Vertrag zur Auftragsverarbeitung

Dieser Zusatz zur Datenverarbeitung („DPA“) wird zwischen dem Unternehmen, das dieses Dokument unterzeichnet oder ihm zustimmt („Kunde“ oder„Verantwortlicher“), und Manatal („Unternehmen“ oder„Auftragsverarbeiter“) geschlossen. Dieser DPA ergänzt den Abonnementvertrag oder die Allgemeinen Geschäftsbedingungen von Manatal („Vertrag“) zwischen den Parteien.

1. Begriffsbestimmungen

• „Anwendbares Datenschutzrecht“ bezeichnet alle Datenschutzgesetze, die rechtlich auf die Verarbeitung personenbezogener Daten durch eine Vertragspartei im Rahmen der Vereinbarung anwendbar sind, einschließlich der EU/UK-DSGVO und des California Consumer Privacy Act (CCPA/CPRA) in ihrer jeweils gültigen Fassung.
• „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und von Manatal im Auftrag des Kunden im Zusammenhang mit den Dienstleistungen verarbeitet werden.
• „Betroffene Person“ bezeichnet die Person, auf die sich die personenbezogenen Daten beziehen (z. B. Bewerber, Kandidaten, Mitarbeiter).
• „Sicherheitsvorfall“ bezeichnet jede tatsächliche, bestätigte rechtswidrige Vernichtung, jeden Verlust, jede Veränderung, jede unbefugte Offenlegung oder jeden böswilligen Zugriff auf die personenbezogenen Daten des Kunden.

2. Geltungsbereich und Rolle der Parteien

• 2.1 Rechtsverhältnis: Der Kunde fungiert als Verantwortlicher und Manatal als Auftragsverarbeiter, es sei denn, der Kunde verarbeitet personenbezogene Daten im Auftrag eines anderen Verantwortlichen; in diesem Fall fungiert der Kunde als Auftragsverarbeiter und Manatal als Unterauftragsverarbeiter.
• 2.2 Anweisungen des Kunden: Manatal verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden und gemäß dessen dokumentierten Anweisungen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten, es sei denn, dies ist nach geltendem Recht vorgeschrieben. Der Vertrag und diese DPA stellen die vollständigen Anweisungen des Kunden dar. Falls Manatal nach geltendem Recht verpflichtet ist, personenbezogene Daten anders als gemäß den Anweisungen des Kunden zu verarbeiten, wird Manatal den Kunden vor der Verarbeitung über diese gesetzliche Verpflichtung informieren, es sei denn, das Gesetz verbietet eine solche Benachrichtigung aus wichtigen Gründen des öffentlichen Interesses.
• 2.3 Rechtswidrige Anweisungen: Manatal wird den Kunden unverzüglich informieren, wenn nach vernünftiger Einschätzung von Manatal eine Anweisung gegen geltendes Datenschutzrecht verstößt.

3. Technische und organisatorische Maßnahmen (Sicherheit)

• 3.1 Sicherheitsprogramm: Manatal ergreift und unterhält angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor versehentlichem Verlust, versehentlicher Vernichtung, Beschädigung, Veränderung oder Offenlegung zu schützen.
• 3.2 Vertraulichkeit: Manatal stellt sicher, dass sich alle zur Verarbeitung personenbezogener Daten befugten Mitarbeiter zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Vertraulichkeitspflicht unterliegen.
• 3.3 Unterstützung bei der Einhaltung der Vorschriften: Unter Berücksichtigung der Art der Verarbeitung und der Manatal zur Verfügung stehenden Informationen leistet Manatal dem Kunden angemessene Unterstützung bei der Erfüllung seiner Verpflichtungen hinsichtlich der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörden, wie dies nach den geltenden Datenschutzgesetzen erforderlich ist.

