Datenverarbeitungsvereinbarung

Für personenbezogene Daten, die der Kunde über den Dienst über seine eigenen Anrufer und Kontakte verarbeitet („personenbezogene Kundendaten“), ist der Kunde der Verantwortliche und CallMama der Auftragsverarbeiter.

CallMama verarbeitet personenbezogene Daten des Kunden nur auf dokumentierte Anweisung des Kunden. Zu diesen Anweisungen gehören die Nutzungsbedingungen, diese DPA und die Nutzung der Servicefunktionen durch den Kunden.

Aufbewahrungsfristen:

• Anrufdetaildatensätze werden für die von den geltenden Telekommunikations- und Steuergesetzen vorgeschriebenen Zeiträume aufbewahrt (in der Regel 90 Tage bis 12 Monate, je nach Gerichtsbarkeit).
• Alle anderen personenbezogenen Daten des Kunden werden so lange aufbewahrt, bis der Kunde die Löschung beantragt, die DPA endet oder die geltende Aufbewahrungsfrist abläuft.

• Verarbeiten Sie personenbezogene Daten des Kunden nur auf dokumentierte Anweisung des Kunden, sofern gesetzlich nichts anderes vorgeschrieben ist (in diesem Fall wird CallMama den Kunden informieren, sofern das Gesetz dies nicht verbietet).
• Stellen Sie sicher, dass die zur Verarbeitung der Daten berechtigten Personen zur Vertraulichkeit verpflichtet sind.
• Implementieren Sie geeignete technische und organisatorische Sicherheitsmaßnahmen (Anhang unten).
• Unterstützen Sie den Kunden unter Berücksichtigung der Art der Verarbeitung bei Anfragen betroffener Personen, Sicherheit, Meldung von Verstößen und Folgenabschätzungen zum Datenschutz.
• Löschen Sie innerhalb von 30 Tagen nach Beendigung der Nutzungsbedingungen (oder einer schriftlichen Anfrage) alle personenbezogenen Kundendaten oder geben Sie sie zurück und bestätigen Sie die Löschung schriftlich. Wenn geltendes Recht eine weitere Aufbewahrung erfordert, wird CallMama den Kunden stattdessen über die Rechtsgrundlage und das voraussichtliche Löschdatum informieren.
• Stellen Sie die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser DPA erforderlich sind, und gestatten Sie Audits und Inspektionen durch den Kunden oder seinen autorisierten Prüfer unter folgenden Bedingungen:
  • 60 Werktage im Voraus schriftliche Mitteilung;
  • Verhalten während der Geschäftszeiten ohne unangemessene Störung;
  • der Abschlussprüfer unterliegt der Schweigepflicht;
  • Die Kosten trägt der Kunde, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß.
  CallMama kann anstelle eines direkten Audits einen ISO 27001- oder SOC 2-Bericht bereitstellen.
• Aufzeichnungen über die Verarbeitung: CallMama führt Aufzeichnungen über alle Verarbeitungskategorien, die im Namen des Kunden gemäß Artikel 30 Absatz 2 der DSGVO durchgeführt werden und auf schriftliche Anfrage erhältlich sind.
• DPIA-Unterstützung: Wenn für die Anrufaufzeichnung oder andere Verarbeitung eine DSFA gemäß Artikel 35 der DSGVO erforderlich ist, stellt CallMama angemessene Unterstützung bereit, einschließlich Informationen zu Sicherheitsmaßnahmen, Unterauftragsverarbeitern und Verarbeitungsaktivitäten.

• Für die Rechtsgrundlage der Verarbeitung und die Rechtmäßigkeit seiner Weisungen ist der Kunde verantwortlich.
• Wenn der Kunde die Anrufaufzeichnungsfunktion des Webportals nutzt, muss der Kunde seine Anrufer über die gesetzlich vorgeschriebenen Benachrichtigungen informieren und die Einwilligungen einholen – siehe Hinweis zur Anrufaufzeichnung.
• Der Kunde darf keine CallMama-Daten besonderer Kategorie oder sensible Daten senden, die über die Verarbeitung des Dienstes hinausgehen.

Der Kunde erteilt CallMama eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern, einschließlich der in der aufgeführten Liste der Unterauftragsverarbeiter veröffentlicht auf CallMama.com.

CallMama erlegt jedem Unterauftragsverarbeiter Datenschutzverpflichtungen auf, die denen entsprechen, die CallMama durch diese DPA auferlegt werden, einschließlich Vertraulichkeitsverpflichtungen. CallMama bleibt für die Leistung seiner Unterprozessoren verantwortlich.

CallMama benachrichtigt den Kunden mindestens 14 Tage vor der Hinzufügung oder dem Austausch eines Unterauftragsverarbeiters.

Der Kunde kann aus angemessenen, dokumentierten Datenschutzgründen Einspruch gegen einen neuen oder Ersatz-Unterauftragsverarbeiter einlegen, indem er CallMama innerhalb von 14 Tagen nach Erhalt der Mitteilung schriftlich benachrichtigt.

