Datenverarbeitung& DSGVO

Höflichkeitsübersetzung. Im Falle von Abweichungen ist die englische Fassung maßgeblich.

Diese Seite fasst die öffentliche Haltung von Altovar zur DSGVO und zur Datenverarbeitung für Beschaffung, Recht, Sicherheit und Datenschutzprüfungen zusammen. Sie soll die wiederkehrenden Fragen beantworten, die im Rahmen von Lieferanten-Onboarding, Due-Diligence-Prüfungen und Sicherheitsbewertungen aufkommen.

Sie ergänzt die Datenschutzerklärung, die Cookie-Richtlinie, die Nutzungsbedingungen und jeden abgeschlossenen Auftragsverarbeitungsvertrag (AVV), ersetzt diese jedoch nicht.

Altovar als Verantwortlicher: Für personenbezogene Daten, die über unsere Website, Vertriebsaktivitäten, Kontoverwaltung, Rechnungsstellung, Support-Korrespondenz und Marketingpräferenzen erhoben werden, handelt Altovar als eigenständiger Verantwortlicher.

Altovar als Auftragsverarbeiter: Nutzt ein Kunde die Dienste von Altovar, um personenbezogene Daten in dessen Auftrag zu speichern, zu analysieren, zu übermitteln oder anderweitig zu verarbeiten, handelt Altovar als Auftragsverarbeiter, und der Kunde bleibt Verantwortlicher, sofern im Vertrag oder in der Dienstarchitektur keine abweichende Zuordnung festgelegt ist.

Die Rollenzuordnung wird im anwendbaren Bestellformular, in der Servicedokumentation und im AVV weiter präzisiert.

Altovar ist in Europa niedergelassen und gestaltet seine Infrastrukturstrategie so, dass die Kontrolle der EU-Gerichtsbarkeit, ein geringes Übermittlungsrisiko und operative Transparenz gewahrt bleiben.

Unsere Standard-Diensthaltung ist EU-gehostet. Primäre Anwendungs-Workloads, Datenbanken, Backups und Betriebssysteme werden so ausgewählt, dass Produktionsdaten, soweit die Produktarchitektur dies zulässt, innerhalb des EWR verbleiben. Wo Edge-Delivery oder Support-Tools einen Berührungspunkt mit einem Drittland schaffen, wendet Altovar dokumentierte Garantien an und beschränkt den Zugriff auf den unbedingt erforderlichen Umfang.

Altovar stellt für Auftragsverarbeitungs-Szenarien einen Auftragsverarbeitungsvertrag (AVV) zur Verfügung. Bei Business- und Enterprise-Vereinbarungen können AVV-Klauseln in das Bestellformular oder den Rahmenvertrag über Dienstleistungen eingebettet sein. Für andere Kunden ist ein Standard-AVV auf Anfrage erhältlich.

Der AVV umfasst Verarbeitungsanweisungen, Vertraulichkeit, Unterauftragsverarbeiter, Sicherheitsmaßnahmen, die Meldung von Verletzungen des Schutzes personenbezogener Daten, Unterstützung bei der Wahrnehmung der Rechte betroffener Personen, Löschung/Rückgabe von Daten sowie die Mitwirkung bei Audits im Rahmen wirtschaftlich zumutbarer Grenzen.

Anfragen zu einem AVV oder einer Vertragsergänzung können an [email protected] gesendet werden.

Altovar wendet für Infrastruktur, Zahlungen, Kommunikation und unterstützende Sicherheitsdienste ein kontrolliertes Verfahren zur Prüfung von Dienstleistern an. Jeder Auftragsverarbeiter oder Unterauftragsverarbeiter wird vor dem produktiven Einsatz hinsichtlich technischer Eignung, gerichtsbarkeitsbezogener Auswirkungen, Sicherheitskontrollen, vertraglicher Absicherung und Reife der Vorfallsreaktion bewertet.

