Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (im Folgenden: der „Auftragsverarbeitungsvertrag“) bildet einen Bestandteil des Vertrags mit dem Kunden, zusätzlich zu den Allgemeinen Geschäftsbedingungen und der Softwarelizenz von Chapps.

Erwägungen

Im Rahmen der Erbringung der Dienstleistungen für den Kunden wird Chapps Zugang zu personenbezogenen Daten haben und/oder diese personenbezogenen Daten anderweitig verarbeiten müssen, für die der Kunde als „Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung vom 27. April 2016 (der Verordnung des Europäischen Parlaments und des Rates über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und über den freien Verkehr solcher Daten, oder „DSGVO“) verantwortlich ist.

Mit diesem Auftragsverarbeitungsvertrag möchten die Parteien ihre gegenseitigen Vereinbarungen über (i) die Verwaltung, Sicherheit und/oder Verarbeitung solcher personenbezogener Daten sowie (ii) die Verpflichtung der Parteien zur Einhaltung der Datenschutzgesetz schriftlich festhalten.

Bitte beachten Sie, dass dieser Auftragsverarbeitungsvertrag ausschließlich der Rolle von Chapps als Auftragsverarbeiter betrifft und nicht als Verantwortlicher. Weitere Informationen über die Verarbeitung personenbezogener Daten durch Chapps (seiner Kunden) in seiner Eigenschaft als Verantwortlicher finden Sie in unserer Datenschutzrichtlinie.

DAHER VEREINBAREN DIE PARTEIEN FOLGENDES

1 BEGRIFFSBESTIMMUNGEN

In diesem Auftragsverarbeitungsvertrag haben die folgenden, großgeschriebenen Begriffe die im Folgenden beschriebenen Bedeutungen.

„Vertrag“, „Kunde“, „Kundenkonto“, „Kundendaten“, „Partei/Parteien“, „Dienstleistungen“, „Softwarelizenz“, „Chapps“, „Chapps Apps“ und „Chapps Software“ haben die Bedeutung, die ihnen in den Allgemeinen Geschäftsbedingungen und der Softwarelizenz zugewiesen wird.

Allein für die Zwecke dieses AUFTRAGSVERARBEITUNGSVERTRAGS bezeichnet „personenbezogene Kundendaten“ alle personenbezogenen Daten, für die der Kunde als „Verantwortlicher“ fungiert und die Chapps voraussichtlich im Rahmen der Erbringung seiner Dienstleistungen zugunsten des Kunden verarbeiten wird. Eine nicht erschöpfende Liste findet sich in Anlage I. Zur Klarstellung: Diese Definition ist weiter gefasst als diejenige in den Servicebedingungen.

„Verantwortlicher“, „Betroffene Person“, „Datenpanne“, „Personenbezogene Daten“, „Auftragsverarbeiter“ und „Verarbeitung/Verarbeiten“ haben die Bedeutung gemäß DSGVO.

Integration: Eine Software-Integration zwischen der Chapps-Software und einer Drittanbieteranwendung, die über die API (Application Programming Interface) der Chapps-Software ermöglicht wird.

Optionale Integration: Eine Integration, die der Kunde eigenständig auswählt und aktiviert und die er während der Vertragslaufzeit deaktivieren kann.

Standardintegration: Eine Integration, die automatisch bei Nutzung der Dienstleistungen aktiviert wird und vom Kunden während der Vertragslaufzeit nicht deaktiviert werden kann.

Unterauftragsverarbeiter: Jeder Auftragsverarbeiter, den Chapps im Rahmen dieses Auftragsverarbeitungsvertrags beauftragt und autorisiert hat, weil dieser logische Zugang zu bestimmten personenbezogenen Kundendaten benötigt und diese verarbeiten muss, um Teile der Dienstleistungen und technischen Support bereitzustellen. Dies umfasst, aber beschränkt sich nicht zwingend auf, alle Standardintegrationen, die personenbezogene Kundendaten verarbeiten.