Können die Parteien den Einspruch nicht lösen, kann der Kunde den betroffenen Teil des Dienstes durch schriftliche Mitteilung kündigen. Die weitere Nutzung des Dienstes nach Ablauf der 14-tägigen Widerspruchsfrist stellt die Zustimmung zum neuen Unterauftragsverarbeiter dar.

Wenn personenbezogene Kundendaten aus dem EWR oder dem Vereinigten Königreich in ein Land ohne Angemessenheitsentscheidung übertragen werden, unterliegt die Übertragung den folgenden Bestimmungen:

• die EU-Standardvertragsklauseln („EU SCCs“, Durchführungsbeschluss 2021/914 der Kommission), Modul 2 (Controller-to-Processor), für EWR-Übermittlungen; Und
• das UK International Data Transfer Addendum („UK IDTA“) 2022 für Übermittlungen im Vereinigten Königreich.

Beide werden durch Verweis einbezogen und mit den Einzelheiten in Abschnitt 2 ergänzt. CallMama hat für alle Unterauftragsverarbeiter in Drittländern Folgenabschätzungen für die Übertragung durchgeführt.

CallMama wird den Kunden unverzüglich – und wenn möglich spätestens innerhalb von 24 Stunden – benachrichtigen, nachdem er Kenntnis von einer Datenschutzverletzung erlangt hat, die personenbezogene Daten des Kunden betrifft.

Dieser Zeitrahmen gibt dem Kunden Zeit, den Verstoß zu beurteilen und gegebenenfalls die zuständige Aufsichtsbehörde innerhalb der in Artikel 33 der DSGVO und Artikel 33 der UK-DSGVO vorgeschriebenen Frist von 72 Stunden zu benachrichtigen.

Die Benachrichtigung umfasst, soweit zu diesem Zeitpunkt bekannt, Folgendes:

• eine Beschreibung der Art des Verstoßes, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen des Verstoßes; Und
• die Maßnahmen, die zur Behebung des Verstoßes ergriffen oder vorgeschlagen wurden.

Wenn Informationen nicht sofort verfügbar sind, wird CallMama sie phasenweise ohne weitere unangemessene Verzögerung bereitstellen.

Diese DPA ergänzt die Nutzungsbedingungen und unterliegt diesen. Sollte diese DPA in irgendeiner Angelegenheit im Zusammenhang mit der Verarbeitung personenbezogener Daten im Widerspruch zu den Nutzungsbedingungen stehen, hat diese DPA Vorrang.

Diese DPA unterliegt den Gesetzen der Sonderverwaltungszone Hongkong. Für Streitigkeiten, die sich aus den EU-Standardvertragsklauseln ergeben, gelten jedoch diejenigen Gesetze und Gerichte, die in den geltenden Standardvertragsklauseln (Abschnitt 17 und Abschnitt 18 des Durchführungsbeschlusses 2021/914 der Kommission) festgelegt sind.

Diese DPA tritt in Kraft, wenn der Kunde die Nutzungsbedingungen akzeptiert – oder, für Kunden, die eine gegengezeichnete DPA benötigen, an dem Datum, an dem sie zuletzt von beiden Parteien unterzeichnet wurden – und gilt so lange, wie CallMama personenbezogene Daten des Kunden verarbeitet.

CallMama setzt die folgenden technischen und organisatorischen Maßnahmen um, wie in Artikel 32 der DSGVO gefordert und im Anhang II der Standardvertragsklauseln der EU näher beschrieben:

A. Verschlüsselung und Daten während der Übertragung

• Verschlüsselung während der Übertragung: Alle zwischen dem Dienst und Endbenutzergeräten übertragenen personenbezogenen Daten werden mit TLS 1.2 oder höher verschlüsselt. Eine unverschlüsselte Übermittlung personenbezogener Daten ist untersagt.
• Verschlüsselung im Ruhezustand: Sensible personenbezogene Daten (einschließlich Anrufaufzeichnungen und Voicemails) werden im Ruhezustand mit AES-256 oder einem gleichwertigen Verfahren verschlüsselt. Alle Sicherungsmedien sind verschlüsselt.

B. Zugangskontrollen und Authentifizierung

• Multi-Faktor-Authentifizierung: erforderlich für alle Mitarbeiter, die auf Systeme zugreifen, die personenbezogene Kundendaten enthalten, einschließlich Fernzugriff.
• Rollenbasierte Zugriffskontrolle: Der Zugriff auf personenbezogene Kundendaten ist auf Mitarbeiter beschränkt, deren Rolle dies erfordert. Die Zugriffsrechte werden vierteljährlich überprüft und bei Beendigung oder Rollenwechsel sofort entzogen.
• Eindeutige Benutzerkonten: Jeder Mitarbeiter hat eine eindeutige Kennung. Geteilte Konten sind verboten. Anforderungen an die Passwortkomplexität werden durchgesetzt.
• Sitzungsverwaltung: Inaktive Sitzungen laufen automatisch ab. Die maximale Anzahl fehlgeschlagener Anmeldeversuche löst eine Kontosperrung aus.

