Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen gemäß Art. 28 DSGVO

1. Vertragsgegenstand

(1)  Im Rahmen der Leistungserbringung nach den Allgemeinen Nutzungsbedingungen für die Sleak-Plattform („Hauptvertrag”) ist es erforderlich, dass der Auftragsverarbeiter personenbezogene Daten verarbeitet, für die der Verantwortliche als verantwortliche Stelle im Sinne der datenschutzrechtlichen Vorschriften fungiert („Kundendaten”). Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung der Kundendaten zur Durchführung des Hauptvertrags.

2. Umfang der Beauftragung

(1) Der Auftragsverarbeiter verarbeitet die Kundendaten im Auftrag und nach Weisung des Verantwortlichen i.S.v. Art. 28 DSGVO (Auftragsverarbeitung). Der Verantwortliche bleibt Verantwortlicher im datenschutzrechtlichen Sinn.

(2) Die Einzelheiten der Datenverarbeitung, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die Kundendaten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anlage 1 spezifiziert.

3. Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Kundendaten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Verantwortlichen sind in diesem Vertrag festgelegt. Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus Konfigurationsoptionen innerhalb der Sleak-Plattform zur Verfügung, über die der Verantwortliche die Verarbeitung der Kundendaten im Rahmen des bestimmungsgemäßen Plattformbetriebs anpassen kann. Die Nutzung dieser Konfigurationsoptionen gilt als dokumentierte Weisung im Sinne dieses Vertrags. Darüber hinausgehende Einzelweisungen, die eine Anpassung der Standardleistung des Auftragsverarbeiters erfordern, sind nur verbindlich, soweit sie schriftlich vereinbart und im Hauptvertrag oder einem gesonderten Nachtrag dokumentiert wurden.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen geltende Datenschutzbestimmungen verstoßen.

4. Pflichten des Verantwortlichen

(1) Im Verhältnis der Parteien zueinander ist der Verantwortliche für die Rechtmäßigkeit der erteilten Weisungen und die Zulässigkeit der Verarbeitung der Kundendaten allein verantwortlich. Machen Dritte gegen den Auftragsverarbeiter Ansprüche im Zusammenhang mit der Verarbeitung von Kundendaten nach Maßgabe dieses Vertrags geltend, stellt der Verantwortliche den Auftragsverarbeiter von solchen Ansprüchen frei, soweit diese Ansprüche auf einem Verstoß des Verantwortlichen gegen diesen Vertrag oder anwendbares Recht beruhen.

(2) Der Verantwortliche stellt insbesondere sicher, dass für die Nutzung der Plattform und die Verarbeitung von Inhalten und personenbezogenen Daten eine geeignete Rechtsgrundlage besteht und erforderliche Hinweise, Einwilligungen, Beteiligungen oder Freigaben vorliegen.

(3) Der Verantwortliche unterstützt den Auftragsverarbeiter auf Anforderung in angemessenem Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere durch Bereitstellung der erforderlichen Angaben für das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO sowie bei der Zusammenarbeit mit Aufsichtsbehörden oder sonstigen staatlichen Stellen.

5. Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter wird gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ergreifen, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der Kundendaten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind, um ein dem Risiko angemessenes Schutzniveau für die Kundendaten zu gewährleisten.

(2) Die Parteien vereinbaren die in Anlage 3 aufgeführten technischen und organisatorischen Maßnahmen als zum Zeitpunkt des Vertragsschlusses angemessenes Schutzniveau für die Kundendaten. Dem Auftragsverarbeiter ist es gestattet, technische und organisatorische Maßnahmen während der Laufzeit des Vertrags zu ändern oder anzupassen, solange sie weiterhin den gesetzlichen Anforderungen genügen und das in Anlage 3 insgesamt festgelegte Datenschutzniveau nicht unterschritten wird.

