Auftragsverarbeitungsvertrag für CertMap für Organisationen

1. Vertragsparteien

Auftraggeber ist das Unternehmen oder die Einrichtung, für die eine Organisation in CertMap angelegt wird. Die Person, die die Organisation anlegt, bestätigt dabei, dass sie für den Auftraggeber handeln darf und dass die Nutzung geschäftlich erfolgt. Name und Land der Organisation sowie die beim Anlegen angegebene Kontaktadresse werden mit der Annahme dieses Vertrags gespeichert.

Auftragnehmer ist die Threat-Informed Cybersecurity Solutions GmbH, Ober-Saulheimer Str. 15, 55291 Saulheim, Deutschland (Amtsgericht Mainz, HRB 53346), vertreten durch den Geschäftsführer Daniel Thomas Heessel, E-Mail kontakt@certmap.de, als Betreiberin von CertMap.

2. Gegenstand und Dauer

2.1 Gegenstand ist die Verarbeitung personenbezogener Daten des Auftraggebers bei der Bereitstellung und Nutzung von „CertMap für Organisationen“ als Software-as-a-Service. Die Verarbeitungstätigkeiten sind in Anlage 1 aufgeführt.

2.2 Der Vertrag wird mit dem Anlegen der Organisation geschlossen und gilt, solange die Organisation in CertMap besteht. Er endet mit der Löschung der Organisation.

2.3 Jede neu angelegte Organisation beginnt mit einer Testphase von 14 Tagen mit vollem Funktionsumfang für bis zu 15 Personen. Danach steht die Organisation 30 Tage im Lesezugriff: alle Daten bleiben einsehbar, eine vollständige Datenkopie kann jederzeit heruntergeladen werden, Änderungen und Berichte sind nicht mehr möglich. Wird in dieser Zeit kein Tarif gewählt, werden die Daten der Organisation nach Ablauf des Lesezugriffs vollständig gelöscht (Ziffer 11). Der Wechsel in einen Tarif beendet Testphase oder Lesezugriff sofort.

2.4 Für Organisationen in einem Tarif gilt der Vertrag bis zum Wirksamwerden der Kündigung des Tarifs. Danach steht die Organisation 90 Tage im Lesezugriff; die Löschung erfolgt anschließend nach Ziffer 11.

3. Art und Zweck der Verarbeitung

3.1 Zweck ist die Bereitstellung der Funktionen von CertMap für Organisationen, insbesondere:

• Verwaltung von Mitarbeitenden als verknüpfte Konten oder als vom Arbeitgeber erfasste Einträge ohne eigenes Konto
• Definition von Rollen mit geforderten Zertifizierungen und Soll-Ist-Abgleich
• Erfassung und Anzeige von Zertifizierungen, Gültigkeiten und Nachweisen
• Kosten- und Fortbildungsübersichten
• Nachweise für Normen und Rollen als Berichte und Exporte
• CSV-Import von Mitarbeitendendaten
• Einladung von Mitarbeitenden zur Verknüpfung ihres persönlichen CertMap-Kontos

3.2 Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Abgleichen, Verknüpfen, Einschränken, Löschen.

4. Art der personenbezogenen Daten

Je nach Konfiguration durch den Auftraggeber:

• Identifikationsdaten der Mitarbeitenden (Name, gegebenenfalls E-Mail-Adresse)
• Rollen- und Funktionszuweisungen
• Zertifizierungsdaten (Zertifizierung, Gültigkeiten, Nachweisnummern, Notizen)
• Fortbildungs- und Kostendaten, soweit erfasst
• Identifikatoren der Administratorinnen und Administratoren (Konto, E-Mail, Zeitstempel von Aktionen)
• Protokolleinträge zu administrativen Aktionen (Audit-Log)

5. Kategorien betroffener Personen

• Mitarbeitende des Auftraggebers (mit verknüpftem Konto oder als erfasster Eintrag)
• Administratorinnen und Administratoren des Auftraggebers

6. Rechte und Pflichten des Auftraggebers

6.1 Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die in Anlage 1 aufgeführten Verarbeitungen.

6.2 Der Auftraggeber stellt sicher, dass für die Verarbeitung der Daten seiner Mitarbeitenden eine Rechtsgrundlage besteht, und bestätigt dies beim Anlegen der Organisation.

6.3 Der Auftraggeber erteilt seine Weisungen über die Konfigurationsmöglichkeiten der Anwendung. Schriftliche Sonderweisungen sind möglich; der Auftragnehmer bestätigt sie in Textform.

6.4 Der Auftraggeber informiert seine Mitarbeitenden über die Verarbeitung nach Art. 13 und 14 DSGVO.

7. Pflichten des Auftragnehmers

7.1 Der Auftragnehmer verarbeitet die Daten nur im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Auftraggebers.

7.2 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er eine Weisung für datenschutzrechtlich unzulässig hält.

