AUFTRAGSVERARBEITUNGSVEREINBARUNG
Auftragsverarbeitungsvertrag
Artikel 28 DSGVO — Vereinbarung zwischen Ihnen (Verantwortlicher) und PersoHR (Auftragsverarbeiter)
1. Einleitung
Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil des Hauptabonnementvertrags zwischen der Labb Holding Ltd, einer zypriotischen Kapitalgesellschaft mit beschränkter Haftung mit Sitz in Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Zypern, eingetragen unter HE 424230 (Betreiberin der PersoHR-Plattform, der "Auftragsverarbeiter"), und dem Kunden (dem "Verantwortlichen"). Er regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der PersoHR-Plattform durchführt, und ist darauf ausgelegt, der Verordnung (EU) 2016/679 (der "DSGVO") zu entsprechen. Sofern eine Bestimmung dieses AVV mit dem Hauptvertrag in Konflikt steht, hat dieser AVV in Angelegenheiten der Verarbeitung personenbezogener Daten Vorrang. Großgeschriebene Begriffe, die hier verwendet, aber nicht definiert werden, haben die Bedeutung, die ihnen im Hauptvertrag oder, soweit anwendbar, in der DSGVO zukommt.
2. Gegenstand, Laufzeit, Art und Zweck
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung des HR-Management-Dienstes PersoHR. Die Verarbeitung umfasst die Verwaltung von Mitarbeiterdaten, Urlaub und Abwesenheit, Onboarding, Offboarding, Zeiterfassung, Lohnvorbereitung, Leistungsbeurteilungen, Rekrutierung, Dokumentenspeicherung, interne Kommunikation sowie sonstige vom Verantwortlichen konfigurierte HR-Workflows. Die Verarbeitung erfolgt für die Dauer des Abonnements des Verantwortlichen zuzüglich etwaiger gesetzlich vorgeschriebener oder in Abschnitt 13 dieses AVV festgelegter Aufbewahrungsfristen. Der Verantwortliche nimmt zur Kenntnis, dass der genaue Umfang und die Tiefe der Verarbeitung von den Modulen und der Konfiguration abhängen, die der Verantwortliche zu aktivieren wählt.
3. Kategorien personenbezogener Daten
Die verarbeiteten Kategorien personenbezogener Daten hängen von der Konfiguration der Plattform durch den Verantwortlichen ab und können umfassen: Personalstammdaten (Name, Kontaktdaten, Postanschrift, Geburtsdatum, Lichtbild); Beschäftigungsstammdaten (Berufsbezeichnung, Abteilung, Beschäftigungsart, Eintritts- und Austrittsdaten, Arbeitszeiten, Vorgesetzte/r); Dokumenteninhalte (Arbeitsverträge, Zertifizierungen, Ausweisdokumente, sonstige vom Verantwortlichen hochgeladene Dateien); Leistungs- und Entwicklungsdaten (Ziele, Beurteilungen, Feedback, Schulungsunterlagen); Urlaubs- und Abwesenheitsdaten (Anträge, Salden, Feiertage); Zeiterfassungsdaten (Buchungsereignisse, Stundenzettel, Überstunden); Lohnvorbereitungsdaten (Gehaltsdaten, IBAN sofern angegeben, Steuer- und Sozialversicherungsnummern sofern angegeben); Rekrutierungsdaten (Bewerbungen, Lebensläufe, Interviewnotizen, Referenzen); Kommunikations- und Chat-Daten; Authentifizierungs- und Sicherheitsdaten (Anmeldezeitstempel, IP-Adressen, Geräte-Fingerabdrücke, Zwei-Faktor-Status); sowie sonstige personenbezogene Daten, die der Verantwortliche auf der Plattform hochzuladen oder zu erzeugen wählt. Der Verantwortliche ist dafür verantwortlich sicherzustellen, dass für besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO, die er hochlädt, eine geeignete Rechtsgrundlage vorliegt.
4. Kategorien betroffener Personen
Zu den Kategorien betroffener Personen, bezogen auf den Verantwortlichen und etwaige verbundene Unternehmen, die der Verantwortliche über die Plattform zu verwalten wählt, gehören in der Regel: aktuelle Arbeitnehmer, Auftragnehmer, Freiberufler und sonstiges Personal; ehemalige Arbeitnehmer, Auftragnehmer und Personal; Bewerber und Kandidaten in laufenden oder vergangenen Rekrutierungsverfahren; sowie Angehörige oder Notfallkontakte, die von einer der vorgenannten Personen offenbart wurden. Der Verantwortliche ist für die Rechtmäßigkeit der Einbeziehung einer bestimmten betroffenen Person in den Verarbeitungsumfang verantwortlich.
