Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

Der Auftragnehmer (LB24 International GmbH, Hannover, Betreiber von Boardarc) verarbeitet personenbezogene Daten im Auftrag des Kunden (Auftraggeber) ausschließlich zur Bereitstellung der Software Boardarc. Der Vertrag gilt für die Dauer des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Bearbeitung und Übermittlung von Inhalten, die der Auftraggeber in Boardarc anlegt: Aufgaben, Nachrichten, Dokumente, Dateien, Kommentare sowie Nutzungs- und Protokolldaten.

3. Art der Daten und Betroffene

Namen, E-Mail-Adressen, Profilbilder, Inhalte in Boards, Chat und Docs, Zeiterfassungsdaten, Protokolldaten. Betroffen sind Beschäftigte, Gäste und in Inhalten genannte Personen des Auftraggebers.

4. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers.
• Verpflichtung aller Beschäftigten auf Vertraulichkeit.
• Unterstützung bei Anfragen Betroffener und bei Datenschutz-Folgenabschätzungen.
• Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
• Löschung oder Rückgabe aller Daten nach Vertragsende, spätestens nach 30 Tagen.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung von Zugangsdaten verbundener Dienste.
• Zugriffskontrolle auf Datenbankebene (Zeilen-Rechte) je Workspace, Board, Gruppe und Spalte.
• Zwei-Faktor-Anmeldung, optional verpflichtend je Workspace; Passwortrichtlinie mit Leak-Abgleich.
• Tägliche Datensicherung, Protokollierung wichtiger Änderungen.
• Hosting der Datenbank und Dateien in der EU (Irland).

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der auf boardarc.com/sicherheit genannten Unterauftragsverarbeiter zu. Über Änderungen informiert der Auftragnehmer vorab; der Auftraggeber kann widersprechen.

7. Kontrollrechte

Der Auftraggeber kann sich nach Vorankündigung von der Einhaltung der Pflichten überzeugen, vorrangig durch Auskünfte und Nachweise des Auftragnehmers.

8. Schlussbestimmungen

Es gilt deutsches Recht. Gerichtsstand ist Hannover, soweit gesetzlich zulässig. Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor.