Rechtliches.
Auftragsverarbeitungsvertrag
Dieser Auftragsverarbeitungsvertrag, einschließlich der Anhänge (der „AVV“), ist Bestandteil der Vereinbarung zwischen dem Kunden und Testlify, Inc. (nachfolgend „Testlify“).
1. Geltungsbereich
Dieser AVV zwischen dem Kunden und, sofern zutreffend, den verbundenen Unternehmen des Kunden sowie Testlify enthält die rechtlichen Bedingungen, die für die Verarbeitung von Endnutzerdaten gelten, welche personenbezogene Daten umfassen können.
2. Definitionen
Die folgenden Begriffsbestimmungen gelten für diesen gesamten AVV:
„Vereinbarung“ bezeichnet die Testlify-Endnutzervereinbarung, sofern zwischen den Parteien keine gesonderte Vereinbarung zur Nutzung der Dienste besteht.
„Datenschutzgesetze“ bezeichnet die auf Testlify anwendbaren Datenschutzgesetze bei der Verarbeitung personenbezogener Daten im Rahmen dieses AVV, einschließlich, soweit anwendbar, der DSGVO und des CCPA.
„AVV“ bezeichnet diesen Auftragsverarbeitungsvertrag.
„Endnutzerdaten“ bezeichnet Daten, auf die während der durch die Vereinbarung geregelten Beziehung im Rahmen der Dienste zugegriffen oder die erhoben werden können, in Form von Protokollen, Sitzungsdaten, Telemetriedaten, Nutzerdaten, Nutzungsdaten und Bedrohungsinformationen.
„DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten.
„Informationssicherheitsmaßnahmen“ bezeichnet die technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
„Sicherheitsvorfall“ bezeichnet jeden unbefugten Zugriff auf Endnutzerdaten, die auf der Ausrüstung oder in den Einrichtungen von Testlify gespeichert sind, oder unbefugten Zugriff auf solche Ausrüstung oder Einrichtungen, der zu einem Verlust, einer Offenlegung oder Änderung solcher Daten führt.
Im AVV verwendete Begriffe, die spezifisch in der DSGVO definiert sind, haben die gleiche Bedeutung wie in der DSGVO festgelegt. Im AVV verwendete Begriffe, die nicht spezifisch in der DSGVO definiert sind, haben die ihnen üblicherweise in der Datenschutzbranche zugewiesene Bedeutung.
3. Verantwortlichkeiten bei der Verarbeitung personenbezogener Daten als Auftragsverarbeiter
Soweit Testlify personenbezogene Daten im Auftrag des Kunden als Auftragsverarbeiter (im Sinne der geltenden Datenschutzgesetze) verarbeitet, tut Testlify dies nur auf dokumentierte Anweisung des Kunden und im Einklang mit dem Folgenden:
Rechtlich vorgeschriebene Verarbeitung. Sollte Testlify gesetzlich zur Verarbeitung personenbezogener Daten des Kunden verpflichtet sein, wird Testlify diese Verarbeitung durchführen und den Kunden über diese gesetzliche Anforderung informieren, sofern dies gesetzlich zulässig ist.
Einhaltung geltender Datenschutzgesetze. Testlify verarbeitet personenbezogene Daten des Kunden in Übereinstimmung mit den geltenden Datenschutzgesetzen und stellt dem Kunden auf Anfrage die erforderlichen Informationen zur Verfügung.
Anfragen betroffener Personen. Testlify leistet dem Kunden angemessene Unterstützung bei der Erfüllung seiner Pflichten hinsichtlich der Rechte betroffener Personen nach den geltenden Datenschutzgesetzen.
Datenschutz-Folgenabschätzung. Auf schriftliche Anfrage des Kunden stellt Testlify dem Kunden die angemessene Kooperation und Unterstützung zur Verfügung, die zur Erfüllung der Verpflichtungen des Kunden erforderlich ist.
Berechtigtes Personal. Testlify stellt sicher, dass berechtigtes Personal, das personenbezogene Daten des Kunden verarbeitet, sich zur Vertraulichkeit verpflichtet hat oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegt.
