Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 Abs. 3 DSGVO

zwischen

Auftraggeber

– nachfolgend „Verantwortlicher“ genannt –

und

Worklane GmbH, Stresemannallee 4b, 41460 Neuss

- nachfolgend „Auftragsverarbeiter“ genannt -

- Verantwortlicher und Auftragsverarbeiter gemeinsam auch die „Parteien“ genannt -

Inhaltsverzeichnis

1. Vertragsgegenstand

2. Art, Umfang und Zweck der Auftragsverarbeitung

3. Weisungsbefugnisse des Verantwortlichen

4. Rechte und Pflichten des Verantwortlichen

5. Rechte und Pflichten des Auftragsverarbeiters

6. Verpflichtung zur Vertraulichkeit und Beachtung von Geheimnisschutzregeln

7. Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO (Art. 28 Abs. 3 Satz 2 lit. c DSGVO)

8. Mitteilungspflichten des Auftragsverarbeiters

9. Rechte und Pflichten, Kontrollrechte des Verantwortlichen

10. Unterauftragsverhältnisse (Art. 28 Abs. 3 S. 2 lit. d DSGVO)

11. Rückgabe und Löschung überlassener Daten (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)

12. Kosten

13. Inkrafttreten; Vertragsdauer und Kündigung

14. Schlussbestimmungen

Anlagen

1.Vertragsgegenstand

1.1 Im Rahmen der Leistungserbringung des Hauptvertrags (unterschriebenes Angebot, der „Hauptvertrag“) ist es erforderlich, dass der Auftragsverarbeiter personenbezogene Daten verarbeitet, für die der Verantwortliche i.S.d. Art. 4 Ziff. 7 DSGVO verantwortlich ist (nachfolgend „Daten des Verantwortlichen“ genannt). Dieser Vertrag enthält die Bestimmungen, insbesondere datenschutzrechtliche Rechte und Pflichten der Parteien, über den Umgang des Auftragsverarbeiters mit Daten des Verantwortlichen zur Erbringung der Leistungen gemäß Hauptvertrag.

1.2 Der Auftrag umfasst die im Hauptvertrag beschriebene Leistung.

1.3 Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen unbeschadet der nachstehenden Ziffer 1.4 ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum.

1.4 Sofern der Auftragsverarbeiter die Daten des Verantwortlichen in einem Drittland (d.h. außerhalb der Europäischen Union/eines Vertragsstaats des Abkommens über den Europäischen Wirtschaftsraum) verarbeitet, bedarf es der vorherigen schriftlichen Zustimmung des Verantwortlichen und die Übermittlung erfolgt nur, sofern und soweit die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

1.5 Dieser Vertrag ist gültig für Folgeaufträge, welche eine andere Angebotsnummer, ein anderes Datum und/oder andere Leistungen enthalten können.

2.Art, Umfang und Zweck der Auftragsverarbeitung

2.1 Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen ausschließlich im Auftrag (Ziffer 1.1 dieses Vertrags) und nach dokumentierter Weisung des Verantwortlichen i.S.v. Art. 28 Abs. 3 lit. a DSGVO.

2.2 Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen ausschließlich in der Art, in dem Umfang und zu den Zwecken, die abschließend in Anlage 1 zu diesem Vertrag festgelegt sind. Die Verarbeitung der Daten des Verantwortlichen durch den Auftragsverarbeiter betrifft ausschließlich die in Anlage 1 zu diesem Vertrag abschließend festgelegten Kategorien personenbezogener Daten und betroffener Personen. Jede davon abweichende oder darüberhinausgehende Verarbeitung von Daten des Verantwortlichen ist dem Auftragsverarbeiter untersagt, insbesondere eine Verwendung der Daten des Verantwortlichen zu eigenen Zwecken.

3.Weisungsbefugnisse des Verantwortlichen

3.1 Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen ausschließlich in Übereinstimmung mit den in diesem Vertrag enthaltenen Bestimmungen und den sonstigen Weisungen des Verantwortlichen.

3.2 Der Verantwortliche erteilt alle Weisungen und Aufträge schriftlich oder in einem dokumentierten elektronischen Format. Sofern der Verantwortliche eine Weisung mündlich erteilt, ist diese unverzüglich durch den Verantwortlichen schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

3.3 Der Verantwortliche und der Auftragsverarbeiter benennen jeweils einander weisungs- bzw. empfangsberechtigten Personen.

3.4 Weisungen sollen im Regelfall von dem Weisungsberechtigten des Verantwortlichen oder dessen Stellvertreter erteilt werden. Der Verantwortliche zeigt dem Auftragsverarbeiter einen Wechsel in der Person des Weisungsberechtigten oder des Stellvertreters möglichst frühzeitig schriftlich oder in elektronischer Form (E-Mail) unter Benennung eines Vertreters an. Bis zum Zugang einer solchen Mitteilung beim Auftragsverarbeiter gelten die benannten Personen weiter als weisungsberechtigt.

3.5 Ein Wechsel in der Person des Empfangsberechtigten oder des Stellvertreters bzw. deren dauerhafte Verhinderung hat der Auftragsverarbeiter dem Verantwortlichen möglichst frühzeitig schriftlich oder in elektronischer Form (E-Mail) unter Benennung eines Vertreters mitzuteilen. Bis zum Zugang einer solchen Mitteilung beim Verantwortlichen gelten die benannten Personen weiter als empfangsberechtigt für Weisungen des Verantwortlichen.

