Es ist uns ein besonderes Anliegen, unsere Produkte und Leistungen in rechtlich zulässiger Art und Weise und ohne jegliche Risiken für unsere Kunden zu erbringen. Wir sind daher als externer Dienstleister aus datenschutzrechtlichen Gründen darauf angewiesen, diesen Vertrag mit Ihnen abzuschließen, da wir im Rahmen der Leistungserbringung Zugriff auf personenbezogene Daten Ihrer Mitarbeiter (z.B. den Namen, E-Mailadresse oder Unterschrift) durch die Bereitstellung unserer Softwareanwendungen in der flowtify Applikation haben könnten und diese ggf. verarbeiten und nutzen könnten bzw. müssen, wenn Ihre Mitarbeiter beispielsweise eine Tätigkeit in der flowtify Applikation mit ihrer Unterschrift abzeichnen oder ein Filialleiter sich mit seinem Namen und keiner Funktions-Emailadresse in die Applikation einloggt.

Ein Vertrag, der die sog. Auftragsverarbeitung regelt, ist immer dann erforderlich, wenn es sich der Natur der Datenverarbeitung nach um eine Auftragsverarbeitung handelt. Unter Auftragsverarbeitung versteht man die weisungsgebundene Datenverarbeitung durch externe Dienstleister, bei der die Verantwortung für die ordnungsgemäße Datenverarbeitung beim Auftraggeber der Dienstleistung verbleibt. Werden personenbezogene Daten also im Auftrag verarbeitet, muss vom beauftragten Unternehmen (in diesem Fall der Flowtify GmbH) nach DS-GVO ein Vertrag zur Auftragsverarbeitung mit dem Auftrag gebenden Unternehmen abgeschlossen werden.

Um diesen rechtlichen Anforderungen zu genügen und uns und Sie vor rechtlichen Konsequenzen zu schützen, legen wir in dieser Vereinbarung fest, wie, wo und warum von uns eventuell personenbezogene Daten von Mitarbeitern erhoben, verarbeitet oder genutzt werden. Weiterhin regeln wir, welche Maßnahmen wir ggf. zusammen mit unseren Dienstleistern treffen, um einen unbefugten Zugriff auf die bezeichneten personenbezogenen Daten zu verhindern.

Im Rahmen Ihrer Registrierung für die flowtify Applikation konnten Sie unsere AVV, sowie AGBs, bereits einsehen. Sie können die Dokumente jederzeit erneut innerhalb Ihres flowtify Dashboards (in der linken Menüleiste unter dem Reiter „Impressum“), sowie innerhalb der flowtify Applikation (im Menü unter „Über uns“) einsehen.

Mit gastfreundlichen Grüßen

Daniel Vollmer

Flowtify GmbH

Geschäftsführer: Daniel Vollmer

Ehrenfeldgürtel 76

50823 Köln

Tel.: +49 221 643 062 23

support@flowtify.de

www.flowtify.de

Inhaltsverzeichnis:

PRÄAMBEL

§ 1 BEGRIFFSBESTIMMUNGEN

§ 2 ANGABE DER ZUSTÄNDIGEN DATENSCHUTZ-AUFSICHTSBEHÖRDEn

§ 3 VERTRAGSGEGENSTAND

§ 4 WEISUNGSRECHT

§ 5 ART DER VERARBEITETEN DATEN, KREIS DER BETROFFENEN

§ 6 SCHUTZMASSNAHMEN DES AUFTRAGNEHMER

§ 7 INFORMATIONSPFLICHTEN DES AUFTRAGNEHMERS

§ 8 KONTROLLRECHTE DES AUFTRAGGEBERS

§ 9 EINSATZ VON SUBUNTERNEHMERN

§ 10 ANFRAGEN UND RECHTE BETROFFENER

§ 11 HAFTUNG

§ 12 AUSSERORDENTLICHES KÜNDIGUNGSRECHT

§ 13 BEENDIGUNG DES HAUPTVERTRAGS

§ 14 SCHLUSSBESTIMMUNGEN

Anlage 1 zum AVV

Beschreibung der Daten/Datenkategorien, des Zwecks der Datenverarbeitung sowie der Betroffenen/Betroffenengruppen