Unterauftragsverarbeiter. Der Kunde ermächtigt Testlify, die in Anhang 1 zu dieser Vereinbarung genannten Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten einzusetzen. Falls Testlify einen neuen Unterauftragsverarbeiter beauftragt, wird es:
den Kunden über das Support-Portal innerhalb von fünfzehn (15) Tagen nach einer solchen Änderung benachrichtigen, um dem Kunden Gelegenheit zu geben, dieser Unterverarbeitung zu widersprechen. Sollte der Kunde einem neuen Unterauftragsverarbeiter widersprechen, wird Testlify angemessene Anstrengungen unternehmen, um Abhilfe zu schaffen;
dem Unterauftragsverarbeiter angemessene vertragliche Verpflichtungen auferlegen, die nicht weniger schützend sind als dieser AVV; und
weiterhin für die Einhaltung des AVV durch den Unterauftragsverarbeiter sowie für etwaige Handlungen oder Unterlassungen des Unterauftragsverarbeiters, die zu einem Verstoß von Testlify gegen seine Pflichten aus diesem AVV führen, verantwortlich und haftbar bleiben.
Grenzüberschreitende Übermittlungen. Werden personenbezogene Kundendaten außerhalb des Europäischen Wirtschaftsraums (EWR), des Vereinigten Königreichs (UK) oder der Schweiz übermittelt, stellt Testlify sicher, dass solche Übermittlungen den geltenden Datenschutzgesetzen entsprechen.
Wahrung der Vertraulichkeit und Sicherheit personenbezogener Daten. Testlify hat Praktiken und Richtlinien implementiert, um angemessene organisatorische, physische und technische Maßnahmen zur Wahrung der Vertraulichkeit und Sicherheit personenbezogener Daten aufrechtzuerhalten, einschließlich:
der Pseudonymisierung, Deidentifizierung oder Verschlüsselung von Daten;
der Fähigkeit, die Verfügbarkeit und den Zugriff auf personenbezogene Kundendaten im Falle eines physischen oder technischen Vorfalls zeitnah wiederherzustellen; und
eines Verfahrens zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit der Informationssicherheitsmaßnahmen von Testlify.
Notfallreaktionsplan. Testlify implementiert und pflegt einen Notfallreaktionsplan, der Maßnahmen einschließlich Eindämmung, Untersuchung, Meldung und Behebung im Falle eines Sicherheitsvorfalls festlegt.
Sicherheitsvorfall. Im Falle eines Sicherheitsvorfalls, der personenbezogene Kundendaten betrifft, wird Testlify unverzüglich: (a) den Kunden über den Sicherheitsvorfall informieren; (b) untersuchen und angemessene Informationen bereitstellen; (c) angemessene Maßnahmen zur Minderung der Auswirkungen des Sicherheitsvorfalls ergreifen.
Prüfung. Testlify stellt dem Kunden auf schriftliche Anfrage, vorbehaltlich angemessener Vertraulichkeitsverpflichtungen, eine zusammenfassende Kopie der geltenden Prüfberichte oder Zertifizierungen Dritter zur Verfügung.
Aufbewahrung und Löschung. Testlify verarbeitet und speichert alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten, einschließlich Kundendaten, Kandidatendaten, Endnutzerdaten und aller anderen betroffenen Datensubjekte im Rahmen dieser Vereinbarung, in Übereinstimmung mit den geltenden Aufbewahrungsfristen.
4. Einzelheiten zur Verarbeitung personenbezogener Daten
Gegenstand: Der Gegenstand der Verarbeitung im Rahmen dieses AVV sind personenbezogene Daten des Kunden.
Dauer: Testlify kann personenbezogene Kundendaten im Rahmen dieses AVV bis zur Beendigung oder zum Ablauf der Vereinbarung verarbeiten.
Zweck: Der Zweck der Verarbeitung personenbezogener Kundendaten im Rahmen dieses AVV besteht darin, Testlify die Erbringung der Dienste und die Erfüllung seiner Verpflichtungen gemäß der Vereinbarung zu ermöglichen.
Art der Verarbeitung: Zur Erbringung der in der Vereinbarung beschriebenen Dienste verarbeitet Testlify personenbezogene Daten des Kunden auf Anweisung des Kunden und gemäß den Bedingungen der Vereinbarung.
Kategorien betroffener Personen: Der Kunde bestimmt die Kategorien und den Umfang der personenbezogenen Kundendaten, die er Testlify offenlegt, einschließlich unter anderem:
Mitarbeiter, Auftragnehmer, Berater und Personen, die dem Kunden oder der Belegschaft der Kunden von Kunden und Partnern angehören; oder
Kandidaten, die sich auf eine offene Stelle des Kunden bewerben
andere Personen, deren personenbezogene Daten im Rahmen der Erbringung der Dienste verarbeitet werden.
