Vereinbarung zur Auftragsdatenverarbeitung „Auftrag gemäß Art. 28 DSGVO“

Vertragsparteien
1. Diese Vereinbarung ergänzt den zwischen alkima und dem Kunden bestehenden Hauptvertrag, soweit alkima im Rahmen der vereinbarten Leistungen personenbezogene Daten im Auftrag des Kunden gemäß Art. 28 DSGVO verarbeitet.
2. Der Kunde ist im Rahmen dieser Vereinbarung Verantwortlicher im Sinne der DSGVO.
3. Die jeweilige alkima Gesellschaft, mit der der Hauptvertrag geschlossen wurde, ist Auftragsverarbeiter im Sinne der DSGVO.
4. Diese Vereinbarung ist Bestandteil des jeweiligen Hauptvertrags und gilt für sämtliche Verarbeitungen personenbezogener Daten, die alkima im Auftrag des Kunden im Rahmen der vereinbarten Leistungen durchführt.
Gegenstand und Dauer des Auftrags
1. Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch alkima im Auftrag des Kunden im Rahmen der zwischen den Parteien vereinbarten Leistungen gemäß dem jeweiligen Hauptvertrag.
2. Art, Umfang, Zweck und Dauer der Verarbeitung ergeben sich aus dem Hauptvertrag sowie den Bestimmungen dieser Vereinbarung einschließlich ihrer Anlagen.
3. alkima verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Kunden im Sinne von Art. 28 DSGVO, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist.
4. Diese Vereinbarung gilt für die Dauer des jeweiligen Hauptvertrags, soweit im Rahmen dessen eine Verarbeitung personenbezogener Daten im Auftrag erfolgt. Die gesetzlichen Aufbewahrungs- und Nachweispflichten bleiben hiervon unberührt.
Umfang, Art und Zweck der Verarbeitung personenbezogener Daten
1. Umfang, Art und Zweck der Verarbeitung personenbezogener Daten sowie die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus dem jeweiligen Hauptvertrag sowie aus Anlage 1 dieser Vereinbarung.
2. alkima verarbeitet personenbezogene Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen und nur im Rahmen der dokumentierten Weisungen des Kunden, soweit diese Vereinbarung oder gesetzliche Vorschriften nichts Abweichendes vorsehen.
3. Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.
4. Eine Verarbeitung in einem Drittland oder durch einen Unterauftragsverarbeiter in einem Drittland erfolgt ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO. Soweit kein Angemessenheitsbeschluss der Europäischen Kommission besteht, werden geeignete Garantien, insbesondere die jeweils gültigen Standardvertragsklauseln oder andere nach der DSGVO zulässige Übermittlungsmechanismen, verwendet.
5. alkima informiert den Kunden auf Anfrage über die jeweils eingesetzten Rechtsgrundlagen für Drittlandübermittlungen.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
1. alkima trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten sicherzustellen.
2. Die zum Zeitpunkt des Vertragsschlusses geltenden technischen und organisatorischen Maßnahmen sind in Anlage 2 beschrieben und Bestandteil dieser Vereinbarung.
3. alkima ist berechtigt, die technischen und organisatorischen Maßnahmen an den technischen Fortschritt sowie an geänderte gesetzliche oder organisatorische Anforderungen anzupassen, sofern das Schutzniveau der vereinbarten Maßnahmen dadurch nicht unterschritten wird.
4. alkima überprüft die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig und entwickelt diese entsprechend dem Stand der Technik fort.
5. Auf Anforderung stellt alkima dem Kunden angemessene Informationen zur Verfügung, die den Nachweis der Einhaltung der technischen und organisatorischen Maßnahmen ermöglichen, soweit dadurch keine Geschäftsgeheimnisse oder Sicherheitsinteressen von alkima beeinträchtigt werden.
Berichtigung, Einschränkung der Verarbeitung und Löschung von Daten
1. alkima verarbeitet personenbezogene Daten ausschließlich nach dokumentierter Weisung des Kunden. Eine eigenständige Berichtigung, Löschung oder Einschränkung der Verarbeitung erfolgt nur, soweit dies gesetzlich vorgeschrieben ist oder der Kunde eine entsprechende Weisung erteilt.
2. Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder einem sonstigen datenschutzrechtlichen Anliegen unmittelbar an den alkima, wird dieser den Antrag unverzüglich an den Kunden weiterleiten, sofern eine Zuordnung zum Kunden möglich ist.
3. alkima unterstützt den Kunden im Rahmen des Zumutbaren und unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, dessen Verpflichtungen zur Wahrung der Rechte betroffener Personen gemäß Kapitel III DSGVO zu erfüllen.
Pflichten von alkima
1. alkima erfüllt die sich aus Art. 28 bis 33 DSGVO sowie den sonstigen anwendbaren datenschutzrechtlichen Vorschriften ergebenden Pflichten, soweit diese seine Tätigkeit als Auftragsverarbeiter betreffen.
2. Insbesondere verpflichtet sich alkima,
  - personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden oder aufgrund einer gesetzlichen Verpflichtung zu verarbeiten,
  - ausschließlich Personen mit der Verarbeitung personenbezogener Daten zu betrauen, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen,
  - die vereinbarten technischen und organisatorischen Maßnahmen gemäß Anlage 2 einzuhalten und regelmäßig auf ihre Wirksamkeit zu überprüfen,
  - den Kunden unverzüglich über Anfragen, Maßnahmen oder Ermittlungen von Datenschutzaufsichtsbehörden oder sonstigen zuständigen Behörden zu informieren, soweit diese den Auftrag betreffen und keine gesetzliche Geheimhaltungspflicht entgegensteht,
  - den Kunden im angemessenen Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten zu unterstützen, soweit dies gesetzlich vorgeschrieben ist oder sich aus dieser Vereinbarung ergibt,
