1. Gegenstand, Rollen und Dauer

Der Anbieter stellt im Modul „Workspace“ einen Online-Arbeitsbereich bereit, in dem der Verantwortliche und von ihm eingeladene Mitglieder Projekte, Aufgaben, Notizen, Termine, Dateien und Logger-Angaben speichern und gemeinsam bearbeiten. Soweit der Verantwortliche dabei personenbezogene Daten verarbeitet, handelt der Anbieter ausschließlich in dessen Auftrag und nach dessen Weisungen (Art. 28 DSGVO).

Für Daten, die der Anbieter zu eigenen Zwecken verarbeitet (Kundenkonto, Vertragsabwicklung, Lizenzprüfung, Support), ist der Anbieter selbst Verantwortlicher; hierfür gilt die Datenschutzerklärung.

Die Vereinbarung gilt für die Laufzeit des Moduls und die Nachfrist nach Ziffer 8.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

• Art und Zweck: Speicherung, Anzeige, Bearbeitung, Übermittlung an Mitglieder des Workspace und Bereitstellung zum Download, soweit zur Erbringung des Moduls erforderlich.
• Datenarten: Inhalte, die der Verantwortliche und seine Mitglieder im Workspace eingeben oder hochladen (Titel und Texte von Projekten, Aufgaben, Notizen und Terminen, Dateien samt Dateinamen, Logger-Angaben wie Gerätename, Seriennummer, Standort und Zeitraum); Mitgliedsdaten (Name, E-Mail-Adresse, Rolle im Workspace); E-Mail-Adresse eingeladener Personen; Aktivitätsprotokoll des Workspace.
• Kategorien Betroffener: Mitarbeiter und Mitglieder des Verantwortlichen sowie Personen, deren Daten der Verantwortliche in Inhalte aufnimmt (z. B. Auftraggeber, Eigentümer, Bewohner, Gutachtenbeteiligte).
• Der Verantwortliche entscheidet, welche Inhalte er einstellt. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen nicht eingestellt werden.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzung des Moduls im Rahmen dieser Vereinbarung sowie Weisungen in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen. Der Anbieter greift auf Inhalte nur zu, soweit dies zur Erbringung des Moduls, zur Fehlerbehebung oder auf Weisung des Verantwortlichen erforderlich ist.

4. Pflichten des Anbieters

• Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Der Anbieter trifft die in der Anlage beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO).
• Der Anbieter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen, bei der Datenschutz-Folgenabschätzung und bei Meldepflichten, soweit dies in seinem Einflussbereich liegt.
• Der Anbieter meldet Verletzungen des Schutzes personenbezogener Daten im Workspace unverzüglich nach Bekanntwerden.
• Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten für diese Auftragsverarbeitung (Art. 30 Abs. 2 DSGVO).

5. Pflichten des Verantwortlichen

• Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich und stellt sicher, dass er die Daten Dritter im Workspace verarbeiten darf.
• Er vergibt Rollen im Workspace sorgfältig und entfernt Mitglieder, die keinen Zugriff mehr benötigen.
• Er sichert Originaldaten eigenständig (der Workspace ist kein Archiv- oder Datensicherungsdienst).

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• STRATO AG, Pascalstraße 10, 10587 Berlin – Hosting der Anwendung und der Dateien, E-Mail-Versand (Server in Deutschland). Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung.

Über beabsichtigte Änderungen informiert der Anbieter in Textform; der Verantwortliche kann aus wichtigem Grund widersprechen. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf mindestens gleichwertige Datenschutzpflichten. Eine Übermittlung in Länder außerhalb der EU/des EWR findet nicht statt.

7. Kontrollrechte

Der Anbieter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind. Der Verantwortliche kann – nach rechtzeitiger Anmeldung und ohne Störung des Betriebs – Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.

8. Löschung und Rückgabe nach Vertragsende

Nach Ende des Moduls stehen die hochgeladenen Dateien 90 Tage lang zum Herunterladen im Workspace zur Verfügung (Rückgabe); neue Dateien können nicht hochgeladen werden. 30 und 60 Tage nach Vertragsende erinnern wir per E-Mail. Nach Ablauf der 90 Tage löscht der Anbieter die hochgeladenen Dateien. Übrige Inhalte (Projekte, Aufgaben, Notizen, Termine, Aktivitätsprotokoll) bleiben im Workspace bestehen und werden gelöscht, wenn der Verantwortliche sie oder den Workspace löscht oder das Kundenkonto gelöscht wird. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

9. Haftung

Für die Haftung gelten die Regelungen der AGB und Art. 82 DSGVO.

10. Kontakt

Fragen zum Datenschutz im Modul „Workspace“: info (at) mycosoft (punkt) de .

Anlage: Technische und organisatorische Maßnahmen

• Zutrittskontrolle: Betrieb in den Rechenzentren des Hosting-Anbieters STRATO AG (Deutschland), dessen Zutrittsschutz dort geregelt ist.
• Zugangskontrolle: Anmeldung nur mit Kundenkonto und Passwort; Passwörter werden ausschließlich als Hashwert gespeichert; Verbindung zum Dienst nur verschlüsselt (HTTPS).
• Zugriffskontrolle: Zugriff auf einen Workspace nur für Mitglieder; rollenbasierte Rechte (Besitzer, Administrator, Bearbeiter, Betrachter); Dateien werden nicht öffentlich ausgeliefert, sondern nur nach Prüfung der Mitgliedschaft zum Download bereitgestellt.
• Weitergabekontrolle: Übertragung zwischen Browser und Server per TLS-Verschlüsselung; Einladungen werden an die vom Workspace-Besitzer angegebene E-Mail-Adresse gesendet.
• Eingabekontrolle: Aktivitätsprotokoll je Workspace (wer hat wann welche Aktion ausgeführt).
• Auftragskontrolle: Verarbeitung nur nach Weisung; Vertrag zur Auftragsverarbeitung mit dem Hosting-Anbieter.
• Trennungskontrolle: Daten werden je Workspace getrennt geführt; Speicherkontingente gelten je Workspace.
• Verfügbarkeit: Betrieb bei einem professionellen Hosting-Anbieter; Überwachung der Speicherbelegung des Servers. Eine Datensicherung oder Archivierung der Workspace-Inhalte wird nicht geschuldet (siehe Ziffer 5).
• Löschkonzept: Löschung der Dateien 90 Tage nach Ende des Moduls (Ziffer 8); Löschung des Kundenkontos auf Anfrage.