokumenten sowie zugehöriges Hosting, Backup und Support.
Betroffene Personen: Mitarbeitende, Auftragnehmer:innen und Endnutzer:innen des Verantwortlichen mit Konto im Dienst; als Kontakt, Security-Kontakt oder Unterzeichner:in in Produkt- und Organisationsdatensätzen benannte Personen; in vom Verantwortlichen eingereichten Schwachstellen- oder Incident-Meldungen genannte Personen.
Datenkategorien: Kontaktdaten (Name, E-Mail, Rolle), Authentifizierungsdaten, Organisations- und Abrechnungsmetadaten sowie personenbezogene Daten, die der Verantwortliche in Produktdaten, SBOM-Datensätzen, Incident-Datensätzen oder Freitextfeldern hinterlegt. Der Auftragsverarbeiter verarbeitet nicht gezielt besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und bittet den Verantwortlichen, solche Daten nicht über den Dienst einzureichen.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen an ein Drittland, sofern er nicht durch EU-Recht oder Recht der Mitgliedstaaten hierzu verpflichtet ist. Dieser AVV bildet zusammen mit dem Hauptvertrag die anfängliche Weisung; weitere Weisungen können schriftlich (auch per E-Mail) erteilt werden und müssen zumutbar und technisch umsetzbar sein.
Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und vor der Verarbeitung über die geltenden Datenschutzanforderungen informiert werden.
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, u. a. Verschlüsselung der Daten bei der Übertragung, Zugriffskontrollen sowie den Einsatz von Unterauftragsverarbeitern mit vergleichbaren Schutzvorkehrungen. Eine Zusammenfassung der Maßnahmen ist auf Anfrage unter contact@usekonforma.com erhältlich.
Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter, die jeweils durch einen AVV mit gleichwertigem Schutzniveau gebunden sind:
Über die beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen und räumt ihm die Möglichkeit ein, aus berechtigten datenschutzrechtlichen Gründen innerhalb von 14 Tagen zu widersprechen.
Befindet sich ein Unterauftragsverarbeiter außerhalb des EWR, stellt der Auftragsverarbeiter ein angemessenes Schutzniveau sicher, insbesondere durch die EU-Standardvertragsklauseln.
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen, soweit zumutbar, bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO sowie bei der Einhaltung der Pflichten des Verantwortlichen nach Art. 32–36 DSGVO (Sicherheit, Meldepflichten bei Verletzungen, Datenschutz-Folgenabschätzungen), insbesondere durch unverzügliche Benachrichtigung des Verantwortlichen nach Kenntniserlangung von einer Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft.
Nach Beendigung des Dienstes stellt der Auftragsverarbeiter die Daten des Verantwortlichen für 30 Tage zum Export bereit und löscht sie danach, sofern nicht EU-Recht oder Recht der Mitgliedstaaten eine weitere Speicherung vorschreibt, im Einklang mit den in der Datenschutzerklärung beschriebenen Aufbewahrungsfristen.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht Überprüfungen (einschließlich Inspektionen) durch den Verantwortlichen oder eine von ihm beauftragte Prüfstelle, unter angemessener Vorankündigung und Wahrung der Vertraulichkeit.
Die Haftung zwischen den Parteien aus diesem AVV richtet sich nach den Haftungsregelungen des Hauptvertrags (siehe AGB, Ziffer 9), soweit die DSGVO nichts anderes vorschreibt. Dieser AVV unterliegt dem auf den Hauptvertrag anwendbaren Recht.
Betreiberhinweis: Dies ist eine Vorlage. Liste der Unterauftragsverarbeiter und TOM-Zusammenfassung vervollständigen und vor Verwendung anwaltlich prüfen lassen. Keine Rechtsberatung. Die deutsche Fassung ist maßgeblich. Stand: [Monat/Jahr].