Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung gilt, soweit TEGAVO bei der Bereitstellung von TGA-Control personenbezogene Daten im Auftrag des jeweiligen Kunden verarbeitet. Der Kunde ist in diesem Fall Verantwortlicher und TEGAVO Auftragsverarbeiter im Sinne der DSGVO.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb von TGA-Control einschließlich Speicherung, Organisation, Bereitstellung, Änderung, Auswertung, Export, Sicherung, Wiederherstellung und Löschung der vom Kunden verarbeiteten Daten.

Die Auftragsverarbeitung erfolgt grundsätzlich für die Dauer des zugrunde liegenden Vertragsverhältnisses und darüber hinaus nur, soweit gesetzliche oder technisch erforderliche Nachlaufzeiten bestehen.

2. Art und Zweck

Die Verarbeitung umfasst insbesondere die Erfassung, Speicherung, Organisation, Anzeige, Änderung und Aktualisierung von Daten, die Erstellung von Berichten und Dokumenten, Datenexporte, Sicherheitsprotokollierung, technische Datensicherung, Wiederherstellung, Löschung sowie erforderliche Support- und Wartungsmaßnahmen.

Bei freiwilliger Nutzung der KI-Funktionen kann außerdem eine automatisierte Analyse und Strukturierung der vom Nutzer bereitgestellten Eingaben erfolgen. Die fachliche Entscheidung und Übernahme der Ergebnisse verbleibt beim Nutzer.

3. Kategorien personenbezogener Daten

Je nach Nutzung können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

• Benutzer-, Konto- und Kontaktdaten,
• Organisations- und Unternehmensdaten,
• Liegenschafts- und Gebäudedaten,
• Anlagen-, Prüfungs- und Wartungsdaten,
• Aufgaben- und Zuständigkeitsdaten,
• Dokumentinhalte und Dokumentmetadaten,
• Kommunikations- und Supportdaten,
• Nutzungs-, Authentifizierungs- und Sicherheitsprotokolldaten.

4. Kategorien betroffener Personen

Betroffen sein können insbesondere Beschäftigte und Benutzer des Kunden, Ansprechpartner, Verantwortliche für Liegenschaften, Gebäude und Anlagen, Techniker, Prüfer, externe Dienstleister sowie sonstige Personen, deren Daten der Kunde rechtmäßig in TGA-Control eingibt oder hochlädt.

5. Verarbeitung auf Weisung

TEGAVO verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.

Ist TEGAVO der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, wird der Kunde hierüber informiert, soweit dies gesetzlich zulässig ist.

6. Vertraulichkeit

Personen, die Zugang zu den im Auftrag verarbeiteten personenbezogenen Daten erhalten, werden angemessen auf Vertraulichkeit verpflichtet und dürfen die Daten nur im Rahmen ihrer jeweiligen Aufgaben verarbeiten.

7. Technische und organisatorische Maßnahmen

TEGAVO setzt unter Berücksichtigung des Risikos angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein.

Hierzu gehören insbesondere geschützte Benutzerzugänge, Rollen- und Berechtigungskonzepte, Passwort-Hashing, verschlüsselte Übertragungswege, Mandantentrennung, Sicherheitsprotokollierung, kontrollierte Datei- und Dokumentzugriffe, technische Datensicherungen sowie Maßnahmen zur Wiederherstellung der Verfügbarkeit.

Die Sicherheitsmaßnahmen werden entsprechend der technischen Entwicklung und der jeweiligen Risikolage überprüft und angepasst.

Die zum Zeitpunkt des Vertragsschlusses geltenden technischen und organisatorischen Maßnahmen ergeben sich ergänzend aus Anlage 1 – Technische und organisatorische Maßnahmen. Anlage 1 ist Bestandteil dieser Vereinbarung.

8. Unterauftragsverarbeiter

Der Kunde erteilt TEGAVO eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter.

Über beabsichtigte wesentliche Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter wird der Kunde entsprechend Art. 28 DSGVO informiert und erhält die Möglichkeit, aus einem wichtigen datenschutzrechtlichen Grund Einwände zu erheben.

9. Pflichten bei Unterauftragsverarbeitern

TEGAVO verpflichtet weitere Auftragsverarbeiter vertraglich zu Datenschutzpflichten, die den gesetzlichen Anforderungen des Art. 28 DSGVO entsprechen.

10. Drittlandübermittlungen

Soweit personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt dies nur unter Beachtung der Art. 44 ff. DSGVO.

Soweit erforderlich, werden insbesondere ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien wie die Standardvertragsklauseln der Europäischen Kommission verwendet.

11. Rechte betroffener Personen

TEGAVO unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen, soweit dies nach Art. 28 DSGVO erforderlich ist.

12. Sicherheit und Pflichten nach Art. 32 bis 36 DSGVO

TEGAVO unterstützt den Kunden im Rahmen der gesetzlichen Anforderungen und unter Berücksichtigung der verfügbaren Informationen bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO.

13. Datenschutzverletzungen

TEGAVO informiert den Kunden unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, soweit personenbezogene Daten des Kunden betroffen sind.

TEGAVO stellt dem Kunden die verfügbaren Informationen zur Verfügung, die dieser zur Erfüllung seiner gesetzlichen Melde- und Informationspflichten benötigt.

14. Nachweis und Kontrollen

TEGAVO stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Verpflichtungen aus Art. 28 DSGVO nachzuweisen.

Gesetzlich erforderliche Überprüfungen und Inspektionen werden unter angemessener Berücksichtigung der Vertraulichkeit, der Sicherheit anderer Kunden und des laufenden Betriebs ermöglicht.

15. Rückgabe und Löschung

Nach Beendigung der Auftragsverarbeitung werden die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl und Weisung des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Technische Sicherungskopien werden im Rahmen der jeweils eingerichteten Sicherungs- und Überschreibungszyklen gelöscht oder bis zur Überschreibung für andere Verarbeitungszwecke gesperrt.

16. Schlussbestimmungen

Diese Vereinbarung ergänzt den zwischen TEGAVO und dem Kunden bestehenden Hauptvertrag. Zwingende gesetzliche Datenschutzbestimmungen bleiben unberührt.

Datenschutzerklärung  |  Allgemeine Geschäftsbedingungen