Bestimmungen zur Vergabe von Unteraufträgen in Ergänzung zu den Allgemeinen Geschäftsbedingungen von TRACKFORCE

Die von Trackforce vertriebenen Softwarelösungen werden intern konzipiert und entwickelt, ohne dass dabei auf Subunternehmer zurückgegriffen wird. Allerdings kann es vorkommen, dass Trackforce für bestimmte Dienstleistungen, wie beispielsweise das Hosting von Daten oder die Bereitstellung von Spezialsoftware, insbesondere für die Kundenbeziehungsmanagement, das Vertriebsmanagement, das Außendienstmanagement, das Produktionsmanagement oder das Projektmanagement, auf Drittunternehmen zurückgreift.

Die vorliegenden Bestimmungen zur Auftragsverarbeitung legen daher die Bedingungen fest, unter denen Trackforce entweder diese Art von Dienstleistungen an dritte Auftragsverarbeiter übertragen oder selbst als Auftragsverarbeiter die Dienstleistungen im Auftrag des für die Verarbeitung Verantwortlichen im Sinne der Europäischen Verordnung Nr. 2016/679 vom 27. April 2016 zum Schutz personenbezogener Daten ab deren Inkrafttreten am 25. Mai 2018 (im Folgenden „DSGVO“) ausführen.

Aus diesem Grund ergänzen die vorliegenden Bestimmungen zur Auftragsvergabe an Subunternehmer die Allgemeinen Geschäftsbedingungen (AGB) von Trackforce in Bezug auf die Auftragsvergabe an Subunternehmer, wie im Folgenden vorgesehen.

Paragraf Nr. 1: Vergabe von Unteraufträgen zwischen TRACKFORCE und dritten Auftragnehmern

Der Kunde ermächtigt TRACKFORCE ausdrücklich, die in den AGB vorgesehenen Leistungen ganz oder teilweise an einen Subunternehmer seiner Wahl weiterzuvergeben.

Der Kauf der in den AGB von TRACKFORCE genannten und vertriebenen Produkte durch den Kunden setzt voraus, dass der Kunde die Vergabe von Unteraufträgen sowie die Allgemeinen Geschäftsbedingungen des Unterauftragnehmers akzeptiert.

Es obliegt TRACKFORCE, sich zu vergewissern, dass der ausgewählte Auftragsverarbeiter ausreichende Garantien hinsichtlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen bietet, damit die Verarbeitung den Anforderungen der DSGVO entspricht.

Paragraf Nr. 2: Vergabe von Unteraufträgen zwischen TRACKFORCE und dem Kunden

Gemäß diesem Artikel 2 ist TRACKFORCE der Auftragsverarbeiter und der Kunde der Verantwortliche im Sinne der DSGVO für alle personenbezogenen Daten, die von TRACKFORCE im Auftrag des Kunden in Erfüllung der AGB von TRACKFORCE verarbeitet werden.

Paragraf Nr. 2-1: Gegenstand

Gegenstand dieser Klausel Nr. 2.1 und ihrer verschiedenen Unterabschnitte ist die Festlegung der Bedingungen, unter denen sich TRACKFORCE (in seiner Eigenschaft als Auftragsverarbeiter des Kunden) verpflichtet, im Auftrag des Kunden (in seiner Eigenschaft als Verantwortlicher) die nachstehend definierten Verarbeitungsvorgänge in Bezug auf personenbezogene Daten durchzuführen.

Im Rahmen ihrer Vertragsbeziehungen verpflichten sich die Vertragsparteien, die geltenden Vorschriften zur Verarbeitung personenbezogener Daten und insbesondere die ab dem 25. Mai 2018 verbindliche DSGVO einzuhalten.

Paragraf Nr. 2-2: Verarbeitung auf Anweisung

TRACKFORCE und jede unter seiner Weisung handelnde Person, die Zugriff auf die personenbezogenen Daten des Kunden hat, verpflichten sich, diese Daten nur auf dokumentierte Anweisung des Kunden zu verarbeiten, gegebenenfalls auch im Hinblick auf die Übermittlung dieser Daten in ein Drittland oder an eine internationale Organisation, es sei denn, TRACKFORCE ist aufgrund des Unionsrechts oder des Rechts des Mitgliedstaats, dem TRACKFORCE unterliegt, dazu verpflichtet. In diesem Fall informiert TRACKFORCE den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, es sei denn, das betreffende Recht verbietet eine solche Unterrichtung aus wichtigen Gründen des öffentlichen Interesses.

