AuftragsverarbeiterVereinbarung.

AUFTRAGSVERARBEITER (uns):

• Camsilo (v/ Casper Madsen)
• Adresse: Ørstedvej 15, 6560 Sommersted
• CVR: 45925145
• Kontakt (E-Mail): kontakt@camsilo.dk

VERANTWORTLICHER (euch):

• Name der Organisation: [udfyldes af den dataansvarlige]
• CVR: [udfyldes af den dataansvarlige]
• Adresse: [udfyldes af den dataansvarlige]
• Ansprechpartner für den Datenschutz: [udfyldes af den dataansvarlige]
• Datenschutzbeauftragter (falls ihr einen habt): [udfyldes af den dataansvarlige]

Dieser Auftragsverarbeitungsvertrag wird zwischen dem Kunden (der Schule, dem Unternehmen oder der anderen Organisation, die ein Konto anlegt und Benutzer einlädt) als VERANTWORTLICHEM und Discebo als AUFTRAGSVERARBEITER geschlossen.

Die Vereinbarung ist integraler Bestandteil des Hauptvertrags über die Nutzung von Discebo (des Abonnements). Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag hat diese Vereinbarung Vorrang, soweit es die Verarbeitung personenbezogener Daten betrifft. Die Vereinbarung läuft, solange der Kunde ein aktives Konto hat, und endet zugleich mit dem Hauptvertrag — Punkt 8 über die Löschung bleibt jedoch in Kraft, bis die Löschung durchgeführt ist.

Der dänische Text ist die geltende Fassung. Übersetzungen sind eine Hilfe für den Leser und ändern den Inhalt der Vereinbarung nicht.

GENSTAND: Discebo stiller en lærings- og arbejdsplatform til rådighed. Databehandlerens behandling af personoplysninger sker udelukkende som led i at levere den funktionalitet, kunden har valgt: undervisning og bedømmelse, timeregistrering, vagt- og fraværsstyring, kørsel og udlæg, løn- og bogføringsudtræk, kundekartotek, sager og lokationer, dokumenter, formularer, signering, beskeder og notifikationer.

ART: Erhebung, Erfassung, Organisation, Speicherung, Änderung, Abfrage, Anzeige, Zusammenstellung zu Berichten und Auszügen, Weitergabe an die in Anlage B genannten Unterauftragsverarbeiter sowie Löschung und Anonymisierung.

ZWECK: allein die Bereitstellung der Plattform nach den Weisungen des Kunden. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten des Kunden NIEMALS für eigene Zwecke — weder zum Trainieren von Modellen noch für Marketing, Profilbildung oder die Entwicklung neuer Produkte auf Basis der Daten des Kunden.

DAUER: Die Verarbeitung läuft, bis der Hauptvertrag endet und die anschließende Löschung oder Rückgabe nach Punkt 8 durchgeführt ist.

Kategorien betroffener Personen: Schülerinnen, Schüler und Kursteilnehmende; Lehrende und Beratende; Angestellte, Auszubildende und Stundenlöhner in einem Unternehmen auf der Plattform; Führungskräfte und Administratoren; die eigenen Kunden und Kontaktpersonen des Unternehmens (die oft selbst nie die Plattform genutzt haben); Empfänger von Anfragen und von Links des Kundenportals.

Arten personenbezogener Daten — allgemeine Daten (Art. 6): Name, E-Mail-Adresse, Telefonnummer, Adresse, Region, Rolle, Zugehörigkeit zu Schule, Klasse, Lerngruppe, Team oder Unternehmen, Einstellungsdatum und Mitarbeiternummer, Profilbild, kurze Beschreibung, Ausbildung und Erfahrung, Qualifikationen und Zertifikate mit Ablaufdatum, Status der Jobsuche, Antworten auf Quizze und Prüfungen sowie Bewertungen und Feedback, aktive Lernzeit, erfasste Arbeitsstunden und Schichten, gefahrene Kilometer und Routen, Auslagen mit zugehörigen Belegfotos, Abwesenheit mit Art und Zeitraum, Lohngrundlage und Lohnauszüge, Angebote, Rechnungen und Gutschriften, Vorgänge und Aufgaben mit Fotos und Notizen, Laufwerksdateien, Formularausfüllungen, Signaturen mit Zeitstempel, IP-Adresse und Geräteinformationen zur Betriebssicherheit, Nachrichten und Beiträge sowie Benachrichtigungen.