Dieser Auftragsverarbeitungsvertrag umfasst folgende Anlagen:

• Anlage I:
  Übersicht über (i) die personenbezogenen Daten, deren Verarbeitung die Parteien erwarten, (ii) die Kategorien betroffener Personen, (iii) die Nutzung (d. h. die Art der Verarbeitung), (iv) die Zwecke und Mittel dieser Verarbeitung sowie (v) die Aufbewahrungsdauer.
• Anlage II:
  Übersicht und Beschreibung der Sicherheitsmaßnahmen, die Chapps im Rahmen dieses Auftragsverarbeitungsvertrags getroffen hat.
• Anlage III:
  Liste der Unterauftragsverarbeiter von Chapps.

2 ROLLE DER PARTEIEN

Die Parteien erkennen an und vereinbaren, dass der Kunde im Hinblick auf die Verarbeitung personenbezogener Kundendaten als „Verantwortlicher“ gilt und Chapps als „Auftragsverarbeiter“. Chapps kann zudem einen oder mehrere Unterauftragsverarbeiter gemäß den Anforderungen in Artikel 6 beauftragen.

3 NUTZUNG DER DIENSTLEISTUNGEN

3.1 Der Kunde erkennt ausdrücklich an:

• Chapps tritt ausschließlich als Anbieter seiner Dienstleistungen auf. Der Kunde ist daher allein verantwortlich für die Nutzung der Dienstleistungen;
• Er allein ist verantwortlich für die Einhaltung aller gesetzlichen Vorschriften (unter anderem, aber nicht nur, bezüglich der Aufbewahrungsfristen), die ihm bei der Nutzung der Dienstleistungen auferlegt werden.

3.2 Im Falle eines Missbrauchs der Dienstleistungen durch den Kunden stimmt der Kunde zu, dass Chapps in dieser Hinsicht niemals haftbar gemacht werden kann, auch nicht für Schäden, die aus einem solchen Missbrauch entstehen.

3.3 Der Kunde verpflichtet sich daher, Chapps von jeglichen Forderungen freizustellen, die sich aus einem solchen Missbrauch ergeben, einschließlich Forderungen von betroffenen Personen und/oder Dritten.

4 GEGENSTAND

4.1 Der Kunde erkennt an, dass Chapps infolge der Nutzung der Dienstleistungen personenbezogene Kundendaten verarbeiten wird.

4.2 Chapps wird die personenbezogenen Kundendaten ordnungsgemäß, sorgfältig und im Einklang mit den Datenschutzgesetzen sowie anderen geltenden Vorschriften über die Verarbeitung personenbezogener Daten verarbeiten. Insbesondere stellt Chapps bei der Erbringung der Dienstleistungen im Rahmen des Vertrags sein gesamtes Fachwissen zur Verfügung, um die Dienstleistungen sachgerecht und professionell auszuführen.

4.3 Ungeachtet dessen wird Chapps personenbezogene Kundendaten nur auf Anfrage des Kunden und gemäß seinen Anweisungen — wie in Anlage I beschrieben — verarbeiten, es sei denn, gesetzliche Bestimmungen verlangen etwas anderes.

Der Kunde ist als Verantwortlicher Eigentümer und behält die volle Kontrolle über (i) die Verarbeitung personenbezogener Kundendaten, (ii) die Arten der personenbezogenen Kundendaten, (iii) den Zweck der Verarbeitung sowie (iv) die Frage, ob eine solche Verarbeitung verhältnismäßig ist.

Zudem ist der Kunde allein verantwortlich für die Einhaltung aller gesetzlichen Verpflichtungen in seiner Rolle als Verantwortlicher (unter anderem, aber nicht nur, bezüglich der Aufbewahrungsfristen) und allein verantwortlich für die Genauigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Kundendaten, die in die Chapps-Software eingegeben werden, sowie für die Art und Weise, wie diese personenbezogenen Kundendaten erlangt wurden. Die Verantwortung und Kontrolle bezüglich der personenbezogenen Kundendaten liegen im Rahmen dieses Auftragsverarbeitungsvertrags niemals bei Chapps.

5 SICHERHEITSMAßNAHMEN

Unter Berücksichtigung des Stands der Technik ergreift Chapps geeignete technische und organisatorische Maßnahmen zum Schutz (i) der personenbezogenen Kundendaten — einschließlich Schutz vor unsachgemäßer, unzulässiger oder rechtswidriger Nutzung und/oder Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Schaden — sowie zum Schutz (ii) der Vertraulichkeit und Integrität der personenbezogenen Kundendaten, wie in Anlage II beschrieben.

