Die Datenverarbeitungsvereinbarung können Sie hier herunterladen. Bei Abweichungen zum nachstehenden Text ist der Wortlaut der PDF-Version maßgebend.
Dieser Nachtrag zur Datenverarbeitung ist Teil der Vereinbarung zwischen Timewax und dem Kunden. Dieser Nachtrag tritt in Kraft, sobald Timewax und der Kunde einen Vertrag abschließen, und erlischt, wenn dieser Vertrag gekündigt wird.
Alle großgeschriebenen Begriffe, die in diesem Nachtrag nicht definiert wurden, haben die in der Vereinbarung festgelegte Bedeutung. Im Falle eines Konflikts zwischen den Definitionen dieses Nachtrags und der Vereinbarung haben die Definitionen dieses Nachtrags Vorrang und Vorrang.
1.1 Anonymisierung : Unwiderrufliche Anonymisierung personenbezogener Daten, so dass die betroffene Person nicht identifiziert werden kann, indem angemessene Zeit, Kosten und Technologie zur Identifizierung dieser betroffenen Person aufgewendet werden.
1.2. Verantwortlicher: die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
1.3. Auftragsverarbeiter: Eine natürliche oder juristische Person, eine Behörde, eine Einrichtung oder eine andere Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.
1.4. Datenschutzgesetze: DSGVO sowie alle lokalen Datenschutzgesetze.
1.5. Betroffene Person: die identifizierte oder identifizierbare Person, auf die sich personenbezogene Daten beziehen.
1.6. EWR: Europäischer Wirtschaftsraum.
1.7. DSGVO: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).
1.8. Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einem Identifikator wie einem Namen, einer Identifikationsnummer, Standortdaten, einem Online-Identifikator oder einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
1.9. Verletzung des Schutzes personenbezogener Daten: eine Verletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf die personenbezogenen Daten des Kunden führt, die übermittelt, gespeichert oder anderweitig verarbeitet werden.
1.10. Verarbeitung: jeder Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten oder mit Datensätzen personenbezogener Daten durchgeführt werden, unabhängig davon, ob dies automatisiert erfolgt oder nicht, wie beispielsweise das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen oder Verändern, Abrufen, Abfrage, Nutzung, Offenlegung durch Übermittlung, Verbreitung oder sonstige Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschung oder Vernichtung der Daten.
1.11. Pseudonymisierung: die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne den Einsatz zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, vorausgesetzt, dass diese zusätzlichen Informationen getrennt aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten keiner identifizierten oder identifizierbaren natürlichen Person zugeordnet werden.
1.12. Sensible personenbezogene Daten: Personenbezogene Daten, die aufgrund ihrer Art im Hinblick auf Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen besonderen Schutz, da der Kontext ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten mit sich bringen könnte. Zu diesen personenbezogenen Daten gehören Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit sowie Daten über das Sexualleben oder die sexuelle Orientierung einer natürlichen Person.
1.13. Unterauftragsverarbeiter: jeder Dritte, der von Timewax mit der Verarbeitung personenbezogener Daten des Verantwortlichen beauftragt wurde.
1.14. Aufsichtsbehörde: eine unabhängige öffentliche Behörde, die von einem Mitgliedstaat gemäß Artikel 51 der EU-DSGVO eingerichtet wird.
1.15. Drittland: jedes Land außerhalb des EWR, es sei denn, für dieses Land liegt eine gültige Angemessenheitsentscheidung der Europäischen Kommission zum Schutz personenbezogener Daten in Drittländern vor.
2.1. Mit Wirkung vom 25. Mai 2018 wird Timewax personenbezogene Daten gemäß den Anforderungen der DSGVO verarbeiten, die für die Dienste von Timewax unmittelbar gelten.
2.2. Bei der Verarbeitung personenbezogener Daten auf der Timewax-Infrastruktur geht die Rolle von Timewax nicht über die eines Auftragsverarbeiters hinaus.
2.3. Der Kunde ist der für die Datenverarbeitung Verantwortliche und hat die volle Kontrolle über die personenbezogenen Daten und sorgt für deren Aufrechterhaltung.
2.4. Beide Parteien erklären, dass sie, sofern und soweit anwendbar, im Einklang mit
der DSGVO handeln und ihren Verpflichtungen gemäß den geltenden datenschutzrechtlichen
Vorschriften nachkommen werden.
