Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Vereinbarung über die Nutzung der KWIGA-Plattform und -Dienste, einschließlich der Allgemeinen Geschäftsbedingungen von KWIGA (die „Vereinbarung“), zwischen:
TUTERIA VCC, mit eingetragener Adresse in 17A Vrabcha Street, Floor 1, Apt 3, 1000 Sofia, Bulgarien („KWIGA“, „TUTERIA“, „wir“, „uns“ oder der „Auftragsverarbeiter“),
und
der natürlichen Person, dem Unternehmen, der Organisation, der Schule, dem Experten, dem Kursersteller oder einer anderen Einheit, die die KWIGA-Dienste nutzt und die Zwecke und Mittel der Verarbeitung personenbezogener Daten über die KWIGA-Plattform bestimmt (der „Kunde“, „Plattformnutzer“ oder „Verantwortliche“).
Dieser DPA gilt, wenn und soweit TUTERIA VCC im Zusammenhang mit der Bereitstellung der KWIGA-Dienste personenbezogene Daten im Auftrag des Kunden verarbeitet.
Dieser DPA ergänzt die Vereinbarung und ist zusammen mit der KWIGA Datenschutzerklärung und anderen anwendbaren Vertragsdokumenten auszulegen.
Für die Zwecke dieses DPA gilt:
„Anwendbare Datenschutzgesetze“ bezeichnet alle Datenschutz- und Privatsphärengesetze, die auf die Verarbeitung personenbezogener Daten gemäß diesem DPA anwendbar sind, einschließlich, soweit anwendbar, der Verordnung (EU) 2016/679 („DSGVO“).
„Verantwortlicher“, „Auftragsverarbeiter“, „Betroffene Person“, „Personenbezogene Daten“, „Verarbeitung“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die ihnen gemäß der DSGVO oder anderen anwendbaren Datenschutzgesetzen zugewiesene Bedeutung.
„Kunde“ bezeichnet den Plattformnutzer, der die KWIGA-Dienste nutzt und die Zwecke und Mittel der Verarbeitung von Dienstdaten bestimmt.
„Dienstdaten“ bezeichnet personenbezogene Daten, die vom Kunden oder in seinem Auftrag im Zusammenhang mit der Nutzung der Dienste auf die KWIGA-Plattform hochgeladen, über diese erhoben, innerhalb dieser generiert oder anderweitig über diese verarbeitet werden.
Dienstdaten können personenbezogene Daten umfassen, die über das KWIGA-CRM, LMS, Kurse, Bildungsprogramme, Funktionen zur Verwaltung von Teilnehmern und Kunden, Kommunikationstools, Automatisierungen, Bewertungen und andere vom Kunden genutzte Plattformfunktionen verarbeitet werden.
„Unterauftragsverarbeiter“ bezeichnet einen Dritten, der von KWIGA mit der Verarbeitung von Dienstdaten im Auftrag des Kunden beauftragt wurde.
Soweit der Kunde die Zwecke und Mittel der Verarbeitung von Dienstdaten bestimmt, handelt der Kunde als Verantwortlicher für diese personenbezogenen Daten.
Der Kunde ist für seine Verarbeitungstätigkeiten und für die Einhaltung der für Verantwortliche geltenden Verpflichtungen gemäß den anwendbaren Datenschutzgesetzen verantwortlich.
Soweit TUTERIA VCC Dienstdaten im Auftrag des Kunden und gemäß den Anweisungen des Kunden verarbeitet, handelt TUTERIA VCC als Auftragsverarbeiter.
TUTERIA VCC verarbeitet solche Dienstdaten gemäß diesem DPA, der Vereinbarung, den dokumentierten Anweisungen des Kunden und den anwendbaren Datenschutzgesetzen.
Bestimmte Verarbeitungstätigkeiten können von TUTERIA VCC zu Zwecken durchgeführt werden, die von TUTERIA VCC unabhängig bestimmt werden.
Zu solchen Zwecken können gegebenenfalls gehören:
Verwaltung und Betrieb der KWIGA-Plattform;
Sicherheit und Integrität der Plattform;
Prävention von Betrug und Missbrauch;
Erkennung und Untersuchung von unbefugtem Zugriff und Sicherheitsvorfällen;
Einhaltung gesetzlicher oder behördlicher Verpflichtungen;
Verwaltung der eigenen Vertragsbeziehungen von TUTERIA VCC;
Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; und
andere in der KWIGA-Datenschutzrichtlinie beschriebene Zwecke.
Soweit TUTERIA VCC die Zwecke und Mittel einer solchen Verarbeitung eigenständig bestimmt, handelt TUTERIA VCC in Bezug auf diese Verarbeitung als unabhängiger Verantwortlicher.
Eine solche Verarbeitung unterliegt der KWIGA Datenschutzrichtlinie und den geltenden Datenschutzgesetzen und stellt keine Verarbeitung dar, die von TUTERIA VCC als Auftragsverarbeiter gemäß diesem DPA durchgeführt wird.
Der Umstand, dass der Kunde und TUTERIA VCC möglicherweise bestimmte Informationen über dieselbe betroffene Person verarbeiten, bedeutet für sich genommen nicht, dass die Parteien als gemeinsam Verantwortliche handeln.
Die Rolle jeder Partei wird anhand der Zwecke und Mittel der jeweiligen Verarbeitungstätigkeit bestimmt.
Der Kunde hat bei der Erhebung, Nutzung, Offenlegung und sonstigen Verarbeitung von Servicedaten die geltenden Datenschutzgesetze einzuhalten.
Der Kunde ist dafür verantwortlich, sicherzustellen, dass:
a. er über eine geeignete Rechtsgrundlage für die Verarbeitung von Servicedaten verfügt;
b. Servicedaten rechtmäßig erhoben wurden;
c. Servicedaten KWIGA rechtmäßig offengelegt oder anderweitig zur Verarbeitung zur Verfügung gestellt werden;
d. betroffene Personen alle nach den geltenden Datenschutzgesetzen erforderlichen Datenschutzhinweise und Informationen erhalten;
e. jede für die Verarbeitungstätigkeiten des Kunden erforderliche Einwilligung wirksam eingeholt wurde;
f. die Weisungen des Kunden an KWIGA den geltenden Datenschutzgesetzen entsprechen;
g. der Kunde nur personenbezogene Daten verarbeitet, die für seine rechtmäßigen und legitimen Zwecke erforderlich sind; und
h. für Servicedaten, die der Kontrolle des Kunden unterliegen, angemessene Aufbewahrungsfristen festgelegt werden.
