1.Definitionen
In dieser Datenverarbeitungsvereinbarung („DPA“) bedeutet „Verantwortlicher“ die Stelle, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt (in der Regel der Kunde); „Auftragsverarbeiter“ bedeutet die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (BambooHR); „betroffene Person“ bedeutet die identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen; „personenbezogene Daten“ bedeutet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; „Verarbeitung“ bedeutet jeden Vorgang, der an personenbezogenen Daten vorgenommen wird; „Sicherheitsvorfall“ bedeutet jede bestätigte unbefugte Beschaffung, jeden unbefugten Zugriff, jede unbefugte Nutzung oder Offenlegung personenbezogener Daten.
„DSGVO“ bedeutet die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) und, soweit anwendbar, die im britischen Recht beibehaltene Fassung der DSGVO des Vereinigten Königreichs („UK GDPR“). „Standardvertragsklauseln“ oder „SCCs“ bedeutet die von der Europäischen Kommission für die Übermittlung personenbezogener Daten an in Drittländern niedergelassene Auftragsverarbeiter angenommenen Standardvertragsklauseln.
2.Umfang und Art der Verarbeitung
Diese DPA gilt für die Verarbeitung personenbezogener Daten durch BambooHR als Auftragsverarbeiter im Auftrag des Kunden als Verantwortlichem im Zusammenhang mit der Bereitstellung der Dienste durch BambooHR. BambooHR verarbeitet personenbezogene Daten nur, soweit dies zur Bereitstellung der Dienste erforderlich ist, und in Übereinstimmung mit den dokumentierten Anweisungen des Kunden, einschließlich derjenigen, die in den Kunden-Nutzungsbedingungen und einem anwendbaren Bestellformular festgelegt sind.
BambooHR darf die personenbezogenen Daten des Kunden zu keinem anderen Zweck verarbeiten, einschließlich eigener kommerzieller Zwecke von BambooHR, ohne vorherige schriftliche Zustimmung des Kunden, es sei denn, dies ist nach geltendem Recht erforderlich; in diesem Fall informiert BambooHR den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, sofern dies nicht gesetzlich verboten ist.
3.Pflichten des Auftragsverarbeiters
BambooHR wird: (a) personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten; (b) sicherstellen, dass zur Verarbeitung der personenbezogenen Daten befugte Personen sich zur Vertraulichkeit verpflichtet haben; (c) geeignete technische und organisatorische Maßnahmen umsetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; (d) den Kunden bei der Beantwortung von Anfragen betroffener Personen unterstützen; (e) den Kunden bei der Einhaltung von Verpflichtungen im Zusammenhang mit Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation unterstützen; (f) alle personenbezogenen Daten bei Beendigung löschen oder zurückgeben; und (g) die zur Nachweisung der Einhaltung erforderlichen Informationen bereitstellen und Prüfungen ermöglichen.
Wenn BambooHR EU- oder UK-Personendaten verarbeitet, die an BambooHR in den Vereinigten Staaten übermittelt wurden, werden die EU-Standardvertragsklauseln (Modul 2: Verantwortlicher an Auftragsverarbeiter), wie sie von Zeit zu Zeit aktualisiert werden können, durch Verweis in diese DPA aufgenommen und gelten für solche Übermittlungen. Der Kunde und BambooHR gelten als am Wirksamkeitsdatum dieser DPA den SCCs beigetreten.
4.Pflichten des Verantwortlichen
Der Kunde sichert zu und gewährleistet, dass er über alle erforderlichen Rechte und Befugnisse verfügt, um personenbezogene Daten an BambooHR bereitzustellen und BambooHR anzuweisen, solche Daten zu verarbeiten. Der Kunde hat sicherzustellen, dass alle erforderlichen Hinweise erteilt und alle erforderlichen Einwilligungen von betroffenen Personen gemäß dem geltenden Datenschutzrecht eingeholt wurden.
Der Kunde ist verantwortlich für die Festlegung der Zwecke und Mittel der Verarbeitung personenbezogener Daten und dafür, sicherzustellen, dass diese Verarbeitung rechtmäßig ist. Der Kunde hat angemessene technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen und nachzuweisen, dass die Verarbeitung gemäß dem geltenden Recht und dieser DPA durchgeführt wird.
5.Unterauftragsverarbeiter
Der Kunde autorisiert BambooHR, die unter bamboohr.com/legal/sub-processors aufgeführten Unterauftragsverarbeiter („Liste der Unterauftragsverarbeiter“) zur Verarbeitung personenbezogener Daten zu verwenden. BambooHR wird Änderungen an der Liste der Unterauftragsverarbeiter mindestens dreißig (30) Tage im Voraus ankündigen, indem die Liste aktualisiert und der Kunde per E-Mail benachrichtigt wird. Der Kunde kann jeder vorgeschlagenen Ergänzung oder Ersetzung eines Unterauftragsverarbeiters innerhalb dieses Zeitraums widersprechen, indem er eine schriftliche Mitteilung über unsere Kontaktseite sendet.
