Vereinbarung zur Auftragsverarbeitung

1. Geltungsbereich und Rollen

Der Kunde ist Verantwortlicher und Lyniti ist Auftragsverarbeiter für personenbezogene Kundendaten. Verarbeitet der Kunde diese Daten im Auftrag eines anderen Verantwortlichen, ist der Kunde Auftragsverarbeiter und beauftragt Lyniti als Unterauftragsverarbeiter. In diesem Fall bestätigt der Kunde, dass der jeweilige Verantwortliche ihn zur Beauftragung von Lyniti und zur Erteilung der in dieser DPA beschriebenen Weisungen ermächtigt hat.

Jede Partei hält das auf ihre Rolle anwendbare Datenschutzrecht ein. Lyniti verarbeitet personenbezogene Kundendaten nur, um den vertraglich vereinbarten Dienst gemäß der Vereinbarung und den dokumentierten Weisungen des Kunden bereitzustellen, abzusichern, zu unterstützen und zu warten.

2. Begriffe und Vorrang

Personenbezogene Kundendaten sind personenbezogene Daten in Kundeninhalten, die Lyniti im Rahmen der Vereinbarung im Auftrag des Kunden verarbeitet. Datenschutzrecht bezeichnet die DSGVO und andere auf diese Verarbeitung anwendbare Datenschutzgesetze. Verantwortlicher, Auftragsverarbeiter, betroffene Person, personenbezogene Daten, Verarbeitung, Verletzung des Schutzes personenbezogener Daten und Aufsichtsbehörde haben die Bedeutung des anwendbaren Datenschutzrechts. Unterauftragsverarbeiter ist ein von Lyniti beauftragter Dritter, der personenbezogene Kundendaten verarbeitet.

Widerspricht diese DPA der Vereinbarung bei der Verarbeitung personenbezogener Kundendaten, hat diese DPA Vorrang. Bei einem Widerspruch zwischen anwendbaren Standardvertragsklauseln und dieser DPA haben die Standardvertragsklauseln Vorrang.

3. Dokumentierte Weisungen

Der Kunde weist Lyniti an, personenbezogene Kundendaten soweit erforderlich zu verarbeiten, um den Dienst bereitzustellen, die Nutzung und Konfiguration durch den Kunden auszuführen, Supportanfragen zu beantworten, die Vereinbarung zu erfüllen und andere rechtmäßige schriftliche Weisungen auszuführen, die die Parteien vereinbaren. Diese Weisungen umfassen die nach Abschnitt 12 zulässigen Übermittlungen.

Lyniti verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, soweit nicht anwendbares Recht eine andere Verarbeitung verlangt. Verlangt das Recht eine andere Verarbeitung, informiert Lyniti den Kunden vor der Verarbeitung, sofern dieses Recht die Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Lyniti informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Lyniti gegen anwendbares Datenschutzrecht verstößt, und darf die betroffene Verarbeitung bis zur Klärung aussetzen.

4. Pflichten des Kunden

Der Kunde ist für Rechtmäßigkeit, Richtigkeit und Qualität der personenbezogenen Kundendaten und Weisungen verantwortlich. Dazu gehören erforderliche Hinweise, eine Rechtsgrundlage, notwendige Genehmigungen und die Beantwortung von Anfragen betroffener Personen. Der Kunde wird Lyniti nicht zu einer gegen Datenschutzrecht verstoßenden Verarbeitung anweisen und den Dienst nicht für eine nach der Vereinbarung unzulässige Verarbeitung nutzen.

5. Vertraulichkeit

Lyniti stellt sicher, dass zur Verarbeitung personenbezogener Kundendaten befugte Personen einer angemessenen Vertraulichkeitspflicht unterliegen und nur soweit für ihre Aufgaben erforderlich auf diese Daten zugreifen.

6. Sicherheit

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten, von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für Personen setzt Lyniti angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Kundendaten gemäß Artikel 32 DSGVO um und erhält sie aufrecht. Anhang 2 beschreibt die aktuellen Maßnahmen. Lyniti darf diese Maßnahmen aktualisieren, ohne das allgemeine Schutzniveau während der Laufzeit wesentlich zu verringern.