6 UNTERAUFTRAGSVERARBEITER

6.1 Der Kunde erkennt an und stimmt zu, dass Chapps im Rahmen des Vertrags weitere Unterauftragsverarbeiter beauftragen kann. In diesem Fall stellt Chapps sicher, dass die Unterauftragsverarbeiter an mindestens dieselben Verpflichtungen gebunden sind, die auch Chapps im Rahmen dieses Auftragsverarbeitungsvertrags einhalten muss.

6.2 Die Liste aller Unterauftragsverarbeiter ist in Anlage II enthalten. Diese Liste enthält die Identität und das Land der Niederlassung der Unterauftragsverarbeiter. Sie umfasst stets alle Standardintegrationen, die personenbezogene Kundendaten verarbeiten. Die Parteien vereinbaren, dass Anbieter optionaler Integrationen im Sinne dieses Auftragsverarbeitungsvertrags keine Unterauftragsverarbeiter sind. Wenn der Kunde optionale Integrationen nutzt, um das Kundenkonto zu personalisieren, entsteht ein eigenständiges Vertragsverhältnis zwischen dem Kunden und dem Anbieter der optionalen Integration. Chapps prüft nicht, ob und wie der Kunde diese optionalen Integrationen nutzt, und trägt daher kein Risiko in diesem Zusammenhang. Der Verantwortliche ist allein für diese optionalen Integrationen verantwortlich. Chapps empfiehlt dem Kunden, mit den Anbietern der von ihm ausgewählten optionalen Integrationen einen gesonderten Auftragsverarbeitungsvertrag abzuschließen.

6.3 Chapps verpflichtet sich, den Kunden schriftlich über jede geplante Änderung dieser Liste zu informieren (zum Beispiel bei Hinzufügung oder Ersatz eines Unterauftragsverarbeiters).
Der Kunde hat das Recht, gegen einen neuen Unterauftragsverarbeiter Einspruch zu erheben.
Wenn der Kunde dieses Recht ausüben möchte, muss er Chapps innerhalb von zehn (10) Tagen nach Erhalt der Mitteilung gemäß Artikel 6.3 schriftlich und begründet informieren.

6.4 Wenn der Kunde gegen einen neuen Unterauftragsverarbeiter Einspruch erhebt und dieser Einspruch nicht als unangemessen gilt, wird Chapps sich in Abstimmung mit dem Kunden angemessen bemühen, eine Lösung zu finden.
Sollte Chapps dies nicht gelingen, kann der Kunde den Vertrag kündigen, sofern:

• der Kunde die Dienstleistungen ohne den betreffenden neuen Unterauftragsverarbeiter nicht nutzen kann; und/oder
• die Kündigung ausschließlich die Dienstleistungen betrifft, die Chapps ohne den betreffenden neuen Unterauftragsverarbeiter nicht erbringen kann;

und er Chapps innerhalb einer angemessenen Frist schriftlich darüber informiert.

7 DATENSCHUTZBEAUFTRAGTER

7.1 Chapps hat einen Datenschutzbeauftragten (Privacy Officer) benannt.

7.2 Dieser Datenschutzbeauftragte ist erreichbar unter privacy@chapps.com.

8 ÜBERMITTLUNG PERSONENBEZOGENER KUNDENDATEN AUSSERHALB DES EWR

Jede Übermittlung personenbezogener Kundendaten außerhalb des EWR an einen Empfänger, dessen Wohnsitz oder Sitz nicht unter einen Angemessenheitsbeschluss der Europäischen Kommission fällt, unterliegt den Bedingungen einer Vereinbarung zur Datenübermittlung, die (i) Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 enthält oder (ii) andere Mechanismen vorsieht, die im Datenschutzrecht und anderen geltenden Vorschriften zur Verarbeitung personenbezogener Daten vorgesehen sind.

