Auftragsverarbeitungsvereinbarung

Anwendung und Parteien

Diese Auftragsverarbeitungsvereinbarung (AVV) gilt, wenn sie ausdrücklich in eine schriftliche oder elektronische Dienstleistungsvereinbarung einbezogen wird. Sie bindet den in dieser Vereinbarung bezeichneten Kunden (Kunde) und Enigma Labs OÜ, Registrierungsnummer 17166408, mit Anschrift Juhkentali tn 8, Kesklinna linnaosa, Tallinn, Harju maakond, 10132, Estland (Enigma). Das Aufrufen dieser Seite oder das Stellen einer Anfrage führt nicht zum Abschluss dieser AVV.

Diese AVV regelt personenbezogene Daten, die Enigma im Auftrag des Kunden zur Erbringung der vereinbarten Leistungen verarbeitet (Kundendaten). Der Kunde ist der Verantwortliche oder ein Auftragsverarbeiter, der von seinem Verantwortlichen zur Beauftragung von Enigma als Unterauftragsverarbeiter befugt ist. Im letzteren Fall beziehen sich Verweise auf Weisungen und Entscheidungen des Kunden auf solche, die er im Namen des Verantwortlichen erteilen oder treffen darf. Die tatsächlichen Tätigkeiten jeder Partei bestimmen ihre rechtliche Rolle.

Die Dienstleistungsvereinbarung, der vereinbarte Leistungsumfang und die dokumentierten Verarbeitungsweisungen bilden die Auftragsdokumentation und werden in diese AVV einbezogen. Sie legen den Kunden und seinen Ansprechpartner, die Leistungen, die freigegebenen Systeme und die Einzelheiten der Verarbeitung fest. Die Parteien müssen unzureichend bestimmte Verarbeitungsdetails vor Beginn der betreffenden Verarbeitung klären. Enigmas eigenverantwortliche Verarbeitung geschäftlicher Kontakte, Abrechnungen und Anfragen wird in den Datenschutzhinweisen beschrieben.

Beschreibung der Verarbeitung

Gegenstand ist der Umgang mit Kundendaten, der für die in der Auftragsdokumentation festgelegten Technologie-, Sicherheits- oder Supportleistungen erforderlich ist. Die Verarbeitung dauert für den vereinbarten Leistungszeitraum und einen etwaigen begrenzten Zeitraum, der für eine rechtmäßige Rückgabe, Löschung oder zwingende Aufbewahrung nach dieser AVV erforderlich ist.

Die Verarbeitung kann den Empfang, den Zugriff auf Kundendaten sowie deren Ordnung, Speicherung, Prüfung, Analyse, Berichtigung, Übermittlung, Abruf und Löschung umfassen, ausschließlich soweit dies für die vereinbarten Arbeiten und den Support erforderlich ist. Die Häufigkeit richtet sich nach dem Auftrag: einmalig bei einer abgegrenzten Aufgabe oder fortlaufend bei einer dauerhaften Leistung.

Der zulässige Personenkreis umfasst Mitarbeitende, Auftragnehmer, geschäftliche Kontakte, Kunden und Nutzer des Kunden, deren Informationen für die vereinbarten Arbeiten relevant sind. Gewöhnliche Daten können Namen, berufliche Kontaktdaten, Funktionen, Kontokennungen, Korrespondenz, Leistungsunterlagen, Geräte- und Netzwerkkennungen, Sicherheitsprotokolle und relevante Inhalte in freigegebenen Kundensystemen umfassen. Die Auftragsdokumentation beschränkt diese Kategorien auf die für die tatsächliche Leistung erforderlichen Daten; diese Beschreibung erlaubt keinen Zugriff auf unbeteiligte Systeme oder Unterlagen.