Anlage 2 zum AVV

Technische und organisatorische Maßnahmen des Auftragnehmers i. S.d. Art. 32 DS-GVO

Anlage 3 zum AVV

Beauftragte Subunternehmer:

Microsoft Ireland Operations, Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521

Salesforce.com Germany GmbH, Erika-Mann-Str. 63, 80636 München, Deutschland

TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN MICROSOFT IRELAND OPERATIONS, LTD

TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN SALESFORCE.COM GERMANY GMBH

Auftragsverarbeitungsvertrag

zwischen

__________________

__________________

__________________

– Auftraggeber –

und

Flowtify GmbH

Ehrenfeldgürtel 76

50823 Köln

-Auftragnehmer-

Präambel

Der Auftraggeber möchte den Auftragnehmer mit den in § 3 dieses Auftragsverarbeitungsvertrags genannten Leistungen beauftragen. Teil der Vertragsdurchführung ist die Verarbeitung von personenbezogenen Daten. Insbesondere Art. 28 DS-GVO stellt bestimmte Anforderungen an eine solche Auftragsverarbeitung. Zur Wahrung dieser Anforderungen schließen die Parteien die nachfolgende Vereinbarung, deren Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.

§ 1 Begriffsbestimmungen

(1) Verantwortlicher ist gem. Art. 4 Abs. 7 DS-GVO die Stelle, die allein oder gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

(2) Auftragsverarbeiter ist gem. Art. 4 Abs. 8 DS-GVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

(3) Personenbezogene Daten sind gem. Art. 4 Abs. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

(4) Besonders schutzbedürftige personenbezogene Daten sind personenbezogenen Daten gem. Art. 9 DS-GVO, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit von Betroffenen hervorgehen, personenbezogene Daten gem. Art. 10 DS-GVO über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln sowie genetische Daten gem. Art. 4 Abs. 13 DS-GVO, biometrischen Daten gem. Art. 4 Abs. 14 DS-GVO, Gesundheitsdaten gem. Art. 4 Abs. 15 DS-GVO sowie Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

(5) Verarbeitung ist gem. Art. 4 Abs. 2 DS-GVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

(6) Aufsichtsbehörde ist gem. Art. 4 Abs. 21 DS-GVO eine von einem Mitgliedstaat gem. Art. 51 DS-GVO eingerichtete unabhängige staatliche Stelle.

§ 2 Angabe der zuständigen Datenschutz-Aufsichtsbehörde

(1) Zuständige Aufsichtsbehörde für den Auftraggeber ist der Landesbeauftragte für den Datenschutz des Bundeslandes des Auftraggebers.

(2) Zuständige Aufsichtsbehörde für den Auftragnehmer ist die Landesbeauftragte für den Datenschutz Nordrhein- Westfalen.

(3) Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

§ 3 Vertragsgegenstand

(1) Der Auftragnehmer erbringt für den Auftraggeber die in dem vorstehenden flowtify Vertrag („Hauptvertrag“) genannten Leistungen. Dabei erhält der Auftragnehmer Zugriff auf personenbezogene Daten und verarbeitet diese ausschließlich im Auftrag und nach Weisung des Auftraggebers. Umfang und Zweck der Datenverarbeitung durch den Auftragnehmer ergeben sich aus dem Hauptvertrag (und der dazugehörigen Leistungsbeschreibung). Dem Auftraggeber obliegt die Beurteilung der Zulässigkeit der Datenverarbeitung.

(2) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien den vorliegenden Vertrag. Die Regelungen des vorliegenden Vertrages gehen im Zweifel den Regelungen des Hauptvertrags vor.

(3) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei der der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten in Berührung kommen, die vom Auftraggeber stammen oder für den Auftraggeber erhoben wurden.

(4) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den nachfolgenden Bestimmungen nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben.

§ 4 Weisungsrecht

(1) Der Auftragnehmer darf Daten nur im Rahmen des Hauptvertrags und gemäß den Weisungen des Auftraggebers erheben, verarbeiten oder nutzen; dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.

(2) Die Weisungen des Auftraggebers werden anfänglich durch diesen Vertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Der Auftraggeber ist jederzeit zur Erteilung entsprechender Weisungen berechtigt. Dies umfasst Weisungen in Hinblick auf die Berichtigung, Löschung und Sperrung von Daten.