3.6 Ist der Auftragsverarbeiter der begründeten Ansicht, dass eine Weisung des Verantwortlichen gegen diesen Vertrag oder das geltende Datenschutzrecht verstößt (vgl. Art. 28 Abs. 3 S. 3 DSGVO), hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist nach rechtzeitiger vorheriger Ankündigung gegenüber dem Verantwortlichen mit mindestens 14-tägiger Frist berechtigt, die Ausführung der Weisung bis zu einer Bestätigung oder Änderung der Weisung durch den Verantwortlichen auszusetzen. Bestätigt der Verantwortliche schriftlich mit kurzer Begründung die Weisung, ist der Auftragsverarbeiter verpflichtet, sie zu befolgen. Die Parteien sind sich einig, dass der Verantwortliche in diesem Fall für die Rechtmäßigkeit der Verarbeitung allein verantwortlich ist.

4.Rechte und Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist nach außen, insbesondere gegenüber Dritten und betroffenen Personen, allein verantwortlich für die Beurteilung der Zulässigkeit der Verarbeitung personenbezogener Daten gem. Art. 6 Abs. 1 DSGVO und für die Wahrung der Rechte der betroffenen Personen nach den Art. 12-22 DSGVO. Der Auftragsverarbeiter ist gleichwohl, soweit gesetzlich zulässig, dazu verpflichtet, alle Anfragen durch betroffene Personen, sofern sie sich erkennbar an den Verantwortlichen richten, an diesen weiterzuleiten. Der Auftragsverarbeiter beantwortet Anfragen nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt. Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang und unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anträgen von betroffenen Personen (z.B. Berichtigung, Löschung und Sperrung von Daten).

4.2 Dem Verantwortlichen obliegt es, dem Auftragsverarbeiter die Daten des Verantwortlichen rechtzeitig zur Leistungserbringung zur Verfügung zu stellen. Ferner ist der Verantwortliche für die Qualität sowie die rechtmäßige Erhebung der Daten des Verantwortlichen verantwortlich. Der Verantwortliche hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse des Auftragsverarbeiters Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen oder seinen Weisungen feststellt.

4.3 Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsverarbeiters vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages für eine Dauer von 5 Jahren bestehen.

5.Rechte und Pflichten des Auftragsverarbeiters

5.1 Der Auftragsverarbeiter ist verpflichtet, Daten des Verantwortlichen ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung des Verantwortlichen zu verarbeiten. Dies gilt nicht, sofern der Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zu einer anderen Verarbeitung verpflichtet ist (z.B. Ermittlungen durch Staatsbehörden, Strafverfolgungsbehörden). In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (vgl. Art. 28 Abs. 3 S. 2 lit. a DSGVO).

5.2 Der Auftragsverarbeiter verwendet die durch den Verantwortlichen zur Verarbeitung überlassenen Daten des Verantwortlichen für keine anderen, insbesondere nicht für eigene Zwecke. Der Auftragsverarbeiter darf ohne vorherige schriftliche Zustimmung durch den Verantwortlichen keine Kopien oder Duplikate der Daten des Verantwortlichen anfertigen, soweit und solange sie nicht zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung, zur ordnungsgemäßen Erbringung der Leistungen gemäß Hauptvertrag (einschließlich der Datensicherung) oder zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

5.3 Der Auftragsverarbeiter darf Daten des Verantwortlichen ohne vorherige schriftliche Zustimmung durch den Verantwortlichen auch nicht an Dritte oder andere Empfänger aushändigen. Hiervon ausgenommen sind Datenweitergaben an Unterauftragsverarbeiter, deren Beauftragung der Verantwortliche gemäß Ziffer 10.5 zugestimmt hat.

5.4 Der Auftragsverarbeiter erteilt Dritten oder Behörden Auskünfte über personenbezogene Daten aus diesem Auftragsverhältnis, soweit rechtlich zulässig, nur nach vorheriger schriftlicher oder elektronisch dokumentierter Weisung oder Zustimmung durch den Verantwortlichen.

5.5 Ist der Verantwortliche gegenüber einer staatlichen Stelle, einem Betroffenen oder einer anderen Person verpflichtet, Auskünfte über die Daten des Verantwortlichen oder deren Verarbeitung zu erteilen, so ist der Auftragsverarbeiter verpflichtet, den Verantwortlichen bei der Erteilung solcher Auskünfte auf erstes Anfordern zu unterstützen, insbesondere durch unverzügliches Zurverfügungstellen sämtlicher Informationen und Dokumente über die vertragsgegenständliche Verarbeitung von Daten des Verantwortlichen einschließlich den vom Auftragsverarbeiter ergriffenen technisch-organisatorischen Maßnahmen, über den technischen Ablauf der Verwendung von Daten des Verantwortlichen, die Orte an denen Daten des Verantwortlichen verwendet werden und über die an der Verarbeitung beteiligten Mitarbeiter.

5.6 Der Auftragsverarbeiter verpflichtet sich,

bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12-22 DSGVO,
bei der Erfüllung der Verpflichtung aus Art. 32-36 DSGVO,
an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten,
bei erforderlichen Datenschutz-Folgeabschätzungen des Verantwortlichen,
sowie bei der Einhaltung der Verpflichtungen des Verantwortlichen in Bezug auf die Sicherheit der Verarbeitung

im notwendigen Umfang mitzuwirken und den Verantwortlichen, soweit möglich, angemessen zu unterstützen (vgl. Art. 28 Abs. 3 S. 2 lit. e, f DSGVO). Die hierfür erforderlichen Informationen sind jeweils auf elektronisch dokumentierte Anfrage durch den Verantwortlichen an den Verantwortlichen zu übermitteln, sofern die Parteien nichts anderes vereinbaren.