7. Unterauftragsverarbeiter

Der Kunde erteilt Lyniti die allgemeine schriftliche Genehmigung, die im Unterauftragsverarbeiter-Register aufgeführten Unterauftragsverarbeiter einzusetzen. Lyniti verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die für seine Verarbeitung im Wesentlichen denselben Schutz wie diese DPA bieten. Lyniti bleibt gegenüber dem Kunden für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter verantwortlich.

Lyniti informiert im Voraus über eine beabsichtigte Hinzuziehung oder Ersetzung, bevor der neue Unterauftragsverarbeiter personenbezogene Kundendaten verarbeitet. Die Mitteilung kann an den Kontokontakt des Kunden, über den Dienst oder über das Abonnement für Unterauftragsverarbeiter-Updates erfolgen. Der Kunde kann innerhalb der in der Mitteilung genannten Frist aus angemessenen Datenschutzgründen widersprechen.

Bei einem fristgerechten Widerspruch suchen die Parteien nach Treu und Glauben eine wirtschaftlich angemessene Alternative. Ist keine verfügbar, darf jede Partei den betroffenen Dienst ohne Vertragsstrafe für den ungenutzten vorausbezahlten Zeitraum kündigen. Lyniti darf einen Unterauftragsverarbeiter früher einsetzen, wenn dies für ein dringendes Sicherheits-, Rechts- oder Dienstkontinuitätsproblem erforderlich ist, informiert den Kunden aber unverzüglich und wahrt dessen Widerspruchsrecht.

8. Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Lyniti den Kunden soweit möglich durch geeignete technische und organisatorische Maßnahmen bei dessen Pflicht, Anträge zur Ausübung von Betroffenenrechten zu beantworten. Erhält Lyniti eine Anfrage zu personenbezogenen Kundendaten, leitet Lyniti sie unverzüglich an den Kunden weiter, sofern dies nicht gesetzlich untersagt ist, und antwortet nur auf Weisung des Kunden oder wenn gesetzlich vorgeschrieben.

9. Unterstützung bei Verletzungen, Sicherheit, DSFA und Behörden

Lyniti informiert den Kunden unverzüglich, nachdem Lyniti von einer Verletzung des Schutzes personenbezogener Kundendaten Kenntnis erlangt hat. Lyniti stellt angemessen verfügbare Informationen bereit, die der Kunde für seine Melde- und Dokumentationspflichten benötigt, und liefert weitere Informationen schrittweise, sobald sie verfügbar sind. Eine Mitteilung ist kein Eingeständnis von Verschulden oder Haftung.

Unter Berücksichtigung der Art der Verarbeitung und der Lyniti verfügbaren Informationen unterstützt Lyniti den Kunden angemessen bei Pflichten nach den Artikeln 32 bis 36 DSGVO, einschließlich Sicherheit, Bewertung und Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation einer Aufsichtsbehörde. Gebühren für außergewöhnliche Unterstützung außerhalb der Standardfunktionen des Dienstes vereinbaren die Parteien vorab, außer wenn die Unterstützung wegen eines Verstoßes von Lyniti gegen diese DPA erforderlich ist.

10. Rückgabe und Löschung

Nach Wahl des Kunden und vorbehaltlich der verfügbaren Dienstfunktionen gibt Lyniti personenbezogene Kundendaten nach Ende der Vereinbarung zurück oder löscht sie und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Kunde muss die Rückgabe vor Löschung des Kontos oder Arbeitsbereichs verlangen und vorhandene Exportwerkzeuge nutzen. Gesetzlich aufbewahrte Daten bleiben nach dieser DPA geschützt und werden nur für den vorgeschriebenen Zweck verarbeitet.

Personenbezogene Kundendaten in geschützten Sicherungen sind von der gewöhnlichen Nutzung getrennt und werden im Rahmen der Backup-Rotation von Lyniti gelöscht, sofern das Recht keine längere Aufbewahrung verlangt.

11. Informationen und Prüfungen

Lyniti stellt Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO und dieser DPA nachzuweisen. Lyniti kann Anfragen zunächst durch aktuelle Sicherheitsdokumentation, Zertifizierungen oder unabhängige Prüfberichte erfüllen.