(3) Alle erteilten Weisungen sind sowohl vom Auftraggeber als auch vom Auftragnehmer zu dokumentieren. Weisungen, die über die hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, weist er den Auftraggeber darauf hin. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Der Auftragnehmer darf die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.

§ 5 Art der verarbeiteten Daten, Kreis der Betroffenen

(1) Im Rahmen der Durchführung des Hauptvertrags erhält der Auftragnehmer Zugriff auf die in Anlage 1 näher spezifizierten personenbezogenen Daten.

(2) Der Kreis der von der Datenverarbeitung Betroffenen ist ebenfalls in Anlage 1 dargestellt.

§ 6 Schutzmaßnahmen des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er trifft alle erforderlichen technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers gem. Art. 32 DS-GVO, insbesondere mindestens die in Anlage 2 aufgeführten Maßnahmen. Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(3) Der betriebliche Ansprechpartner für den Datenschutz ist erreichbar unter privacy@flowtify.de.

(4) Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragnehmer gewährleistet, dass alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im folgenden Mitarbeiter genannt), sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeits- / Verschwiegenheitspflicht besteht auch nach Beendigung des Vertrages fort.

§ 7 Informationspflichten des Auftragnehmers

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten durch den Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragnehmer den Auftraggeber unverzüglich in Schriftform oder Textform informieren. Dasselbe gilt für Prüfungen des Auftragnehmers durch die Datenschutz-Aufsichtsbehörde.

(2) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen, informiert hierüber den Auftraggeber und ersucht um weitere Weisungen.

(3) Der Auftragnehmer ist darüber hinaus verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit dessen Daten von einer Verletzung nach Absatz 1 betroffen sind.

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber kann sich von den technischen und organisatorischen Maßnahmen des Auftragnehmers überzeugen. Hierfür kann er nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten selbst persönlich prüfen bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht. Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und die Betriebsabläufe des Auftragnehmers dabei nicht unverhältnismäßig stören.

(2) Der Auftragnehmer stellt dem Auftraggeber auf dessen schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung, die zur Durchführung einer Kontrolle der technischen und organisatorischen Maßnahmen des Auftragnehmers erforderlich sind.

(3) Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Auftraggeber dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.

§ 9 Einsatz von Subunternehmern

(1) Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung der in Anlage 3 genannten Subunternehmer durchgeführt. Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern („Subunternehmerverhältnis“) befugt. Der Auftragnehmer informiert den Auftraggeber über eine Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Subunternehmern. Der Auftraggeber kann gegen derartige Änderungen Einspruch erheben. Der Auftragnehmer wählt die Subunternehmer sorgfältig nach deren Eignung, Zuverlässigkeit und Verarbeitungsstandort (Grundsätzlich im europäischen Wirtschaftsraum (EWR)) aus. Begründet der Auftragnehmer weitere Subunternehmerverhältnisse, obliegt es ihm, seine datenschutzrechtlichen Pflichten aus diesem Vertrag auf den Subunternehmer zu übertragen. Sollten ausnahmsweise Drittlandtransfers außerhalb des EWR stattfinden, werden die Vorgaben des Art. 44 ff. DS-GVO eingehalten.

(2) Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt und Bewachungsdienste. Wartungs- und Prüfleistungen stellen zustimmungspflichtige Subunternehmerverhältnisse dar, soweit diese für IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden.

§ 10 Anfragen und Rechte Betroffener

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12–22 sowie 32 bis 36 DS-GVO.

(2) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragnehmer geltend, so reagiert dieser nicht selbstständig, sondern verweist den Betroffenen unverzüglich an den Auftraggeber und wartet dessen Weisungen ab.

§ 11 Haftung gem. Art. 82 DS-GVO

(1) Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Datenschutzgesetzen unzulässigen oder unrichtigen Datenverarbeitung oder Nutzung im Rahmen der Auftragsverarbeitung erleidet, ist im Innenverhältnis zum Auftragnehmer grundsätzlich der Auftraggeber gegenüber dem Betroffenen verantwortlich.

(2) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist.

