Auftragsverarbeitungsvertrag
Vereinbarung nach Art. 28 DSGVO für personenbezogene Daten, die Ihr Team in TeamRituals eingibt.
1. Parteien und Geltungsbereich
Diese Vereinbarung gilt zwischen der Organisation, die TeamRituals nutzt („Verantwortlicher“), und ANANTHAM KRITHRIMAM TECHNOLOGIES (OPC) PRIVATE LIMITED („Auftragsverarbeiter“). Sie gilt für personenbezogene Daten, die das Team des Verantwortlichen in TeamRituals eingibt, und ist Teil der Nutzungsbedingungen.
2. Gegenstand und Dauer
| Punkt | Einzelheiten |
|---|---|
| Zweck | Bereitstellung von TeamRituals: Teammitgliedschaft, Aufgaben, Rückfragen, Rituale, Ritual-Bilanz, Urlaubstage, Kalender-Feed und optionale Slack-Übersicht |
| Betroffene Personen | Beschäftigte, freie Mitarbeitende und andere Personen, die der Verantwortliche einlädt |
| Datenarten | Name, geschäftliche E-Mail-Adresse, Zeitzone, Rolle; Inhalte von Aufgaben und Kommentaren; Ritual-Häkchen und Zeiten; Urlaubstage und optionale Notizen |
| Besondere Kategorien | Nicht vorgesehen. Der Verantwortliche weist sein Team an, keine Gesundheitsangaben in Urlaubsnotizen einzutragen |
| Dauer | Solange das Team besteht, danach Löschung nach Abschnitt 8 |
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, nämlich nach diesen Bedingungen und den Einstellungen, die die Admins des Verantwortlichen in der App wählen, sofern das Gesetz nichts anderes verlangt. In diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vorher, sofern das Gesetz dies nicht verbietet.
4. Vertraulichkeit
Alle Personen beim Auftragsverarbeiter, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
- Hosting in der EU (Frankfurt) mit Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand (vor dem Start zu bestätigen).
- Trennung der Daten jedes Teams durch Row-Level-Security in der Datenbank; Änderungen nur über geprüfte Serverfunktionen (vor dem Start zu bestätigen).
- Anmeldung mit Einmalcodes; es werden keine Passwörter gespeichert (vor dem Start zu bestätigen).
- Zugriff auf Produktivsysteme nach dem Prinzip der minimalen Rechte mit Zwei-Faktor-Authentifizierung; Zugriffe werden protokolliert (vor dem Start zu bestätigen).
- Tägliche Sicherungen; dokumentierter Ablauf für Sicherheitsvorfälle (vor dem Start zu bestätigen).
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die in der Datenschutzerklärung genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet jeden davon auf gleichwertige Datenschutzbedingungen und informiert die Inhaber des Teams mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail, damit der Verantwortliche widersprechen kann. Lässt sich der Widerspruch nicht ausräumen, kann der Verantwortliche mit anteiliger Erstattung kündigen.
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (die Export- und Löschfunktionen der App decken die meisten ab) sowie bei Sicherheit, Meldung von Datenpannen und Datenschutz-Folgenabschätzungen, soweit seine Verarbeitung betroffen ist.
8. Löschung und Rückgabe
Inhaber können alle Daten jederzeit exportieren und das Team löschen, wodurch seine Daten sofort entfernt werden (Sicherungen werden innerhalb von 30 Tagen überschrieben, vor dem Start zu bestätigen). Nach Ende eines Tarifs löscht der Auftragsverarbeiter die Daten des Teams 12 Monate nachdem es nur noch lesbar wurde, nach vorheriger Mitteilung an die Inhaber.
9. Datenpannen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich und innerhalb von 72 Stunden (vor dem Start zu bestätigen), nachdem ihm eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt wird, mit den Angaben, die der Verantwortliche für seine eigenen Meldungen benötigt.
10. Kontrollen
Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, mit angemessener Vorankündigung und höchstens einmal pro Jahr, außer nach einer Datenpanne.
11. Übermittlungen
Die Teamdaten werden in der EU gehostet. Wo ein Unterauftragsverarbeiter oder Mitarbeitende des Auftragsverarbeiters außerhalb der EU auf Daten zugreifen können, sorgt der Auftragsverarbeiter für geeignete Garantien wie die EU-Standardvertragsklauseln.