Datenschutzerklärung M.I.T e-solutions

1. Präambel
Folgende Vereinbarung betrifft das M.I.T e-solutions Produkt SITOS Learning Management System (in weiterer Folge „Lizenzprodukt“ oder „SITOS“ genannt).
M.I.T e-solutions (nachfolgend der „Lizenzgeber“ genannt) bietet den Vertragspartnern (nachfolgend „Nutzer“ oder „Lizenznehmer“) mit SITOS eine umfassende und innovative Softwareplattform für die Planung, Erstellung, Verwaltung, Durchführung und Evaluierung von e-Learning Kursen, Präsenzkursen sowie gemischten Kursen und Lehrgängen.
Durch Zustimmung im Portal erklärt der Nutzer seine Zustimmung zu nachfolgenden Nutzungs- und Datenschutzbestimmungen.

2. Allgemeine Nutzungsbedingungen
Der Lizenzgeber räumt dem Nutzer im Rahmen dieser einer Lizenzvereinbarung (separat zu diesem Dokument abgeschlossener Vertrag) das zeitlich unbegrenzte, nicht ausschließliche und nicht übertragbare Recht ein, das bereitgestellte Lizenzprodukt (SITOS) inklusive zusätzlicher gelieferter Erweiterungsmodule gemäß den nachfolgenden Bestimmungen zu nutzen.
Die Bereitstellung von SITOS erfolgt in elektronischer Form zur Installation und Inbetriebnahme auf einer internen oder externen Serverinfrastruktur des Lizenznehmers.
Das Produkt SITOS ist urheberrechtlich und markenrechtlich geschützt. Der Lizenznehmer ist berechtigt, das Lizenzprodukt auf internen oder externen, realen oder virtuellen Servern zu installieren und zu betreiben, und es den Endnutzern (Content-Konsumenten) über Intranet oder Internet zur Verfügung zu stellen.
Die Nutzung der SITOS Webanwendung kann auf beliebigen PC-Arbeitsplätzen bzw. für die Nutzung durch eine definierte Anzahl an Personen (Endnutzer) erfolgen.
Der Zugang zum Lizenzprodukt darf ausschließlich Nutzern mit personalisierten Zugängen zum Lernsystem über Login mittels persönlichem Usernamen und Passwort gewährt werden. Öffentliche oder anonymisierte Zugänge zum Lizenzprodukt sind untersagt.
Als Endnutzer sind nur natürliche Personen zuzulassen.
Diese Endnutzer dürfen das Lizenzprodukt nicht Dritten zur Verfügung stellen oder die Zugangsdaten zum Lizenzprodukt an Dritte weitergeben. Die Nutzung durch Dritte bedarf der vorherigen Zustimmung durch den Lizenzgeber.
Der Lizenznehmer ist nicht berechtigt, das Softwareprodukt zurück zu entwickeln (Reverse Engineering), zu de-kompilieren oder zu de-assemblieren. Das Lizenzprodukt wird als einheitliches Produkt lizenziert.

3. Demo-Zugänge
Demozugänge bilden eine Ausnahme – sie können auch ohne gültigen Vertrag auf begrenzte Zeit ausgegeben werden. Es gelten die selbigen Datenschutz- und Nutzungsbestimmungen als bei Standard-Portalzugängen. bit media behält sich jedoch das Recht vor, Demozugänge zeitlich zu begrenzen und nach Ablauf des Demo-Zeitraums alle Nutzerdaten unwiderruflich zu löschen.
Mit der Anforderung eines Demo-Zuganges stimmt der Nutzer den hier dargestellten Nutzungs- und Datenschutzbestimmungen.

4. Leistungen des Lizengsgebers
Serverbetrieb und Hosting
Der Lizenzgeber verpflichtet sich im Rahmen dieser Vereinbarung, das Lizenzprodukt auf einem über das Internet zugänglichen Server zu hosten und zu betreiben und Daten täglich zu sichern. Der Betrieb und die dahinterstehende Systeminfrastruktur werden aktiv überwacht. Der Lizenzgeber behält sich das Recht vor, die Plattformen (Hardware und Betriebssystem), Features etc. entsprechend der technischen Entwicklung jederzeit anzupassen und abzuändern, sofern die vereinbarten Funktionalitäten weiter erbracht werden.
Die vom Kunden im Lizenzprodukt verwalteten Daten werden vom Lizenzgeber als Servicepartner streng vertraulich behandelt und gemäß den gesetzlich geltenden Datenschutzbestimmungen ausschließlich dazu verwendet, Dienstleistungen kundenorientiert und sachgemäß für den Kunden erbringen zu können. Keinesfalls werden diese Daten ohne Zustimmung des Kunden an Dritte weitergegeben oder zu anderen Zwecken als der Leistungserbringung verwendet.