4. Unterauftragsverarbeiter

• 4.1 Vorherige Genehmigung: Der Kunde erteilt Manatal eine allgemeine schriftliche Genehmigung zur Beauftragung der Unterauftragsverarbeiter, die in der jeweils aktuellen Unterauftragsverarbeiterliste von Manatal aufgeführt sind (abrufbar unter „Manatal-Unterauftragsverarbeiterliste“), die der Kunde zum Zeitpunkt des Inkrafttretens der Vereinbarung anerkennt und genehmigt.
• 4.2 Benachrichtigung über Änderungen: Manatal hält die Liste der Unterauftragsverarbeiter auf dem neuesten Stand. Der Kunde kann Benachrichtigungen aktivieren, um eine schriftliche E-Mail-Benachrichtigung über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsnehmers zu erhalten. Der Kunde kann aus angemessenen datenschutzrechtlichen Gründen gegen einen neuen oder ersetzenden Unterauftragsnehmer Widerspruch einlegen, indem er innerhalb von sieben (7) Tagen nach Erhalt der Benachrichtigung von Manatal eine schriftliche Mitteilung macht. Legt der Kunde innerhalb dieser Frist keinen Widerspruch ein, gilt der neue oder ersetzende Unterauftragsnehmer als vom Kunden genehmigt.
• 4.3 Weitergabe an nachgelagerte Verarbeiter: Manatal erlegt jedem von ihr beauftragten Unterauftragsverarbeiter Datenschutzverpflichtungen auf, die nicht weniger streng sind als die vertraglichen Verpflichtungen, die Manatal im Rahmen dieser DPA auferlegt wurden, soweit diese auf die Dienstleistungen des Unterauftragsverarbeiters anwendbar sind.

5. Rechte der betroffenen Personen und Zusammenarbeit

• 5.1 Unterstützung: Unter Berücksichtigung der Art der Verarbeitung leistet Manatal dem Kunden, soweit dies möglich ist, angemessene Unterstützung, damit dieser auf Anfragen von betroffenen Personen, die ihre Rechte ausüben (z. B. Auskunfts-, Löschungs- oder Übertragbarkeitsanträge), reagieren kann.
• 5.2 Direkte Anfragen: Wenn eine betroffene Person Manatal direkt bezüglich personenbezogener Daten des Kunden kontaktiert, leitet Manatal die Anfrage unverzüglich an den Kunden weiter und antwortet nicht direkt, es sei denn, dies ist gesetzlich vorgeschrieben.

6. Vorfallmanagement und Benachrichtigung

• 6.1 Benachrichtigung: Manatal benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von zweiundsiebzig (72) Stunden, nachdem es von einem bestätigten Sicherheitsvorfall Kenntnis erlangt hat.
• 6.2 Einzelheiten: Die Benachrichtigung enthält ausreichende Informationen, damit der Kunde seinen Verpflichtungen gemäß den geltenden Datenschutzgesetzen nachkommen kann, einschließlich der Art der Datenschutzverletzung, der betroffenen Datenkategorien sowie der ergriffenen oder geplanten Maßnahmen zur Schadensminderung.

7. Prüfungsrechte

• 7.1 Dokumentation: Manatal stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der in dieser DPA festgelegten Verpflichtungen nachzuweisen.
• 7.2 Formelle Prüfungen: Soweit der Kunde eine Prüfung zur Überprüfung der Einhaltung der Vorschriften verlangt, kann er eine von Manatal vorliegende Sicherheitszertifizierung oder einen Prüfbericht eines unabhängigen Dritten (SOC 2 Typ 2) anfordern. Ist eine weitere Prüfung gesetzlich vorgeschrieben, so erfolgt diese während der regulären Geschäftszeiten, höchstens einmal pro Jahr, auf Kosten des Kunden und unter Einhaltung strenger Vertraulichkeitsvereinbarungen.

8. Internationale Datenübermittlungen

8.1 Datenübermittlungen im Rahmen der DSGVO

Soweit personenbezogene Daten, die der DSGVO unterliegen, an einen Empfänger in einer Rechtsordnung, einem Gebiet oder einem bestimmten Sektor übermittelt werden, für die bzw. den keine geltende Angemessenheitsentscheidung der Europäischen Kommission vorliegt, werden die gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission verabschiedeten Standardvertragsklauseln („EU-SCCs“) in diese Datenschutzvereinbarung aufgenommen und gelten für die Übermittlung.

Wenn der Kunde als Verantwortlicher und Manatal als Auftragsverarbeiter auftritt, gilt Modul 2 (Verantwortlicher zu Auftragsverarbeiter). Wenn der Kunde als Auftragsverarbeiter und Manatal als Unterauftragsverarbeiter auftritt, gilt Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter).

