Wefta Auftragsverarbeitungsvertrag

Rollen

Der Kunde ist der Verantwortliche (business nach dem CCPA) und entscheidet über Zwecke und Mittel der Verarbeitung. Wefta ist der Auftragsverarbeiter (service provider) und handelt nur nach den dokumentierten Weisungen des Kunden, die sich aus den Nutzungsbedingungen und der Konfiguration des Kontos ergeben.

Wefta sagt dem Kunden, wenn eine Weisung gegen geltendes Datenschutzrecht zu verstoßen scheint, und kann ihre Ausführung ablehnen.

Für die in der Datenschutzerklärung beschriebenen Konto-, Abrechnungs-, Sicherheits- und Supportdaten ist Wefta eigenständig Verantwortlicher und nicht Auftragsverarbeiter. Diese Daten fallen nicht unter diesen Vertrag.

Was Wefta mit deinen Daten niemals tut

Das ist die Zusage, zu deren Schutz der Rest dieses Dokuments existiert.

• Keine Nutzung personenbezogener Kundendaten für eigene Zwecke von Wefta, in keiner Form.
• Keine Werbung, kein Profiling, keine Verhaltensprognose, kein Scoring.
• Kein Verkauf, keine Weitergabe und keine Lizenzierung der Daten an irgendjemanden.
• Kein Training von Modellen des maschinellen Lernens, weder unserer noch der von Dritten, mit Prompts, Arbeitsbereichsinhalten oder Ausgaben. Diese Pflicht geben wir an jeden Unterauftragsverarbeiter weiter.
• Keine Zusammenführung von Kundendaten mit Daten aus einer anderen Quelle, außer der Kunde weist es an.

Gegenstand, Dauer, Art und Zweck

Gegenstand: die Bereitstellung des Wefta-Dienstes. Dauer: solange das Abonnement des Kunden aktiv ist, zuzüglich der unten genannten Löschfrist. Art und Zweck: Hosten, Speichern, Organisieren, Abrufen und Übermitteln von Kontext an die KI-Systeme, die der Kunde verbindet, zuzüglich der Support- und Sicherheitstätigkeiten, die nötig sind, um das am Laufen zu halten.

Kategorien von Daten und betroffenen Personen

Kategorien personenbezogener Daten: Konto- und Kontaktdaten, Arbeitsbereichsinhalte, Supportnachrichten, Nutzungs- und Sicherheitsdaten sowie alle personenbezogenen Daten, die der Kunde in den gespeicherten Kontext einstellt.

Kategorien betroffener Personen: die Nutzer und Mitarbeitenden des Kunden sowie die Kunden, Auftragnehmer und Geschäftskontakte, über die der Kunde in seinem Arbeitsbereich schreibt.

Der Kunde entscheidet, was in den Arbeitsbereich kommt. Wefta benötigt keine besonderen Kategorien personenbezogener Daten (Gesundheit, biometrische Daten, politische oder religiöse Überzeugung, sexuelle Orientierung, Gewerkschaftszugehörigkeit) und keine Daten von Kindern und bittet den Kunden, sie nicht zu speichern, da der Dienst nicht dafür ausgelegt ist, sie zu halten.

Vertraulichkeit

Der Zugriff ist auf die Personen beschränkt, deren Aufgaben ihn erfordern, und jede von ihnen ist zur Vertraulichkeit verpflichtet, die über das Ende ihrer Tätigkeit hinaus fortbesteht. Zugriff wird nach dem Prinzip der geringsten Rechte gewährt und bei einem Rollenwechsel überprüft.

Sicherheitsmaßnahmen

Wefta unterhält technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und dazu gehören mindestens:

• Verschlüsselung der Daten bei der Übertragung und der Zugangsdaten im Ruhezustand.
• Mehr-Faktor-Authentifizierung für administrative Zugänge und Zugriffskontrolle nach dem Prinzip der geringsten Rechte.
• Logische Trennung zwischen Kunden, wobei die Autorisierung auf der Ebene jedes einzelnen Objekts geprüft wird, nicht nur bei der Anmeldung.
• Protokollierung administrativer und sicherheitsrelevanter Ereignisse.
• Tägliche Backups, 7 Tage aufbewahrt, mit getesteter Wiederherstellung.
• Code-Review vor dem Release sowie Überwachung von Abhängigkeiten und Schwachstellen.
• Ein dokumentiertes Verfahren zur Reaktion auf Vorfälle.

Trennung der Mandanten

Wefta ist mandantenfähig: Kunden teilen sich die Infrastruktur, ihre Daten sind logisch getrennt. Das typische Risiko dieses Entwurfs ist, dass ein Mandant über eine fehlende oder falsche Berechtigungsprüfung an die Daten eines anderen Mandanten gelangt — die Fehlerklasse, die als Broken Object Level Authorization oder Insecure Direct Object Reference bekannt ist.

Wir benennen sie hier, weil sie der Fehler ist, auf den es in dieser Architektur ankommt, und weil die Benennung sie zur Anforderung macht: Jede Anfrage, die einen Datensatz auflöst, prüft, ob der Datensatz zu dem anfragenden Mandanten gehört, und diese Prüfung ist Teil des Code-Reviews.

Unterauftragsverarbeiter

Der Kunde erteilt Wefta die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuelle Liste ist in der Datenschutzerklärung veröffentlicht.

