Auftragsverarbeitung (AVV)
Diese Auftragsverarbeitungsvereinbarung (AVV / DPA) beschreibt die Verarbeitung personenbezogener Daten durch cleardeck im Auftrag des Kunden nach Art. 28 DSGVO. Abweichende individuelle Vereinbarungen, Bestellformulare oder separat unterzeichnete AVV-Regelungen gehen vor.
1. Gegenstand und Dauer der Verarbeitung
Gegenstand ist die Bereitstellung von cleardeck zur Verwaltung, Analyse und Auswertung von Immobilieninformationen, Dokumenten, Workspaces, Berichten, Quellen, Ask-/Chat-Funktionen und zugehörigen Support- und Sicherheitsfunktionen. Die Verarbeitung dauert so lange, wie der Kunde cleardeck nutzt oder personenbezogene Daten nach Weisung, Vertrag, gesetzlicher Pflicht oder berechtigter Nachweis-/Sicherheitsanforderung verarbeitet werden.
2. Art, Zweck, Datenkategorien und betroffene Personen
Die Verarbeitung umfasst insbesondere Speichern, Auslesen, Strukturieren, Analysieren, Übermitteln, Anzeigen, Sichern, Löschen und Exportieren von Daten. Zwecke sind Betrieb, Bereitstellung, Dokumentenanalyse, Berichtserstellung, Quellen-/Zitationsanzeige, Ask-/Chat-Funktionen, Support, Fehleranalyse, Sicherheit, Missbrauchsprävention, Abrechnung und vertragliche Administration. Datenkategorien können Account-, Workspace-, Objekt-, Datei- und Nutzungsdaten, hochgeladene Dokumente, extrahierte Inhalte, Analyseergebnisse, Zahlungsmetadaten und Supportdaten umfassen. Betroffene Personen können Nutzer, Ansprechpartner, Mieter, Beschäftigte, Vertragspartner, Dienstleister und sonstige Personen in Kundendokumenten oder Objektinformationen sein.
3. Weisungen und Rollen
cleardeck verarbeitet personenbezogene Kundendaten als Auftragsverarbeiter nach dokumentierten Weisungen des Kunden. Die Produktkonfiguration, Nutzung der Funktionen und übermittelte Supportanfragen gelten als Weisungen, soweit sie mit Vertrag und Gesetz vereinbar sind. cleardeck darf eine Weisung aussetzen oder ablehnen, wenn sie offensichtlich rechtswidrig ist oder Sicherheit, Verfügbarkeit oder Rechte Dritter gefährdet. Für eigene Website-, Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Produktadministrationsdaten kann PCMH Capital UG (haftungsbeschränkt) eigenständig Verantwortlicher sein.
4. Vertraulichkeit
Personen, die bei cleardeck Zugriff auf personenbezogene Kundendaten erhalten können, werden zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Zugriff wird rollenbasiert und nach Erforderlichkeit vergeben. Hierzu kann ein kontrollierter Zugriff berechtigter Mitarbeitender auf Konto- und Workspace-Ansichten zu Betriebs-, Support-, Fehleranalyse- und Sicherheitszwecken gehören; solche Zugriffe werden protokolliert.
5. Technische und organisatorische Maßnahmen
cleardeck setzt angemessene technische und organisatorische Maßnahmen ein, insbesondere Zugriffskontrollen, rollenbasierte Berechtigungen, Transportverschlüsselung, getrennte Arbeitsbereiche, Protokollierung, Backup-/Wiederherstellungsmaßnahmen, sichere Secret-Verwaltung und organisatorische Zugriffsbeschränkungen. Die aktuelle öffentliche Übersicht steht unter Sicherheit & Datenschutz.
6. Unterauftragsverarbeiter
cleardeck darf Unterauftragsverarbeiter einsetzen, soweit dies für Betrieb, Analyse, Hosting, Support, Sicherheit, Zahlung, Produktanalyse oder andere vertragliche Leistungen erforderlich ist. Die aktive Liste steht unter Subprozessoren. cleardeck stellt sicher, dass eingesetzte Unterauftragsverarbeiter geeignete Datenschutzpflichten übernehmen. Änderungen der Unterauftragsverarbeiter, insbesondere die Hinzunahme eines neuen Unterauftragsverarbeiters, werden mindestens 14 Tage vor dessen Einsatz über diese datierte Liste bekannt gegeben, die die maßgebliche Bezugsquelle für die jeweils aktiven Unterauftragsverarbeiter ist. Der Kunde kann der Hinzunahme innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall suchen die Parteien eine angemessene Lösung, und kommt keine Lösung zustande, kann der Kunde den betroffenen Vertrag kündigen.
7. Drittlandtransfers
Soweit personenbezogene Daten außerhalb der EU/des EWR verarbeitet werden oder Anbieter einer nicht-europäischen Unternehmensgruppe angehören, erfolgen Übermittlungen auf Grundlage geeigneter Garantien wie Standardvertragsklauseln, EU-US Data Privacy Framework, ergänzenden Schutzmaßnahmen oder anderen zulässigen Mechanismen nach Art. 44 ff. DSGVO. Die jeweilige Transferlage ist in der Subprozessorenliste beschrieben.
8. Unterstützung, Meldepflichten, Löschung, Rückgabe und Prüfungen
cleardeck unterstützt den Kunden angemessen bei Anfragen betroffener Personen, Datenschutz-Folgenabschätzungen, Sicherheitsvorfällen, Löschung, Rückgabe, Export und Nachweisen zur Einhaltung dieser AVV, soweit dies nach Art, Umfang und technischer Verfügbarkeit der Verarbeitung möglich ist. Gesetzliche Aufbewahrungspflichten, Nachweiszwecke, Sicherheitslogs, Backup-Zyklen und Drittanbieterpflichten, insbesondere für Zahlungs- und Rechnungsdaten, bleiben unberührt. cleardeck unterrichtet den Kunden unverzüglich, in der Regel ohne unangemessene Verzögerung nach Kenntnis, über Verletzungen des Schutzes personenbezogener Kundendaten und unterstützt bei Pflichten nach Art. 33 und 34 DSGVO. Der Kunde kann die Einhaltung dieser AVV überprüfen; cleardeck stellt hierzu vorrangig Auskünfte, aktuelle Nachweise und Dokumentation, etwa zu technischen und organisatorischen Maßnahmen, bereit. Reichen diese nicht aus, sind Vor-Ort-Prüfungen mit angemessener Vorankündigung von in der Regel mindestens 30 Tagen, höchstens einmal jährlich und zusätzlich bei nachgewiesenem Anlass wie einem Sicherheitsvorfall oder einer behördlichen Anforderung, während der üblichen Geschäftszeiten, ohne unangemessene Betriebsbeeinträchtigung, unter Vertraulichkeit und unter Wahrung der Rechte und Daten anderer Kunden zulässig; die angemessenen Kosten einer solchen Prüfung trägt der Kunde.
9. Kontakt
Datenschutz- und AVV-Anfragen richten Sie bitte an contact@cleardeck.ai.