6. Anforderungen an Personal

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Einsatz von Unterauftragsverarbeitern

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, Unterauftragsverarbeiter bei der Verarbeitung von Kundendaten einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen dieser Liste durch das Hinzufügen oder Ersetzen von Unterauftragsverarbeitern mindestens 14 Tage vor dem geplanten Einsatz des neuen Unterauftragsverarbeiters. Die Information erfolgt durch Veröffentlichung auf https://trust.sleak.ai/subprocessors sowie per E-Mail, wenn der Verantwortliche E-Mail-Benachrichtigungen auf dieser Webseite aktiviert hat. Der Verantwortliche ist berechtigt, der beabsichtigten Änderung schriftlich innerhalb von 14 Tagen nach Veröffentlichung der Änderung aus konkreten datenschutzrechtlichen Gründen zu widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Im Fall eines rechtzeitigen und begründeten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Gelingt dies nicht innerhalb von 14 Tagen nach Zugang des Widerspruchs, ist jede Partei berechtigt, den Hauptvertrag und diesen Vertrag mit einer Frist von 30 Tagen zu kündigen.

(3) Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter vertraglich zur Einhaltung von Datenschutzpflichten, die dem Schutzniveau dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Soweit ein Unterauftragsverarbeiter Kundendaten in einem Drittland verarbeitet, stellt der Auftragsverarbeiter sicher, dass ein geeignetes Instrument zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Art. 44 ff. DSGVO vorliegt, etwa durch die Vereinbarung von Standardvertragsklauseln gemäß Art. 46 DSGVO nach dem jeweils geltenden Muster der Europäischen Kommission.

(4) Der Auftragsverarbeiter ist gegenüber dem Verantwortlichen dafür verantwortlich, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt.

8. Internationale Datenübermittlungen

(1) Die Verarbeitung der Kundendaten durch den Auftragsverarbeiter findet grundsätzlich innerhalb der Europäischen Union oder eines Vertragsstaats des Abkommens über den Europäischen Wirtschaftsraum („EWR“) statt. Abhängig von den gebuchten Leistungen, den eingesetzten KI- und Sprachmodellen sowie der technischen Konfiguration der Sleak-Plattform können einzelne Verarbeitungsvorgänge, insbesondere die Verarbeitung von Inferenzanfragen durch bestimmte KI- oder Sprachmodelle, auch in Drittländern stattfinden.

(2) Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Verarbeitungsorte, die eingesetzten Unterauftragsverarbeiter und die anwendbaren Transfermechanismen ergeben sich aus Anlage 2. Die Beauftragung der betreffenden Leistungen auf Grundlage dieses Vertrags und des Hauptvertrags gilt als dokumentierte Weisung des Verantwortlichen hinsichtlich der für die Leistungserbringung erforderlichen Verarbeitung und Übermittlung von Kundendaten.

(3) Wenn Kundendaten durch den Auftragsverarbeiter oder einen Unterauftragsverarbeiter an ein Drittland oder eine internationale Organisation übermittelt oder dort verarbeitet werden, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und ein geeigneter Transfermechanismus zur Gewährleistung eines angemessenen Schutzniveaus besteht. Die Übermittlung erfolgt insbesondere auf Grundlage eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO oder geeigneter Garantien gemäß Art. 46 DSGVO, etwa durch die Vereinbarung von Standardvertragsklauseln nach dem jeweils geltenden Muster der Europäischen Kommission.

9. Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen durch geeignete technische und organisatorische Maßnahmen im Rahmen des Zumutbaren dabei, seiner Pflicht zur Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte gemäß der DSGVO nachzukommen. Zu diesem Zweck stellt der Auftragsverarbeiter dem Verantwortlichen Funktionen innerhalb der Sleak-Plattform zur Verfügung, die es dem Verantwortlichen ermöglichen, typische Betroffenenanfragen selbstständig zu erfüllen.

(2) Der Verantwortliche weist den Auftragsverarbeiter hiermit an, Anfragen betroffener Personen zur Ausübung ihrer Rechte auf (a) Berichtigung von Account- oder Profildaten sowie (b) Deaktivierung oder Löschung des Nutzerkontos und der Daten, die ausschließlich dem Nutzerkonto zugeordnet sind, eigenständig und ohne vorherige Rücksprache mit dem Verantwortlichen umzusetzen, wenn sie direkt beim Auftragsverarbeiter eingehen und die Identität der betroffenen Person mit angemessenen Mitteln verifiziert wurde (z.B. durch die dem Nutzerkonto zugeordnete E-Mail-Adresse).

