Vertrag zur Auftrags­verarbeitung

§ 1Parteien und Vertragsschluss

Dieser Vertrag zur Auftragsverarbeitung („AVV“) wird geschlossen zwischen

und dem Kunden, der ZeroDesk als Unternehmer im Sinne des § 14 BGB nutzt und dabei personenbezogene Daten verarbeitet, für die er Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist – im Folgenden „Verantwortlicher“.

Der AVV ergänzt die Allgemeinen Geschäftsbedingungen von ZeroDesk („Hauptvertrag“) und wird mit deren Annahme durch den Verantwortlichen wirksam. Er gilt für alle Tarife einschließlich des kostenlosen Free-Plans. Für Verbraucher, die ZeroDesk ausschließlich zu persönlichen oder familiären Zwecken nutzen, findet dieser AVV keine Anwendung.

§ 2Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag und nach Weisung des Verantwortlichen im Rahmen der Bereitstellung von ZeroDesk gemäß dem Hauptvertrag.

(2) Nicht Gegenstand dieses AVV sind Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet, insbesondere Konto-, Vertrags- und Abrechnungsdaten des Kunden sowie Daten zur Missbrauchsabwehr. Hierfür gilt unsere Datenschutzerklärung.

(3) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Die Pflichten nach § 13 (Löschung und Rückgabe) und § 8 (Vertraulichkeit) gelten über das Vertragsende hinaus fort, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

§ 3Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Speichern, Hosten, Organisieren, Bereitstellen, Übermitteln (z. B. per E-Mail-Benachrichtigung), Sichern, Wiederherstellen und Löschen von Daten sowie die technische Verarbeitung, die zum Betrieb der Funktionen von ZeroDesk erforderlich ist (z. B. Indizierung für die Suche, Erstellung von Vorschaubildern, Live-Transkription von Besprechungen, soweit genutzt).

(2) Zweck der Verarbeitung: Hosting und Betrieb des ZeroDesk-Workspace des Verantwortlichen, Bereitstellung der Module und Integrationen, Datensicherung, Gewährleistung von Sicherheit und Verfügbarkeit sowie Support auf Anfrage des Verantwortlichen.

(3) Die Verarbeitung findet grundsätzlich in Rechenzentren innerhalb der Europäischen Union statt. Übermittlungen in Drittländer erfolgen nur nach § 15.

§ 4Art der personenbezogenen Daten

Welche Daten verarbeitet werden, bestimmt der Verantwortliche durch seine Nutzung von ZeroDesk. Typischerweise betroffen sind:

• Stammdaten der Nutzer (Name, E-Mail-Adresse, Profilbild, Rolle, Workspace-Zugehörigkeit)
• Kommunikationsinhalte (Chat-Nachrichten, Kanäle, Kommentare, Reaktionen, Benachrichtigungen)
• Dokumente, Dateien und Anhänge einschließlich darin enthaltener personenbezogener Daten
• Aufgaben, Projekte, Planungs- und Kalenderdaten
• Kontakt-, CRM- und Lead-Daten (z. B. Namen, Kontaktdaten, Firmenzugehörigkeit, Notizen)
• Personaldaten aus dem HR-Modul (z. B. Abteilung, Abwesenheiten, Urlaubsanträge); hierunter können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO fallen (z. B. Krankmeldungen), sofern der Verantwortliche solche Daten speichert
• Bewerberdaten aus dem Recruiting-Modul (z. B. Lebenslauf, Bewerbungsunterlagen, Bewertungen)
• Audio- und Videodaten aus Besprechungen sowie Transkriptionen, soweit diese Funktionen genutzt werden
• Integrationsdaten (z. B. aus verbundenen GitHub-, Google-Kalender-, Gmail- oder Telegram-Konten), soweit der Verantwortliche Integrationen aktiviert
• Meta- und Protokolldaten (z. B. Zeitstempel, IP-Adressen, Geräte- und Browserinformationen, Aktivitätsverlauf)

§ 5Kategorien betroffener Personen

• Beschäftigte, Mitglieder und sonstige Nutzer des Workspace des Verantwortlichen
• Gäste und DocGuests, die der Verantwortliche einlädt
• Kunden, Interessenten (Leads), Lieferanten und sonstige Kontakte des Verantwortlichen
• Bewerberinnen und Bewerber
• Sonstige Personen, deren Daten in Inhalten des Workspace enthalten sind (z. B. Teilnehmende von Besprechungen, in Dokumenten genannte Personen)

§ 6Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats hierzu verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden durch den Hauptvertrag, diesen AVV und die Nutzung und Konfiguration von ZeroDesk durch den Verantwortlichen festgelegt (z. B. Anlegen, Ändern, Freigeben, Exportieren und Löschen von Inhalten, Einladen von Nutzern, Aktivieren von Integrationen). Einzelweisungen darüber hinaus erteilt der Verantwortliche in Textform an info [at] kotova.io. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 7Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information der betroffenen Personen und die Wahrung ihrer Rechte, allein verantwortlich. Dies gilt insbesondere, wenn er besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über Bewerber und Beschäftigte in ZeroDesk speichert.

(2) Der Verantwortliche vergibt Rollen und Zugriffsrechte in seinem Workspace eigenverantwortlich, entscheidet über die Einladung von Gästen und die Freigabe von Inhalten über öffentliche Links und schützt seine Zugangsdaten.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 8Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Personen erhalten Zugang zu Daten des Verantwortlichen nur, soweit dies für die Erfüllung ihrer Aufgaben erforderlich ist. Die Vertraulichkeitspflicht besteht auch nach Beendigung ihrer Tätigkeit fort.

§ 9Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

§ 10Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail oder in der App über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverhältnisse im Sinne dieser Regelung sind Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt und die keinen Zugriff auf personenbezogene Daten des Verantwortlichen beinhalten (z. B. Telekommunikationsleistungen). Zahlungsdienstleister wie PayPal verarbeiten Zahlungsdaten als eigene Verantwortliche und sind keine Unterauftragsverarbeiter.

§ 11Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen (Art. 12 bis 22 DSGVO). Viele Anfragen kann der Verantwortliche selbst über die Funktionen von ZeroDesk erfüllen, etwa durch Bearbeiten, Exportieren oder Löschen von Inhalten.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, sofern eine Zuordnung möglich ist, und beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist ihn hierzu an.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Für Unterstützungsleistungen, die über die Bereitstellung der Standardfunktionen hinausgehen und nicht auf einem Verstoß des Auftragsverarbeiters beruhen, kann der Auftragsverarbeiter eine angemessene Vergütung nach vorheriger Absprache verlangen.

§ 12Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die Daten des Verantwortlichen betrifft, unverzüglich nach Kenntniserlangung, möglichst innerhalb von 48 Stunden, an die E-Mail-Adresse des Workspace-Inhabers.

(2) Die Meldung enthält, soweit bekannt, insbesondere:

• eine Beschreibung der Art der Verletzung, möglichst mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen,
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung,
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, stellt der Auftragsverarbeiter sie ohne unangemessene weitere Verzögerung schrittweise zur Verfügung. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen.

§ 13Löschung und Rückgabe nach Vertragsende

(1) Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktion von ZeroDesk exportieren. Wir empfehlen, wichtige Daten vor Vertragsende zu exportieren.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen spätestens 30 Tage nach Vertragsende, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Auf Wunsch des Verantwortlichen, der vor Vertragsende in Textform zu äußern ist, unterstützt der Auftragsverarbeiter die Rückgabe der Daten in einem gängigen, maschinenlesbaren Format.

(3) Daten in Datensicherungen werden im Rahmen des regulären Rotationszyklus überschrieben und bis dahin vor jeder weiteren Verarbeitung geschützt.

(4) Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.

§ 14Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.