Der Kunde darf die Dienste nicht zur Erhebung oder Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO nutzen, es sei denn, der Kunde hat eine gültige Rechtsgrundlage und, soweit erforderlich, eine anwendbare Bedingung gemäß Artikel 9 DSGVO für eine solche Verarbeitung festgelegt.
Nutzt der Kunde Fragebögen, Formulare, benutzerdefinierte Felder, hochgeladene Inhalte oder andere Funktionen der Dienste, um solche Daten zu erheben oder zu verarbeiten, handelt der Kunde als Verantwortlicher und ist dafür verantwortlich, die Rechtmäßigkeit, Zwecke und den Umfang einer solchen Verarbeitung zu bestimmen, betroffenen Personen alle erforderlichen Informationen bereitzustellen, eine ausdrückliche Einwilligung einzuholen, sofern sich auf eine Einwilligung gestützt wird, und alle anderen anwendbaren Anforderungen der geltenden Datenschutzgesetze einzuhalten.
KWIGA verarbeitet solche Servicedaten im Auftrag des Kunden und gemäß den dokumentierten Weisungen des Kunden und diesem DPA.
Der Kunde weist KWIGA an, Servicedaten wie erforderlich zu verarbeiten, um:
die vom Kunden ausgewählten und konfigurierten Dienste bereitzustellen;
Servicedaten zu hosten und zu verwalten;
CRM-, LMS- und andere Plattformfunktionen bereitzustellen;
Zugang zu Kursen und anderen Produkten bereitzustellen;
die vom Kunden ausgewählten Funktionen zu verwalten;
technischen Support bereitzustellen;
die Dienste zu warten und zu sichern; und
den Vertrag und die dokumentierten Weisungen des Kunden anderweitig zu erfüllen.
Die Nutzung und Konfiguration der KWIGA-Plattform durch den Kunden, einschließlich der vom Kunden aktivierten Einstellungen, Aktionen und Funktionalitäten sowie der Erstellung und Veröffentlichung von Webseiten, Formularen, Mitteilungen und anderen Materialien durch den Kunden unter Verwendung der Plattform, können für die Zwecke dieser DPA als dokumentierte Weisungen gelten.
Der Kunde bestimmt eigenständig den Inhalt seiner Datenschutzerklärung, Datenschutzhinweise, Formulare und sonstigen Materialien, die den betroffenen Personen unter Verwendung der Plattform zur Verfügung gestellt werden, und ist dafür verantwortlich, dass diese den Anwendbaren Datenschutzgesetzen und der tatsächlichen Verarbeitung personenbezogener Daten des Kunden entsprechen. KWIGA ist nicht verpflichtet, den Inhalt solcher Materialien zu überprüfen oder zu genehmigen.
Wenn KWIGA vernünftigerweise der Auffassung ist, dass eine Weisung des Kunden gegen Anwendbare Datenschutzgesetze verstößt, wird KWIGA den Kunden unverzüglich informieren.
KWIGA kann die betreffende Verarbeitung insoweit aussetzen, wie dies vernünftigerweise erforderlich ist, bis die Weisung geändert, klargestellt oder als rechtmäßig bestätigt wird.
KWIGA wird Servicedaten nur auf dokumentierte Weisungen des Kunden verarbeiten, sofern die Verarbeitung nicht nach anwendbarem Unions- oder Mitgliedstaatenrecht erforderlich ist.
Soweit KWIGA gesetzlich verpflichtet ist, Servicedaten anders als auf Weisung des Kunden zu verarbeiten, wird KWIGA den Kunden vor der Verarbeitung über diese gesetzliche Verpflichtung informieren, es sei denn, das Gesetz verbietet eine solche Information aus wichtigen Gründen des öffentlichen Interesses.
KWIGA wird sicherstellen, dass Personen, die zur Verarbeitung von Servicedaten berechtigt sind:
solche Daten nur verarbeiten, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist;
angemessenen Vertraulichkeitsverpflichtungen unterliegen; und
nur Zugang erhalten, soweit dies vernünftigerweise erforderlich ist.
KWIGA wird angemessene technische und organisatorische Maßnahmen umsetzen, die darauf ausgelegt sind, Servicedaten gemäß Abschnitt 7 und Anhang B dieses AVV zu schützen.
Unter Berücksichtigung der Art der Verarbeitung und der KWIGA zur Verfügung stehenden Informationen wird KWIGA dem Kunden angemessene Unterstützung bei der Erfüllung seiner Pflichten gemäß den Anwendbaren Datenschutzgesetzen leisten, einschließlich Pflichten in Bezug auf:
Anfragen betroffener Personen;
die Sicherheit der Verarbeitung;
Verletzungen des Schutzes personenbezogener Daten;
Datenschutz-Folgenabschätzungen; und
Konsultationen mit Aufsichtsbehörden, soweit anwendbar.
KWIGA wird Aufzeichnungen und Informationen über seine Verarbeitungstätigkeiten in dem nach den Anwendbaren Datenschutzgesetzen erforderlichen Umfang führen.
Der Kunde ist als Verantwortlicher primär dafür verantwortlich, Anfragen betroffener Personen zu Servicedaten zu beantworten, die KWIGA im Auftrag des Kunden verarbeitet.
KWIGA stellt dem Kunden Funktionen und/oder geeignete Mechanismen bereit, um auf die der Kontrolle des Kunden unterliegenden Servicedaten zuzugreifen, sie zu verwalten und zu exportieren sowie, soweit dies durch die jeweilige Funktion unterstützt wird, solche Servicedaten vorbehaltlich anwendbarer gesetzlicher Anforderungen zu berichtigen oder zu löschen.
Unter Berücksichtigung der Art der Verarbeitung wird KWIGA den Kunden durch angemessene technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen angemessen unterstützen.
Erhält KWIGA eine Anfrage einer betroffenen Person, die sich hauptsächlich auf Servicedaten bezieht, für die der Kunde Verantwortlicher ist, kann KWIGA die betroffene Person an den Kunden verweisen und den Kunden, soweit angemessen, über die Anfrage informieren.
KWIGA wird eine solche Anfrage nicht eigenständig im Namen des Kunden beantworten, es sei denn:
der Kunde hat dies angewiesen;
dies ist gemäß der Vereinbarung zulässig; oder
dies ist nach anwendbarem Recht erforderlich.
