Rechtliches
Auftragsverarbeitung & TOMs
Diese Seite ist eine praktische Kundeninformation und keine individuelle Rechtsberatung. Der konkrete AV-Vertrag und die projektspezifischen TOMs werden vor produktiver Nutzung abgestimmt.
Wann ist ein AV-Vertrag erforderlich?
Wenn Bergsch Digitalwerk eine digitale Lösung für einen Kunden betreibt und personenbezogene Daten nach Weisung verarbeitet, wird vor dem Produktivbetrieb ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen. Ob Auftragsverarbeitung vorliegt, wird für den konkreten Leistungsumfang geprüft.
Welche Daten können betroffen sein?
- Stamm-, Kontakt-, Arbeitgeber- und Standortdaten
- Mitarbeiter-, Fahrer-, Rollen- und Berechtigungsdaten
- Routen-, Maßnahmen-, Audit-, Logistik-, Materialfluss- und Workflowdaten
- Fotos, Dokumente, Zeitstempel und technische Protokolldaten, soweit vereinbart
Grundprinzipien
- Zweckbindung und Datenminimierung
- Zugriff nur auf benötigte Bereiche und Funktionen
- Trennung der Daten verschiedener Kunden
- Verschlüsselte Übertragung über HTTPS
- Geregelter Export, Rückgabe und Löschung
- Gesonderte Prüfung besonderer Kategorien personenbezogener Daten
Technische und organisatorische Maßnahmen
- Geschützte administrative Zugänge und keine öffentlichen Datenbankzugänge
- Regelmäßige Updates von Anwendung und Serverkomponenten
- Backups nach vereinbartem Umfang
- Protokollierung nach Schutzbedarf und technischer Ausgestaltung
- Rollen- und Rechtekonzept passend zu Kunde, Standort und Aufgaben
- Dokumentation eingesetzter Unterauftragnehmer
- Verfahren für Vorfälle, Wiederherstellung und Vertragsende
Hosting und Unterauftragnehmer
Die öffentliche Website wird über einen Serverdienst von One.com Group AB, Carlsgatan 3, 211 20 Malmö, Schweden, betrieben. One.com veröffentlicht für seine Leistungen einen eigenen Auftragsverarbeitungsvertrag einschließlich Sicherheitsmaßnahmen und einer dienstabhängigen Liste von Unterauftragnehmern. Die aktuelle Fassung ist unter one.com/de-de/legal/dpa abrufbar.
Für Kundensysteme wird vor dem Produktivbetrieb eine konkrete Liste aller tatsächlich eingesetzten Infrastruktur- und Unterauftragnehmer bereitgestellt. Ein Anbieter wird nicht allein deshalb für Kundendaten eingesetzt, weil er die öffentliche Website hostet.
Vor dem Produktivbetrieb
Abgestimmt werden insbesondere Pilotumfang, Rollen, Weisungen, Datenarten, betroffene Personengruppen, Schutzbedarf, Unterauftragnehmer, Löschfristen, Ansprechpartner und Kontrollrechte. Erst danach werden AV-Vertrag, Anlage zu Art und Zweck der Verarbeitung sowie die projektspezifischen TOMs zur Unterzeichnung bereitgestellt.