§ 12 Außerordentliches Kündigungsrecht

Der Auftraggeber kann den Hauptvertrag fristlos ganz oder teilweise kündigen, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätzlich oder grob fahrlässig verletzt oder eine Weisung des Auftraggebers nicht ausführen kann oder will. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist, innerhalb welcher der Auftragnehmer den Verstoß abstellen kann.

§ 13 Beendigung des Hauptvertrags

(1) Der Auftragnehmer wird dem Auftraggeber nach Beendigung des Hauptvertrags oder jederzeit auf dessen Anforderung alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder – auf Wunsch des Auftraggebers, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht – löschen. Dies betrifft auch etwaige Datensicherungen beim Auftragnehmer. Der Auftragnehmer hat den dokumentierten Nachweis der ordnungsgemäßen Löschung noch vorhandener Daten zu führen.

(2) Der Auftraggeber hat das Recht, die vollständige und vertragsgerechte Rückgabe bzw. Löschung der Daten beim Auftragnehmer in geeigneter Weise zu kontrollieren.

(3) Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln. Die vorliegende Vereinbarung bleibt über das Ende des Hauptvertrags hinaus solange gültig, wie der Auftragnehmer über personenbezogene Daten verfügt, die ihm vom Auftraggeber zugeleitet wurden oder die er für diesen erhoben hat.

§ 14 Schlussbestimmungen

(1) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer i. S. d. § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang individueller Vertragsabreden bleibt hiervon unberührt.

(3) Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise nicht rechtswirksam oder nicht durchführbar sein oder werden, so wird hierdurch die Gültigkeit der jeweils übrigen Bestimmungen nicht berührt.

(4) Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Düsseldorf.

Anlagen:

·       Anlage 1 – Beschreibung der Daten/Datenkategorien, des Zwecks der Datenverarbeitung sowie der Betroffenen / Betroffenengruppen Beschreibung der besonders schutzbedürftigen Daten/Datenkategorien

·       Anlage 2 – Technische und organisatorische Maßnahmen des Auftragnehmers

·       Anlage 3 – Beauftragte Subunternehmer

Anlage 1 zum AVV

Beschreibung der Daten/Datenkategorien, des Zwecks der Datenverarbeitung sowie der Betroffenen/Betroffenengruppen

Aus dem Hauptvertrag ergeben sich Gegenstand und Dauer des Auftrags sowie Umfang und Art der Datenerhebung, -verarbeitung oder
-nutzung. Im Einzelnen sind insbesondere die folgenden Daten Bestandteil der Datenverarbeitung:

Anlage 2 zum AVV

Technische und organisatorische Maßnahmen des Auftragnehmers i. S.d. Art. 32 DS-GVO

Die Flowtify GmbH hat zum Hosting der SaaS-Lösung „FLOWTIFY“ die Microsoft Ireland Operations, Ltd. (Microsoft Azure) beauftragt. Die TOM der Microsoft Ireland Operations, Ltd sind in Anlage 3 („Beauftragte Subunternehmer“) zu finden. Die Microsoft Ireland Operations, Ltd verpflichtet sich zur Einhaltung allgemein geltender Datenschutzgesetze wie die DSGVO und verfügt über Standards wie ISO 27001 und ISO 27018. Die zertifizierten Rechenzentren der Microsoft Ireland Operations, Ltd befinden sich in Deutschland (Frankfurt am Main).

Die Flowtify GmbH hat für die digitale Kommunikation die Google Ireland Limited (Google Workspace) beauftragt. Die TOM der Google Ireland Limited sind in Anlage 3 („Beauftragte Subunternehmer“) zu finden. Die Google Ireland Limited verpflichtet sich zur Einhaltung allgemein geltender Datenschutzgesetze wie die DSGVO und verfügt über Standards wie ISO 27001 und ISO 27018.

Die Flowtify GmbH hat für das Kundenmanagement die Salesforce.com Germany GmbH (Salesforce) beauftragt. Die TOM der Salesforce.com Germany GmbH sind in Anlage 3 („Beauftragte Subunternehmer“) zu finden. Die Salesforce.com Germany GmbH verpflichtet sich zur Einhaltung allgemein geltender Datenschutzgesetze wie die DSGVO und verfügt über Standards wie ISO 27001 und ISO 27018.

