Wie RessursAgent personenbezogene Daten im Auftrag Ihrer Organisation verarbeitet und schützt. Lesen Sie die vollständige Vereinbarung und ihre Anhänge in Ihrer gewählten Sprache.
Veröffentlichte VereinbarungVersion 1.0 · 14. Oktober 2026
Alle Sprachversionen beziehen sich auf die Vereinbarungsversion 1.0. Englisch ist die maßgebliche Vertragssprache und hat Vorrang, wenn eine Übersetzung in der Bedeutung abweicht. Lesen Sie die englische Version ↗
Dies ist die veröffentlichte Standard-Datenverarbeitungsvereinbarung von RessursAgent. Sie wird für einen Kunden verbindlich, wenn diese Version in eine Dienstleistungsvereinbarung aufgenommen oder anderweitig schriftlich, einschließlich elektronisch, akzeptiert wird. Die reine Veröffentlichung ändert keine bestehende Kundenvereinbarung. Die Kunden- und Servicedetails werden durch die angenommene Bestellung und die Regelungen in Anhang D bereitgestellt.
Diese Bedingungen decken die Verarbeitung personenbezogener Daten in RessursAgent ab. Die Anhänge definieren den Verarbeitungsumfang, Sicherheitsmaßnahmen, Lieferanten und kundenspezifische Vereinbarungen.
Der Auftragsverarbeiter ist RessursAgent AS, norwegische Organisationsnummer 935 854 067, Gydas vei 22, 0363 Oslo, Norwegen. Datenschutzkontakt: privacy@ressursagent.no. Der Verantwortliche ist der im Servicevertrag identifizierte Kunde. Anhang D kann den Kunden und den vereinbarten Service durch Bezugnahme auf diese Bestellung identifizieren; es ist keine zweite Kopie von Informationen erforderlich, die dort bereits eindeutig aufgezeichnet sind.
Diese Vereinbarung und ihre Anhänge sind schriftlich, einschließlich elektronisch, abzuschließen, bevor mit der Verarbeitung im Auftrag des Kunden begonnen wird. Die Parteien können diese identifizierte Version in einen akzeptierten Serviceauftrag aufnehmen, ohne eine separate handschriftliche Unterschrift. Der bloße Besuch dieser Seite stellt keine Zustimmung dar. Eine separat abgeschlossene Vereinbarung zur Auftragsdatenverarbeitung bleibt in Kraft, sofern die Parteien nicht vereinbaren, sie zu ersetzen. Bei einem Konflikt mit der Servicevereinbarung hat diese Vereinbarung zur Datenverarbeitung Vorrang bei der Verarbeitung personenbezogener Daten.
Diese DPA, einschließlich ihrer Anhänge und etwaiger vereinbarter kundenspezifischer Anweisungen, ist Bestandteil des im Anhang D bezeichneten RessursAgent Servicevertrags. Das vereinbarte Abonnement/der Auftrag und die anwendbaren RessursAgent-Bedingungen regeln kommerzielle Angelegenheiten. Die angenommene Fassung ist zusammen mit dem Kundenvertrag aufzubewahren.
Diese Vereinbarung regelt die Verarbeitung zur Bereitstellung und Unterstützung von RessursAgent: Mein Plan, Projektplanung, Ressourcenplanung, strategische Planung sowie vereinbarte KI-, Kommunikations- und Verbindungsfunktionen. Anhang A legt den Gegenstand, die Art, die Zwecke, die Dauer, die Arten personenbezogener Daten und die Kategorien der betroffenen Personen fest. Die Vereinbarung gilt, solange RessursAgent oder ein Unterauftragsverarbeiter personenbezogene Daten im Auftrag des Kunden verarbeitet, einschließlich der Rückgabe- und Löschfrist.
Der Kunde bestimmt die Zwecke und die wesentlichen Mittel. RessursAgent bestimmt die praktischen technischen Anordnungen innerhalb dieser Anweisungen. Benutzerkonten, Zugriffsberechtigungen und Aktivitätsprotokolle werden abgedeckt, wenn sie verarbeitet werden, um den Service im Auftrag des Kunden zu erbringen. Daten, die von RessursAgent für eigene, gesonderte Zwecke verarbeitet werden, wie Abrechnung und Kundenkontaktpflege, müssen in der Datenschutzerklärung gesondert beschrieben werden. Daten fallen nicht außerhalb dieser Vereinbarung, nur weil es sich um Betriebsdaten handelt.
Anwendbares Datenschutzrecht bedeutet die Verordnung (EU) 2016/679 (die Datenschutz-Grundverordnung oder DSGVO), wie sie im EWR gilt und durch das norwegische Datenschutzgesetz vom 15. Juni 2018 Nr. 38 in das norwegische Recht übernommen wurde, zusammen mit anwendbarer ergänzender Datenschutzgesetzgebung. Die Vereinbarung soll die nach Artikel 28 DSGVO erforderlichen Verarbeitungsregelungen festlegen. Obligatorische Schutzmaßnahmen nach geltendem Recht bleiben unberührt.
Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Verletzung des Schutzes personenbezogener Daten und Aufsichtsbehörde haben die in der DSGVO festgelegte Bedeutung. Ein Nutzer ist eine vom Kunden zur Nutzung des Dienstes berechtigte natürliche Person. Ein Unterauftragsverarbeiter ist ein weiterer Auftragsverarbeiter, den RessursAgent mit der Verarbeitung personenbezogener Daten im Auftrag des Kunden beauftragt.
Kundendaten sind Informationen, die nach den Weisungen des Kunden an den Dienst übermittelt oder darin erzeugt werden. Dieser Vertrag regelt die darin enthaltenen personenbezogenen Daten, einschließlich Planungsdaten, Kommunikation, Dokumenten und Analyseergebnissen. Ob RessursAgent bei einer bestimmten Tätigkeit als Auftragsverarbeiter oder Verantwortlicher handelt, richtet sich nach deren tatsächlichem Zweck und den jeweiligen Verantwortlichkeiten gemäß Ziffer 2.
Service bedeutet die RessursAgent-Software-as-a-Service-Anwendung bei app.ressursagent.no und die mit dem Kunden vereinbarten Funktionen. Kundendaten umfassen Informationen, die von autorisierten Nutzern eingegeben oder importiert werden, sowie die daraus resultierenden Planungsunterlagen. Der Kunde behält seine Rechte an den eingereichten Inhalten; diese DPA erlaubt die Verarbeitung nur, um den vereinbarten Service bereitzustellen und gesetzmäßige Anweisungen zu erfüllen. Laufzeit des Abonnements, Preisgestaltung, Supportverpflichtungen und Kündigungsfrist sind im Servicevertrag festgelegt und nicht aus den Bedingungen eines anderen Anbieters abzuleiten.
RessursAgent darf personenbezogene Daten nur gemäß den dokumentierten Anweisungen des Kunden verarbeiten, einschließlich Anweisungen bezüglich der Offenlegung und Übermittlung außerhalb des EWR. Anweisungen umfassen diese Vereinbarung, deren ausgefüllte Anhänge und Anfragen von autorisierten Benutzern innerhalb der vereinbarten Servicefunktionalität, einschließlich API und MCP. Die Parteien dokumentieren nachfolgende Anweisungen und Änderungen des Verarbeitungsumfangs schriftlich.
RessursAgent darf personenbezogene Daten, die im Rahmen dieser Vereinbarung verarbeitet werden, nicht für eigene nicht verwandte Zwecke, Werbung, Datenverkauf oder kundenübergreifendes Profiling verwenden. Wenn RessursAgent einen separaten Zweck und wesentliche Verarbeitungsschritte bestimmt, richten sich die rechtlichen Verantwortlichkeiten nach der tatsächlichen Rolle gemäß geltendem Recht; diese Vereinbarung autorisiert keine solche Zweckänderung.
Wenn EU-/EWR- oder norwegisches Recht, das für RessursAgent verbindlich ist, die Verarbeitung außerhalb der Anweisungen des Kunden erfordert, wird RessursAgent den Kunden über diese gesetzliche Anforderung vor der Verarbeitung informieren, es sei denn, das Gesetz verbietet dies aus wichtigen Gründen des öffentlichen Interesses. RessursAgent wird den Kunden unverzüglich informieren, wenn eine Anweisung den Anschein erweckt, die geltenden Datenschutzgesetze zu verletzen, und die betroffene Anweisung aussetzen, bis ein rechtmäßiges Vorgehen festgestellt wird.
Der Kunde muss eine rechtmäßige Grundlage gemäß Artikel 6 DSGVO bestimmen und dokumentieren, die nach den Artikeln 13 und 14 erforderlichen Informationen bereitstellen und die Grundsätze in Artikel 5 einhalten. Der Kunde muss sicherstellen, dass personenbezogene Daten angemessen, relevant, auf das Notwendige beschränkt, genau und nicht länger als für die angegebenen Zwecke erforderlich aufbewahrt werden. Benutzerberechtigungen, Aufbewahrungsanweisungen und Daten, die über Integrationen offengelegt werden, müssen diese Zwecke widerspiegeln.
Der Kunde muss Datenschutzrisiken bewerten und, soweit nach Artikel 35 erforderlich, eine Datenschutz-Folgenabschätzung durchführen, bevor die betreffende Verarbeitung beginnt. Jede erforderliche vorherige Konsultation nach Artikel 36 muss vor der Verarbeitung abgeschlossen sein. RessursAgent wird gemäß Klausel 11 Unterstützung leisten. Der Kunde muss auch die anwendbaren Beschäftigungs- und Arbeitsplatzüberwachungsregeln berücksichtigen.
Der Service unterstützt Abwesenheitskategorien und -daten für die Ressourcenplanung, wie z. B. Urlaub oder Krankheit. Der Kunde legt fest, welche Kategorien jede autorisierte Zielgruppe sehen muss, und dokumentiert den Zweck und die Rechtsgrundlage. Detaillierte medizinische Gründe und Diagnosen liegen außerhalb des Standardplanungsbereichs. Jede Zugriffsbeschränkung nur nach Kategorie muss überprüft werden, bevor darauf Verlass genommen wird. Hinweise für die Besatzung können über Arbeitsverträge und damit zusammenhängende Informationen bereitgestellt werden, doch diese Dokumente ersetzen nicht die rechtliche Grundlage und Notwendigkeitsbewertungen des Kunden.
