Auftragsverarbeitung

1. Parteien, Gegenstand und Dauer

Auftragnehmer ist Promotion Sales DOOEL, Hristo Uzunov 1, 6000 Ohrid, Republik Nordmazedonien. Auftraggeber ist die im jeweiligen Vertrag eindeutig bezeichnete Agentur beziehungsweise das dort bezeichnete Unternehmen. Datenschutz- und Weisungskontakt des Auftragnehmers: kontakt@promiqo.de, Telefon +49 611 94916285.

Diese Bedingungen betreffen ausschließlich die Verarbeitung, bei der PROMIQO personenbezogene Daten nach dokumentierter Weisung des Auftraggebers verarbeitet. Eigene Zwecke des Plattformbetreibers und die eigenverantwortliche Bewerberauswahl der Agentur sind gesondert zu beurteilen. Eine bloße Benennung als Auftragsverarbeitung ändert die tatsächliche Rollenverteilung nicht.

Der konkrete Hauptvertrag und die vollständigen Anlagen 1 bis 3 bestimmen Gegenstand, Art, Zweck, Umfang und Dauer der Verarbeitung. Die Vereinbarung ist vor Beginn der Auftragsverarbeitung dokumentiert in schriftlicher oder elektronischer Form abzuschließen. Der bloße Aufruf dieser Seite schließt keinen AV-Vertrag ab.

Auf promiqo.de werden derzeit keine echten Agenturaufträge zur Personal- oder Einsatzverwaltung durchgeführt. Eine Verarbeitung im Auftrag beginnt erst, wenn die konkrete Leistungsvereinbarung, die Anlagen, erforderliche Schutzmaßnahmen und gegebenenfalls internationale Übermittlungsgrundlagen vollständig feststehen.

2. Daten und betroffene Personen

Je nach ausdrücklich beauftragter Funktion kann die Verarbeitung insbesondere das Erfassen, Ordnen, Speichern, Bereitstellen, Übermitteln, Exportieren und Löschen von Bewerbungs- oder Einsatzdaten umfassen. Mögliche Betroffenengruppen sind Bewerber, Talente, eingesetzte Personen sowie Ansprechpartner und Teammitglieder der Agentur.

Anlage 1 bezeichnet abschließend die benötigten Datenkategorien, etwa Stamm- und Kontaktdaten, Qualifikationen, Verfügbarkeit, Bewerbungs- und Einsatzangaben sowie zugehörige Kommunikation und erforderliche Unterlagen. Daten dürfen nur im vereinbarten Umfang verarbeitet werden.

Eine allgemeine Verarbeitung besonderer Kategorien nach Art. 9 DSGVO oder strafrechtlicher Daten nach Art. 10 DSGVO ist nicht umfasst. Zusätzliche Module, insbesondere Standort-Check-in oder Zeiterfassung, sind nicht automatisch Bestandteil des Auftrags. Ihre Daten, Zwecke, Rechtsgrundlagen und Risiken müssen vor einer Einbeziehung gesondert festgelegt werden.

3. Weisungen und Pflichten des Auftraggebers

Der Auftraggeber verantwortet die Rechtmäßigkeit der beauftragten Verarbeitung, insbesondere ihre Rechtsgrundlagen, Informationspflichten und erforderlichen Beteiligungsrechte. Er dokumentiert seine Weisungen und benennt die dazu berechtigten Personen in Anlage 1.

Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich einer etwaigen Übermittlung in Drittländer. Soweit Unionsrecht oder mitgliedstaatliches Recht eine Verarbeitung verlangt, informiert er den Auftraggeber vorab, sofern dies rechtlich zulässig ist.

Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich. Die betroffene Verarbeitung wird bis zur Klärung ausgesetzt, soweit dies zur Vermeidung eines Verstoßes erforderlich ist. Mündliche dringende Weisungen werden unverzüglich dokumentiert.

4. Vertraulichkeit und Sicherheit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Berechtigungen werden auf die zur Aufgabenerfüllung erforderlichen Zugriffe beschränkt.

Der Auftragnehmer trifft dem Risiko angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die für den konkreten Auftrag verbindlichen Maßnahmen sind in Anlage 2 zu dokumentieren. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

Für die gegenwärtige Bereitstellung von promiqo.de sind HTTPS, geschützte Sitzungscookies und die Trennung von Haupt- und Testumgebung nachgewiesen. Daraus folgen keine pauschale Zusicherung einer Verschlüsselung sämtlicher gespeicherter Daten, einer Zertifizierung oder eines getesteten Backup-Verfahrens. Vor Aufnahme echter Auftragsverarbeitung ist Anlage 2 für die tatsächlich genutzte Umgebung vollständig zu belegen.

5. Weitere Auftragsverarbeiter und Übermittlungen

Der Auftragnehmer setzt weitere Auftragsverarbeiter nur nach vorheriger gesonderter oder allgemeiner dokumentierter Genehmigung des Auftraggebers ein. Bei einer allgemeinen Genehmigung informiert er rechtzeitig vor einer beabsichtigten Hinzuziehung oder Ersetzung, damit der Auftraggeber vor deren Einsatz begründeten Einspruch erheben kann. Informationsweg und ausreichende Frist werden in Anlage 3 vereinbart.

