1. Gegenstand und Zweck
1.1.Gegenstand ist die Verarbeitung personenbezogener Daten durch Kais Solutions im Auftrag des AG im Rahmen von Bereitstellung, Betrieb, Wartung, Support, Datensicherung und Wiederherstellung von SmartShelf.
1.2.Diese Vereinbarung ergänzt den Vertrag über Implementierung, Bereitstellung und Betrieb der Softwarelösung SmartShelf.
1.3.Zweck der Verarbeitung ist die technische Bereitstellung und Nutzung der vereinbarten SmartShelf-Funktionen.
2. Dauer
2.1.Diese Vereinbarung gilt für die Dauer der Auftragsverarbeitung. Nach Beendigung gelten Rückgabe- und Löschpflichten gemäß Punkt 10 fort, soweit erforderlich.
3. Daten- und Betroffenenkategorien
| Kategorie | Beschreibung |
|---|---|
| Datenkategorien | Benutzer- und Kontaktdaten; Rollen und Berechtigungen; Kunden-/Empfänger- und Ansprechpartnerdaten; Lieferanten-/Kontaktinformationen; Referenz- und Dokumentdaten; fachliche Lager- und Bewegungsdaten mit Personenbezug; Nutzungs-, Protokoll- und technische Metadaten; Supportinhalte; Inhalte hochgeladener Dokumente, soweit personenbezogen. |
| Betroffene Personen | Mitarbeiter und Benutzer des AG; Ansprechpartner von Kunden, Lieferanten und Geschäftspartnern; Empfänger bzw. Kontaktpersonen in Lager-/Lieferprozessen; sonstige Personen, deren Daten in hochgeladenen Dokumenten oder Supportkommunikation enthalten sind. |
| Besondere Kategorien Art. 9 DSGVO | Nicht vorgesehen. Der AG soll solche Daten nicht in SmartShelf einstellen, sofern dies nicht vorher ausdrücklich vereinbart und datenschutzrechtlich abgesichert wurde. |
4. Weisungsbindung
4.1.Kais Solutions verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des AG, soweit keine gesetzliche Verpflichtung eine andere Verarbeitung verlangt. In diesem Fall informiert Kais Solutions den AG vor der Verarbeitung über diese gesetzliche Verpflichtung, soweit die betreffende Rechtsvorschrift eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.
4.2.Hält Kais Solutions eine Weisung für datenschutzrechtswidrig, wird der AG hierüber unverzüglich informiert, soweit rechtlich zulässig.
4.3.Der AG bleibt für die Rechtmäßigkeit der Verarbeitung, die Zulässigkeit der erteilten Weisungen sowie die Wahrung der Rechte der betroffenen Personen als Verantwortlicher zuständig.
5. Vertraulichkeit
5.1.Kais Solutions stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Sicherheit der Verarbeitung
6.1.Kais Solutions trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Diese sind in der Anlage „TOM SmartShelf“ beschrieben.
6.2.Die Maßnahmen werden risikoorientiert überprüft und bei wesentlichen technischen oder organisatorischen Änderungen angepasst.
7. Betroffenenrechte und Unterstützung
7.1.Kais Solutions unterstützt den AG im angemessenen und erforderlichen Umfang bei der Erfüllung von Betroffenenrechten nach Kapitel III DSGVO.
7.2.Direkt an Kais Solutions gerichtete Anträge, die erkennbar Daten des AG betreffen, werden an den AG weitergeleitet, soweit rechtlich zulässig.
8. Datenschutzverletzungen und Pflichten nach Art. 32–36 DSGVO
8.1.Kais Solutions unterstützt den AG im angemessenen Umfang bei Pflichten nach Art. 32 bis 36 DSGVO.
8.2.Relevante Verletzungen des Schutzes personenbezogener Daten werden dem AG unverzüglich nach Bekanntwerden mit den verfügbaren Informationen mitgeteilt.
9. Kontrollen und Nachweise
9.1.Kais Solutions stellt dem AG die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
9.2.Kais Solutions ermöglicht und unterstützt erforderliche Kontrollen durch den AG oder einen von ihm beauftragten Prüfer unter angemessener Vorankündigung und unter Wahrung von Vertraulichkeit, Sicherheit und Rechten anderer Kunden. Soweit geeignete Dokumentationen oder Nachweise ausreichen, sollen diese vorrangig genutzt werden.
10. Beendigung, Rückgabe und Löschung
10.1.Nach Ende der Auftragsverarbeitung werden personenbezogene Daten nach Wahl des AG zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
10.2.Backups können bis zum regulären Ablauf des Sicherungszyklus fortbestehen, sofern sie ausschließlich zu Wiederherstellungszwecken vorgehalten und anschließend überschrieben oder gelöscht werden.
10.3.Das aktuell vereinbarte Backup-Aufbewahrungsschema hält mindestens 14 tägliche Sicherungsstände vor; zusätzliche wöchentliche und monatliche Sicherungsstände richten sich nach dem jeweils gültigen Restic-Aufbewahrungsschema.
11. Sub-Auftragsverarbeiter
11.1.Der AG erteilt eine allgemeine Genehmigung zum Einsatz der in der Anlage „Sub-Auftragsverarbeiter SmartShelf“ aufgeführten Unterauftragnehmer.
11.2.Kais Solutions informiert den AG über beabsichtigte Hinzufügungen oder Ersetzungen so rechtzeitig, dass der AG aus berechtigten datenschutzrechtlichen Gründen widersprechen kann.
11.3.Kais Solutions verpflichtet Sub-Auftragsverarbeiter vertraglich zu den nach Art. 28 Abs. 4 DSGVO erforderlichen Datenschutzpflichten.
12. Verarbeitungsorte und Drittlandtransfers
12.1.Die primäre SmartShelf-Anwendungs- und Datenbankumgebung wird innerhalb der EU betrieben.
12.2.Weitere Verarbeitungsorte ergeben sich aus der jeweils aktuellen Sub-Auftragsverarbeiterliste.
12.3.Übermittlungen in Drittländer erfolgen nur unter Einhaltung der Art. 44 ff. DSGVO und unter Verwendung einer geeigneten Transfergrundlage bzw. geeigneter Garantien, soweit erforderlich.
13. Schlussbestimmungen
13.1.Im Übrigen gelten die datenschutzrechtlichen Bestimmungen des Hauptvertrags. Bei Widersprüchen hinsichtlich der Auftragsverarbeitung geht diese AVV vor.