5. Weisungen und Weigerungsrecht
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf internationale Übermittlungen —, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet (in diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung, es sei denn, das betreffende Recht verbietet eine solche Mitteilung aus Gründen eines wichtigen öffentlichen Interesses). Der Verantwortliche benennt die Personen, die ausschließlich zur Erteilung von Verarbeitungsweisungen über die Plattform befugt sind; fehlt eine solche Benennung, dürfen nur natürliche Personen, die zur gesetzlichen Vertretung des Verantwortlichen berechtigt sind, Weisungen erteilen. Wenn der Auftragsverarbeiter vernünftigerweise davon ausgeht, dass eine Weisung gegen die DSGVO oder sonstiges anwendbares Datenschutzrecht verstößt, wird er den Verantwortlichen unverzüglich benachrichtigen und die Ausführung dieser Weisung bis zur Klärung der Angelegenheit zwischen den Parteien aussetzen.
6. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass jede natürliche Person, die zur Verarbeitung personenbezogener Daten in seinem Auftrag befugt ist, einer Vertraulichkeitspflicht unterliegt, sei es vertraglich oder kraft gesetzlicher Verpflichtung. Jede Partei verpflichtet sich ferner, alle nicht-öffentlichen Informationen, die sie im Zusammenhang mit diesem AVV von der anderen Partei erhält — einschließlich der Inhalte von Audits, Sicherheitsdokumentationen und Vorfallsberichten —, vertraulich zu behandeln und solche Informationen ausschließlich für die Erfüllung des Hauptvertrags und dieses AVV zu verwenden. Informationen, die öffentlich bekannt sind, unabhängig ohne Verwendung der vertraulichen Informationen der offenlegenden Partei entwickelt wurden, rechtmäßig von einem Dritten ohne Vertraulichkeitsverpflichtung erhalten wurden oder aufgrund eines bindenden Rechtsverfahrens offenzulegen sind, sind ausgenommen. Vertraulichkeitspflichten bestehen nach Beendigung des Hauptvertrags für einen Zeitraum von fünf Jahren fort.
7. Sicherheit der Verarbeitung (Artikel 32)
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten betroffener Personen implementiert und pflegt der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, darunter: Verschlüsselung personenbezogener Daten bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand; rollenbasierte Zugriffskontrolle nach dem Prinzip der minimalen Rechtevergabe; umfassendes Audit-Logging; regelmäßige Schwachstellenscans und Patch-Management; ausschließliche Datenhaltung in der EU für die primäre Verarbeitung; zeitlich begrenzte Zugriffstoken; obligatorische Zwei-Faktor-Authentifizierung für privilegierte Rollen sowie regelmäßige Backups mit getesteter Wiederherstellung. Die aktuellen technischen und organisatorischen Maßnahmen ("TOMs") werden als öffentlicher Anhang unter /legal/security veröffentlicht und können von Zeit zu Zeit aktualisiert werden, sofern eine solche Aktualisierung das Gesamtniveau der Sicherheit nicht wesentlich verringert.
8. Unterauftragsverarbeiter
Der Verantwortliche ermächtigt den Auftragsverarbeiter, die unter /legal/sub-processors aufgeführten Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen schriftlich (einschließlich per E-Mail) mindestens 30 Tage vor der Hinzufügung oder dem Austausch eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb von 14 Tagen nach dieser Benachrichtigung aus begründeten datenschutzrechtlichen Gründen Widerspruch erheben; bleibt ein fristgerechter Widerspruch aus, gilt die Änderung als genehmigt. Können die Parteien einen berechtigten Widerspruch nicht innerhalb weiterer 30 Tage lösen, kann jede Partei den Hauptvertrag durch schriftliche Kündigung ohne weitere Haftung beenden; in diesem Fall hat der Verantwortliche Anspruch auf eine anteilige Rückerstattung etwaiger vorausbezahlter Gebühren für den ungenutzten Rest der Abonnementlaufzeit. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter schriftliche Vereinbarungen, die Datenschutzpflichten auferlegen, die den in diesem AVV enthaltenen gleichwertig sind, und bleibt für das Handeln und Unterlassen seiner Unterauftragsverarbeiter verantwortlich.