2.5. Der Kunde gewährleistet die Rechtmäßigkeit jeglicher Nutzung personenbezogener Daten, deren Verarbeitung, Speicherung, den Zweck der Nutzung sowie den Austausch personenbezogener Daten und/oder jegliche sonstige Nutzung, wie sie sich beispielsweise aus der Umsetzung dieser Vereinbarung ergibt.
2.6. Timewax verarbeitet die personenbezogenen Daten ordnungsgemäß und sorgfältig und verarbeitet diese ausschließlich gemäß den Bestimmungen dieser Vereinbarung sowie den im SLA beschriebenen spezifischen Zwecken und Ressourcen.
2.7. Die personenbezogenen Daten, deren Verarbeitung die Vertragsparteien voraussichtlich vornehmen werden, umfassen die Mitarbeiternummer, den Vornamen, den Nachnamen, die E-Mail-Adresse, die Handynummer und das Foto der Mitarbeiter sowie weitere Daten, die die Nutzer in die Software eingeben möchten.
2.8. Der Kunde erklärt, dass die Timewax zur Verarbeitung übermittelten personenbezogenen Daten keine sensiblen personenbezogenen Daten enthalten.
2.9. Timewax darf die personenbezogenen Daten nicht verarbeiten, übermitteln, ändern, ergänzen oder umgestalten sowie diese nicht an Dritte weitergeben oder deren Weitergabe gestatten, es sei denn, dies geschieht gemäß den dokumentierten Anweisungen des Kunden oder die Verarbeitung ist nach dem für Timewax geltenden Recht der EU oder eines Mitgliedstaats erforderlich. Timewax wird, soweit dies nach diesem Recht zulässig ist, den Kunden vor der Verarbeitung der personenbezogenen Daten über diese gesetzliche Verpflichtung informieren und den Anweisungen des Kunden Folge leisten, um den Umfang der Weitergabe so weit wie möglich zu minimieren.
2.10. Timewax verarbeitet die personenbezogenen Daten des Kunden in der Software ausschließlich innerhalb des EWR und wird die personenbezogenen Daten des Kunden in der Software weder in einem Drittland verarbeiten noch in ein Drittland übermitteln.
3.1. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen ergreift Timewax geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau für personenbezogene Daten zu gewährleisten, darunter unter anderem:
a. Verschlüsselung;
b. die Fähigkeit, die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen und -diensten sicherzustellen;
c. die Fähigkeit, die Verfügbarkeit und den Zugriff auf personenbezogene Daten im Falle eines physischen oder technischen Vorfalls rechtzeitig wiederherzustellen;
d. ein Verfahren zur regelmäßigen Prüfung, Beurteilung und Bewertung der Wirksamkeit technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
3.2. Bei der Festlegung des angemessenen Sicherheitsniveaus berücksichtigt Timewax die Risiken, die mit der Verarbeitung verbunden sind, insbesondere im Hinblick auf die versehentliche oder unrechtmäßige Vernichtung, den Verlust, die Veränderung, die unbefugte Offenlegung oder den unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten.
3.3. Timewax lässt die umgesetzten technischen und organisatorischen Maßnahmen mindestens einmal jährlich von einer unabhängigen Stelle prüfen.
3.4. Timewax verfügt über eine Zertifizierung nach ISO 27001 (oder eine gleichwertige Zertifizierung) für seine Informationssicherheit. Auf Anfrage des Kunden legt Timewax ein aktuelles Zertifikat oder einen zusammenfassenden Auditbericht vor, aus dem die Einhaltung seiner Sicherheitsverpflichtungen gemäß diesem Nachtrag hervorgeht.
3.5. Möchte der Kunde die Möglichkeit, die personenbezogenen Daten einer betroffenen Person zuzuordnen, weiter einschränken, kann er die personenbezogenen Daten, für die er verantwortlich ist, pseudonymisieren.
3.6. Der Kunde ist für den Prozess der Anonymisierung personenbezogener Daten verantwortlich, den Timewax durch die Bereitstellung einer Funktion in der Software unterstützt.
3.7. Timewax ergreift angemessene Maßnahmen, um die Zuverlässigkeit aller Mitarbeiter, Auftragnehmer oder Unterauftragsverarbeiter sicherzustellen, die möglicherweise Zugriff auf die personenbezogenen Daten des Kunden haben, und stellt dabei in jedem Einzelfall sicher, dass der Zugriff streng auf diejenigen Personen beschränkt ist, die Zugriff auf die betreffenden personenbezogenen Daten benötigen.
