Auftragsverarbeitungsvertrag

1. Gegenstand und Rollen

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die MAINSYSTEMS, LDA. („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) im Zusammenhang mit der UNOVOX-Plattform nach Art. 28 der Verordnung (EU) 2016/679 („DSGVO“). Der Kunde bestimmt die Zwecke und Mittel der Verarbeitung seiner Falldaten; MAINSYSTEMS verarbeitet diese Daten nur auf dokumentierte Weisung des Kunden, einschließlich der in der Plattform vorgenommenen Konfigurationen, sofern nicht Unionsrecht oder mitgliedstaatliches Recht die Verarbeitung verlangt; in diesem Fall informiert MAINSYSTEMS den Kunden vor der Verarbeitung, sofern das Recht dies nicht verbietet.

2. Beschreibung der Verarbeitung

• Gegenstand: Hosting und Bereitstellung der UNOVOX-Plattform, einschließlich Meldeportal, Fallmanagement, Kommunikation, Berichten, technischem Support und, sofern vom Kunden aktiviert, AI Agents.
• Dauer: die Laufzeit des Abonnements zuzüglich der Wiederherstellungs- und Löschfrist in Abschnitt 10.
• Art und Zweck: Erhebung, Speicherung, Organisation, Abfrage, Offenlegung gegenüber dem Kunden und Löschung von Daten, ausschließlich zum Betrieb des Hinweisgeberkanals und des Fallmanagements des Kunden.
• Kategorien betroffener Personen: hinweisgebende Personen, betroffene Personen, Zeugen und erwähnte Dritte; autorisierte Nutzer des Kunden.
• Datenkategorien: Identifikations- und Kontaktdaten, berufliche Informationen, Meldeinhalte, Nachrichten und Anhänge, Fallmanagement-Aufzeichnungen; je nach Eingaben können besondere Kategorien von Daten (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO) enthalten sein.

3. Weisungen des Kunden

MAINSYSTEMS informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, und kann die Ausführung dieser Weisung bis zu deren Bestätigung oder Änderung aussetzen. Der Kunde gewährleistet, dass seine Weisungen rechtmäßig sind und dass er für die von ihm bestimmte Verarbeitung über eine Rechtsgrundlage verfügt.

4. Vertraulichkeit

MAINSYSTEMS stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass der Zugriff auf das für Bereitstellung, Schutz und Support des Dienstes strikt Erforderliche beschränkt ist. Im Hinweisgeberkontext umfasst die Vertraulichkeit insbesondere die Identität der hinweisgebenden Person und jeder in der Meldung genannten dritten Person sowie Informationen, aus denen sie abgeleitet werden kann: nach dem belgischen Gesetz vom 28. November 2022 über den Schutz von Personen, die Verstöße gegen das Unionsrecht oder das nationale Recht innerhalb einer juristischen Person des Privatsektors melden, dürfen diese Angaben ohne die ausdrückliche Zustimmung der betreffenden Person nicht offengelegt werden, vorbehaltlich der gesetzlich vorgesehenen Ausnahmen. Für Kunden des föderalen öffentlichen Sektors gilt das Gesetz vom 8. Dezember 2022; Regionen, Gemeinschaften und lokale Behörden können eigene Regelungen erlassen haben.

5. Sicherheitsmaßnahmen

MAINSYSTEMS wendet die nach Art. 32 DSGVO dem Risiko angemessenen technischen und organisatorischen Maßnahmen an, zum Stand dieser Version einschließlich: Zugriffskontrollen und vom Kunden definierte rollenbasierte Berechtigungen; Authentifizierung mit verschlüsselter Passwortspeicherung; Zugriff auf die Plattform über HTTPS-Verbindungen; logische Trennung der Umgebungen der einzelnen Kunden; keine Protokollierung der IP-Adressen hinweisgebender Personen im Meldeportal; Aktivitätsprotokolle im Verwaltungsbereich; regelmäßige Backups; Hosting im Europäischen Wirtschaftsraum; Schwachstellenmanagement und Incident-Response-Verfahren. Eine aktuelle Beschreibung der Maßnahmen ist auf Anfrage erhältlich und kann sich weiterentwickeln, sofern das Gesamtschutzniveau nicht wesentlich verringert wird.

6. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern für Hosting und Infrastruktur, Kommunikation, Sicherheit und, sofern aktiviert, KI-Dienste. MAINSYSTEMS führt eine Liste der relevanten Unterauftragsverarbeiter, die dem Kunden auf Anfrage bereitgestellt wird, und informiert den Kunden mit angemessenem Vorlauf über jede wesentliche Änderung, mit der Möglichkeit, aus berechtigten Gründen Einspruch zu erheben; kommt keine angemessene Lösung zustande, kann der Kunde den betroffenen Dienst kündigen. MAINSYSTEMS erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses AVV entsprechen, und bleibt dem Kunden gegenüber für deren Erfüllung verantwortlich.