9 VERTRAULICHKEIT

9.1 Chapps behandelt personenbezogene Kundendaten vertraulich und wird diese nicht ohne vorherige schriftliche Zustimmung des Kunden an Dritte weitergeben oder offenlegen, es sei denn:

• es liegt eine ausdrückliche schriftliche Abweichung von dieser Vertraulichkeitsverpflichtung vor;
• die Offenlegung ist gesetzlich oder durch gerichtliche oder behördliche Anordnung erforderlich (gleich welcher Art). In diesem Fall wird Chapps den Umfang und die Art der Offenlegung mit dem Kunden besprechen.

9.2 Chapps stellt sicher, dass seine Mitarbeiter, die an der Erbringung der Dienstleistungen im Rahmen des Vertrags beteiligt sind, über die Vertraulichkeit der personenbezogenen Kundendaten informiert sind, eine angemessene Schulung erhalten haben und eine schriftliche Vertraulichkeitsvereinbarung unterzeichnet haben. Diese Vertraulichkeitsverpflichtung bleibt auch nach Beendigung des Beschäftigungsverhältnisses bestehen.

9.3 Chapps stellt sicher, dass der Zugang zu personenbezogenen Kundendaten auf die Mitarbeiter beschränkt ist, die die Dienstleistungen im Rahmen des Vertrags und des Auftragsverarbeitungsvertrags erbringen.

10 MELDUNG

10.1 Chapps bemüht sich nach bestem Vermögen, den Kunden innerhalb eines angemessenen Zeitraums zu informieren, wenn es:

• eine Anfrage, Vorladung oder ein Auskunfts-/Auditverlangen einer zuständigen Behörde bezüglich der Verarbeitung personenbezogener Kundendaten erhält;
• beabsichtigt, personenbezogene Kundendaten an eine zuständige Behörde offenzulegen;
• eine Datenpanne feststellt oder begründet vermutet, die personenbezogene Kundendaten betrifft.

10.2 Im Falle einer Datenpanne verpflichtet sich Chapps:

• den Kunden unverzüglich nach Kenntnisnahme der Datenpanne zu informieren und soweit möglich bei der Erfüllung seiner Meldepflichten gemäß Datenschutzrecht zu unterstützen;
• so schnell wie möglich geeignete Korrekturmaßnahmen zu ergreifen, um die Datenpanne zu beheben und zukünftige Datenpannen zu verhindern oder einzuschränken.

11 RECHTE BETROFFENER PERSONEN

11.1 Soweit der Kunde im Rahmen seiner Nutzung der Dienstleistungen nicht in der Lage ist, personenbezogene Kundendaten zu berichtigen, zu ändern, zu sperren oder zu löschen, wie es die Datenschutzgesetze vorsehen, wird Chapps — soweit gesetzlich zulässig — jeder kommerziell angemessenen Anfrage des Kunden nachkommen, um solche Maßnahmen zu erleichtern.
Soweit gesetzlich zulässig, trägt der Kunde alle Kosten, die durch diese Unterstützung durch Chapps entstehen.

11.2 Chapps wird — soweit gesetzlich zulässig — den Kunden unverzüglich informieren, wenn es eine Anfrage einer betroffenen Person erhält, die Einsicht, Berichtigung, Änderung oder Löschung ihrer personenbezogenen Daten betrifft. Chapps wird jedoch nicht ohne vorherige schriftliche Zustimmung des Kunden auf eine solche Anfrage reagieren, außer um zu bestätigen, dass sich die Anfrage auf den Kunden bezieht — wozu der Kunde hiermit seine Zustimmung erteilt.

Chapps gewährt dem Kunden eine kommerziell angemessene Kooperation und Unterstützung bei der Bearbeitung von Anfragen betroffener Personen auf Auskunft über deren personenbezogene Daten, soweit dies gesetzlich zulässig ist und der Kunde durch seine Nutzung der Dienstleistungen keinen Zugriff auf diese personenbezogenen Daten hat.
Soweit gesetzlich zulässig, trägt der Kunde alle Kosten, die durch diese Unterstützung durch Chapps entstehen.

12 RÜCKGABE UND LÖSCHUNG PERSONENBEZOGENER KUNDENDATEN

12.1 Chapps bietet dem Kunden nach Möglichkeit die Möglichkeit, während der Vertragslaufzeit personenbezogene Daten aus dem Kundenkonto zu löschen. Dadurch kann der Kunde seine eigenen Verantwortlichkeiten hinsichtlich Datenminimierung und Speicherbegrenzung als Verantwortlicher erfüllen.