Dem weiteren Auftragsverarbeiter werden mindestens dieselben Datenschutzpflichten auferlegt. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung dieser Pflichten verantwortlich. Die Veröffentlichung einer Dienstleisterangabe auf einer Website ist für sich genommen keine Genehmigung.

Anlage 3 benennt jeden genehmigten Dienstleister mit genauer Vertragsgesellschaft, Anschrift, Aufgabe, Datenkategorien, Verarbeitungsorten und erforderlicher Übermittlungsgrundlage. Der aktuelle Websitebetrieb nutzt einen IONOS-Server. Damit ist weder die Genehmigung dieser Infrastruktur für einen zukünftigen Agenturauftrag noch ein vollständiges Unterauftragnehmerverzeichnis festgestellt.

Promotion Sales DOOEL sitzt in Nordmazedonien. Zugriffe und Verarbeitung von dort sind bei der konkreten Rollen- und Transferprüfung zu berücksichtigen. Diese Vereinbarung ersetzt keine gegebenenfalls erforderlichen Garantien nach Art. 44 ff. DSGVO. Insbesondere werden Standardvertragsklauseln nicht durch den bloßen Aufruf dieser Seite abgeschlossen.

6. Unterstützung und Rechte betroffener Personen

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanfragen. Er leitet Anfragen aus dem Verantwortungsbereich des Auftraggebers ohne unangemessene Verzögerung weiter und beantwortet sie nur nach Weisung oder gesetzlicher Pflicht.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt er den Auftraggeber außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsmaßnahmen, Meldungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

7. Datenschutzverletzungen

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Auftraggeber unverzüglich. Die Meldung enthält die verfügbaren Informationen zur Art des Vorfalls, den betroffenen Personen und Daten, wahrscheinlichen Folgen sowie ergriffenen oder vorgeschlagenen Maßnahmen. Noch fehlende Angaben werden ohne unangemessene Verzögerung ergänzt.

Der Auftragnehmer unterstützt die Untersuchung, Eindämmung und Dokumentation des Vorfalls. Gesetzliche Meldefristen des Auftraggebers werden dadurch nicht verlängert. Der Kontakt des Auftragnehmers ist kontakt@promiqo.de, telefonisch +49 611 94916285. Ansprechpartner, Vertretung und der vereinbarte Eskalationsweg werden vor Beginn in Anlage 1 festgelegt; eine pauschale Rund-um-die-Uhr-Bereitschaft wird hier nicht zugesichert.

8. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle zur Darlegung der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung. Er ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer.

Berechtigte Sicherheits- und Vertraulichkeitsinteressen anderer Kunden sind zu berücksichtigen, ohne gesetzliche Kontrollrechte auszuschließen. Die Parteien stimmen das Vorgehen angemessen ab. Gesetzliche Untersuchungs- und Kontrollbefugnisse von Aufsichtsbehörden bleiben unberührt.

9. Rückgabe und Löschung

Nach Ende der Verarbeitungsleistungen löscht oder übergibt der Auftragnehmer nach Wahl des Auftraggebers alle im Auftrag verarbeiteten personenbezogenen Daten und löscht vorhandene Kopien, soweit Unionsrecht oder mitgliedstaatliches Recht keine Speicherung verlangt. Eine fortbestehende Pflicht und ihr Umfang werden dem Auftraggeber mitgeteilt.

Exportformat, Übergabeverfahren, Fristen und Nachweis der Löschung werden vor Beginn in Anlage 2 festgelegt. Technisch notwendige Sicherungskopien werden bis zu ihrer Löschung gegen produktive Verwendung gesperrt und nach einem konkret vereinbarten Zyklus gelöscht. Eine Wiederherstellung muss bereits wirksame Löschungen erneut berücksichtigen. Die Erfüllung wird auf Anfrage bestätigt.

10. Verbindliche Anlagen und Abschluss

Anlage 1 – Auftrag und Daten: vollständige Parteien und Hauptvertrag; tatsächlich beauftragte Funktionen; Art und Zweck der Verarbeitung; betroffene Personen und Daten; Beginn und Dauer; tatsächliche Verarbeitungsorte einschließlich administrativer Zugriffe; Weisungs- und Meldekontakte.

Anlage 2 – Sicherheit und Löschung: nachgewiesene Maßnahmen zu Zugriffsschutz, Berechtigungen, Mandantentrennung, Transport- und gegebenenfalls Speicherverschlüsselung, Verfügbarkeit, Wiederherstellung, Protokollierung, regelmäßiger Überprüfung, Datenexport und Löschung. Die Maßnahmen und Fristen müssen zur konkreten Verarbeitung passen.

Anlage 3 – Weitere Auftragsverarbeiter und internationale Übermittlungen: genehmigte Vertragsgesellschaften, Anschriften, Aufgaben, Datenkategorien, Verarbeitungsorte, Genehmigungs- und Änderungsverfahren sowie gegebenenfalls tatsächlich vereinbarte Übermittlungsgrundlagen und ergänzende Schutzmaßnahmen.

Die ausgefüllten Anlagen gehören zum dokumentierten AV-Vertrag. Bei Widersprüchen gehen dessen Datenschutzpflichten für die Auftragsverarbeitung vor. Ohne vollständige Anlagen und wirksamen Abschluss darf keine entsprechende Verarbeitung im Auftrag beginnen. Anfragen hierzu richten Sie an kontakt@promiqo.de.