  - dem Kunden auf Anforderung alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Verpflichtungen aus Art. 28 DSGVO erforderlich sind.
Unterauftragsverarbeiter
1. Der Kunde erteilt dem alkima die allgemeine Genehmigung, Unterauftragsverarbeiter zur Erfüllung der vertraglich vereinbarten Leistungen einzusetzen.
2. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
3. alkima ist berechtigt, weitere Unterauftragsverarbeiter einzusetzen oder bestehende Unterauftragsverarbeiter zu ersetzen. Die jeweils aktuelle Liste der eingesetzten Unterauftragsverarbeiter wird vom alkima auf seiner Website veröffentlicht oder dem Kunden in Textform zur Verfügung gestellt. Über Änderungen wird der Kunde vor deren Wirksamwerden informiert.
4. Der Kunde kann einer Änderung innerhalb von 14 Kalendertagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt.
5. alkima verpflichtet jeden Unterauftragsverarbeiter vertraglich mindestens zu denjenigen Datenschutzpflichten, zu denen er selbst gegenüber dem Kunden nach Art. 28 DSGVO verpflichtet ist.
6. alkima bleibt gegenüber dem Kunden für die Erfüllung der datenschutzrechtlichen Verpflichtungen seiner Unterauftragsverarbeiter verantwortlich.
7. Dienstleistungen, die lediglich unterstützenden Charakter haben und nicht unmittelbar der Verarbeitung personenbezogener Daten im Auftrag dienen, insbesondere Telekommunikationsleistungen, Post und Transportdienstleistungen, Wartungsleistungen sowie sonstige allgemeine Unterstützungsleistungen, gelten nicht als Unterauftragsverarbeitung im Sinne dieser Vereinbarung.
Kontrollrechte des Kunden
1. alkima stellt dem Kunden auf Anforderung alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Verpflichtungen aus Art. 28 DSGVO nachzuweisen.
2. Der Nachweis kann insbesondere durch aktuelle Zertifizierungen, Prüfberichte, Testate, Auditberichte, Selbstauskünfte oder sonstige geeignete Dokumentationen erfolgen.
3. Soweit diese Nachweise im Einzelfall nicht ausreichen, ist der Kunde berechtigt, nach vorheriger angemessener Ankündigung und während der üblichen Geschäftszeiten eine Prüfung beim alkima durchzuführen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Dritten durchführen zu lassen. Dabei sind die berechtigten Geschäfts- und Betriebsgeheimnisse sowie die Sicherheitsinteressen von alkima angemessen zu berücksichtigen.
4. Die Prüfung darf den Geschäftsbetrieb von alkima nicht unangemessen beeinträchtigen und ist auf das zur Überprüfung der Einhaltung dieser Vereinbarung erforderliche Maß zu beschränken.
5. Soweit durch die Durchführung einer Prüfung ein zusätzlicher Aufwand entsteht, der über das übliche Maß hinausgeht und nicht auf einem Verstoß von alkima beruht, kann alkima hierfür eine angemessene Vergütung verlangen.
Unterstützung bei Datenschutzverletzungen und sonstigen datenschutzrechtlichen Pflichten
1. alkima unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung der gesetzlichen Pflichten gemäß Art. 32 bis 36 DSGVO.
2. Insbesondere verpflichtet sich alkima,
  - Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen, dem Kunden nach Bekanntwerden ohne unangemessene Verzögerung mitzuteilen,
  - dem Kunden alle verfügbaren Informationen zur Verfügung zu stellen, die dieser zur Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten benötigt,
  - den Kunden bei der Untersuchung, Eindämmung und Behebung von Datenschutzverletzungen angemessen zu unterstützen,
  - den Kunden bei der Durchführung von Datenschutz-Folgenabschätzungen sowie erforderlichen Konsultationen mit Aufsichtsbehörden zu unterstützen, soweit dies gesetzlich erforderlich ist.
3. Soweit Unterstützungsleistungen über die vertraglich vereinbarten Leistungen hinausgehen und nicht auf einem Verschulden von alkima beruhen, kann alkima hierfür eine angemessene Vergütung verlangen.
Weisungen des Kunden
1. alkima verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist.
2. Weisungen erfolgen grundsätzlich in Textform. Erfolgen Weisungen ausnahmsweise mündlich, sind sie vom Kunden auf Anforderung von alkima unverzüglich in Textform zu bestätigen.
3. Hält alkima eine Weisung des Kunden für offensichtlich rechtswidrig oder datenschutzrechtlich unzulässig, informiert er den Kunden unverzüglich darüber. Bis zur Bestätigung oder Änderung der Weisung ist alkima berechtigt, deren Ausführung auszusetzen.
4. alkima ist nicht verpflichtet, Weisungen auszuführen, die gegen geltendes Recht verstoßen.
Löschung und Rückgabe personenbezogener Daten
1. Nach Beendigung des Hauptvertrags oder auf dokumentierte Weisung des Kunden hat alkima sämtliche personenbezogenen Daten, die im Auftrag verarbeitet wurden, nach Wahl des Kunden zurückzugeben oder datenschutzgerecht zu löschen, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
2. Gesetzliche Aufbewahrungspflichten sowie Daten in Sicherungskopien bleiben hiervon unberührt. Solche Daten dürfen ausschließlich zu den gesetzlich zulässigen Zwecken verarbeitet werden und sind nach Ablauf der jeweiligen Aufbewahrungsfristen zu löschen.
3. alkima bestätigt dem Kunden auf Anforderung die Durchführung der Löschung in geeigneter Form.
4. Dokumentationen, die dem Nachweis einer ordnungsgemäßen und gesetzeskonformen Verarbeitung dienen, dürfen von alkima entsprechend der gesetzlichen Aufbewahrungsfristen aufbewahrt werden.
Schlussbestimmungen
1. Diese Vereinbarung ist Bestandteil des jeweiligen Hauptvertrags. Im Übrigen gelten die Bestimmungen des Hauptvertrags einschließlich der Allgemeinen Geschäftsbedingungen von alkima.