Arten personenbezogener Daten — besondere Kategorien (Art. 9): Die Plattform enthält ein STRUKTURIERTES Feld für die Abwesenheitsart «Krankheit», das in den Lohnauszug eingeht. Die Angabe über die Krankheitsabwesenheit einer Person ist eine Gesundheitsangabe. Die Verarbeitung erfolgt auf Weisung des Kunden im Rahmen der arbeitsrechtlichen Pflichten des Kunden und stützt sich aufseiten des Kunden auf Art. 9 Abs. 2 Buchstabe b in Verbindung mit § 12 des dänischen Datenschutzgesetzes (databeskyttelsesloven). Der Kunde ist dafür verantwortlich, die erforderliche Grundlage zu haben; der Auftragsverarbeiter verarbeitet die Angabe ausschließlich nach Weisung. Freitextfelder (z. B. eine Notiz über Arbeitskleidung oder eine Nachricht) können in der Praxis zudem unbeabsichtigt Gesundheitsangaben enthalten.

Strafurteile und Straftaten (Art. 10) werden nicht verarbeitet, und die Plattform hat dafür keine Felder.

Der Auftragsverarbeiter darf personenbezogene Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen verarbeiten. Die Weisung der Kundin oder des Kunden besteht aus: diesem Vertrag mit Anlagen, dem Hauptvertrag und den Einstellungen, die der Kunde in der Plattform selbst vornimmt (darunter, welche Module aktiviert sind, welche Rechte die einzelnen Rollen haben und ob die KI-Funktionen genutzt werden dürfen).

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, wenn eine Weisung nach Einschätzung des Auftragsverarbeiters gegen die Datenschutz-Grundverordnung, das dänische Datenschutzgesetz oder anderes geltendes Datenschutzrecht verstößt.

Der Auftragsverarbeiter überträgt personenbezogene Daten ohne dokumentierte Weisung nicht in ein Drittland oder an eine internationale Organisation, es sei denn, das EU-Recht oder dänisches Recht verlangt es. Die Übermittlungen, die der Kunde hiermit anweist, sind abschließend in Anlage B beschrieben.

Der Auftragsverarbeiter stellt sicher, dass nur die Personen Zugang zu den personenbezogenen Daten erhalten, die den Zugang aktuell zur Erfüllung des Vertrags benötigen — und ausschließlich zu den Daten, die ihre Aufgabe erfordert. Der Zugang wird entfernt, sobald der Bedarf endet.

Diese Personen sind zur Vertraulichkeit verpflichtet. Die Vertraulichkeitspflicht besteht auch nach Beendigung des Beschäftigungs- oder Kooperationsverhältnisses fort. Der Auftragsverarbeiter kann auf Anfrage dokumentieren, wer einen solchen Zugang hat oder hatte.

Jeder administrative Zugriff auf die Daten eines Kunden — auch wenn eine Support-Mitarbeiterin oder ein Support-Mitarbeiter die Plattform als Benutzer ansieht, um helfen zu können — wird mit Angabe von Wer, Wann und Warum protokolliert. Das Protokoll kann dem Verantwortlichen ausgehändigt werden.

Der Auftragsverarbeiter führt geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Risikos für die betroffenen Personen durch. Die zum Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in Anlage C beschrieben. Die Maßnahmen können geändert werden, aber niemals auf ein niedrigeres Schutzniveau ohne vorherige schriftliche Benachrichtigung des Verantwortlichen.

Der Verantwortliche ist selbst für die Entscheidungen verantwortlich, die in der Rechteverwaltung der Plattform getroffen werden: welche Rollen was sehen können, wer genehmigen kann und wer Administratorzugang erhält. Der Auftragsverarbeiter stellt den Mechanismus bereit und sperrt eine neue Funktion grundsätzlich für die Rollen, denen nicht ausdrücklich Zugang gegeben wurde.

Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, die Rechte der betroffenen Personen nach Art. 12-23 zu erfüllen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die Plattform enthält eine Selbstbedienung für Auskunft und Löschung, und der Auftragsverarbeiter unterstützt darüber hinaus manuell innerhalb von 10 Arbeitstagen, wenn ein Antrag nicht über die Selbstbedienung erfüllt werden kann.

