Version 4.0 — Stand 22.10.2026
Diese Vereinbarung einschließlich ihrer Anlagen 1 bis 3 kommt durch ihre ausdrückliche Einbeziehung in den Hauptvertrag mit dessen Abschluss zustande. Maßgeblich ist die im Hauptvertrag bezeichnete Fassung. Eine gesonderte Unterzeichnung dieser Vereinbarung ist nicht erforderlich.
Die Vereinbarung wird in deutscher und englischer Sprache bereitgestellt. Die englische Fassung ist eine Übersetzung. Bei Abweichungen zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich.
§ 1 Vertragsgegenstand
Im Rahmen der Leistungserbringung nach dem „SOFTWARE AS A SERVICE (SAAS) VERTRAG“ (im Folgenden „Hauptvertrag“) ist es erforderlich, dass der Auftragnehmer personenbezogene Daten verarbeitet, für die der Auftraggeber als verantwortliche Stelle im Sinne der datenschutzrechtlichen Vorschriften fungiert (nachfolgend „Auftraggeber-Daten“ genannt). Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten von Auftraggeber und -nehmer (im Folgenden „Parteien“ genannt) im Zusammenhang mit dem Umgang des Auftragnehmers mit Auftraggeber-Daten zur Durchführung des Hauptvertrags.
§ 2 Umfang der Beauftragung
2.1. Kewano verarbeitet die Auftraggeber-Daten im Auftrag und nach Weisung des Auftraggebers i.S.v. Art. 28 DSGVO (Auftragsverarbeitung). Der Auftraggeber bleibt Verantwortlicher im datenschutzrechtlichen Sinn.
2.2. Die Verarbeitung von Auftraggeber-Daten durch Kewano erfolgt in der Art, dem Umfang und zu dem Zweck wie in Anlage 1 zu diesem Vertrag spezifiziert; die Verarbeitung betrifft die darin bezeichneten Arten personenbezogener Daten und Kategorien betroffener Personen. Die Dauer der Verarbeitung entspricht der Projektdauer des Hauptvertrages.
2.3. Kewano bleibt es vorbehalten, die Auftraggeber-Daten zu anonymisieren oder zu aggregieren, so dass eine Identifizierung einzelner betroffener Personen nicht mehr möglich ist, und in dieser Form zum Zweck der bedarfsgerechten Gestaltung, der Weiterentwicklung und der Optimierung sowie der Erbringung des nach Maßgabe des Hauptvertrags vereinbarten Dienstes zu verwenden.
Die Parteien stimmen darin überein, dass anonymisierte bzw. nach obiger Maßgabe aggregierte Auftraggeber-Daten nicht mehr als Auftraggeber-Daten im Sinne dieses Vertrags gelten.
2.4. Es ist dem Auftragnehmer gestattet, Auftraggeber-Daten unter Einhaltung der Bestimmungen dieses Vertrags auch außerhalb des EWR zu verarbeiten, wenn er den Auftraggeber vorab über den Ort der Datenverarbeitung informiert und die Voraussetzungen der Art. 44–48 DSGVO erfüllt sind oder eine Ausnahme nach Art. 49 DSGVO vorliegt.
§ 3 Weisungsbefugnisse des Auftraggebers
3.1. Kewano verarbeitet die Auftraggeber-Daten gemäß den Weisungen des Auftraggebers, sofern Kewano nicht nach dem Recht der Europäischen Union oder dem Recht des Mitgliedstaates, dem Kewano unterliegt, zu einer anderweitigen Verarbeitung verpflichtet ist. In letzterem Fall teilt Kewano dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
3.2. Die Weisungen des Auftraggebers werden grundsätzlich abschließend in den Bestimmungen dieses Vertrags und im Rahmen der Konfiguration von Kewano Applikationen festgelegt und dokumentiert. Mündliche Einzelweisungen werden vom Auftraggeber unverzüglich mindestens in Textform bestätigt.
