Vertrag zur Auftragsverarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten durch die Inko4you GmbH (Auftragsverarbeiter) im Auftrag des Leistungserbringers (Verantwortlicher) im Rahmen der Plattform- und Operations-Leistungen. Die Laufzeit entspricht der Laufzeit des Hauptvertrags.

Speicherung, Organisation, Abfrage und Bearbeitung von Endkundendaten zur Steuerung von Kundenaktivierung, Kommunikation, Bestellungen, Service, Zahlungsstatus, Recovery-/Klärungsprozessen, Dokumenten und Reporting.

Stamm- und Kontaktdaten, Vertrags- und Aktivierungsdaten, Kommunikationsdaten, Zahlungsstatus und -referenzen, Bestell- und Falldaten, Dokumente; ggf. besondere Kategorien nach Art. 9 DSGVO, soweit für den beauftragten Prozess erforderlich und zulässig.

Endkunden und Interessenten des Leistungserbringers, deren Ansprechpartner sowie Benutzer des Leistungserbringers im Portal.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich und erteilt Weisungen.

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

Unter anderem serverseitige Mandantentrennung, rollenbasierte Berechtigungen, verpflichtende Zwei-Faktor-Anmeldung für kritische Rollen, verschlüsselte Übertragung, Audit-Protokollierung, nicht öffentliche Dokumentenablage. TODO: Vollständige TOM-Anlage erstellen und freigeben

Der Verantwortliche stimmt dem Einsatz der unten aufgeführten Unterauftragsverarbeiter zu. Änderungen werden vorab mitgeteilt; der Verantwortliche kann widersprechen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Löschungen erfolgen erst nach Prüfung und Weisung.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten.

Der Auftragsverarbeiter stellt die erforderlichen Informationen für Datenschutz-Folgenabschätzungen bereit.

Nach Vertragsende werden Daten nach Wahl des Verantwortlichen zurückgegeben (Export) oder gelöscht bzw. anonymisiert, soweit keine gesetzliche Aufbewahrungspflicht besteht. Leistungserbringer durchlaufen hierzu einen kontrollierten Offboarding-Prozess.

Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen.

Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung seiner Auffassung nach gegen Datenschutzvorschriften verstößt.