Anlage 1 zum Auftrag gemäß Art. 28 DSGVO: Auftragsdetails

Gegenstand der Verarbeitung

alkima verarbeitet personenbezogene Daten ausschließlich im Rahmen der zwischen den Vertragsparteien vereinbarten Leistungen. Art, Umfang und Zweck der Verarbeitung ergeben sich aus dem jeweiligen Hauptvertrag, dem Angebot oder der Leistungsbeschreibung.

Die Verarbeitung erfolgt insbesondere im Rahmen folgender Dienstleistungen:

Webentwicklung und Softwareentwicklung, soweit hierbei personenbezogene Daten im Auftrag verarbeitet werden
Hosting und Webhosting
Managed Hosting
Managed Server
Cloud- und Infrastrukturservices
Serveradministration und Systemwartung
Storage- und Backup-Leistungen
E-Mail-Hosting
E-Mail-Archivierung
E-Mail-Verschlüsselung
E-Mail-Sicherheitslösungen
Managed Microsoft 365
Technische Migrationen und Datenmigrationen
Technischer Support und Wartungsleistungen, soweit hierbei personenbezogene Daten verarbeitet werden
API-Entwicklungen und Systemintegrationen, soweit hierbei personenbezogene Daten verarbeitet werden
Sonstige im Hauptvertrag vereinbarte IT-Dienstleistungen, soweit hierbei personenbezogene Daten im Auftrag verarbeitet werden

alkima verarbeitet personenbezogene Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen und nur im Rahmen der dokumentierten Weisungen des Kunden.