12.2 Bei Beendigung der Softwarelizenz kann der Kunde die personenbezogenen Kundendaten (sowie andere personenbezogene und nicht personenbezogene Daten) aus dem Kundenkonto exportieren lassen — auf Anfrage und gegen eine Gebühr für den dafür erforderlichen Aufwand. Dies muss vor dem Ende der Softwarelizenz geschehen. Sobald die Softwarelizenz endet, führt Chapps zunächst eine „Soft Deletion“ (weiches Löschen) der personenbezogenen Kundendaten für einen Zeitraum von dreißig (30) Kalendertagen durch. Während dieses Zeitraums kann das Kundenkonto ausschließlich durch Eingreifen von Chapps wiederhergestellt oder ein Export der Kundendaten bereitgestellt werden. Hierfür kann Chapps Kosten berechnen.

Anschließend löscht Chapps dreißig (30) Tage nach Beendigung der Softwarelizenz die personenbezogenen Kundendaten dauerhaft („Hard Deletion“). Nach einer Hard Deletion ist eine Wiederherstellung des Kundenkontos oder ein Export der Kundendaten nicht mehr möglich.

13 PRÜFRECHTE

13.1 Chapps verpflichtet sich, dem Kunden alle Informationen bereitzustellen, die er benötigt, um die Einhaltung dieses Auftragsverarbeitungsvertrags durch Chapps zu überprüfen.

13.2 In diesem Zusammenhang erlaubt Chapps dem Kunden (oder einem vom Kunden beauftragten Dritten), Inspektionen — einschließlich Audits — durchzuführen und die erforderliche Unterstützung zu leisten. Soweit gesetzlich zulässig, trägt der Kunde alle Kosten, die durch diese Unterstützung durch Chapps entstehen.
Alle Inspektionen müssen während der normalen Geschäftszeiten in der entsprechenden Einrichtung durchgeführt werden, unter Beachtung der Richtlinien von Chapps, und dürfen die Geschäftstätigkeit von Chapps nicht unangemessen beeinträchtigen.

14 VERSCHIEDENE BESTIMMUNGEN

14.1 Der Auftragsverarbeitungsvertrag bleibt in Kraft, solange der Vertrag besteht. Die Bestimmungen dieses Auftragsverarbeitungsvertrags gelten, soweit dies für dessen Erfüllung erforderlich ist und soweit sie nach dessen Beendigung weitergelten sollen (unter anderem, aber nicht nur, Artikel 9 und 15).

14.2 Sollte eine oder mehrere Bestimmungen dieses Auftragsverarbeitungsvertrags ganz oder teilweise ungültig, rechtswidrig oder nicht durchsetzbar sein, bleibt der Rest dieser Bestimmung und des Auftragsverarbeitungsvertrags vollumfänglich in Kraft, als wäre die betreffende Bestimmung nicht enthalten. Die Parteien werden in diesem Fall verhandeln, um die ungültige Bestimmung durch eine inhaltlich gleichwertige Klausel zu ersetzen, die dem Geist dieses Auftragsverarbeitungsvertrags entspricht. Kommt keine Einigung zustande, kann das zuständige Gericht die ungültige Bestimmung auf das rechtlich zulässige Maß reduzieren.

14.3 Abweichungen, Änderungen und/oder Ergänzungen dieses Auftragsverarbeitungsvertrags sind nur gültig und verbindlich, wenn sie schriftlich von beiden Parteien akzeptiert wurden. Die Parteien können diesen Auftragsverarbeitungsvertrag sowie die entsprechenden Rechte und Pflichten nicht ohne vorherige schriftliche Zustimmung der anderen Partei übertragen.

14.5 Wiederholte Nichtdurchsetzung einer Bestimmung durch eine oder beide Parteien gilt ausschließlich als Duldung eines bestimmten Zustands und stellt keinen Verzicht dar.

14.6 Dieser Auftragsverarbeitungsvertrag hat Vorrang vor jeder anderen Vereinbarung über Auftragsverarbeitung zwischen den Parteien sowie vor allen widersprüchlichen Bestimmungen über die Verarbeitung personenbezogener Kundendaten in anderen Verträgen oder schriftlichen Mitteilungen zwischen den Parteien.