(2) Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht, ist berechtigt, Überprüfungen einschließlich Inspektionen durchzuführen. Diese sind mit angemessener Frist (in der Regel mindestens 30 Tage) anzukündigen, finden während der üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unverhältnismäßig stören und sind auf höchstens eine Prüfung pro Kalenderjahr beschränkt, es sei denn, es besteht ein konkreter Anlass, insbesondere eine Datenschutzverletzung.

(3) Der Verantwortliche trägt die ihm und dem Auftragsverarbeiter durch die Prüfung entstehenden Kosten, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen AVV. Rechenzentren von Unterauftragsverarbeitern werden durch Vorlage geeigneter Nachweise (z. B. Zertifikate oder Prüfberichte) geprüft.

§ 15Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (z. B. EU-US Data Privacy Framework für zertifizierte Unternehmen) oder der Standardvertragsklauseln der Europäischen Kommission. Die betroffenen Unterauftragsverarbeiter und die jeweiligen Garantien sind in Anlage 2 genannt.

§ 16Haftung

(1) Für Schäden, die einer betroffenen Person wegen eines Verstoßes gegen die DSGVO entstehen, haften die Parteien nach Art. 82 DSGVO.

(2) Im Verhältnis zwischen den Parteien gelten im Übrigen die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 17Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Für Änderungen durch den Auftragsverarbeiter gilt das im Hauptvertrag beschriebene Verfahren zur Änderung der AGB entsprechend; die Vorgaben des Art. 28 DSGVO bleiben unberührt.

(3) Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die den Anforderungen des Art. 28 DSGVO entspricht und dem Gewollten am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Hamburg, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Server werden in Rechenzentren unseres Hosting-Anbieters betrieben, der den physischen Zutritt nach seinen Sicherheitsstandards kontrolliert. Eigene Serverräume betreibt der Auftragsverarbeiter nicht.
• Zugangskontrolle: Administrativer Zugang zu den Servern ausschließlich über SSH mit Schlüsselauthentifizierung; die Anmeldung per Passwort ist deaktiviert. Administrative Konten sind auf wenige, namentlich benannte Personen beschränkt.
• Zugriffskontrolle: Vergabe von Berechtigungen nach dem Prinzip der minimalen Rechte (Least Privilege). In ZeroDesk steuert der Verantwortliche Zugriffe über Rollen und Freigaben selbst.
• Trennungskontrolle: Logische Mandantentrennung: Daten verschiedener Workspaces werden getrennt voneinander verarbeitet und sind nur für die jeweils berechtigten Nutzer zugänglich.

Integrität

• Weitergabekontrolle: Verschlüsselung aller Verbindungen zwischen Endgerät und Dienst per TLS; der Zugriff auf die Server aus dem Internet erfolgt über einen verschlüsselten Tunnel.
• Eingabekontrolle: Protokollierung von Serverzugriffen und administrativen Anmeldungen; Server-Protokolle werden 14 Tage aufbewahrt. In ZeroDesk werden Änderungen an Inhalten im Aktivitätsverlauf nachvollziehbar dokumentiert.

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherungen der Workspace-Daten
• Firewall, die nur die für den Betrieb notwendigen Ports und Dienste zulässt
• Überwachung (Monitoring) der Verfügbarkeit und Auslastung der Systeme
• Regelmäßiges Einspielen von Sicherheitsupdates für Betriebssystem und Software (Patch- und Änderungsmanagement)

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Verpflichtung aller Personen mit Zugriff auf personenbezogene Daten zur Vertraulichkeit
• Festgelegter Ablauf zur Erkennung, Bewertung, Behebung und Meldung von Sicherheitsvorfällen (Incident Response)
• Anlassbezogene und regelmäßige Überprüfung der Maßnahmen und der eingesetzten Unterauftragsverarbeiter

Anlage 2: Unterauftragsverarbeiter

PayPal ist kein Unterauftragsverarbeiter. Die PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, verarbeitet Zahlungen als eigenständiger Verantwortlicher und erhält ausschließlich die für die Abrechnung erforderlichen Daten, nicht aber Inhalte Ihres Workspace.