Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO regelt, wie NovaWorks die Daten der Auszubildenden, Mitarbeitenden und Bewerber eines Betriebs in der App AzubiHub im Auftrag des Betriebs verarbeitet. Er wird bei der Anmeldung des Betriebs in der App elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO).

1. Parteien und Gegenstand

1. NovaWorks stellt dem Kunden die Web-App AzubiHub bereit (Berichtsheft, Lernziele, Einarbeitung, Wiki, Schichtübergabe, Chat, Pinnwand, Unterweisungen, Abwesenheiten, Beurteilungen, Prüfungsvorbereitung, Karriereseite mit Bewerbungen, Zugang für die Berufsschule). Grundlage ist der Nutzungsvertrag nach den AGB („Hauptvertrag“).
2. Dabei verarbeitet NovaWorks personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Kunden. Für die Zulässigkeit der Verarbeitung und die Information der betroffenen Personen ist der Kunde verantwortlich.
3. Der Vertrag gilt so lange wie der Hauptvertrag. Die Verarbeitung findet in der EU statt (Server in Frankfurt am Main); Ausnahmen regelt Abschnitt 4.

2. Daten, Zweck und betroffene Personen

Zweck ist allein die Bereitstellung, der Betrieb, die Wartung und der Support der App für den Kunden.

Besondere Kategorien nach Art. 9 DSGVO verarbeitet die App nicht planmäßig. Krankmeldungen werden ohne Diagnose erfasst; der Kunde weist seine Nutzer/innen an, keine Gesundheitsdaten in Freitexte zu schreiben.

3. Pflichten von NovaWorks

1. Weisungen. NovaWorks verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Einstellungen, die der Kunde in der App vornimmt, gelten als Weisung. Weitere Weisungen erteilt der Kunde in Textform. Hält NovaWorks eine Weisung für rechtswidrig, teilt es dies unverzüglich mit.
2. Vertraulichkeit. Alle Personen, die bei NovaWorks Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff auf Kundendaten nimmt NovaWorks nur vor, soweit es für Betrieb, Fehlerbehebung oder Support nötig ist.
3. Sicherheit. NovaWorks trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
4. Unterstützung. NovaWorks unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde. Anfragen, die direkt bei NovaWorks eingehen, leitet NovaWorks an den Kunden weiter.
5. Datenpannen. NovaWorks meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
6. Ansprechpartner für den Datenschutz bei NovaWorks: Besart Shehu, info@novaworks-it.de.

4. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. NovaWorks informiert den Kunden mindestens 4 Wochen vorher in Textform über neue oder ersetzte Unterauftragsverarbeiter; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Push-Benachrichtigungen werden über den Push-Dienst des jeweiligen Browsers bzw. Geräteherstellers (z. B. Google, Apple, Mozilla) zugestellt, nur wenn eine Person sie selbst einschaltet. Die Hinweise enthalten kurze Angaben wie Name und Betreff; sie werden nach dem Web-Push-Standard verschlüsselt übertragen, sodass der Push-Dienst den Inhalt nicht lesen kann.

5. Vertragsende, Kontrollen, Schluss

1. Rückgabe und Löschung. Der Kunde kann seine Daten jederzeit und nach Ende des Hauptvertrags noch 30 Tage lang exportieren (alle Daten als ZIP, Berichtshefte als PDF). Danach löscht NovaWorks alle Daten des Kunden, spätestens nach 60 Tagen, und bestätigt das in Textform. Gesetzliche Aufbewahrungspflichten von NovaWorks bleiben unberührt.
2. Nachweise und Kontrollen. NovaWorks weist die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch Selbstauskunft und Vorlage der Unterlagen der Unterauftragsverarbeiter. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist (in der Regel 4 Wochen) zu den Geschäftszeiten möglich.
3. Haftung richtet sich nach Art. 82 DSGVO und dem Hauptvertrag.
4. Schluss. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um Datenschutz geht. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Drucken oder als PDF speichern