5. Wartung und Support
Der Lizenzgeber verpflichtet sich im Rahmen dieser Vereinbarung das Lizenzprodukt technisch zu warten, bekannte Fehler zu beheben und insbesondere auf neu herauskommende Betriebssystem- und Browserversionen anzupassen.
Die Umsetzung von technischen Wartungsleistungen erfolgt durch eine Bereitstellung von Softwareupdates (Minor Releases), Bugfixes oder Hotfixes. Zeitpunkt der Bereitstellung von allgemeinen technischen Updates sowie Umfang der jeweiligen Verbesserungen liegen im Ermessen des Lizenzgebers. Der Nutzer wird über Updates mit genügender Vorlaufzeit informiert.
Kritische Updates zur Erhaltung der Funktionsfähigkeit (z.B. bei Programmfehlern bzw. bei neuen Betriebssystem- oder Browserversionen) werden möglichst zeitnah nach Bekanntwerden der Umstände bereitgestellt.
Major Releases (Software-Upgrades), in der Regel mit erweitertem Funktionsumfang oder erneuerter Programmtechnologie sind nicht Bestandteil der Wartungsleistung – diese müssen vom Lizenznehmer gesondert lizenziert werden.
Im Rahmen der Wartungsvereinbarung steht dem Nutzer ein technischer Support für die Nutzung des Lizenzproduktes zur Verfügung.
Eine Unterstützung durch den Support erfolgt insoweit, als es sich um technische Fragen oder Probleme bei der Installation und Implementierung, der dokumentationsgemäßen Handhabung des Lizenzprodukts oder der Abklärung und Lösung von Programmfehlern handelt. Ein neuer Supportfall entsteht durch die Übermittlung einer Supportanfrage oder eines qualifizierten Fehlerberichts durch den Auftraggeber an den Auftragnehmer.
Supportanfragen können per Mail an support@mit-esolutions.at übermittelt werden.
Jeder Supportfall wird dokumentiert und gemäß Anhang A klassifiziert. Die Bearbeitung von Supportfällen erfolgt innerhalb im Vertrag definierten Reaktions- und Lösungszeiten.
Die Reaktionszeit ist die Zeit zwischen dem Eingang eines qualifizierten Fehlerberichts beim Auftragnehmer und dessen Antwort über das weitere Vorgehen und die Fehlerkategorie, aus welcher sich dann die Lösungszeit ergibt.

6. Laufzeit
Das Recht der Nutzung beginnt mit Bereitstellung des Lizenzprodukts durch den Lizenzgeber und besteht für die grundsätzliche Nutzung auf zeitlich unbeschränkte Dauer fort. Die Wartungsvereinbarung kann frühestens nach 12 Monaten und danach jährlich von beiden Vertragspartnern unter Einhaltung einer Kündigungsfrist von 3 Monaten zum Ablauf des jeweiligen Vertragsjahres gekündigt werden.
Sofern der Lizenznehmer gegen die Bestimmungen dieser Vereinbarung, insbesondere den zugelassenen Nutzerkreis, trotz schriftlicher Abmahnung und Setzung einer Nachfrist von 14 Tagen verstoßen sollte, ist der Lizenzgeber berechtigt das Recht der Nutzung einseitig zu widerrufen. Bis dahin geleistete Zahlungen (Anschaffungspreis und Wartungskosten für das laufende Vertragsjahr) werden nicht zurückerstattet.
Die Nutzung eines Demo-Accounts ist ebenso zeitlich beschränkt. Die Beschränkung wir gemeinsam mit dem Nutzer vom zuständigen Sales Accountant beim Lizenzgeber festgelegt, darf allerdings 3 Monate nicht überschreiten.

7. Datenschutz
Für die erfolgreiche Nutzung des Lizenzproduktes ist die Erhebung einiger grundsätzlicher Daten nötig. Diese werden ausschließlich zur Erbringung der vereinbarten Dienstleistungen erhoben, eine Verarbeitung erfolgt nur in einem Mitgliedsstaat der Europäischen Union.
Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen des Art. 44 ff. DSGVO erfüllt sind.

8. Art und Zweck der Verarbeitung
Der Zweck der Datenverarbeitung dient ausschließlich dem Verwendungszweck des Lizenzprodukts. Die Daten werden vom Lizenzgeber ausschließlich im Sinne der vertraglichen Vereinbarung gespeichert und verarbeitet, für Support- und Analysezwecke eingesehen und auf Weisung des Nutzers bearbeitet.
Eine Weitergabe oder Zweckentfremdung der Daten durch den Auftragsverarbeiter ist ausgeschlossen.

9. Datenkategorien
Folgende Daten werden in SITOS erhoben (Fettschrift = Pflichtfelder, Normalschrift = optionale Felder):

Es ist zu beachten, dass in der Demo-Version von SITOS nur eingeschränkte Daten erhoben werden (Benutzername, Passwort, Vorname, Nachname).

