Datenschutzvertrag und Sicherheitsmaßnahmen

Der Datenschutzvertrag (rechtlich: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO) ist ein Vertrag, der festlegt, wie eine Firma mit Daten umgehen darf, die eine andere Firma ihr anvertraut. Sobald Du Meyster mit echten Kundendaten nutzt, vertraust Du uns diese Daten an, deshalb gibt es diesen Vertrag zwischen Deiner Firma und Meyster.

Warum Du diesen Vertrag brauchst

Die DSGVO erlaubt es nicht, einfach eine Software mit den Daten von Kundinnen und Kunden zu befüllen. Wo eine Firma, hier Meyster, personenbezogene Daten im Auftrag einer anderen Firma verarbeitet, schreibt Art. 28 DSGVO einen schriftlichen Vertrag vor. Er muss Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegen, und die Firma, die verarbeitet, muss nachweisen können, dass sie angemessene technische und organisatorische Maßnahmen, kurz Sicherheitsmaßnahmen, getroffen hat. Ohne diesen Vertrag wäre die Nutzung von Meyster mit echten Kundendaten nicht rechtmäßig, unabhängig davon, wie gut die Software sonst ist.

Was im Datenschutzvertrag steht

Der Datenschutzvertrag legt fest, wie lange der Vertrag läuft (solange Dein Zugang aktiv ist, plus die Aufbewahrungsfristen aus Warum Rechnungen jahrelang aufbewahrt werden müssen), welche Art von Daten verarbeitet wird (Namen, Adressen, Kontaktdaten, Steuerkennzeichen und die Geschäftsbelege, die Meyster für Dich führt), und welche Firmen Meyster dafür selbst beauftragt. Diese Firmen stehen im Auftragsverarbeiter-Register.

Der Datenschutzvertrag regelt außerdem, was passiert, wenn Meyster eine dieser Firmen austauscht oder eine neue hinzunimmt. Meyster muss Dich mindestens vier Wochen vorher informieren. Du hast danach zwei Wochen Zeit, aus einem datenschutzrechtlichen Grund zu widersprechen. Kommt danach keine Einigung zustande, darfst Du den Vertrag außerordentlich kündigen. Widersprichst Du nicht, gilt die Änderung als genehmigt.

Was bei den Sicherheitsmaßnahmen steht

Das Dokument zu den Sicherheitsmaßnahmen beschreibt konkret, wie Meyster Deine Daten schützt:

• Zugriffskontrolle: Jede Anfrage ist angemeldet, und Datenbankregeln (Row Level Security) sorgen dafür, dass ein Mitglied nur die Daten der eigenen Firma lesen und ändern kann.
• Verschlüsselung: Daten sind auf dem Weg zwischen Browser und Server verschlüsselt (TLS), und Sicherungskopien der Datenbank werden verschlüsselt aufbewahrt.
• Sicherung: Die Datenbank wird regelmäßig gesichert.
• Protokollierung: Jede Änderung an einem Geschäftsbeleg landet unveränderbar im Änderungsprotokoll, und auffällige Zugriffsversuche lösen eine interne Prüfung aus.
• Datensparsamkeit und Löschung: Persönliche Daten lassen sich auf Wunsch anonymisieren, siehe Datenauskunft, Export und Löschung.

Was Du selbst tun musst

Der Inhaber Deiner Firma akzeptiert den aktuellen Datenschutzvertrag und die aktuellen Sicherheitsmaßnahmen einmalig im letzten Schritt der Einrichtung, über der Katalog-Auswahl, bevor die Firma Meyster nutzen kann. Ein Admin kann das nicht, selbst wenn er sonst vieles einstellen darf. Solange niemand akzeptiert hat, fehlt der Vertrag, den Art. 28 DSGVO verlangt. Veröffentlicht Meyster eine neue Version, zählt eine frühere Zustimmung nicht mehr, der Inhaber muss dann erneut zustimmen.

Beide Dokumente liest Du jederzeit unter Datenschutzvertrag und Sicherheitsmaßnahmen im Bereich Recht & Daten.