(3) Soweit beim Auftragsverarbeiter eine Anfrage einer betroffenen Person zur Ausübung ihrer Rechte gemäß der DSGVO eingeht, die nicht vom Auftragsverarbeiter eigenständig bearbeitet wird (insbesondere weil sie rechtliche oder tatsächliche Fragen aufwirft oder über die in Absatz 2 genannten Standardfälle hinausgeht), leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen in diesem Fall auf Anfrage durch geeignete technische und organisatorische Maßnahmen, soweit möglich und erforderlich, bei der Erfüllung seiner Pflichten.

10. Mitteilungs- und Unterstützungspflichten des Auftragsverarbeiters

(1) Im Falle einer Verletzung des Schutzes von personenbezogenen Daten in Bezug auf Kundendaten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Die Mitteilung erfolgt auf Grundlage der dem Auftragsverarbeiter zum Zeitpunkt der Mitteilung zur Verfügung stehenden Informationen; soweit weitere relevante Informationen verfügbar werden, wird der Auftragsverarbeiter diese dem Verantwortlichen ohne unangemessene Verzögerung nachreichen.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen auf dessen Anfrage unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach der DSGVO, soweit die Unterstützung erforderlich und zumutbar ist. Die rechtliche Prüfung, ob und in welchem Umfang eine Melde- oder Benachrichtigungspflicht besteht, obliegt dem Verantwortlichen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen auf dessen Anfrage unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei etwaigen durchzuführenden Datenschutz-Folgenabschätzungen sowie vorherigen Konsultationen von Aufsichtsbehörden, soweit die Unterstützung erforderlich und zumutbar ist. Soweit die Unterstützung einen wesentlichen, über die vertraglich geschuldete Unterstützung hinausgehenden Mehraufwand verursacht, werden die Parteien vorab eine angemessene zusätzliche Vergütung vereinbaren.

11. Datenlöschung

(1) Der Auftragsverarbeiter löscht die Kundendaten spätestens 90 Tage nach Beendigung des Hauptvertrags, sofern nicht eine gesetzliche Verpflichtung des Auftragsverarbeiters zur weiteren Speicherung der Kundendaten besteht. Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung der Kundendaten auf dessen Anfrage.

(2) Der Verantwortliche hat während der Laufzeit des Hauptvertrags sowie bis zur Löschung der Kundendaten gemäß Abs. 1 die Möglichkeit, seine Kundendaten zu exportieren. Der Auftragsverarbeiter stellt hierfür auf Anfrage die dafür vorgesehenen Exportfunktionen bereit.

(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung oder zur Erfüllung gesetzlicher Aufbewahrungspflichten dienen, darf der Auftragsverarbeiter auch nach Vertragsende aufbewahren.

12. Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle Informationen zur Verfügung, die beim Auftragsverarbeiter vorhanden und erforderlich sind, um die Einhaltung der Pflichten nach diesem Vertrag sowie nach Art. 28 DSGVO nachzuweisen.

(2) Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten nach diesem Vertrag sowie nach Art. 28 DSGVO durch den Auftragsverarbeiter zu überprüfen.

(3) Der Nachweis der Einhaltung der Pflichten nach diesem Vertrag sowie nach Art. 28 DSGVO erfolgt in der Regel durch Vorlage eines geeigneten, aktuellen Testats oder Berichts einer unabhängigen Instanz oder eines Prüfberichts im Rahmen einer IT-Sicherheits- oder Datenschutzzertifizierung (z.B. ISO 27001).

(4) Soweit der Verantwortliche einen konkreten und begründeten Verdacht auf einen Verstoß gegen die Pflichten nach diesem Vertrag oder nach Art. 28 DSGVO darlegt, oder die nach Abs. 3 zur Verfügung gestellten Nachweise im Einzelfall keine angemessene Überprüfung ermöglichen, ist der Verantwortliche berechtigt, Inspektionen durchzuführen. Solche Inspektionen erfolgen unter angemessener Berücksichtigung der berechtigten Belange des Auftragsverarbeiters und, soweit möglich, vorrangig durch schriftliche Auskünfte oder Remote-Prüfungen.

