Auftragsverarbeitungsvertrag

Dieser AVV wird zwischen dem Kunden (Verantwortlicher) und Qreportly LLC, einer Limited Liability Company nach dem Recht Wyomings mit Sitz 30 N Gould St Ste R, Sheridan, WY 82801, USA (Auftragsverarbeiter), über personenbezogene Daten geschlossen, die im internen Meldekanal verarbeitet werden, einschließlich Meldungen, Folgemeldungen, Anhänge, Fallmetadaten und zugehörige Workspace-Datensätze ("Kanaldaten").

Für Administratorkonten, Abrechnung, Support und die eigene Website des Anbieters handelt der Anbieter als Verantwortlicher gemäß den Datenschutzbestimmungen. Diese Verantwortlichen-Tätigkeiten liegen außerhalb dieses AVV.

Ist der Kunde selbst Auftragsverarbeiter eines anderen Verantwortlichen, gewährleistet der Kunde, dass er befugt ist, den Anbieter als Unterauftragsverarbeiter zu bestellen.

Gegenstand: Bereitstellung des internen QReportly-Meldekanals als Software-as-a-Service.

Art der Verarbeitung: Hosting, Speicherung, Übermittlung, Anzeige, Suche, Export, Sicherung und Löschung von Kanaldaten gemäß Konfiguration des Kunden.

Zweck: dem Kunden den Betrieb eines vertraulichen internen Kanals nach der Richtlinie (EU) 2019/1937 und dem anwendbaren nationalen Umsetzungsrecht zu ermöglichen. Der Anbieter bestimmt nicht die Zwecke der Kanaldatenverarbeitung und erteilt keine Rechtsberatung zu einzelnen Meldungen.

Dauer: die Abonnementlaufzeit zuzüglich einer vom Kunden konfigurierten Aufbewahrungsfrist sowie eines begrenzten Zeitraums, der nach Beendigung zur Löschung oder Rückgabe erforderlich ist.

Kanaldaten können Hinweisgeber, in Meldungen genannte Personen, Zeugen, die benannte Person und andere Mitarbeitende des Kunden, die das Dashboard nutzen, sowie weitere Personen betreffen, deren Daten der Kunde oder ein Hinweisgeber aufnimmt.

Kanaldaten können Identitäts- und Kontaktdaten (falls angegeben), Sachverhalte, Kategorien von Verstößen, Fallstatus, Nachrichten, Dateianhänge und von der Plattform vergebene technische Kennungen (z. B. Tracking-Code) umfassen. Der Anbieter verlangt vom Hinweisgeber weder ein Konto noch die Offenlegung der Identität.

Kanaldaten können besondere Kategorien (Art. 9 DSGVO) oder Daten über Straftaten (Art. 10 DSGVO) enthalten, wenn Hinweisgeber oder Kunde sie aufnehmen. Der Anbieter fordert solche Daten nicht als Nutzungsbedingung. Der Kunde als Verantwortlicher entscheidet über die Rechtmäßigkeit der Aufnahme.

Der Auftragsverarbeiter verarbeitet Kanaldaten nur auf dokumentierte Weisung des Kunden, es sei denn, das Recht der Union oder der Mitgliedstaaten verpflichtet ihn dazu. In diesem Fall unterrichtet er den Kunden vor der Verarbeitung, sofern das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Dokumentierte Weisungen umfassen diesen AVV, die Nutzungsbedingungen, die Datenschutzbestimmungen, die vom Kunden in der Plattform gesetzten Einstellungen sowie sonstige rechtmäßige, mit dem Dienst vereinbare schriftliche Weisungen.

Der Auftragsverarbeiter unterrichtet den Kunden unverzüglich, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Der kommerzielle Abonnementvertrag ist für sich genommen nicht die Rechtsgrundlage des Art. 6 Abs. 1 lit. b DSGVO für Daten von Hinweisgebern oder genannten Personen; der Kunde als Verantwortlicher bestimmt die einschlägigen Grundlagen nach Art. 6, 9 und 10.

Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung von Kanaldaten befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und der Zugriff auf Personen beschränkt ist, die ihn für Dienst, Sicherheit, Support oder Rechtspflichten benötigen.