3.8. Timewax stellt sicher, dass alle Personen, die zur Verarbeitung der personenbezogenen Daten des Kunden verpflichtet sind:
a. über die Vertraulichkeit der personenbezogenen Daten des Kunden informiert sind und sich der Verpflichtungen von Timewax im Rahmen dieser Vereinbarung in Bezug auf die personenbezogenen Daten des Kunden bewusst sind;
b. eine angemessene Schulung zu ihren Aufgaben erhalten haben;
c. einer Verschwiegenheitsverpflichtung oder beruflichen oder gesetzlichen Verschwiegenheitspflichten unterliegen;
d. unterliegen beim Zugriff auf die personenbezogenen Daten des Kunden einer Benutzerauthentifizierung und Anmeldevorgängen gemäß dieser Vereinbarung und den geltenden Datenschutzgesetzen.
4.1. Der Kunde nimmt zur Kenntnis und erklärt sich damit einverstanden, dass Timewax zur Verarbeitung personenbezogener Daten im Zusammenhang mit den Diensten Unterauftragsverarbeiter einsetzen darf und dass Timewax von Zeit zu Zeit weitere Dritte als Unterauftragsverarbeiter benennen darf.
4.2. Eine Liste der Unterauftragsverarbeiter ist auf der Timewax-Support-Website verfügbar. Bevor ein neuer Dritter als Unterauftragsverarbeiter zugelassen wird, nimmt Timewax diesen in die Liste auf. Der Kunde kann sich per E-Mail über Aktualisierungen der Liste informieren lassen und innerhalb von vier (4) Wochen nach Erhalt der vorgenannten Mitteilung von Timewax schriftlich Widerspruch gegen einen solchen Auftragnehmer einlegen.
a. Wenn der Kunde begründete Einwände gegen einen Unterauftragsverarbeiter erhebt, muss der Kunde Timewax gegebenenfalls eine schriftliche Beschreibung der wirtschaftlich angemessenen Alternative(n) zu einem solchen Auftrag vorlegen, einschließlich, aber nicht beschränkt auf, Änderungen an den Diensten;
b. Wenn der Kunde der Beauftragung eines Dritten nicht innerhalb von vier (4) Wochen nach Benachrichtigung durch Timewax widerspricht, gilt dieser Dritte als Unterauftragsverarbeiter.
4.3. Timewax hat durch einen Vertrag oder eine sonstige Rechtshandlung nach dem Recht der Europäischen Union oder eines Mitgliedstaats der Europäischen Union (einschließlich, aber nicht beschränkt auf genehmigte Verhaltenskodizes und Standardvertragsklauseln) sicherzustellen, dass jeder Unterauftragsverarbeiter Verpflichtungen hinsichtlich der Verarbeitung personenbezogener Daten unterliegt, die nicht weniger Schutz bieten als diejenigen, denen Timewax gemäß diesem Nachtrag unterliegt.
4.4. Timewax haftet gegenüber dem Kunden für die Handlungen und Unterlassungen von Unterauftragsverarbeitern in demselben Umfang, in dem Timewax selbst gemäß diesem Nachtrag haftbar wäre, hätte es diese Handlungen oder Unterlassungen selbst begangen.
5.1. Unter Berücksichtigung der Art der Verarbeitung unterstützt Timewax den Kunden durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Verpflichtung des Kunden, auf Anträge zur Ausübung der Rechte der betroffenen Personen gemäß der DSGVO zu reagieren.
5.2. Timewax wird den Kunden unverzüglich benachrichtigen, wenn es einen Antrag einer betroffenen Person auf Auskunft, Berichtigung oder Löschung ihrer personenbezogenen Daten erhält oder wenn eine betroffene Person der Verarbeitung dieser Daten widerspricht. Timewax wird ohne die vorherige schriftliche Zustimmung des Kunden nicht auf die betroffene Person reagieren, es sei denn, um zu bestätigen, dass sich dieser Antrag auf den Kunden bezieht, womit der Kunde hiermit einverstanden ist.
5.3. Timewax wird auf Verlangen des Kunden mitwirken, um dem Kunden die Möglichkeit zu geben, der Ausübung von Rechten durch eine betroffene Person gemäß den Datenschutzgesetzen in Bezug auf personenbezogene Daten nachzukommen und allen Bewertungen, Anfragen, Mitteilungen oder Untersuchungen gemäß den Datenschutzgesetzen in Bezug auf personenbezogene Daten oder diese Vereinbarung nachzukommen.
