Sentivaro · Legal documents

Auftragsverarbeitungsvertrag

Version 1.0

Vereinbarung zur Beauftragung der Verarbeitung personenbezogener Daten

Version: 1.0

Gültig ab: 30. Juli 2026

Diese Vereinbarung, im Folgenden „DPA“ genannt, wird geschlossen zwischen:

  1. die im Sentivaro-Konto angegebene Organisation, im Folgenden „Administrator“ genannt, und
  2. Dawid Balcer, Leiter des Sentivaro-Projekts als natürliche Person, die kein Unternehmen betreibt, Korrespondenzadresse: ul. Jana Brzechwy 8, 60-195 Poznań, E-Mail: contact@sentivaro.com, im Folgenden „Verarbeiter“ genannt.

Die DPA ist Teil der Vereinbarung zur Nutzung von Sentivaro.

1. Thema und Zeit

  1. Der Administrator vertraut dem Auftragsverarbeiter personenbezogene Daten in dem Umfang an, der für die Konfiguration, Umsetzung, Messung und Abwicklung genehmigter Sensibilisierungskampagnen für Cybersicherheit und die Bereitstellung entsprechender Schulungsmaterialien erforderlich ist.
  2. Die Verarbeitung dauert von der ersten Übermittlung der Daten bis zu deren Löschung oder Rückgabe nach Nutzung des Dienstes, unter Berücksichtigung des Zeitraums des Überschreibens der Sicherungskopie.
  3. Eine detaillierte Kampagne stellt die dokumentierten Anweisungen des Administrators hinsichtlich ihrer Konfiguration, Empfänger, Ereignisse und Aufbewahrung dar.

2. Art und Zweck der Operation

Zu den Operationen können gehören:

  • Annahme oder Einfuhr;
  • Bestellung und Zuordnung zur Kampagne;
  • Lagerung;
  • Generieren und Senden einer kontrollierten Nachricht;
  • Registrierung konfigurierter Ereignisse;
  • Pseudonymisierung und Aggregation;
  • Präsentation der Ergebnisse für autorisierte Benutzer;
  • Export auf Wunsch des Administrators;
  • Bereitstellung von Lehrmaterial;
  • Korrekturlesen;
  • Grenze;
  • Löschung.

Der einzige Zweck besteht darin, das vom Administrator autorisierte Programm zur Sensibilisierung für Cybersicherheit umzusetzen.

3. Menschen und Daten

  1. Kategorien von Personen:
  • Mitarbeiter und Mitarbeiter des Administrators;
  • andere Personen, die unter das gesetzliche und autorisierte Programm des Administrators fallen, nach vorheriger Vereinbarung.
  1. Datenkategorien:
  • Vor- und Nachname;
  • geschäftliche E-Mail-Adresse;
  • Abteilung, Team, Organisationseinheit oder Schulungskategorie;
  • interne Teilnehmer-ID;
  • die Tatsache, dass die Lernaktivität bereitgestellt, geöffnet, angeklickt, gemeldet und abgeschlossen wird, je nach Konfiguration;
  • Ergebniskorrekturdaten;
  • ggf. eingeschränkte technische Daten.
  1. Der Administrator darf Folgendes nicht ohne vorherige schriftliche Zustimmung übertragen:
  • Besondere Datenkategorien nach Art. 9 DSGVO;
  • Daten aus Kunst. 10 DSGVO;
  • echte Passwörter, MFA-Codes oder Anmeldeinformationen;
  • Finanzdaten, Dokumentennummern oder nationale Kennungen;
  • private E-Mail-Adressen;
  • Inhalt der privaten Korrespondenz.

4. Administratorbefehle

  1. Die Verarbeitungsstelle verarbeitet Daten nur auf dokumentierte Anweisung des Administrators, es sei denn, die Verpflichtung zur Verarbeitung ergibt sich aus EU-Recht oder polnischem Recht.
  2. Kampagnenkonfigurationen und Aktionen eines autorisierten Benutzers im Panel stellen Befehle dar, wenn sie der DPA, den Vorschriften und der Richtlinie zur akzeptablen Nutzung entsprechen.
  3. Der Auftragsverarbeiter informiert den Administrator unverzüglich, wenn die Bestellung seiner Meinung nach gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er kann die Ausführung des Befehls bis zur Klärung aussetzen.
  4. Die verarbeitende Stelle verwendet Kampagnendaten nicht für Werbung, eigene Mitarbeiterbewertung, Datenhandel oder Schulung von Modellen der künstlichen Intelligenz.

