zwischen
Bangert Projects UG (haftungsbeschränkt), Peter-Paul-Althaus-Str. 9f, 80805 München, vertreten durch den Geschäftsführer Dennis Bangert
– Auftragsverarbeiter –
und
[Name, Anschrift und Vertretung des Kunden]
– Verantwortlicher –
Der Auftragsverarbeiter stellt die SaaS-Plattform Loop Talent bereit und verarbeitet personenbezogene Daten ausschließlich für den Verantwortlichen. Gegenstand, Zweck, Datenarten und betroffene Personen ergeben sich aus Anlage 1. Die Verarbeitung beginnt mit dem Hauptvertrag und endet mit Abschluss der Rückgabe oder Löschung nach Ziffer 7.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere Rechtsgrundlagen, Informationspflichten und Löschfristen, verantwortlich.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht nach Unions- oder Mitgliedstaatrecht zu einer Verarbeitung verpflichtet ist. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
Die zur Verarbeitung befugten Personen sind auf Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO; die wesentlichen Maßnahmen enthält Anlage 3. Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei Betroffenenanfragen sowie bei Pflichten nach Art. 32 bis 36 DSGVO.
Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich und stellt die für dessen Bewertung und Meldung verfügbaren Informationen bereit.
Der Verantwortliche genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet diese vertraglich zu mindestens gleichwertigen Datenschutzpflichten.
Vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Erzielen die Parteien keine Lösung, kann jede Partei den betroffenen Leistungsteil außerordentlich kündigen.
Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
Der Auftragsverarbeiter berichtigt, löscht oder beschränkt Daten nur nach Weisung des Verantwortlichen, soweit keine gesetzliche Pflicht entgegensteht. Er unterstützt den Verantwortlichen bei der Beantwortung von Anfragen Betroffener. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, soweit rechtlich zulässig.
Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zum Nachweis dieses Vertrags zur Verfügung. Der Verantwortliche darf nach angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Vertraulichkeit Prüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Geeignete Nachweise, Prüfberichte oder Selbstauskünfte gehen einer Vor-Ort-Prüfung vor.
Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter dem Verantwortlichen die verfügbaren Kundendaten heraus oder löscht sie nach dessen Weisung. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Daten in Sicherungskopien werden mit dem regulären Überschreibzyklus gelöscht und bis dahin nicht produktiv verarbeitet, soweit keine Wiederherstellung erforderlich ist. Die Löschung wird auf Anfrage in Textform bestätigt.
Dieser Vertrag geht bei Auftragsverarbeitungen dem Hauptvertrag vor. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Ort, Datum: ______________________________
Für den Verantwortlichen: ______________________________
Für den Auftragsverarbeiter: ______________________________
| Zweck | Betroffene Personen | Datenarten |
|---|---|---|
| Bereitstellung von Konto, Zugriff und Organisation | Nutzer des Kunden | Name, geschäftliche E-Mail-Adresse, Rolle, Profilangaben, Passwort- und Sitzungsdaten |
| Recruiting, Kandidaten- und Kundenverwaltung | Bewerber, Kandidaten, Ansprechpartner | Stamm- und Kontaktdaten, Bewerbungs- und Kommunikationsdaten, Qualifikationen, Verfügbarkeit, Status, Notizen, Profil-Links und Anhänge |
| Dokumente, Termine und Zusammenarbeit | Bewerber, Kandidaten, Nutzer, Ansprechpartner | Lebensläufe, Anschreiben, Zeugnisse, Arbeitserlaubnisse, Führerscheine, Ausweiskopien, Führungszeugnisse, Termin-, Nachrichten- und Dateidaten |
| Team, Arbeitszeit und Abwesenheiten | Beschäftigte und Nutzer des Kunden | Arbeitszeit-, Urlaubs-, Abwesenheits- und Notizdaten |
| Optionale Kalenderanzeige | Nutzer des Kunden; mittelbar Personen in Ereignissen | Zugangstoken sowie Titel, Zeit, Ort, Beschreibung und Link von Kalenderereignissen |
Der Verantwortliche verarbeitet besondere Kategorien personenbezogener Daten oder Daten nach Art. 10 DSGVO nur, wenn die gesetzlichen Voraussetzungen vorliegen. Der Auftragsverarbeiter kann solche Inhalte technisch speichern, sofern sie vom Verantwortlichen hochgeladen werden.
| Dienstleister | Leistung |
|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Hosting und Infrastruktur |
| Brevo (Sendinblue SAS) | Transaktionaler E-Mail-Versand |
| Optionale, schreibgeschützte Kalenderanbindung | |
| Microsoft | Optionale, schreibgeschützte Kalenderanbindung |
Google und Microsoft werden nur bei Aktivierung der jeweiligen Funktion eingesetzt.