3.3. Sofern Einzelweisungen von den Festlegungen dieses Vertrags abweichen oder zusätzliche Anforderungen aufstellen, bedürfen sie einer vorherigen Zustimmung Kewanos und erfolgen nach Maßgabe des im Hauptvertrag festgelegten Änderungsverfahrens, in dem die Weisung zu dokumentieren und die Übernahme etwa dadurch bedingter Mehrkosten Kewanos durch den Auftraggeber zu regeln ist.
3.4. Kewano gewährleistet, dass die Auftraggeber-Daten im Einklang mit den Weisungen des Auftraggebers verarbeitet werden. Ist Kewano der Ansicht, dass eine Weisung des Auftraggebers gegen diesen Vertrag oder das geltende Datenschutzrecht verstößt, steht Kewano nach einer entsprechenden Mitteilung an den Auftraggeber das Recht zu, die Ausführung der Weisung bis zu einer Bestätigung der Weisung durch den Auftraggeber auszusetzen. Die Parteien stimmen darin überein, dass die alleinige Verantwortung für die weisungsgemäße Verarbeitung der Auftraggeber-Daten beim Auftraggeber liegt.
3.5. Weisungen sollen im Regelfall von dem Weisungsberechtigten des Auftraggebers oder dessen Stellvertreter erteilt werden. Auf Seiten des Auftraggebers ist grundsätzlich ausschließlich die Geschäftsführung weisungsberechtigt. In dringenden Fällen darf auf Seiten des Auftraggebers aber auch jeder andere Beschäftigte entsprechende Weisungen erteilen, sofern die Geschäftsführung verhindert ist.
3.6. Weisungen des Auftraggebers können ausschließlich gegenüber dem Support von Kewano erteilt werden.
3.7. In dringenden Fällen darf der Auftraggeber auch jedem anderen Beschäftigten Kewanos entsprechende Weisungen erteilen, sofern die nach Ziffer 3.6. Empfangsberechtigten für den Auftraggeber nicht in zumutbarer Weise erreichbar waren.
§ 4 Verantwortlichkeit des Auftraggebers
4.1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der Auftraggeber-Daten sowie für die Wahrung der Rechte der Betroffenen im Verhältnis der Parteien zueinander allein verantwortlich. Sollten Dritte gegen Kewano aufgrund der Verarbeitung von Auftraggeber-Daten nach Maßgabe dieses Vertrages Ansprüche geltend machen, wird der Auftraggeber Kewano von allen solchen Ansprüchen auf erstes Anfordern freistellen.
4.2. Dem Auftraggeber obliegt es, Kewano die Auftraggeber-Daten rechtzeitig zur Leistungserbringung nach dem Hauptvertrag zur Verfügung zu stellen und er ist verantwortlich für die Qualität der Auftraggeber-Daten. Der Auftraggeber hat Kewano unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Kewanos Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen oder seinen Weisungen feststellt.
4.3. Der Auftraggeber hat Kewano auf Anforderung die in Art. 30 Abs. 2 DSGVO genannten Angaben zur Verfügung zu stellen, soweit sie Kewano nicht selbst vorliegen.
4.4. Ist Kewano gegenüber einer staatlichen Stelle oder einer Person verpflichtet, Auskünfte über die Verarbeitung von Auftraggeber-Daten zu erteilen oder mit diesen Stellen anderweitig zusammenzuarbeiten, so ist der Auftraggeber verpflichtet, Kewano auf erstes Anfordern bei der Erteilung solcher Auskünfte bzw. der Erfüllung anderweitiger Verpflichtungen zur Zusammenarbeit zu unterstützen.
§ 5 Anforderungen an Personal
Kewano hat alle Personen, die Auftraggeber-Daten verarbeiten, bezüglich der Verarbeitung von Auftraggeber-Daten zur Vertraulichkeit zu verpflichten.
§ 6 Datenschutzbeauftragter und Datenschutzkontakt
6.1. Der Auftragnehmer stellt dem Auftraggeber eine Kontaktmöglichkeit für Datenschutzanfragen in Textform zur Verfügung.
6.2. Die Bestellung eines Datenschutzbeauftragten sowie Änderungen der entsprechenden Kontaktdaten teilt der Auftragnehmer dem Auftraggeber unverzüglich in Textform mit.