Reichen diese Informationen nicht aus, darf der Kunde oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer einmal je zwölf Monate mit angemessener Vorankündigung und während normaler Geschäftszeiten eine Prüfung durchführen. Zusätzliche Prüfungen sind nach einer bestätigten Verletzung personenbezogener Kundendaten oder auf Anordnung einer Aufsichtsbehörde zulässig. Prüfungen dürfen den Betrieb nicht unangemessen stören oder auf Daten anderer Kunden zugreifen. Der Kunde trägt seine Prüfungskosten, sofern die Prüfung keinen wesentlichen Verstoß von Lyniti gegen diese DPA feststellt. Lyniti informiert den Kunden, wenn eine Prüfungsweisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

12. Internationale Übermittlungen

Lyniti übermittelt personenbezogene Kundendaten nicht aus dem Europäischen Wirtschaftsraum in ein Land ohne anwendbaren Angemessenheitsbeschluss, es sei denn, die Übermittlung nutzt eine gültige Garantie nach Kapitel V DSGVO, etwa die Standardvertragsklauseln der Europäischen Kommission, zusammen mit erforderlichen ergänzenden Maßnahmen. Lyniti stellt angemessen verfügbare Informationen über maßgebliche Übermittlungsmechanismen unter Beachtung von Vertraulichkeitspflichten bereit.

Erfordert eine beschränkte Übermittlung zwischen dem Kunden und Lyniti die durch den Durchführungsbeschluss (EU) 2021/914 angenommenen Standardvertragsklauseln, werden diese durch Verweis in diese DPA einbezogen. Modul Zwei gilt, wenn der Kunde Verantwortlicher ist, Modul Drei, wenn er Auftragsverarbeiter ist. Klausel 7 gilt; Klausel 9 verwendet Option 2 und das Mitteilungsverfahren aus Abschnitt 7; die optionale Regelung in Klausel 11 gilt nicht; Klausel 17 verwendet Option 1 und finnisches Recht; für Klausel 18 gelten die Gerichte in Helsinki, Finnland. Die zuständige Aufsichtsbehörde bestimmt sich nach Klausel 13; bei Anwendung von Klausel 13(b) ist dies der finnische Datenschutzbeauftragte. Vertragsangaben und Anhang 1 vervollständigen Anhang I, Anhang 2 vervollständigt Anhang II und das Unterauftragsverarbeiter-Register Anhang III. Die Annahme der Vereinbarung gilt, soweit rechtlich zulässig, als Unterzeichnung dieser Klauseln.

13. Laufzeit und allgemeine Bestimmungen

Diese DPA tritt mit der Vereinbarung in Kraft und gilt, solange Lyniti personenbezogene Kundendaten verarbeitet. Die Haftungs-, Rechtswahl- und Streitregelungen der Vereinbarung gelten für diese DPA, soweit das Datenschutzrecht oder anwendbare Standardvertragsklauseln nichts anderes verlangen.

Lyniti darf diese DPA nach der Änderungsklausel der Vereinbarung aktualisieren. Lyniti informiert im Voraus über eine wesentliche Änderung, die Datenschutzrechte des Kunden verringert. Eine ausgehandelte DPA darf nur nach Maßgabe der unterzeichneten Vereinbarung geändert werden. Bei Widersprüchen einer Übersetzung mit der englischen Fassung hat die englische Fassung Vorrang, sofern zwingendes Recht nichts anderes verlangt.

Anhang 1: Angaben zur Verarbeitung

Dieser Anhang nennt Gegenstand, Dauer, Art, Zweck und Umfang der nach Artikel 28 DSGVO erforderlichen Verarbeitung.

Parteien

Der Kunde ist die in der Vereinbarung bezeichnete Organisation. Lyniti ist der in den Nutzungsbedingungen bezeichnete Dienstanbieter. Kontaktdaten ergeben sich aus der Vereinbarung und dem Kundenkonto.

Gegenstand

Verarbeitung personenbezogener Kundendaten zum Hosting, Betrieb, Schutz, Support, zur Wartung und Bereitstellung der Lyniti-Dienste für Zusammenarbeit, Arbeitsbereiche, Kommunikation, Dateien, Projekte, Geschäftsverwaltung und weiterer vertraglicher Dienste.

Dauer

Die Laufzeit der Vereinbarung und ein begrenzter Folgezeitraum, der für Rückgabe oder Löschung, Backup-Rotation, Behebung von Sicherheitsproblemen oder gesetzliche Aufbewahrungspflichten erforderlich ist.