5.7 Der Auftragsverarbeiter ist dazu verpflichtet, personenbezogene Daten aus diesem Auftragsverhältnis zu berichtigen, zu löschen oder die Verarbeitung einzuschränken, wenn der Verantwortliche dies mittels einer schriftlichen oder elektronisch dokumentierten Weisung verlangt und berechtigte Interessen des Auftragsverarbeiters, insbesondere die Einhaltung von gesetzlichen Vorschriften, nicht entgegenstehen.

5.8 Verantwortlicher und Auftragsverarbeiter stimmen sich zur Vornahme einer Änderung des Verarbeitungsgegenstandes oder einer Verfahrensänderung ab. Die Änderung wird schriftlich oder in einem dokumentierten elektronischen Format festgehalten.

5.9 Der Auftragsverarbeiter ist, soweit gesetzlich zulässig, dazu verpflichtet, alle Anfragen durch betroffene Personen, sofern sie sich erkennbar an den Verantwortlichen richten, an diesen weiterzuleiten. Der Auftragsverarbeiter beantwortet Anfragen nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

5.10 Der Auftragsverarbeiter ist berechtigt, Daten des Verantwortlichen außerhalb der Bürogebäude bzw. Rechenzentren (z.B. bei der Heimarbeit durch Mitarbeiter des Auftragsverarbeiters; auf Dienstreise) zu verarbeiten. Hierfür werden technische und organisatorische Maßnahmen ergriffen, die die Verarbeitungsvorgänge des Auftragsverarbeiters im Rahmen dieses Auftragsverarbeitungsvertrags absichern (z.B. Regelungen zum mobilen Arbeiten in Form von Richtlinien beim Auftragsverarbeiter eingesetzt).

5.11 Der Auftragsverarbeiter hat einen externen Ansprechpartner bzw. eine Ansprechpartnerin für den Datenschutz bestimmt. Dieser ist wie folgt erreichbar:

Alexander Hönsch, LL.B.

WS Datenschutz GmbH

Dircksenstraße 51

10178 Berlin

Sofern ein Wechsel stattfindet, wird der Verantwortliche hierüber unverzüglich schriftlich oder elektronisch dokumentiert informiert.

6.Verpflichtung zur Vertraulichkeit und Beachtung von Geheimnisschutzregeln

6.1 Der Auftragsverarbeiter bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften der DSGVO, insbesondere über die Auftragsverarbeitung (Art. 28 DSGVO), bekannt sind.

6.2 Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der Daten des Verantwortlichen die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort.

6.3 Der Auftragsverarbeiter gewährleistet, dass er die bei der Durchführung der Datenverarbeitung beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und diese Mitarbeiter in geeigneter Weise zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 S. 2 lit. b und Art. 29 DSGVO).

6.4 Der Auftragsverarbeiter wird diese Verpflichtungen dokumentieren. Auf Verlangen des Verantwortlichen wird der Auftragsverarbeiter ihm die Einhaltung dieser Bestimmung durch Vorlage der Verpflichtungserklärungen oder auf andere geeignete Weise nachweisen.

7.Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO (Art. 28 Abs. 3 Satz 2 lit. c DSGVO)

7.1 Der Auftragsverarbeiter ist verpflichtet, diejenigen technischen und organisatorischen Maßnahmen zu treffen und während der Vertragslaufzeit aufrechtzuerhalten, die erforderlich sind, um für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau zu gewährleisten. Die Schutzziele von Art. 32 Abs. 1 DSGVO wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen werden dabei berücksichtigt, um ein Risiko während der Vertragslaufzeit möglichst gering zu halten.

7.2 Die TOM des Auftragsverarbeiters werden in Anlage 2 dargestellt. Der Verantwortliche bestätigt, dass die TOM unter Berücksichtigung der Risiken der Verarbeitung der Daten des Verantwortlichen ein angemessenes Schutzniveau für die Daten des Verantwortlichen bieten.

7.3 Der Auftragsverarbeiter nimmt bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der TOM zur Gewährleistung der Sicherheit der Verarbeitung vor (Art. 32 Abs.1 lit. d DSGVO). Das Ergebnis der Überprüfung sowie vorhandene geeignete Nachweise werden dem Verantwortlichen auf schriftliche Anforderung in angemessenem Umfang zur Verfügung gestellt, soweit keine berechtigten Geheimhaltungsinteressen entgegenstehen.

7.4 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, sofern die beim Auftragsverarbeiter getroffenen Maßnahmen den Anforderungen des Verantwortlichen nicht genügen.

7.5 Der Auftragsverarbeiter ist berechtigt, die Maßnahmen während des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung anzupassen, sofern er dabei die vereinbarten Standards nicht unterschreitet. Wesentliche geplante Änderungen werden dem Verantwortlichen mit einer Umsetzungsfrist von 30 Tagen mitgeteilt. Der Verantwortliche ist berechtigt, innerhalb dieser Frist mit kurzer Begründung gegen die geplante Umsetzung der Änderung Einspruch zu erheben. In diesem Fall arbeiten Verantwortlicher und Auftragsverarbeiter zusammen, um eine realisierbare Lösung zu finden, soweit zwischen den Parteien nicht etwas Abweichendes vereinbart wird.

8.Mitteilungspflichten des Auftragsverarbeiters

8.1 Der Auftragsverarbeiter ist in Bezug auf die Verarbeitung der Daten des Verantwortlichen verpflichtet, den Verantwortlichen unverzüglich über Störungen oder Verstöße des Auftragsverarbeiters (oder bei ihm beschäftigte Personen, die Zugang zu Daten des Verantwortlichen haben) gegen datenschutzrechtliche Bestimmungen oder gegen Bestimmungen dieses Auftragsverhältnisses zu informieren. Der Auftragsverarbeiter ist ferner dazu verpflichtet, dem Verantwortlichen unverzüglich Datenschutzverletzungen oder wesentliche Unregelmäßigkeiten bei der Verarbeitung von Daten des Verantwortliches mitzuteilen, insbesondere wenn Anhaltspunkte dafür bestehen, dass ein Dritter – gleich aus welchem Grund – unrechtmäßig Kenntnis von Daten des Verantwortlichen erlangt haben könnte, oder wenn in sonstiger Weise eine Gefährdung für die Integrität oder Vertraulichkeit der Daten des Verantwortlichen eingetreten ist.