Kategorien personenbezogener Daten: Der Kunde bestimmt die Kategorien der personenbezogenen Daten, die er Testlify offenlegt, einschließlich unter anderem personenbezogener Kundendaten bezüglich:
Identifikations- und Kontaktdaten (z. B. Name, Adresse, Telefonnummer, Titel, E-Mail, andere Kontaktdaten);
Beschäftigungsdetails (z. B. Berufsbezeichnung, Rolle, Vorgesetzter);
Antworten auf Testfragen und Testergebnisse
Zusätzliche verarbeitete Datenpunkte, einschließlich unter anderem Momentaufnahmen der Nutzeraktivität, Bildschirmaufzeichnungen während der Beurteilungen, Standortdaten und andere relevante Nutzer- oder Sitzungsdaten.
IT-Informationen (z. B. Berechtigungen, IP-Adressen, Nutzungsdaten, Cookie-Daten, Online-Kennungen);
Domänen- und Geräteinformationen (z. B. Hostnamen und qualifizierte Hostnamen);
In Protokollen enthaltene Informationen im Zusammenhang mit von den Diensten identifizierten und erfassten Sicherheitsereignissen; und/oder
Unstrukturierte Daten, die Testlify zum Zweck der Bereitstellung von Support-Dienstleistungen zur Verfügung gestellt werden (z. B. Paketmitschnitte (PCAP) zum Testen von Dateien).
Übermittelte sensible Daten (falls zutreffend): Bei der Verarbeitung personenbezogener Daten, hauptsächlich bei forensischen Untersuchungen, kann Testlify sensible Daten verarbeiten.
Häufigkeit: Der Informationsaustausch zwischen den Parteien zur Erleichterung der Verarbeitung durch Testlify im Auftrag des Kunden erfolgt nach Bedarf bis zur Beendigung der Vereinbarung.
5. Verarbeitung von Endnutzerdaten
Testlify verarbeitet und speichert alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten, einschließlich Kundendaten, Kandidatendaten, Endnutzerdaten und aller anderen betroffenen Datensubjekte im Rahmen dieser Vereinbarung.
6. Einhaltung von Gesetzen
Die Parteien verarbeiten personenbezogene Daten in Übereinstimmung mit den geltenden Datenschutzgesetzen. Der Kunde sichert zu und gewährleistet, dass seine Nutzung der Dienste sowie seine Ermächtigung von Testlifys Zugriff auf und Verarbeitung von personenbezogenen Daten im Einklang mit geltendem Recht steht.
7. PCI-Konformität
Testlify ist kein Zahlungsdienstleister und unterliegt daher nicht der Einhaltung der PCI-Standards. Testlify erkennt jedoch an, dass Kreditkarteninformationen im Rahmen der Leistungserbringung vom Kunden bereitgestellt werden können.
8. Haftungsbeschränkung
Dieser AVV ändert nicht die Haftung von Testlify gegenüber dem Kunden aus Vertrag, unerlaubter Handlung oder einer anderen Haftungstheorie basierend auf anderen zwischen dem Kunden und Testlify geltenden Bedingungen.
9. Konflikt der Bedingungen
Im Falle eines Konflikts zwischen den Bedingungen dieses AVV und anderen zwischen dem Kunden und Testlify geltenden Bedingungen haben die Bedingungen dieses AVV hinsichtlich der Datenverarbeitungsaktivitäten Vorrang.
10. Anhang 2 — Informationssicherheitsmaßnahmen
Anhang 1 zum AVV: Liste der Unterauftragsverarbeiter
Anhang 2 zum AVV: Informationssicherheitsmaßnahmen
10.1. Geltungsbereich
Unter Berücksichtigung der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung, des Stands der Technik, der Implementierungskosten sowie der Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen implementiert das Unternehmen angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten.
10.2. Definitionen
„Vereinbarung“ bezeichnet jede zugrunde liegende Endnutzervereinbarung, Bestellformular, Auftragsschreiben, Leistungsbeschreibung oder sonstige rechtsgültig abgeschlossene und verbindliche schriftliche oder elektronische Vereinbarung zwischen den Parteien.
„Endnutzerdaten“ bezeichnet Daten, die vom Kunden oder in dessen Auftrag im Rahmen der durch die Vereinbarung geregelten Beziehung an das Unternehmen bereitgestellt werden. Zur Klarstellung: Endnutzerdaten umfassen keine Systemdaten.
„Personenbezogene Daten“ bezeichnet alle Informationen, die im Auftrag des Kunden im Rahmen der Bereitstellung eines Produkts verarbeitet werden und (i) sich auf eine identifizierte oder identifizierbare natürliche Person beziehen oder (ii) als „personenbezogene Daten“ nach geltendem Recht definiert sind.
