Zusatzvereinbarung zur Datenverarbeitung

Parteien. „Kunde“: die im Auftragsformular bezeichnete Organisation (Verantwortlicher). „SkillCort“: SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (Auftragsverarbeiter). Diese Zusatzvereinbarung zur Datenverarbeitung („DPA“) wird in den Vertrag zwischen dem Kunden und SkillCort einbezogen und gilt ab dem Wirksamkeitsdatum des Vertrags.

1. Gegenstand, Dauer, Art und Zweck

SkillCort verarbeitet personenbezogene Daten im Auftrag des Kunden, um die SkillCort-Assessment-Plattform bereitzustellen: Bereitstellung von Assessments an Bewerbende, Erfassung von Antworten und Arbeitsproben-Ergebnissen, vom Kunden konfiguriertes optionales Proctoring, Bewertung und Berichterstattung. Die Verarbeitung dauert für die Laufzeit des Vertrags zuzüglich des Löschzeitraums nach Abschnitt 8.

2. Kategorien betroffener Personen und personenbezogener Daten

• Betroffene Personen: vom Kunden eingeladene Bewerbende und Teilnehmende; Personalnutzende des Kunden.
• Personenbezogene Daten: Identitäts- und Kontaktdaten (Name, E-Mail); Assessment-Antworten, hochgeladene Dateien und Arbeitsproben-Ergebnisse; technische Daten (IP-Adresse, Browser/Gerät, Zeitstempel); Bewertungsergebnisse und Entscheidungsdatensätze; sofern vom Kunden aktiviert, Proctoring-Daten (Kamerafotos/-video, Bildschirmaufnahmen/-aufzeichnungen, verhaltensbezogene Integritätsereignisse).
• Besondere Kategorien: keine erhoben — Assessments dürfen nicht darauf ausgelegt sein, Daten besonderer Kategorien hervorzurufen (Nutzungsbedingungen §5). Aktiviert der Kunde die Identitätsprüfung, werden das Selfie der bewerbenden Person aus der Sitzung, das Bild des Ausweisdokuments und ein etwaiges optional von der Organisation bereitgestelltes Referenzfoto zum nebeneinander erfolgenden Vergleich durch eine autorisierte Person verarbeitet, mit gesonderter ausdrücklicher Einwilligung der bewerbenden Person. Es findet kein automatisierter Gesichtsabgleich, keine Galeriesuche und kein Abgleich über andere Bewerbende hinweg statt, es wird keine biometrische Gesichtsvorlage gespeichert, und eine namentlich benannte prüfende Person hält die Identitätsentscheidung fest. Der Kunde erkennt an, dass Kamera-/Mikrofonaufzeichnungen Bild und Stimme einer Person enthalten, und wird die Anforderungen an besondere Kategorien in seiner Rechtsordnung bewerten.

3. Dokumentierte Weisungen

SkillCort verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden (der Vertrag, diese DPA und die Konfiguration des Kunden in der Plattform — einschließlich der aktivierten Proctoring-Funktionen und der Aufbewahrungsfrist für Proctoring-Daten), es sei denn, dies ist gesetzlich vorgeschrieben; in diesem Fall informiert SkillCort den Kunden vor der Verarbeitung, sofern das Gesetz dies nicht untersagt. SkillCort informiert den Kunden, wenn eine Weisung nach eigener Einschätzung gegen das anwendbare Datenschutzrecht verstößt.

4. Vertraulichkeit und Personal

Zur Verarbeitung personenbezogener Daten befugte Personen sind zur Vertraulichkeit verpflichtet und greifen nach dem Kenntnis-nur-wenn-nötig-Grundsatz, dem Prinzip der geringsten Rechte und rollenbasiert auf Daten zu.

5. Sicherheit (Art. 32)

SkillCort setzt geeignete technische und organisatorische Maßnahmen um, darunter: Verschlüsselung bei der Übertragung und im Ruhezustand; Mandantentrennung; rollenbasierte Zugriffskontrollen; nicht öffentliche Speicherung von Proctoring-Medien; tägliche Backups; ausschließlich anfügende Prüfhistorie für Bewertungen und Entscheidungen; automatisierte Löschung von Proctoring-Medien und Ereignissen mit Integritätssignalen am Ende der konfigurierten Aufbewahrungsfrist für Medien. Für Entscheidungen der Identitätsprüfung ohne Medien und für Prüfdetails gilt die gesonderte Frist für Assessment-Daten. Eine aktuelle Beschreibung der Maßnahmen ist unter skillcort.com/trust abrufbar.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die unter skillcort.com/legal/subprocessors aufgeführten Unterauftragsverarbeiter (Anhang 1). SkillCort teilt dem Kunden beabsichtigte Hinzufügungen oder Auswechslungen mindestens 30 Tage im Voraus mit; der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen, woraufhin die Parteien eine Lösung suchen und der Kunde den betroffenen Dienst kündigen kann, falls keine gefunden wird. SkillCort erlegt Unterauftragsverarbeitern datenschutzrechtliche Pflichten auf, die nicht hinter dieser DPA zurückbleiben, und bleibt für deren Leistung verantwortlich.

SkillCort führt mindestens einmal alle zwölf (12) Monate sowie nach jeder wesentlichen Änderung, jedem bestätigten Sicherheitsvorfall oder jedem sonstigen Ereignis, das das Datenschutzrisikoprofil des Unterauftragsverarbeiters vernünftigerweise berührt, eine dokumentierte Überprüfung jedes wesentlichen Unterauftragsverarbeiters durch; der aktuelle Prüfnachweis wird im Compliance-Register für Anbieter von SkillCort geführt.