Art und Zweck

Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Abrufen, Abfragen, Übermitteln, Abgleichen, Supportzugriff, Sicherheitsüberwachung, Sichern, Wiederherstellen, Exportieren, Einschränken und Löschen, soweit zur Bereitstellung und zum Schutz des Dienstes auf Weisung des Kunden erforderlich.

Betroffene Personen

Autorisierte Nutzer, Beschäftigte, Auftragnehmer, Bewerber, Kunden, Interessenten, Lieferanten, Geschäftskontakte und Mitarbeiter des Kunden sowie andere Personen, deren Daten der Kunde an den Dienst übermittelt.

Kategorien personenbezogener Daten

Identitäts- und Kontaktdaten; Konto- und Authentifizierungsdaten; Berufs- und Beschäftigungsdaten; Arbeitsbereichs-, Projekt-, Aufgaben-, Nachrichten-, Dokument-, Datei-, Kalender-, Kunden-, Finanzgeschäfts- und Zusammenarbeitsinhalte; Geräte-, Netzwerk-, Prüf- und Nutzungsmetadaten; Supportunterlagen; sowie andere vom Kunden übermittelte personenbezogene Daten.

Besondere Datenkategorien

Von Lyniti nicht absichtlich verlangt. Der Kunde darf besondere Kategorien oder Daten zu strafrechtlichen Verurteilungen nur übermitteln, wenn die Vereinbarung dies erlaubt, die Verarbeitung rechtmäßig ist und der Kunde geeignete Weisungen und Garantien vorgibt.

Häufigkeit

Fortlaufend oder durch den Kunden und seine autorisierten Nutzer während der Nutzung des Dienstes ausgelöst.

Verarbeitungsort und Übermittlungen

Die primäre Verarbeitung des Dienstes erfolgt im Europäischen Wirtschaftsraum. Standorte und Übermittlungsmechanismen der Unterauftragsverarbeiter stehen im Register und unterliegen Abschnitt 12.

Weisungen und Rechte des Kunden

Weisungen sind in Abschnitt 3 beschrieben. Der Kunde behält die Rechte und Pflichten eines Verantwortlichen oder eines für einen anderen Verantwortlichen tätigen Auftragsverarbeiters nach anwendbarem Datenschutzrecht.

Anhang 2: Technische und organisatorische Maßnahmen

Maßnahmen werden risikobasiert ausgewählt und mit dem Dienst weiterentwickelt. Aktuelle Maßnahmen umfassen:

• Zugriffskontrollen nach Aufgaben, geringstmögliche Berechtigungen, Authentifizierungskontrollen und regelmäßige Zugriffsprüfungen.
• Verschlüsselung bei der Übertragung mit aktueller Transportsicherheit und Verschlüsselung ruhender Produktionsdaten und geschützter Sicherungen, soweit vom jeweiligen System unterstützt.
• Mandanten- und Arbeitsbereichsberechtigungen zur Verhinderung unbefugter Zugriffe zwischen Kunden.
• Protokollierung, Überwachung, Schwachstellenmanagement, sichere Änderungspraktiken und angemessene Vorfallreaktionsverfahren.
• Backup-, Wiederherstellungs-, Verfügbarkeits- und Geschäftskontinuitätsverfahren einschließlich regelmäßiger Wiederherstellungsprüfung.
• Vertraulichkeitspflichten des Personals und aufgabenbezogene Sicherheitsschulungen.
• Lieferantenprüfung, vertragliche Datenschutzanforderungen und Prüfung von Unterauftragsverarbeitern personenbezogener Kundendaten.
• Verfahren für Betroffenenanfragen, Sicherheitsvorfälle, Löschanfragen und Compliance-Anfragen des Kunden.
• Regelmäßige Prüfung und Bewertung der Wirksamkeit der Sicherheitsmaßnahmen mit risikobasierter Behebung.

In Bezug genommene Dokumente

Diese aktuellen Dokumente unterstützen und ergänzen die Verarbeitungsbeschreibung, soweit diese DPA auf sie verweist:

• Lyniti-Register der Unterauftragsverarbeiter
• Lyniti Trust Center
• Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914)

Datenschutzkontakt

Fragen zur DPA, Datenschutzweisungen, Prüfungsanfragen oder Widersprüche gegen Unterauftragsverarbeiter senden Sie an:

E-Mail: support@lyniti.com