Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Kunden und der Bytekontor GmbH, Bleicherwiesen 14, 31224 Peine („Bytekontor“), geschlossen. Er ergänzt den Vertrag über Mobile Joe („Hauptvertrag“).

Der Kunde handelt für die von diesem AVV erfassten personenbezogenen Daten als Verantwortlicher oder als Auftragsverarbeiter eines Dritten. Bytekontor handelt als Auftragsverarbeiter oder weiterer Auftragsverarbeiter.

Der AVV gilt, soweit Bytekontor bei der Bereitstellung von Mobile Joe personenbezogene Daten nach dokumentierter Weisung des Kunden verarbeitet. Verarbeitungen, für die Bytekontor selbst Zwecke und Mittel bestimmt, richten sich nach der Datenschutzerklärung.

Bei Widersprüchen in Fragen der Auftragsverarbeitung geht dieser AVV dem Hauptvertrag vor. Seine Anlagen sind Bestandteil des AVV.

2. Dauer

Der AVV gilt während der Laufzeit des Hauptvertrags. Er gilt danach fort, solange Bytekontor noch personenbezogene Daten im Auftrag des Kunden verarbeitet.

3. Weisungen

Bytekontor verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Als Weisungen gelten der Hauptvertrag, dieser AVV, die gewählte Dienstkonfiguration, vertragsgemäße SDK- und API-Anfragen sowie Weisungen in Textform.

Dies gilt auch für Übermittlungen personenbezogener Daten in Drittländer.

Muss Bytekontor Daten nach dem Recht der Europäischen Union oder eines Mitgliedstaats anders verarbeiten, informiert Bytekontor den Kunden vorab. Dies gilt nicht, wenn das Gesetz die Information aus einem wichtigen öffentlichen Interesse verbietet.

Hält Bytekontor eine Weisung für rechtswidrig, informiert Bytekontor den Kunden unverzüglich.

4. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und seiner Weisungen sowie für die Erfüllung seiner Pflichten als Verantwortlicher verantwortlich. Handelt der Kunde selbst als Auftragsverarbeiter, stellt er sicher, dass er Bytekontor als weiteren Auftragsverarbeiter einsetzen darf.

Der Kunde darf die in Anlage 1 ausgeschlossenen Daten nur verarbeiten lassen, wenn Bytekontor dem vorher in Textform zugestimmt und die erforderlichen Schutzmaßnahmen vereinbart hat.

5. Vertraulichkeit

Bytekontor gewährt Zugriff auf personenbezogene Daten nur Personen, die ihn für ihre Aufgabe benötigen. Bytekontor verpflichtet diese Personen zur Vertraulichkeit oder stellt sicher, dass eine angemessene gesetzliche Verschwiegenheitspflicht besteht.

6. Sicherheit

Bytekontor trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere die in Anlage 2 beschriebenen Maßnahmen.

Bytekontor darf einzelne Maßnahmen ändern, wenn das vereinbarte Schutzniveau dadurch nicht sinkt. Wesentliche Änderungen dokumentiert Bytekontor.

7. Unterauftragsverarbeiter

Der Kunde erteilt Bytekontor eine allgemeine Genehmigung, die in der Liste der Unterauftragsverarbeiter genannten Unternehmen einzusetzen. Die aktuelle Liste ist unter https://mobilejoe.dev/de/legal/subprocessors abrufbar.

Bytekontor informiert den Kunden vor der Aufnahme oder Ersetzung eines Unterauftragsverarbeiters in Textform und räumt ihm eine angemessene Frist ein, aus begründeten datenschutzrechtlichen Gründen vor dessen Einsatz zu widersprechen. Kann der Widerspruch nicht ausgeräumt werden und ist die betroffene Leistung ohne den Unterauftragsverarbeiter nicht möglich, kann jede Partei diese Leistung zum vorgesehenen Einsatzzeitpunkt beenden.

Bytekontor verpflichtet Unterauftragsverarbeiter vertraglich zu einem Schutzniveau, das den einschlägigen Pflichten dieses AVV entspricht. Bytekontor bleibt dem Kunden für die Erfüllung dieser Pflichten verantwortlich.

8. Unterstützung des Kunden

Bytekontor unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Rechte betroffener Personen.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt Bytekontor den Kunden bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO.