9. Unterstützung bei der Wahrnehmung von Betroffenenrechten
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Beantwortung von Anfragen gemäß Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch). Die Plattform stellt Self-Service-Werkzeuge für die häufigsten Anfragen bereit (Datenexport nach Artikel 20, Löschung nach Artikel 17, Berichtigung selbstverwalteter Felder). Für Anfragen, die der Verantwortliche über diese Werkzeuge nicht erfüllen kann, leistet der Auftragsverarbeiter angemessene zusätzliche Unterstützung. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage an den zuständigen Verantwortlichen weiter und benachrichtigt den Verantwortlichen unverzüglich.
10. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die Daten des Verantwortlichen betrifft. Die Benachrichtigung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und betroffenen Datensätze, die voraussichtlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung. Der Auftragsverarbeiter kooperiert mit dem Verantwortlichen in dem Maße, wie es für die Erfüllung der eigenen Meldepflichten des Verantwortlichen gemäß Artikeln 33 und 34 DSGVO vernünftigerweise erforderlich ist.
11. Datenschutz-Folgenabschätzung und vorherige Konsultation
Der Auftragsverarbeiter unterstützt den Verantwortlichen auf begründeten Antrag bei Datenschutz-Folgenabschätzungen gemäß Artikel 35 und bei vorherigen Konsultationen mit Aufsichtsbehörden gemäß Artikel 36, wobei die Art der Verarbeitung und die dem Auftragsverarbeiter verfügbaren Informationen berücksichtigt werden.
12. Audits und Inspektionen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO und dieses AVV nachzuweisen. Der Verantwortliche kann die Compliance des Auftragsverarbeiters selbst prüfen oder einen qualifizierten unabhängigen Prüfer damit beauftragen, dies in seinem Namen zu tun, mit einer schriftlichen Ankündigung von mindestens 30 Tagen, während der normalen Geschäftszeiten und höchstens einmal pro Kalenderjahr (ein "Vor-Ort-Audit"). Der Auftragsverarbeiter kann verlangen, dass jeder Prüfer vor dem Audit angemessene Vertraulichkeitsverpflichtungen eingeht, und kann einen vom Verantwortlichen benannten Prüfer ablehnen, der in direktem Wettbewerb mit dem Auftragsverarbeiter steht oder den der Auftragsverarbeiter vernünftigerweise als ungeeignet erachtet. Jede Partei trägt ihre eigenen Kosten eines Vor-Ort-Audits. Anstelle eines Vor-Ort-Audits kann der Auftragsverarbeiter nach eigenem Ermessen diese Verpflichtung durch Vorlage einer aktuellen unabhängigen Zertifizierung oder eines Bestätigungsberichts (wie ISO/IEC 27001, SOC 2 Typ II oder einer genehmigten Zertifizierung gemäß Artikel 42 DSGVO), Kopien von Zusammenfassungen von Penetrationstests oder seiner TOM-Dokumentation erfüllen; in diesem Fall kann das Vor-Ort-Audit verweigert werden. Wird ein Audit durch eine bestätigte Verletzung des Schutzes personenbezogener Daten oder einen mehr als geringfügigen Verstoß gegen diesen AVV ausgelöst (ein "ereignisbezogenes Audit"), gelten die Ankündigungsfrist und die Häufigkeitsbeschränkung nicht, und der Auftragsverarbeiter kooperiert uneingeschränkt ohne Begrenzung des Umfangs oder der Häufigkeit.
13. Rückgabe oder Löschung personenbezogener Daten
Bei Beendigung des Hauptvertrags bewahrt der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen für 30 Tage auf. Während dieses Zeitraums kann der Verantwortliche entweder (a) seine Daten über den In-App-Mandantenexport gemäß Artikel 20 DSGVO exportieren oder (b) den Auftragsverarbeiter schriftlich anweisen, die Daten unverzüglich zu löschen. Ergreift der Verantwortliche innerhalb der 30-tägigen Frist keine dieser Maßnahmen, löscht der Auftragsverarbeiter die Daten am Ende dieses Zeitraums automatisch. Backups unterliegen dem dokumentierten Backup-Aufbewahrungsplan und werden im Laufe der Zeit überschrieben; bis dahin unterliegen wiederhergestellte Daten diesem AVV. Personenbezogene Daten, die der Auftragsverarbeiter gesetzlich aufzubewahren verpflichtet ist (z. B. Abrechnungsdaten für steuerliche Zwecke), sind für die Dauer dieser gesetzlichen Verpflichtung von der Löschung ausgenommen.