5. Pflichten des Administrators

Administrator:

  • gewährleistet die Rechtmäßigkeit der Datenübermittlung und -verarbeitung;
  • legt die Rechtsgrundlage fest;
  • Informationspflichten erfüllt;
  • führt bei Bedarf einen Gleichgewichtstest und eine DPIA durch;
  • sorgt für die Einhaltung des Arbeitsrechts und der internen Vorschriften;
  • beschränkt die Daten auf ein Minimum;
  • gewährt Benutzern die entsprechenden Berechtigungen;
  • überprüft die Ergebnisse, bevor sie gegen eine bestimmte Person verwendet werden;
  • das Ergebnis nicht als alleinige Grundlage für automatische Personalentscheidungen nutzt;
  • erteilt dem Auftragsverarbeiter nur rechtmäßige Weisungen.

6. Vertraulichkeit

  1. Zugriff auf die Daten haben nur Personen, die im Auftrag des Auftragsverarbeiters handeln und für die der Zugriff erforderlich ist.
  2. Diese Personen sind vertraglich oder gesetzlich zur Verschwiegenheit verpflichtet.
  3. Die Geheimhaltungspflicht gilt auch nach Beendigung der Zusammenarbeit.

7. Sicherheit

  1. Der Auftragsverarbeiter führt risikogerechte Maßnahmen gemäß Artikel durch. 32 DSGVO.
  2. Die Maßnahmen umfassen, je nach aktueller Architektur, Folgendes:
  • Übertragungsverschlüsselung;
  • sicheres Passwort-Hashing;
  • Rollenkontrolle;
  • Trennung der Organisationsdaten;
  • Token mit entsprechender Zufälligkeit und Gültigkeitsdauer;
  • Aufzeichnung administrativer Tätigkeiten;
  • Sicherungskopien und Rekonstruktionstests;
  • Prozess der Aktualisierung und Beseitigung von Schwachstellen;
  • Einschränkung der Aufbewahrung;
  • Verfahren zur Reaktion auf Vorfälle;
  • administrativer Zugangsschutz;
  • regelmäßige Überprüfung der Maßnahmen.
  1. Die aktuelle Beschreibung der Maßnahmen kann dem Administrator ohne Informationen zur Verfügung gestellt werden, deren Offenlegung das Sicherheitsrisiko erhöhen würde.

8. Unterauftragsverarbeiter

  1. Der Administrator erteilt eine allgemeine schriftliche Zustimmung zur Nutzung weiterer auf der Seite „/Unterauftragsverarbeiter“ aufgeführter Unternehmen.
  2. Der Auftragsverarbeiter wird den Administrator mindestens 14 Tage im Voraus über die geplante Änderung informieren, es sei denn, zur Beseitigung der Bedrohung ist eine dringende Änderung erforderlich.
  3. Der Administrator kann innerhalb dieser Frist einen berechtigten Einwand zum Datenschutz erheben.
  4. Wenn der Grund für den Einspruch nicht angemessen beseitigt werden kann, kann der Administrator die Nutzung des Teils des Dienstes beenden, für den ein bestimmter Anbieter erforderlich ist.
  5. Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter Datenschutzpflichten auf, die den Pflichten aus dieser DSGVO entsprechen, und ist für die Erfüllung seiner Pflichten gemäß Art. 28 DSGVO.

9. Überweisungen

  1. Kampagnendaten werden im EWR verarbeitet, sofern in der Liste der Unterauftragsverarbeiter nicht ausdrücklich etwas anderes angegeben ist.
  2. Eine Übermittlung außerhalb des EWR darf nur auf dokumentierte Anordnung des Administrators oder unter Verwendung eines durch die DSGVO zulässigen Mechanismus erfolgen.
  3. Sofern Standardvertragsklauseln, Transferbewertungen oder ergänzende Maßnahmen erforderlich sind, stellt der Auftragsverarbeiter dem Verantwortlichen die für die Bewertung erforderlichen verfügbaren Informationen zur Verfügung.

