Datenverarbeitungsklauseln zur Ergänzung der Allgemeinen Geschäftsbedingungen von TRACKFORCE unter

Ergänzende Datenverarbeitungsklauseln

Allgemeine Geschäftsbedingungen von TRACKFORCE

Aktualisiert^{am 1.} September 2022

Die von Trackforce vertriebenen Softwarelösungen werden intern konzipiert und entwickelt, ohne dass dabei auf Subunternehmer zurückgegriffen wird. Allerdings kann es vorkommen, dass Trackforce für bestimmte Dienstleistungen, wie beispielsweise das Datenhosting oder die Bereitstellung spezieller Software für Bereiche wie Kundenbeziehungsmanagement, Vertriebsmanagement, Vertriebsmitarbeiterverwaltung, Produktionsmanagement oder Projektmanagement, auf Drittunternehmen zurückgreifen muss.

Diese Datenverarbeitungsklauseln legen daher die Bedingungen fest, unter denen Trackforce entweder diese Art von Dienstleistungen an Auftragsverarbeiter übertragen oder selbst als Auftragsverarbeiter die Dienstleistungen im Auftrag des Kunden als Verantwortlicher gemäß der britischen Datenschutz-Grundverordnung (UK GDPR), angepasst durch den Data Protection Act 2018 (im Folgenden „UK GDPR“), erbringen kann.

Daher ergänzen diese Datenverarbeitungsklauseln die nachstehend aufgeführten Allgemeinen Geschäftsbedingungen von Trackforce (im Folgenden „AGB“).

Klausel Nr. 1: Vergabe von Unteraufträgen zwischen TRACKFORCE und externen Subunternehmern

Der Kunde ermächtigt TRACKFORCE ausdrücklich, die in den AGB festgelegten Leistungen ganz oder teilweise an einen Subunternehmer seiner Wahl weiterzuvergeben.

Mit dem Kauf der in den AGB von TRACKFORCE aufgeführten und angebotenen Waren erklärt sich der Kunde mit den Geschäftsbedingungen des Subunternehmers einverstanden.

Es liegt in der Verantwortung von TRACKFORCE, sicherzustellen, dass der ausgewählte Auftragsverarbeiter ausreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bietet, um zu gewährleisten, dass die Verarbeitung den Anforderungen der britischen DSGVO entspricht.

Klausel Nr. 2: Vergabe von Unteraufträgen zwischen TRACKFORCE und dem Auftraggeber

Gemäß diesem Artikel 2 ist TRACKFORCE der Auftragsverarbeiter und der Kunde der Verantwortliche im Sinne der britischen DSGVO für alle personenbezogenen Daten, die von TRACKFORCE im Auftrag des Kunden gemäß den AGB von TRACKFORCE verarbeitet werden.

Paragraf Nr. 2-1: Gegenstand

Zweck dieser Ziffer 2.1 und ihrer Unterabschnitte ist es, die Bedingungen festzulegen, unter denen sich TRACKFORCE (in seiner Eigenschaft als Auftragsverarbeiter) verpflichtet, im Auftrag des Kunden (in seiner Eigenschaft als Verantwortlicher) die nachstehend definierten Verarbeitungsvorgänge in Bezug auf personenbezogene Daten durchzuführen.

Im Rahmen ihrer Vertragsbeziehungen verpflichten sich die Parteien, die geltenden Vorschriften zur Verarbeitung personenbezogener Daten und insbesondere die seit dem 23. Mai 2018 verbindliche britische DSGVO einzuhalten.

