Auftragsverarbeitungsvertrag (DPA)

Dieses DPA wird geschlossen zwischen:

dem Kunden, das heißt dem Unternehmen, dem Freiberufler, der Einrichtung oder der Organisation, die DutyTask nutzt und die Zwecke sowie die wesentlichen Mittel der Verarbeitung der in den Dienst eingegebenen Personenbezogenen Daten bestimmt, nachfolgend der „Kunde“ oder „Verantwortlicher“;

und

GR SOLUZIONI DI GIUSEPPE RICCIO Einzelunternehmen USt-IdNr.: IT11121011214 REA: NA-1156478 E-Mail: hello@dutytask.com

nachfolgend „DutyTask“ oder „Auftragsverarbeiter“.

Die identifizierenden Angaben des Unternehmens ergeben sich aus dem Handelsregister von Neapel.

DutyTask stellt dem Kunden einen SaaS-Dienst zur operativen Verwaltung von Unternehmensaufgaben, Zuweisungen, Fälligkeiten, Wiederholungen, operativen Bereichen, Anhängen, Problemmeldungen, Benachrichtigungen, Berichten und der Aufgabenhistorie bereit.

Soweit diese Funktionen die Verarbeitung Personenbezogener Daten beinhalten, die der Kunde oder seine Nutzer zu vom Kunden bestimmten Zwecken eingeben, handelt DutyTask als Auftragsverarbeiter nach Art. 28 DSGVO.

Der Kunde handelt als Verantwortlicher.

Dieses DPA erfasst nicht Verarbeitungen, für die DutyTask unabhängig als Verantwortlicher handelt, beispielsweise die Verwaltung der Geschäftsbeziehung mit dem Kunden, Abrechnung, Plattformsicherheit, Betrugsprävention sowie steuerliche oder rechtliche Pflichten. Diese Verarbeitungen sind in der Datenschutzerklärung von DutyTask beschrieben.

Dieses DPA gilt für die gesamte vertragliche Beziehung zwischen DutyTask und dem Kunden und, beschränkt auf Pflichten, die ihrer Natur nach die Beendigung überdauern, bis zur vollständigen Löschung oder Rückgabe der im Auftrag des Kunden verarbeiteten Personenbezogenen Daten.

Die in Artikel 14 vorgesehene Aufbewahrungsphase nach der Kündigung ist allein für die Zwecke dieses DPA Teil des Erbringungszyklus des Dienstes.

DutyTask verarbeitet Personenbezogene Daten ausschließlich:

• um DutyTask gemäß den Allgemeinen Geschäftsbedingungen zu erbringen;
• gemäß den vom Kunden über die Anwendung vorgenommenen Konfigurationen und Vorgängen;
• gemäß weiteren dokumentierten, rechtmäßig erteilten Weisungen des Kunden;
• oder soweit die Verarbeitung durch anwendbares Recht vorgeschrieben ist.

Die Bedingungen, dieses DPA, die vom Kunden in der Plattform verwendeten Einstellungen und etwaige mit DutyTask abgestimmte schriftliche Mitteilungen bilden die dokumentierten Weisungen des Kunden.

Ist DutyTask der Auffassung, dass eine Weisung des Kunden gegen die DSGVO oder anderes anwendbares Datenschutzrecht verstößt, unterrichtet DutyTask den Kunden unverzüglich, soweit gesetzlich nicht verboten.

Der Kunde gewährleistet, dass er berechtigt ist, die in den Dienst eingegebenen Personenbezogenen Daten zu verarbeiten und DutyTask anzuvertrauen.

Der Kunde ist insbesondere verantwortlich für die Bestimmung der Zwecke und Rechtsgrundlagen der Verarbeitung; für die Informationen, die seinen Beschäftigten, Auftragnehmern und anderen betroffenen Personen zu erteilen sind; für die Richtigkeit eingegebener Daten; für die Zuweisung von Rollen und Berechtigungen an Nutzer; und für die Rechtmäßigkeit etwaiger Anhänge, Fotografien, Notizen und sonstiger hochgeladener Inhalte.