Weitere aktuelle Zertifizierungen aller Subunternehmer sind in der Linksammlung in Anlage 3 („Beauftragte Subunternehmen“) zu finden.

In den Büroräumlichkeiten der Flowtify GmbH werden keine Server betrieben.

Vertraulichkeit

Zutrittskontrolle

·       Das Firmengebäude ist vollständig umfriedet

·       Das Firmengebäude besitzt ein manuelles Schließsystem

·       Die Zugangstür besitzt einen Knauf an der Außenseite

·       Jeder Mitarbeiter erhält einen Schlüssel für das Firmengebäude

·       Die Vergabe der Schlüssel wird dokumentiert und regelmäßig überprüft

·       Besucher werden immer durch mindestens einen Mitarbeiter der Flowtify GmbH begleitet

·       Die Dienstleister werden sorgfältig ausgewählt

Zugangskontrolle

·       Die Vergabe und Verwaltung von Benutzerrechten für einzelne Systeme erfolgt ausschließlich durch Systemadministratoren.

·       Alle Arbeitsgeräte, auf denen personenbezogene Daten verarbeitet werden, sind für den jeweiligen Mitarbeiter personalisiert, mit einem Passwort geschützt und verwenden das aktuelle Betriebssystem

·       Mitarbeiter sind angewiesen Ihren Arbeitsplatz bei Verlassen zu sperren

·       Mitarbeiter sind angewiesen Ihren Arbeitsplatz sauber zu halten und Unterlagen mit personenbezogenen Daten unzugänglich für Dritte aufzubewahren. (Clean desk policy)

·       Für die Verwendung eines sicheren Passworts gelten folgende Regelungen: – mindestens einen Großbuchstaben, einen Kleinbuchstaben, ein Sonderzeichen, und eine Zahl enthalten, sowie mindestens 12 Zeichen lang sein müssen.

·       In allen Systemen sind, soweit vorhanden, die Sicherheitsmaßnahme der „2-Faktor-Authentifizierung“ für jeden Benutzer standardmäßig aktiviert.

Zugriffskontrolle

·       Definierte Benutzergruppen

·       Jedem Benutzer ist ein eigener Login zugeordnet

·       Trennung von Systemdateien unterschiedlicher Anwendungen

·       Trennung von Benutzerdateien verschiedener Benutzer

·       Benutzung eines Aktenschredders

·       Minimale Anzahl an Administratoren

Trennungskontrolle

·       Trennung von Entwicklungs-, Test- und Produktivumgebung

·       Physikalische Trennung (Systeme / Datenbanken / Datenträger)

·       Mandantenfähigkeit relevanter Anwendungen

·       Steuerung über Berechtigungskonzept

Pseudonymisierung

·       Pseudonymisierung wird nach Möglichkeit angewendet

·       Trennung der Zuordnungsdaten

·       Personenbezogene Daten werden im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist möglichst anonymisiert / pseudonymisiert

Integrität

Weitergabekontrolle

·       Gesicherter Datentransport (SSL)

·       Datenträgerverschlüsselung

·       Nach Möglichkeit automatisierte E-Mail Verschlüsselung

Eingangskontrolle

·       Protokollierung der Eingabe, Änderung und Löschung von Daten

·       Nachvollziehbarkeit von Eingaben, Änderungen und Löschung von Daten durch individuelle Benutzernamen

·       Klare Zuständigkeiten für Löschungen

Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle

·       Regelmäßige Updates der eingesetzten Software

·       Backup & Recovery Konzept

·       Regelmäßige Tests zur Datenwiederherstellung

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Datenschutz-Maßnahmen

·       Verpflichtung der Mitarbeiter auf das Datengeheimnis

·       Dokumentation einer Übersicht über die Verarbeitungstätigkeiten

·       Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird jährlich durchgeführt

·       Interner Datenschutzbeauftragter: Parshin Mortazi, Flowtify GmbH, privacy@flowtify.de

·       Regelmäßige Sensibilisierung der Mitarbeiter auf Datengeheimnis

Incident-Response-Management

·       Meldeprozess für Datenschutzverletzungen gegenüber Datenschutzbehörden vorhanden