Mit der Annahme dieser DPA erteilt der Kunde KWIGA eine dauerhafte dokumentierte Weisung, Servicedaten als Reaktion auf Löschungsanträge betroffener Personen zu verarbeiten und, soweit anwendbar, zu löschen oder zu anonymisieren.
Erhält KWIGA einen Antrag einer betroffenen Person in Bezug auf Servicedaten, für die der Kunde als Verantwortlicher handelt, benachrichtigt KWIGA den Kunden über diesen Antrag und gibt ihm die Möglichkeit, zusätzliche dokumentierte Weisungen oder dokumentierte Weisungen zu erteilen, die der ursprünglichen Weisung widersprechen.
Erteilt der Kunde innerhalb von vierzehn (14) Kalendertagen ab dem Datum der Benachrichtigung durch KWIGA keine dokumentierte Weisung, die der ursprünglichen Weisung widerspricht, ist KWIGA berechtigt und angewiesen, die betreffenden Servicedaten gemäß dieser DPA und den Anwendbaren Datenschutzgesetzen zu löschen oder zu anonymisieren. Die Frist von vierzehn (14) Kalendertagen ist eine vertragliche Frist für die Erteilung von Weisungen durch den Kunden an KWIGA und begründet oder ändert keine gesetzlichen Fristen, die für den Kunden oder KWIGA nach den Anwendbaren Datenschutzgesetzen gelten, einschließlich der DSGVO, des California Consumer Privacy Act in seiner geänderten Fassung oder des Texas Data Privacy and Security Act.
KWIGA darf eine solche Löschung oder Anonymisierung vornehmen, sofern der Kunde innerhalb der geltenden Frist von vierzehn (14) Kalendertagen keine dokumentierte Weisung erteilt hat, die der ursprünglichen Weisung widerspricht. Personenbezogene Daten dürfen nicht gelöscht oder anonymisiert werden, soweit ihre weitere Speicherung oder Verarbeitung nach den Anwendbaren Datenschutzgesetzen oder dieser DPA erforderlich ist.
Der Kunde ist als Verantwortlicher dafür verantwortlich, angemessene Aufbewahrungsfristen für Servicedaten festzulegen, die für vom Kunden bestimmte Zwecke verarbeitet werden, vorbehaltlich der in diesem AVV und der Vereinbarung festgelegten Regelungen zur Aufbewahrung und Löschung.
Für Servicedaten können je nach Art und Zweck der betreffenden Daten sowie der Funktionalität, über die diese Daten Verarbeitet werden, unterschiedliche Aufbewahrungsfristen gelten.
Nach Beendigung oder Ablauf des Abonnements des Kunden können die den jeweiligen Kunden betreffenden Servicedaten für einen Zeitraum von bis zu neunzig (90) Tagen ab dem Ende des Abonnementzeitraums des Kunden aufbewahrt werden, um eine Reaktivierung, den Datenabruf und eine geordnete Beendigung der Nutzung der Dienste zu ermöglichen.
Nach Ablauf des vorgenannten 90-Tage-Zeitraums können das betreffende Konto und/oder die betreffende Schule deaktiviert, ausgeblendet oder auf andere Weise über die reguläre Benutzeroberfläche der KWIGA-Plattform unzugänglich gemacht werden, ohne dass die darin enthaltenen Servicedaten gelöscht oder verändert werden.
Die betreffenden Servicedaten können für einen zusätzlichen Zeitraum von bis zu neunzig (90) Tagen aufbewahrt werden, um eine Wiederherstellung zu ermöglichen, technische oder vertragliche Angelegenheiten zu klären und eine geordnete Beendigung der Erbringung der Dienste sicherzustellen.
Nach Ablauf eines Gesamtzeitraums von einhundertachtzig (180) Tagen ab Beendigung oder Ablauf des Abonnements werden die betreffenden Servicedaten gemäß den anwendbaren Verfahren zur Datenaufbewahrung und -löschung aus den aktiven Systemen der KWIGA-Plattform gelöscht.
Das vorstehende Verfahren gilt vorbehaltlich der dokumentierten Weisungen des jeweiligen Verantwortlichen, dieses DPA und der Anwendbaren Datenschutzgesetze. Es gilt nicht für Personenbezogene Daten, die TUTERIA VCC gemäß Abschnitt 5.7 eigenständig und rechtmäßig in ihrer Eigenschaft als unabhängiger Verantwortlicher Verarbeitet.
Servicedaten werden im Allgemeinen für die Dauer der Nutzung der betreffenden KWIGA-Dienste durch den Kunden und gemäß Folgendem aufbewahrt:
den dokumentierten Weisungen des Kunden;
diesem AVV;
der Vereinbarung; und
Anwendbare Datenschutzgesetze.
Nichts in diesem Abschnitt entbindet den Kunden von seiner Verantwortung als Verantwortlicher, festzustellen, ob bestimmte Servicedaten weiterhin erforderlich sind und aufbewahrt werden sollten.
KWIGA stellt dem Kunden Funktionen und/oder geeignete Mechanismen zur Verfügung, um auf die seiner Kontrolle unterliegenden Servicedaten zuzugreifen, diese zu verwalten und zu exportieren sowie, soweit dies durch die jeweiligen Funktionen unterstützt wird, solche Servicedaten vorbehaltlich der geltenden gesetzlichen Anforderungen zu löschen.
Wenn der Kunde einen Kontakt oder andere Servicedaten über die KWIGA-Plattform manuell löscht, werden die betreffenden Daten zunächst logisch gelöscht (Soft Delete) und bleiben für einen Zeitraum von bis zu dreißig (30) Tagen ab dem Datum der Löschung wiederherstellbar. Nach Ablauf dieses Zeitraums werden die betreffenden personenbezogenen Daten dauerhaft aus den aktiven Systemen der KWIGA-Plattform gelöscht, vorbehaltlich der geltenden gesetzlichen Anforderungen und der Aufbewahrung von Daten, zu deren Aufbewahrung der Auftragsverarbeiter gesetzlich berechtigt oder verpflichtet ist.
Nach Beendigung oder Ablauf des Abonnements des Kunden können die Servicedaten gemäß den in Abschnitt 5.2 festgelegten Fristen und Bedingungen aufbewahrt werden.