15 ANWENDBARES RECHT UND GERICHTSBARKEIT

Alle Fragen und Streitigkeiten über die Gültigkeit, Auslegung, Durchsetzung, Ausführung oder Beendigung dieses Auftragsverarbeitungsvertrags unterliegen ausschließlich belgischem Recht, ohne Anwendung etwaiger Rechtswahl- oder Kollisionsnormen (belgischer, ausländischer oder internationaler), die zur Anwendung eines anderen Rechts führen würden.

15.1 Alle Streitigkeiten über die Gültigkeit, Auslegung, Durchsetzung, Ausführung oder Beendigung dieses Auftragsverarbeitungsvertrags werden ausschließlich von den Gerichten des Bezirks entschieden, in dem sich der Gesellschaftssitz von Chapps befindet.

ANLAGE I:

Verarbeitung personenbezogener Daten durch Chapps

Dieses Dokument enthält eine Übersicht der personenbezogenen Daten, die Chapps im Auftrag des Kunden gemäß dem Vertrag verarbeiten muss, einschließlich der Kategorien betroffener Personen, der Art der Verarbeitung, der Mittel und Zwecke der Verarbeitung sowie der Aufbewahrungsdauer der personenbezogenen Daten.

1. Verarbeitete personenbezogenen Daten

   Personenbezogene Daten der Benutzer:

• Vorname
• Nachname
• E-Mail-Adresse
• Telefonnummer
• Benutzerrolle
• Profilbild
• Unterschrift
• Weitere personenbezogene Daten, abhängig von der Nutzung der Dienstleistungen durch den Kunden (z. B. Hochladen von Dokumenten mit personenbezogenen Daten, Eingabe von Beschreibungen in Freitextfeldern, die personenbezogene Daten enthalten).

b) Personenbezogene Daten Dritter (z. B. Kunden, Interessenten, Geschäftspartnern, Kunden des Kunden):

• Vorname
• Nachname
• E-Mail-Adresse(n)
• Telefonnummer(n)
• Faxnummer(n)
• Anschrift(en)
• Geschlecht
• Sprache
• Geburtsdatum
• Geburtsort
• Belgische Registernummer
• Ausweisnummer
• IBAN und BIC
• Bild
• Weitere personenbezogene Kundendaten, abhängig von der Nutzung der Dienstleistungen durch den Kunden.

Chapps erwartet keinesfalls die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne der Datenschutzgesetze, einschließlich, aber nicht beschränkt auf, Gesundheitsdaten, ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, sexuelle Orientierung usw. Die Verantwortung für jegliche Verarbeitung solcher sensiblen Daten über das Kundenkonto und die Dienstleistungen liegt allein beim Kunden.

2. Kategorien betroffener Personen

• Benutzer
• Kunden des Kunden
• Dienstleister des Kunden
• Geschäftspartner des Kunden
• Andere betroffene Personen, deren personenbezogene Daten durch den Benutzer in die Chapps-Software eingegeben werden.

3. Nutzung personenbezogener Daten, Mittel und Zwecke der Verarbeitung

Nutzung personenbezogener Daten:

• Bereitstellung personenbezogener Kundendaten zur einfachen Einsicht, Bearbeitung, Analyse und zum Export im Kundenkonto;
• Speicherung personenbezogener Kundendaten in der Cloud;
• Erstellung von Backups personenbezogener Kundendaten zur Notfallwiederherstellung.

Mittel der Verarbeitung:

• Die Chapps-Software;
• Die Standardintegrationen.

Zwecke der Verarbeitung:

• Hinzufügen personenbezogener Kundendaten zur Nachverfolgung
• Nachverfolgung im Rahmen des Immobilienmanagements des Kunden
• Erstellung von Inspektionsprotokollen durch den Kunden
• Erstellung von Dokumenten durch den Kunden
• Verwaltung von Mietakten
• Erstellung und Verwaltung von Benachrichtigungen durch Kunden des Kunden
• Speicherung und Verwaltung von Dokumenten
• Planung und Nachverfolgung von Terminen

4. Aufbewahrungsdauer

Chapps speichert personenbezogene Kundendaten, solange der Vertrag in Kraft ist, es sei denn, der Kunde löscht oder fordert deren frühere Löschung an.