·       Meldeprozess für Datenschutzverletzungen gegenüber Betroffenen vorhanden

Datenschutzfreundliche Voreinstellungen

·       Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind

Auftragskontrolle

·       Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen

·       Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (insbesondere in Bezug auf Datenschutz und

-sicherheit)

·       Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU Standardvertragsklauseln

·       Verpflichtung zur Bestellung eines Datenschutzbeauftragen durch den Auftragnehmer bei vorliegender Bestellpflicht

·       Regelung zum Einsatz weiterer Subunternehmer

·       Regelmäßige Überprüfung des Auftragnehmers und seines Schutzniveaus

Anlage 3 zum AVV

Beauftragte Subunternehmer:

Derzeit sind nachfolgende Subunternehmer vom Auftragnehmer beauftragt:

Microsoft Ireland Operations, Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521

·       Hosting

·       https://www.microsoft.com/de-de/cloud/compliance

·       https://www.microsoft.com/en-us/licensing/product-licensing/products

Salesforce.com Germany GmbH, Erika-Mann-Str. 63, 80636 München, Deutschland

·      Kundenmanagement / CRM

·      https://status.salesforce.com/search/flowtify

·       https://compliance.salesforce.com/en

·      https://www.salesforce.com/content/dam/web/en_us/www/documents/legal/Agreements/data-processing-addendum.pdf

Die technischen organisatorischen Maßnahmen der Subunternehmer sind auf den folgenden Seiten aufgeführt.

Technische und organisatorische Maßnahmen Microsoft Ireland Operations, Ltd.

Organisation der IT-Sicherheit

Verantwortung für die Sicherheit

·       Microsoft hat einen oder mehrere Sicherheitsbeauftragte ernannt, die für die Koordination und Überwachung der Sicherheitsregeln und -verfahren verantwortlich sind.

Funktionen und Verantwortlichkeiten in Bezug auf Sicherheit

·       Microsoft-Mitarbeiter, die Zugang zu Kundendaten haben, sind zur Vertraulichkeit verpflichtet.

Risikomanagementprogramm

·       Microsoft führte eine Risikobewertung durch, bevor die Kundendaten verarbeitet oder die Onlinedienste-Leistungen gestartet wurden.

·       Microsoft archiviert Sicherheitsunterlagen im Rahmen der Aufbewahrungspflichten, nachdem sie nicht mehr in Kraft sind.

Asset-Management

Anlagenbestand

·       Microsoft führt einen Bestand aller Medien, auf denen Kundendaten gespeichert sind. Der Zugriff auf die Bestände solcher Medien ist auf Microsoft-Mitarbeiter beschränkt, die schriftlich dazu berechtigt sind.

Asset-Handling

·       Microsoft klassifiziert Kundendaten, um die Identifizierung zu erleichtern und eine angemessene Beschränkung des Zugriffs auf Kundendaten zu ermöglichen.

·       Microsoft legt Einschränkungen für das Drucken von Kundendaten fest und verfügt über Verfahren für die Entsorgung gedruckter Materialien, die Kundendaten enthalten.

·       Mitarbeiter von Microsoft müssen eine Genehmigung von Microsoft einholen, bevor sie Kundendaten auf tragbaren Geräten speichern, remote auf Kundendaten zugreifen oder Kundendaten außerhalb der Einrichtungen von Microsoft verarbeiten.

Personalsicherheit

Sicherheitsschulungen

·       Microsoft informiert seine Mitarbeiter über relevante Sicherheitsverfahren und ihre jeweiligen Rollen. Microsoft informiert seine Mitarbeiter auch über mögliche Folgen einer Verletzung der Sicherheitsregeln und -verfahren. Microsoft verwendet in der Schulung nur anonyme Daten.

Physische und umgebungsbezogene Sicherheit

Physischer Zugang zu Einrichtungen

·       Microsoft beschränkt den Zugang zu Einrichtungen, in denen sich Kundendaten verarbeitende Informationssysteme befinden, auf identifizierte, autorisierte Personen.