Während der ersten neunzig (90) Tage kann dem Kunden unter Berücksichtigung der Funktionalität der jeweiligen Dienste eine angemessene Möglichkeit eingeräumt werden, die Servicedaten abzurufen oder zu exportieren.
Nach Ablauf dieses Zeitraums können das betreffende Konto und/oder die betreffende Schule deaktiviert, ausgeblendet oder über die reguläre Benutzeroberfläche der KWIGA-Plattform unzugänglich gemacht werden. Die Servicedaten können gemäß Abschnitt 5.2 für einen zusätzlichen Zeitraum von bis zu neunzig (90) Tagen aufbewahrt werden.
Nach Ablauf eines Gesamtzeitraums von einhundertachtzig (180) Tagen ab Beendigung oder Ablauf des Abonnements werden die betreffenden Servicedaten gemäß den anwendbaren Löschverfahren, diesem DPA, den dokumentierten Weisungen des Verantwortlichen und den Anwendbaren Datenschutzgesetzen aus den aktiven Systemen der KWIGA-Plattform gelöscht.
Soweit Servicedaten nach ihrer Löschung aus aktiven Systemen vorübergehend in Sicherungs-, Notfallwiederherstellungs- oder ähnlichen Systemen verbleiben, unterliegen diese Daten weiterhin angemessenen Sicherheitsmaßnahmen und dürfen weder wiederhergestellt noch für die gewöhnliche Verarbeitung verwendet werden, außer soweit dies für die Notfallwiederherstellung, Sicherheit, Einhaltung gesetzlicher Vorschriften oder andere legitime technische Zwecke erforderlich ist.
Solche Kopien werden gemäß den geltenden Verfahren von KWIGA zur Aufbewahrung von Sicherungskopien gelöscht oder überschrieben.
Wenn Servicedaten vom Kunden manuell gelöscht und anschließend dauerhaft aus den aktiven Systemen entfernt werden, können Kopien dieser Daten in Sicherungssystemen, die vor der dauerhaften Löschung erstellt wurden, für einen zusätzlichen Zeitraum von bis zu sieben (7) Tagen verbleiben. Nach Ablauf dieses Zeitraums werden diese Kopien gemäß den geltenden Verfahren zur Aufbewahrung von Sicherungskopien gelöscht oder überschrieben.
Dieser Abschnitt gilt für Servicedaten, die von TUTERIA VCC als Auftragsverarbeiter verarbeitet werden.
Er verpflichtet TUTERIA VCC nicht zur Löschung personenbezogener Daten, die TUTERIA VCC unabhängig und rechtmäßig in seiner Eigenschaft als Verantwortlicher verarbeitet.
Solche Daten können, soweit dies für die in der KWIGA Datenschutzerklärung beschriebenen Zwecke erforderlich ist und in Übereinstimmung mit den anwendbaren Datenschutzgesetzen, aufbewahrt werden.
Der Kunde erteilt KWIGA eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen, soweit dies für die Bereitstellung, Wartung, Unterstützung, den Betrieb oder die Sicherheit der KWIGA-Dienste vernünftigerweise erforderlich ist.
Bevor KWIGA einem Unterauftragsverarbeiter die Verarbeitung von Servicedaten gestattet, stellt KWIGA sicher, dass der Unterauftragsverarbeiter vertraglichen Datenschutzpflichten unterliegt, die ein angemessenes Schutzniveau für Servicedaten gewährleisten und den für Unterauftragsverarbeiter geltenden Anforderungen der anwendbaren Datenschutzgesetze entsprechen.
KWIGA bleibt für die Erfüllung seiner Datenschutzpflichten durch seine Unterauftragsverarbeiter verantwortlich, soweit dies nach den anwendbaren Datenschutzgesetzen erforderlich ist.
KWIGA stellt Kunden Informationen zu den relevanten Unterauftragsverarbeitern über einen geeigneten Mechanismus zur Verfügung.
Soweit dies nach den anwendbaren Datenschutzgesetzen erforderlich ist, wird KWIGA angemessen über beabsichtigte wesentliche Änderungen im Zusammenhang mit der Hinzufügung oder Ersetzung von Unterauftragsverarbeitern informieren.
Der Kunde kann angemessene Einwände erheben, die sich speziell auf Datenschutzbedenken beziehen, die sich aus dem vorgeschlagenen Unterauftragsverarbeiter ergeben.
Die Parteien werden nach Treu und Glauben zusammenarbeiten, um jeden solchen angemessenen Einwand zu behandeln.
Wenn ein Kunde unabhängig eine Drittanbieterintegration unter Verwendung seines eigenen Kontos, seiner Zugangsdaten oder API-Schlüssel aktiviert oder verbindet, verarbeitet und übermittelt TUTERIA Servicedaten an diesen Dritten gemäß den dokumentierten Weisungen des Kunden.
Der Kunde ist dafür verantwortlich festzustellen, ob seine Nutzung eines solchen Drittanbieterdienstes den anwendbaren Datenschutzgesetzen entspricht, einschließlich der Einrichtung etwa erforderlicher vertraglicher Vereinbarungen und Garantien für internationale Datenübermittlungen mit diesem Dritten.
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen wird KWIGA geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, die darauf ausgelegt sind, ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten.
Abhängig von der Art und den Risiken der jeweiligen Verarbeitung können solche Maßnahmen Folgendes umfassen:
a. Zugriffskontroll- und Berechtigungsmechanismen;
b. Maßnahmen zur Aufrechterhaltung einer angemessenen Trennung und Berechtigung zwischen Kundenumgebungen und Daten;
c. Maßnahmen zur Authentifizierung und Zugriffsverwaltung;
d. Protokollierung und Überwachung;
e. Maßnahmen zur Erkennung verdächtiger Aktivitäten, von Missbrauch und unbefugtem Zugriff;
f. Verkehrs- und Anfragekontrollen, einschließlich Ratenkontrollen, soweit angemessen;
g. Schwachstellenmanagement;
h. Sicherheitstests;
i. Verfahren zur Erkennung und Reaktion auf Sicherheitsvorfälle;
j. Maßnahmen zur Sicherung und Wiederherstellung von Daten;
k. Kontrollen in Bezug auf den Zugriff durch Auftragnehmer, Dienstleister und andere befugte Personen;
l. Verfahren zur Überprüfung von Sicherheitsereignissen und -vorfällen; und
m. regelmäßige Überprüfung und Prüfung relevanter technischer und organisatorischer Sicherheitskontrollen.