Im Sinne der EU-Standardvertragsklauseln:

• Der Kunde ist der Datenexporteur und Manatal ist der Datenimporteur.
• Mit dem Abschluss der Vereinbarung – sei es durch die elektronische Annahme der Online-AGB von Manatal oder durch die Unterzeichnung einer Offline-Vereinbarung, in die diese DPA aufgenommen wurde – erklärt sich jede Partei damit einverstanden, rechtlich an diese DPA und die EU-SCCs gebunden zu sein. Diese Annahme bzw. Unterzeichnung gilt als Unterzeichnung von Anhang I.A der EU-SCCs zum Zeitpunkt des Inkrafttretens der Vereinbarung.
• Anhang I.A zu den EU-Standardvertragsklauseln ist wie folgt auszufüllen: (i) mit den Identitätsangaben und Kontaktdaten der Parteien, wie sie in der Vereinbarung, dieser Datenschutzvereinbarung oder – im Falle eines Online-Kunden – in dessen Konto- oder Abonnementdaten angegeben sind; und (ii) mit den für die Datenübermittlung relevanten Tätigkeiten, wie sie in Anlage A beschrieben sind. Mit der oben beschriebenen Annahme oder Unterzeichnung gelten die Unterschrift und das Datum als für Anhang I.A erbracht.
• Anhang I.B zu den EU-Standardvertragsklauseln ist mit den in Anlage A zu dieser Datenschutzvereinbarung aufgeführten Angaben zur Verarbeitung und Übermittlung zu ergänzen.
• Anhang I.C der EU-Standardvertragsklauseln ist mit der gemäß Ziffer 13 der EU-Standardvertragsklauseln bestimmten zuständigen Aufsichtsbehörde auszufüllen.
• Anhang II der EU-Standardvertragsklauseln ist durch die in Anhang B dieser Datenschutzvereinbarung aufgeführten technischen und organisatorischen Maßnahmen zu ergänzen.
• Es gilt die Anknüpfungsklausel in Ziffer 7 der EU-Standardvertragsklauseln, wobei keine juristische Person ohne vorherige schriftliche Zustimmung von Manatal den EU-Standardvertragsklauseln beitreten darf.
• Für Klausel 9 Buchstabe a der EU-Standardvertragsklauseln gilt Option 2. Die allgemeinen Bestimmungen zu Genehmigung, Unterrichtung, Widerspruch und nachgelagerten Anforderungen in Abschnitt 4 gelten für die Zwecke von Klausel 9 Buchstabe a.
• Die optionale Bestimmung in Ziffer 11 Buchstabe a der EU-Standardvertragsklauseln findet keine Anwendung.
• Für Klausel 17 der EU-Standardvertragsklauseln gilt Option 1, und die EU-Standardvertragsklauseln unterliegen irischem Recht.
• Gemäß Ziffer 18 der EU-Standardvertragsklauseln sind Streitigkeiten, die sich aus den EU-Standardvertragsklauseln ergeben, von den irischen Gerichten zu entscheiden.
• Sollten die EU-Standardvertragsklauseln im Widerspruch zu dieser Datenschutzvereinbarung oder der Vereinbarung stehen, haben die EU-Standardvertragsklauseln in Bezug auf die betreffende Datenübermittlung Vorrang.

8.2 Datenübermittlungen, die dem britischen Datenschutzrecht unterliegen

Sofern eine Datenübermittlung dem britischen Datenschutzrecht unterliegt und nicht anderweitig rechtmäßig zulässig ist, wird der britische Nachtrag in diese DPA aufgenommen. Die Tabellen 1 bis 3 sind mit den Angaben und Auswahlen aus der Vereinbarung, dieser DPA, Abschnitt 8.1, Anlage A, Anlage B und, sofern zutreffend, der Liste der Unterauftragsverarbeiter von Manatal auszufüllen. Tabelle 4 ist durch Auswahl von „keine der Parteien“ auszufüllen.

Die Annahme oder Unterzeichnung der Manatal-AGBs, einer Vereinbarung oder dieser DPA gilt als Unterzeichnung des UK-Nachtrags. Im Falle von Widersprüchen hat der UK-Nachtrag in Bezug auf die betreffende Datenübermittlung Vorrang.

8.3 Datenübermittlungen, die dem schweizerischen Datenschutzrecht unterliegen

Sofern eine Datenübermittlung dem Schweizer Bundesgesetz über den Datenschutz unterliegt und nicht unter eine geltende Schweizer Angemessenheitsfeststellung oder einen anderen rechtmäßigen Übermittlungsmechanismus fällt, auf den sich Manatal stützt, werden die EU-Standardvertragsklauseln in die vorliegende Datenschutzvereinbarung aufgenommen und bilden einen Bestandteil derselben, wie nachstehend angepasst.