Eine Urlaubskategorie weist für sich genommen keinen Gesundheitszustand aus, aber eine mit einer Person verknüpfte Krankheitskategorie gibt Gesundheitsinformationen preis, selbst ohne Diagnose oder detaillierte Erklärung. Für diese Verarbeitung muss der Kunde eine anwendbare Bedingung gemäß Artikel 9 Absatz 2 sowie eine Grundlage gemäß Artikel 6 identifizieren. Die Anerkennung des Arbeitsvertrags begründet nicht von sich aus eine gültige Einwilligung noch macht jede Weitergabe erforderlich. Wenn sich auf die Einwilligung gestützt wird, muss ihre Gültigkeit separat beurteilt werden, einschließlich der Entscheidungsfreiheit im Arbeitsverhältnis, Spezifität, Information und Widerrufsmöglichkeit ohne Nachteile; Artikel 9 Absatz 2 Buchstabe a verlangt eine ausdrückliche Einwilligung. Kann die Kategorie nicht rechtmäßig mit einem bestimmten Publikum geteilt werden, ist stattdessen ein allgemeiner nicht verfügbarer Status anzuzeigen. Der Kunde hat die anwendbare Grundlage, Notwendigkeit, Zugriffs- und Aufbewahrungssicherungen zu dokumentieren.
Diagnosen, medizinische Berichte, unnötige narrative Details, Daten zu Straftaten und nationale Identitätsnummern liegen außerhalb des Standard-Planungsbereichs, es sei denn, sie werden separat unter den erforderlichen rechtmäßigen Bedingungen und Sicherheitsvorkehrungen vereinbart. HMS-Kartennummern sind berufliche Identifikatoren und keine Erlaubnis, nationale Identitätsnummern zu erfassen. RessursAgent muss den rechtmäßigen Anweisungen folgen, Daten außerhalb des vereinbarten Umfangs zu beschränken, zurückzugeben oder zu löschen; seine Pflichten bestehen für tatsächlich empfangene Daten fort.
RessursAgent stellt sicher, dass Personen mit Zugang vertraglichen oder gesetzlichen Vertraulichkeitsverpflichtungen unterliegen. Der Zugang beschränkt sich auf das für die Aufgabe Notwendige und wird aufgehoben, wenn er nicht mehr benötigt wird. Die Vertraulichkeit gilt auch nach Beendigung der Beschäftigung und des Vertrags. Kundendaten dürfen nicht an andere Kunden weitergegeben oder für nicht verwandte Zwecke Dritter verwendet werden.
Beide Parteien schützen vertrauliche Informationen, die zum Durchführen dieses Vertrags ausgetauscht werden, einschließlich Sicherheitsdokumentation und nicht-öffentlichen Kundeninformationen. Offenlegungen, die zur Erfüllung gesetzlicher Pflichten, zur Unterstützung von Einzelpersonen, zur Einholung professioneller Beratung unter Vertraulichkeit oder zur Zusammenarbeit mit einer Aufsichtsbehörde erforderlich sind, bleiben erlaubt.
RessursAgent soll technische und organisatorische Maßnahmen umsetzen, aufrechterhalten und dokumentieren, die dem Risiko gemäß Artikel 32 der DSGVO angemessen sind, wobei der Stand der Technik, die Umsetzungskosten, die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung sowie Risiken für Einzelpersonen berücksichtigt werden. Die Maßnahmen sollen die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitung, die zeitnahe Wiederherstellung des Zugriffs auf Daten nach einem Vorfall sowie regelmäßige Tests und Bewertungen ihrer Wirksamkeit abdecken.
Anhang B soll die konkreten Maßnahmen dokumentieren, einschließlich Zugangskontrollen, Kundentrennung, Schutz von Daten während der Übertragung und im Ruhezustand, Sicherung und Wiederherstellung, sichere Entwicklung und Vorfallbearbeitung. Verschlüsselung und Pseudonymisierung sollen bewertet und dort angewendet werden, wo sie den Risiken angemessen sind. Mitarbeiter sollen Daten nur im Rahmen ihrer Autorisierung und den Anweisungen des Kunden verarbeiten. Maßnahmen sollen bereits vor Beginn der Verarbeitung, auf die sie sich beziehen, vorhanden sein.
RessursAgent soll den Kunden im Rahmen der von ihm erbrachten Dienstleistungen beim Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen unterstützen. Sicherheitsmaßnahmen können entwickelt werden, ohne das vereinbarte Schutzniveau oder die Einhaltung geltender Gesetze zu reduzieren. Wesentliche Änderungen sollen dokumentiert und dem Kunden mitgeteilt werden.
Jede Partei muss die gemäß Artikel 30 erforderlichen Verarbeitungsunterlagen führen, einen Datenschutzbeauftragten benennen, sofern Artikel 37 dies verlangt, und mit den zuständigen Aufsichtsbehörden zusammenarbeiten. RessursAgent muss die unterstützenden Sicherheitsdokumentationen aufbewahren, die Wirksamkeit ihrer Maßnahmen regelmäßig bewerten und festgestellte Mängel beheben. Die Veröffentlichung dieses Vertrags stellt keine Zertifizierung oder unabhängige Sicherheitsprüfung dar.
