Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Gegenstand, Dauer, Art und Zweck

• Gegenstand: Bereitstellung und Betrieb von ipmera als SaaS, einschließlich Speicherung, Support und E-Mail-Benachrichtigungen.
• Dauer: Laufzeit des Nutzungsvertrags; danach Löschung bzw. Rückgabe nach Ziffer 8.
• Zweck: Projekt-, Programm- und Portfoliomanagement der Organisation, Zeiterfassung, Freigaben, Kunden- und Projektportal.

2. Art der Daten und betroffene Personen

• Daten: Namen, E-Mail-Adressen, Rollen; Projektinhalte (Aufträge, Planungen, Risiken, Stakeholder, Statusberichte); Zeitbuchungen und Abwesenheiten (auch Krankheit als Gesundheitsdatum, wenn erfasst); Freigaben und Kommentare.
• Betroffene: Beschäftigte der Organisation, externe Dienstleister, Kundinnen und Kunden sowie Freigabe-Gäste der Organisation, Stakeholder in Projektunterlagen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen, die sich aus diesem Vertrag und der Nutzung der Funktionen von ipmera ergibt. Hält er eine Weisung für rechtswidrig, informiert er die Verantwortliche unverzüglich. Eine Verarbeitung zu eigenen Zwecken findet nicht statt; der Betrieb sieht Organisationen, Personen und Nutzungszahlen nur, soweit es für Support und Abrechnung nötig ist, aber keine Projektinhalte.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Mandantentrennung auf Datenebene: jede Abfrage ist automatisch auf die Organisation beschränkt.
• Zugriffskontrolle je Server-Aktion; Rollen- und Projektrechte; Vier-Augen-Prinzip bei Freigaben.
• Passwörter nur als Hash (bcrypt); Einmal-Links nur als Hash, zeitlich begrenzt; Anmeldung mit Microsoft möglich.
• Verschlüsselte Übertragung (TLS, HSTS); Sicherheits-Header; Schutz vor Brute-Force-Angriffen.
• Protokoll sicherheitsrelevanter Vorgänge ohne Inhalte; Prüfsummen-Kette in der Freigabeakte.
• Datenminimierung: kein Tracking, keine Werbung; Löschfristen nach Löschkonzept.
• Datensicherung und Wiederherstellung beim Hosting- und Datenbankanbieter.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Die Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hosting: Vercel, Region EU (Frankfurt)
• Datenbank: MongoDB Atlas, Region EU (Frankfurt)
• E-Mail-Versand: Sinch Mailjet SAS, Frankreich (EU)

Über neue oder ersetzte Unterauftragsverarbeiter informieren wir die Admins vorher in Textform; die Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen. Mit jedem Unterauftragsverarbeiter bestehen Verträge mit gleichwertigen Pflichten. Eine Übermittlung in Drittländer erfolgt nur nach Art. 44 ff. DSGVO.

7. Unterstützung der Verantwortlichen

• Betroffenenrechte: ipmera bietet Export und Löschung von Personen und Konten; bei Anfragen unterstützt der Auftragsverarbeiter.
• Datenschutzverletzungen meldet der Auftragsverarbeiter unverzüglich, möglichst binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
• Er unterstützt bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde.

8. Löschung und Rückgabe

Die Organisation kann ihre Daten während der Laufzeit jederzeit exportieren. Nach Löschung der Organisation löscht der Auftragsverarbeiter die Inhalte nach dem Löschkonzept, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im regulären Zyklus überschrieben.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit (z. B. Beschreibung der Maßnahmen, Nachweise der Unterauftragsverarbeiter). Kontrollen vor Ort sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich, ohne den Betrieb zu stören; Aufwand darüber hinaus kann angemessen berechnet werden.

10. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor. Es gilt deutsches Recht.