8.2 Die Mitteilungspflichten der vorstehenden Ziffer 8.1 bestehen insbesondere in Bezug auf eventuelle Melde- und Benachrichtigungspflichten des Verantwortlichen gem. Art. 33 und Art. 34 DSGVO.

8.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO (vgl. Art. 28 Abs. 3 S. 2 lit. f DSGVO).

8.4 Der Auftragsverarbeiter teilt dem Verantwortlichen, soweit gesetzlich zulässig, ein Tätigwerden der zuständigen Aufsichtsbehörde beim Auftragsverarbeiter unverzüglich mit. Meldungen nach Art. 33 und 34 DSGVO darf der Auftragsverarbeiter für den Verantwortlichen nur nach vorheriger schriftlicher oder elektronisch dokumentierter Weisung durchführen.

8.5 Im Falle einer Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

8.5.1 bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

8.5.2 bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 DSGVO in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:

die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

8.5.3 bei der Einhaltung der Pflicht gemäß Artikel 34 DSGVO, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

8.6 Im Falle einer Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten des Verantwortlichen meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

8.6.1 eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

8.6.2 Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

8.6.3 die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

9.Rechte und Pflichten, Kontrollrechte des Verantwortlichen

9.1 Der Verantwortliche ist berechtigt, sich vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragsverarbeiter getroffenen TOM sowie der in diesem Vertrag festgelegten Verpflichtungen sowie der einschlägigen gesetzlichen Datenschutzbestimmungen zu überzeugen (vgl. Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Sofern der Verantwortliche hierbei oder bei einer sonstigen Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten feststellt, informiert er den Auftragsverarbeiter darüber unverzüglich.

9.2 Zur Durchführung von Kontrollen i.S.d. Ziffer 9.1 ist der Verantwortliche berechtigt, im Rahmen der üblichen Geschäftszeiten (montags bis freitags von 9:00 Uhr bis 17:00 Uhr; oder bei rechtzeitiger Information nach Ziffer 9.3 zu der individuell vereinbarten Uhrzeit) ohne Störung des Betriebsablaufs und unter strikter Geheimhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragsverarbeiters die Geschäftsräume des Auftragsverarbeiters, in denen Daten des Verantwortlichen verarbeitet werden, zu betreten.

9.3 Der Verantwortliche informiert den Auftragsverarbeiter rechtzeitig (in der Regel mindestens drei Wochen vorher) über alle mit der Durchführung der Kontrolle zusammenhängenden Umstände. Der Verantwortliche darf in der Regel eine Kontrolle pro Kalenderjahr durchführen. Hiervon unbenommen ist das Recht des Verantwortlichen weitere Kontrollen bei begründeten Anzeichen für eine Nichteinhaltung der in diesem Vertrag festgelegten Pflichten durchzuführen.

9.4 Der Auftragsverarbeiter gewährt dem Verantwortlichen sämtliche für die Durchführung der Kontrolle vom Auftragsverarbeiter benötigten Zugangs-, Auskunfts- und Einsichtsrechte. Der Auftragsverarbeiter verpflichtet sich insbesondere, dem Verantwortlichen Zugang zu den Datenverarbeitungseinrichtungen, Dateien und anderen Dokumenten zu gewähren, um die Kontrolle und Überprüfung der relevanten Datenverarbeitungseinrichtungen, Dateien und anderer Dokumentationen zu ermöglichen, die mit der Verarbeitung von Daten des Verantwortlichen im Zusammenhang stehen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle von ihm für die Kontrolle benötigten Informationen zur Verfügung. Der Verantwortliche nimmt hierbei angemessene Rücksicht auf die Betriebsabläufe und berechtigte Geheimhaltungsinteressen des Auftragsverarbeiters.

9.5 Beauftragt der Verantwortliche einen Dritten mit der Durchführung der Kontrolle, hat der Verantwortliche den Dritten schriftlich ebenso zu verpflichten, wie auch der Verantwortliche aufgrund von dieser Ziffer 9 dieses Vertrags gegenüber dem Auftragsverarbeiter verpflichtet ist. Zudem hat der Verantwortliche den Dritten auf Vertraulichkeit und Beachtung von Geheimnisschutzregeln zu verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Auf Verlangen des Auftragsverarbeiters hat der Verantwortliche diesem die Verpflichtungsvereinbarungen mit dem Dritten unverzüglich vorzulegen. Der Verantwortliche verpflichtet sich, keinen Konkurrenten des Auftragsverarbeiters mit der Kontrolle zu beauftragen.

9.6 Auf schriftliches Anfordern stellt der Auftragsverarbeiter dem Verantwortlichen die jeweils aktuellen Zertifizierungen, sofern und soweit eine Zertifizierung besteht, und/oder Prüfberichte bereit, sofern und soweit der Auftragsverarbeiter einen Prüfbericht beauftragt hat, um die Effektivität der TOM regelmäßig zu überprüfen.