Nach Beendigung des Vertrags führt Chapps zunächst eine Soft Deletion aller personenbezogenen Kundendaten durch. Anschließend werden die personenbezogenen Kundendaten frühestens dreißig (30) Tage und spätestens drei (3) Monate nach Vertragsende dauerhaft gelöscht (Hard Deletion).

In einigen Fällen führt Chapps zuerst eine Soft Deletion durch, bevor personenbezogene Kundendaten dauerhaft gelöscht werden. Soft Deletion ermöglicht es, Fehler des Kunden rückgängig zu machen und das Kundenkonto innerhalb von 30 Tagen wiederherzustellen.

Nach Vertragsende ist Chapps berechtigt, anonymisierte Kundendaten (oder Teile davon) für Forschungs-, Ausbildungs-, Lehr-, Statistik- oder kommerzielle Zwecke aufzubewahren.

ANLAGE II:

Sicherheit personenbezogener Daten durch Chapps

Dieses Dokument enthält die technischen und organisatorischen Sicherheitsmaßnahmen, die Chapps zur Unterstützung seiner (Verarbeitungs-)Tätigkeiten gemäß den Datenschutzgesetzen ergriffen hat.

1. Physische Zugangskontrolle zur Verarbeitungsinfrastruktur

Die Server für Apps, Webanwendungen, Kommunikation, Medienspeicherung und Datenbanken von Chapps befinden sich in sicheren Rechenzentren in Belgien, die von Accenture betrieben werden. Chapps hat mit Accenture einen Auftragsverarbeitungsvertrag zur Einhaltung der Datenschutzbestimmungen abgeschlossen.

2. Logische Zugangskontrolle zu Systemen für die Verarbeitung personenbezogener Daten

Chapps hat Maßnahmen ergriffen, um zu verhindern, dass Systeme zur Verarbeitung personenbezogener Daten von Unbefugten genutzt werden.

Dies wird erreicht durch:

• Identifikation des Endgeräts und/oder des Nutzers;
• Automatische Abmeldung bei Inaktivität;
• Automatische Sperrung nach mehreren fehlerhaften Passwortversuchen mit regelmäßiger Überprüfung der Protokolle;
• Zugriffskontrolle mittels Firewall, Router und VPN;
• Ad-hoc-Sicherheitsüberprüfungen;
• Regelmäßige Sicherheitsanalysen durch interne und externe Auditoren;
• Sichere Vergabe und Speicherung von Zugangsdaten;
• Rollenbasierte Zugriffskontrolle ausschließlich nach dem Prinzip der minimal erforderlichen Rechte;
• Protokollierung von Zugriffen auf Server, Anwendungen, Datenbanken, Router, Switches usw.;
• Nutzung kommerzieller und maßgeschneiderter Tools zur Analyse der Chapps-Software und Systemprotokolle.

3. Verfügbarkeitskontrolle

Chapps hat geeignete Maßnahmen ergriffen, um personenbezogene Kundendaten vor zufälliger Zerstörung oder Verlust zu schützen.

Dies wird erreicht durch:

• Redundante Infrastruktur;
• Laufende Bewertung der Rechenzentren und Internetanbieter zur Optimierung von Bandbreite, Latenz und Ausfallsicherheit;
• Unterbringung von Rechenzentren an geschützten, Carrier-neutralen Standorten mit physischer Sicherheit, redundanter Stromversorgung und redundanter Infrastruktur;
• Service Level Agreements mit Internetanbietern zur Gewährleistung maximaler Verfügbarkeit;
• Schnellen Failover bei Störungen.

4. Übertragungskontrolle

Chapps ergreift Maßnahmen, um zu verhindern, dass Unbefugte personenbezogene Kundendaten bei der Übertragung lesen, kopieren, verändern oder löschen.

