Auftragsverarbeitungsvertrag

1. Details der Verarbeitung

• Gegenstand und Dauer: Bereitstellung von Carreh for Business für die Vertragslaufzeit und bis zur Löschung gemäß Abschnitt 10.
• Art und Zweck: Hosten, Organisieren, Lesen (auch mit KI), Anzeigen, Exportieren und Löschen von Reise- und Ausgabenbelegen, wie der Kunde es konfiguriert und anweist.
• Betroffene Personen: die Mitarbeiter, Auftragnehmer und sonstigen Nutzer des Kunden sowie Personen, die in ihren Reise- und Ausgabenbelegen genannt werden.
• Personenbezogene Daten: Identitäts- und Kontaktdaten, Rolle und Abteilung, Reiseanträge, Reisepläne, Buchungen und Reisedokumente, Belege, Ausgaben, Erstattungen, Genehmigungen und Kommentare, Anmeldedatensätze.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Anweisungen

Carreh verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, die aus den Bedingungen, dieser DPA und der Nutzung und Konfiguration des Dienstes durch den Kunden besteht, es sei denn, EU-Recht oder Recht eines Mitgliedstaats verlangt etwas anderes; in diesem Fall informiert Carreh den Kunden zuerst, es sei denn, das Gesetz verbietet es. Carreh teilt dem Kunden mit, wenn es eine Weisung für rechtswidrig hält.

3. Vertraulichkeit

Alle bei Carreh zur Verarbeitung personenbezogener Daten berechtigten Personen sind zur Vertraulichkeit verpflichtet.

4. Sicherheit

Carreh setzt die technischen und organisatorischen Maßnahmen in Anhang 1 um und hält sie dem Risiko angemessen. Carreh kann sie aktualisieren, sofern das Gesamtniveau des Schutzes nicht sinkt.

5. Unterauftragsverarbeiter

Der Kunde autorisiert Carreh, die hier aufgeführten Unterauftragsverarbeiter einzusetzen. Carreh informiert die Workspace-Inhaber mindestens 30 Tage im Voraus per E-Mail über einen neuen Unterauftragsverarbeiter. Der Kunde kann aus vernünftigen Datenschutzgründen widersprechen; wird keine Lösung gefunden, kann der Kunde den betroffenen Service beenden und erhält eine Rückerstattung der im Voraus gezahlten Gebühren für den verbleibenden Zeitraum. Carreh verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die diesem DPA entsprechen, und bleibt für sie verantwortlich.

6. Internationale Übermittlungen

Wenn personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums in ein Land ohne Angemessenheitsbeschluss übermittelt werden, stützt sich Carreh auf die Standardvertragsklauseln der Europäischen Kommission, bei Bedarf mit zusätzlichen Maßnahmen.

7. Unterstützung

Unter Berücksichtigung der Art der Verarbeitung unterstützt Carreh den Kunden bei der Beantwortung von Betroffenenanfragen (der Service ermöglicht es Ownern und Admins, Datensätze zu finden, zu exportieren, zu korrigieren und zu löschen) sowie bei Sicherheit, Datenschutzverletzungsmeldungen, Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden.

8. Verletzungen des Schutzes personenbezogener Daten

Carreh benachrichtigt den Kunden unverzüglich und spätestens 48 Stunden, nachdem Carreh Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die personenbezogene Daten des Kunden betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen und aktualisiert diese im weiteren Verlauf der Untersuchung.

9. Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit exportieren. Nach Vertragsende hat der Kunde 30 Tage Zeit für den Export; Carreh löscht die personenbezogenen Daten danach innerhalb von 90 Tagen, außer wenn EU-Recht oder Recht eines Mitgliedstaats ihre Aufbewahrung vorschreibt. Backups werden nach ihrem normalen Zeitplan überschrieben.

10. Audits

Carreh stellt die Informationen bereit, die zum Nachweis der Einhaltung dieser DPA erforderlich sind. Der Kunde kann einmal jährlich, mit 30 Tagen schriftlicher Vorankündigung, während der Geschäftszeiten, unter Vertraulichkeit und auf eigene Kosten prüfen oder sich auf aktuelle unabhängige Zertifizierungen der Unterauftragsverarbeiter von Carreh stützen, sofern diese die Verarbeitung abdecken.

11. Haftung und Vorrang

Die Haftungsbeschränkungen in den Bedingungen gelten für diese DPA, soweit das Gesetz es zulässt. Für die Verarbeitung personenbezogener Daten hat diese DPA Vorrang vor den Bedingungen.

12. Anhang 1: technische und organisatorische Maßnahmen

• Trennung: Carreh for Business hat eigene Konten, Datenbank, Speicher und Schlüssel, getrennt von Carrehs Verbraucher-Apps. Die Daten jedes Unternehmens werden getrennt gehalten, und jede Anfrage wird gegen die Unternehmenszugehörigkeit und Rolle des Nutzers geprüft.
• Zugriffskontrolle: einmalige Anmeldecodes per E-Mail; Sitzungen werden nur als Hashes gespeichert; Carreh-Mitarbeiter benötigen einen E-Mail-Code und einen Passkey; autorisierte Mitarbeiter öffnen Workspace-Inhalte nur, um Support zu leisten, den Service sicher zu halten, Betrug zu verhindern und gesetzliche Pflichten zu erfüllen, und jede Öffnung wird im Aktionsprotokoll des Workspace festgehalten.
• Überwachung: Anmeldungen und Aktionen werden mit Netzwerk und Gerät aufgezeichnet; automatische Prüfungen markieren ungewöhnliche Anmeldungen, doppelte oder veränderte Belege und Missbrauch und blockieren missbräuchliche Netzwerke.
• Verschlüsselung: TLS bei der Übertragung; Verschlüsselung im Ruhezustand durch den Hosting-Anbieter; Authenticator-Secrets verschlüsselt mit AES-256-GCM; Codes und Tokens gehasht mit SHA-256 und einem geheimen Schlüssel.
• Protokollierung: ein nur anhängbares, manipulationssicheres Aktionsprotokoll von Anmeldungen und administrativen Aktionen.
• Widerstandsfähigkeit: verwaltete Datenbank mit Point-in-Time-Wiederherstellung und Backups; Wiederherstellungsverfahren vor dem Start getestet.
• Entwicklung: Code-Review, automatisierte Tests, einschließlich Tests, die sicherstellen, dass ein Unternehmen nicht auf die Daten eines anderen zugreifen kann; Secrets werden aus dem Quellcode herausgehalten.
• Minimierung: keine Werbe-Tracker; KI-Anbieter trainieren nicht mit Kundendaten.