10.Unterauftragsverhältnisse (Art. 28 Abs. 3 S. 2 lit. d DSGVO)

10.1 Dem Auftragsverarbeiter ist die Beauftragung von Unterauftragsverarbeitern zur Verarbeitung von Daten des Verantwortlichen nur mit vorheriger schriftlicher Zustimmung des Verantwortlichen gestattet (Art. 28 Abs. 2 DSGVO). Die Genehmigung erfolgt schriftlich oder elektronisch durch die weisungsberechtigte Person oder deren Stellvertreter (vgl. Ziffer 3.4), nicht jedoch mündlich.

10.2 Der Auftragsverarbeiter beauftragt einen Unterauftragsverarbeiter in einem Drittstaat nur nach vorheriger schriftlicher Zustimmung des Verantwortlichen und sofern die besonderen Voraussetzungen von Art. 44 ff. DSGVO erfüllt sind (z.B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

10.3 Der Auftragsverarbeiter schließt die Verträge mit Unterauftragsverarbeitern schriftlich. Diese Form ist auch gewahrt, wenn ein elektronisches Format vorliegt (Art. 28 Abs. 4, Abs. 9 DSGVO).

10.4 Der Auftragsverarbeiter stellt sicher, dass der/die Unterauftragsverarbeiter in dem Unterauftragsverarbeitungsvertrag schriftlich oder in Textform zur Erbringung eines Standards verpflichtet werden, der hinter dem hier vereinbarten Standard nicht zurückbleibt. Ferner stellt der Auftragsverarbeiter sicher, dass die Verantwortlichkeitssphären des Auftragsverarbeiters und des Unterauftragsverarbeiters, ggf. auch zwischen mehreren Unterauftragsverarbeitern, deutlich voneinander abgegrenzt werden.

10.5 Der Verantwortliche stimmt hiermit der Begründung der Unterauftragsverhältnisse gemäß Anlage 3 zu.

10.6 Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Unterauftragsverarbeiter. Der Verantwortliche hat die Möglichkeit, gegen die Änderungen Einspruch zu erheben (Art. 28 Abs. 2 Satz 2 DSGVO). Sofern der Verantwortliche rechtmäßig Einspruch erhebt und der Auftragsverarbeiter dem Einspruch nicht entsprechen kann, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich hierüber. Falls die Einschaltung des Unterauftragsverarbeiters rechtmäßig abgelehnt wurde, arbeiten die Parteien gemeinsam zusammen, um eine alternative technisch realisierbare Lösung zu finden, die die Ablehnung durch den Verantwortlichen berücksichtigt. Wenn sich die Parteien nicht auf eine alternative Lösung einigen können, ist der Verantwortliche berechtigt, das Vertragsverhältnis innerhalb eines Monats nach Ende der Zusammenarbeit zu alternativen Möglichkeiten zu kündigen.

11.Rückgabe und Löschung überlassener Daten (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)

11.1 Dem Auftragsverarbeiter ist es untersagt, nach Beendigung dieses Vertrags Daten des Verantwortlichen aktiv zu verarbeiten; nur eine weitere Speicherung der Daten des Verantwortlichen bleibt gestattet, bis der Auftragsverarbeiter diese Daten des Verantwortlichen bestimmungsgemäß an den Verantwortlichen herausgegeben oder sie gelöscht oder vernichtet hat; in diesem Fall gelten die Bestimmungen dieses Vertrags auch nach Beendigung des Vertrags bis zu dem Zeitpunkt weiter, in dem der Auftragsverarbeiter über keinerlei Daten des Verantwortlichen mehr verfügt.

11.2 Der Verantwortliche kann bis zum Ablauf des Vertragsverhältnisses seine personenbezogenen Daten löschen und/oder eine Kopie erstellen. Nach Ende des Vertrags wird der Auftragsverarbeiter alle Daten des Verantwortlichen unverzüglich löschen, sofern gesetzliche Vorgaben nicht eine längere Aufbewahrungsfrist vorschreiben.

11.3 Über jede Löschung und Vernichtung von Daten des Verantwortlichen hat der Auftragsverarbeiter ein schriftliches bzw. elektronisch dokumentiertes Protokoll zu erstellen, das dem Verantwortlichen auf schriftliches Verlangen vorzulegen ist.

12.Kosten

Sofern der Auftragsverarbeiter gegenüber dem Verantwortlichen im Rahmen dieses Vertrags Unterstützungsleistungen erbringt oder zusätzlichen Weisungen entsprochen wird, die nicht erforderlich sind, um Rechtsverstöße im Zuständigkeitsbereich des Auftragsverarbeiters zu verhindern bzw. abzustellen, und dabei Kosten entstehen, ist der Auftragsverarbeiter berechtigt, dem Verantwortlichen maximal einen angemessenen Betrag für diese Unterstützung oder die Entsprechung zusätzlicher Weisungen zu berechnen, es sei denn, die Leistungen sind bereits im Rahmen des Hauptvertrags abgegolten. Der Betrag muss in einem Angebot des Auftragsverarbeiters enthalten und von den Parteien schriftlich vereinbart worden sein.

13.Inkrafttreten; Vertragsdauer und Kündigung

13.1 Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags, sofern sich i. S. d. Ziffer 11.1 dieses Vertrages keine zeitlich darüberhinausgehenden Verpflichtungen ergeben. Die Regelungen zur ordentlichen Kündigung des Hauptvertrags gelten entsprechend. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags. Eine isolierte Kündigung dieses Vertrags ist vorbehaltlich der nachstehenden Ziffer 13.2 ausgeschlossen.

13.2 Das Recht der Parteien zur außerordentlichen Kündigung dieses Vertrags sowie des Hauptvertrags aus wichtigem Grund bleibt unberührt.

13.3 Der Hauptvertrag darf im Falle einer Beendigung dieses Vertrags nur fortgeführt werden, wenn ausgeschlossen ist, dass der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.

