Auftragsverarbeitung

Sie sind der Verantwortliche: Es sind Ihre Kunden-, Mitarbeitenden- oder Besucherdaten, und Sie entscheiden über ihre Verwendung. Wir sind der Auftragsverarbeiter: Wir bauen und betreiben Software, die diese Daten nach Ihrer Weisung verarbeitet, und tun damit sonst nichts.

In diesem Fall verlangt Artikel 27 des kosovarischen Gesetzes Nr. 06/L-082 über den Schutz personenbezogener Daten einen schriftlichen Vertrag zwischen uns; ein elektronischer genügt. Das gilt auch, wenn wir nie einen Datensatz ansehen, denn wer eine Datenbank wartet oder einen Fehler im Produktivsystem behebt, könnte es.

Der Vertrag unterliegt dem Recht der Republik Kosovo. Das kosovarische Datenschutzgesetz folgt der Datenschutz-Grundverordnung der Europäischen Union, wie sein Artikel 1 festhält.

Verlangt Ihr eigenes Recht zusätzliche Klauseln im Vertrag, fügen wir sie auf Anfrage in Ihren Vertrag ein.

Der Vertrag regelt, was Artikel 27 des Gesetzes verlangt:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Arten personenbezogener Daten, in einer Anlage zu Ihrem Projekt aufgeführt.
• Verarbeitung ausschliesslich nach Ihren dokumentierten Weisungen, mit der Pflicht, Sie auf eine aus unserer Sicht rechtswidrige Weisung hinzuweisen.
• Vertraulichkeit für alle Personen, die mit den Daten arbeiten.
• Technische und organisatorische Massnahmen, unten aufgeführt und dem Vertrag als Anlage beigefügt.
• Unterauftragsverarbeiter vorab benannt, mit Vorabinformation und Widerspruchsrecht, bevor ein neuer hinzukommt.
• Unterstützung bei Betroffenenrechten, bei Meldepflichten und bei Ihrer Datenschutz-Folgenabschätzung, wo eine nötig ist.
• Löschung oder Rückgabe der Daten am Ende der Zusammenarbeit, nach Ihrer Wahl.
• Informations- und Auditrechte samt der Nachweise, mit denen Sie die Einhaltung belegen können.

Unsere eigenen Systeme laufen auf europäischer Infrastruktur: Die Serverfunktionen sind auf Frankfurt festgelegt, die Datenbank liegt in eu-central-1. Der Ingenieur, der mit den Daten arbeitet, tut das von Prishtina aus.

Übermittlungen personenbezogener Daten aus dem Kosovo ins Ausland richten sich nach den Artikeln 44 bis 49 des Gesetzes. Die Anlage zu Ihrem Vertrag nennt jeden Anbieter und jeden Ort, an dem Ihre Daten verarbeitet werden.

Die Anlage listet nur, was für diesen Technologiestapel tatsächlich zutrifft. Zertifikate, die wir nicht haben, behaupten wir nicht; deshalb zeigt diese Seite weder ein ISO- noch ein SOC-2-Siegel.

• Verschlüsselter Transport überall: HTTPS an jedem öffentlichen Endpunkt, TLS zur Datenbank und zu jeder Anbieter-Schnittstelle.
• Verschlüsselung im Ruhezustand, wie sie Hosting- und Datenbankanbieter bereitstellen.
• Zugriff beschränkt auf den Ingenieur, der Ihr Projekt umsetzt. Es gibt keinen Support-Pool und keine Offshore-Kette von Subunternehmen.
• Zwei-Faktor-Authentisierung auf den Anbieterkonten, in denen Ihre Umgebungen liegen.
• Rechte nach dem Minimalprinzip: Umgebungsvariablen je Umgebung getrennt, Produktivgeheimnisse nie im Klartext auf einem Laptop, Testdaten synthetisch, wo es geht.
• Sicherungen durch Hosting- und Datenbankanbieter, mit Point-in-Time-Wiederherstellung, wo der Tarif sie enthält.
• Löschung der Arbeitskopien und Entzug unserer Zugänge zum Ende der Zusammenarbeit, schriftlich bestätigt.

Diese Anbieter betreiben unsere eigenen Systeme. Sie stehen in der Anlage, sofern Ihr Projekt nicht vollständig in Ihrer Infrastruktur läuft. Kommt für Ihr Projekt ein Anbieter dazu, benennen wir ihn vor dem Einsatz, nicht nachher.

Eine Verletzung des Schutzes personenbezogener Daten melden wir Ihnen schriftlich innerhalb von 48 Stunden ab Kenntnis; Artikel 33 des Gesetzes verpflichtet den Auftragsverarbeiter, sie dem Verantwortlichen unverzüglich zu melden. Die Meldung enthält den Stand von diesem Moment: was passiert ist, welche Daten und ungefähr wie viele Datensätze betroffen sind, was wir bereits getan haben und was wir Ihnen empfehlen. Wir warten dafür nicht auf ein vollständiges Bild, denn die eigene Frist eines Verantwortlichen für die Meldung an die Behörde beträgt 72 Stunden, und sie beginnt, bevor unsere Aufarbeitung abgeschlossen wäre.

Ob die Behörde und die betroffenen Personen informiert werden, entscheiden Sie. Wir liefern die technischen Angaben für die Meldung und bleiben währenddessen erreichbar.

Sie können jederzeit die Informationen verlangen, mit denen Sie die Einhaltung belegen können, und uns prüfen oder prüfen lassen. In der Praxis genügen den meisten ein schriftlicher Fragebogen und ein Gespräch, in dem wir das System gemeinsam durchgehen; beides berechnen wir nicht. Eine Prüfung vor Ort vereinbaren wir mit angemessener Vorlaufzeit.

Am Ende der Zusammenarbeit haben Sie die Wahl: Wir löschen die personenbezogenen Daten samt aller Arbeitskopien, oder wir geben sie zuerst in einem nutzbaren Export zurück und löschen dann. In beiden Fällen erhalten Sie eine schriftliche Bestätigung, und unsere Zugänge zu Ihren Systemen werden in derselben Woche entzogen.

Ein unterzeichnetes Exemplar erhalten Sie auf Anfrage. Vertrag, Anlagen und Liste der Unterauftragsverarbeiter senden wir vor dem ersten Briefing, damit Ihre Prüfung parallel zum Projekt läuft und es nicht am Schluss aufhält.

Nennen Sie uns, wer bei Ihnen unterzeichnet und welche Gesellschaft Verantwortlicher ist, und die Unterlagen kommen in derselben Woche zurück.

Vertrag und Anlagen erhalten Sie auf Englisch, als albanischstämmiges Unternehmen auf Wunsch auf Albanisch; in derselben Sprache führen wir auch die Gespräche dazu.

Unterlagen anfordern→