RessursAgent darf keinen Unterauftragsverarbeiter ohne die vorherige spezifische oder allgemeine schriftliche Genehmigung des Kunden einsetzen. Durch den Abschluss dieses Vertrags genehmigt der Kunde die in Anhang C aufgeführten Unterauftragsverarbeiter für die im vereinbarten Service enthaltenen Funktionen und erteilt eine allgemeine schriftliche Genehmigung für spätere Ergänzungen oder Ersatzungen, sofern diese Klausel eingehalten wird. Die Auflistung eines optionalen Dienstes berechtigt nicht zur Nutzung oder zur Durchführung von nicht verwandten Verarbeitungstätigkeiten.
RessursAgent wird den Kunden direkt schriftlich über beabsichtigte Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern rechtzeitig informieren, sodass ein sachgerechter Widerspruch vor Beginn der betroffenen Verarbeitung möglich ist. Die Mitteilung muss die Stelle, die Tätigkeit, die relevanten Daten, die Verarbeitungsorte und die Übertragungssicherungen benennen. Jede zusätzlich vereinbarte Mindestankündigungsfrist ist in Anhang D festzuhalten. Die Parteien werden nach einer rechtmäßigen Lösung für begründete Datenschutzbedenken suchen. Die strittige Verarbeitung darf für diesen Kunden nicht beginnen, solange der Widerspruch nicht gelöst ist; wenn keine rechtmäßige Lösung möglich ist, wird die betroffene Dienstleistung gemäß Klausel 14 ausgesetzt oder beendet, einschließlich Rückgabe und Löschung.
Bevor ein Unterauftragsverarbeiter personenbezogene Daten erhält, wird RessursAgent seine ausreichenden Garantien bewerten und eine verbindliche Vereinbarung abschließen, die im Wesentlichen die gleichen Datenschutzpflichten wie diese Vereinbarung für die delegierte Verarbeitung auferlegt, einschließlich angemessener Sicherheitsmaßnahmen und Unterstützung. RessursAgent bleibt gegenüber dem Kunden uneingeschränkt haftbar für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter gemäß Artikel 28 Absatz 4.
RessursAgent wird das genehmigte Register auf dem neuesten Stand halten und Informationen bereitstellen, die vernünftigerweise erforderlich sind, um die Unterauftragsverarbeiter-Vereinbarungen zu überprüfen. Relevante Vereinbarungen dürfen nur soweit geschwärzt werden, wie dies erforderlich ist, um vertrauliche Informationen zu schützen, ohne dass der Kunde die Einhaltung beurteilen kann. RessursAgent wird den Kunden über die Nicht-Einhaltung durch Unterauftragsverarbeiter informieren, die die Verarbeitung betrifft, und geeignete Abhilfemaßnahmen ergreifen.
Die Ausführung der Anwendungsfunktionen, die primäre Anwendungsdatenbank sowie das verwaltete Datenbank-Backup und die Wiederherstellung sind in Frankfurt, Deutschland, konfiguriert. RessursAgent wird diese regionale Beschränkung für diese Infrastruktur beibehalten. Content-Delivery, Betriebsprotokolle, Support-Zugriffe sowie separat beauftragte KI-, E-Mail-, SMS- und andere Dienste haben eigene Verarbeitungsorte. Anhang C nennt diese Dienste; die Klauseln 8 und 9 regeln deren Nutzung und alle internationalen Übertragungen.
Anhang C soll die vereinbarten Verarbeitungs- und Speicherorte, die Unterstützung des Zugriffs aus anderen Ländern und die relevante Weiterverarbeitung identifizieren. Die Lokalisierung einer Datenbank im EWR begründet nicht automatisch, dass alle Verarbeitungen dort stattfinden. Änderungen der Standorte sind vor der Umsetzung zu prüfen und unterliegen den dokumentierten Anweisungen des Kunden sowie Klausel 8, wenn sich ein Unterauftragsverarbeiter ändert.
Sofern die gesetzliche Anforderung gemäß Klausel 4 nicht zutrifft, dürfen Übertragungen außerhalb des EWR nur nach den dokumentierten Anweisungen des Kunden erfolgen. Jede solche Übertragung, einschließlich relevanter Fernzugriffe und Weiterleitungen, muss Kapitel V der DSGVO erfüllen. Vor der Übertragung von Daten soll RessursAgent den Empfänger, das Land und den anwendbaren Mechanismus dokumentieren, wie eine Angemessenheitsentscheidung in ihrem Geltungsbereich oder angemessene Garantien gemäß Artikel 46.
Wenn standardmäßige Vertragsklauseln verwendet werden, soll RessursAgent deren wirksamen Schutz unter den Umständen der Übermittlung bewerten, die relevanten Gesetze und Praktiken des Empfängerlandes dokumentieren und gegebenenfalls ergänzende Maßnahmen umsetzen. Übermittlungen dürfen nicht beginnen oder müssen ausgesetzt werden, wenn der erforderliche Schutz nicht gewährleistet werden kann. Diese Vereinbarung ist selbst kein Übermittlungsmechanismus nach Kapitel V.
