Zwei verschiedene Fragen
Diese Seite handelt von IHREN Daten, wenn wir für Sie arbeiten. Was wir mit den Daten von Besuchern dieser Website tun, steht in unserer Datenschutzerklärung.
Wenn wir ein System für Sie bauen oder prüfen, sind Sie Verantwortlicher und wir Auftragsverarbeiter. Sie entscheiden, welche personenbezogenen Daten es gibt und warum; wir handeln auf Ihre Weisung und auf sonst nichts.
Bevor die Arbeit beginnt
Wir schließen einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Er benennt Datenkategorien und Zweck, legt die Dauer fest, verpflichtet uns zur Vertraulichkeit und regelt, was am Ende geschieht: Rückgabe oder Löschung, nach Ihrer Wahl.
Wir bitten auch dann darum, wenn das Projekt keine personenbezogenen Daten zu betreffen scheint. Systeme bekommen sie meist doch, und ein zu Beginn unterzeichneter Vertrag ist eine Formalität, ein späterer eine Verhandlung.
Wie wir mit Ihren Daten arbeiten
Am liebsten halten wir Ihre Produktivdaten gar nicht. Das meiste unserer Arbeit lässt sich gegen ein Schema, einen synthetischen Datensatz oder einen anonymisierten Auszug erledigen — das schlagen wir zuerst vor.
Wo echte Daten unvermeidlich sind, bleiben sie nach Möglichkeit in IHRER Umgebung: wir arbeiten in Ihren Konten, unter Ihrem Logging, mit ablaufenden Zugriffen. Müssen sie zu uns, sind sie bei Übertragung und Speicherung verschlüsselt, der Zugriff ist auf die benannten Personen beschränkt, und gelöscht wird nach dem Plan im Vertrag.
Wo sie liegen
Unsere eigenen Systeme stehen innerhalb der Europäischen Union. Wir übermitteln keine personenbezogenen Daten nach außerhalb, ohne es Ihnen vorher zu sagen und ohne Rechtsgrundlage.
Wir führen eine aktuelle Liste unserer Unterauftragsverarbeiter und geben sie auf Anfrage heraus. Bevor wir einen hinzunehmen, sagen wir es Ihnen, damit Sie vorher widersprechen können.
Unterauftragsverarbeiter und Ihre Lieferanten
Bauen wir auf Infrastruktur, die Sie bereits nutzen, gelten Ihre Verträge mit diesen Anbietern und wir arbeiten darin. Bringen wir etwas mit, steht es vor der Nutzung im Vertrag.
Wenn etwas schiefgeht
Wir melden es unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem uns eine Verletzung des Schutzes Ihrer Daten bekannt wird — früher, als die DSGVO es von uns verlangt, weil Ihre eigene 72-Stunden-Frist zur Aufsichtsbehörde beginnt, sobald Sie es wissen.
Sie erhalten, was wir wissen, was wir noch nicht wissen, was wir tun und was wir Ihnen empfehlen. Auf ein vollständiges Bild warten wir vor der ersten Nachricht nicht.
Ihre eigenen Pflichten
Verlangt jemand von Ihnen Auskunft, Berichtigung, Löschung oder eine Kopie, helfen wir Ihnen, innerhalb Ihrer Frist zu antworten — für die erste Anfrage im Monat kostenlos.
Wir helfen auch, Systeme so zu entwerfen, dass solche Anfragen billig zu beantworten sind. Das ist eine Entwurfsentscheidung am Anfang, keine Funktion unter Zeitdruck.
Fragen
Schreiben Sie an [email protected]. Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen; es antwortet jemand, der die Antwort kennt.