Der Kunde verpflichtet sich, DutyTask nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten oder besonders sensibler Daten zu nutzen, soweit dies für seine operativen Zwecke nicht erforderlich ist oder die gesetzlichen Voraussetzungen und Garantien des anwendbaren Rechts nicht erfüllt sind.

DutyTask stellt sicher, dass Personen, die befugt sind, Personenbezogene Daten in seinem Auftrag zu verarbeiten, angemessenen Vertraulichkeitspflichten unterliegen und nur in dem Umfang Zugang zu den Daten haben, der zur Erfüllung ihrer Aufgaben erforderlich ist.

Der Zugang zu Daten muss nach dem Need-to-know-Prinzip und auf die geringstmöglichen erforderlichen Rechte beschränkt sein.

DutyTask ergreift dem Risiko angemessene technische und organisatorische Maßnahmen, um Personenbezogene Daten vor Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unrechtmäßigem Zugang zu schützen.

Die derzeit wesentlichen ergriffenen Maßnahmen sind in Anhang B beschrieben.

DutyTask kann seine technischen und organisatorischen Maßnahmen im Zeitverlauf ändern oder verbessern, sofern das Gesamtniveau der Sicherheit nicht wesentlich herabgesetzt wird.

Der aktuelle Produktbetrieb umfasst unter anderem die Isolierung von Daten zwischen Organisationen, private Anhänge und die Trennung der Berechtigungen zwischen Inhaber/Admin und Mitarbeitern.

Der Kunde erteilt DutyTask eine allgemeine Genehmigung, zur Erbringung des Dienstes erforderliche Unterauftragsverarbeiter zu beauftragen.

DutyTask legt seinen Unterauftragsverarbeitern Datenschutzpflichten auf, die, soweit auf die Art der erbrachten Leistung anwendbar, denjenigen in diesem DPA im Wesentlichen gleichwertig sind.

DutyTask bleibt dem Kunden gegenüber für die Erfüllung der Pflichten aus diesem DPA in Bezug auf an seine Unterauftragsverarbeiter übertragene Tätigkeiten verantwortlich, im Rahmen des anwendbaren Rechts.

Die aktuelle Liste der wesentlichen Unterauftragsverarbeiter steht in Anhang C.

Neue Unterauftragsverarbeiter

DutyTask unterrichtet den Kunden über wesentliche Änderungen der Liste der Unterauftragsverarbeiter per E-Mail, Hinweis in der Anwendung oder Veröffentlichung auf der betreffenden Seite des Dienstes, soweit möglich mit angemessener Frist.

Der Kunde kann aus dokumentierten Gründen, die den Schutz Personenbezogener Daten betreffen, einen begründeten Widerspruch erheben.

Die Parteien wirken in gutem Glauben zusammen, um eine angemessene Lösung zu finden. Ist es vernünftigerweise nicht möglich, den Widerspruch ohne Beeinträchtigung der Erbringung des Dienstes zu lösen, kann der Kunde die betreffende Funktion nicht mehr nutzen oder, soweit das nicht möglich ist, den Dienst nach den anwendbaren Vertragsbedingungen beenden.

Diese Struktur entspricht der DPA-Praxis der wesentlichen von DutyTask genutzten Anbieter: Vercel verwendet beispielsweise eine allgemeine Genehmigung von Unterauftragsverarbeitern und im Wesentlichen vergleichbare vertragliche Pflichten; Stripe und Supabase nehmen ebenfalls ein DPA in ihre Verträge auf.

Unter Berücksichtigung der Art der Verarbeitung unterstützt DutyTask den Kunden, soweit vernünftigerweise möglich, bei der Erfüllung von Pflichten im Zusammenhang mit der Ausübung der Rechte betroffener Personen.

Erhält DutyTask eine Anfrage, die sich unmittelbar auf ausschließlich im Auftrag des Kunden verarbeitete Personenbezogene Daten bezieht, kann DutyTask die betroffene Person an den Kunden verweisen oder die Anfrage an den Kunden weiterleiten, soweit nicht andere gesetzliche Pflichten gelten.

DutyTask beantwortet Anfragen betroffener Personen nicht selbständig im Namen des Kunden, ausgenommen besondere Weisungen oder gesetzliche Pflichten.