10. Datenschutzpflichten seitens bit media
Der Lizenzgeber verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich im Rahmen der schriftlichen Aufträge des Nutzers zu verarbeiten. Kopien oder Duplikate der Daten werden ohne Wissen des Nutzers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Der Lizenzgeber informiert den Nutzer unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Verwaltungs- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Lizenzgeber ermittelt. Erhält der Lizenzgeber eine behördliche Anfrage, Daten des Nutzers herauszugeben, so hat er – sofern gesetzlich zulässig – den Nutzer unverzüglich darüber zu informieren und die Behörde an diesen zu verweisen. Desgleichen bedarf eine Verarbeitung der Daten für eigene Zwecke des Lizenzgebers eines schriftlichen Auftrages des Nutzers.
Durch die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO erklärt der Lizenzgeber rechtsverbindlich, dass er alle mit der Datenverarbeitung beauftragen Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Lizenzgeber und jede ihm unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Nutzers verarbeiten einschließlich der in diesem Dokument eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Insbesondere bleibt die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung beauftragten Personen auch nach Beendigung ihrer Tätigkeit und Ausscheiden beim Lizenzgeber aufrecht.
Der Lizenzgeber hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DS-GVO. Insofern gewährleistet er den Einsatz eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DS-GVO ausübt. Die Daten des Datenschutzbeauftragten sind auf der Webseite des Lizenzgebers ersichtlich.
Der Lizenzgeber erklärt rechtsverbindlich, dass er alle erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art. 32ff DSGVO insbesondere iVm mit Art. 5 Abs. 1 und Abs. 2 DSGVO ergriffen hat und deren Einhaltung regelmäßig kontrolliert und dokumentiert. Es handelt sich hierbei um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme.
Mitwirkungspflicht bei Betroffenenrechten: Der Lizenzgeber ergreift die technischen und organisatorischen Maßnahmen, damit der Nutzer die Betroffenenrechte nach Kapitel III der DSGVO (insbesondere Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann und überlässt dem Nutzer alle dafür notwendigen Informationen.
Der Lizenzgeber darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Nutzers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Lizenzgeber wendet, wird der Lizenzgeber dieses Ersuchen unverzüglich an den Nutzer weiterleiten. Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessen werden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Nutzers unmittelbar durch den Lizenzgeber durchzuführen (sicherzustellen).
Der Lizenzgeber verpflichtet sich, den Nutzer bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten zu unterstützen. Dazu gehören insbesondere:
Der Lizenzgeber wird darauf hingewiesen, dass er für die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art. 30 DSGVO zu erstellen hat.
Dem Nutzer wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten das Recht jederzeitiger Einsichtnahme und Kontrolle, sei es auch durch ihn beauftragte Dritte, der Datenverarbeitungseinrichtung eingeräumt. Der Lizenzgeber verpflichtet sich, dem Nutzer jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind.
Der Lizenzgeber stellt insbesondere sicher, dass sich der Nutzer von der Einhaltung der Pflichten des Lizenzgebers nach Art. 28 DSGVO überzeugen kann. Der Lizenzgeber verpflichtet sich, dem Nutzer auf Aufforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen. Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DESGVO, die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO, aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren), eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit.
Der Lizenzgeber ist spätestens nach Beendigung dieser Vereinbarung verpflichtet, sämtliche in seinem Besitz gelangte Unterlagen, erstellte Verarbeitungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Nutzer zu übergeben / in dessen Auftrag datenschutzgerecht zu vernichten. Das Protokoll der Löschung ist auf Aufforderung vorzulegen. Wenn der Lizenzgeber die Daten in einem speziellen technischen Format verarbeitet, ist er verpflichtet, die Daten nach Beendigung dieser Vereinbarung entweder in diesem Format oder nach Wunsch des Nutzers in dem Format, in dem die Daten vom Lizenzgeber erhalten hat oder in einem anderen, gängigen Format herauszugeben.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Lizenzgeber entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.
Der Lizenzgeber hat den Nutzer unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Nutzers verstößt gegen Datenschutzbestimmungen der Union oder der Mitgliedsstaaten.

11. Technisch-organisatorische Maßnahmen
Die technischen und organisatorischen Maßnahmen (TOMs) unterliegen dem technischen Fortschritt und der Weiterentwicklung. Es ist dem Lizenzgeber gestattet, alternative adäquate Maßnahmen umzusetzen, soweit das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Nutzer mitzuteilen. Soweit die Prüfung / ein Audit des Nutzers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.

12. Ort der Durchführung der Datenverarbeitung
Alle Datenverarbeitungstätigkeiten werden ausschließlich innerhalb der EU bzw. des EWR durchgeführt. Dies gilt auch für Leistungen des Sub-Auftragsverarbeiters.

13. Sub-Auftragsverarbeiter
Der Lizenzgeber ist befugt, folgende Unternehmen als Sub-Auftragsverarbeiter zur unmittelbaren Erbringung der Dienstleistung hinzuzuziehen:

Infrastrukturprovider:

A1 Telekom Austria AG
Marburger Kai 43-45
A 8010 Graz

Die erforderlichen Vereinbarungen zwischen dem Lizenzgeber und dem Sub-Auftragsverarbeiter gemäß des Art. 28 Abs. 4 DSGVO wurden abgeschlossen.
Jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung durch andere Sub-Auftragsverarbeitet bedarf der vorherigen schriftlichen Genehmigung durch den Nutzer. Es ist sichergestellt, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Lizenzgeber aufgrund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Lizenzgeber gegenüber dem Nutzer für die Einhaltung der Pflichten des Sub-Auftraggebers.

Zurück zur Übersicht