Wenn aktiviert und konfiguriert, verwendet der Assistent die kommerzielle Claude API von Anthropic, um Anfragen zu interpretieren, vorgeschlagene Maßnahmen vorzubereiten, Antworten zu formulieren und Sprachunterstützung bereitzustellen. Der Aufgaben-Kontext kann ausgewählte Personen, Geräte, Projekte, Daten, Aufgaben und verfügbare Planungsinformationen enthalten; auch Benutzerprofildetails, gespeicherte Präferenzen oder Erinnerungen, kürzliche Fragen und relevante Gesprächshistorie können einbezogen werden. Anhänge werden verarbeitet, wenn sie eingereicht werden. Der zulässige Umfang muss mit der tatsächlichen Prompt-Erstellung und den Benutzerberechtigungen überprüft werden, einschließlich optionaler Felder. RessursAgent darf nur das offenlegen, was für die autorisierte Aufgabe erforderlich ist.
RessursAgent verwendet Anthropic unter seinen standardmäßigen kommerziellen Bedingungen, die eine Zusatzvereinbarung zur Datenverarbeitung enthalten und das Training mit Kundeninhalten verbieten. Standardmäßige API-Eingaben und -Ausgaben werden normalerweise innerhalb von 30 Tagen gelöscht; dateibasierte Dienste unter Kontrolle des Anbieters, modellbezogene Sicherheitsanforderungen, Untersuchungen zur Nutzungspolitik und rechtliche Verpflichtungen können unterschiedliche Aufbewahrungsfristen haben. Es ist keine maßgeschneiderte Null-Daten-Aufbewahrungsregelung enthalten. RessursAgent dokumentiert das anwendbare Modell, Werkzeug, Aufbewahrungs- und Übertragungsregelungen und beschränkt die offengelegten Daten auf die autorisierte Aufgabe.
Als vertragliche Einschränkung für diesen Dienst darf RessursAgent personenbezogene Daten, die im Rahmen dieser Vereinbarung verarbeitet werden, weder zur Schulung oder Verbesserung von Modellen für allgemeine Zwecke verwenden noch seinen Unterauftragsverarbeitern gestatten, dies zu tun, noch Cross-Customer-Profile zu erstellen oder nicht verwandte Produkte zu entwickeln. Anbietervereinbarungen und Einstellungen müssen diese Einschränkung unterstützen, bevor die entsprechende Verarbeitung beginnt. Jede Sicherheits- oder Missbrauchsüberwachungsverarbeitung muss dokumentiert, auf einen rechtmäßigen Zweck beschränkt und gemäß der tatsächlichen Rolle des Anbieters bewertet werden.
Die KI-Ausgabe dient der Entscheidungsunterstützung und kann Fehler enthalten. Der Kunde muss eine sinnvolle menschliche Überprüfung durchführen, mit der Befugnis, den Vorschlag abzulehnen oder zu ändern, bevor er sich auf die Ausgabe für Entscheidungen über Einzelpersonen verlässt. Von dem RessursAgent-Assistenten vorgeschlagene Planungsänderungen bedürfen der Genehmigung durch den Benutzer und unterliegen weiterhin den Genehmigungs- und Validierungskontrollen des Dienstes. Ein einmaliger Bestätigungsklick allein stellt keine sinnvolle Überprüfung dar. Jede ausschließlich automatisierte Entscheidung, die rechtliche oder ähnlich bedeutende Auswirkungen hat, erfordert eine separate Bewertung nach Artikel 22, eine anwendbare Ausnahme und die erforderlichen Schutzmaßnahmen; sie ist nicht durch die Standardverarbeitungsanweisungen autorisiert.
Anhänge und Gesprächsverläufe können verarbeitet werden, um die autorisierte Anfrage zu erfüllen. Extrahierter Dokumenttext oder hochgeladene Dateien können je nach Dateityp an den KI-Anbieter gesendet werden. Anwendungsunterlagen und beim Anbieter gespeicherte Dateien haben separate Aufbewahrungsregelungen. Für vorübergehende Files API-Uploads fordert die Anwendung eine Ablaufzeit von höchstens einer Stunde an, überprüft die zurückgegebene Ablaufzeit vor der Nutzung und fordert die Löschung nach der Verarbeitung. Diese Anwendungskontrollen versprechen nicht die sofortige physische Löschung jeder Anbieter-Kopie. RessursAgent wird fehlgeschlagene Ablauf-/Löschanforderungen nachverfolgen, gesetzliche Löschanweisungen auf relevante Kopien anwenden und jegliche eingeschränkte Restaufbewahrung gemäß Klausel 14 dokumentieren.
SMS verwendet Strex/Target365. Produkt-E-Mails und Authentifizierungs-E-Mails, einschließlich Einladungen und Passwort-Wiederherstellung, verwenden Resend. Diese Dienste verarbeiten Empfängerdetails, relevante Inhalte, Zustellereignisse und Links. Der genehmigte Umfang, die Standorte und die Aufbewahrung sind in Anhang C zu dokumentieren. Sensible Abwesenheitsdetails und HMS-Kartennummern dürfen nicht in Nachrichten oder KI-Aufforderungen enthalten sein, es sei denn, sie wurden separat bewertet und speziell mit geeignetem Lieferantenschutz genehmigt.