Weitere Informationen zu den Kategorien der von KWIGA umgesetzten technischen und organisatorischen Maßnahmen sind in Anhang B.
KWIGA kann seine technischen und organisatorischen Maßnahmen von Zeit zu Zeit aktualisieren, um Folgendem Rechnung zu tragen:
technologischen Entwicklungen;
identifizierten Risiken;
Änderungen an den Services;
Ergebnissen von Sicherheitsüberprüfungen;
Sicherheitsvorfällen; und
Änderungen des anwendbaren Rechts.
Solche Änderungen dürfen das insgesamt für Servicedaten gewährte Schutzniveau nicht wesentlich verringern.
KWIGA benachrichtigt den Kunden unverzüglich, nachdem KWIGA von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die von KWIGA im Auftrag des Kunden verarbeitete Servicedaten betrifft.
Soweit die relevanten Informationen KWIGA vernünftigerweise zur Verfügung stehen, umfasst die Benachrichtigung:
a. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten;
b. die Kategorien der betroffenen personenbezogenen Daten;
c. die Kategorien der betroffenen betroffenen Personen;
d. die ungefähre Anzahl der betroffenen Personen, soweit bekannt;
e. die ungefähre Anzahl der betroffenen Datensätze personenbezogener Daten, soweit bekannt;
f. die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten, soweit diese vernünftigerweise festgestellt werden können;
g. ergriffene oder vorgeschlagene Maßnahmen zur Eindämmung, Untersuchung und Behebung der Verletzung des Schutzes personenbezogener Daten; und
h. Kontaktdaten oder einen anderen geeigneten Kontaktweg, über den weitere Informationen eingeholt werden können.
Sind zum Zeitpunkt der ersten Benachrichtigung nicht alle relevanten Informationen verfügbar, kann KWIGA zunächst die verfügbaren Informationen bereitstellen und diese im Verlauf der Untersuchung schrittweise ergänzen.
KWIGA ergreift geeignete Maßnahmen, um:
den Vorfall zu untersuchen;
seine Art und seinen Umfang zu ermitteln;
den Vorfall einzudämmen;
vernünftigerweise vorhersehbare nachteilige Auswirkungen zu mindern;
relevante Beweise sichern;
festgestellte Schwachstellen, soweit angemessen, beheben; und
angemessene Maßnahmen ergreifen, die darauf ausgerichtet sind, das Risiko eines erneuten Auftretens zu verringern.
Unter Berücksichtigung der Art der Verarbeitung und der KWIGA zur Verfügung stehenden Informationen leistet KWIGA dem Kunden angemessene Unterstützung bei der Erfüllung der geltenden Verpflichtungen in Bezug auf:
Benachrichtigung einer Aufsichtsbehörde;
Kommunikation mit betroffenen Personen;
Bewertung der Risiken für die Rechte und Freiheiten natürlicher Personen; und
Dokumentation der Verletzung des Schutzes personenbezogener Daten.
Der Kunde bleibt in seiner Eigenschaft als Verantwortlicher dafür verantwortlich, festzustellen, ob eine Verletzung des Schutzes personenbezogener Daten, die Servicedaten betrifft, Folgendes erfordert:
Benachrichtigung einer Aufsichtsbehörde;
Kommunikation mit betroffenen Personen; oder
andere nach den geltenden Datenschutzgesetzen erforderliche Maßnahmen.
Dies berührt keine eigenständigen gesetzlichen Verpflichtungen von TUTERIA VCC in Bezug auf personenbezogene Daten, für die TUTERIA VCC als Verantwortlicher handelt.
Die Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten oder die Zusammenarbeit im Zusammenhang damit stellt für sich genommen kein Eingeständnis eines Verschuldens oder einer Haftung einer der Parteien dar.
Werden Servicedaten innerhalb des Europäischen Wirtschaftsraums („EWR“) verarbeitet, stellt diese Verarbeitung keine Übermittlung in ein Drittland im Sinne von Kapitel V der DSGVO dar.
Überträgt KWIGA oder ein autorisierter Unterauftragsverarbeiter Servicedaten außerhalb des EWR in einen Rechtsraum, der nach geltendem Recht nicht als ein angemessenes Schutzniveau bietend anerkannt wurde, stellt KWIGA sicher, dass, soweit erforderlich, ein geeigneter Übermittlungsmechanismus umgesetzt wird.
Solche Mechanismen können umfassen:
einen von der Europäischen Kommission erlassenen Angemessenheitsbeschluss;
von der Europäischen Kommission genehmigte Standardvertragsklauseln;
gegebenenfalls verbindliche interne Datenschutzvorschriften; oder
einen anderen nach den geltenden Datenschutzgesetzen anerkannten rechtmäßigen Übermittlungsmechanismus.
Soweit nach den geltenden Datenschutzgesetzen erforderlich, setzt KWIGA ergänzende Maßnahmen um, die für die betreffende Übermittlung und die damit verbundenen Risiken angemessen sind.
KWIGA stellt dem Kunden auf dessen Anfrage angemessene Informationen über die geltenden Garantien für internationale Datenübermittlungen zur Verfügung, soweit dies nach den geltenden Datenschutzgesetzen erforderlich ist.
KWIGA stellt dem Kunden Informationen zur Verfügung, die angemessenerweise erforderlich sind, um die Einhaltung der Verpflichtungen von KWIGA als Auftragsverarbeiter gemäß den geltenden Datenschutzgesetzen nachzuweisen.
Auf angemessene schriftliche Anfrage stellt KWIGA relevante Informationen bereit über:
seine Verarbeitung von Servicedaten;
geltende technische und organisatorische Maßnahmen;
relevante Unterauftragsverarbeiter; und
andere Angelegenheiten, die angemessenerweise erforderlich sind, damit der Kunde die Einhaltung dieses AVV durch KWIGA beurteilen kann.
Soweit die von KWIGA bereitgestellten Informationen angemessenerweise nicht ausreichen, um die Einhaltung nachzuweisen, und soweit ein Audit nach den geltenden Datenschutzgesetzen erforderlich ist, gestattet KWIGA angemessene Audits oder Inspektionen in Bezug auf die Verarbeitung von Servicedaten und wirkt daran mit.
