Datenverarbeitungsvertrag

1. Anwendungsbereich dieses DVV

Wenn Sie Smile Rain ausschließlich als Privatperson zur Verwaltung Ihrer eigenen Aufgaben und Notizen nutzen, unterliegt Ihre Datenverarbeitung der Datenschutzrichtlinie und dieser DVV gilt nicht für Sie. Dieser DVV gilt nur, wenn Sie eine Organisation sind, die als Verantwortlicher handelt und deren Nutzung von Smile Rain die Verarbeitung personenbezogener Daten Ihrer Mitarbeiter, Auftragnehmer, Kunden oder sonstigen Endnutzer umfasst. In diesem Fall erfordert Artikel 28 DSGVO eine schriftliche Vereinbarung.

2. Gegenstand, Art und Dauer der Verarbeitung

Die durch diesen DVV abgedeckte Verarbeitung ist der Betrieb des Smile Rain-Arbeitsbereichs — Speicherung, Abruf und Anzeige der vom Verantwortlichen hochgeladenen Inhalte — für die Dauer des Abonnements des Verantwortlichen und jede gesetzlich vorgeschriebene Aufbewahrungsfrist danach.

3. Kategorien von Daten und betroffenen Personen

Personenbezogene Daten, die im Rahmen dieses DVV verarbeitet werden, können Namen, E-Mail-Adressen, Profilfotos, Kanban-Aufgabeninhalte, Notizinhalte, verschlüsselte Tresor-Einträge und Tag-Namen umfassen.

4. Pflichten des Auftragsverarbeiters (DSGVO Art. 28(3))

Smile Rain verpflichtet sich als Auftragsverarbeiter:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten und diesen unverzüglich zu benachrichtigen, wenn eine Weisung gegen geltendes Recht verstoßen würde.
• Sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind und nur Zugang zu den für ihre Rolle notwendigen Daten haben.
• Die technischen und organisatorischen Sicherheitsmaßnahmen gemäß §6 umzusetzen und den Verantwortlichen bei der Erfüllung seiner eigenen Sicherheitspflichten zu unterstützen.
• Die Bedingungen in §5 für die Beauftragung von Unterauftragsverarbeitern einzuhalten und dem Verantwortlichen gegenüber für jeden Unterauftragsverarbeiter zu haften, der gleichwertige Verpflichtungen nicht erfüllt.
• Den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (§8) und bei der Erfüllung seiner Pflichten nach DSGVO Artikeln 32–36 zu unterstützen.
• Alle personenbezogenen Daten nach Wahl des Verantwortlichen bei der Kündigung zurückzugeben oder zu löschen, wie in §11 beschrieben.
• Dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die notwendig sind, um die Einhaltung dieses DVV und von DSGVO Artikel 28 nachzuweisen.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern für Hosting, Authentifizierung, Analysen und E-Mail-Zustellung. Die aktuelle Liste ist in der Datenschutzrichtlinie §3 veröffentlicht. Wir werden den Verantwortlichen mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters benachrichtigen.

6. Sicherheitsmaßnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art und Risiken der Verarbeitung unterhält Smile Rain technische und organisatorische Maßnahmen einschließlich: TLS-Verschlüsselung in der Übertragung; Verschlüsselung im Ruhezustand auf Speicherebene; rollenbasierte Zugriffskontrollen; client-seitige Verschlüsselung für Tresor-Einträge.

7. Internationale Übermittlungen

Soweit die Übermittlung personenbezogener Daten an einen außerhalb des EWR ansässigen Unterauftragsverarbeiter erforderlich ist, erfolgen solche Übermittlungen unter den Standardvertragsklauseln der Europäischen Kommission — insbesondere Modul 2 gemäß Beschluss (EU) 2021/914 — ergänzt durch zusätzliche Schutzmaßnahmen, soweit erforderlich.

8. Anfragen betroffener Personen

Wenn eine betroffene Person Smile Rain direkt mit einer Anfrage zur Ausübung ihrer Rechte kontaktiert, werden wir diese unverzüglich an den Verantwortlichen weiterleiten und angemessene Unterstützung leisten.

9. Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die unter diesen DVV fallen, wird Smile Rain den Verantwortlichen ohne unangemessene Verzögerung und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden benachrichtigen.

10. Prüfungen und Inspektionen

Der Verantwortliche hat das Recht, die Einhaltung dieses DVV durch Smile Rain zu prüfen. Wir werden auf angemessene schriftliche Prüfungsanfragen innerhalb von 30 Tagen mit einer Zusammenfassung unseres Sicherheitsprogramms und relevanter Zertifizierungen antworten.

11. Rückgabe oder Löschung von Daten

Innerhalb von 90 Tagen nach Kündigung des Abonnements des Verantwortlichen wird Smile Rain nach schriftlicher Wahl des Verantwortlichen entweder alle verarbeiteten personenbezogenen Daten in einem gängigen maschinenlesbaren Format zurückgeben oder sicher löschen, soweit keine gesetzliche Aufbewahrungspflicht besteht.

12. Ausführung dieses DVV

Um diesen DVV für Ihre Organisation auszuführen, senden Sie eine E-Mail an [email protected] mit Ihrem Firmennamen und den Kontaktdaten des autorisierten Unterzeichners.