1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen TRIPORYX Business nach den AGB für Unternehmen bereit und verarbeitet dabei personenbezogene Daten im Auftrag. Dieser Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, bis alle Daten nach Abschnitt 8 gelöscht sind.
2. Art, Zweck und Umfang der Verarbeitung
- Zweck: Verwaltung des Firmenkontos und seiner Mitglieder, Einreichen, Prüfen, Freigeben und Exportieren von Reisekostenabrechnungen, verschlüsselter Abgleich der Reisedaten der Reisenden zwischen ihren Geräten, Versand von Einladungen und Benachrichtigungen.
- Art der Verarbeitung: Speichern, Übermitteln an die berechtigten Mitglieder, Sichern und Löschen.
- Arten von Daten: E-Mail-Adressen, Rollen und Status der Mitglieder, Zeitpunkte von Einladung, Anmeldung und Bearbeitung, Gerätebezeichnungen der Sitzungen; Reisen, Belege und Belegfotos, Dokumente (etwa Pass- oder Visakopien), Kommentare und die Bezeichnung der Einreichungen (Ziel und Zeitraum) – diese ausschließlich Ende-zu-Ende-verschlüsselt, für den Auftragsverarbeiter nicht lesbar; Status und Bearbeitungsverlauf der Einreichungen.
- Betroffene Personen: Beschäftigte und andere Reisende des Verantwortlichen, Ansprechpartner des Verantwortlichen.
Die Vertragsdaten des Verantwortlichen selbst (Firmenname, Anschrift, USt-IdNr., Rechnungsadresse, Zahlungen) verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher zur Vertragsabwicklung; dafür gilt die Datenschutzerklärung.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind dieser Vertrag, die AGB und die Einstellungen und Aktionen der Admin-Konten im Firmenkonto. Weitere Weisungen erteilt der Verantwortliche in Textform an kontakt@triporyx.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
4. Pflichten des Auftragsverarbeiters
- Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
- Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
- Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Da Reisedaten Ende-zu-Ende-verschlüsselt sind, erfüllt der Verantwortliche Auskunft und Herausgabe dieser Daten über die Funktionen des Firmenkontos.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
- Er verarbeitet die Daten ausschließlich in Deutschland. Eine Übermittlung in Drittländer findet durch ihn nicht statt.
- Er stellt dem Verantwortlichen die Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach vorheriger Anmeldung mit angemessener Frist, in der Regel durch Selbstauskunft.
5. Unterauftragsverarbeiter
Der Verantwortliche genehmigt diese Unterauftragsverarbeiter:
| Unternehmen | Leistung | Ort |
|---|---|---|
| netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe | Server und Rechenzentrum (Speicherung, Sicherung) | Deutschland |
| STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin | Versand von E-Mails (Anmeldecodes, Einladungen, Benachrichtigungen) | Deutschland |
Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 14 Tage vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall zum Wechsel kündigen. Der Auftragsverarbeiter vereinbart mit Unterauftragsverarbeitern Pflichten, die diesem Vertrag entsprechen. Der Zahlungsdienst Stripe verarbeitet Zahlungsdaten des Verantwortlichen als eigener Verantwortlicher und ist kein Unterauftragsverarbeiter.
6. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Information der Betroffenen verantwortlich. Er hält Rollen und Mitglieder aktuell und schützt die Zugänge seiner Konten.
7. Haftung
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB für Unternehmen.
8. Löschung und Rückgabe
Während der Laufzeit kann der Verantwortliche seine Daten jederzeit über die Exportfunktionen herunterladen. Nach Vertragsende stehen sie 90 Tage zur Verfügung, danach löscht der Auftragsverarbeiter das Firmenkonto mit allen Einreichungen; Sicherungen werden innerhalb von 14 Tagen überschrieben. Auf Wunsch des Verantwortlichen löscht er früher.
Anlage: Technische und organisatorische Maßnahmen
- Verschlüsselung: Reisen, Belege, Dokumente, Einreichungen und Kommentare werden auf den Geräten der Mitglieder mit AES-256-GCM verschlüsselt. Die Schlüssel entstehen auf den Geräten; der Server speichert nur verpackte Schlüssel, die er nicht öffnen kann. Die Übertragung erfolgt ausschließlich über HTTPS (TLS, HSTS).
- Zugang und Zugriff: Anmeldung ohne Kennwort über einmalige, 15 Minuten gültige Codes; Sitzungskennungen liegen nur als Hashwert vor; Begrenzung von Anmeldeversuchen. Rollen trennen Reisende, Freigabe und Admin. Auf den Server greifen nur der Geschäftsführer und von ihm beauftragte Personen per SSH-Schlüssel zu.
- Trennung und Härtung: eigener Systembenutzer und eigene Datenbank je Anwendung, Dienste mit eingeschränkten Rechten (systemd: NoNewPrivileges, ProtectSystem, ProtectHome).
- Protokolle: Zugriffsprotokolle ohne vollständige IP-Adressen und ohne Anmeldekopfzeilen, Aufbewahrung 14 Tage.
- Verfügbarkeit: tägliche Sicherung der Datenbank und der verschlüsselten Dateien, Aufbewahrung 14 Tage; Rechenzentrum der netcup GmbH in Deutschland.
- Datensparsamkeit: keine Cookies, kein Tracking, Löschfristen nach Abschnitt 8 und der Datenschutzerklärung.