14.Schlussbestimmungen

14.1 Änderungen, Ergänzungen und die Aufhebung dieses Vertrags bedürfen der Schriftform oder sind in einem dokumentierten elektronischen Format zu vereinbaren. Gleiches gilt für eine Änderung oder Aufhebung des Schriftformerfordernisses.

14.2 Vereinbarungen zu den TOM sowie Kontroll- und Prüfungsunterlagen (auch zu Unterauftragsverarbeitern) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend für drei volle Kalenderjahre aufzubewahren.

14.3 Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden oder eine Lücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und den Anforderungen des Art. 28 DSGVO am besten gerecht wird.

14.4 Sofern im Hauptvertrag Regelungen zur Haftung getroffen wurden, sind diese auch auf diesen Vertrag anwendbar.

14.5 Im Falle von Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen zwischen den Parteien, insbesondere dem Hauptvertrag, gehen die Regelungen dieses Vertrags vor.

Anlagen:

Anlage 1: Zweck, Art und Umfang der Datenverarbeitung, Art der Daten und Kreis der Betroffenen

Anlage 2: Technische und Organisatorische Maßnahmen

Anlage 3: Unterauftragsverarbeitern, denen zugestimmt wird

Anlage 1

Zweck, Art und Umfang der Verarbeitung,

Art der personenbezogenen Daten sowie Kategorien betroffener Personen

Zwecke der Verarbeitung

Die Verarbeitungszwecke und Umfang der Verarbeitung ergeben sich aus dem Hauptvertrag.

Dauer der Verarbeitung

Die Dauer der Verarbeitung ergibt sich aus Ziff. 13 dieses AVV.

Art der Verarbeitung

Erheben,
Erfassen,
Speicherung,
Anpassung oder Veränderung,
Abfragen,
Verwendung und
Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung.

Art der personenbezogenen Daten:

Name,
Kontaktinformationen (Telefonnummer, Mobilnummer, E-Mail-Adresse am Arbeitsplatz, Anschrift),
Geburtsdatum, Geburtsort,
Qualifikationsdaten (Bewerber-Daten) und
Mitarbeiterdaten (beruflicher Werdegang, Ausbildung, berufliche Leistung) .

Kategorien betroffener Personen:

Bewerberdaten
Beschäftigtendaten und
Mitarbeiter (auch Leiarbeiter, Gelegenheitsarbeiter, Ehrenamtliche).

Die vorstehende Liste umfasst personenbezogene Daten und Verarbeitungstätigkeiten, die generell im Rahmen der Dienstleistung des Auftragsverarbeiters verarbeitet bzw. getätigt werden können. Angesichts der Art der Dienstleistung erkennt der Verantwortliche an, dass der Auftragsverarbeiter die vorstehende Liste weder überprüfen noch pflegen kann. Der Verantwortliche verpflichtet sich, den Auftragsverarbeiter über Änderungen in Textform zu informieren.

Anlage 2

Technische und Organisatorische Maßnahmen (TOM)

1. Allgemeine Grundsätze

Die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen (TOM) gewährleisten ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO.

Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs und der Zwecke der Verarbeitung regelmäßig überprüft und bei Bedarf angepasst.

Soweit externe Dienstleister (Unterauftragsverarbeiter) eingesetzt werden, insbesondere zur technischen Integration von Drittsystemen (z. B. ATS-Systeme), werden diese sorgfältig ausgewählt, vertraglich gemäß Art. 28 DSGVO verpflichtet und regelmäßig überprüft.

2. Systemarchitektur und Integration

Die Verarbeitung personenbezogener Daten erfolgt innerhalb der Worklane-Plattform sowie im Rahmen von Integrationen mit Drittsystemen (z. B. Bewerbermanagementsystemen).

Die Anbindung externer Systeme erfolgt über gesicherte Schnittstellen (APIs). Dabei gilt:

Zugriff erfolgt ausschließlich auf die für die jeweilige Integration erforderlichen Daten (Datenminimierung)
Berechtigungen werden systemseitig beschränkt und durch den Kunden bzw. konfigurierte Integrationsparameter gesteuert
Datenübertragungen erfolgen verschlüsselt
Zugriff auf Schnittstellen erfolgt ausschließlich über authentifizierte und autorisierte Verbindungen
Zur technischen Umsetzung von Integrationen wird teilweise ein spezialisierter Integrationsdienstleister eingesetzt (siehe Anlage 3).

3. Vertraulichkeit und Integrität (Art. 32 Abs. 1 lit. a und b DSGVO)

a) Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten physischen Zugangs zu Datenverarbeitungsanlagen:

Sicherung von Geschäftsräumen durch geeignete Zugangssysteme (z. B. Codeschlösser, Transpondersysteme)
Videoüberwachung sicherheitsrelevanter Zugangsbereiche
Einsatz mechanischer Sicherungssysteme (z. B. Sicherheitsschlösser)
Auswahl und Verpflichtung von Reinigungspersonal und externen Dienstleistern
Nutzung von Rechenzentrumsinfrastruktur externer Hosting-Anbieter mit geeigneten physischen Sicherheitsmaßnahmen

b) Zugangskontrolle (Systemzugang)

Maßnahmen zur Verhinderung unbefugter Nutzung von IT-Systemen:

Zugriff ausschließlich über individuelle Benutzerkonten
Einsatz von Multi-Faktor-Authentifizierung für administrative Zugriffe, soweit technisch verfügbar
Einsatz biometrischer Authentifizierungsverfahren auf Endgeräten (z. B. Fingerabdrucksensoren) zur Absicherung des Systemzugangs
Umsetzung von Passwort-Richtlinien (z. B. Komplexitätsanforderungen)
Verwaltung und Vergabe von Zugriffsrechten durch autorisierte Administratoren
Beschränkung administrativer Zugriffe auf das notwendige Minimum (Least Privilege Prinzip)
Verschlüsselung von Endgeräten (z. B. Laptops)
Sichere Löschung und Entsorgung von Datenträgern

c) Zugriffskontrolle (Datenzugriff)