Richtet eine betroffene Person eine Anfrage unmittelbar an Bytekontor, leitet Bytekontor sie an den Kunden weiter. Bytekontor beantwortet die Anfrage nicht selbst, sofern der Kunde dies nicht anweist oder das Gesetz es verlangt.

Der Kunde kann Unterstützung bei Auskunft oder Löschung über [email protected] anfordern. Die Anfrage muss von einer für das Kundenkonto autorisierten Person ausgehen und die verfügbaren Angaben zur Zuordnung der betroffenen Daten enthalten. Bytekontor unterstützt, soweit eine Zuordnung anhand der verarbeiteten Daten möglich ist; zusätzliche Identifikationsdaten werden nicht allein hierfür erhoben.

9. Verletzungen des Schutzes personenbezogener Daten

Bytekontor informiert den Kunden unverzüglich, nachdem Bytekontor von einer Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten Kenntnis erlangt hat, und stellt ihm die verfügbaren Informationen bereit, die er zur Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt.

10. Nachweise und Kontrollen

Bytekontor stellt dem Kunden alle Informationen bereit, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei.

Bei Kontrollen werden Sicherheit, Vertraulichkeit und Rechte anderer Kunden gewahrt.

11. Internationale Übermittlungen

Verarbeitungsorte und vorgesehene Übermittlungsmechanismen der Unterauftragsverarbeiter stehen in deren aktueller Liste. Bytekontor übermittelt personenbezogene Daten in Drittländer nur unter den Voraussetzungen des Kapitels V DSGVO. Dies gilt auch, wenn Bytekontor einem in einem Drittland ansässigen Kunden personenbezogene Daten zugänglich macht.

12. Löschung und Rückgabe

Bytekontor löscht im Auftrag verarbeitete personenbezogene Daten auf dokumentierte Weisung des Kunden. Nach Ende der Verarbeitung löscht Bytekontor nach Wahl des Kunden die Daten oder gibt sie ihm zurück und löscht verbleibende Kopien. Diese Pflichten gelten nicht, soweit das Recht der Europäischen Union oder eines Mitgliedstaats eine weitere Speicherung verlangt. Personenbezogene Daten in Sicherungskopien werden bis zu deren turnusmäßiger Überschreibung nicht für andere Zwecke als die Wiederherstellung verarbeitet. Bei einer Wiederherstellung werden personenbezogene Daten, die aufgrund einer Weisung des Kunden oder vereinbarter Löschregeln gelöscht wurden, vor erneuter produktiver Nutzung wieder gelöscht.

Anlage 1 – Beschreibung der Verarbeitung

1. Gegenstand und Zwecke

Bytekontor verarbeitet personenbezogene Daten, um Kundeninhalte zu verwalten und in Kunden-Apps auszuliefern sowie Interaktionen von Endnutzern mit diesen Inhalten zu ermöglichen. Pseudonyme Kennungen dienen der Zuordnung und Synchronisierung nutzerbezogener Zustände sowie der Löschung, Sicherheit und Unterstützung bei Supportanfragen.

2. Betroffene Personen

• Endnutzer von Kunden-Apps;
• Personen, die der Kunde in seinen eigenen Inhalten nennt.

Kontodaten von Personen, die für den Kunden das Kundenkonto verwalten oder als Ansprechpartner handeln, werden grundsätzlich nach der Datenschutzerklärung und nicht nach diesem AVV verarbeitet. Enthält eine Supportanfrage im Auftrag verarbeitete Daten, gilt der AVV für diesen Teil.

3. Datenkategorien

• appbezogene pseudonyme Nutzer- und Gerätekennungen sowie optionale Nutzerreferenzen des Kunden;
• App-, Geräte- und SDK-Metadaten: Betriebssystem, Gerätehersteller und -modell, Versions- und Build-Angaben, Sprache und Debug-Status;
• Interaktions- und Suchdaten: Interaktionen mit Kundeninhalten und deren einer pseudonymen Identität zugeordneter Status, Suchbegriffe, Filter und Sortierung;
• Anfrage- und Sicherheitsdaten: IP-Adresse, Zeitstempel, Anfragekennungen, App-Zuordnung und Sicherheitsereignisse;
• vom Kunden bereitgestellte Inhalte, soweit sie personenbezogene Daten enthalten.

