BMS
DE ▾
Jetzt starten

Vereinbarung zur Auftragsverarbeitung (DPA)

1. Parteien und Rollen

Im Sinne der anwendbaren Datenschutzgesetze, einschließlich der DSGVO, soweit anwendbar, handelt der Kunde als Verantwortlicher und BMS als Auftragsverarbeiter.

BMS verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern das anwendbare Recht nichts anderes vorschreibt.

2. Zweck und Umfang der Verarbeitung

BMS verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung, Wartung, Absicherung und Unterstützung des Business Management Systems und seiner zugehörigen Dienste, einschließlich:

  • Buchhaltung und Finanzen
  • Personalwesen und Lohnabrechnung
  • Bestands- und Lagerverwaltung
  • Kundenbeziehungsmanagement
  • Beschaffungs- und Lieferantenmanagement
  • Betriebliche und administrative Arbeitsabläufe
  • Technischer Support, Wartung, Backup und Sicherheit

BMS verarbeitet personenbezogene Kundendaten nicht für eigene kommerzielle Zwecke.

3. Kategorien personenbezogener Daten

  • Benutzerkontoinformationen
  • Mitarbeiter- und Lohnabrechnungsinformationen
  • Kontaktinformationen von Kunden und Lieferanten
  • Finanz- und Buchhaltungsunterlagen
  • Betriebs- und Bestandsdaten
  • Systemprotokolle, Prüfaufzeichnungen und Nutzungsinformationen
  • Sonstige personenbezogene Daten, die der Kunde über den Dienst übermittelt

4. Kategorien betroffener Personen

  • Mitarbeiter des Kunden und autorisierte Benutzer
  • Bewerber (soweit zutreffend)
  • Kunden und Interessenten
  • Lieferanten und Anbieter
  • Auftragnehmer und Berater
  • Andere Personen, deren personenbezogene Daten vom Kunden eingegeben werden

5. Pflichten des Auftragsverarbeiters

  • Personenbezogene Daten nur auf dokumentierte Anweisungen des Kunden verarbeiten.
  • Sicherstellen, dass Personen mit Zugriff auf personenbezogene Daten zur Vertraulichkeit verpflichtet sind.
  • Geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen.
  • Den Kunden bei der Erfüllung geltender Datenschutzpflichten unterstützen.
  • Den Kunden über gesetzlich vorgeschriebene Offenlegungen informieren, soweit gesetzlich zulässig.

6. Technische und organisatorische Sicherheitsmaßnahmen

  • Rollenbasierte Zugriffskontrolle
  • Starke Authentifizierung für administrativen Zugriff
  • Verschlüsselung von Daten während der Übertragung mit branchenüblichen Protokollen
  • Sichere Passwortspeicherung
  • Prüfprotokollierung wesentlicher administrativer und sicherheitsrelevanter Ereignisse
  • Regelmäßige Backups und Notfallwiederherstellungsverfahren
  • Sicherheitsüberwachung und Schwachstellenmanagement
  • Eingeschränkter Zugriff auf Produktionssysteme
  • Regelmäßige Softwareupdates und Sicherheitspatches

Auftragsverarbeiter

BMS kann vertrauenswürdige Auftragsverarbeiter einsetzen, um Hosting, Infrastruktur, Kommunikation, Überwachung und andere betriebliche Dienste bereitzustellen.

BMS bleibt für die Leistung seiner Auftragsverarbeiter verantwortlich und stellt sicher, dass diese Datenschutzpflichten unterliegen, die denjenigen dieser Vereinbarung gleichwertig sind.

Eine aktuelle Liste der genehmigten Auftragsverarbeiter ist auf derAuftragsverarbeiter

8. Internationale Datenübermittlungen

Bei der Übermittlung personenbezogener Daten außerhalb der maßgeblichen Rechtsordnung setzt BMS geeignete Schutzmaßnahmen ein, darunter Standardvertragsklauseln (SCC), Angemessenheitsbeschlüsse oder andere gesetzlich anerkannte Übermittlungsmechanismen.

9. Rechte betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung leistet BMS angemessene Unterstützung, damit der Kunde Anfragen zu Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und anderen Rechten nach den anwendbaren Datenschutzgesetzen beantworten kann.

10. Verletzungen des Schutzes personenbezogener Daten

BMS unterhält Verfahren zur Erkennung, Untersuchung und Behandlung von Sicherheitsvorfällen.

Wird BMS eine Verletzung des Schutzes personenbezogener Daten bekannt, die Kundendaten betrifft, benachrichtigt BMS den Kunden unverzüglich und stellt verfügbare Informationen bereit, die zur Unterstützung der gesetzlichen Pflichten des Kunden erforderlich sind.

11. Datenaufbewahrung, Rückgabe und Löschung

Nach Beendigung des Dienstes können Kunden ihre Daten während der geltenden Aufbewahrungsfrist exportieren.

Nach Ablauf der Aufbewahrungsfrist löscht oder anonymisiert BMS personenbezogene Kundendaten sicher, sofern eine weitere Aufbewahrung nicht gesetzlich vorgeschrieben ist. Sicherungskopien werden gemäß den Aufbewahrungsverfahren von BMS für Backups entfernt.

12. Prüfung und Compliance

Auf angemessene schriftliche Anfrage stellt BMS verfügbare Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereit, gegebenenfalls einschließlich einschlägiger Sicherheits- und Compliance-Dokumentation.

Auditanfragen müssen angemessen sein, Vertraulichkeitspflichten unterliegen und dürfen den Betrieb von BMS nicht unangemessen beeinträchtigen.

13. Laufzeit

Diese Vereinbarung zur Auftragsverarbeitung bleibt so lange in Kraft, wie BMS im Zusammenhang mit dem Dienst personenbezogene Daten im Auftrag des Kunden verarbeitet.

14. Einhaltung des anwendbaren Rechts

Beide Parteien erfüllen ihre jeweiligen Pflichten nach den anwendbaren Datenschutzgesetzen, einschließlich der Datenschutz-Grundverordnung (DSGVO), soweit anwendbar.