§ 7 Sicherheit der Verarbeitung
7.1. Kewano wird gemäß Art. 32 DSGVO erforderliche, geeignete technische und organisatorische Maßnahmen (nachfolgend „TOMs“ genannt) ergreifen, die unter Berücksichtigung des Standes der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der Auftraggeber-Daten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind, um ein dem Risiko angemessenes Schutzniveau für die Auftraggeber-Daten zu gewährleisten.
7.2. Kewano ist es gestattet, technische und organisatorische Maßnahmen während der Laufzeit des Vertrages zu ändern oder anzupassen, solange sie weiterhin den gesetzlichen Anforderungen genügen. Die zum Zeitpunkt des Vertragsschlusses implementierten TOMs Kewanos ergeben sich aus Anlage 3 bzw. aus den dort angegebenen Quellen.
§ 8 Inanspruchnahme weiterer Auftragsverarbeiter
8.1. Der Auftraggeber erteilt Kewano hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter hinsichtlich der Verarbeitung von Auftraggeber-Daten hinzuzuziehen. Zum Zeitpunkt des Vertragsschlusses nutzt Kewano abhängig von den vom Auftraggeber im Rahmen der Nutzung von Kewano aktivierten Funktionalitäten die in Anlage 2 genannten weiteren Auftragsverarbeiter. Generell nicht genehmigungspflichtig sind Vertragsverhältnisse mit Dienstleistern, die die Prüfung oder Wartung von Datenverarbeitungsverfahren oder -anlagen durch andere Stellen oder andere Nebenleistungen zum Gegenstand haben, auch wenn dabei ein Zugriff auf Auftraggeber-Daten nicht ausgeschlossen werden kann, solange Kewano angemessene Regelungen zum Schutz der Vertraulichkeit der Auftraggeber-Daten trifft.
8.2. Kewano wird den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter in elektronischem Format mit einer Frist von 30 Tagen informieren. In Ausnahmefällen ist es Kewano gestattet, den Auftraggeber über beabsichtigte Änderungen mit einer Frist von 10 Tagen zu informieren. Dem Auftraggeber steht im Einzelfall ein Recht zu, Einspruch gegen die Beauftragung eines potentiellen weiteren Auftragsverarbeiters zu erheben. Ein Einspruch darf vom Auftraggeber nur aus wichtigem, Kewano nachzuweisenden Grund erhoben werden. Soweit der Auftraggeber nicht innerhalb von 5 Werktagen nach Zugang der Benachrichtigung Einspruch erhebt, erlischt sein Einspruchsrecht bezüglich der entsprechenden Beauftragung. Erhebt der Auftraggeber Einspruch, ist Kewano berechtigt, den Hauptvertrag und diesen Vertrag zum nach dem Hauptvertrag nächstmöglichen Zeitpunkt zu kündigen.
8.3. Der Vertrag zwischen Kewano und dem weiteren Auftragsverarbeiter muss letzterem dieselben Pflichten auferlegen, wie sie Kewano kraft dieses Vertrages obliegen. Die Parteien stimmen überein, dass diese Anforderung erfüllt ist, wenn der Vertrag ein diesem Vertrag entsprechendes Schutzniveau aufweist bzw. dem weiteren Auftragsverarbeiter die in Art. 28 Abs. 3 DSGVO festgelegten Pflichten auferlegt sind.
8.4. Unter Einhaltung der Anforderungen der Ziffer 2.4 dieses Vertrags gelten die Regelungen in dieser Ziffer 8 auch, wenn ein weiterer Auftragsverarbeiter in einem Drittstaat eingeschaltet wird. Der Auftraggeber bevollmächtigt Kewano hiermit, als Vertreter des Auftraggebers mit einem weiteren Auftragsverarbeiter einen Vertrag unter Einbeziehung der EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern in seiner jeweils aktuellen Version zu schließen. Der Auftraggeber erklärt sich zudem bereit, an der Erfüllung der Voraussetzungen nach Art. 49 DSGVO im erforderlichen Maße mitzuwirken.