Auskunft wird über die eigenen Daten der antragstellenden Person erteilt. Wo eine Information zwangsläufig einen Dritten betrifft — zum Beispiel, dass ein anderer Nutzer die betreffende Person blockiert hat — werden ausschließlich die eigenen Daten der antragstellenden Person herausgegeben, vgl. Art. 15 Abs. 4, wonach das Auskunftsrecht die Rechte anderer nicht beeinträchtigen darf.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung von Art. 32-36: Sicherheit, Meldung von Verletzungen, Benachrichtigung der Betroffenen, Folgenabschätzungen und vorherige Konsultation — soweit die Informationen ausschließlich beim Auftragsverarbeiter verfügbar sind.

Richtet eine betroffene Person ihren Antrag direkt an den Auftragsverarbeiter, leitet der Auftragsverarbeiter ihn ohne unangemessene Verzögerung an den Verantwortlichen weiter und beantwortet ihn nicht selbst im Namen des Verantwortlichen.

Bei Beendigung der Vereinbarung entscheidet der Verantwortliche, ob die personenbezogenen Daten GELÖSCHT oder ZURÜCKGEGEBEN werden sollen. Wird die Rückgabe gewählt, erfolgt sie in einem gängigen, maschinenlesbaren Format. Trifft der Verantwortliche keine Wahl, löscht der Auftragsverarbeiter die Daten nach einer Frist von 30 Tagen ab der Beendigung, nach vorheriger schriftlicher Erinnerung.

Die Löschung umfasst auch bestehende Sicherungskopien, sobald diese nach der üblichen Aufbewahrungsroutine auslaufen. Der Auftragsverarbeiter bestätigt schriftlich, wenn die Löschung abgeschlossen ist.

AUSNAHME — gesetzlich vorgeschriebene Aufbewahrung: Wo EU-Recht oder dänisches Recht eine fortgesetzte Aufbewahrung verlangt, wird allein das Notwendige aufbewahrt, allein so lange wie erforderlich und allein zu diesem Zweck. Das gilt namentlich für Buchführungsunterlagen, darunter Rechnungen und Gutschriften, die nach dem dänischen Buchführungsgesetz 5 Jahre ab dem Ende des Geschäftsjahres aufzubewahren sind, auf das sich die Unterlagen beziehen.

Achte auf das Verhältnis zwischen der Löschung einer PERSON und den Daten des UNTERNEHMENS: Löscht ein einzelner Nutzer sein persönliches Konto, werden die Geschäftsdaten des Unternehmens nicht mitgelöscht, weil das Unternehmen für sie der Verantwortliche ist. Sollen sie gelöscht werden, geschieht das nach dieser Vereinbarung — nicht dadurch, dass der Nutzer sein Konto löscht.

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung dafür, dass der Auftragsverarbeiter die in Anlage B aufgeführten Unterauftragsverarbeiter einsetzt. Die Genehmigung umfasst allein die aufgeführten und allein zu den aufgeführten Zwecken.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch eine schriftliche Vereinbarung dieselben Datenschutzpflichten wie in diesem Vertrag auf und bleibt gegenüber dem Verantwortlichen für die Erfüllung durch den Unterauftragsverarbeiter voll verantwortlich.

Bei einer geplanten Hinzufügung oder einem Wechsel eines Unterauftragsverarbeiters unterrichtet der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vor Wirksamwerden der Änderung schriftlich. Der Verantwortliche kann innerhalb von 14 Tagen nach der Unterrichtung begründeten Einspruch erheben. Finden die Parteien keine Lösung, kann der Verantwortliche den Vertrag mit Wirkung zu dem Zeitpunkt kündigen, zu dem die Änderung wirksam werden sollte, gegen anteilige Rückerstattung des im Voraus bezahlten Abonnements.

Der Verantwortliche kann jederzeit eine aktualisierte Liste erhalten. Anlage B unten IST diese Liste: Sie wird aus derselben Quelle im Code erzeugt, aus der auch die Datenschutzerklärung der Plattform gespeist wird, genau damit keine zwei Listen entstehen können, die Unterschiedliches sagen.