Für die betreffende Datenübermittlung in die Schweiz gilt: (a) Verweise in den EU-Standardvertragsklauseln auf die DSGVO sind als Verweise auf das Schweizer Bundesgesetz über den Datenschutz zu verstehen; (b) Verweise auf die EU, die Union, einen Mitgliedstaat und das Recht eines Mitgliedstaats sind als Verweise auf die Schweiz und das schweizerische Recht zu verstehen, soweit anwendbar; (c) Der Begriff „Mitgliedstaat“ darf nicht so ausgelegt werden, dass er betroffene Personen in der Schweiz daran hindert, in der Schweiz Klage zu erheben; (d) die zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Informationsbeauftragte; und (e) die EU-SCC unterliegen schweizerischem Recht, und Streitigkeiten werden von den zuständigen Gerichten der Schweiz entschieden.

Unterliegt eine Datenübermittlung sowohl der EU-DSGVO als auch dem Schweizer Recht, so gelten die Standardvertragsklauseln der EU gemäß den Abschnitten 8.1 und 8.3 gesondert, soweit dies anwendbar ist.

8.4 Sonstige erforderliche Übertragungsmechanismen

Unterliegt eine Datenübermittlung anderen anwendbaren Datenschutzgesetzen als den oben genannten, ist sie nicht durch eine geltende Angemessenheitsentscheidung oder einen anderen rechtmäßigen Übermittlungsmechanismus abgedeckt, auf den sich Manatal stützt, und erfordert einen offiziell genehmigten vertraglichen Übermittlungsmechanismus, so wird dieser Mechanismus durch Verweis in diese DPA aufgenommen und ist Bestandteil dieser DPA, jedoch nur insoweit, als er rechtswirksam durch Verweis aufgenommen werden kann und für die betreffende Datenübermittlung gesetzlich vorgeschrieben ist.

Sofern die zwingenden Bestimmungen nichts anderes vorschreiben: (a) ist der Kunde der Datenexporteur und Manatal der Datenimporteur; (b) entsprechen die Rollen der Parteien den in Abschnitt 2.1 festgelegten; (c) enthalten der Vertrag, die Konto- oder Abonnementdaten des Kunden sowie Anhang A und Anhang B die erforderlichen Angaben zu den Vertragsparteien, zur Datenübermittlung, zur Datenverarbeitung und zur Datensicherheit; und (d) gilt die Annahme oder Unterzeichnung der Allgemeinen Geschäftsbedingungen von Manatal, eines Vertrags oder dieser DPA als Annahme und Unterzeichnung der geltenden Bestimmungen.

Für Verarbeitungen, die nicht dem einschlägigen Recht unterliegen, gelten keine länderspezifischen Mechanismen, und es werden keine Verpflichtungen auferlegt, die nicht im Zusammenhang mit der betreffenden Übermittlung stehen. Kann der erforderliche Mechanismus nicht rechtswirksam durch Verweis einbezogen werden oder muss er in einer bestimmten Sprache oder Form wiedergegeben, ausgefüllt oder unterzeichnet werden, so haben die Parteien lediglich die gesetzlich vorgeschriebenen zusätzlichen Unterlagen auszufüllen, bevor die betreffende Übermittlung erfolgt.

Sollte ein anwendbarer Mechanismus seine Gültigkeit verlieren, werden die Parteien wirtschaftlich angemessene Anstrengungen unternehmen, um einen gültigen Ersatz einzuführen. Manatal kann die betroffene Übertragung aussetzen, bis der Ersatz in Kraft tritt.

9. Rückgabe und Löschung von Daten

9.1 Kündigung: Bei Kündigung oder Ablauf des Vertrags wird Manatal nach Wahl und auf Kosten des Kunden alle personenbezogenen Daten, die sich in seinem Besitz, seiner Verwahrung oder seiner Kontrolle befinden, löschen oder zurückgeben, es sei denn, das geltende Recht schreibt die weitere Speicherung der personenbezogenen Daten vor.

Anlage A: Einzelheiten zur Verarbeitung 

‍

Anlage B: Technische und organisatorische Sicherheitsmaßnahmen

Manatal verfügt über ein robustes, unternehmensgerechtes Sicherheitskonzept, das darauf ausgelegt ist, die Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten zu gewährleisten. Das Unternehmen überprüft und verbessert diese Maßnahmen kontinuierlich und gewährleistet dabei die Einhaltung der SOC-2-Typ-II-Standards.