Physischer Zugriff auf Komponenten

·       Microsoft führt Aufzeichnungen über die ein- und ausgehenden Medien, die Kundendaten enthalten, einschließlich der Art der Medien, des zugelassenen Absenders/der zugelassenen Empfänger, Datum und Uhrzeit, der Anzahl von Medien und der darin enthaltenen Arten von Kundendaten.

 Schutz vor Unterbrechungen

·       Microsoft nutzt eine Vielzahl von branchenüblichen Systemen, um den Verlust von Daten durch Stromausfall oder Leitungsstörungen zu verhindern.

Entsorgung von Komponenten

·       Microsoft verwendet branchenübliche Prozesse, um Kundendaten zu löschen, wenn sie nicht mehr benötigt werden.

Kommunikations- und Betriebsmanagement

Betriebsrichtlinie

·       Microsoft führt Sicherheitsunterlagen, in denen die Sicherheitsmaßnahmen sowie die entsprechenden Verfahren und Verantwortlichkeiten der Mitarbeiter beschrieben sind, die Zugang zu Kundendaten haben.

Datenwiederherstellungsverfahren

·       Microsoft erstellt kontinuierlich, mindestens jedoch einmal pro Woche (es sei denn, es wurden im betreffenden Zeitraum keine Kundendaten aktualisiert) mehrere Kopien von Kundendaten, aus denen Kundendaten wiederhergestellt werden können.

·       Microsoft bewahrt Kopien von Kundendaten und Datenwiederherstellungsverfahren an einem anderen Ort als dem auf, an dem sich die primären Computergeräte befinden, von denen die Kundendaten verarbeitet werden.

·       Microsoft verfügt über bestimmte Verfahren, die den Zugriff auf Kopien von Kundendaten regeln.

·       Microsoft prüft die Datenwiederherstellungsverfahren mindestens einmal alle sechs Monate. Ausgenommen hiervon sind Verfahren für Azure Government Services, die alle zwölf Monate geprüft werden.

·       Microsoft protokolliert Datenwiederherstellungsmaßnahmen. Dabei werden Informationen zur verantwortlichen Person, die Beschreibung der wiederhergestellten Daten sowie gegebenenfalls Angaben zu den Daten, die bei der Datenwiederherstellung manuell eingegeben werden mussten, aufgezeichnet.

 Malware

·       Microsoft nimmt Anti-Schadsoftware-Kontrollen vor, um zu verhindern, dass bösartige Software unbefugten Zugriff auf Kundendaten erhält, einschließlich bösartiger Software aus öffentlichen Netzwerken.

Daten außerhalb von Landesgrenzen

·       Microsoft verschlüsselt Kundendaten, die über öffentliche Netzwerke übermittelt werden, oder ermöglicht dem Kunden eine solche Verschlüsselung.

·       Microsoft schränkt den Zugriff auf Kundendaten in Medien ein, die die Einrichtungen von Microsoft verlassen.

Ereignisprotokollierung

·       Microsoft protokolliert den Zugriff und die Nutzung von Informationssystemen, die Kundendaten enthalten, indem die Zugangs-ID, die Uhrzeit, die erteilte oder verweigerte Berechtigung und die entsprechende Aktivität registriert werden, oder ermöglicht dem Kunden eine Protokollierung.

Zugriffskontrolle

Zugriffsrichtlinie

·       Microsoft führt eine Aufzeichnung der Sicherheitsberechtigungen von Einzelpersonen, die Zugang zu Kundendaten haben.

Zugriffsberechtigung

·       Microsoft führt und aktualisiert Aufzeichnungen zu den Mitarbeitern, die zum Zugriff auf Microsoft-Systeme autorisiert sind, die Kundendaten enthalten.

·       Microsoft deaktiviert Anmeldedaten, die über einen bestimmten Zeitraum, der sechs Monate nicht überschreiten darf, nicht verwendet wurden.

·       Microsoft benennt diejenigen Mitarbeiter, die berechtigt sind, den autorisierten Zugriff auf Daten und Ressourcen zu gewähren, zu ändern oder zu widerrufen.

·       Wenn mehrere Personen Zugriff auf die Systeme haben, in denen Kundendaten enthalten sind, stellt Microsoft sicher, dass diese Personen über separate Kennungen/Anmeldedaten verfügen.