Klausel Nr. 2-2: Auftragsverarbeitung

TRACKFORCE und alle unter seiner Weisung handelnden Personen, die Zugang zu den personenbezogenen Daten des Kunden haben, verpflichten sich, diese Daten ausschließlich gemäß den dokumentierten Anweisungen des Kunden zu verarbeiten, einschließlich – falls erforderlich – der Übermittlung dieser Daten in ein Drittland oder an eine internationale Organisation, es sei denn, TRACKFORCE ist nach britischem Recht oder anderen für TRACKFORCE geltenden Rechtsvorschriften dazu verpflichtet. In diesem Fall informiert TRACKFORCE den Kunden vor der Verarbeitung über diese gesetzliche Verpflichtung, es sei denn, das betreffende Gesetz verbietet eine solche Unterrichtung aus wichtigen Gründen des öffentlichen Interesses.

TRACKFORCE wird den Kunden unverzüglich informieren, wenn nach Ansicht von TRACKFORCE eine Anweisung des Kunden einen Verstoß gegen das Recht des Vereinigten Königreichs oder andere einschlägige Rechtsvorschriften zum Schutz personenbezogener Daten darstellt.

Absatz Nr. 2-3: Beschreibung der Verarbeitung

TRACKFORCE ist berechtigt, im Auftrag des Kunden die personenbezogenen Daten zu verarbeiten, die für die Erbringung der zwischen den Parteien einvernehmlich festgelegten Dienstleistung(en) erforderlich sind, einschließlich der Dauer der Verarbeitung, ihrer Art und ihres Zwecks, ihrer Art und der Kategorien der betroffenen Personen sowie der Pflichten und Rechte des Kunden als Verantwortlicher.

Klausel Nr. 2-4: Pflichten von TRACKFORCE (als Auftragsverarbeiter) gegenüber dem Kunden (als Verantwortlicher)

Als Auftragsverarbeiter für die im Rahmen der Auftragsvergabe verarbeiteten Daten verpflichtet sich TRACKFORCE zu Folgendem:

• Die betreffenden personenbezogenen Daten dürfen ausschließlich für den bzw. die Zwecke verarbeitet werden, die Gegenstand der Verarbeitung sind.
• Verarbeiten Sie die Daten gemäß den dokumentierten Anweisungen des Auftraggebers als Verantwortlicher.
• Gewährleistung der Vertraulichkeit der verarbeiteten personenbezogenen Daten.
• Stellen Sie sicher, dass Personen, die gemäß dieser Vereinbarung zur Verarbeitung personenbezogener Daten befugt sind, (i) sich zur Wahrung der Vertraulichkeit verpflichten oder einer entsprechenden gesetzlichen Geheimhaltungspflicht unterliegen und (ii) die erforderliche Schulung zum Schutz personenbezogener Daten erhalten.
• Berücksichtigen Sie bei Tools, Produkten, Anwendungen oder Diensten die Grundsätze des „Datenschutz durch Technikgestaltung“ und des „Datenschutz durch Voreinstellungen“.

Klausel Nr. 2-5: Weitervergabe der Datenverarbeitung

Als Auftragsverarbeiter für die Daten, die Gegenstand des Vertrags zwischen den Parteien sind, kann TRACKFORCE einen weiteren Auftragsverarbeiter (im Folgenden „Unterauftragsverarbeiter“) mit der Durchführung bestimmter Verarbeitungsvorgänge beauftragen.

In diesem Fall informiert TRACKFORCE den Verantwortlichen im Voraus und schriftlich über jede geplante Änderung hinsichtlich der Hinzufügung oder des Austauschs eines weiteren Unterauftragsnehmers. Diese Information muss die im Rahmen der Unterauftragsvergabe durchgeführten Tätigkeiten, die Identität und die Kontaktdaten des Unterauftragsnehmers sowie die Daten der Unterauftragsvereinbarung eindeutig angeben. Der Verantwortliche hat ab dem Datum des Eingangs dieser Informationen eine Frist von 10 (zehn) Tagen, um Einwände zu erheben. Diese Unterauftragsvergabe darf nur erfolgen, wenn der Verantwortliche innerhalb der vereinbarten Frist keine Einwände erhoben hat.