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung und der Risiken für betroffene Personen ergreift der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, einschließlich Verschlüsselung bei der Übertragung (TLS), rollenbasierter Zugriffskontrolle, logischer Isolation der Workspaces, verschlüsselter Backups der in der EU gehosteten Primärproduktionsdaten, Sicherheitsüberwachung und eines Incident-Response-Prozesses.

Der Auftragsverarbeiter bietet derzeit keine clientseitige Ende-zu-Ende-Verschlüsselung der Meldungstexte: berechtigte Nutzer des Kunden mit entsprechender Rolle können Fallinhalte im Dashboard einsehen. Käuferrelevante Architekturdetails stehen im Security- und Trust-Center. Keine Maßnahme garantiert absolute Sicherheit.

QReportly bietet derzeit keine Ende-zu-Ende-Verschlüsselung für den Text eingereichter Meldungen.

Der Kunde erteilt eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter zur Leistungserbringung einzusetzen.

Die aktuelle Liste ist auf der öffentlichen Unterauftragsverarbeiter-Seite dieser Website veröffentlicht. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wesentlichen gleichwertige Datenschutzpflichten auf, insbesondere hinreichende Garantien für geeignete TOMs. Der Auftragsverarbeiter bleibt gegenüber dem Kunden für die Erfüllung dieser Pflichten verantwortlich.

Geplante Hinzufügungen oder Ersetzungen werden durch Aktualisierung der öffentlichen Liste und, bei wesentlichen, Kanaldaten betreffenden Änderungen, per E-Mail oder Dashboard-Hinweis mitgeteilt, rechtzeitig damit der Kunde vor Beginn der Verarbeitung widersprechen kann. Widerspricht der Kunde aus berechtigten DSGVO-Gründen und finden die Parteien keine Alternative, darf der Kunde die betroffenen Dienste kündigen.

Es sind zwei Übermittlungsverhältnisse zu unterscheiden; sie sind nicht austauschbar.

Übermittlung A — Kunde → Qreportly LLC: Unterliegt der Kunde (Verantwortlicher / Exporteur) der DSGVO Kapitel V für eine Übermittlung an Qreportly LLC (Auftragsverarbeiter / Importeur, niedergelassen in den Vereinigten Staaten), stützen sich die Parteien auf Modul 2 der Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914, ergänzt durch die auf dieser Website veröffentlichte Ergänzung zu internationalen Datentransfers. Modul 3 gilt nicht für Übermittlung A.

Produktionsdatenbank und Objekt speicher für Kanaldaten werden in der Europäischen Union für Hosting in der Europäischen Union vorgesehen. Die Produktionsregion ist aus dem Anwendungsrepository nicht unabhängig verifiziert. EU-Hosting beseitigt Übermittlung A nicht von selbst: Qreportly LLC ist ein US-Auftragsverarbeiter und kann auf Kanaldaten aus der Ferne für Betrieb, Support, Sicherheit und Wartung zugreifen.

Übermittlung B — Qreportly LLC → Unterauftragsverarbeiter: Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten in einem Drittland ohne Angemessenheitsbeschluss oder erfordert Kapitel V ein Transferinstrument, verwendet Qreportly LLC (Exporteur / Auftragsverarbeiter) Modul 3 des Beschlusses (EU) 2021/914 mit diesem Unterauftragsverarbeiter (Importeur / Auftragsverarbeiter), soweit erforderlich. Modul 2 gilt nicht für Übermittlung B. Die aktuelle Liste steht auf der Unterauftragsverarbeiter-Seite.

Kanaldaten einschließlich Meldungsinhalt und Anhängen durchlaufen den Anwendungshost (Vercel, Inc.), weil die Next.js-Anwendung die Melde- und Fall-APIs bedient. Dieser Host ist nicht der primäre Speicher der Meldungstexte. Transaktions-E-Mail (Brevo) erhält betriebliche Hinweise mit Tracking-Codes und Organisationsnamen gemäß den aktuellen Vorlagen; nicht den Meldungstext. Abrechnung (Stripe) und optionales Google-Login verarbeiten Kontodaten, nicht Meldungstexte.

Qreportly LLC beansprucht keine Teilnahme am EU-US Data Privacy Framework. Die Zertifizierung eines Anbieters ist nicht die Zertifizierung von QReportly.