7.3 Der Auftragnehmer ist zur Vertraulichkeit verpflichtet und verpflichtet alle mit der Verarbeitung befassten Personen entsprechend. Derzeit ist das ausschließlich der Geschäftsführer; weitere Beschäftigte gibt es nicht.

7.4 Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 2.

7.5 Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 15 bis 22 DSGVO):

• Auskunft: Die gespeicherten Daten der Organisation können jederzeit als vollständige, maschinenlesbare Datenkopie heruntergeladen werden.
• Berichtigung: direkt in der Anwendung durch den Auftraggeber.
• Löschung: Löschung einzelner Einträge durch den Auftraggeber; Löschung der gesamten Organisation nach Ziffer 11.
• Einschränkung und Widerspruch: Der Auftragnehmer setzt entsprechende Weisungen des Auftraggebers um.

7.6 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Art. 32 bis 36 DSGVO.

7.7 Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die für den Nachweis der Pflichten nach Art. 28 Abs. 3 DSGVO erforderlich sind.

8. Technische und organisatorische Maßnahmen

Es gelten die Maßnahmen nach Anlage 2. Der Auftragnehmer passt das Schutzniveau dem Stand der Technik an und informiert den Auftraggeber über wesentliche Änderungen.

9. Unterauftragsverhältnisse

9.1 Der Auftraggeber genehmigt die in Anlage 3 aufgeführten Unterauftragsverarbeiter.

9.2 Bei Wechsel oder Hinzunahme eines Unterauftragsverarbeiters informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage vorher in Textform. Der Auftraggeber kann innerhalb von 14 Tagen widersprechen; bei berechtigtem Widerspruch kann er den Vertrag außerordentlich kündigen.

9.3 Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein vergleichbares Schutzniveau.

10. Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten

10.1 Der Auftragnehmer meldet eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich in Textform an die Administratorinnen und Administratoren des Auftraggebers.

10.2 Die Meldung enthält Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Kontaktstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen.

10.3 Die Meldepflicht des Auftraggebers gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO bleibt unberührt.

11. Löschung und Rückgabe

11.1 Der Auftraggeber kann die Daten seiner Organisation jederzeit, auch im Lesezugriff, als vollständige, maschinenlesbare Datenkopie herunterladen. Damit erfüllt der Auftragnehmer die Rückgabe der Daten nach Art. 28 Abs. 3 lit. g DSGVO.

11.2 Organisationen, die nie einen Tarif gewählt haben, werden nach Ablauf von 44 Tagen ab dem Anlegen (Ende des Lesezugriffs) unverzüglich und vollständig gelöscht: Mitglieder, Rollen, Projekte, Nachweise, Berichte und das Audit-Log der Organisation. Sieben Tage vor der Löschung werden die Administratorinnen und Administratoren per E-Mail informiert; die Löschung erfolgt zum genannten Zeitpunkt unabhängig davon, ob diese E-Mail zugestellt werden konnte. Die Löschung ist endgültig. Eine Wiederherstellung gelöschter Daten ist ausgeschlossen; der Auftraggeber sichert die Daten, die er behalten will, vorher selbst über die Datenkopie nach Ziffer 11.1. Die persönlichen CertMap-Konten der Mitarbeitenden bleiben von der Löschung unberührt; sie gehören den Mitarbeitenden, nicht der Organisation.

11.3 Organisationen in einem Tarif werden nach Ablauf von 90 Tagen ab dem Wirksamwerden der Kündigung (Ende des Lesezugriffs) unverzüglich und vollständig gelöscht; Ziffer 11.2 Sätze 2 bis 4 gelten entsprechend. Soweit gesetzliche Aufbewahrungspflichten bestehen, werden die betroffenen Einträge nur so lange und nur in dem Umfang aufbewahrt, wie das Gesetz es verlangt.

11.4 Sicherungskopien werden mit der regulären Sicherungsrotation des Auftragnehmers überschrieben und nicht gesondert aufbewahrt.

11.5 Über die Löschung wird ein Nachweis geführt, der keine personenbezogenen Daten mehr enthält (Zeitpunkt, Zahl der erfassten Personen, Auslöser der Löschung). Der Auftragnehmer legt ihn dem Auftraggeber auf Anforderung vor.

12. Schlussbestimmungen

12.1 Es gilt deutsches Recht.

12.2 Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

12.3 Änderungen dieses Vertrags werden in einer neuen Version veröffentlicht. Die vom Auftraggeber akzeptierte Version wird je Organisation gespeichert und in den Einstellungen angezeigt. Bei Konflikten zwischen den Nutzungsbedingungen und diesem Vertrag gilt für die Verarbeitung personenbezogener Daten dieser Vertrag.