„Produkt“ bezeichnet gemeinsam Hardware, Software, Abonnement oder eine Kombination davon, unabhängig davon, ob das Produkt im Rahmen eines Unternehmensprogramms beschafft wurde.
„Systemdaten“ bezeichnet Daten, die im Zusammenhang mit der Nutzung der Produkte durch den Kunden erzeugt und/oder erfasst werden, wie Protokolle, Sitzungsdaten, Telemetriedaten, Support-Daten, Nutzungsdaten, Bedrohungsinformationen oder Kontodaten.
10.3. Sicherheitsmanagement
10.3.1. Sicherheitsprogramm
Das Unternehmen unterhält ein schriftliches Informationssicherheitsprogramm, das:
von einem leitenden Mitarbeiter verwaltet wird, der für die Beaufsichtigung und Umsetzung des Programms verantwortlich ist;
administrative, technische und physische Schutzmaßnahmen umfasst, die angemessen darauf ausgelegt sind, die Vertraulichkeit, Integrität und Verfügbarkeit von Daten zu schützen; und
der Art, Größe und Komplexität der Geschäftstätigkeit des Unternehmens angemessen ist.
10.3.2. Personalsicherheit
Die Fähigkeiten und Kompetenzen von Mitarbeitern und Auftragnehmern werden im Rahmen des Einstellungsprozesses bewertet. Erforderliche Fähigkeiten und Kompetenzen werden in Stellenbeschreibungen und Anforderungen aufgeführt.
10.4. Sorgfaltsprüfung von Unterauftragnehmern
10.4.1. Das Unternehmen wird:
die Sicherheitsfähigkeiten solcher Unterauftragnehmer regelmäßig bewerten, um sicherzustellen, dass Unterauftragnehmer in der Lage sind, die in diesem Dokument beschriebenen Maßnahmen einzuhalten;
schriftliche Informationssicherheitsanforderungen anwenden, die Unterauftragnehmer verpflichten, die wichtigsten Informationssicherheitsrichtlinien und -standards des Unternehmens einzuhalten, die mit diesen Maßnahmen konsistent und nicht weniger schützend sind.
10.5. Logische Sicherheit
10.5.1. Systemzugriffskontrolle und Netzwerkzugriffskontrolle
Das Unternehmen setzt Zugriffskontrollmechanismen ein, die darauf abzielen: (a) unbefugten Zugriff auf Daten zu verhindern; (b) den Zugriff auf Benutzer zu beschränken, die diesen benötigen; (c) dem Prinzip der geringsten Berechtigung zu folgen.
Benutzer des Unternehmens verfügen über ein individuelles Konto, das den Zugriff dieser Person auf die Daten authentifiziert. Das Unternehmen erlaubt keine gemeinsame Nutzung von Konten.
Das Unternehmen unterhält einen Prozess zur mindestens jährlichen Überprüfung/Prüfung der Kontrollen (einschließlich Zugriffskontrollen) für alle Systeme des Unternehmens, die Daten übertragen, verarbeiten oder speichern.
Das Unternehmen konfiguriert den Fernzugriff auf alle Netzwerke, die Daten speichern oder übertragen, so, dass eine Multi-Faktor-Authentifizierung für einen solchen Zugriff erforderlich ist.
Das Unternehmen widerruft den Zugriff auf Systeme und Anwendungen, die Daten enthalten oder verarbeiten, unverzüglich nach Wegfall der Zugriffsnotwendigkeit.
10.5.2. Telekommunikations- und Netzwerksicherheit
Das Unternehmen setzt Firewall-Technologie beim Betrieb seiner Standorte ein. Der Datenverkehr zwischen Kunde und Unternehmen wird durch branchenübliche kryptografische Technologien geschützt und authentifiziert.
Das Unternehmen setzt ein Angriffserkennungssystem ein, um Warnmeldungen zu generieren, zu überwachen und darauf zu reagieren, die auf eine potenzielle Kompromittierung des Netzwerks und/oder Hosts hinweisen könnten.
Das Unternehmen implementiert eine Netzwerksegmentierung zwischen dem Unternehmensnetzwerk und den Hosting-Einrichtungen für Daten.
10.5.3. Schutz vor Schadsoftware
Mit Ausnahme spezifischer Server, die der Analyse kompromittierter Endnutzerdaten gewidmet sind, betreiben die Arbeitsstationen und Server des Unternehmens die aktuelle Version branchenüblicher Antiviren-/Anti-Malware-Software.