§ 9 Rechte der betroffenen Personen
9.1. Kewano wird den Auftraggeber mit technischen und organisatorischen Maßnahmen im Rahmen des Zumutbaren dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der ihnen zustehenden Rechte betroffener Personen nachzukommen.
9.2. Soweit eine betroffene Person einen Antrag auf Wahrnehmung der ihr zustehenden Rechte unmittelbar gegenüber Kewano geltend macht, wird Kewano dieses Ersuchen zeitnah an den Auftraggeber weiterleiten.
9.3. Kewano wird dem Auftraggeber Informationen über die gespeicherten Auftraggeber-Daten, die Empfänger von Auftraggeber-Daten, an die Kewano sie auftragsgemäß weitergibt, und den Zweck der Speicherung mitteilen, sofern dem Auftraggeber diese Informationen nicht selbst vorliegen oder er sie sich selbst beschaffen kann.
9.4. Kewano wird es dem Auftraggeber ermöglichen Auftraggeber-Daten selbstständig zu berichtigen, zu löschen oder ihre weitere Verarbeitung einzuschränken. Wenn und soweit das dem Auftraggeber unmöglich ist, wird Kewano auf Verlangen des Auftraggebers und im Rahmen des Zumutbaren und Erforderlichen die Berichtigung, Sperrung oder Einschränkung der weiteren Verarbeitung selbst vornehmen.
9.5. Soweit die betroffene Person gegenüber dem Auftraggeber ein Recht auf Datenübertragbarkeit bezüglich der Auftraggeber-Daten nach Art. 20 DSGVO besitzt, wird Kewano den Auftraggeber im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der Kewano hierdurch entstehenden nachzuweisenden Aufwände und Kosten bei der Bereitstellung der Auftraggeber-Daten in einem gängigen und maschinenlesbaren Format unterstützen, wenn der Auftraggeber sich die Daten nicht anderweitig beschaffen kann.
§ 10 Mitteilungs- und Unterstützungspflichten Kewanos
10.1. Soweit den Auftraggeber eine gesetzliche Melde- oder Benachrichtigungspflicht wegen einer Verletzung des Schutzes von Auftraggeber-Daten (insbesondere nach Art. 33, 34 DSGVO) trifft, wird Kewano den Auftraggeber zeitnah über etwaige meldepflichtige Ereignisse in seinem Verantwortungsbereich informieren. Kewano wird den Auftraggeber bei der Erfüllung der Melde- und Benachrichtigungspflichten auf dessen Ersuchen im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der Kewano hierdurch entstehenden nachzuweisenden Aufwände und Kosten unterstützen.
10.2. Kewano wird den Auftraggeber im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der Kewano hierdurch entstehenden nachzuweisenden Aufwände und Kosten bei etwa vom Auftraggeber durchzuführenden Datenschutz-Folgenabschätzungen und sich gegebenenfalls anschließenden Konsultationen der Aufsichtsbehörden nach Art. 35, 36 DSGVO unterstützen.
10.3. Sollte die Sicherheit der Daten des Auftraggebers durch Maßnahmen Dritter (z.B. Gläubiger, Behörden, Gerichte, etc.) gefährdet sein (Pfändung, Beschlagnahme, Insolvenzverfahren, etc.) wird Kewano die Dritten unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich bei dem Auftraggeber liegen und nach Rücksprache mit dem Auftraggeber, sofern erforderlich, entsprechende Schutzmaßnahmen ergreifen (z.B. Widersprüche, Anträge, etc. stellen).
§ 11 Datenlöschung
11.1. Kewano wird die Auftraggeber-Daten nach Beendigung dieses Vertrages löschen, sofern nicht gesetzlich eine Verpflichtung Kewanos zur weiteren Speicherung der Auftraggeber-Daten besteht.
11.2. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung von Auftraggeber-Daten dienen, dürfen durch Kewano auch nach Vertragsende aufbewahrt werden.