DutyTask unterrichtet den Kunden unverzüglich, nachdem es von einer Verletzung des Schutzes Personenbezogener Daten Kenntnis erlangt hat, die im Auftrag des Kunden verarbeitet werden.

Die Mitteilung enthält, soweit die Informationen verfügbar sind:

• die Art der Verletzung;
• die betroffenen Datenkategorien und betroffenen Personen;
• die möglichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen, um sie zu beheben oder ihre Auswirkungen zu begrenzen.

Sind nicht alle Informationen sofort verfügbar, können sie schrittweise bereitgestellt werden.

DutyTask wirkt mit dem Kunden in angemessenem Umfang zusammen, damit der Kunde seine Meldepflichten gegenüber der Aufsichtsbehörde oder gegenüber betroffenen Personen erfüllen kann.

DutyTask leistet unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen dem Kunden angemessene Unterstützung in Bezug auf:

• Datenschutz-Folgenabschätzungen;
• vorherige Konsultation von Behörden;
• Sicherheitsmaßnahmen;
• Umgang mit Verletzungen des Schutzes personenbezogener Daten;
• sonstige Pflichten nach Art. 32–36 DSGVO.

Unterstützung, die außergewöhnliche und erhebliche Tätigkeit über die gewöhnliche Erbringung des Dienstes hinaus umfasst, kann Gegenstand einer gesonderten Vereinbarung sein, soweit gesetzlich zulässig.

DutyTask stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der Pflichten nach Art. 28 DSGVO nachzuweisen.

Der Kunde kann einschlägige Informationen oder Unterlagen zu den ergriffenen Maßnahmen anfordern.

Sind die verfügbaren Informationen nicht ausreichend, kann der Kunde mit angemessener Frist eine Prüfung verlangen.

Prüfungen müssen so durchgeführt werden, dass Sicherheit, Vertraulichkeit, der Betrieb des Dienstes oder Daten anderer Kunden nicht beeinträchtigt werden.

Außer in Ausnahmesituationen, bei begründetem Verdacht einer Verletzung oder auf Verlangen der zuständigen Behörde darf in einem Zeitraum von zwölf Monaten nicht mehr als eine Prüfung verlangt werden.

Außergewöhnliche und angemessene Kosten, die DutyTask für ausschließlich vom Kunden verlangte Prüfungen entstehen, können nach vorheriger Vereinbarung in Rechnung gestellt werden.

Die primäre Datenbankinfrastruktur von DutyTask ist in der Region West EU (Ireland), AWS eu-west-1, konfiguriert.

Einige Unterauftragsverarbeiter können gleichwohl Personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten.

DutyTask stellt sicher, dass solche Übermittlungen, soweit erforderlich, auf der Grundlage eines in der DSGVO vorgesehenen Mechanismus erfolgen, einschließlich Angemessenheitsbeschlüssen, anwendbarer Data Privacy Frameworks oder der Standardvertragsklauseln der Europäischen Kommission.

Die Europäische Kommission erkennt SCC als eines der Instrumente an, die geeignete Garantien für Übermittlungen in Drittländer bieten können.

OpenAI sieht beispielsweise in seinem DPA die Rolle als Auftragsverarbeiter für Customer Data vor; für einen im EWR niedergelassenen Kunden wird das DPA mit OpenAI Ireland Ltd. geschlossen.

Mit Beendigung des Abonnements stellt DutyTask den gewöhnlichen operativen Zugang zum Dienst ein.

Aufbewahrungszeitraum zur Reaktivierung

Soweit der Kunde nichts anderes anweist, ermächtigt der Kunde DutyTask, die Personenbezogenen Daten der Organisation höchstens 6 Monate ab Beendigung des Abonnements aufzubewahren, allein um eine mögliche Reaktivierung des Kontos und die Wiederherstellung der zuvor vorhandenen Historie zu ermöglichen.

In diesem Zeitraum verwendet DutyTask die Personenbezogenen Daten nicht für mit dieser Aufbewahrung unvereinbare Zwecke.

Vorzeitige Löschung

Der Kunde kann DutyTask jederzeit während des Zeitraums von sechs Monaten anweisen, die vorzeitige Löschung der Daten vorzunehmen.