Besondere Kategorien personenbezogener Daten oder sensible Daten, Informationen über Straftaten, Daten von Kindern, Gesundheitsunterlagen, Zahlungskartendaten und andere besonders geregelte Informationen bedürfen einer ausdrücklichen schriftlichen Vereinbarung über ihre Kategorien, Zwecke, rechtmäßige Handhabung und zusätzliche Schutzmaßnahmen, bevor sie bereitgestellt werden oder auf sie zugegriffen wird. Ist ein branchenspezifisches Instrument erforderlich, etwa ein HIPAA Business Associate Agreement, muss dieses ebenfalls vorher abgeschlossen werden. Diese AVV allein begründet keine Berechtigung zur Verarbeitung jedes gesetzlich besonders geregelten Datenbestands.

Weisungen und zulässige Verwendung

Der Kunde bestimmt die rechtmäßigen Zwecke, betroffenen Personen, Datenkategorien und den Umfang der Verarbeitung, erteilt dokumentierte Weisungen und stellt die Hinweise, Einwilligungen oder sonstigen Erlaubnisse sowie Genehmigungen des Verantwortlichen bereit, für die er zuständig ist. Er muss den Zugriff und die Offenlegung auf die für die Leistungen erforderlichen Informationen beschränken und Enigma über geltende besondere Einschränkungen informieren.

Enigma verarbeitet Kundendaten nur auf dokumentierte Weisung, einschließlich Weisungen zur Offenlegung und internationalen Verarbeitung. Gesetzlich vorgeschriebene Abweichungen sind auf das beschränkt, was das anwendbare Datenschutzrecht zulässt: bei einer Verarbeitung nach der DSGVO eine Verpflichtung nach dem Recht der Union oder eines Mitgliedstaats, bei einer Verarbeitung nach der britischen DSGVO eine Verpflichtung nach britischem Recht. Enigma informiert den Kunden vor dieser Verarbeitung, sofern das anwendbare Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Enigma teilt dem Kunden unverzüglich mit, wenn eine Weisung rechtswidrig erscheint, setzt die betreffende Tätigkeit bis zur Klärung aus und führt keine wissentlich rechtswidrige Weisung aus.

Enigma verkauft oder teilt keine Kundendaten (im Sinne der Begriffe „sell“ und „share“ nach dem CCPA), verwendet sie nicht für eigene Werbung oder zielgerichtete Werbung und nutzt sie nicht zum Training oder zur Feinabstimmung von KI-Modellen mit allgemeinem Verwendungszweck. Eine KI-gestützte Verarbeitung von Kundendaten erfordert Weisungen, die diese Nutzung abdecken, und die Genehmigung etwaiger beteiligter Unterauftragsverarbeiter. Enigma bewahrt Kundendaten nicht außerhalb der festgelegten Leistungszwecke oder der unmittelbaren Geschäftsbeziehung auf, verwendet sie nicht außerhalb dieses Rahmens und legt sie nicht außerhalb dieses Rahmens offen. Enigma führt sie auch nicht mit Informationen anderer Kunden oder aus eigenen Quellen zusammen, es sei denn, das anwendbare Recht erlaubt diese Verarbeitung innerhalb seiner Rolle als Auftragsverarbeiter oder Dienstleister. Enigma gewährleistet das nach anwendbarem Recht erforderliche Schutzniveau und bestätigt, diese Einschränkungen zu verstehen und einzuhalten.

Vertraulichkeit und Sicherheit

Enigma stellt sicher, dass zugriffsberechtigtes Personal zur Vertraulichkeit verpflichtet ist oder einer gleichwertigen gesetzlichen Pflicht unterliegt, angemessene Datenschutz- und Sicherheitsunterweisung erhält und Kundendaten nur im Rahmen seiner Befugnisse verarbeitet. Der Zugriff wird auf die betriebliche Erforderlichkeit beschränkt, überprüft und entzogen, sobald er nicht mehr benötigt wird. Für den Zugriff auf personenbezogene Kundendaten ist Mehrfaktorauthentifizierung vorgeschrieben.