TRACKFORCE informiert den Kunden unverzüglich, wenn nach Ansicht von TRACKFORCE eine Anweisung des Kunden einen Verstoß gegen die europäischen Rechtsvorschriften zum Schutz personenbezogener Daten darstellt.

Absatz Nr. 2-3: Beschreibung der Datenverarbeitung, die Gegenstand der Auftragsverarbeitung ist

TRACKFORCE ist berechtigt, im Auftrag des Kunden die personenbezogenen Daten zu verarbeiten, die für die Erbringung der zwischen den Parteien einvernehmlich festgelegten Dienstleistung(en) erforderlich sind, einschließlich der Dauer der Verarbeitung, der Art und des Zwecks der Verarbeitung, der Art der personenbezogenen Daten und der Kategorien der betroffenen Personen sowie der Pflichten und Rechte des Kunden in seiner Eigenschaft als Verantwortlicher für die Verarbeitung.

Klausel Nr. 2-4: Pflichten des Auftragsverarbeiters TRACKFORCE gegenüber dem für die Datenverarbeitung verantwortlichen Auftraggeber

Als Auftragsverarbeiter für die von der Auftragsverarbeitung betroffenen Daten verpflichtet sich TRACKFORCE zu Folgendem:

Die betreffenden personenbezogenen Daten dürfen ausschließlich für den oder die Zwecke verarbeitet werden, die Gegenstand der Auftragsverarbeitung sind.
Die betreffenden Daten gemäß den dokumentierten Anweisungen des für die Datenverarbeitung verantwortlichen Kunden verarbeiten.
Die Vertraulichkeit der verarbeiteten personenbezogenen Daten gewährleisten.
Sicherstellen, dass die Personen, die gemäß diesem Vertrag zur Verarbeitung personenbezogener Daten befugt sind, (i) sich zur Wahrung der Vertraulichkeit verpflichten oder einer entsprechenden gesetzlichen Vertraulichkeitspflicht unterliegen und (ii) die erforderliche Schulung zum Schutz personenbezogener Daten erhalten.
Bei seinen Tools, Produkten, Anwendungen oder Diensten die Grundsätze des Datenschutzes durch Technikgestaltung und des Datenschutzes durch datenschutzfreundliche Voreinstellungen zu berücksichtigen.

Klausel Nr. 2-5: Untervergabe an Zweitunternehmer

In seiner Eigenschaft als Auftragsverarbeiter für die von der Auftragsverarbeitung betroffenen Daten kann TRACKFORCE einen weiteren Auftragsverarbeiter (im Folgenden „Auftragsverarbeiter der zweiten Ebene“) mit der Durchführung bestimmter Verarbeitungsvorgänge beauftragen.

In diesem Fall informiert TRACKFORCE den für die Verarbeitung Verantwortlichen vorab schriftlich über jede geplante Änderung hinsichtlich der Hinzufügung oder des Austauschs weiterer Auftragsverarbeiter. Diese Information muss die ausgelagerten Verarbeitungstätigkeiten, die Identität und die Kontaktdaten des Auftragsverarbeiters sowie die Laufzeit des Auftragsverarbeitungsvertrags eindeutig angeben. Der für die Verarbeitung Verantwortliche verfügt über eine Frist von 10 (zehn) Tagen ab dem Datum des Eingangs dieser Mitteilung, um Einwände zu erheben. Diese Auftragsvergabe darf nur erfolgen, wenn der für die Verarbeitung Verantwortliche innerhalb der vereinbarten Frist keine Einwände erhoben hat.

Der Unterauftragsverarbeiter der zweiten Ebene ist verpflichtet, die Verpflichtungen aus diesem Vertrag im Auftrag und gemäß den Anweisungen des für die Verarbeitung Verantwortlichen zu erfüllen. Es obliegt dem ursprünglichen Unterauftragsverarbeiter, sich zu vergewissern, dass der Unterauftragsverarbeiter der zweiten Ebene die gleichen ausreichenden Garantien hinsichtlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen bietet, damit die Verarbeitung den Anforderungen der DSGVO entspricht. Erfüllt der Unterauftragnehmer der zweiten Ebene seine datenschutzrechtlichen Verpflichtungen nicht, bleibt der ursprüngliche Unterauftragnehmer gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung der Verpflichtungen durch den anderen Unterauftragnehmer verantwortlich.