Der Auftragsverarbeiter ist bestrebt, personenbezogene Daten innerhalb der EU/des EWR zu verarbeiten. Wenn ein Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeitet, geht das ausdrücklich aus Anlage B hervor, zusammen mit der konkreten Übermittlungsgrundlage nach Art. 44-49 für genau diesen Unterauftragsverarbeiter.

Anlage B gibt für jeden Einzelnen an, ob die Grundlage die Standardvertragsklauseln der EU-Kommission (SCC), eine Zertifizierung nach dem EU-U.S. Data Privacy Framework oder ein Angemessenheitsbeschluss ist. Die Grundlage ist beim Anbieter selbst überprüft, und die Quelle ist mit Datum angegeben. Wo die Grundlage NICHT bestätigt werden konnte, steht sie als offener Mangel und nicht als Vermutung.

Besonderes zu den KI-Funktionen: Sie senden nur dann Daten nach außen, wenn ein Benutzer die Funktion selbst aktiviert, und sie gehen in keine automatische Hintergrundverarbeitung ein. Wünscht der Verantwortliche überhaupt keine Übermittlung in das betreffende Drittland, können die KI-Funktionen für die Organisation abgeschaltet werden, woraufhin keine Daten mehr dorthin gesendet werden.

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen ohne unangemessene Verzögerung und spätestens 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, vgl. Art. 33 Abs. 2. Die Frist ist kürzer gesetzt als die eigene 72-Stunden-Frist des Verantwortlichen gegenüber Datatilsynet (der dänischen Datenschutzbehörde), damit der Verantwortliche wirklich Zeit für die Meldung hat.

Die Meldung enthält, soweit die Informationen verfügbar sind: die Art der Verletzung, welche Kategorien und wie viele betroffene Personen und Daten betroffen sind, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle. Sind die Informationen nicht auf einmal verfügbar, werden sie schrittweise ohne weitere unangemessene Verzögerung nachgereicht.

Der Auftragsverarbeiter meldet eine Verletzung NIEMALS im Namen des Verantwortlichen an Datatilsynet (die dänische Datenschutzbehörde), es sei denn, dies ist im konkreten Fall ausdrücklich schriftlich vereinbart, und benachrichtigt auch die betroffenen Personen nicht ohne Vereinbarung selbst.

Der Auftragsverarbeiter stellt auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 erforderlich sind, und ermöglicht Überprüfungen und Inspektionen und trägt zu ihnen bei, vgl. Art. 28 Abs. 3 Buchstabe h.

Der Verantwortliche kann einmal jährlich — und darüber hinaus nach einer Verletzung, die den Verantwortlichen betrifft — ein Audit durchführen, selbst oder durch einen unabhängigen Dritten, der kein Wettbewerber des Auftragsverarbeiters ist und eine Vertraulichkeitserklärung unterzeichnet. Das Audit wird mindestens 30 Tage vorher schriftlich angekündigt, in der üblichen Arbeitszeit durchgeführt und darf den Betrieb nicht unnötig stören.

Der Verantwortliche trägt seine eigenen Kosten für das Audit. Die Mitwirkung des Auftragsverarbeiters ist beim jährlichen Audit und beim Audit nach einer Verletzung unentgeltlich; darüber hinaus kann eine Vergütung nach aufgewendeter Zeit vereinbart werden.

Der Auftragsverarbeiter führt gemäß Art. 30 Abs. 2 ein Verzeichnis über die Kategorien von Verarbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden, und stellt es auf Anfrage zur Verfügung.

Die Haftung der Parteien richtet sich nach Art. 82 und dem Hauptvertrag. Haftungsbeschränkungen im Hauptvertrag können weder die Rechte einer betroffenen Person nach der Verordnung noch die Haftung einer Partei gegenüber einer Aufsichtsbehörde einschränken.

Änderungen der Vereinbarung werden schriftlich vereinbart. Der Auftragsverarbeiter kann jedoch Anlage B nach dem Verfahren in Punkt 9 sowie Anlage C einseitig ändern, sofern die Änderung das Schutzniveau nicht senkt.

Die Vereinbarung unterliegt dänischem Recht, und Streitigkeiten werden von den dänischen Gerichten entschieden, mit dem Gerichtsstand des Auftragsverarbeiters als erster Instanz, sofern sich aus zwingenden Vorschriften nichts anderes ergibt.