BambooHR auferlegt jedem Unterauftragsverarbeiter Datenschutzverpflichtungen, die denen in dieser DPA gleichwertig sind, und bleibt gegenüber dem Kunden für jede Nichterfüllung der Datenschutzverpflichtungen durch einen Unterauftragsverarbeiter verantwortlich. BambooHR stellt sicher, dass Unterauftragsverarbeiter für alle internationalen Übermittlungen angemessenen Übermittlungsmechanismen unterliegen.
6.Rechte betroffener Personen
Soweit rechtlich zulässig, wird BambooHR den Kunden unverzüglich benachrichtigen, wenn BambooHR eine Anfrage einer betroffenen Person erhält, ihre Rechte nach geltendem Datenschutzrecht auszuüben, einschließlich der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität oder Widerspruch. BambooHR wird auf eine solche Anfrage ohne vorherige Genehmigung des Kunden nicht antworten, außer um der betroffenen Person zu bestätigen, dass BambooHR die Anfrage weitergeleitet hat.
BambooHR wird dem Kunden wirtschaftlich angemessene Unterstützung bei der Erfüllung seiner Verpflichtungen zur Beantwortung von Anfragen zu Rechten betroffener Personen leisten und dabei die Art der Verarbeitung und die BambooHR zur Verfügung stehenden Informationen berücksichtigen. Für umfangreiche Unterstützung, die über das vernünftigerweise Erforderliche hinausgeht, können zusätzliche Gebühren anfallen.
7.Sicherheitsmaßnahmen
BambooHR wird geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, um personenbezogene Daten vor versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen. Solche Maßnahmen werden in BambooHR's Sicherheitsanhang beschrieben, der unter bamboohr.com/legal/security-exhibit verfügbar ist und von Zeit zu Zeit aktualisiert werden kann.
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontextes und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen umfassen die Sicherheitsmaßnahmen von BambooHR die Verschlüsselung personenbezogener Daten während der Übertragung und bei rest, Multi-Faktor-Authentifizierung, regelmäßige Sicherheitstests und Zugriffskontrollen.
8.Meldung von Datenschutzverletzungen
BambooHR wird den Kunden unverzüglich und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden benachrichtigen, nachdem er Kenntnis von einem Sicherheitsvorfall erlangt hat, der personenbezogene Daten des Kunden betrifft. Eine solche Mitteilung umfasst: eine Beschreibung der Art des Sicherheitsvorfalls; die Kategorien und die ungefähre Anzahl der betroffenen betroffenen Personen und personenbezogenen Datensätze; die wahrscheinlichen Folgen des Sicherheitsvorfalls; und die von BambooHR ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung des Sicherheitsvorfalls.
Die Meldung eines Sicherheitsvorfalls durch BambooHR ist nicht als Anerkennung eines Fehlers oder einer Haftung auszulegen. Der Kunde ist allein dafür verantwortlich, zu bestimmen, ob und wie betroffene Personen und Aufsichtsbehörden gemäß geltendem Recht zu benachrichtigen sind.
9.Rückgabe und Löschung von Daten
Nach Ablauf oder Beendigung der Vereinbarung wird BambooHR auf schriftliche Anfrage des Kunden alle personenbezogenen Daten in einem maschinenlesbaren Format an den Kunden zurückgeben und/oder alle personenbezogenen Daten löschen. BambooHR wird eine solche Rückgabe oder Löschung innerhalb von dreißig (30) Tagen nach schriftlicher Anfrage des Kunden abschließen.
Sofern das geltende Recht keine fortgesetzte Speicherung verlangt, wird BambooHR alle verbleibenden Kopien personenbezogener Daten nach Abschluss des Rückgabe- oder Löschvorgangs löschen. Auf schriftliche Anfrage des Kunden wird BambooHR schriftlich bestätigen, dass alle personenbezogenen Daten zurückgegeben oder gelöscht wurden.
10.Prüfrechte
BambooHR stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA nachzuweisen, und ermöglicht und unterstützt Audits, einschließlich Inspektionen, die vom Kunden oder einem vom Kunden benannten Prüfer durchgeführt werden. Der Kunde hat eine angemessene Vorankündigung zu geben (mindestens dreißig (30) Tage) bevor er ein Audit durchführt, und hat sicherzustellen, dass jeder benannte Prüfer angemessenen Vertraulichkeitsverpflichtungen unterliegt.
BambooHR kann seine Prüfpflichten erfüllen, indem es dem Kunden seine neuesten Prüfberichte eines Drittanbieters (z. B. SOC 2 Type II) und relevante Zertifizierungen zur Verfügung stellt. Eine Vor-Ort-Prüfung ist auf Kosten des Kunden, während der regulären Geschäftszeiten und ohne Beeinträchtigung der Geschäftsabläufe von BambooHR durchzuführen.