Sofern nicht anderweitig von einer Aufsichtsbehörde oder nach den geltenden Datenschutzgesetzen erforderlich, hat der Kunde:
ein Audit mit angemessener Vorlaufzeit schriftlich anzukündigen;
das Audit auf Angelegenheiten zu beschränken, die für die Verarbeitung gemäß diesem AVV relevant sind;
das Audit, soweit angemessenerweise möglich, während der üblichen Geschäftszeiten durchzuführen;
unnötige Beeinträchtigungen der Geschäftstätigkeit von KWIGA zu vermeiden; und
sicherzustellen, dass Prüfer angemessenen Vertraulichkeitsverpflichtungen unterliegen.
Ein Audit berechtigt den Kunden oder seinen Prüfer nicht zum Zugriff auf:
Personenbezogene Daten eines anderen Kunden;
vertrauliche Informationen eines anderen Kunden;
Informationen, die die Sicherheit der KWIGA-Systeme beeinträchtigen würden;
Quellcode oder anderes geschütztes geistiges Eigentum, außer soweit dies nach anwendbarem Recht ausdrücklich erforderlich ist; oder
Informationen, die nicht mit den Verarbeitungstätigkeiten des Kunden zusammenhängen.
Die Parteien arbeiten bei angemessenen Audit-Anfragen zuständiger Aufsichtsbehörden nach Treu und Glauben zusammen.
Unter Berücksichtigung der Art der Verarbeitung und der KWIGA zur Verfügung stehenden Informationen leistet KWIGA dem Kunden angemessene Unterstützung bei Datenschutz-Folgenabschätzungen, sofern der Kunde nach den Anwendbaren Datenschutzgesetzen zur Durchführung einer solchen Abschätzung verpflichtet ist.
Soweit nach den Anwendbaren Datenschutzgesetzen erforderlich, leistet KWIGA angemessene Unterstützung im Zusammenhang mit der vorherigen Konsultation einer zuständigen Aufsichtsbehörde hinsichtlich der über die Dienste durchgeführten Verarbeitung.
Jede Partei schützt Personenbezogene Daten und vertrauliche Informationen, die im Zusammenhang mit diesem AVV erhalten wurden, vor unbefugter Offenlegung.
KWIGA stellt sicher, dass Auftragnehmer, Dienstleister und andere Personen, die zur Verarbeitung von Dienstdaten berechtigt sind, angemessenen Vertraulichkeitsverpflichtungen oder einer anwendbaren gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Kunde stellt sicher, dass Anmeldedaten, Zugriffsrechte und administrative Funktionen, die über die KWIGA-Plattform bereitgestellt werden, nur von entsprechend berechtigten Personen genutzt werden.
Jede Partei führt Aufzeichnungen über ihre Verarbeitungstätigkeiten, soweit dies nach den Anwendbaren Datenschutzgesetzen erforderlich ist.
Die Parteien arbeiten, soweit erforderlich, in angemessener Weise zusammen, um rechtmäßige Anfragen von Aufsichtsbehörden im Zusammenhang mit der durch diesen AVV geregelten Verarbeitung zu beantworten.
Nichts in diesem AVV verpflichtet eine Partei zur Offenlegung von Informationen, wenn die Offenlegung nach anwendbarem Recht untersagt ist.
Jede Partei ist für ihre eigene Einhaltung der Anwendbaren Datenschutzgesetze und für die ihr nach diesem AVV zugewiesenen Verpflichtungen verantwortlich.
Die Haftung zwischen den Parteien, die sich aus oder im Zusammenhang mit diesem AVV ergibt, unterliegt den im Vertrag enthaltenen Haftungsbeschränkungen und -ausschlüssen, soweit dies nach den Anwendbaren Datenschutzgesetzen zulässig ist.
Nichts in diesem AVV schließt eine Haftung aus oder beschränkt sie, wenn ein solcher Ausschluss oder eine solche Beschränkung nach anwendbarem Recht verboten ist.
Dieser AVV tritt in Kraft, wenn der Kunde an den Vertrag gebunden wird und KWIGA mit der Verarbeitung von Dienstdaten im Auftrag des Kunden beginnt.
Dieser AVV bleibt wirksam, solange KWIGA Dienstdaten im Auftrag des Kunden verarbeitet.
Die Kündigung oder das Auslaufen des Vertrags berührt die Bestimmungen dieses AVV nicht, die ihrer Natur nach über die Beendigung hinaus fortgelten sollen, einschließlich der Bestimmungen über Vertraulichkeit, Löschung oder Rückgabe von Dienstdaten, Haftung und anwendbares Recht.
Dieser AVV ist Bestandteil des Vertrags zwischen dem Kunden und TUTERIA VCC über die Nutzung der KWIGA-Dienste.
Im Falle eines Widerspruchs zwischen diesem AVV und einer anderen Bestimmung des Vertrags betreffend die Verarbeitung von Dienstdaten durch TUTERIA VCC als Auftragsverarbeiter hat dieser AVV in Bezug auf die widersprüchliche Datenschutzangelegenheit Vorrang.
Die KWIGA Datenschutzerklärung regelt Verarbeitungstätigkeiten, für die TUTERIA VCC als Verantwortlicher handelt.
Dieser AVV regelt die Verarbeitung von Dienstdaten, die TUTERIA VCC im Auftrag des Kunden als Auftragsverarbeiter durchführt.
Dieser AVV unterliegt dem Recht, das auf den Vertrag zwischen dem Kunden und TUTERIA VCC anwendbar ist, unbeschadet zwingender Bestimmungen der Anwendbaren Datenschutzgesetze.
Nichts in diesem AVV beschränkt die Anwendung der DSGVO oder die Befugnisse und Zuständigkeit einer zuständigen Aufsichtsbehörde, soweit ein solches Recht oder eine solche Zuständigkeit anwendbar ist.
KWIGA kann diesen AVV aktualisieren, soweit dies angemessenerweise erforderlich ist, um:
Änderungen der Anwendbaren Datenschutzgesetze einzuhalten;
Änderungen an den KWIGA-Diensten widerspiegeln;
technische oder organisatorische Maßnahmen aktualisieren;
Verarbeitungsvereinbarungen aktualisieren; oder
die Rechte und Pflichten der Parteien klarstellen.
Soweit eine Änderung die Verarbeitung von Dienstdaten oder die Datenschutzrechte und -pflichten des Kunden wesentlich beeinträchtigt, wird KWIGA eine angemessene Mitteilung machen, sofern dies nach geltendem Recht oder der Vereinbarung erforderlich ist.