Enigma setzt Maßnahmen um und erhält sie aufrecht, die der Art, dem Zusammenhang, den Zwecken und den Risiken der Verarbeitung angemessen sind, darunter:

• kontrollierter Benutzer- und Administratorzugriff, geringstmögliche Berechtigungen und Trennung zwischen Kundenumgebungen oder Kundendatensätzen;
• geschützte Übertragung, angemessene Verschlüsselung oder Pseudonymisierung gespeicherter Informationen sowie kontrollierter Umgang mit Zugangsdaten und Schlüsseln;
• sichere Konfiguration, Schwachstellen- und Patchmanagement sowie Protokollierung und Untersuchung relevanter Zugriffe und Sicherheitsereignisse;
• Maßnahmen für Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, mit der Leistung angemessenen Wiederherstellungsverfahren und Prüfungen;
• Reaktion auf Vorfälle, sichere Rückgabe und Entsorgung sowie regelmäßige Bewertung der Wirksamkeit der Maßnahmen.

Enigma stellt dem Kunden vor Beginn der Verarbeitung und auf angemessene Anfrage eine Beschreibung der Maßnahmen für die vereinbarte Leistung zur Verfügung. In der Auftragsdokumentation vereinbarte zusätzliche Schutzmaßnahmen sind verbindlich. Änderungen dürfen das für die betreffende Verarbeitung erforderliche Schutzniveau nicht wesentlich verringern. Diese AVV verspricht keine Zertifizierung, keinen bestimmten Hostingstandort und kein bestimmtes Verfügbarkeitsniveau.

Unterstützung und Vorfälle

Unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen unterstützt Enigma den Kunden bei Betroffenenanfragen, Sicherheitspflichten, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen der Aufsichtsbehörden. Enigma leitet Anfragen zu Kundendaten unverzüglich weiter und beantwortet sie nicht eigenständig, außer auf Weisung oder bei gesetzlicher Verpflichtung. Die Unterstützung muss dem Kunden die Einhaltung geltender Fristen ermöglichen.

Enigma benachrichtigt den Kunden unverzüglich, nachdem Enigma von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Kundendaten betrifft, und nutzt dafür den in der Auftragsdokumentation benannten Datenschutz- oder Vorfallkontakt des Kunden. Die Mitteilung beschreibt, sobald Informationen verfügbar werden, den Vorfall, die betroffenen Daten und Personen, die wahrscheinlichen Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie einen Kontakt für Rückfragen. Enigma stellt Informationen bei Bedarf schrittweise bereit, sichert relevante Nachweise, untersucht den Vorfall und arbeitet bei Eindämmung und Behebung mit. Eine noch nicht abgeschlossene Untersuchung verzögert die erste Mitteilung nicht. Ohne Weisung benachrichtigt Enigma weder betroffene Personen noch eine Aufsichtsbehörde im Namen des Kunden, sofern dies nicht gesetzlich vorgeschrieben ist.

Unterauftragsverarbeiter

Enigma darf eine andere Organisation, einschließlich einer anderen Enigma-Konzerngesellschaft, nur mit vorheriger schriftlicher Genehmigung des Kunden zur Verarbeitung von Kundendaten beauftragen. Bevor Enigma die Genehmigung beantragt, stellt Enigma die Identität der Organisation, ihre Verarbeitungsaufgabe, die relevanten Standorte und Schutzmaßnahmen bereit. Eine Organisation ist nicht allein deshalb genehmigt, weil sie in den Datenschutzhinweisen der Website genannt wird oder Leistungen für eine andere Enigma-Gesellschaft erbringt.

Sofern die Auftragsdokumentation nicht ausdrücklich eine allgemeine schriftliche Genehmigung erteilt und eine vereinbarte Liste festlegt, gilt die Genehmigung jeweils für einen bestimmten Unterauftragsverarbeiter. Bei vereinbarter allgemeiner Genehmigung informiert Enigma mindestens 30 Tage im Voraus schriftlich über Ergänzungen oder Ersetzungen und ermöglicht Einwände aus sachlich begründeten Datenschutzgründen. Solange ein rechtzeitig erhobener Einwand ungeklärt bleibt, setzt Enigma den vorgeschlagenen Unterauftragsverarbeiter für die betreffenden Kundendaten nicht ein. Die Parteien vereinbaren eine rechtskonforme Alternative oder beenden die betroffene Verarbeitung, wenn keine geeignete Alternative verfügbar ist.