Unterauftragsverarbeiter sind durch schriftliche Verträge gebunden, die, soweit anwendbar, die Anforderungen von Art. 28 DSGVO widerspiegeln. Altovar führt ein internes Verzeichnis der Unterauftragsverarbeiter und informiert über wesentliche Änderungen über die im AVV oder im Kundenvertrag festgelegten vertraglichen Mechanismen.

Altovar wendet mehrschichtige technische und organisatorische Maßnahmen an, die der Sensibilität der jeweiligen Arbeitslast und der betroffenen Dienststufe angemessen sind. Diese Maßnahmen umfassen typischerweise Zugriffskontrolle, Administration nach dem Prinzip der geringsten Rechte, MFA auf internen Systemen, verschlüsselte Übertragung, verschlüsselte Speicherung, soweit relevant, Audit-Protokollierung, Schwachstellenmanagement, Backup-Kontrollen und die Trennung von Umgebungen.

Unsere Maßnahmen werden im Zuge der Produktentwicklung überprüft. Benötigt ein Kunde eine TOM-Zusammenfassung für Beschaffungs- oder Auditzwecke, kann Altovar im Rahmen einer Geheimhaltungsvereinbarung (NDA) oder als Teil des AVV-/Sicherheitsprüfungsprozesses einen aktuellen Überblick bereitstellen.

Handelt Altovar als Verantwortlicher, beantworten wir Anträge auf Auskunft, Berichtigung, Löschung, Widerspruch, Übertragbarkeit und Einschränkung im Einklang mit unserer Datenschutzerklärung direkt.

Handelt Altovar als Auftragsverarbeiter, unterstützen wir den Kunden – im Rahmen der Möglichkeiten des Dienstes und des vertraglichen Rahmens –, damit dieser seine eigenen Verpflichtungen gegenüber betroffenen Personen erfüllen kann. Dies kann Unterstützung beim Datenexport, Löschworkflows, Zugriffsprotokollierung oder operative Koordination über Support- und Datenschutzkanäle umfassen.

Altovar betreibt Verfahren des Vorfallmanagements für Ereignisse, die die Sicherheit, Verfügbarkeit, Vertraulichkeit und Integrität von Kunden- oder Unternehmensdaten betreffen.

Wird Altovar als Auftragsverarbeiter tätig und erlangt Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, benachrichtigen wir den Kunden unverzüglich, damit dieser etwaige Meldepflichten gegenüber der Aufsichtsbehörde oder den betroffenen Personen prüfen kann. Handelt Altovar als Verantwortlicher, prüfen und erfüllen wir die Meldepflichten unmittelbar gemäß der DSGVO und dem anwendbaren nationalen Recht.

Altovar sieht Datenübermittlungen in Drittländer nicht als Standardbetriebsmodell vor. Entsteht durch eine spezifische Dienstabhängigkeit, einen Support-Ablauf oder eine Edge-Delivery-Funktion ein Übermittlungsszenario, stützt sich Altovar vor dem produktiven Einsatz auf einen festgelegten rechtlichen Übermittlungsmechanismus und verhältnismäßige ergänzende Maßnahmen.

Je nach Anbieter und Verarbeitungskontext können diese Garantien Angemessenheitsbeschlüsse, Standardvertragsklauseln, Zugriffsminimierung, Verschlüsselung und die Durchführung von Transfer-Folgenabschätzungen umfassen.

DSGVO-Konformität wird nicht allein durch die Haltung des Anbieters erreicht. Kunden bleiben dafür verantwortlich, eine geeignete Rechtsgrundlage zu wählen, ihre Umgebungen rechtmäßig zu konfigurieren, Aufbewahrungsregeln im Einklang mit ihren Pflichten festzulegen und für Auftragsverarbeitungs-Szenarien gültige Weisungen zu erteilen.

Altovar stellt das für eine konforme Nutzung erforderliche vertragliche und technische Gerüst bereit; jeder Kunde bleibt jedoch dafür verantwortlich, wie er den Dienst in seinem eigenen Kontext nutzt, einschließlich des Mitarbeiterzugriffs, hochgeladener Inhalte, Aufbewahrungsentscheidungen und Integrationen Dritter.