Fragen zu diesem DPA oder zur Verarbeitung von Dienstdaten durch KWIGA im Auftrag eines Kunden können an folgende Stelle gerichtet werden:
TUTERIA VCC
Vrabcha-Straße 17A, 1. Stock, Wohnung 3
1000 Sofia, Bulgarien
E-Mail: support@kwiga.com
Dieser Anhang ist Bestandteil der Vereinbarung zur Auftragsverarbeitung.
Verarbeitung von Dienstdaten durch KWIGA, soweit dies erforderlich ist, um die vom Kunden ausgewählten und konfigurierten KWIGA-Dienste bereitzustellen, zu warten, zu unterstützen und zu sichern.
Für die Dauer der Nutzung der jeweiligen KWIGA-Dienste durch den Kunden. Nach Kündigung oder Ablauf des Abonnements des Kunden können kundenspezifische Dienstdaten bis zu neunzig (90) Tage ab Ende des Abonnementzeitraums des Kunden aufbewahrt werden, um eine Reaktivierung, Datenabfrage und geordnete Beendigung der Dienste zu ermöglichen.
Nach Ablauf dieses Zeitraums werden personenbezogene Daten, die in kundenspezifischen Dienstdaten enthalten sind, einschließlich zugehöriger Bestelldaten, gemäß Abschnitt 5 des DPA und den geltenden Aufbewahrungsverfahren von KWIGA anonymisiert. Nach weiteren neunzig (90) Tagen nach einer solchen Anonymisierung werden die entsprechenden Daten gemäß den geltenden Aufbewahrungs- und Löschverfahren dauerhaft aus den aktiven Systemen der KWIGA-Plattform gelöscht, sofern eine weitere Aufbewahrung nicht nach geltendem Recht erforderlich oder anderweitig gemäß dem DPA zulässig ist. Soweit TUTERIA VCC personenbezogene Daten im Auftrag des Kunden als Auftragsverarbeiter verarbeitet, gilt dieser Aufbewahrungs- und Löschprozess vorbehaltlich der dokumentierten Weisungen des Kunden, der geltenden Vereinbarung zur Auftragsverarbeitung und der anwendbaren Datenschutzgesetze.
Personenbezogene Daten, die von TUTERIA VCC in seiner Eigenschaft als unabhängiger Verantwortlicher verarbeitet werden, unterliegen den für diese Verarbeitung geltenden Aufbewahrungsfristen.
Abhängig von den vom Kunden ausgewählten und konfigurierten Diensten kann die Verarbeitung Folgendes umfassen:
Erhebung;
Aufzeichnung;
Organisation;
Strukturierung;
Speicherung;
Hosting;
Anpassung;
Abruf;
Abfrage;
Nutzung;
Übermittlung;
Bereitstellung;
Verwaltung;
Analyse gemäß den Weisungen des Kunden;
Einschränkung;
Export;
Löschung;
Anonymisierung; und
andere Verarbeitung, die zur Bereitstellung der ausgewählten Dienste erforderlich ist.
Verarbeitung von Dienstdaten zu den vom Kunden bestimmten Zwecken, einschließlich, abhängig von der Nutzung von KWIGA durch den Kunden:
Verwaltung von Schülern und Kunden;
CRM-Funktionalität;
LMS-Funktionalität;
Bereitstellung und Verwaltung von Kursen und Bildungsprogrammen;
Verwaltung des Zugriffs auf digitale Produkte;
Tests, Quizze und Aufgaben;
Nachverfolgung des Kursfortschritts;
Zertifikate;
Kommunikation mit Schülern und Kunden;
E-Mail- und Benachrichtigungsfunktionalität;
Automatisierungen;
Bestellverwaltung;
Integrationsfunktionalität;
Kundensupport;
vom Kunden ausgewählte Berichterstattung und Analysen; und
andere vom Kunden aktivierte oder konfigurierte Funktionalitäten.
Abhängig von der Nutzung der Dienste durch den Kunden können betroffene Personen Folgendes umfassen:
Schüler;
Lernende;
Kunden;
potenzielle Kunden;
Abonnenten;
Kursteilnehmer;
Mitarbeiter und Auftragnehmer des Kunden;
Kursleiter;
Administratoren;
Assistenten;
Vertreter des Kunden; und
andere Personen, deren personenbezogene Daten vom Kunden oder in dessen Auftrag an die KWIGA-Plattform übermittelt oder über diese verarbeitet werden.
Abhängig von den vom Kunden genutzten Diensten können Dienstdaten Folgendes umfassen:
Identitäts- und Profilinformationen
Vorname;
zweiter Vorname;
Nachname;
Profilbild;
Konto- oder Profilkennungen.
Kontaktinformationen
E-Mail-Adresse;
Telefonnummer;
andere Kontaktdaten, die vom Kunden oder der betroffenen Person übermittelt wurden.
Bildungs- und Lerninformationen
Kurse und Programme;
Einschreibung;
Zugangsinformationen;
Kursfortschritt;
Abschluss von Lektionen;
Antworten auf Quizfragen und Tests;
Testergebnisse;
Punktzahlen;
Aufgaben;
Kommentare;
Zertifikate;
Erfolge;
Punkte und Status.
CRM- und Kundenverwaltungsinformationen
Tags;
Gruppen;
Kundenstatus;
Notizen;
Kundenhistorie;
Kommunikationsverlauf;
vom Kunden konfigurierte benutzerdefinierte Felder.
Bestell- und transaktionsbezogene Informationen
Bestellkennungen;
Produkte;
Beträge;
Währungen;
Rabatte;
Gutscheine;
Zahlungsstatus;
Transaktionsdaten;
Informationen zu Rückerstattungen;
Parameter für Ratenzahlungen oder Abonnements;
andere Bestellinformationen, die im Auftrag des Kunden verarbeitet werden.
KWIGA verlangt von Kunden nicht, Zahlungskartensicherheitsdaten wie vollständige Kartennummern oder CVC-Codes in gewöhnliche CRM- oder LMS-Service-Datenfelder einzugeben.
Kommunikationen
Nachrichten;
E-Mails;
Kommentare;
supportbezogene Informationen;
andere Kommunikationen, die über vom Kunden ausgewählte Funktionen verarbeitet werden.
Technische Informationen
Soweit im Auftrag des Kunden verarbeitet:
IP-Adresse;
Anmelde-/Aktivitätsinformationen;
Geräte- oder Browserinformationen;
technische Kennungen;
Zeitstempel.