Kundengebundene Systeme und externe KI-Clients, die API oder MCP verwenden, sollen entsprechend derjenigen, die sie einsetzen, ihrer tatsächlichen Rolle, der abgerufenen Daten und der autorisierten Aktionen bewertet werden. Sie sind nicht automatisch RessursAgent-Unterauftragsverarbeiter. Der Kunde stellt sicher, dass die erforderlichen Anweisungen, rechtmäßige Offenlegungen und Vereinbarungen für Dienstleistungen, die er in Anspruch nimmt, vorliegen; RessursAgent bleibt für Verpflichtungen in Bezug auf seine eigenen Dienstleistungen und Unterauftragsverarbeiter verantwortlich.
Die optionale Kartenansicht verwendet Google Maps. Die Adress-Geokodierung erfolgt über den Geonorge-Dienst von Kartverket, einschließlich Projektadressen und Adressen der Arbeitsbasis von Ressourcen, sofern konfiguriert. Kundenorientierte Links können eine Telefonnummer an Gule Sider oder eine HMS-Kartennummer an Jobbkort nach dem Klicken durch den Benutzer offenlegen. Diese Offenlegungen und externen Identitätsanbieter werden separat im Anhang C aufgezeichnet; ihre Rollen und die rechtmäßige Nutzung müssen bewertet werden, anstatt jeden externen Dienst als Unterauftragsverarbeiter zu behandeln. Weder diese Vereinbarung noch ein Verbindungskatalog autorisieren eine unnötige Offenlegung.
Der Kunde ist dafür verantwortlich, auf Personen zu reagieren, die Rechte nach DSGVO Kapitel III ausüben. RessursAgent wird eingehende Anfragen unverzüglich weiterleiten und ohne Anweisungen nicht im Namen des Kunden antworten, es sei denn, dies ist gesetzlich vorgeschrieben. Anfragen an privacy@ressursagent.no sollten den Fall, den Umfang und die anwendbare Frist nennen, ohne unnötige personenbezogene Daten einzuschließen.
Unter Berücksichtigung der Art der Verarbeitung wird RessursAgent durch geeignete technische und organisatorische Maßnahmen soweit möglich unterstützen, damit der Kunde Anfragen auf Zugang, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie andere anwendbare Rechte aus Kapitel III erfüllen kann. Die Parteien werden einen sicheren Austausch und eine ausreichend schnelle Unterstützung vereinbaren, um gesetzliche Fristen einzuhalten; interne Verfahren dürfen diese Fristen nicht verlängern.
Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen wird RessursAgent den Kunden bei den Verpflichtungen gemäß den Artikeln 32–36 unterstützen, einschließlich Sicherheit, Bewertung und Meldung von Verstößen, Folgenabschätzungen und vorheriger Konsultation. Vereinbarte operative Details werden in den Anhängen B und D aufgezeichnet. Etwaige Unterstützungsgebühren müssen im Voraus vereinbart werden und dürfen die gesetzlich vorgeschriebene Unterstützung nicht verhindern.
RessursAgent soll ohne unangemessene Verzögerung den vom Kunden benannten Vorfallkontakt informieren, nachdem es von einer Verletzung personenbezogener Daten im Zusammenhang mit der Verarbeitung nach diesem Vertrag Kenntnis erlangt hat, wie in Artikel 33(2) vorgeschrieben. Es darf nicht auf eine vollständige Untersuchung oder die eigene Bewertung warten, ob die Verletzung einer Behörde gemeldet werden muss. Sind Informationen unvollständig, ist eine erste Mitteilung unverzüglich durch Aktualisierungen zu ergänzen.
Soweit verfügbar, soll die Benachrichtigung Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, Eindämmungs- und Abhilfemaßnahmen sowie eine Ansprechperson für weitere Informationen angeben. RessursAgent soll die Fakten und die Reaktion dokumentieren, relevante Beweise sichern, angemessene Eindämmungs- und Minderungsmaßnahmen ergreifen und den Kunden unterstützen.
Der Kunde hat seine Verpflichtungen gemäß den Artikeln 33 und 34 zu prüfen und zu erfüllen. Wenn eine Meldung an die Behörde erforderlich ist, verlangt Artikel 33 Absatz 1 eine Meldung unverzüglich und, wenn möglich, innerhalb von 72 Stunden, nachdem der Kunde Kenntnis erlangt hat; eine verspätete Meldung muss die Gründe erläutern. Eine Meldung ist nicht erforderlich, wenn das Fehlverhalten wahrscheinlich kein Risiko für die Rechte und Freiheiten von Personen darstellt. Die Kommunikation mit den betroffenen Personen erfolgt gemäß Artikel 34, einschließlich dessen Schwelle für ein hohes Risiko und der anwendbaren Ausnahmen. Diese Regeln geben RessursAgent keine 72-stündige Wartefrist für die Benachrichtigung des Kunden.
Der Kunde hat RessursAgent unverzüglich über kompromittierte Konten oder andere Vorfälle, die den Service betreffen, zu informieren und bei der Eindämmung mitzuwirken. Vorfallkontakte, Eskalationskanäle und alle strengeren vertraglichen Reaktionsziele sind in Anhang D auszufüllen und verschieben keine gesetzliche Verpflichtung.