Art der Verarbeitung

Je nach Leistungsumfang umfasst die Verarbeitung insbesondere:

Erheben
Erfassen
Organisieren
Ordnen
Speichern
Anpassen
Verändern
Auslesen
Abfragen
Verwenden
Offenlegen durch Übermittlung
Bereitstellen
Abgleichen
Verknüpfen
Einschränken
Löschen
Vernichten

gemäß Art. 4 Nr. 2 DSGVO.

Kategorien personenbezogener Daten

Je nach Leistungsumfang können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

Stammdaten
Kontaktdaten
Kommunikationsdaten
Vertragsdaten
Rechnungs- und Zahlungsdaten
Benutzerkonten und Benutzerdaten
Authentifizierungsdaten
Protokoll- und Logdaten
IP-Adressen
Inhaltsdaten (z.B. Dateien, Dokumente, Datenbanken, Webseiteninhalte und E-Mails)
Konfigurations- und Systemdaten
Backupdaten
Sonstige personenbezogene Daten, die der Kunde im Rahmen der Leistungserbringung bereitstellt

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sowie personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO sind grundsätzlich nicht Gegenstand der Verarbeitung, sofern deren Verarbeitung nicht ausdrücklich vereinbart wurde.

Kategorien betroffener Personen

Die Verarbeitung kann insbesondere folgende Personengruppen betreffen:

Kunden des Kunden
Interessenten
Besucher von Websites oder Onlineshops
Benutzer der vom Kunden betriebenen Systeme oder Anwendungen
Beschäftigte des Kunden
Ansprechpartner des Kunden
Lieferanten und Geschäftspartner
Bewerber, sofern dies Gegenstand der beauftragten Leistungen ist

Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des jeweiligen Hauptvertrages beziehungsweise solange dies zur Erfüllung der vereinbarten Leistungen erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Anlage 2 zum Auftrag gemäß Art. 28 DSGVO: Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO

Zweckbindung und Trennung

Zur Sicherstellung einer zweckgebundenen Verarbeitung personenbezogener Daten werden insbesondere folgende Maßnahmen umgesetzt:

Rollen- und Berechtigungskonzepte
Mandantenbezogene Trennung von Daten, soweit technisch erforderlich
Trennung von Produktiv-, Test- und Entwicklungsumgebungen, soweit technisch erforderlich
Beschränkung des Datenzugriffs auf den jeweiligen Verarbeitungszweck
Verarbeitung personenbezogener Daten ausschließlich im Rahmen dokumentierter Weisungen

Vertraulichkeit und Integrität

Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen:

Abschließbare Geschäftsräume
Zutritt ausschließlich für berechtigte Personen
Begleitung betriebsfremder Personen
Sichere Rechenzentren der eingesetzten Infrastruktur- und Hostinganbieter

Zugangskontrolle

Maßnahmen zur Verhinderung der unbefugten Nutzung von IT-Systemen:

Personalisierte Benutzerkonten
Sichere Passwortrichtlinien
Mehrfaktor-Authentifizierung (MFA), soweit technisch verfügbar
Automatische Bildschirmsperren
Endpoint-Protection und Malware-Schutz
Regelmäßige Sicherheitsupdates
Beschränkung administrativer Benutzerkonten nach dem Least-Privilege-Prinzip

Zugriffskontrolle

Maßnahmen zur Beschränkung des Datenzugriffs:

Rollenbasierte Berechtigungen
Least-Privilege-Prinzip
Regelmäßige Überprüfung von Benutzerberechtigungen
Sperrung nicht mehr benötigter Benutzerkonten
Protokollierung administrativer Zugriffe
Verschlüsselte Speicherung personenbezogener Daten, soweit technisch möglich

Eingabekontrolle

Nachvollziehbarkeit der Verarbeitung personenbezogener Daten durch:

Protokollierung relevanter Änderungen
Benutzerbezogene Nachvollziehbarkeit
Dokumentation administrativer Tätigkeiten
Versionierung, soweit vom jeweiligen System unterstützt