(5) Inspektionen sind nur während der üblichen Geschäftszeiten des Auftragsverarbeiters und nach angemessener Vorankündigung zulässig und dürfen die Betriebsabläufe des Auftragsverarbeiters nicht unangemessen beeinträchtigen.

(6) Der Auftragsverarbeiter ist berechtigt, die Offenlegung von Informationen insoweit zu beschränken, als dies erforderlich ist, um die Vertraulichkeit von Daten anderer Kunden, Sicherheitsanforderungen sowie berechtigte Betriebs- und Geschäftsgeheimnisse zu wahren. Beauftragt der Verantwortliche einen Dritten mit der Durchführung einer Inspektion, darf dieser kein Wettbewerber des Auftragsverarbeiters sein und ist vor Durchführung schriftlich auf Vertraulichkeit und Geheimhaltung zu verpflichten.

13. Haftung

Im Verhältnis der Parteien zueinander gelten die Regelungen des Hauptvertrags über die Haftung entsprechend, einschließlich der Haftungsausschlüsse und -begrenzungen. Die zwingenden gesetzlichen Haftungsregelungen in Art. 82 DSGVO bleiben unberührt.

14. Vertragsdauer und Kündigung

Die Laufzeit und Kündigung dieses Vertrags richtet sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Die Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags; dieser Vertrag gilt jedoch bis zum Abschluss der Löschung der Kundendaten fort. Eine isolierte Kündigung dieses Vertrages ist ausgeschlossen.

15. Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden oder eine Lücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und den Anforderungen des Art. 28 DSGVO genügt.

(2) Soweit in diesem Vertrag nichts Abweichendes geregelt ist, gelten die Bestimmungen des Hauptvertrags entsprechend, insbesondere hinsichtlich des anwendbaren Rechts und des Gerichtsstands. Im Fall von Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen zwischen den Parteien, insbesondere dem Hauptvertrag, gehen die Regelungen dieses Vertrags vor.

(3) Nur die deutsche Fassung dieses Vertrages ist bindend. Die englische Übersetzung dient ausschließlich zu Informationszwecken.

Anlage 1:

Zweck, Art und Umfang der Datenverarbeitung

Zweck der Datenverarbeitung:

Bereitstellung der Sleak-Plattform zur KI-gestützten Kompetenz- und Wissensentwicklung gemäß Hauptvertrag.

Art und Umfang der Datenverarbeitung

• Nutzerstammdaten: Namen, E-Mail-Adressen, Rollenbezeichnung und Authentifizierungsdaten von Nutzern
• Inhaltsdaten: Kommunikationsinhalte mit LLMs (z.B. vom Nutzer eingegebene Chat-Nachrichten oder Sprachaufnahmen, hochgeladene Dokumente, geteilte Bildschirminhalte und KI-generierte Antworten); Gesprächstranskripte und Feedbackdaten
• Konfigurationsdaten: Gespeicherte Personas, Scorecards, Initiativen, Programme, und Wissensdatenbanken (soweit in den Instruktionen oder Dokumenten personenbezogene Daten enthalten sind)
• Nutzungsdaten: Session und User ID, nutzerbezogene Metadaten (z.B. Zeitstempel der Konversationen)
• Integrationen: Personenbezogene Daten aus vom Verantwortlichen konfigurierten Integrationen mit Services von Drittanbietern, die über die Sleak-Plattform abgerufen werden

Kategorien betroffener Personen

• Mitarbeiter und sonstige Nutzer des Verantwortlichen, die Zugang zur Sleak-Plattform erhalten (zusammen „Nutzer“)
• Dritte, deren personenbezogene Daten vom Verantwortlichen über Dokumente, Prompts, Aussagen, oder Integrationen in die Sleak-Plattform eingebracht werden.

Anlage 2:

Authorisierte Unterauftragsverarbeiter

Anlage 3:

Technische und organisatorische Maßnahmen des Auftragsverarbeiters

(English convenience translation below)

Die technischen und organisatorischen Maßnahmen werden von Sleak in Übereinstimmung mit Art. 32 DSGVO umgesetzt. Sie werden von Sleak entsprechend der Machbarkeit und dem Stand der Technik kontinuierlich weiterentwickelt und auf ein höheres Sicherheits- und Schutzniveau gebracht. Zu dem hohen Sicherheitsniveau trägt auch die ISO 27001-Zertifizierung bei.