6.1. Timewax hat den Kunden unverzüglich, spätestens jedoch innerhalb von sechsunddreißig (36) Stunden, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist oder ein begründeter Verdacht darauf besteht, zu benachrichtigen. Diese Benachrichtigung muss mindestens folgende Angaben enthalten:
a. Beschreiben Sie die Art der Datenschutzverletzung sowie die Kategorien und Anzahl der betroffenen Personen.
b. Geben Sie den Namen und die Kontaktdaten des Datenschutzbeauftragten bei Timewax oder eines anderen relevanten Ansprechpartners an, von dem Sie weitere Informationen erhalten können.
c. Beschreiben Sie das geschätzte Risiko und die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten.
d. Beschreiben Sie die Maßnahmen, die ergriffen wurden oder ergriffen werden sollen, um die Verletzung des Schutzes personenbezogener Daten zu beheben.
6.2. Timewax verpflichtet sich, mit dem Kunden zusammenzuarbeiten und alle vom Kunden angeordneten, wirtschaftlich vertretbaren Maßnahmen zu ergreifen, um bei der Untersuchung, Eindämmung und Behebung jeder Verletzung des Schutzes personenbezogener Daten mitzuwirken.
6.3. Im Falle einer Verletzung des Schutzes personenbezogener Daten wird Timewax keine Dritten informieren, ohne zuvor die schriftliche Zustimmung des Kunden einzuholen, es sei denn, eine Benachrichtigung ist nach dem für Timewax geltenden Recht der EU oder eines Mitgliedstaats vorgeschrieben; in diesem Fall wird Timewax, soweit dies nach diesem Recht zulässig ist, den Kunden über diese gesetzliche Verpflichtung informieren, ihm eine Kopie der geplanten Benachrichtigung zur Verfügung stellen und etwaige Anmerkungen des Kunden berücksichtigen, bevor die Datenschutzverletzung gemeldet wird.
6.4. Timewax leistet dem Kunden angemessene Unterstützung bei allen Datenschutz-Folgenabschätzungen, die gemäß Artikel 35 der DSGVO erforderlich sind, sowie bei allen vorherigen Konsultationen mit einer Aufsichtsbehörde des Kunden, die gemäß Artikel 36 der DSGVO erforderlich sind, jeweils ausschließlich im Zusammenhang mit der Verarbeitung der personenbezogenen Daten des Kunden durch Timewax im Auftrag des Kunden und unter Berücksichtigung der Art der Verarbeitung sowie der Timewax zur Verfügung stehenden Informationen.
7.1. Timewax wird auf Verlangen des Kunden unverzüglich und in jedem Fall innerhalb von 90 (neunzig) Kalendertagen nach Beendigung des Vertrags alle von Timewax verarbeiteten Kopien der personenbezogenen Daten des Kunden sicher löschen oder an den Kunden zurückübertragen, einschließlich aller (Kopien von) elektronisch gespeicherten personenbezogenen Daten.
7.2. Timewax darf die personenbezogenen Daten des Kunden in dem Umfang aufbewahren, der nach dem Recht der Europäischen Union oder eines Mitgliedstaats erforderlich ist, und zwar nur in dem Umfang und für den Zeitraum, der nach dem Recht der Europäischen Union oder eines Mitgliedstaats vorgeschrieben ist, und stets unter der Voraussetzung, dass Timewax die Vertraulichkeit aller dieser personenbezogenen Daten des Kunden gewährleistet und sicherstellt, dass diese personenbezogenen Daten des Kunden nur in dem Umfang verarbeitet werden, der für die in den Rechtsvorschriften der Europäischen Union oder der Mitgliedstaaten, die ihre Speicherung vorschreiben, festgelegten Zwecke erforderlich ist, und zu keinem anderen Zweck.
8.1. Der Auftragsverarbeiter haftet gegenüber dem Auftraggeber aufgrund oder im Zusammenhang mit diesem Nachtrag oder aus welchem anderen Grund auch immer, soweit die Parteien dies im Vertrag vereinbart haben. Die im Vertrag vereinbarte Haftungsbeschränkung gilt uneingeschränkt für die in diesem Nachtrag enthaltenen Verpflichtungen, wobei gilt, dass ein und dasselbe Ereignis niemals zu mehreren Schadensersatzansprüchen führen kann.
8.2. Ungeachtet der Ziffer 8.1 stellt der Auftragsverarbeiter den Auftraggeber von allen Ansprüchen sowie von sämtlichen Schäden und/oder Geldbußen Dritter, einschließlich der niederländischen Datenschutzbehörde oder Einzelpersonen, im Zusammenhang mit den in der Vereinbarung und diesem Nachtrag festgelegten Verpflichtungen frei.