10. Rechte von Personen

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Ausübung der Rechte der Personen mit verfügbaren technischen und organisatorischen Mitteln.
  2. Wenn der Teilnehmer eine Anfrage direkt an den Auftragsverarbeiter richtet, leitet er die Anfrage unverzüglich an den Administrator weiter und wird ohne seine Anweisungen nicht inhaltlich antworten, es sei denn, dies ist gesetzlich vorgeschrieben.
  3. Der Administrator ist für die Überprüfung der Person und die rechtzeitige Reaktion verantwortlich.

11. Compliance-Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen in den folgenden Bereichen:

  • Sicherheit;
  • Risikobewertung;
  • Verstöße melden;
  • Benachrichtigung von Personen;
  • DPIA;
  • Rücksprache mit der Aufsichtsbehörde;
  • Demonstration der Löschung von Daten.

Die Unterstützung umfasst nicht die Erstellung eines Rechtsgutachtens oder die Übernahme der Haftung des Administrators.

12. Datenschutzverletzungen

  1. Der Auftragsverarbeiter muss den Administrator über eine Verletzung der Kampagnendaten unverzüglich nach deren Entdeckung informieren.
  2. Sofern verfügbar, muss die Bekanntmachung Folgendes enthalten:
  • die Art des Verstoßes;
  • Kategorien und ungefähre Personenzahl;
  • Kategorien und ungefähre Anzahl der Datensätze;
  • mögliche Folgen;
  • ergriffene oder vorgeschlagene Maßnahmen;
  • Ansprechpartner;
  • Zeitpunkt der Entdeckung und bekannter Zeitrahmen des Ereignisses.
  1. Informationen können stufenweise übermittelt werden.
  2. Eine Mitteilung stellt kein Haftungsanerkenntnis dar.
  3. Der Administrator beschließt, sich bei der Behörde zu melden und Personen zu benachrichtigen.

13. Löschung und Rückgabe

  1. Der Administrator kann Kampagnendaten im Panel löschen oder einen Löschbefehl erteilen.
  2. Nach Abschluss der Dienstleistung löscht der Auftragsverarbeiter nach Ermessen des Administrators aktive Kampagnendaten oder gibt sie zurück, es sei denn, das Gesetz verlangt deren Speicherung.
  3. In rotierenden Backups vorübergehend verbleibende Daten werden von der normalen Nutzung isoliert und gelöscht, wenn das entsprechende Backup im technischen Backup-Zyklus überschrieben wird.
  4. Aggregierte Daten dürfen nur dann gespeichert werden, wenn eine Person nicht mehr vernünftigerweise identifiziert werden kann.

14. Audits

  1. Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO.
  2. Der Administrator darf höchstens einmal im Jahr eine Prüfung durchführen, es sei denn, es liegt ein Verstoß vor oder die Behörde verlangt eine zusätzliche Kontrolle.
  3. Das Audit sollte:
  • mindestens 14 Tage im Voraus bekannt gegeben werden;
  • zu vereinbarten Zeiten stattfinden;
  • die Sicherheit anderer Organisationen nicht verletzen;
  • Zuerst Remote-Dokumente und -Antworten verwenden;
  • durch zur Verschwiegenheit verpflichtete Personen durchgeführt werden.
  1. Der Verwalter trägt seine Prüfungskosten selbst. Der Auftragsverarbeiter erhebt im Rahmen des kostenlosen Servicemodells keine Gebühr für angemessene Unterstützung, kann jedoch übermäßige Maßnahmen ablehnen oder eine vereinbarte alternative Möglichkeit zum Nachweis der Einhaltung vorschlagen.

15. Verantwortung und Priorität

  1. Die Haftung der Parteien ergibt sich aus der DSGVO, geltendem Recht und den Verordnungen.
  2. Im Falle eines Konflikts zwischen der Datenschutzbehörde und den Bestimmungen in Fragen des Schutzes von Kampagnendaten hat die Datenschutzbehörde Vorrang.
  3. Wenn Standardvertragsklauseln gelten und im Widerspruch zum DPA stehen, haben die Klauseln Vorrang.

16. Ende

Die DPA gilt so lange, wie der Auftragsverarbeiter die Kampagnendaten im Auftrag des Verantwortlichen verarbeitet.