1. Vertraulichkeit

1.1 Physische Zugangskontrolle:

Maßnahmen zur Verhinderung des unbefugten physischen Zugangs zu Bereichen, in denen personenbezogene Daten verarbeitet werden. Sleak betreibt keine eigenen Serverräume; die Beschäftigten arbeiten ausschließlich remote oder in angemieteten Coworking-Spaces. Die produktive Datenverarbeitung erfolgt ausschließlich in zertifizierten Cloud-Infrastrukturen (siehe Anlage 2).

1.2 Logische Zugangskontrolle:

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

1.3 Berechtigungskontrolle:

Maßnahmen, die sicherstellen, dass Berechtigte nur auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können.

1.4 Trennungskontrolle:

Maßnahmen, die sicherstellen, dass für unterschiedliche Zwecke erhobene Daten getrennt verarbeitet werden.

1.5 Pseudonymisierung:

Verarbeitung in einer Weise, dass Daten ohne zusätzliche, getrennt aufbewahrte Informationen keiner Person zugeordnet werden können (Art. 32 Abs. 1 lit. a DSGVO).

1.6 Verschlüsselung:

Maßnahmen, die sicherstellen, dass Daten im Ruhezustand und bei der Übertragung für Unbefugte nicht lesbar sind.

2. Integrität

2.1 Weitergabe-/Übertragungskontrolle:

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der Übertragung und beim Transport nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können.

2.2 Eingabekontrolle:

Maßnahmen, mit denen nachträglich überprüft werden kann, ob und von wem Daten eingegeben, verändert oder gelöscht wurden.

2.3 Entwicklungs-, Change- und Patchmanagement:

Maßnahmen zur Sicherstellung der Integrität im Software-Entwicklungs- und Deployment-Prozess.

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle:

Maßnahmen, die personenbezogene Daten gegen zufällige Zerstörung oder Verlust schützen.

3.2 Wiederherstellbarkeit (Back-up):

Maßnahmen zur raschen Wiederherstellung der Verfügbarkeit von und des Zugangs zu personenbezogenen Daten nach einem Zwischenfall.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

4.1 Datenschutz-Management:

Verfahren und Dokumentation zur Gewährleistung der fortlaufenden Einhaltung der Datenschutzvorschriften.

4.2 Schwachstellen- und Patchmanagement:

Proaktive Maßnahmen zur Identifikation, Bewertung und Behebung von Sicherheitsschwachstellen.

4.3 Vorfallsreaktionsmanagement:

Maßnahmen zur Erkennung, Meldung und Bearbeitung von Sicherheits- und Datenschutzvorfällen.

4.4 Datenschutz durch Technikgestaltung und Voreinstellungen:

Maßnahmen nach Art. 25 DSGVO zur Wahrung der Grundsätze „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“.

4.5 Auftragskontrolle (Unterauftragnehmer):

Maßnahmen, die sicherstellen, dass im Auftrag verarbeitete personenbezogene Daten nur weisungsgemäß und durch sorgfältig ausgewählte Unterauftragnehmer verarbeitet werden.

5. Organisation und Datenschutz bei Sleak

Sleak hat sich in seiner Qualitäts-, Risiko- und Compliance-Richtlinie u.a. zum Ziel gesetzt, seinen Kunden die Produkte und Dienstleistungen auf dem höchstmöglichen Niveau der Informationssicherheit in Einklang mit den gesetzlichen Vorschriften bereitzustellen.

Die Mitarbeiter werden kontinuierlich im Bereich des Datenschutzes informiert und geschult. Darüber hinaus sind alle Mitarbeiter vertraglich auf den Datenschutz und die Vertraulichkeit verpflichtet. Externe Personen, die im Rahmen ihrer Tätigkeit für Sleak mit personenbezogenen Daten in Berührung kommen können, werden vor Aufnahme ihrer Tätigkeit durch ein sogenanntes NDA (Non-Disclosure Agreement) zur Geheimhaltung und Vertraulichkeit sowie zur Einhaltung des Datenschutzes verpflichtet.