7. Internationale Übermittlungen

Die Plattformdaten werden in der EU (Frankfurt) gehostet. Für den Betrieb des Dienstes sind die Daten aus den USA durch SkillCort (ein US-Unternehmen) zugänglich, und transaktionale E-Mail wird in den USA verarbeitet. Übermittlungen erfolgen: (a) für Daten aus der EU/dem EWR — auf Grundlage der Standardvertragsklauseln (Modul Zwei: Verantwortlicher → Auftragsverarbeiter sowie Modul Drei, soweit einschlägig), die nach Vereinbarung der Parteien Bestandteil dieser DPA sind, gestützt auf eine Folgenabschätzung für die Übermittlung und ergänzende Maßnahmen; (b) für dem türkischen Recht unterliegende Daten — auf Grundlage des von der türkischen Datenschutzbehörde nach Art. 9 des Gesetzes Nr. 6698 veröffentlichten Standardvertrags, der von den Parteien mit dem Auftragsformular für die Türkei betreffende Verarbeitung geschlossen und der Behörde innerhalb von fünf Werktagen angezeigt wird.

8. Löschung und Rückgabe

Nach Kündigung oder Ablauf können die Kundendaten bis zu 30 Tage lang verfügbar bleiben, damit der Kunde den Datenexport abschließen kann. Nach Ablauf dieses Zeitraums löscht SkillCort die Daten aus den aktiven Produktivsystemen; Restkopien in verschlüsselten Backups werden im gewöhnlichen Backup-Zyklus innerhalb von höchstens 90 Tagen gelöscht oder überschrieben. Nach anwendbarem Recht erforderliche Aufzeichnungen sowie Aufzeichnungen, die eng begrenzt zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, sind ausgenommen. Für Sicherheits-, Zugriffs- und Prüfprotokolle gelten die Aufbewahrungsfristen der Datenschutzerklärung, getrennt von den Backups. Proctoring-Medien — einschließlich Identitätsaufnahmen und der in der Prüfung verwendeten Fassungen des Referenzfotos — und Ereignisse mit Integritätssignalen werden unabhängig vom Vertragsstatus automatisch am Ende der vom Kunden konfigurierten Aufbewahrungsfrist für Medien gelöscht (Voreinstellung 90 Tage). Der Kunde kann außerdem im Produkt eine frühere Löschung der auf einen Versuch bezogenen Medien und Ereignisse mit Integritätssignalen auslösen. Für Entscheidungen der Identitätsprüfung ohne Medien, Angaben zur namentlich benannten prüfenden Person, Notizen und Verweise auf gelöschte Medien gilt die gesonderte Aufbewahrungsfrist für Assessment-Daten.

9. Unterstützung

Unter Berücksichtigung der Art der Verarbeitung unterstützt SkillCort den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (DSGVO Art. 12–23; KVKK Art. 11) sowie bei den Pflichten des Kunden nach DSGVO Art. 32–36 (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, vorherige Konsultation). Anfragen betroffener Personen, die SkillCort unmittelbar erreichen, werden unverzüglich an den Kunden weitergeleitet.

10. Verletzung des Schutzes personenbezogener Daten

SkillCort benachrichtigt den Kunden unverzüglich, nachdem SkillCort von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die Daten des Kunden betrifft, und stellt die Informationen bereit, die für die Meldepflichten des Kunden vernünftigerweise erforderlich sind (DSGVO Art. 33–34; KVKK Art. 12(5)).

11. Audits

SkillCort stellt die Informationen bereit, die zum Nachweis der Einhaltung dieser DPA erforderlich sind, und ermöglicht sowie unterstützt Audits einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden. Der Kunde kann seine Auditrechte höchstens einmal in einem Zeitraum von zwölf (12) Monaten ausüben, außer nach einer bestätigten Verletzung des Schutzes personenbezogener Daten, auf Verlangen einer zuständigen Aufsichtsbehörde oder bei begründeten Anhaltspunkten für eine wesentliche Nichteinhaltung dieser DPA. Audits erfordern eine schriftliche Ankündigung mindestens 30 Tage im Voraus, unterliegen Vertraulichkeitszusagen, sind so durchzuführen, dass Störungen des Betriebs von SkillCort möglichst gering bleiben, und umfassen niemals Zugriff auf Daten anderer Kunden. Die Parteien stützen sich zunächst auf vorhandene unabhängige Prüfberichte und die veröffentlichte Sicherheitsdokumentation von SkillCort, soweit diese den Umfang vernünftigerweise abdecken; Kosten übermäßiger oder maßgeschneiderter Auditanforderungen, die darüber hinausgehen, trägt der Kunde.

12. Haftung und Rangfolge

Die Haftung richtet sich nach dem Vertrag. Bei Widersprüchen zwischen dem Vertrag und dieser DPA hinsichtlich der Verarbeitung personenbezogener Daten geht diese DPA vor; geschlossene Standardvertragsklauseln und Standardverträge gehen im Umfang des Widerspruchs beiden vor.

KVKK-Anhang

Ist der Kunde in der Türkei niedergelassen oder befinden sich Bewerbende in der Türkei, schließen die Parteien zusätzlich den türkischen Standardvertrag zum Datenschutz (Auftragsverarbeitungsverhältnis) und reichen ihn innerhalb von fünf Werktagen bei der Behörde ein. Die Pflicht zur aydınlatma (Informationshinweis) gegenüber Bewerbenden liegt beim Kunden als Verantwortlichem, entweder mit einem eigenen Hinweis oder mit der von SkillCort bereitgestellten Vorlage.

Für den Abschluss dieser DPA für Ihre Organisation oder für unterzeichnete Ausfertigungen und Übermittlungsunterlagen: privacy@skillcort.com.