4. Verarbeitungsvorgänge

Erheben, Übermitteln, Ordnen, Speichern, Verknüpfen pseudonymer Identitäten, Abrufen, Anzeigen, Sichern, Exportieren und Löschen.

5. Ausgeschlossene Daten

Der Dienst ist ohne gesonderte Vereinbarung nicht für folgende Endnutzerdaten vorgesehen:

• besondere Kategorien nach Art. 9 DSGVO;
• Daten über strafrechtliche Verurteilungen und Straftaten;
• Zugangsdaten und Authentifizierungsgeheimnisse;
• Zahlungs- und vollständige Finanzdaten;
• präzise Standortdaten;
• optionale Nutzerreferenzen, die nicht den Anforderungen in Abschnitt 4 der Nutzungsbedingungen entsprechen;
• Daten, deren Verarbeitung ein besonders hohes Risiko erzeugt oder eine vorab nicht geprüfte gesetzliche Sonderpflicht auslöst.

Anlage 2 – Technische und organisatorische Maßnahmen

1. Organisation und Zugriffssteuerung

• Bytekontor beschränkt Produktions-, Datenbank-, Speicher- und Monitoringzugriff auf namentlich berechtigte Personen mit betrieblichem Bedarf.
• Konten werden personenbezogen vergeben. Nicht mehr benötigte Zugriffe werden entzogen.
• Administrative Zugänge zu Systemen, die Kundendaten verarbeiten, sind durch Mehrfaktor-Authentifizierung geschützt.
• Kunden greifen nur auf die ihrem Konto zugeordneten Apps und Inhalte zu.

2. Authentifizierung und Mandantentrennung

• Dashboardkonten verwenden E-Mail-Adresse und Passwort. Passwörter werden als Hash gespeichert.
• Anmeldesitzungen verwenden signierte, HTTP-only und SameSite-beschränkte Cookies und sind zeitlich begrenzt.
• API-Anfragen verwenden appbezogene API-Schlüssel. Die Anwendung speichert API-Schlüssel verschlüsselt.
• Dashboard und API prüfen die Zuordnung zum Kunden beziehungsweise zur App.
• API, Anmeldung und Registrierung sind durch Rate Limits geschützt.

3. Übertragung und Speicherung

• Website, Dashboard und API erzwingen HTTPS/TLS.
• Datenbank, Datenbanksicherungen und Objektspeicher sind im Ruhezustand verschlüsselt.
• Zugangsdaten und kryptografische Schlüssel werden verschlüsselt gespeichert.

4. Pseudonymisierung und Datenminimierung

• SDK-Kennungen sind zufällig oder gehasht und werden je Kunden-App in getrennten Datensätzen verarbeitet.
• Filter reduzieren personenbezogene Daten und Zugangsdaten in Anwendungslogs und Fehlerberichten.

5. Protokollierung und Überwachung

• Anwendung und Infrastruktur protokollieren Zugriffe, Fehler und Sicherheitsereignisse zur Fehleranalyse und zum Schutz vor Missbrauch.

6. Verfügbarkeit und Wiederherstellung

• Produktionsdaten können mithilfe fortlaufender Wiederherstellungspunkte wiederhergestellt werden.

7. Sichere Entwicklung

• Quellcode und Abhängigkeiten werden risikobasiert auf Sicherheitslücken geprüft.
• Personenbezogene Produktionsdaten werden nicht in Quellcode oder Testdaten aufgenommen.

8. Datenschutzverletzungen

• Bytekontor untersucht Sicherheitsvorfälle, begrenzt ihre Folgen und dokumentiert Entscheidungen.
• Bytekontor bewahrt Beweisdaten nur im erforderlichen Umfang auf.

9. Löschung

• Bei Löschung eines Kundenkontos werden dessen Apps, Inhalte und zugeordnete personenbezogene Endnutzerdaten aus den aktiven Systemen gelöscht.
• Kunden können einzelne Kundeninhalte im Dashboard löschen.
• Sicherungskopien werden nach ihrem festgelegten Zyklus überschrieben.

10. Prüfung

Bytekontor überprüft die Wirksamkeit dieser Maßnahmen regelmäßig.