Maßnahmen zur Sicherstellung, dass ausschließlich berechtigte Personen Zugriff auf Daten haben:

Rollenbasierte Zugriffskonzepte (Role Based Access Control)
Zugriff nach dem „Need-to-know“-Prinzip
Mandantentrennung innerhalb der Systeme (logische Trennung von Kundendaten)
Zuweisung individueller Benutzerprofile
Einsatz von Sicherheitssoftware (z. B. Anti-Virus)
Nutzung gesicherter Netzwerkverbindungen (z. B. VPN)
Protokollierung von Zugriffen und Systemaktivitäten (inkl. Benutzerbezug, Zeitstempel und Änderungsart)

d) Weitergabekontrolle (Datenübertragung)

Maßnahmen zur Sicherstellung der sicheren Datenübertragung:

Verschlüsselung der Datenübertragung (z. B. TLS)
Nutzung gesicherter API-Schnittstellen für Systemintegrationen
Authentifizierung von Schnittstellenzugriffen (z. B. API-Keys, OAuth oder vergleichbare Verfahren)
Beschränkung von API-Zugriffen durch definierte Berechtigungen (Scopes)
Protokollierung von Schnittstellenzugriffen
Beschränkung der übertragenen Daten auf notwendige Inhalte (Datenminimierung)
Dokumentation von Datenempfängern
Einsatz gesicherter Netzwerkverbindungen (z. B. VPN) für interne Zugriffe

e) Eingabekontrolle

Maßnahmen zur Nachvollziehbarkeit von Datenverarbeitungsvorgängen:

Protokollierung von Eingaben, Änderungen und Löschungen von Daten
Zuordnung von Datenverarbeitungsvorgängen zu individuellen Benutzerkonten
Einsatz von Logging-Mechanismen zur Sicherstellung der Auditierbarkeit

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Maßnahmen zur Sicherstellung der Verfügbarkeit und Integrität von Systemen und Daten:

Regelmäßige automatisierte Datensicherungen (Backups)
Vorhaltung und Umsetzung von Wiederherstellungsverfahren (Restore-Prozesse)
Regelmäßige Überprüfung der Wiederherstellbarkeit von Daten (z. B. durch Testwiederherstellungen)
Nutzung redundanter und hochverfügbarer Infrastrukturkomponenten, soweit durch Hosting-Anbieter bereitgestellt
Einsatz von Schutzmechanismen auf Ebene der eingesetzten Infrastruktur- und Hosting-Anbieter (z. B. Firewalls, Monitoring-Systeme)
Schutz vor physischen Risiken (z. B. Feuer, Wasser, Temperatur) durch eingesetzte Rechenzentrumsanbieter

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

a) Auftragskontrolle (Art. 28 DSGVO)

Verarbeitung personenbezogener Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen
Sorgfältige Auswahl von Unterauftragsverarbeitern unter Berücksichtigung von Datensicherheits- und Datenschutzanforderungen
Abschluss von Auftragsverarbeitungsverträgen mit allen eingesetzten Dienstleistern
Berücksichtigung rechtlicher Anforderungen bei Drittlandtransfers (z. B. Standardvertragsklauseln oder vergleichbare Mechanismen)
Soweit verfügbar, Einholung und Berücksichtigung von Nachweisen zu Sicherheitsstandards eingesetzter Dienstleister (z. B. Zertifizierungen oder Auditberichte)

b) Incident Management

Maßnahmen zum Umgang mit Sicherheitsvorfällen:

Etablierter Prozess zur Erkennung, Bewertung und internen Meldung von Sicherheitsvorfällen
Dokumentation von Vorfällen und ergriffenen Maßnahmen
Vorbereitung von Reaktionsprozessen zur Einhaltung gesetzlicher Meldepflichten (insbesondere Art. 33 DSGVO)

c) Trennungskontrolle

Maßnahmen zur getrennten Verarbeitung von Daten:

Logische Trennung von Daten verschiedener Kunden (Mandantenfähigkeit)
Trennung von Entwicklungs-, Test- und Produktionsumgebungen
Soweit möglich, keine Nutzung von Realdaten in Testumgebungen; andernfalls unter Einsatz geeigneter Schutzmaßnahmen (z. B. Zugriffsbeschränkungen oder Pseudonymisierung)
Einsatz differenzierter Zugriffsrechte auf System- und Datenbankebene

6. Weiterentwicklung der Maßnahmen

Die technischen und organisatorischen Maßnahmen werden kontinuierlich an den Stand der Technik angepasst.

Änderungen erfolgen unter der Maßgabe, dass das bestehende Schutzniveau nicht unterschritten wird. Der Verantwortliche wird über wesentliche Änderungen informiert und erhält die Möglichkeit zur Prüfung.

Anlage 3

1. Allgemeine Regelungen

Der Auftragsverarbeiter setzt zur Erbringung seiner Leistungen ausgewählte Unterauftragsverarbeiter ein.

Diese werden sorgfältig ausgewählt, vertraglich gemäß Art. 28 DSGVO verpflichtet und unterliegen angemessenen technischen und organisatorischen Maßnahmen.