 Geringste Rechte

·       Technischen Supportmitarbeitern ist der Zugriff auf Kundendaten nur gestattet, wenn dies erforderlich ist.

·       Microsoft schränkt den Zugriff auf Kundendaten auf solche Personen ein, die diesen Zugriff benötigen, um ihre berufliche Tätigkeit auszuführen.

Integrität und Vertraulichkeit

·       Microsoft weist Mitarbeiter an, Administrationssitzungen zu deaktivieren, wenn sie Einrichtungen, die sich unter der Kontrolle von Microsoft befinden, verlassen oder wenn Computer anderweitig unbeaufsichtigt sind.

·       Microsoft speichert Kennwörter so, dass sie während des Gültigkeitszeitraums nicht erkennbar sind.

Authentifizierung

·       Microsoft verwendet Verfahren nach Branchenstandard, um Benutzer zu identifizieren und zu authentifizieren, die versuchen, auf Informationssysteme zuzugreifen.

·       Wenn die Authentifizierungsverfahren auf Kennwörtern beruhen, schreibt Microsoft vor, dass die Kennwörter regelmäßig erneuert werden müssen.

·       Wenn die Authentifizierungsverfahren auf Kennwörtern beruhen, schreibt Microsoft vor, dass das Kennwort mindestens acht Zeichen umfassen muss.

·       Microsoft stellt sicher, dass deaktivierte oder abgelaufene Kennungen an keine andere Person vergeben werden.

·       Microsoft überwacht wiederholte Versuche, sich mit ungültigen Kennwörtern Zugriff auf Informationssysteme zu verschaffen, oder ermöglicht dem Kunden eine solche Überwachung.

·       Microsoft unterhält Verfahren nach Branchenstandard zur Deaktivierung von Kennwörtern, die manipuliert oder versehentlich offengelegt wurden.

·       Microsoft verwendet Verfahren nach Branchenstandard zum Schutz von Kennwörtern, einschließlich Verfahren, die die Vertraulichkeit und Integrität von Kennwörtern während der Zuweisung und Verteilung sowie während der Speicherung wahren sollen.

Netzwerkdesign

·       Microsoft führt Kontrollen durch, um zu verhindern, dass Personen Zugriffsrechte erhalten, die ihnen nicht zugewiesen wurden, um Zugang zu Kundendaten zu erhalten, auf die sie nicht zugreifen dürfen.

Handhabung eines Informationssicherheitsvorfalls

Vorfallreaktionsablauf

·       Microsoft führt Unterlagen über Sicherheitsverletzungen unter Angabe einer Beschreibung der Verletzung, des Zeitraums, der Konsequenzen der Verletzung, des Namens der Person, die den Zwischenfall gemeldet hat, und der Person, der der Zwischenfall gemeldet wurde, sowie des Verfahrens für die Wiederherstellung von Daten.

·       Für jede Sicherheitsverletzung, bei der es sich um einen Sicherheitsvorfall handelt, erfolgt (wie im Abschnitt „Meldung von Sicherheitsvorfällen“ weiter oben beschrieben) unverzüglich und auf jeden Fall innerhalb von 72 Stunden eine Benachrichtigung seitens Microsoft.

·       Microsoft untersucht Offenlegungen von Kundendaten, einschließlich der Fragen, welche Daten offengelegt wurden, gegenüber wem und zu welchem Zeitpunkt, oder versetzt den Kunden dazu in die Lage.

Dienstüberwachung

·       Das Microsoft-Sicherheitspersonal überprüft die Protokolle mindestens alle sechs Monate, um gegebenenfalls Abhilfemaßnahmen vorzuschlagen.

Geschäftsfortführungsmanagement

·       Microsoft unterhält Notfall- und Alternativpläne für die Einrichtungen, in denen sich Microsoft Informationssysteme befinden, die Kundendaten verarbeiten.

·       Der redundante Speicher von Microsoft sowie die Verfahren von Microsoft zur Wiederherstellung von Daten sind so konzipiert, dass versucht wird, Kundendaten in ihrem ursprünglichen oder ihrem zuletzt replizierten Zustand vor dem Zeitpunkt des Verlusts oder der Vernichtung zu rekonstruieren.