1. Datenverschlüsselung und Datenschutz

Datenübertragung: Die gesamte Kommunikation zwischen den Benutzern des Kunden und den Manatal-Produktionsservern muss zwingend über HTTPS erfolgen, wobei sichere SSL/TLS 1.2- oder höhere Verschlüsselungsprotokolle zum Einsatz kommen.

Gespeicherte Daten: Alle zentralen Kundendatenbanken und -dateien werden im Ruhezustand mithilfe von AES-256-Verschlüsselungsalgorithmen nach Industriestandard vollständig verschlüsselt.

Sicherheit der Anmeldedaten: Die Anmeldedaten zur Benutzerauthentifizierung werden mithilfe fortschrittlicher kryptografischer Einweg-Hash-Algorithmen sicher umgewandelt; Passwörter im Klartext werden nirgendwo im System gespeichert.

2. Sicherheit der Infrastruktur und des Hostings

Cloud-Infrastruktur der Spitzenklasse: Alle Dienste werden ausschließlich in einer sicheren, mehrschichtigen Netzwerkumgebung betrieben, die auf Amazon Web Services (AWS) in den Vereinigten Staaten gehostet wird.

Compliance der Rechenzentren: Die physische Infrastruktur der Rechenzentren wird von AWS verwaltet und entspricht strikt den globalen Standards; sie ist nach ISO 27001, SOC 1, SOC 2, SSAE 16 und ISAE 3402 zertifiziert.

Ausfallsicherheit und Verfügbarkeit: Die Lösung basiert auf einer modernen Infrastruktur für Notfallwiederherstellung und Failover, um eine vertraglich vereinbarte Verfügbarkeit von 99,9 % oder mehr zu gewährleisten.

3. Geschäftskontinuität und Backup-Lebenszyklus

Tägliche Sicherungen: Manatal führt täglich vollständige, automatisierte Sicherungen aller Systemdatenbanken durch, um sich vor katastrophalen Ereignissen zu schützen.

Integrität der Backups: Backups werden sicher verschlüsselt, getrennt von den Produktionsumgebungen gespeichert und gründlich getestet, um ihre sofortige Verfügbarkeit zu gewährleisten.

Aufbewahrungsrichtlinie: Alle täglichen automatischen Sicherungen werden nach einem strikten 7-Tage-Aufbewahrungszyklus dauerhaft überschrieben und automatisch gelöscht.

4. Identitäts- und Zugriffskontrolle

Interne personelle Beschränkungen: Der Zugriff auf zugrunde liegende Systeme und Kundenumgebungen ist streng auf einen begrenzten Kreis autorisierter, wichtiger technischer Mitarbeiter beschränkt, die nach dem „Need-to-know“-Prinzip Zugang erhalten und durch unterzeichnete Vertraulichkeitsvereinbarungen des Unternehmens gebunden sind.

Zugriff auf privilegierte Systeme: Für den internen operativen Zugriff auf AWS, GitHub und Produktions-Backends gelten strenge Vorschriften hinsichtlich komplexer Passwortrichtlinien und der obligatorischen Multi-Faktor-Authentifizierung (MFA / 2FA).

Rollenbasierte Zugriffskontrolle (RBAC) für Kunden: Die Softwareplattform bietet anpassbare, mehrstufige Berechtigungen für Benutzerrollen und stellt so sicher, dass Kundendaten intern aufgeteilt werden, sodass Benutzer nur Datensätze einsehen können, für die sie ausdrücklich autorisiert sind.

5. Schwachstellenmanagement und -behebung

Sichere Entwicklungspraktiken: Die Entwicklerteams wenden strenge Praktiken für sicheres Programmieren an, die stark auf die Abwehr der OWASP Top 10 der Sicherheitsrisiken für Webanwendungen ausgerichtet sind.

Kontinuierliche Erkennung: Einsatz von Software zur automatisierten Erkennung von Sicherheitslücken und von Sicherheitsscans in Echtzeit zur aktiven Überwachung von Änderungen in der Umgebung.

Proaktive Bedrohungsabwehr: Kontinuierliche Überwachung der Infrastruktur mit automatisierten Echtzeit-Bedrohungsalarmen, die so konfiguriert sind, dass sie Anomalien sofort an die diensthabenden Technikerteams melden.

Verantwortungsvolle Offenlegung: Betrieb eines aktiven, überwachten Programms zur Offenlegung von Sicherheitslücken, das es geprüften Sicherheitsforschern ermöglicht, Zero-Day-Fehler verantwortungsvoll über spezielle Kanäle (vulnerability-report@manatal.com) direkt an die Sicherheitsingenieure zu melden.