Die KWIGA-Dienste verlangen vom Kunden nicht, besondere Kategorien personenbezogener Daten zu verarbeiten. Service-Daten können jedoch besondere Kategorien personenbezogener Daten enthalten, wenn der Kunde sich entscheidet, solche Daten über Fragebögen, Formulare, benutzerdefinierte Felder, hochgeladene Inhalte, Kommunikationen oder andere konfigurierbare Funktionen der Dienste zu erheben oder anderweitig zu verarbeiten.
Der Kunde bestimmt den Inhalt und die Zwecke einer solchen Verarbeitung und ist dafür verantwortlich, eine anwendbare Rechtsgrundlage und, sofern erforderlich, eine anwendbare Bedingung gemäß Artikel 9 DSGVO festzulegen.
Die Verarbeitung kann während der Dauer der Nutzung der jeweiligen Dienste durch den Kunden kontinuierlich oder regelmäßig erfolgen, abhängig von der ausgewählten Funktionalität und den Anweisungen des Kunden.
TUTERIA VCC implementiert technische und organisatorische Maßnahmen, die darauf ausgelegt sind, ein den mit der Verarbeitung von Service-Daten verbundenen Risiken angemessenes Sicherheitsniveau zu gewährleisten.
Die nachstehend beschriebenen Maßnahmen stellen Kategorien von Sicherheitsmaßnahmen dar und können von Zeit zu Zeit auf Grundlage der Art der Verarbeitung, technologischer Entwicklungen, identifizierter Risiken und Änderungen an den KWIGA-Diensten angepasst oder ergänzt werden.
KWIGA implementiert Maßnahmen, die darauf ausgelegt sind, den Zugang zu personenbezogenen Daten und Plattformfunktionen auf autorisierte Nutzer, autorisierte Personen und Systeme zu beschränken.
Solche Maßnahmen können umfassen:
Benutzerauthentifizierung;
Rollen- und Berechtigungsverwaltung;
Berechtigungskontrollen;
Zugangsbeschränkungen auf Grundlage des relevanten Nutzer- oder Kundenkontexts;
Verwaltung und Überprüfung interner Zugriffsrechte; und
Maßnahmen zur Verhinderung unbefugten Zugriffs zwischen Kundenumgebungen.
KWIGA implementiert technische Kontrollen, die darauf ausgelegt sind sicherzustellen, dass der Zugang zu Kundendaten entsprechend dem Kunden, Konto, der Schule, dem Projekt oder einem anderen anwendbaren Berechtigungskontext angemessen beschränkt ist.
Berechtigungskontrollen werden entsprechend der jeweiligen Funktionalität überprüft und getestet.
KWIGA verwendet Protokollierungs- und Überwachungsmechanismen, die für den Betrieb und die Sicherheit der Dienste geeignet sind.
Diese Maßnahmen können umfassen:
Anwendungs- und Systemprotokollierung;
Überwachung von Sicherheitsereignissen;
Erkennung verdächtiger Aktivitäten;
Fehlerüberwachung;
Überwachung des Datenverkehrs;
Analyse ungewöhnlicher oder potenziell missbräuchlicher Aktivitäten; und
Führung relevanter Aufzeichnungen zu Sicherheitsvorfällen.
KWIGA implementiert Maßnahmen zur Erkennung, Einschränkung und Reaktion auf Missbrauch, unbefugten Zugriff und automatisierten Missbrauch von Plattformfunktionen.
Je nach dem betreffenden Dienst oder Endpunkt können solche Maßnahmen Folgendes umfassen:
Anfragekontrollen;
Ratenkontrollen;
Zugriffsbeschränkungen;
automatisierte oder manuelle Sperrmechanismen;
Erkennung verdächtiger Aktivitäten; und
zusätzliche Überprüfungs- oder Autorisierungskontrollen.
KWIGA unterhält Prozesse zur Identifizierung, Bewertung und Behebung von Sicherheitsschwachstellen.
Solche Maßnahmen können Folgendes umfassen:
Sicherheitsprüfungen;
Prüfung von Autorisierungskontrollen;
automatisierte Tests, soweit angemessen;
Behebung von Schwachstellen;
Überprüfung von Sicherheitserkenntnissen;
Regressionstests; und
Überprüfung von Korrekturmaßnahmen.
KWIGA unterhält Prozesse zur Erkennung, Eskalation, Untersuchung, Eindämmung und Behebung von Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten.
Solche Prozesse können Folgendes umfassen:
Eskalation von Vorfällen;
technische Untersuchung;
Sicherung und Analyse relevanter Protokolle;
Eindämmungsmaßnahmen;
Behebung;
Risikobewertung;
Bewertung regulatorischer Benachrichtigungen und Kundenbenachrichtigungen;
Überprüfung nach einem Vorfall; und
Umsetzung von Korrekturmaßnahmen.
Personen, die zum Zugriff auf Servicedaten berechtigt sind, unterliegen angemessenen Vertraulichkeitsverpflichtungen.
Der Zugriff auf personenbezogene Daten wird auf Grundlage betrieblicher Erfordernisse gewährt und, soweit vernünftigerweise praktikabel, beschränkt.
KWIGA unterhält Sicherungs- und Wiederherstellungsprozesse, die den jeweiligen Services und der Infrastruktur angemessen sind.
Sicherungsdaten unterliegen angemessenen Zugriffs- und Sicherheitskontrollen.
Gelöschte personenbezogene Daten können vorübergehend in Sicherungssystemen verbleiben, bis sie gemäß den geltenden Verfahren zur Aufbewahrung von Sicherungen gelöscht oder überschrieben werden.
KWIGA implementiert Maßnahmen, die darauf ausgelegt sind, die Verfügbarkeit und Resilienz der Services entsprechend der Art und dem Risiko der jeweiligen Verarbeitung zu unterstützen.
Technische und organisatorische Maßnahmen können auf Grundlage folgender Punkte überprüft und aktualisiert werden:
Änderungen an der Plattform;
identifizierte Sicherheitsrisiken;
Erkenntnisse zu Schwachstellen;
Vorfälle;
Änderungen der geltenden rechtlichen Anforderungen; und
technologische Entwicklungen.
Aktualisierungen dürfen das insgesamt für Servicedaten gewährleistete Schutzniveau nicht wesentlich verringern.