7. Unterstützung des Kunden

Unter Berücksichtigung der Art der Verarbeitung leistet MAINSYSTEMS dem Kunden angemessene Unterstützung durch geeignete technische und organisatorische Maßnahmen und die Funktionen der Plattform, um Betroffenenanfragen zu beantworten und die Pflichten der Art. 32 bis 36 DSGVO zu erfüllen, einschließlich Sicherheit, Meldung von Verletzungen, Folgenabschätzungen und vorheriger Konsultationen. Die Plattform unterstützt den Kunden auch bei der Einhaltung seiner Fristen, insbesondere der Eingangsbestätigung innerhalb von sieben Tagen nach Eingang der Meldung und der Rückmeldung innerhalb einer angemessenen Frist, spätestens drei Monate nach der Eingangsbestätigung; die Einhaltung dieser Fristen bleibt Pflicht des Kunden. Wendet sich eine betroffene Person wegen im Auftrag des Kunden verarbeiteter Daten direkt an MAINSYSTEMS, leitet MAINSYSTEMS die Anfrage ohne unangemessene Verzögerung an den Kunden weiter und antwortet ohne Weisung des Kunden nicht in der Sache, außer bei gesetzlicher Verpflichtung. Unterstützung, die über das im Rahmen des Dienstes Angemessene hinausgeht, kann zu angemessenen Sätzen berechnet werden.

8. Verletzungen des Schutzes personenbezogener Daten

MAINSYSTEMS benachrichtigt den Kunden ohne unangemessene Verzögerung, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die im Auftrag des Kunden verarbeitete Daten betrifft, und stellt die vernünftigerweise verfügbaren Informationen über die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen bereit und ergänzt die Informationen, sobald sie verfügbar sind. Die Meldung an die Aufsichtsbehörde, in Belgien die Datenschutzbehörde (Autorité de protection des données / Gegevensbeschermingsautoriteit, APD-GBA), und die Benachrichtigung der betroffenen Personen sind Entscheidung und Verantwortung des Kunden als Verantwortlicher; MAINSYSTEMS kooperiert angemessen.

9. Internationale Übermittlungen

Die Daten werden im Europäischen Wirtschaftsraum verarbeitet. Eine Übermittlung außerhalb des EWR erfolgt nur mit einem gültigen Mechanismus nach Kapitel V DSGVO (Angemessenheitsbeschluss, Standardvertragsklauseln der Europäischen Kommission mit ergänzenden Maßnahmen soweit angemessen oder ein anderes rechtlich anerkanntes Instrument) und wird in den Informationen zu Unterauftragsverarbeitern abgebildet.

10. Rückgabe und Löschung

Bei Beendigung des Dienstes gibt MAINSYSTEMS die personenbezogenen Daten nach Wahl des Kunden über die verfügbaren Exportfunktionen während der 30-tägigen Wiederherstellungsfrist zurück, sofern die Bestellung keine andere Frist vorsieht, und löscht anschließend die vorhandenen Daten und Kopien, außer soweit Unionsrecht oder mitgliedstaatliches Recht deren Aufbewahrung verlangt. Die Löschung in Backups erfolgt in sicheren Rotationszyklen.

Der Kunde ist dafür verantwortlich, vor Ablauf der Wiederherstellungsfrist das Register der eingegangenen Meldungen und die zugehörige Dokumentation zu exportieren, die er nach belgischem Recht unter Wahrung der Vertraulichkeit zu führen hat. Das belgische Gesetz verlangt, dass Meldungen und zugehörige personenbezogene Daten nur so lange aufbewahrt werden, wie dies für die Bearbeitung der Meldung sowie für die Erfüllung gesetzlicher Pflichten oder die Verteidigung von Rechtsansprüchen erforderlich und verhältnismäßig ist. Die Aufbewahrungsdauer legt der Kunde als Verantwortlicher fest; UNOVOX wendet die konfigurierte Dauer an.

11. Informationen und Audits

MAINSYSTEMS stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, einschließlich Antworten auf Sicherheitsfragebögen und Dokumentation der angewandten Maßnahmen. Der Kunde kann eine Prüfung der relevanten Verarbeitungstätigkeiten durchführen oder einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer damit beauftragen, mit angemessener Vorankündigung, höchstens einmal jährlich, außer auf Verlangen einer Aufsichtsbehörde oder nach einer wesentlichen Verletzung, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden. Die Kosten des Audits trägt der Kunde.

12. Haftung und Laufzeit

Die Haftung der Parteien aus diesem AVV richtet sich nach Art. 82 DSGVO und den Beschränkungen der Nutzungsbedingungen, soweit diese rechtlich anwendbar sind. Dieser AVV gilt, solange MAINSYSTEMS personenbezogene Daten im Auftrag des Kunden verarbeitet, und hat in Fragen der Verarbeitung personenbezogener Daten Vorrang vor widersprechenden Bestimmungen der Bedingungen. Er unterliegt portugiesischem Recht, und zuständig sind die Gerichte von Lissabon, Portugal.

13. Kontakt

MAINSYSTEMS, LDA. (UNOVOX)
Av. da República, 50, 2.º andar, 1050-196 Lissabon, Portugal
Datenschutz: dpo@mainsystems.pt
Allgemein: info@mainsystems.pt
Telefon: +351 211 245 202