Dies wird erreicht durch:

• Einsatz geeigneter Firewall- und Verschlüsselungstechnologien;
• Verschlüsselung personenbezogener Kundendaten während der Übertragung mittels aktueller TLS-Versionen oder anderer Sicherheitsprotokolle mit starken Algorithmen;
• Geschützten Zugriff auf Mitarbeiteroberflächen über TLS;
• Ende-zu-Ende-Verschlüsselung für Remotezugriff, Support oder Echtzeitkommunikation.

5. Eingabekontrolle

Chapps stellt sicher, dass nachvollzogen werden kann, ob und von wem personenbezogene Kundendaten eingegeben, verändert oder gelöscht wurden.

Dies wird erreicht durch:

• Authentifizierung autorisierter Mitarbeiter;
• Schutzmaßnahmen bei der Eingabe, Änderung und Löschung von Daten sowie Protokollierung wesentlicher Änderungsvorgänge;
• Trennung und Schutz gespeicherter personenbezogener Daten durch Datenbankschemata, Zugriffskontrollen und Verschlüsselung;
• Verwendung personenbezogener Anmeldedaten;
• Physische Sicherung der Datenverarbeitungsstandorte;
• Automatische Sitzungs-Timeouts.

6. Kontrolle und Monitoring

Chapps greift nur in folgenden Fällen auf personenbezogene Kundendaten zu:

• zur Erbringung der vertraglichen Dienstleistungen;
• zur Durchführung von Sicherheitsprüfungen;
• zur Unterstützung des Kunden;
• zur Nutzungsauswertung und statistischen Analyse;
• wenn gesetzlich vorgeschrieben;
• auf Anfrage des Kunden.

Dies wird erreicht durch:

• Individuelle Zuweisung von Systemadministratoren;
• Striktes Zugriffsmanagement proportional zur Funktion des Mitarbeiters;
• Protokollierung von Administratorzugriffen.

ANLAGE III:

Unterauftragsverarbeiter

Nachfolgend finden Sie eine Liste der Unterauftragsverarbeiter von Chapps NV. Diese wurden sorgfältig ausgewählt, um die hohen Standards bei der Verarbeitung Ihrer Daten einzuhalten.

Rechtsträger – Zweck – Hosting-Standort – Adresse

Accenture NV – Cloud-Infrastruktur: Hosting und Datenspeicherung – Belgien (EU) – Picardstraat 11 bus 100, 1000 Brüssel, Belgien

Teamleader NV – Kundenverwaltung, Rechnungen und Zahlungen – Irland (EU) – Dok Noord 3A / 101, 9000 Gent, Belgien

Freshworks Inc. – Support-Tickets, Support Center Website – EU – 2950 S. Delaware Street, Suite 201, San Mateo CA 94403, USA

Hubspot Ireland Limited – Lead-Verarbeitung, CRM, Marketing, Kommunikation, Online-Termine, Verkaufsunterstützung – Irland (EU) – One Sir John Rogerson’s Quay, Dublin 2, Irland

Aareon Deutschland GmbH – API-Integration für Datenaustausch zwischen Chapps-Software und Aareon-ERP-Systemen – Deutschland (EU) – Isaac-Fulda-Allee 6, 55124 Mainz, Deutschland

UTS innovative Softwaresysteme GmbH – API-Integration für Datenaustausch zwischen Chapps-Software und KARTHAGO-ERP – Deutschland (EU) – Richmodstraße 6, 50667 Köln, Deutschland

Thurnherr SA – API-Integration für Datenaustausch zwischen Chapps-Software und immob10 – Schweiz – Morgenstraße 121, Postfach 753, 3018 Bern, Schweiz

Informant Software B.V. – API-Integration für Datenaustausch zwischen Chapps-Software und Informant – Niederlande (EU) – Kwaklaan 9, 2291 AT Wateringen, Niederlande

Pararius B.V. – API-Integration für Datenaustausch zwischen Chapps-Software und Pararius – Niederlande (EU) – Blaak 555, 3011 GB Rotterdam, Niederlande

Vlaams Energiebedrijf NV – Austausch von Energiezählerdaten über REST-API mit dem Backoffice des VEB – Belgien (EU) – Havenlaan 88, 1000 Brüssel, Belgien

Enloc AG – Austausch von Energiezählerständen über eine REST-API mit dem Backoffice von Enloc – Deutschland, EU – Am Schießhaus 1–3, 01067 Dresden, Deutschland