Enigma verpflichtet jeden genehmigten Unterauftragsverarbeiter durch eine schriftliche Vereinbarung auf die für seine Tätigkeit erforderlichen Datenschutzpflichten, bewertet die von ihm gebotenen Garantien und bleibt gegenüber dem Kunden für dessen Pflichterfüllung verantwortlich. Enigma führt die Liste der genehmigten Unterauftragsverarbeiter, stellt sie auf Anfrage bereit und informiert den Kunden über wesentliche Pflichtverletzungen, die Kundendaten betreffen. Ist der Kunde selbst Auftragsverarbeiter, gelten auch die Genehmigungsanforderungen seines Verantwortlichen.

Standorte und internationale Übermittlungen

Enigma verarbeitet Kundendaten nur an Standorten, die in der Auftragsdokumentation genehmigt sind, einschließlich Standorten für Fernzugriffe und Unterauftragsverarbeiter. Ein für Websiteanfragen genannter Standort ist keine automatische Genehmigung für Daten aus Kundenaufträgen.

Vor einer beschränkten Übermittlung müssen die Parteien sicherstellen, dass der einschlägige rechtmäßige Mechanismus den Exporteur, den Importeur, die Daten, den Zweck und die Weiterverarbeitung abdeckt. Sind vertragliche Übermittlungsklauseln erforderlich, schließen die Parteien die geeigneten offiziellen Klauseln mit vervollständigten Anlagen ab und vereinbaren alle erforderlichen zusätzlichen Maßnahmen, bevor die Übermittlung beginnt. Erforderliche Übermittlungsprüfungen und fortlaufende Garantien müssen aufrechterhalten werden. Enigma informiert den Kunden, wenn Enigma diese Anforderungen nicht mehr erfüllen kann, und setzt die betreffende Übermittlung aus, bis eine rechtmäßige Lösung verfügbar ist.

Diese AVV ist selbst kein Instrument für internationale Übermittlungen und behauptet nicht, dass EU-, britische, DIFC- oder andere Standardübermittlungsklauseln abgeschlossen wurden. Zwingende Übermittlungsklauseln gehen widersprechenden Bedingungen vor. Enigma leitet rechtlich bindende Offenlegungsersuchen zu Kundendaten an den Kunden weiter, soweit dies zulässig ist, prüft ihre Rechtmäßigkeit, ficht sie an, soweit rechtlich begründet, und legt nur offen, was gesetzlich offengelegt werden muss.

Informationen und Prüfungen

Enigma stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht Prüfungen und Inspektionen durch den Kunden oder dessen unabhängigen Prüfer und wirkt daran mit. Angemessene Vertraulichkeits-, Ankündigungs- und Sicherheitsregelungen dürfen andere Kunden und Systeme schützen, jedoch keine wirksame Prüfung, dringende Untersuchung oder behördlichen Zugriff verhindern. Vorhandene unabhängige Prüfberichte können eine Prüfung unterstützen, ersetzen aber keine gesetzlich vorgeschriebenen Prüfungsrechte.

Enigma teilt dem Kunden unverzüglich mit, wenn Enigma diese AVV oder die geltenden Anforderungen an Auftragsverarbeiter nicht mehr einhalten kann. Der Kunde darf angemessene Schritte zur Überprüfung, Beendigung und Behebung unbefugter Nutzung unternehmen und die betroffene Verarbeitung aussetzen. Wesentliche oder anhaltende Verstöße, die nicht behoben werden können, berechtigen den Kunden zur Beendigung der betroffenen Verarbeitung, ohne zwingende Rechtsbehelfe einzuschränken.