Paragraf Nr. 2-6: Auskunftsrecht der betroffenen Personen

Es obliegt dem als Verantwortlichen fungierenden Kunden, die von den Verarbeitungsvorgängen betroffenen Personen zum Zeitpunkt der Datenerhebung zu informieren.

Paragraf Nr. 2-7: Ausübung der Rechte von Personen

Soweit möglich muss TRACKFORCE in seiner Eigenschaft als Auftragsverarbeiter den für die Verarbeitung verantwortlichen Kunden dabei unterstützen, seiner Verpflichtung zur Bearbeitung von Anträgen auf Ausübung der Rechte der betroffenen Personen nachzukommen: Recht auf Auskunft, Berichtigung, Löschungs- und Widerspruchsrecht, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit, Recht, nicht Gegenstand einer automatisierten Einzelentscheidung (einschließlich Profiling) zu sein.

Wenn die betroffenen Personen beim Auftragsverarbeiter TRACKFORCE Anträge auf Ausübung ihrer Rechte stellen, muss TRACKFORCE diese Anträge unverzüglich nach Erhalt per E-Mail an die im Profil des Kunden angegebene Kontakt-E-Mail-Adresse weiterleiten.

Paragraf Nr. 2-8: Meldung von Verstößen gegen den Schutz personenbezogener Daten

In seiner Eigenschaft als Auftragsverarbeiter meldet TRACKFORCE dem als Verantwortlichen fungierenden Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich gemäß Artikel 34 der DSGVO, sobald TRACKFORCE davon Kenntnis erlangt hat, und zwar per E-Mail an die im Profil des Kunden angegebene Kontakt-E-Mail-Adresse.

Dieser Meldung liegen alle erforderlichen Unterlagen bei, damit der als Verantwortlicher tätige Kunde diese Datenschutzverletzung gegebenenfalls der zuständigen Aufsichtsbehörde melden kann, d. h. der Nationalen Kommission für Datenschutz (CNPD) im Falle von Luxemburg oder den entsprechenden europäischen Aufsichtsbehörden in den anderen Mitgliedstaaten der Europäischen Union.

Klausel Nr. 2-9: Unterstützung durch den Subunternehmer TRACKFORCE im Rahmen der Erfüllung der Verpflichtungen des Kunden als Verantwortlichers

In seiner Eigenschaft als Auftragsverarbeiter unterstützt TRACKFORCE den für die Datenverarbeitung verantwortlichen Kunden bei der Durchführung von Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde.

Die in dieser Klausel 2-9 vorgesehenen Leistungen werden von TRACKFORCE zu den insbesondere finanziellen und terminlichen Bedingungen erbracht, die zuvor zwischen dem Kunden und TRACKFORCE zu vereinbaren sind.

Paragraf Nr. 2-10: Sicherheitsmaßnahmen

Da Artikel 32 der DSGVO vorsieht, dass die Umsetzung der Sicherheitsmaßnahmen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter obliegt, verpflichtet sich jede Vertragspartei, hinsichtlich der personenbezogenen Daten, für die sie verantwortlich ist, technische und organisatorische Sicherheitsmaßnahmen zu ergreifen, die ein dem Risiko angemessenes Sicherheitsniveau gewährleisten, darunter unter anderem je nach Bedarf:

Pseudonymisierung und Verschlüsselung personenbezogener Daten;
Maßnahmen zur Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme und -dienste;
Maßnahmen, mit denen im Falle eines physischen oder technischen Vorfalls die Verfügbarkeit personenbezogener Daten und der Zugriff darauf innerhalb angemessener Fristen wiederhergestellt werden können;
Ein Verfahren zur regelmäßigen Prüfung, Analyse und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung.

Die Anwendung eines gemäß Artikel 40 der DSGVO genehmigten Verhaltenskodexes oder eines gemäß Artikel 42 der DSGVO genehmigten Zertifizierungsverfahrens kann als Nachweis für die Einhaltung der in Artikel 32 Absatz 1 der DSGVO vorgesehenen Sicherheitsanforderungen dienen, wie sie oben dargelegt wurden.