Das Unternehmen scannt eingehende und ausgehende Inhalte auf Schadcode an allen Gateways zu öffentlichen Netzwerken, einschließlich, aber nicht beschränkt auf E-Mail- und Proxy-Server.
10.5.4. Datenverlustprävention
Das Unternehmen setzt ein umfassendes System ein, um die versehentliche oder vorsätzliche Kompromittierung von Daten zu verhindern.
10.6. Software-Entwicklung und -Wartung
10.6.1. Open Source
Das Unternehmen bewertet und verfolgt Schwachstellen von Open-Source-Software (OSS) und anderen Bibliotheken Dritter, die in die Produkte integriert sind; das Unternehmen führt statische Codeanalysen und manuelle Codeüberprüfungen durch.
10.6.2. Änderungsmanagement
Das Unternehmen setzt ein dokumentiertes Änderungsmanagementprogramm in Bezug auf die Produkte als integralen Bestandteil seines Sicherheitsprofils ein, einschließlich logisch oder physisch getrennter Umgebungen von der Produktion.
10.6.3. Schwachstellenmanagement und Sicherheitsbewertungen von Anwendungen
Das Unternehmen beauftragt einen qualifizierten Dritten mit der Durchführung von Anwendungssicherheitsbewertungen. Das Unternehmen kann die Sicherheitsbewertungsprüfung auch direkt durchführen, gemäß branchenüblichen Best Practices.
10.7. Speicherung, Handhabung und Entsorgung
10.7.1. Datentrennung
Das Unternehmen trennt und segregiert personenbezogene Daten und Endnutzerdaten physisch oder logisch von den Daten anderer Kunden.
10.7.2. Verschlüsselung elektronischer Daten
Das Unternehmen verwendet starke, branchenübliche Verschlüsselungsalgorithmen und Schlüsselstärken (d. h. AES 256-Bit im Ruhezustand, TLS v1.2 bei der Übertragung), um alle personenbezogenen Daten und Endnutzerdaten in elektronischer Form zu verschlüsseln.
10.8. Betriebskontinuität und Notfallwiederherstellung
10.8.1. Das Unternehmen entwickelt, implementiert und pflegt ein Betriebskontinuitätsmanagementprogramm, um den Bedürfnissen des Unternehmens und der dem Kunden bereitgestellten Produkte gerecht zu werden.
Der Business-Impact-Analyse-Plan des Unternehmens umfasst unter anderem eine systematische Überprüfung der Geschäftsfunktionen und der zugehörigen Prozesse, die Abhängigkeiten identifiziert und potenzielle Auswirkungen bewertet.
Der Krisenmanagementplan des Unternehmens umfasst unter anderem Elemente wie Ereignismanagement, Plan- und Teamaktivierung sowie die Dokumentation von Ereignis- und Kommunikationsprozessen, die mindestens jährlich geübt werden.
Der Betriebskontinuitätsplan des Unternehmens umfasst unter anderem Elemente wie Standort-Workarounds, Anwendungs-Workarounds, Anbieter-Workarounds und Personal-Workarounds, die mindestens jährlich geübt werden.
Der Notfallwiederherstellungsplan des Unternehmens umfasst unter anderem Infrastruktur-, Technologie- und Systemdetails, Wiederherstellungsaktivitäten und identifiziert die für eine solche Wiederherstellung erforderlichen Personen/Teams.
10.8.2. Planinhalt
Die Plandokumentation des Unternehmens befasst sich mit Maßnahmen, die das Unternehmen im Falle eines längeren Dienstausfalls ergreifen wird. Das Unternehmen stellt sicher, dass seine Pläne die für eine rechtzeitige Wiederherstellung des Betriebs erforderlichen Maßnahmen und Ressourcen berücksichtigen.
11. Datenschutzbeauftragter
Bei Fragen oder Anliegen bezüglich dieses Auftragsverarbeitungsvertrags, des Datenschutzes oder des Schutzes Ihrer personenbezogenen Daten können Sie sich an unseren Datenschutzbeauftragten wenden: Name: Chiranjeevi Tirunagari, E-Mail: dpo@testlify.com, Kontakt: +1 (844) 755 8378
Fragen?.
Haben Sie eine Frage zu diesem Auftragsverarbeitungsvertrag?
Unser Team führt Sie gerne durch jede Klausel dieses AVV oder verbindet Sie mit unserem Datenschutzbeauftragten.