RessursAgent stellt alle Informationen zur Verfügung, die notwendig sind, um die Einhaltung von Artikel 28 und dieser Vereinbarung nachzuweisen, beantwortet die Anfragen des Kunden angemessen und ermöglicht sowie unterstützt Audits, einschließlich Prüfungen, durch den Kunden oder einen von ihm beauftragten Prüfer. Relevante unabhängige Berichte können diese Bewertung unterstützen, ersetzen jedoch nicht automatisch ein erforderliches Audit oder eine erforderliche Prüfung.
Routineprüfungen sollten normalerweise mit einer Frist von vier Wochen vereinbart werden. Diese Planungserwartung schränkt Audits, die dringend nach einem Vorfall, mutmaßlicher Nichteinhaltung oder einer behördlichen Anforderung erforderlich sind, nicht ein. Die Parteien sollen angemessene Vorkehrungen vereinbaren, die die Daten und vertraulichen Informationen anderer Kunden schützen, ohne eine effektive Überprüfung zu verhindern. Die Kosten sind im Voraus zu vereinbaren und dürfen das Prüfungsrecht nicht unwirksam machen. Relevante Dokumentationen und Ergebnisse sind der zuständigen Aufsichtsbehörde, sofern erforderlich, zur Verfügung zu stellen.
RessursAgent muss dem Speicherbegrenzungsgrundsatz gemäß Artikel 5 Absatz 1 Buchstabe e der DSGVO und dem anwendbaren norwegischen Datenschutzrecht entsprechen. Von dem Kunden verarbeitete personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie es für die vereinbarten Zwecke und die rechtmäßigen dokumentierten Anweisungen erforderlich ist oder wie es das anwendbare Recht vorschreibt. Der Kunde legt die relevanten Aufbewahrungsfristen oder objektiven Kriterien fest, und RessursAgent setzt die vereinbarten Prüf- und Löschverfahren um. Es gibt keine einheitliche gesetzliche Aufbewahrungsfrist, die für alle Daten im Service gilt.
Während des Dienstes wird RessursAgent rechtmäßige Aufbewahrungs- und Löschanweisungen innerhalb des vereinbarten Umfangs umsetzen. Wenn die betreffenden Verarbeitungsdienste enden, wählt der Kunde die Rückgabe oder Löschung der personenbezogenen Daten. RessursAgent wird diese Wahl umsetzen und verbleibende Kopien löschen, es sei denn, das EU-/EWR- oder norwegische Recht verlangt eine fortgesetzte Speicherung. Daten dürfen nach Beendigung nicht für nicht verwandte Zwecke aufbewahrt oder verwendet werden.
Die Rückgabe oder Löschung ist unverzüglich und innerhalb von 30 Kalendertagen nach Klärung der Anweisungen des Kunden und des erforderlichen Umfangs abzuschließen. RessursAgent soll etwaige erforderliche Klarstellungen unverzüglich einholen und diese nicht zur unnötigen Verlängerung der Aufbewahrung nutzen. Die Rückgabe soll ein strukturiertes, gebräuchliches Format und einen authentifizierten oder verschlüsselten Übertragungskanal verwenden. Verbleibende aktive Kopien sind nach Abschluss der Rückgabe zu löschen, sofern nicht eine gesetzliche Anweisung oder Aufbewahrungspflicht etwas anderes verlangt. Das Verfahren umfasst aktive Systeme, Anhänge, relevante Protokolle und Unterauftragsverarbeiter-Kopien, vorbehaltlich der nachfolgend dokumentierten Backup- und rechtmäßigen Anbieter-Ausnahmen. Diese operative Frist verlängert nicht die gesetzlichen Fristen für die Rechte von Einzelpersonen.
Sicherungskopien, die gemäß einem dokumentierten Aufbewahrungszyklus auf die Löschung warten, sind zu schützen und für den normalen Gebrauch nicht verfügbar. Die verwalteten Datenbanksicherungen von RessursAgent rotieren ungefähr über sieben Tage. Lieferantenspezifische Restkopien unterliegen den in Anhang C aufgeführten geltenden eingeschränkten Aufbewahrungsvorgaben. Bei Rückgabe oder Löschung wird RessursAgent das Enddatum der Aufbewahrung oder das geltende gesetzliche Aufbewahrungskriterium für verbleibende Kopien aufzeichnen und den Kunden informieren. Eine Anbieter-Richtlinie erlaubt per se keine Aufbewahrung im Widerspruch zu geltendem Recht oder dieser Vereinbarung. Ausstehende Löschanweisungen müssen vor der Wiederaufnahme des normalen Zugriffs nach einer Wiederherstellung erneut angewendet werden. RessursAgent wird geeignete Nachweise über die Löschung durch Unterauftragsverarbeiter einholen und den Abschluss sowie etwaige eingeschränkte Restaufbewahrung schriftlich gegenüber dem Kunden bestätigen.
Wo das Gesetz eine fortgesetzte Speicherung vorschreibt, wird RessursAgent den Kunden, soweit nicht untersagt, über die Rechtsgrundlage, die betroffenen Daten und die erforderliche Dauer informieren. Der Zugriff und die Verarbeitung sind auf diese gesetzliche Anforderung beschränkt, und die Daten bleiben bis zur Löschung geschützt.
