Auftragsverarbeitung

Sie sind der Verantwortliche: Es sind Ihre Kunden-, Mitarbeitenden- oder Besucherdaten, und Sie entscheiden über ihre Verwendung. Wir sind der Auftragsverarbeiter: Wir bauen und betreiben Software, die diese Daten nach Ihrer Weisung verarbeitet, und tun damit sonst nichts.

Sobald das zutrifft, verlangt Art. 28 DSGVO einen schriftlichen Vertrag zwischen uns. Das gilt auch, wenn wir nie einen Datensatz ansehen, denn wer eine Datenbank wartet oder einen Fehler im Produktivsystem behebt, könnte es. Das Gegenteil zu behaupten ist der häufigste Fehler in diesem Markt.

Ein gewöhnlicher AVV nach Art. 28 DSGVO, ohne Überraschungen:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Arten personenbezogener Daten, in einer Anlage zu Ihrem Projekt aufgeführt.
• Verarbeitung ausschliesslich nach Ihren dokumentierten Weisungen, mit der Pflicht, Sie auf eine aus unserer Sicht rechtswidrige Weisung hinzuweisen.
• Vertraulichkeit für alle Personen, die mit den Daten arbeiten.
• Technische und organisatorische Massnahmen, unten aufgeführt und dem Vertrag als Anlage beigefügt.
• Unterauftragsverarbeiter vorab benannt, mit Vorabinformation und Widerspruchsrecht, bevor ein neuer hinzukommt.
• Unterstützung bei Betroffenenrechten, bei Meldepflichten und bei Ihrer Datenschutz-Folgenabschätzung, wo eine nötig ist.
• Löschung oder Rückgabe der Daten am Ende der Zusammenarbeit, nach Ihrer Wahl.
• Informations- und Auditrechte samt der Nachweise, die Sie für Ihre Rechenschaftspflicht brauchen.

Pluton Studio sitzt im Kosovo, und für den Kosovo besteht kein Angemessenheitsbeschluss der EU-Kommission. Wir schreiben das offen hin, statt es zu verstecken, denn genau deswegen gibt es die Papiere.

Wir unterzeichnen deshalb die EU-Standardvertragsklauseln 2021/914, Modul Zwei (Verantwortlicher an Auftragsverarbeiter), zusammen mit dem vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Schweizer Anhang, wo schweizerisches Recht gilt. Dazu kommt eine kurze Übermittlungs-Folgenabschätzung: welche Daten betroffen sind, wer sie von wo erreichen kann und was sie schützt.

Der Europäische Datenschutzausschuss wertet den Fernzugriff aus einem Drittland als Übermittlung, auch wenn die Daten den EU-Server nie verlassen. Genau das ist unsere Lage: Die Datenbank steht in Frankfurt, der Ingenieur sitzt in Prishtina. Die Klauseln decken das ab.

Die Anlage listet, was für diesen Technologiestapel tatsächlich zutrifft. Zertifikate, die wir nicht haben, behaupten wir nicht; deshalb steht hier weder ein ISO- noch ein SOC-2-Siegel.

• Verschlüsselter Transport überall: HTTPS an jedem öffentlichen Endpunkt, TLS zur Datenbank und zu jeder Anbieter-Schnittstelle.
• Verschlüsselung im Ruhezustand, wie sie Hosting- und Datenbankanbieter bereitstellen.
• Zugriff beschränkt auf den Ingenieur, der Ihr Projekt umsetzt. Es gibt keinen Support-Pool und keine Kette von Subunternehmen.
• Zwei-Faktor-Authentisierung auf den Anbieterkonten, in denen Ihre Umgebungen liegen.
• Rechte nach dem Minimalprinzip: Umgebungsvariablen je Umgebung getrennt, Produktivgeheimnisse nie im Klartext auf einem Laptop, Testdaten synthetisch, wo es geht.
• Zugriffskontrolle im Repository, das Ihnen gehört und aus dem Sie unseren Zugang jederzeit entfernen können.
• Sicherungen durch Hosting- und Datenbankanbieter, mit Point-in-Time-Wiederherstellung, wo der Tarif sie enthält.
• Löschung der Arbeitskopien und Entzug unserer Zugänge zum Ende der Zusammenarbeit, schriftlich bestätigt.

Das sind die Anbieter hinter unseren eigenen Systemen und die, die in der Anlage stehen, sofern Ihr Projekt nicht vollständig in Ihrer Infrastruktur läuft. Kommt für Ihr Projekt einer dazu, benennen wir ihn vorher, nicht nachher.

Eine Verletzung des Schutzes personenbezogener Daten melden wir Ihnen innerhalb von 48 Stunden ab Kenntnis, schriftlich, mit dem Stand von diesem Moment: was passiert ist, welche Daten und ungefähr wie viele Datensätze betroffen sind, was wir bereits getan haben und was wir Ihnen empfehlen. Wir warten dafür nicht auf ein vollständiges Bild, denn Ihre 72-Stunden-Frist nach Art. 33 DSGVO läuft früher ab als unsere Aufarbeitung.

Ob Aufsichtsbehörde und betroffene Personen informiert werden, entscheiden Sie. Wir liefern die technischen Angaben für die Meldung und bleiben währenddessen erreichbar.

Sie können jederzeit die Nachweise verlangen, die Sie für Ihre Rechenschaftspflicht brauchen, und uns prüfen oder prüfen lassen. In der Praxis genügt den meisten ein schriftlicher Fragebogen und ein Gespräch, das wir nicht berechnen; eine Prüfung vor Ort vereinbaren wir mit angemessener Vorlaufzeit.

Am Ende der Zusammenarbeit haben Sie die Wahl: Wir löschen die personenbezogenen Daten samt aller Arbeitskopien, oder wir geben sie zuerst in einem nutzbaren Export zurück und löschen dann. In beiden Fällen erhalten Sie eine schriftliche Bestätigung, und unsere Zugänge zu Ihren Systemen werden in derselben Woche entzogen.

Ein unterzeichnetes Exemplar auf Anfrage. Vertrag, Anlagen und Liste der Unterauftragsverarbeiter senden wir vor dem ersten Briefing, damit Ihre Rechtsprüfung parallel zum Projekt läuft und es nicht am Schluss aufhält.

Nennen Sie uns, wer bei Ihnen unterzeichnet und welche Gesellschaft Verantwortlicher ist, und die Unterlagen kommen in derselben Woche zurück.