Der Unterauftragsverarbeiter ist verpflichtet, die Verpflichtungen aus dieser Vereinbarung im Namen des Verantwortlichen und gemäß dessen Anweisungen zu erfüllen. Es liegt in der Verantwortung des Auftragsverarbeiters, sicherzustellen, dass der Unterauftragsverarbeiter ausreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bietet, um zu gewährleisten, dass die Verarbeitung den Anforderungen der britischen DSGVO entspricht. Erfüllt der Unterauftragsverarbeiter seine Datenschutzverpflichtungen nicht, bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung seiner Verpflichtungen verantwortlich.

Paragraf Nr. 2-6: Auskunftsrecht der betroffenen Personen

Es liegt in der Verantwortung des Auftraggebers als Verantwortlicher, die von den Verarbeitungsvorgängen betroffenen Personen zum Zeitpunkt der Datenerhebung zu informieren.

Paragraf Nr. 2-7: Ausübung der Rechte in Bezug auf personenbezogene Daten

Soweit möglich, unterstützt TRACKFORCE als Auftragsverarbeiter den Kunden als Verantwortlichen bei der Erfüllung seiner Verpflichtung, auf Anträge auf Ausübung der Rechte der betroffenen Personen zu reagieren: Recht auf Auskunft, Berichtigung, Löschung und Entfernung, Widerspruchsrecht, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit, Recht, nicht einer automatisierten Entscheidung (einschließlich Profiling) unterworfen zu werden.

Wenn betroffene Personen Anträge zur Ausübung ihrer Rechte an TRACKFORCE als Auftragsverarbeiter richten, muss TRACKFORCE diese Anträge unverzüglich nach ihrem Eingang per E-Mail an die im Profil des Kunden angegebene E-Mail-Adresse weiterleiten.

Paragraf Nr. 2-8: Meldung einer Verletzung des Schutzes personenbezogener Daten

In seiner Eigenschaft als Auftragsverarbeiter wird TRACKFORCE den Kunden als Verantwortlichen gemäß Artikel 68 der britischen DSGVO unverzüglich über jede Verletzung des Schutzes personenbezogener Daten informieren, und zwar per E-Mail an die im Profil des Kunden angegebene Kontakt-E-Mail-Adresse.

Dieser Meldung werden alle relevanten Unterlagen beigefügt, damit der Kunde als Verantwortlicher diese Datenschutzverletzung gegebenenfalls der Aufsichtsbehörde, in diesem Fall dem Information Commissioner’s Office (ICO), melden kann.

Klausel Nr. 2-9: Unterstützung des Kunden als Verantwortlicher durch TRACKFORCE als Auftragsverarbeiter bei der Erfüllung seiner datenschutzrechtlichen Verpflichtungens

Als Auftragsverarbeiter wird TRACKFORCE den Auftraggeber als Verantwortlichen im Falle einer Datenschutz-Folgenabschätzung oder einer Konsultation der Aufsichtsbehörde (ICO) unterstützen.

Die in dieser Ziffer 2-9 genannten Dienstleistungen werden von TRACKFORCE zu den jeweiligen finanziellen und zeitlichen Bedingungen erbracht, die im Voraus zwischen dem Kunden und TRACKFORCE zu vereinbaren sind.

Paragraf Nr. 2-10: Sicherheitsmaßnahmen

Da Artikel 66 der britischen DSGVO vorsieht, dass jeder Verantwortliche und jeder Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen muss, um ein Sicherheitsniveau zu gewährleisten, das den Risiken der Verarbeitung personenbezogener Daten angemessen ist, verpflichtet sich jede Partei, soweit es die personenbezogenen Daten betrifft, für die sie verantwortlich ist, Maßnahmen zu ergreifen, die darauf abzielen:

• Verhindern Sie unbefugte Verarbeitungen oder unbefugte Eingriffe in die damit verbundenen Systeme;
• Stellen Sie sicher, dass die genauen Einzelheiten jeder durchgeführten Verarbeitung ermittelt werden können;
• Stellen Sie sicher, dass alle im Zusammenhang mit der Verarbeitung verwendeten Systeme ordnungsgemäß funktionieren und im Falle einer Unterbrechung wiederhergestellt werden können, und ;
• Stellen Sie sicher, dass gespeicherte personenbezogene Daten nicht beschädigt werden können, falls ein im Zusammenhang mit der Verarbeitung genutztes System ausfällt.