Paragraf Nr. 2-11: Verwendungszweck der Daten

TRACKFORCE verpflichtet sich, personenbezogene Daten nach Ablauf ihrer Aufbewahrungsfrist, die je nach Art der Daten festgelegt wird, zu vernichten, wobei darauf hingewiesen wird, dass der Kunde regelmäßig eigene Sicherungskopien mithilfe der ihm auf der Guardtek-Plattform zur Verfügung gestellten Softwaretools erstellen muss.

Paragraf Nr. 2-12: Datenschutzbeauftragter

In seiner Eigenschaft als Auftragsverarbeiter teilt TRACKFORCE dem als Verantwortlichen fungierenden Kunden auf dessen Anfrage hin den Namen und die Kontaktdaten seines gemäß Artikel 37 der DSGVO benannten Datenschutzbeauftragten (im Folgenden „DSB“) mit.

Paragraf Nr. 2-13: Verzeichnis der Kategorien von Verarbeitungsvorgängen

In seiner Eigenschaft als Auftragsverarbeiter erklärt TRACKFORCE, ein schriftliches Verzeichnis aller Kategorien von Verarbeitungsvorgängen zu führen, die im Auftrag des als Verantwortlicher auftretenden Kunden durchgeführt werden, einschließlich:

Name und Kontaktdaten des für die Datenverarbeitung verantwortlichen Kunden, in dessen Auftrag der Auftragsverarbeiter TRACKFORCE tätig ist, etwaiger Auftragsverarbeiter zweiter Ordnung sowie gegebenenfalls des Datenschutzbeauftragten;
Die Kategorien der im Auftrag des für die Datenverarbeitung verantwortlichen Kunden durchgeführten Verarbeitungsvorgänge;
Gegebenenfalls die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, einschließlich der Angabe dieses Drittlands oder dieser internationalen Organisation sowie – im Falle von Übermittlungen gemäß Artikel 49 Absatz 1 Unterabsatz 2 der DSGVO – der Unterlagen, die das Vorliegen geeigneter Garantien belegen;
Soweit möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen, darunter unter anderem, je nach Bedarf, (i) die Pseudonymisierung und Verschlüsselung personenbezogener Daten; (ii) Maßnahmen zur Gewährleistung der fortwährenden Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme und -dienste; (iii) Maßnahmen, mit denen die Verfügbarkeit der personenbezogenen Daten und der Zugriff darauf im Falle eines physischen oder technischen Vorfalls innerhalb angemessener Fristen wiederhergestellt werden können; (iv) ein Verfahren zur regelmäßigen Prüfung, Analyse und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Paragraf Nr. 2-14: Dokumentation

In seiner Eigenschaft als Auftragsverarbeiter stellt TRACKFORCE dem als Verantwortlichen auftretenden Kunden die erforderlichen Unterlagen zur Verfügung, um die Einhaltung aller seiner Verpflichtungen nachzuweisen und die Durchführung von Audits, einschließlich Inspektionen, durch den als Verantwortlichen auftretenden Kunden oder einen von ihm beauftragten Prüfer zu ermöglichen sowie an diesen Audits mitzuwirken.

Paragraf Nr. 3: Pflichten des für die Datenverarbeitung verantwortlichen Kunden gegenüber dem Auftragsverarbeiter TRACKFORCE

In seiner Eigenschaft als Verantwortlicher verpflichtet sich der Kunde zu Folgendem:

Dem Subunternehmer TRACKFORCE die in Ziffer 2-3 der vorliegenden Vereinbarung genannten Informationen und Daten zur Verfügung zu stellen.
Jede Anweisung bezüglich der Datenverarbeitung durch den Auftragsverarbeiter TRACKFORCE schriftlich festhalten.
Vorab und während der gesamten Dauer der Verarbeitung ist sicherzustellen, dass der Auftragsverarbeiter TRACKFORCE die in der DSGVO vorgesehenen Verpflichtungen einhält.
Überwachung der Verarbeitung, einschließlich der Durchführung von Audits und Inspektionen beim Subunternehmer TRACKFORCE.

Klausel Nr. 4: Beibehaltung der nicht widersprüchlichen Bestimmungen der Allgemeinen Geschäftsbedingungen von TRACKFORCE

Die vorliegenden Bestimmungen für die Vergabe von Unteraufträgen ergänzen die Allgemeinen Geschäftsbedingungen von TRACKFORCE, deren Bestimmungen, soweit sie nicht im Widerspruch dazu stehen, weiterhin gelten.