Auftragsverarbeitungsvertrag

Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten, um den in den Bedingungen beschriebenen Dienst zu erbringen, solange Ihr Konto besteht, zuzüglich der in der Datenschutzerklärung genannten Aufbewahrungsfrist.

Datenkategorien und betroffene Personen

Typischerweise:

• Ihr Team: Namen, E-Mail-Adressen, Rollen, Anmeldeaktivität
• Was immer Sie anzeigen: Namen in einem Raumkalender, Gesichter auf einem Foto, alles in einer verbundenen Tabelle
• Gerätetelemetrie Ihrer gekoppelten Bildschirme

Unsere Pflichten

Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierten Weisungen; verpflichten alle Zugriffsberechtigten zur Vertraulichkeit; wenden die unten genannten technischen und organisatorischen Maßnahmen an; unterstützen Sie bei Betroffenenanfragen und gegenüber Aufsichtsbehörden; und löschen oder geben personenbezogene Daten am Ende des Vertrags zurück.

Technische und organisatorische Maßnahmen

Heute in Kraft:

• TLS für sämtlichen Verkehr zwischen Browsern, Playern und der API
• Passwörter nur als Hashes; OAuth-Tokens Dritter verschlüsselt mit AES-256-GCM
• Zugriffskontrolle je Organisation, damit kein Kunde Daten eines anderen erreicht
• Rate-Limiting an den Anmelde-Endpunkten
• Produktionszugriff auf benannte Administratoren beschränkt

Unterauftragsverarbeiter

Die Liste steht in der Datenschutzerklärung. Wir kündigen die Aufnahme eines neuen an, und Sie können aus berechtigten Datenschutzgründen widersprechen.

Drittlandübermittlungen

Unsere Unterauftragsverarbeiter sind in der Datenschutzerklärung benannt und verarbeiten Daten in der Europäischen Union und den Vereinigten Staaten. Wird außerhalb des EWR verarbeitet, stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission oder einen Angemessenheitsbeschluss für diesen Anbieter sowie auf einen Auftragsverarbeitungsvertrag zwischen uns und ihm.

Meldung von Verletzungen

Werden wir uns einer Verletzung des Schutzes personenbezogener Daten bewusst, die Ihre Daten betrifft, informieren wir Sie unverzüglich, in jedem Fall innerhalb von 72 Stunden ab Kenntnis, mit dem, was wir wissen, was wir unternehmen und was Sie einer Aufsichtsbehörde melden müssen könnten.

Anfragen betroffener Personen

Wendet sich eine Ihrer Personen an uns wegen Daten, die wir für Sie halten, leiten wir die Anfrage an Sie weiter, statt sie selbst zu beantworten — Sie sind Verantwortlicher, die Antwort ist Ihre. Das Dashboard exportiert und löscht auf Ihre eigene Anweisung, was meist schneller ist, als uns zu fragen.

Prüfungen und Nachweise

Nach angemessener schriftlicher Ankündigung und höchstens einmal jährlich, sofern keine Aufsichtsbehörde mehr verlangt, beantworten wir einen Sicherheitsfragebogen und stellen die Informationen bereit, die die Einhaltung dieses Zusatzes belegen. Wo eine Prüfung das Betreten der Räume eines Unterauftragsverarbeiters bedeuten würde, können wir dessen eigene Zertifikate und Berichte beibringen.

Rückgabe und Löschung am Ende

Sie können Ihre Daten jederzeit aus dem Dashboard exportieren, auch während der 30-Tage-Frist eines geschlossenen Kontos. Nach Vertragsende und Ablauf dieser Frist werden personenbezogene Daten anonymisiert und Organisationsinhalte gelöscht — außer wo ein Gesetz eine längere Aufbewahrung verlangt, typischerweise bei Rechnungen.

Welches Dokument vorgeht

Widersprechen sich dieser Zusatz und die Nutzungsbedingungen bei der Verarbeitung personenbezogener Daten, gilt dieser Zusatz. Im Übrigen gelten die Bedingungen.