§ 12 Nachweise und Überprüfungen
12.1. Kewano wird dem Auftraggeber auf dessen Anforderung alle erforderlichen und bei Kewano vorhandenen Informationen zum Nachweis der Einhaltung seiner Pflichten nach diesem Vertrag zur Verfügung stellen.
12.2. Der Auftraggeber ist berechtigt, Kewano bezüglich der Einhaltung der Regelungen dieses Vertrages, insbesondere der Umsetzung der technischen und organisatorischen Maßnahmen, zu überprüfen (einschließlich durch Inspektionen), falls und in dem Umfang, in dem Kewano die Einhaltung seiner Pflichten nicht auf anderem Wege nachweisen kann.
12.3. Zur Durchführung von Inspektionen nach Ziffer 12.2. ist der Auftraggeber berechtigt, im Rahmen der üblichen Geschäftszeiten (montags bis freitags von 09 bis 17 Uhr) nach rechtzeitiger Vorankündigung gemäß Ziffer 12.5. auf eigene Kosten, ohne Störung des Betriebsablaufs und unter strikter Geheimhaltung von Betriebs- und Geschäftsgeheimnissen Kewanos die Geschäftsräume Kewanos zu betreten, in denen Auftraggeber-Daten verarbeitet werden.
12.4. Kewano ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte Kewanos sind oder wenn Kewano durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Auftraggeber ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden Kewanos, zu Informationen hinsichtlich Kosten, zu Qualitätsprüfungs- und Vertrags-Managementberichten sowie zu sämtlichen anderen vertraulichen Daten Kewanos, die nicht unmittelbar relevant für die vereinbarten Überprüfungszwecke sind, zu erhalten.
12.5. Der Auftraggeber hat Kewano rechtzeitig (in der Regel mindestens zwei Wochen vorher) über alle mit der Durchführung der Überprüfung zusammenhängenden Umständen zu informieren. Der Auftraggeber darf eine Überprüfung pro Kalenderjahr durchführen. Weitere Überprüfungen erfolgen gegen Kostenerstattung und nach Abstimmung mit Kewano.
12.6. Beauftragt der Auftraggeber einen Dritten mit der Durchführung der Überprüfung, hat der Auftraggeber den Dritten schriftlich ebenso zu verpflichten, wie auch der Auftraggeber aufgrund § 12 dieses Vertrags gegenüber Kewano verpflichtet ist. Zudem hat der Auftraggeber den Dritten auf Verschwiegenheit und Geheimhaltung zu verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Auf Verlangen Kewanos hat der Auftraggeber ihm die Verpflichtungsvereinbarungen mit dem Dritten unverzüglich vorzulegen. Der Auftraggeber darf keinen Wettbewerber Kewanos mit der Kontrolle beauftragen.
12.7. Nach Wahl Kewanos kann der Nachweis der Einhaltung der Pflichten nach diesem Vertrag anstatt durch eine Inspektion auch durch die Vorlage eines geeigneten, aktuellen Testats oder Berichts einer unabhängigen Instanz (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit – z.B. nach BSI-Grundschutz – („Prüfungsbericht“) erbracht werden, wenn der Prüfungsbericht es dem Auftraggeber in angemessener Weise ermöglicht, sich von der Einhaltung der Vertragspflichten zu überzeugen.
§ 13 Vertragsdauer und Kündigung
Die Laufzeit und Kündigung dieses Vertrags richtet sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen.
§ 14 Haftung
14.1. Für die Haftung Kewanos nach diesem Vertrag gelten die Haftungsausschlüsse und -begrenzungen gemäß dem Hauptvertrag. Soweit Dritte Ansprüche gegen Kewano geltend machen, die ihre Ursache in einem schuldhaften Verstoß des Auftraggebers gegen diesen Vertrag oder gegen eine seiner Pflichten als datenschutzrechtlich Verantwortlicher haben, stellt der Auftraggeber Kewano von diesen Ansprüchen auf erstes Anfordern frei.
14.2. Der Auftraggeber verpflichtet sich, Kewano auch von allen etwaigen Geldbußen, die gegen Kewano verhängt werden, in dem Umfang auf erstes Anfordern freizustellen, in dem der Auftraggeber Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.
