Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Vertragsparteien

Diese Vereinbarung wird zwischen dem jeweiligen Nutzer von Karrierewerk als selbständigem Vertriebspartner („Verantwortlicher“) und dem Anbieter („Auftragsverarbeiter“) geschlossen:

Arasch Keshvari
Selbständiger Vertriebspartner
Lister Str. 11, 30163 Hannover
E-Mail: arasch.keshvari@swisslife-select.de

Sie wird in elektronischer Form mit der Zustimmung zu den Nutzungsbedingungen geschlossen (Art. 28 Abs. 9 DSGVO) und ist deren Bestandteil.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen mit Karrierewerk ein Werkzeug zur Verwaltung seiner Kunden- und Bewerberkontakte bereit und verarbeitet die dort eingetragenen personenbezogenen Daten ausschließlich zu diesem Zweck. Die Vereinbarung gilt, solange der Verantwortliche ein Konto bei Karrierewerk hat.

§ 2 Art der Daten und betroffene Personen

• Betroffene Personen: Interessenten, Kunden, Empfehlungsgeber sowie potenzielle Bewerber aus dem Umfeld des Verantwortlichen.
• Datenarten: Vor- und Nachname, Telefonnummer, E-Mail-Adresse, Beruf, Herkunft des Kontakts, Status, Einschätzung des Geschäftspotenzials (EH-Potenzial), Notizen und Aufgaben mit Fälligkeitsdatum.
• Art der Verarbeitung: Speichern, Anzeigen, Ändern, Sortieren und Filtern, Export als Tabelle, Löschen.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung und dürfen nicht eingetragen werden.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen erteilt der Verantwortliche grundsätzlich durch seine Eingaben und Aktionen in Karrierewerk (Anlegen, Ändern, Exportieren, Löschen). Weitere Weisungen sind in Textform an arasch.keshvari@swisslife-select.de zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen darauf hin. Eine Nutzung der Daten für eigene Zwecke des Auftragsverarbeiters findet nicht statt.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter und alle Personen, die in seinem Auftrag Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Administratoren von Karrierewerk sehen die Kontakte anderer Nutzer in der Anwendung nicht. Ein Zugriff über die technische Datenbankverwaltung erfolgt nur, soweit er für Betrieb, Fehlerbehebung oder auf Weisung des Verantwortlichen erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung aller Daten (TLS).
• Zugriffskontrolle über persönliche Konten; Passwörter werden ausschließlich als Hash gespeichert.
• Mandantentrennung direkt in der Datenbank: Jeder Kontakt und jede Aufgabe ist nur für den Nutzer sichtbar, der sie angelegt hat (Row Level Security) – auch für Administratoren.
• Keine öffentlichen Datei-Freigaben; Dateien nur über zeitlich begrenzte Links für eingeloggte Nutzer.
• Betrieb bei spezialisierten Rechenzentrumsdienstleistern mit eigener Datensicherung und Zugangskontrolle (siehe § 6).
• Regelmäßige Aktualisierung der eingesetzten Software.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Supabase Inc. – Datenbank, Anmeldung, Dateispeicher
• Vercel Inc. – Bereitstellung der Anwendung

Mit beiden bestehen Verträge nach Art. 28 DSGVO; Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab; der Verantwortliche kann widersprechen und in diesem Fall die Nutzung beenden.

§ 7 Unterstützung des Verantwortlichen

Der Verantwortliche kann Auskunfts-, Berichtigungs- und Löschanfragen betroffener Personen mit den Funktionen von Karrierewerk (Bearbeiten, Löschen, Excel-Export) selbst erfüllen. Darüber hinaus unterstützt der Auftragsverarbeiter ihn im angemessenen Rahmen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO. Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes der vom Verantwortlichen eingetragenen Daten bekannt wird, und stellt die für eine etwaige Meldung nach Art. 33, 34 DSGVO nötigen Informationen bereit.

§ 9 Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit selbst exportieren und löschen. Mit Löschung seines Kontos werden die von ihm eingetragenen Kontakte und Aufgaben gelöscht, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen bei den Unterauftragsverarbeitern werden im Rahmen deren regulärer Löschzyklen überschrieben.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, und ermöglicht Überprüfungen im angemessenen Rahmen und nach vorheriger Absprache.

§ 11 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen. Es gilt deutsches Recht. Bei Widersprüchen zwischen dieser Vereinbarung und den Nutzungsbedingungen hat diese Vereinbarung in Datenschutzfragen Vorrang. Auftragsverarbeiter: Arasch Keshvari.