Der Antrag kann gesendet werden an:

hello@dutytask.com

DutyTask kann angemessene Prüfungen der Identität und der Befugnis des Antragstellers vornehmen.

Rückgabe der Daten

Vor der endgültigen Löschung kann der Kunde die Rückgabe der Personenbezogenen Daten durch einen vernünftigerweise nutzbaren Export verlangen, unter Berücksichtigung der Art der Daten und der technischen Funktionen des Dienstes.

Löschung nach 6 Monaten

Nach 6 Monaten werden, wenn das Konto nicht reaktiviert wird und soweit keine abweichenden Weisungen oder gesetzlichen Pflichten gelten, die operativen Daten gelöscht.

Die Löschung erfasst, soweit anwendbar:

• Konten und Profile der Organisation;
• Aufgaben und Wiederholungen;
• Notizen und Historie;
• Anhänge;
• operative Bereiche;
• Zuordnungen zwischen Nutzern und der Organisation;
• sonstige im Auftrag des Kunden verarbeitete Daten.

Restkopien in Sicherungen können bis zur Überschreibung gemäß den üblichen technischen Backup- und Disaster-Recovery-Zyklen der Anbieter verbleiben, bleiben geschützt und werden nicht für andere Zwecke verwendet.

Diese Pflicht erfasst nicht Daten, die DutyTask unabhängig als Verantwortlicher aufbewahren muss, um rechtliche, buchhalterische oder steuerliche Pflichten zu erfüllen oder die eigenen Rechte zu schützen.

DutyTask nutzt OpenAI als Unterauftragsverarbeiter für bestimmte Funktionen des Dienstes.

Diktat

Wenn ein Manager das Sprachdiktat nutzt, wird das Audio zur Transkription und Interpretation übermittelt, die zur Vorbereitung der Aufgabe erforderlich ist.

DutyTask bewahrt das Audio nach der Verarbeitung nicht auf.

Daily AI Brief

Zur Erstellung des Daily AI Brief werden Informationen zu Aufgaben und deren Status in dem für die Zusammenfassung erforderlichen Umfang an OpenAI übermittelt.

Indexierung von Kundendokumenten

Wenn das Studio eine Datei aus dem Kundenmodul als wichtig markiert, kann DutyTask OpenAI das Dokument übermitteln (PDF- oder Bilddatei und, soweit verfügbar, einen Textauszug), um Titel, Zusammenfassung und Suchbegriffe zu erzeugen.

Nur im Chat belassene Dateien und Konversationsnachrichten werden nicht an OpenAI gesendet. DutyTask setzt im Kunden-Chat keinen Konversationsassistenten ein.

DutyTask nutzt OpenAI-Dienste, die für Unternehmen und Entwickler bestimmt sind. Das aktuelle DPA von OpenAI regelt die Verarbeitung von Customer Data als Auftragsverarbeiter, und OpenAI gibt an, dass Unternehmens-/API-Daten standardmäßig nicht zum Training von Modellen verwendet werden.

Der Kunde genehmigt diese Verarbeitung als Teil der KI-Funktionen, die er zu nutzen entscheidet.

Jede Partei ist für die Erfüllung der Pflichten verantwortlich, die ihr nach der DSGVO und sonstigen anwendbaren Vorschriften obliegen.

Die vertragliche Haftung zwischen DutyTask und dem Kunden bleibt den Beschränkungen in den Allgemeinen Geschäftsbedingungen unterworfen, soweit gesetzlich zulässig.

Nichts in diesem DPA beschränkt Rechte betroffener Personen oder Haftungen, die nach der DSGVO nicht ausgeschlossen werden können.

Bei einem Widerspruch zwischen diesem DPA und den Allgemeinen Geschäftsbedingungen von DutyTask in Bezug auf die Verarbeitung Personenbezogener Daten durch DutyTask als Auftragsverarbeiter geht dieses DPA vor.

Für alle übrigen Angelegenheiten gelten weiterhin die Allgemeinen Geschäftsbedingungen.

Dieses DPA unterliegt italienischem Recht und der DSGVO.

Für vertragliche Angelegenheiten, die nicht durch die DSGVO oder zwingende Vorschriften geregelt sind, gelten die Bestimmungen zu anwendbarem Recht und Gerichtsstand in den Allgemeinen Geschäftsbedingungen von DutyTask.