Im Falle eines rechtlich bindenden Ersuchens einer Behörde zu Kundendaten befolgt QReportly die Pflichten des jeweils anwendbaren Transferinstruments und des anwendbaren Rechts. Soweit gesetzlich zulässig, unterrichtet QReportly den Kunden, beschränkt die Offenlegung auf das rechtlich Gebotene und prüft verfügbare Mittel, das Ersuchen anzufechten oder einzuschränken.

Ist eine Mitteilung an den Kunden gesetzlich untersagt, gibt QReportly keine Informationen preis, deren Offenlegung gesetzlich verboten ist.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt der Auftragsverarbeiter den Kunden bei der Erfüllung von Betroffenenanfragen nach Kapitel III DSGVO durch Plattformfunktionen und, soweit diese nicht ausreichen, durch angemessene zusätzliche Unterstützung.

Der Auftragsverarbeiter unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation), einschließlich unverzüglicher Benachrichtigung des Kunden nach Kenntnis einer die Kanaldaten betreffenden Verletzung des Schutzes personenbezogener Daten.

Während des Abonnements kann der Kunde Kanaldaten über Plattformfunktionen exportieren.

Nach Ende der Verarbeitung löscht der Auftragsverarbeiter auf Wahl des Kunden die Kanaldaten oder gibt sie zurück und löscht vorhandene Kopien, soweit nicht Unions- oder Mitgliedstaatenrecht eine Speicherung verlangt. Vom Kunden gesetzte Aufbewahrung, gesetzliche Pflichten und Backup-Rotationszyklen können die vollständige Löschung für einen begrenzten Zeitraum verzögern.

Der Auftragsverarbeiter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO und dieses AVV erforderlich sind, und ermöglicht und unterstützt Prüfungen, einschließlich Inspektionen, durch den Kunden oder einen vom Kunden beauftragten Prüfer.

Prüfungen erfolgen nach angemessener vorheriger schriftlicher Ankündigung (mindestens 30 Tage, sofern keine Aufsichtsbehörde eine kürzere Frist verlangt), unter Vertraulichkeitsverpflichtungen, höchstens einmal je 12 Monate, es sei denn, eine bestätigte Verletzung oder eine Behördenanfrage rechtfertigt eine zusätzliche Prüfung, und so, dass der Dienst und die Sicherheit anderer Kunden nicht beeinträchtigt werden.

Der Auftragsverarbeiter kann eine Prüfanfrage ganz oder teilweise durch schriftliche Antworten, einschlägige Richtlinien und Zusammenfassungen unabhängiger Bewertungen erfüllen, sofern und sobald solche Bewertungen existieren. Der Auftragsverarbeiter behauptet keine ISO-, SOC- oder vergleichbaren Zertifizierungen, die er nicht innehat.

Bei Widerspruch geht dieser AVV den Nutzungsbedingungen allein hinsichtlich der Verarbeitung von Kanaldaten als Auftragsverarbeiter vor.

Die Haftung bleibt die der Nutzungsbedingungen, unbeschadet zwingender Rechte betroffener Personen oder Aufsichtsbehörden nach der DSGVO.

Dieser AVV unterliegt dem Recht des Staates Wyoming, Vereinigte Staaten von Amerika; Streitigkeiten unterliegen den staatlichen und bundesstaatlichen Gerichten in Sheridan County, Wyoming, soweit nicht zwingende Bestimmungen der DSGVO und des Rechts des EU-Mitgliedstaats, in dem der Kunde niedergelassen ist oder betroffene Personen sich befinden, auf die Verarbeitung personenbezogener Daten anzuwenden sind. Nichts in diesem AVV beschränkt die Rechte betroffener Personen nach der DSGVO.

Nichts in diesen Bedingungen schließt eine Haftung, ein Recht oder eine Pflicht aus oder beschränkt sie, soweit ein Ausschluss oder eine Beschränkung gesetzlich unzulässig ist, einschließlich zwingender Betroffenenrechte und zwingender Pflichten bei der Verarbeitung personenbezogener Daten.

Nichts in diesen Bedingungen beschränkt die Befugnisse einer Aufsichtsbehörde oder die Rechte betroffener Personen nach geltendem Recht.