Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Parteien und Rollen

Diese Vereinbarung wird zwischen dem im Kerniva-Hauptvertrag bezeichneten Kunden als Verantwortlichem und der CurveDesign GmbH, Mettendorfer Weg 24, 91171 Greding, als Auftragsverarbeiter geschlossen.

Eine elektronische Annahme- oder Signaturfunktion wird auf der Marketingwebsite nicht bereitgestellt.

1. Gegenstand und Dauer

(1) CurveDesign verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit der Kunde Kerniva für Beschäftigten-, Organisations- und Workflowprozesse nutzt.

(2) Die Verarbeitung läuft für die Dauer des Hauptvertrags einschließlich der vorgesehenen Rückgabe-, Export- und Löschphase.

(3) Eigene Verarbeitungen von CurveDesign für Vertragsschluss, Billing, Forderungsmanagement, IT-Sicherheit, Missbrauchsprävention und gesetzliche Pflichten sind nicht Gegenstand dieser AVV, soweit CurveDesign hierfür selbst Verantwortlicher ist.

2. Art und Zweck

Gegenstand ist das Speichern, Strukturieren, Anzeigen, tenant- und berechtigungsgebundene Übermitteln, Sichern, Exportieren und Löschen von Daten zur Bereitstellung der Kerniva-Module. CurveDesign bestimmt nicht die arbeits- oder organisationsrechtlichen Zwecke des Kunden.

• Mitarbeiter- und Mitgliederverwaltung.
• Arbeitszeiterfassung und Auswertungen.
• Urlaubs- und Abwesenheitsverwaltung.
• Aufgaben und Freigabeworkflows.
• Intranet und Informationsbereitstellung.
• Dokumentenverwaltung.
• Rollen- und Berechtigungsverwaltung.
• Technische Administration und kundenseitig veranlasster Support.

3. Kategorien betroffener Personen

Je nach Nutzung insbesondere Beschäftigte, Organmitglieder und Vertretungsberechtigte, eingeladene und aktive Nutzer, freie Mitarbeiter oder sonstige organisatorisch eingebundene Personen, Administratoren und Ansprechpartner sowie Personen, deren Daten zulässigerweise in Aufgaben, Workflows oder Dokumenten enthalten sind.

4. Arten personenbezogener Daten

Besondere Kategorien: Die Angabe „Krankheit“ kann Gesundheitsdaten gemäß Art. 9 DSGVO darstellen. Der Kunde ist für Rechtsgrundlage, Erforderlichkeit und Datenminimierung verantwortlich. Diagnosen oder unnötige medizinische Details sollen nicht erfasst werden.

• Stammdaten und geschäftliche Kontaktdaten.
• Organisationseinheiten, Rollen und Berechtigungen.
• Account- und Einladungsdaten.
• Arbeitszeit-, Anwesenheits- und Auswertungsdaten.
• Urlaubs- und Abwesenheitsdaten.
• Aufgaben-, Freigabe- und Workflowdaten.
• Intranet- und Kommunikationsinhalte.
• Dokumente und Metadaten.
• Technische Audit- und Sicherheitsmetadaten.

5. Weisungen

(1) CurveDesign verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verarbeitungspflicht besteht. Dies gilt auch für Übermittlungen in Drittländer, soweit nicht eine gesetzliche Verpflichtung entgegensteht.

(2) Hauptvertrag, AVV, Administratorkonfigurationen, zulässige Nutzeraktionen und dokumentierte Supportaufträge bilden Weisungen.

(3) Hält CurveDesign eine Weisung für datenschutzrechtswidrig, informiert CurveDesign den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen, soweit rechtlich zulässig.

6. Vertraulichkeit

CurveDesign stellt sicher, dass zugriffsberechtigte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang zugreifen.

7. Technische und organisatorische Maßnahmen

CurveDesign trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die jeweils vereinbarte TOM-Anlage ist Bestandteil dieser AVV. TOM dürfen weiterentwickelt werden, sofern das vereinbarte Sicherheitsniveau nicht abgesenkt wird.

8. Weitere Auftragsverarbeiter

(1) Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der in der jeweils aktuellen Unterauftragnehmerliste genannten weiteren Auftragsverarbeiter.

(2) CurveDesign informiert über beabsichtigte neue oder ersetzte Unterauftragnehmer mindestens 30 Tage vor Wirksamwerden.

(3) Der Kunde kann aus nachvollziehbaren Datenschutzgründen widersprechen. Kann innerhalb des Ankündigungszeitraums keine angemessene datenschutzkonforme Lösung gefunden werden, kann der Kunde den von der Änderung betroffenen Dienst zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen.