§ 15 Schlussbestimmungen
15.1. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden oder eine Lücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und dabei den Anforderungen des Art. 28 DSGVO genügt.
15.2. Im Fall von Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen zwischen den Parteien, insbesondere dem Hauptvertrag, gehen die Regelungen dieses Vertrags vor.
15.3. Diese Vereinbarung ersetzt alle zuvor zwischen Kewano und dem Auftraggeber etwaig geschlossenen Vereinbarungen gem. Art. 28 DSGVO, insbesondere solche, die auf der Grundlage eines von Kewano bereitgestellten Vertragsmusters geschlossen worden sind.
Anlage 1 Zweck Art und Umfang der Datenverarbeitung Art der Daten und Kategorien der betroffenen Personen
Zweck der Verarbeitung
Der zugrundeliegende Zweck der Verarbeitung ist in der Leistungsbeschreibung des Hauptvertrages geregelt.
Kategorien von Daten
Die von der Verarbeitung betroffenen Kategorien von Daten hängen von der Nutzung Kewanos durch den Auftraggeber ab. Als Gegenstand der Verarbeitung in Betracht kommende Kategorien von Daten sind:
1. Mitarbeiterdaten
- Vollständiger Name und Kontaktdaten: Name, Vorname, Adressen, Telefonnummern, E-Mail-Adressen.
- Arbeitsbezogene Informationen: Position, Abteilung, Gehaltsdaten, Arbeitszeiterfassung.
- Sozialversicherungsdaten: Sozialversicherungsnummern, Krankenversicherungsdaten.
2. Kundendaten
- Identifikationsdaten: Name, Anschrift, Telefonnummer, E-Mail-Adresse.
- Transaktionsdaten: Kaufhistorie, Zahlungsdaten, Lieferinformationen, E-Mail-Verlauf.
3. Lieferantendaten
- Unternehmensbezogene Daten: Firmenname, Kontaktpersonen, Adressen, Telefonnummern, E-Mail-Adressen, E-Mail-Verlauf.
- Vertragsdaten: Vertragsbedingungen, Zahlungskonditionen, Historie der Geschäftsbeziehungen.
4. Nutzerdaten des ERP-Systems
- Login-Informationen: Benutzername, Passwörter (verschlüsselt), Zugriffsrechte.
- Aktivitätsdaten: Log-Dateien über Benutzeraktionen innerhalb des Systems, Zeitstempel der Aktivitäten.
Kategorien betroffener Personen
Die von der Verarbeitung betroffenen Kategorien betroffener Personen hängen von der Nutzung von Kewano durch den Auftraggeber ab. Als Kategorien betroffener Personen kommen dabei in Betracht:
- Ansprechpartner bei Kunden
- Ansprechpartner bei Lieferanten
- Mitarbeiter des Auftraggebers
- Besucher der Webseite
- Sonstige Interessenten
Anlage 2 Zulässige Unterauftragsverarbeiter
Zum Zeitpunkt des Vertragsschlusses setzt Kewano die nachfolgend aufgeführten Auftragsverarbeiter ein:
Google Cloud EMEA Limited (Google Cloud)
- Zweck: Alle mit unserer Lösung zusammenhängenden Daten
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
Microsoft Ireland Operations Limited (Microsoft Azure, Azure OpenAI Service und Microsoft Teams)
- Zweck: Hosting, Speicherung und Verarbeitung aller Daten, die im Rahmen der Nutzung von Kewano anfallen, sowie der Nutzung von Azure OpenAI und Microsoft Teams.
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
HubSpot Ireland Limited
- Zweck: E-Mails, Telefonate, LinkedIn Nachrichten, Dokumentation von Terminen
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
Bitwarden Inc.
- Zweck: API Schlüssel
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
Olinda SAS (Qonto)
- Zweck: Bankverbindung und Rechnungen
- Zugang: Geschäftsführung der Kewano GmbH
- Datenstandort: EU + USA
Yousign SAS
- Zweck: Verträge
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
Linear Orbit, Inc.