Soweit eine Verarbeitung außerhalb der Europäischen Union (Drittland) erfolgt, wird ein angemessenes Datenschutzniveau durch geeignete Garantien sichergestellt, insbesondere durch:

EU-U.S. Data Privacy Framework (DPF), soweit anwendbar
EU-Standardvertragsklauseln (SCC) in der jeweils aktuellsten Fassung

2. Basis-Unterauftragsverarbeiter (Plattformbetrieb und Kernfunktionen)

Die folgenden Unterauftragsverarbeiter werden regelmäßig für den Betrieb der Worklane-Plattform eingesetzt:

Hosting und Infrastruktur

DigitalOcean

Zweck: Bereitstellung von Cloud-Infrastruktur und Serverkapazitäten

Verarbeitung: Bereitstellung von Cloud-Infrastruktur, Serverkapazitäten sowie Betrieb von Anwendungs- und Datenbankdiensten

Standort: EU (z. B. Frankfurt) sowie ggf. weitere Standorte gemäß Anbieterinfrastruktur

Drittlandtransfer: DPF / SCC, soweit anwendbar

Salesforce (Heroku)

Zweck: Betrieb und Bereitstellung der Anwendungsumgebung (Platform as a Service)

Verarbeitung: Verarbeitung von Anwendungs- und Systemdaten im Rahmen des Plattformbetriebs

Standort: EU (z. B. Frankfurt) sowie ggf. weitere Standorte gemäß Anbieterinfrastruktur

Drittlandtransfer: DPF / SCC, soweit anwendbar

E-Mail-Kommunikation und Kollaboration

Google Ireland Limited

Zweck: Versand und Empfang von E-Mails sowie Bereitstellung von Kollaborations- und Office-Funktionen

Verarbeitung: Verarbeitung von Kommunikationsdaten (z. B. Inhalte und Metadaten)

Standort: EU sowie ggf. Drittlandverarbeitung im Rahmen der Anbieterstruktur

Drittlandtransfer: DPF / SCC, soweit anwendbar

3. Projektbezogene Unterauftragsverarbeiter (Einsatz bei Beauftragung)

Zusätzlich zu den oben genannten Basis-Unterauftragsverarbeitern werden weitere Dienstleister ausschließlich projektbezogen eingesetzt.

Der Einsatz erfolgt nur bei entsprechender Beauftragung durch den Verantwortlichen (z. B. im Angebot, im Rahmen einer Kampagnenfreigabe oder durch gesonderte Vereinbarung).

ATS-Integrationen

Kombo Technologies GmbH

Zweck: Technische Integration und Datenaustausch zwischen Worklane und angebundenen Bewerbermanagementsystemen (z. B. SmartRecruiters)

Verarbeitung: Übertragung und Verarbeitung von Bewerber- und Stellendaten über API-Schnittstellen

Standort: Europäische Union

Drittlandtransfer: Keine Drittlandübertragung, sofern nicht im Rahmen der Anbieterinfrastruktur erforderlich

Wird ausschließlich im Rahmen der jeweiligen ATS-Integration und der durch den Verantwortlichen freigegebenen Datenumfänge eingesetzt.

Bewerberfunnels und Automatisierung

Perspective Software GmbH

Zweck: Erstellung und Betrieb von Bewerberfunnels sowie Formularstrecken

Verarbeitung: Erhebung und Speicherung von Bewerberdaten

Standort: Deutschland / Europäische Union

Drittlandtransfer: Keine

Zapier, Inc.

Zweck: Automatisierte Verarbeitung und Weiterleitung von Daten zwischen Systemen

Verarbeitung: Übertragung von Bewerber- und Systemdaten

Standort: USA

Drittlandtransfer: DPF / SCC, soweit anwendbar

Werden ausschließlich im Rahmen von Social Recruiting Kampagnen und Funnel-Lösungen eingesetzt.

Jobportale und Recruiting-Plattformen

(z. B. Indeed, StepStone, LinkedIn, Stellenanzeigen.de etc.)

Zweck: Veröffentlichung von Stellenanzeigen und Generierung von Bewerbungen, Durchführung von Employer-Branding-Maßnahmen sowie Nutzung von Funktionen wie Lebenslaufdatenbanken oder weiteren beauftragten Recruiting-Leistungen.

Verarbeitung: Übermittlung und Verarbeitung von Stellenanzeigen, Bewerberdaten sowie ggf. Nutzungs- und Interaktionsdaten im Rahmen der beauftragten Leistungen.

Einsatz erfolgt ausschließlich bei entsprechender Beauftragung durch den Verantwortlichen.

Marketing- und Werbeplattformen

Meta Platforms Ireland Limited
Google Ireland Limited
Spotify AB

Zweck: Durchführung von Recruiting- und Marketingkampagnen

Verarbeitung: Kampagnen- und ggf. Trackingdaten

Einsatz erfolgt ausschließlich bei entsprechender Beauftragung durch den Verantwortlichen.

4. Weitere Unterauftragsverarbeiter

Im Einzelfall können weitere Hilfsdienstleister (z. B. Analyse-Tools, Tracking-Technologien oder IT-Wartungsdienstleister) eingesetzt werden.

Der Einsatz erfolgt ausschließlich unter Einhaltung der gesetzlichen Anforderungen des Art. 28 DSGVO sowie nach vorheriger Information des Verantwortlichen.

5. Änderungen und Widerspruchsrecht

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern.

Der Verantwortliche hat das Recht, aus wichtigem datenschutzrechtlichem Grund gegen die Änderung zu widersprechen. Der Widerspruch muss innerhalb von zwei Wochen nach Mitteilung erfolgen.

Der Auftragsverarbeiter haftet für die Einhaltung der Datenschutzpflichten durch die eingesetzten Unterauftragsverarbeiter gemäß Art. 28 Abs. 4 DSGVO.