(4) CurveDesign verpflichtet weitere Auftragsverarbeiter mindestens zu den nach Art. 28 DSGVO erforderlichen Datenschutzpflichten.

9. Betroffenenrechte

CurveDesign unterstützt den Kunden unter Berücksichtigung von Art und Funktionalität von Kerniva angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Direkte Anfragen zu reinen Kundendaten werden grundsätzlich an den verantwortlichen Kunden verwiesen, soweit keine abweichende Weisung oder gesetzliche Pflicht besteht.

10. Unterstützung nach Art. 32 bis 36 DSGVO

(1) CurveDesign unterstützt den Kunden bei Sicherheit der Verarbeitung, Bewertung und Meldung von Datenschutzverletzungen, DSFA und gegebenenfalls vorheriger Konsultation, soweit die Verarbeitung in Kerniva betroffen ist.

(2) CurveDesign informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Kundendaten und stellt die verfügbaren Informationen bereit.

11. DSFA-Unterstützung

CurveDesign stellt auf Anfrage angemessene Informationen zu Datenflüssen, TOM, Unterauftragnehmern, Löschfristen und Produktfunktionen bereit. Dies ist besonders relevant, wenn Kunden Zeiterfassung und Beschäftigtendaten mit Krankheits- oder Gesundheitsdaten kombinieren oder Kerniva großflächig zur regelmäßigen oder systematischen Beobachtung einsetzen.

12. Nachweise und Audits

(1) CurveDesign stellt die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen bereit.

(2) Prüfungen erfolgen vorrangig über Dokumentation, TOM, Sicherheits- und Anbieternachweise sowie Remote-Auskünfte.

(3) Vor-Ort-Prüfungen sind bei berechtigtem Anlass und angemessener Vorankündigung während üblicher Geschäftszeiten zulässig, soweit Sicherheit, Vertraulichkeit anderer Kunden und Betriebsabläufe nicht unangemessen beeinträchtigt werden.

13. Drittlandtransfers

Soweit CurveDesign oder ein genehmigter Unterauftragnehmer Kundendaten in ein Drittland übermittelt oder von dort darauf zugreift, wird ein nach Kapitel V DSGVO zulässiger Transfermechanismus eingesetzt, soweit erforderlich. Regionale Speicherung allein schließt internationale Support- oder Konzernzugriffe nicht zwingend aus.

14. Rückgabe und Löschung

(1) Vor Vertragsende kann der Kunde vorgesehene Exportfunktionen nutzen. Generierte Exporte werden derzeit nach 24 Stunden entfernt.

(2) Trial- oder Vertragsende allein plant keine Organisationslöschung. Nach beendeter Subscription, ohne offene Billing-Changes und ohne laufenden Payment- oder Checkout-Vorgang kann ein aktiver Owner als vorgesehene Weisung die Organisationslöschung anfordern.

(3) Erst nach Bestätigung über den vorgesehenen E-Mail-Link beginnt eine 30-tägige Karenz. Nach deren Ablauf verarbeitet der Löschworker ausschließlich bestätigte und bereits zur Löschung vorgemerkte Anträge. Die geplante Löschung kann innerhalb der Karenz über den vorgesehenen sicheren Lifecycle zurückgenommen werden.

(4) Gesetzliche Pflichten oder dokumentierte abweichende Weisungen bleiben unberührt. Backups können Daten bis zum Ende der 30-tägigen Rotation enthalten. Sie werden ausschließlich für Recoveryzwecke verwendet; nach Wiederherstellung werden bereits fällige Löschungen erneut angewendet.

15. Verantwortung des Kunden

Der Kunde bleibt verantwortlich für Rechtmäßigkeit und Transparenz seiner Verarbeitung, Rechtsgrundlagen und Zweckbindung, Datenminimierung, Rollen- und Berechtigungskonzept, Beschäftigteninformation, Mitbestimmungsrechte, DSFA und gegebenenfalls vorherige Konsultation, besondere Kategorien sowie die fachlich erforderlichen Aufbewahrungs- und Löschregeln.

16. Rangfolge und Anlagen

Bei Widersprüchen zwischen Hauptvertrag und dieser AVV gehen zwingende datenschutzrechtliche Regelungen für die Auftragsverarbeitung vor.

• Anlage 1: Beschreibung der Verarbeitung (Abschnitte 1 bis 4).
• Anlage 2: Technische und organisatorische Maßnahmen.
• Anlage 3: Unterauftragnehmer.
• Anlage 4: Transfermechanismen, soweit einschlägig.