Jeder Unterauftragsverarbeiter ist durch schriftliche Bedingungen gebunden, die Datenschutzpflichten auferlegen, die nicht schwächer sind als die in diesem Vertrag, und Wefta bleibt dem Kunden gegenüber für ihre Leistung voll verantwortlich.

Wefta informiert den Kunden mindestens 30 Tage bevor ein neuer Unterauftragsverarbeiter seine Daten verarbeitet. Innerhalb dieser Frist kann der Kunde aus nachvollziehbaren, dokumentierten Datenschutzgründen widersprechen. Wir arbeiten daran, den Widerspruch auszuräumen; gelingt das nicht, kann der Kunde den betroffenen Teil des Dienstes ohne Strafzahlung beenden und erhält eine Erstattung für den nicht genutzten Zeitraum.

Internationale Übermittlungen

Daten überschreiten Grenzen, weil die Infrastruktur global ist. Jede Übermittlung ist mit einer Garantie versehen.

Aus Brasilien heraus: ein Angemessenheitsbeschluss der ANPD, wo einer gilt, und ansonsten die Standardvertragsklauseln nach der Resolution CD/ANPD nº 19 vom 23. August 2024, die in diesen Vertrag einbezogen sind.

Aus dem Europäischen Wirtschaftsraum und der Schweiz heraus: ein Angemessenheitsbeschluss, wo einer gilt, und ansonsten die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), Modul zwei (Verantwortlicher an Auftragsverarbeiter), die in diesen Vertrag einbezogen sind.

Aus dem Vereinigten Königreich heraus: das UK International Data Transfer Addendum zu diesen Klauseln.

Für Weiterübermittlungen in ein Land ohne Angemessenheitsbeschluss wird eine Folgenabschätzung der Übermittlung durchgeführt und es werden zusätzliche Maßnahmen ergriffen, wo die Abschätzung sie verlangt.

Unterstützung des Kunden

Wefta unterstützt den Kunden, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen, bei: der Beantwortung von Anfragen betroffener Personen, die Wefta direkt erreichen; der Durchführung von Datenschutz-Folgenabschätzungen und vorherigen Konsultationen; und dem Nachweis der Einhaltung dieser Pflichten.

Wendet sich eine betroffene Person direkt an Wefta wegen Daten aus dem Arbeitsbereich eines Kunden, antwortet Wefta nicht im Namen des Kunden. Wir leiten die Anfrage an den Kunden weiter und teilen der betroffenen Person ohne unangemessene Verzögerung mit, dass wir das getan haben.

Sicherheitsvorfälle

Wefta informiert den Kunden ohne unangemessene Verzögerung und in jedem Fall innerhalb von 24 Stunden nach Bestätigung einer Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft. Die Mitteilung beschreibt, was bekannt ist: die Art des Vorfalls, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die getroffenen oder vorgeschlagenen Maßnahmen.

Diese Frist besteht, damit dem Verantwortlichen genug von seiner eigenen 72-Stunden-Frist nach der DSGVO und von der angemessenen Frist nach der LGPD bleibt, um seine Meldung an die Behörde und an die betroffenen Personen zu machen.

Wefta meldet Vorfälle nicht im Namen des Kunden an Aufsichtsbehörden oder betroffene Personen, es sei denn, der Kunde verlangt es schriftlich.

Prüfung

Auf Anfrage und nicht mehr als einmal pro Jahr, sofern nicht ein Vorfall oder eine Behörde anderes verlangt, stellt Wefta die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.

Liegt ein unabhängiger Prüfbericht oder eine Zertifizierung vor, wird er zuerst bereitgestellt und erfüllt die Prüfpflicht. Eine Prüfung vor Ort kann der Kunde oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer durchführen, mit 30 Tagen Vorankündigung, während der Geschäftszeiten, ohne den Dienst zu stören und auf Kosten des Kunden.

Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit exportieren, solange das Abonnement aktiv ist. Nach der Beendigung bleiben die Daten 30 Tage lang zum Export verfügbar.

Nach dieser Frist löscht Wefta die personenbezogenen Daten des Kunden, auch aus den Backups, sobald deren 7-Tage-Zyklus abläuft, es sei denn, ein Gesetz verlangt die Aufbewahrung; in diesem Fall bleiben die Daten durch diesen Vertrag geschützt und werden für nichts anderes als diesen gesetzlichen Zweck verarbeitet.

Haftung

Die Haftungsbeschränkung der Nutzungsbedingungen gilt auch für diesen Vertrag, einschließlich der höheren, eigenen Grenze für Sicherheitsvorfälle und Verstöße gegen Datenschutzpflichten.

Eine Grenze verschiebt allerdings keine Verantwortung. Nach Art. 42 LGPD haftet ein Auftragsverarbeiter gemeinsam, wenn er die Sicherheitsvorschriften verletzt oder über rechtmäßige Weisungen hinausgeht, und dieser Vertrag versucht nicht, das vertraglich auszuschließen.

Entsteht eine Offenlegung personenbezogener Daten auf der Seite des Kunden — geteilte oder abgeflossene Zugangsdaten, nicht entzogener Zugriff, eine vom Kunden autorisierte Integration, eine vom Kunden gewählte Konfiguration oder Inhalte, die der Kunde nicht hochladen durfte —, trägt die Folgen der Kunde und nicht Wefta.

Rangfolge

In Fragen personenbezogener Daten geht dieser Vertrag den Nutzungsbedingungen vor. Eine zwischen Wefta und dem Kunden unterzeichnete Vereinbarung geht beiden vor, soweit sie denselben Gegenstand regelt.