14. Internationale Datenübermittlungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten vorwiegend innerhalb der Europäischen Union. Wenn der Auftragsverarbeiter oder ein Unterauftragsverarbeiter personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermitteln muss, erfolgt die Übermittlung ausschließlich auf Grundlage eines Angemessenheitsbeschlusses gemäß Artikel 45 DSGVO oder geeigneter Garantien gemäß Artikel 46 DSGVO — in der Regel der Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914/EU), ergänzt, soweit erforderlich, durch zusätzliche technische und organisatorische Maßnahmen. Die aktuelle Liste der Empfänger und der anwendbaren Übermittlungsmechanismen ist unter /legal/sub-processors veröffentlicht.
15. Insolvenz, Beschlagnahme und Ereignisse durch Dritte
Sind die personenbezogenen Daten des Verantwortlichen durch Beschlagnahme, Einziehung, Insolvenz- oder Vergleichsverfahren oder durch sonstige Maßnahmen eines Dritten gefährdet, die die Fähigkeit des Auftragsverarbeiters zur Einhaltung dieses AVV beeinträchtigen könnten, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und unterrichtet den Dritten schriftlich darüber, dass die Daten in der Verantwortung des Verantwortlichen als datenschutzrechtlich Verantwortlichem im Sinne der DSGVO liegen. Der Auftragsverarbeiter ergreift angemessene Maßnahmen zum Schutz der Integrität und Verfügbarkeit der Daten des Verantwortlichen bis zur Klärung der Maßnahme des Dritten.
16. Haftung
Jede Partei haftet für Schäden, die durch ihre eigene Verletzung dieses AVV verursacht werden, gemäß Artikel 82 DSGVO und dem anwendbaren Recht. Nichts in diesem AVV schließt eine Haftung aus oder begrenzt sie, die gesetzlich nicht ausgeschlossen oder begrenzt werden kann, einschließlich für Tod oder Körperverletzung, Betrug, arglistige Täuschung oder vorsätzliches Fehlverhalten. In allen anderen Hinsichten gelten die im Hauptvertrag festgelegten Haftungsbeschränkungen und -ausschlüsse gleichermaßen für diesen AVV.
17. Salvatorische Klausel und Schlussbestimmungen
Änderungen und Ergänzungen dieses AVV bedürfen der Textform (einschließlich E-Mail-Austausch gemäß Artikel 28 Absatz 9 DSGVO) sowie eines ausdrücklichen Hinweises, dass sie diesen AVV ändern oder ergänzen. Ist eine Bestimmung dieses AVV unwirksam, rechtswidrig oder nicht durchsetzbar oder wird sie es, wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt; die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, deren wirtschaftliche Wirkung der der unwirksamen Bestimmung so nahe wie möglich kommt. Dieser AVV kann elektronisch ausgefertigt und aktualisiert werden und ersetzt etwaige frühere Datenverarbeitungsvereinbarungen zwischen den Parteien für denselben Gegenstand.
18. Anwendbares Recht und Gerichtsstand
Dieser AVV unterliegt dem Recht der Republik Zypern, unter Ausschluss seiner Kollisionsnormen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf. Die Gerichte von Paphos, Zypern, haben die ausschließliche Zuständigkeit für alle Streitigkeiten, die sich aus oder im Zusammenhang mit diesem AVV ergeben, unbeschadet etwaiger zwingender Verbraucherrechte oder Gerichtsstandsrechte betroffener Personen nach der DSGVO.
19. Kontakt
Für Angelegenheiten im Zusammenhang mit diesem AVV wenden Sie sich an die Labb Holding Ltd unter privacy@persohr.eu oder schreiben Sie an: Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Zypern. Der datenschutzrechtliche Ansprechpartner des Verantwortlichen ist das Benutzerkonto, das in der PersoHR-Plattform als OWNER ausgewiesen ist.