Auftragsverarbeitungsvertrag (sygnadesk)

Dieser Auftragsverarbeitungsvertrag (nachfolgend: AVV) ist integraler Bestandteil des Vertrags über die Nutzung des Dienstes sygnadesk, der auf Grundlage der Nutzungsbedingungen des Dienstes sygnadesk geschlossen wurde (nachfolgend: Hauptvertrag), und wird geschlossen zwischen dem Kunden als Verantwortlichem (nachfolgend: Verantwortlicher) und Jeton Cloud spółka z ograniczoną odpowiedzialnością spółka komandytowa, ul. Domaniewska 37/2.43, 02-672 Warschau, Polen, KRS 0000850403, NIP 5213901362, REGON 386529721, als Auftragsverarbeiter (nachfolgend: Auftragsverarbeiter). Die Annahme der Nutzungsbedingungen umfasst den Abschluss dieses AVV.

1. Gegenstand, Art und Zweck der Verarbeitung

1.1. Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten in dem Umfang, der für die Erbringung des Dienstes sygnadesk erforderlich ist, das heißt für die Bereitstellung und den Betrieb einer Plattform zur Entgegennahme und Bearbeitung von Meldungen über Rechtsverstöße und sonstige Missstände, einschließlich Sicherungskopien und technischer Unterstützung.

1.2. Die Verarbeitung erfolgt fortlaufend und in elektronischer Form, für die Dauer des Hauptvertrags sowie für den in Ziffer 7 beschriebenen Zeitraum der Datenlöschung nach dessen Beendigung.

1.3. Kategorien betroffener Personen: hinweisgebende Personen (soweit sie ihre Identität offenlegen), Personen, auf die sich Meldungen beziehen, in Meldungen genannte Personen sowie Nutzer des Verantwortlichen hinsichtlich der Daten, die im Zusammenhang mit der Bearbeitung von Meldungen gespeichert werden.

1.4. Arten der Daten: Identifikations- und Kontaktdaten, Beschäftigungsdaten, Inhalt der Meldungen und der Korrespondenz mit der hinweisgebenden Person sowie Anhänge, die besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO und Daten über Rechtsverstöße im Sinne von Art. 10 DSGVO enthalten können, sofern die hinweisgebende Person oder der Verantwortliche sie einstellt.

1.5. Die Daten der Kunden- und Nutzerkonten (Registrierung, Abrechnung, Anmeldung) verarbeitet Jeton Cloud als eigenständiger Verantwortlicher; sie sind nicht Gegenstand dieses AVV. Die Grundsätze ihrer Verarbeitung beschreibt die Datenschutzerklärung.

2. Weisungen des Verantwortlichen und Grenzen der Verarbeitung

2.1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisung gelten der Hauptvertrag, die vom Verantwortlichen im Panel vorgenommene Konfiguration des Dienstes sowie die von ihm an den technischen Support gerichteten Anfragen.

2.2. Der Auftragsverarbeiter verwendet die anvertrauten Daten nicht für eigene Zwecke, auch nicht für Analyse- oder Marketingzwecke, und erstellt keine Profile der betroffenen Personen.

2.3. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich darüber.

3. Zugriff auf Meldungsinhalte, zwei Modi des Dienstes

3.1. Standardmodus. Die Meldungsinhalte werden mit von der Plattform verwalteten Schlüsseln verschlüsselt. Der Zugriff des Personals des Auftragsverarbeiters auf Meldungsinhalte ist organisatorisch und technisch beschränkt und darf ausschließlich erfolgen: auf ausdrückliches Verlangen des Verantwortlichen im Zusammenhang mit der Bearbeitung einer Supportanfrage oder wenn zwingende Rechtsvorschriften dies verlangen. Jeder solche Zugriff wird protokolliert und der Verantwortliche wird darüber informiert, sofern Rechtsvorschriften dies nicht verbieten.

3.2. Modus der Ende-zu-Ende-Verschlüsselung. Nach Aktivierung dieses Modus durch den Verantwortlichen sind Meldungsinhalte, Anhänge und Korrespondenz mit Schlüsseln verschlüsselt, die ausschließlich auf Seiten des Verantwortlichen verbleiben. Der Auftragsverarbeiter besitzt keinen Schlüssel und keinen Wiederherstellungsmechanismus und hat keine technische Möglichkeit, auf diese Inhalte zuzugreifen, unabhängig von der Grundlage eines Verlangens. In diesem Modus beschränken sich die Handlungen des Auftragsverarbeiters in Bezug auf die Inhalte auf die Speicherung und Übertragung der Daten in verschlüsselter Form.

3.3. Unabhängig vom Modus hat der Auftragsverarbeiter Zugriff auf die für den Betrieb des Dienstes erforderlichen technischen Daten und Metadaten (z. B. Vorgangskennungen, Status, Zeitstempel, Abrechnungsdaten), die keine Meldungsinhalte umfassen.