- Zweck: Nutzerfeedback und Bugs
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
PostHog Inc.
- Zweck: Produkt-Analysen / Nutzungsstatistiken
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
Functional Software, Inc. (Sentry)
- Zweck: Fehlertracking / Performance Monitoring
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
Langdock GmbH
- Zweck: Interner KI Chat
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
netcup GmbH
- Zweck: Datenmigration und Backups
- Zugang: Geschäftsführung und autorisierte Mitarbeitende der Kewano GmbH
- Datenstandort: EU
Anlage 3 Technische und organisatorische Maßnahmen gemäß Art 32 DSGVO
Nach den Vorschriften der EU-Datenschutzgrundverordnung (Art. 28 DSGVO) muss der Auftraggeber vor Beginn der Datenverarbeitung prüfen, ob beim Auftragnehmer geeignete technische und organisatorische Maßnahmen zur Wahrung der Vertraulichkeit, der Integrität, Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit der Daten eingerichtet sind und eingehalten werden. Das Ergebnis dieser Prüfung ist zu dokumentieren. Zur Vereinfachung dieser Überprüfung wird die nachstehende Selbstauskunft erteilt.
Zum Zeitpunkt des Vertragsschlusses hat Kewano die nachfolgend dargestellten technisch-organisatorischen Maßnahmen (TOM) implementiert:
Alle Mitarbeiter des Unternehmens werden zur Wahrung der Vertraulichkeit und zur Beachtung des Datenschutzes gem. DSGVO, BDSG und anderer Gesetze mit Bezug zum Datenschutz verpflichtet und laufend in die Anforderungen des Datenschutzes eingewiesen. Die Datenverarbeitung findet in einem zertifizierten Rechenzentrum statt. Dieses ist entsprechend DIN EN/ISO IEC 27001 zertifiziert und unterliegt einer regelmäßigen (jährlichen) Überprüfungsroutine.
Das Gebäude ist außerhalb der Betriebszeit gegen unbefugten Zutritt durch ein zentrales Schließsystem mit Sicherheitsschlössern gesichert. Die Daten und die datenverarbeitenden Systeme liegen in einem gesicherten und zertifizierten Rechenzentrum. Die Gebäudetüren sind gesichert.
Die Schlüsselvergabe und das Schlüsselmanagement erfolgt nach einem definierten Prozess, der sowohl zu Beginn eines Arbeitsverhältnisses als auch zum Ende eines Arbeitsverhältnisses die Erteilung bzw. den Entzug von Zutrittsberechtigungen für Räume regelt.
Maßnahmen zur Zugangskontrolle zum Desktop und zu den vernetzten Systemen sind eingerichtet durch ein sicheres Passwort (Mindestlänge, Komplexität). Außerdem wird Zweifaktor-Authentifizierung verwendet (wenn möglich) und ein Passwort-Manager verwendet zur Vorgabe von zufälligen, komplexen Passwörtern.
Alle Server- und Client-Systeme sind durch Firewalls geschützt, die stets gewartet und mit Updates und Patches versorgt werden. Der Zugriff von Servern und Clients auf das Internet und der Zugriff auf diese Systeme über das Internet sind ebenfalls durch Firewalls gesichert. So ist auch gewährleistet, dass nur die für die jeweilige Kommunikation erforderlichen Ports nutzbar sind. Alle anderen Ports sind entsprechend gesperrt.
Berechtigungen werden grundsätzlich nach dem Need-to-Know-Prinzip vergeben. Es erhalten demnach nur die Personen Zugriffsrechte auf Daten, Datenbanken oder Applikationen, die diese Daten, Anwendungen oder Datenbanken warten und pflegen bzw. in der Entwicklung tätig sind.
Es gibt ein rollenbasiertes Berechtigungskonzept mit der Möglichkeit der differenzierten Vergabe von Zugriffsberechtigungen, das sicherstellt, dass Beschäftigte abhängig von ihrem jeweiligen Aufgabengebiet und ggf. projektbasiert Zugriffsrechte auf Applikationen und Daten erhalten.