Auftragskontrolle

Zur Sicherstellung einer weisungsgemäßen Verarbeitung:

Abschluss von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO
Auswahl geeigneter Unterauftragsverarbeiter
Regelmäßige Überprüfung datenschutzrechtlicher Anforderungen
Verpflichtung aller Mitarbeiter auf Vertraulichkeit
Regelmäßige Datenschutzsensibilisierung der Mitarbeiter

Verfügbarkeit und Belastbarkeit

Zur Sicherstellung der Verfügbarkeit personenbezogener Daten werden insbesondere folgende Maßnahmen umgesetzt:

Regelmäßige Datensicherungen entsprechend der vereinbarten Leistungen
Backup- und Wiederherstellungskonzepte
Redundante Cloud- und Serverinfrastrukturen, soweit Bestandteil der beauftragten Leistungen
Monitoring kritischer Systeme
Patch- und Vulnerability-Management
Schutz vor Schadsoftware
Einsatz unterbrechungsfreier Stromversorgung und redundanter Infrastruktur durch eingesetzte Rechenzentrumsbetreiber
Dokumentierte Notfall- und Wiederherstellungsverfahren

Verfahren zur regelmäßigen Überprüfung

Zur kontinuierlichen Verbesserung der Informationssicherheit werden insbesondere durchgeführt:

Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen
Sicherheitsupdates
Regelmäßige Überprüfung von Berechtigungskonzepten
Mitarbeitersensibilisierung und Datenschutzschulungen
Überprüfung eingesetzter Unterauftragsverarbeiter
Dokumentation wesentlicher Sicherheitsmaßnahmen
Incident-Management-Prozesse für Sicherheitsvorfälle
Kontinuierliche Anpassung der technischen und organisatorischen Maßnahmen an den Stand der Technik

Anlage 3 zum Auftrag gemäß Art. 28 DSGVO: Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt zum Zeitpunkt des Vertragsschlusses folgende Unterauftragsverarbeiter ein:

23M GmbH, Johann-Krane-Weg 18, 48149 Münster, Deutschland
aifinyo AG, Friedrichstraße 94, 10117 Berlin, Deutschland
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg
Atlassian Pty Ltd, Level 6, 341 George Street, Sydney NSW 2000, Australien
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA
consentmanager GmbH, Eppendorfer Weg 183, 20253 Hamburg, Deutschland
Dropbox International Unlimited Company, One Park Place, Floor 5, Upper Hatch Street, Dublin 2, Irland
eRecht24 GmbH & Co. KG, Lietzenburger Straße 94, 10719 Berlin, Deutschland
Friendly Captcha GmbH, Am Anger 3-5, 82237 Wörthsee, Deutschland
GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irland
Heinlein Hosting GmbH, Schwedter Straße 8/9A, 10119 Berlin, Deutschland
Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland
Hornetsecurity GmbH, Am Listholze 78, 30177 Hannover, Deutschland
Host Europe GmbH, Hansestraße 111, 51149 Köln, Deutschland
InterNetX GmbH, Johanna-Dachs-Straße 55, 93055 Regensburg, Deutschland
Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
sipgate GmbH, Gladbacher Straße 74, 40219 Düsseldorf, Deutschland
Zoom Communications, Inc., 55 Almaden Boulevard, Suite 600, San Jose, CA 95113, USA

Die vorstehend aufgeführten Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsschlusses eingesetzt. alkima ist berechtigt, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen. Die jeweils aktuelle Liste der eingesetzten Unterauftragsverarbeiter wird auf der Website von alkima veröffentlicht oder dem Kunden in Textform zur Verfügung gestellt. Über Änderungen wird der Kunde vor deren Wirksamwerden informiert. Der Kunde kann einer Änderung innerhalb von 14 Kalendertagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt.

Vereinbarung zur Auftragsdatenverarbeitung „Auftrag gemäß Art. 28 DSGVO“

Vertragsparteien

Gegenstand und Dauer des Auftrags

Umfang, Art und Zweck der Verarbeitung personenbezogener Daten

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Berichtigung, Einschränkung der Verarbeitung und Löschung von Daten

Pflichten von alkima

Unterauftragsverarbeiter

Kontrollrechte des Kunden

Unterstützung bei Datenschutzverletzungen und sonstigen datenschutzrechtlichen Pflichten

Weisungen des Kunden

Löschung und Rückgabe personenbezogener Daten

Schlussbestimmungen