4. Sicherheit und Vertraulichkeit

4.1. Der Auftragsverarbeiter setzt dem Risiko angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um, darunter: Verschlüsselung der Daten bei der Übertragung und im Ruhezustand, Zugriffskontrolle und Zugriffsprotokollierung, Trennung der Umgebungen, regelmäßige verschlüsselte Sicherungskopien, die bei einem unabhängigen Anbieter im Europäischen Wirtschaftsraum in einer gegen vorzeitige Löschung geschützten Form aufbewahrt werden, automatische Prüfung von Anhängen auf Schadsoftware sowie Verfahren zum Umgang mit Sicherheitsvorfällen.

4.2. Zur Verarbeitung werden ausschließlich befugte Personen zugelassen, die vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Zusammenarbeit dieser Personen mit dem Auftragsverarbeiter fort.

5. Unterauftragsverarbeitung

5.1. Der Verantwortliche erteilt eine allgemeine Genehmigung für die Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) durch den Auftragsverarbeiter. Die aktuelle Liste der Unterauftragsverarbeiter ist unter https://sygnadesk.com/legal/subprocessors verfügbar und ist Bestandteil dieses AVV.

5.2. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 14 Tage im Voraus, indem er die Liste aktualisiert und eine Benachrichtigung per E-Mail versendet. Der Verantwortliche kann innerhalb dieser Frist einen begründeten Einspruch erheben; kommt keine Einigung zustande, kann jede Partei den Hauptvertrag nach den in den Nutzungsbedingungen für nachteilige Änderungen vorgesehenen Regeln kündigen.

5.3. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern Datenschutzpflichten auf, die nicht geringer sind als die aus diesem AVV folgenden, und haftet für deren Handlungen wie für eigene.

5.4. Die Daten werden im Europäischen Wirtschaftsraum verarbeitet. Ist die Leistung eines Unterauftragsverarbeiters mit einer Übermittlung außerhalb des EWR verbunden, erfolgt die Übermittlung auf Grundlage eines gültigen Mechanismus nach Kapitel V DSGVO (insbesondere Standardvertragsklauseln), was in der Liste der Unterauftragsverarbeiter vermerkt ist.

6. Unterstützung des Verantwortlichen und Verletzungen

6.1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung der Rechte der betroffenen Personen sowie der Pflichten nach Art. 32 bis 36 DSGVO, soweit dies mit den Funktionen der Plattform und den vorhandenen Informationen möglich ist. Im Modus der Ende-zu-Ende-Verschlüsselung beschränken sich die Unterstützungsmöglichkeiten auf die Daten, auf die der Auftragsverarbeiter Zugriff hat.

6.2. Über eine festgestellte Verletzung des Schutzes der anvertrauten personenbezogenen Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens innerhalb von 36 Stunden nach Feststellung der Verletzung, und übermittelt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, sobald sie ermittelt sind.

6.3. Die Meldung von Verletzungen an die Aufsichtsbehörde sowie die Benachrichtigung der betroffenen Personen bleiben Pflicht des Verantwortlichen.

7. Beendigung der Verarbeitung

7.1. Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die Daten je nach Wahl des Verantwortlichen, die spätestens innerhalb von 30 Tagen nach der Beendigung mitzuteilen ist, in einem gängigen Format zurück oder löscht sie. Ohne Weisung werden die Daten nach Ablauf dieser Frist gelöscht.

7.2. Die Löschung umfasst auch die Sicherungskopien, die gemäß dem Aufbewahrungszyklus der Kopien ablaufen, spätestens 40 Tage nach der Löschung der Daten aus dem Produktivsystem. Bis zu ihrem Ablauf bleiben die Kopien verschlüsselt und werden nicht zur Verarbeitung verwendet.

7.3. Der Auftragsverarbeiter kann Daten in dem Umfang und für die Dauer aufbewahren, die zwingende Rechtsvorschriften verlangen.

8. Audit

8.1. Der Verantwortliche kann die Informationen verlangen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Der Auftragsverarbeiter stellt vorrangig die Dokumentation der Sicherheitsmaßnahmen, Verfahrensbeschreibungen sowie vorhandene Berichte und Bescheinigungen zur Verfügung.

8.2. Ein Audit vor Ort oder durch einen beauftragten Prüfer (der kein Wettbewerber des Auftragsverarbeiters ist) ist nach Terminabstimmung mit einer Vorlaufzeit von mindestens 14 Tagen, während der Geschäftszeiten und nicht häufiger als einmal jährlich möglich, es sei denn, das Audit ist Folge einer Verletzung. Die Kosten des Audits trägt der Verantwortliche. Das Audit darf die Vertraulichkeit der Daten anderer Kunden des Auftragsverarbeiters nicht verletzen.

9. Haftung und Schlussbestimmungen

9.1. Die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen aus diesem AVV unterliegt den in den Nutzungsbedingungen vorgesehenen Beschränkungen, soweit zwingende Rechtsvorschriften dies zulassen; diese Beschränkungen berühren nicht die unmittelbar aus der DSGVO folgende Haftung gegenüber den betroffenen Personen.

9.2. Dieser AVV gilt für die Dauer des Hauptvertrags sowie für den in Ziffer 7 beschriebenen Zeitraum. Für nicht geregelte Angelegenheiten gelten die Nutzungsbedingungen, die DSGVO und polnisches Recht.

Warschau, 31. August 2026