Klausel Nr. 2-11: Verbleib der Daten

TRACKFORCE verpflichtet sich, personenbezogene Daten nach Ablauf ihrer Aufbewahrungsfrist, die sich nach der Art der Daten richtet, zu vernichten; dabei wird darauf hingewiesen, dass der Kunde regelmäßig eigene Sicherungskopien mithilfe der auf der Guardtek-Plattform zur Verfügung gestellten Softwaretools erstellen muss.

Paragraf Nr. 2-12: Datenschutzbeauftragter

TRACKFORCE teilt dem Kunden als Verantwortlichem auf dessen Anfrage hin den Namen und die Kontaktdaten seines Datenschutzbeauftragten, im Folgenden „DSB“ genannt, mit, der gemäß Artikel 69 der britischen DSGVO benannt wurde.

Klausel Nr. 2-13: Verzeichnis der Kategorien von Verarbeitungsvorgängen

Als Auftragsverarbeiter erklärt TRACKFORCE, dass es ein schriftliches Verzeichnis aller Kategorien von Verarbeitungsvorgängen führen wird, die im Auftrag des Kunden als Verantwortlicher durchgeführt werden, und das Folgendes enthält:

• Der Name und die Kontaktdaten von TRACKFORCE als Auftragsverarbeiter sowie aller anderen Auftragsverarbeiter, die von TRACKFORCE gemäß § 59 Abs. 3 beauftragt wurden;
• Name und Kontaktdaten des Auftraggebers als Verantwortlicher, in dessen Auftrag der Auftragsverarbeiter tätig ist;
• Gegebenenfalls den Namen und die Kontaktdaten des Datenschutzbeauftragten;
• Die Kategorien der Datenverarbeitung, die im Auftrag des Kunden als Verantwortlicher durchgeführt werden;
• Gegebenenfalls Angaben zur Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, sofern der für die Verarbeitung Verantwortliche dies ausdrücklich angeordnet hat, einschließlich der Angabe dieses Drittlandes oder dieser internationalen Organisation;
• Soweit möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß § 66 der britischen DSGVO.

Paragraf Nr. 2-14: Dokumentation

Als Auftragsverarbeiter stellt TRACKFORCE dem Kunden als Verantwortlichem die erforderlichen Unterlagen zur Verfügung, um die Einhaltung aller seiner Verpflichtungen nachzuweisen und um Audits, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten Prüfer zu ermöglichen, und wirkt an diesen Audits mit.

Klausel Nr. 3: Pflichten des Auftraggebers als Verantwortlicher gegenüber TRACKFORCE als Auftragsverarbeiter

Als Verantwortlicher verpflichtet sich der Auftraggeber zu Folgendem:

• Stellen Sie TRACKFORCE als Auftragsverarbeiter die in Abschnitt 2-3 dieser Vereinbarung aufgeführten Informationen und Daten zur Verfügung.
• Halten Sie alle Anweisungen bezüglich der Datenverarbeitung durch TRACKFORCE schriftlich fest.
• Stellen Sie im Vorfeld und während der gesamten Dauer der Verarbeitung sicher, dass die in der britischen DSGVO festgelegten Verpflichtungen eingehalten werden.
• Überwachung der Datenverarbeitung, einschließlich der Durchführung von Audits und Kontrollen mit TRACKFORCE.

Klausel Nr. 4: Beibehaltung der nicht widersprechenden Bestimmungen der AGB von TRACKFORCE 

Diese Datenverarbeitungsklauseln ergänzen die Allgemeinen Geschäftsbedingungen von TRACKFORCE, deren nicht widersprechende Bestimmungen weiterhin gelten.