Jede Partei ist für ihre Verpflichtungen nach dem geltenden Datenschutzrecht und dieser Vereinbarung verantwortlich. Die Haftung zwischen den Parteien richtet sich nach dem geltenden Recht und etwaigen wirksamen Einschränkungen, die ausdrücklich im Dienstleistungsvertrag vereinbart wurden. Keine Einschränkung hebt zwingende Pflichten auf oder schafft durch diese Vereinbarung eine zusätzliche Obergrenze.
Nichts in dieser Vereinbarung schränkt die Rechte der betroffenen Personen auf Entschädigung nach Artikel 82 der DSGVO oder die Befugnisse der Aufsichtsbehörden ein. Hat eine Partei eine Entschädigung für Schäden gezahlt, für die die andere Partei verantwortlich ist, erfolgt die Rückforderung zwischen den Parteien gemäß der Verantwortlichkeitsverteilung nach Artikel 82 Absatz 5 und dem geltenden Recht.
Änderungen, die gesetzlich vorgeschrieben sind, durch die Serviceentwicklung oder durch Verarbeitungsvereinbarungen erforderlich werden, sind zu dokumentieren. Vorgeschlagene wesentliche Änderungen sollen in der Regel mindestens 30 Tage vor ihrem beabsichtigten Inkrafttreten mitgeteilt werden und erfordern eine schriftliche Zustimmung, einschließlich elektronischer Zustimmung. Die Veröffentlichung eines überarbeiteten Dokuments ändert an sich keine abgeschlossene Kundenvereinbarung. Änderungen des Lieferanten folgen Klausel 8; zwingende gesetzliche Verpflichtungen gelten, wenn sie gesetzlich vorgeschrieben sind.
Im Falle der Nichtbefolgung sollen die Parteien eine rechtzeitige Behebung anstreben. Die Verarbeitung, die nicht rechtmäßig durchgeführt werden kann, ist auszusetzen oder zu beenden, wobei die Daten gemäß Klausel 14 zurückzugeben oder zu löschen sind. Obligatorische gesetzliche Verpflichtungen haben Vorrang vor widersprüchlichen Anweisungen oder Bedingungen.
Dieses Abkommen unterliegt norwegischem Recht. Vorbehaltlich zwingender Zuständigkeitsregeln sind Streitigkeiten zwischen den Parteien, die sich aus diesem Abkommen ergeben, vor dem Bezirksgericht Oslo (Oslo tingrett) geltend zu machen. Dies schränkt nicht die gesetzlichen Rechtsbehelfe der Betroffenen, ihr Recht auf Beschwerde bei einer Aufsichtsbehörde oder die Befugnisse der zuständigen Behörden ein.
Englisch ist die maßgebliche Vertragssprache dieses Vertrags und aller Anhänge. Übersetzungen werden bereitgestellt, um den Vertrag in den Website-Sprachen zugänglich zu machen. Wenn eine Übersetzung in der Bedeutung abweicht, hat die englische Version Vorrang. Alle ausgefüllten Anhänge, schriftlichen Änderungen und die vereinbarte Version sind in Englisch zu führen.
Dieser Anhang definiert den Standardverarbeitungsumfang. Die kundenspezifische Bestellung und Anhang D legen die tatsächlich genutzten Funktionen und etwaige zusätzliche gesetzlich zulässige Anweisungen fest. Optionale Funktionen und Verbindungen berechtigen nicht zu uneingeschränkter Offenlegung.
Die folgenden technischen und organisatorischen Maßnahmen sind Teil der Verpflichtungen von RessursAgent gemäß Klausel 7. Unterstützende Dokumentation, Testaufzeichnungen und Sicherheitsbewertungen werden getrennt aufbewahrt und gemäß Klausel 13 zur Verfügung gestellt. Es wird keine Zertifizierung, ununterbrochene Verfügbarkeit oder numerische Wiederherstellungsgarantie impliziert.
Das folgende Register listet die Unterauftragsverarbeiter und anderen Empfänger von RessursAgent für den Standardservice auf. Optionale Services gelten nur, wenn sie im vereinbarten Service enthalten sind. RessursAgent führt das Register sowie die unterstützenden Unterlagen zu Empfängern, Ländern, Aufbewahrung und Übertragungen aktuell, stellt sie gemäß Klausel 13 bereit und folgt Klausel 8 bei Änderungen von Unterauftragsverarbeiter.
Die Frankfurter Beschränkung gilt für die in Klausel 9 spezifizierte Infrastruktur. Sie gilt nicht für jeden unten aufgeführten Empfänger. Internationale Übertragungen und relevanter Fernzugriff erfordern die Schutzmaßnahmen gemäß Klausel 9. Lieferantenlinks liefern unterstützende Informationen; Änderungen auf einer Lieferantenwebseite ändern nicht automatisch die vereinbarten Bedingungen des Kunden.
Die untenstehenden kundenspezifischen Informationen werden durch den akzeptierten Serviceauftrag, das Kontoverwaltungsprotokoll und alle vereinbarten schriftlichen Anweisungen bereitgestellt. Sie müssen nicht in einem separaten unterzeichneten Zeitplan wiederholt werden. Die Standardbestimmungen in den Anhängen A–C gelten, es sei denn, die Parteien vereinbaren schriftlich eine rechtmäßige Abänderung.
Veröffentlichte Vereinbarung · Version 1.0 · 14. Oktober 2026