A.1 Gegenstand

Verarbeitung Personenbezogener Daten, die erforderlich ist, um dem Kunden den SaaS-Dienst DutyTask bereitzustellen.

A.2 Dauer

Für die Dauer des Abonnements und nach der Beendigung für den vorgesehenen Höchstzeitraum von 6 Monaten zur Ermöglichung der Reaktivierung, soweit nicht vorzeitige Löschung beantragt, das Konto reaktiviert oder anwendbare gesetzliche Pflichten bestehen.

A.3 Art der Vorgänge

Die Verarbeitung kann umfassen:

• Erhebung;
• Erfassung;
• Organisation;
• Strukturierung;
• Speicherung;
• Abfrage;
• Anzeige;
• Aktualisierung;
• Übermittlung;
• Verarbeitung;
• Erstellung von Benachrichtigungen und Berichten;
• Verarbeitung durch KI-Funktionen;
• Export;
• Einschränkung;
• Löschung.

A.4 Zwecke

Bereitstellung der vom Kunden angeforderten DutyTask-Funktionen, einschließlich Verwaltung von Nutzern, Aufgaben, Zuweisungen, Wiederholungen, operativen Bereichen, Fälligkeiten, Problemmeldungen, Anhängen, Benachrichtigungen, Berichten, Historie und KI-Funktionen.

A.5 Kategorien betroffener Personen

Von der Verarbeitung können betroffen sein:

• Beschäftigte des Kunden;
• Auftragnehmer;
• Administratoren;
• Leiter von Teams, Abteilungen oder Standorten;
• der Inhaber der Organisation;
• andere vom Kunden eingeladene Nutzer;
• Personen, deren Daten der Kunde rechtmäßig in Anhängen, Notizen oder Aufgaben eingibt.

A.6 Kategorien Personenbezogener Daten

Verarbeitet werden können:

• Vorname und Nachname;
• E-Mail-Adresse;
• Rolle und organisatorische Zugehörigkeit;
• operativer Bereich;
• Daten zu zugewiesenen Aufgaben;
• Daten, Fälligkeiten und Uhrzeiten;
• Aufgabenstatus;
• Informationen zu gemeldeten Problemen und zugehörigen Lösungen;
• Notizen;
• Historie der Vorgänge;
• Anhänge und Fotografien;
• Daten zu Einbindungen und Zuweisungen;
• technische Identifikatoren;
• Daten zu Benachrichtigungen;
• an KI-Funktionen übermittelte Inhalte.

Produktaufgaben und ihre Historien sind so gestaltet, dass Mitarbeiter bereits erfasste Ereignisse nicht willkürlich umschreiben können.

A.7 Besondere Kategorien von Daten

DutyTask ist nicht eigens für die systematische Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt.

Der Kunde muss die Eingabe solcher Daten vermeiden, soweit sie nicht unbedingt erforderlich ist, und bleibt, wenn er sie verarbeitet, dafür verantwortlich, eine angemessene Rechtsgrundlage und die weiteren erforderlichen Garantien zu haben.

Die derzeit umgesetzten oder durch die DutyTask-Architektur vorgesehenen Maßnahmen umfassen:

DutyTask kann schrittweise weitere Maßnahmen hinzufügen, einschließlich stärkerer Authentifizierungsfunktionen, Überwachung und zusätzlicher Sicherheitskontrollen.

Supabase veröffentlicht in seinem DPA außerdem die Liste der eigenen Unterauftragsverarbeiter, einschließlich AWS für Hosting. Vercel veröffentlicht und aktualisiert seine Unterauftragsverarbeiterliste und sieht für diese im Wesentlichen vergleichbare vertragliche Pflichten vor. Stripe veröffentlicht ein DPA und die anwendbaren Übermittlungsgarantien. OpenAI veröffentlicht ebenfalls die aktuelle Liste der für API- und Unternehmensdienste genutzten Unterauftragsverarbeiter. Resend veröffentlicht ein DPA für Transaktions-E-Mails. Push-Benachrichtigungen nutzen das Protokoll Web Push (VAPID) an den Browser des Nutzers und sind kein E-Mail-Dienst.