Rückgabe und Löschung

Nach Wahl des Kunden gibt Enigma Kundendaten bei Ende der Leistungen oder auf rechtmäßige Weisung unverzüglich zurück oder löscht sie und löscht verbleibende Kopien, sofern eine Aufbewahrung nicht durch das für diesen Zweck nach dem anwendbaren Datenschutzrecht anerkannte Recht vorgeschrieben ist, einschließlich des Rechts der Union oder eines Mitgliedstaats bei Verarbeitung nach der DSGVO und britischen Rechts bei Verarbeitung nach der britischen DSGVO. Enigma unterstützt eine sichere Rückgabe in einem angemessen nutzbaren Format und bestätigt den Abschluss auf Anfrage. Die Verpflichtung erstreckt sich auf genehmigte Unterauftragsverarbeiter und Sicherungskopien; die allgemeinen Aufbewahrungsfristen der Website gehen den Weisungen des Kunden oder geltendem Recht nicht vor.

Erfordern rechtlich zulässige technische Vorkehrungen einen begrenzten Löschzyklus für Sicherungskopien, müssen dieser Zyklus und seine Schutzmaßnahmen schriftlich vereinbart werden. Verbleibende Kopien müssen von der regulären Nutzung getrennt, geschützt und nach diesem Zyklus gelöscht werden; Löschungen werden erneut angewandt, bevor wiederhergestellte Daten wieder genutzt werden. Ein Sicherungskopienzyklus verlängert keine gesetzliche Löschfrist. Schreibt das Gesetz eine Aufbewahrung vor, benennt Enigma die Verpflichtung, soweit zulässig, bewahrt nur die dafür notwendigen Informationen auf und schützt sie weiterhin bis zur Löschung. Diese AVV bleibt anwendbar, solange Enigma Kundendaten aufbewahrt.

Anwendbares Recht und Rangfolge

Das anwendbare Datenschutzrecht umfasst die EU-DSGVO und estnisches Recht sowie andere zwingende Datenschutz- oder Branchenvorschriften, soweit sie für die Verarbeitung gelten. Diese AVV hebt keinen Schutz nach britischem Recht, DIFC-Recht, dem Recht von US-Bundesstaaten oder anderem anwendbaren Recht auf. Begriffe wie Verantwortlicher, Auftragsverarbeiter, personenbezogene Daten und Datenschutzverletzung haben die Bedeutung, die ihnen das jeweilige Recht zuweist.

Für diese AVV gilt estnisches Recht; Streitigkeiten unterliegen der Gerichtsbarkeit der zuständigen estnischen Gerichte, vorbehaltlich zwingenden Rechts und der gesonderten Rechtswahl und Zuständigkeit in etwaigen erforderlichen Übermittlungsklauseln. Bei Widersprüchen bezüglich Kundendaten haben zwingendes Recht und anwendbare Übermittlungsklauseln Vorrang; danach geht diese AVV allgemeinen Leistungsbedingungen vor. Eine gesondert vereinbarte Ergänzung zur Verarbeitung kann spezifischere Schutzmaßnahmen vorsehen, ohne zwingende Anforderungen zu verringern. Vertragsbedingungen können gesetzliche Rechte betroffener Personen oder Aufsichtsbehörden sowie eine Haftung, die nicht rechtmäßig beschränkt werden darf, nicht ausschließen.

Kontakt und Fassungen

Datenschutz und Koordination von Vorfällen: privacy@getenigmalabs.com. Datenschutzbeauftragter: dpo@enigmalabs.ee. Support: support@getenigmalabs.com.

Für den jeweiligen Auftrag gilt die in die Dienstleistungsvereinbarung einbezogene Fassung. Eine spätere Aktualisierung der Website ändert eine bestehende AVV nicht automatisch. Änderungen bedürfen einer schriftlichen Vereinbarung oder eines anderen wirksamen Änderungsmechanismus in der Dienstleistungsvereinbarung, der zwingende Schutzvorgaben wahrt. Bestehende unterzeichnete Vereinbarungen und historische Verantwortlichkeiten werden durch die Domainmigration nicht übertragen.