C. Überwachung, Protokollierung und Reaktion auf Vorfälle

• Sicherheitsüberwachung: Systeme werden kontinuierlich auf Sicherheitsereignisse überwacht. Systeme zur Erkennung und Verhinderung von Einbrüchen werden eingesetzt.
• Audit-Protokollierung: Jeder Zugriff auf und jede Änderung der personenbezogenen Daten des Kunden wird protokolliert. Protokolle werden mindestens 12 Monate lang aufbewahrt und sind manipulationssicher.
• Reaktion auf den Vorfall: Ein dokumentierter Vorfallreaktionsplan wird mindestens einmal jährlich gepflegt und getestet. Vorfälle werden gemäß dieser DPA klassifiziert, eingedämmt und gemeldet.

D. Physische und Infrastruktursicherheit

• Sicherheit im Rechenzentrum: Persönliche Kundendaten werden in ISO 27001-zertifizierten Rechenzentren (Hetzner) mit physischen Zugangskontrollen, Videoüberwachung, Umgebungskontrollen und unterbrechungsfreier Stromversorgung gehostet.
• Sicherung und Wiederherstellung: Es werden regelmäßig Backups erstellt und sicher gespeichert. Verfahren zur Notfallwiederherstellung werden dokumentiert und getestet. Ziele für die Wiederherstellungszeit werden definiert und überprüft.

E. Personal- und Lieferantenkontrollen

• Vertraulichkeit des Personals: Alle Mitarbeiter und Auftragnehmer mit Zugriff auf personenbezogene Daten des Kunden sind an vertragliche Vertraulichkeitsverpflichtungen gebunden. Hintergrundüberprüfungen werden durchgeführt, sofern dies nach geltendem Recht zulässig ist.
• Sicherheitsschulung: Alle Mitarbeiter, die Zugriff auf personenbezogene Daten haben, erhalten regelmäßig und jährlich Schulungen zum Thema Datenschutz und Sicherheitsbewusstsein.
• Due-Diligence-Prüfung des Anbieters: Alle Unterauftragsverarbeiter werden vor der Beauftragung auf die Einhaltung von Datenschutz- und Sicherheitsvorschriften überprüft und fortlaufend überwacht.

F. Entwicklung und Änderungsmanagement

• Sichere Entwicklung: Sicherheit ist in den Softwareentwicklungslebenszyklus integriert. Codeüberprüfungen umfassen eine Sicherheitsbewertung. Es sind Verfahren für das Schwachstellenmanagement und das Patch-Management vorhanden.
• Penetrationstests: Unabhängige Penetrationstests werden mindestens einmal jährlich durchgeführt. Kritische Schwachstellen werden innerhalb von 30 Tagen behoben.
• Datenminimierung: Systeme sind so konzipiert, dass die verarbeiteten personenbezogenen Daten minimiert werden. Gegebenenfalls wird Pseudonymisierung eingesetzt.

Ein Geschäftskunde, der eine unterzeichnete DPA benötigt, sollte sich an uns wenden legal@CallMama.com. Die Annahme der Nutzungsbedingungen durch einen Geschäftskunden, der die Daten seiner eigenen Endbenutzer über den Dienst verarbeitet, stellt auch die Annahme dieser DPA dar.

Vereinigte Staaten – CCPA / CPRA

Wenn personenbezogene Kundendaten personenbezogene Daten von Einwohnern Kaliforniens umfassen, ist CallMama ein „Dienstleister“ im Sinne des CCPA/CPRA und kein „Dritter“.

CallMama wird personenbezogene Kundendaten nicht verkaufen oder weitergeben und diese nicht außerhalb der direkten Geschäftsbeziehung aufbewahren, verwenden oder offenlegen.

CallMama bescheinigt die Einhaltung der CCPA/CPRA-Beschränkungen und verlangt von Unterauftragsverarbeitern, die personenbezogene Daten aus Kalifornien verarbeiten, die Einhaltung gleichwertiger Beschränkungen der Dienstanbieter.

Kanada – PIPEDA und Quebec Law 25

Wenn personenbezogene Kundendaten personenbezogene Daten von in Kanada ansässigen Personen umfassen:

• PIPEDA: Kanadas Personal Information Protection and Electronic Documents Act (PIPEDA) verlangt von CallMama die Implementierung von Sicherheitsmaßnahmen im Einklang mit Prinzip 7 (Schutzmaßnahmen). Der Kunde bleibt für die Einholung sinnvoller Einwilligungen und die Beantwortung von Zugriffs- und Korrekturanfragen verantwortlich.
• Quebecer Gesetz 25: Für Einwohner von Quebec schreibt Gesetz 25 (gültig ab September 2023) eine 72-Stunden-Meldepflicht bei Verstößen an die Commission d'accès à l'information (CAI) vor. CallMama benachrichtigt den Kunden innerhalb von 24 Stunden, nachdem ihm ein Verstoß bekannt wurde, der die Daten von Einwohnern Quebecs betrifft.