Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (der „AVV“, englisch „DPA“) legt fest, wie die Galah Enterprises Pty Ltd (ACN 682 927 779), handelnd unter der Bezeichnung DS160.io („DS160.io“), personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet, der einen Business-Arbeitsbereich von DS160.io nutzt (der „Kunde“, englisch „Customer“). Er ist Bestandteil der Nutzungsbedingungen von DS160.io (der „Vertrag“, englisch „Agreement“) und wird wirksam, wenn der Kunde diese annimmt, auf eine der in Klausel 1(e) des Vertrags genannten Arten: durch Ankreuzen des Kästchens oder Klicken auf „Ich akzeptiere diese Bedingungen“, durch Unterzeichnung einer Vereinbarung mit DS160.io oder durch Bezahlung oder Nutzung eines Business-Arbeitsbereichs.

1. Begriffsbestimmungen

Hier nicht definierte Begriffe haben die Bedeutung, die ihnen die DSGVO (Verordnung (EU) 2016/679) gibt. „Datenschutzrecht“ (englisch „Data Protection Law“) bezeichnet die DSGVO, die UK GDPR und den UK Data Protection Act 2018, das Schweizer Bundesgesetz über den Datenschutz sowie jedes andere Datenschutzrecht, das auf die personenbezogenen Daten des Kunden anwendbar ist. „Personenbezogene Kundendaten“ (englisch „Customer Personal Data“) bezeichnet die in Anhang I beschriebenen personenbezogenen Daten, die DS160.io im Auftrag des Kunden verarbeitet. „Antragsteller“ (englisch „Applicant“) bezeichnet eine Person, deren DS-160 im Arbeitsbereich des Kunden vorbereitet wird. „Unterauftragsverarbeiter“ (englisch „Sub-processor“) bezeichnet einen Dritten, den DS160.io mit der Verarbeitung personenbezogener Kundendaten beauftragt. „SCC“ (englisch „SCCs“) bezeichnet die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission.

2. Rollen und Geltungsbereich

Der Kunde ist der Verantwortliche für die personenbezogenen Kundendaten, und DS160.io ist sein Auftragsverarbeiter. Dieser AVV erfasst nur personenbezogene Kundendaten: die Daten der Antragsteller im Arbeitsbereich des Kunden. Die eigenen Konto- und Abrechnungsdaten des Kunden sowie die Anmeldedaten seiner Mitarbeiter verarbeitet DS160.io als Verantwortlicher nach seiner Datenschutzerklärung.

Anhang I beschreibt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen.

3. Pflichten des Kunden

Der Kunde ist dafür verantwortlich, über eine Rechtsgrundlage für die von ihm angewiesene Verarbeitung zu verfügen und den Antragstellern die nach Artikel 13 und 14 DSGVO erforderlichen Informationen zu erteilen. Da das DS-160 nach der Gesundheit sowie nach Festnahmen und Verurteilungen fragt, ist der Kunde insbesondere dafür verantwortlich, für die Antworten zur Gesundheit über eine Bedingung nach Artikel 9 DSGVO und für die Antworten zu Vorstrafen über eine Grundlage nach Artikel 10 DSGVO zu verfügen, zum Beispiel die ausdrückliche Einwilligung des Antragstellers, bevor diese Antworten über DS160.io eingegeben oder erhoben werden.

DS160.io bietet auf Kundenlinks einen optionalen Einwilligungsschritt an, den der Kunde in seinen Arbeitsbereichseinstellungen oder für jeden einzelnen Link aktiviert. Ein Kundenlink, auf dem er aktiviert ist, zeigt dem Antragsteller einen Datenschutzhinweis und eine Beschreibung dieser Verarbeitung, die DS160.io als Vorlage verfasst hat, unter dem Branding des Kunden und unter Nennung von DS160.io nur als Softwareanbieter des Kunden, und lässt den Antragsteller den Link erst nutzen, nachdem er zugestimmt hat, einschließlich ausdrücklich zu den Antworten zur Gesundheit und zu Vorstrafen. Der Kunde übernimmt diese Vorlage als seinen eigenen Hinweis und bleibt dafür verantwortlich, ebenso dafür, ob die Einwilligung die richtige Rechtsgrundlage ist, und für Antragsteller, die DS160.io auf anderem Weg als über einen solchen Link erreichen. DS160.io protokolliert jede Einwilligung und jeden Widerruf für den Kunden. Auf einem Gruppenlink, über den eine Person, die der Kunde als Gruppenleiter benennt, die Formulare mehrerer Antragsteller ausfüllt, stimmt der Gruppenleiter für jeden Antragsteller einer Fassung dieses Hinweises zu, die für eine Zustimmung in dessen Namen formuliert ist. Diese Einwilligung öffnet nicht den eigenen Kundenlink des Antragstellers, der erneut nachfragt. Der Kunde entscheidet, ob ein Gruppenleiter für einen volljährigen Antragsteller zustimmen darf, und bleibt dafür verantwortlich, ob der Gruppenleiter für jeden Antragsteller handeln darf.

Die Weisungen des Kunden an DS160.io sind dieser AVV, der Vertrag und die Nutzung und Konfiguration von DS160.io durch den Kunden, einschließlich des Versendens von Kundenlinks, des Eingebens und Bearbeitens von Antworten, des Schreibens an Antragsteller in den Nachrichten eines Antrags und des Startens einer Einreichung bei CEAC. Auch das Starten eines Imports aus CEAC oder das Zulassen, dass Antragsteller auf Kundenlinks einen solchen starten, was aktiviert ist, sofern der Kunde es nicht deaktiviert, ist eine Weisung; wer die Angaben eingibt, bestätigt, dass der Antragsteller der Kopie zustimmt, die CEAC von einem eingereichten DS-160 erstellt.

4. Pflichten von DS160.io

Weisungen. DS160.io verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, auch im Hinblick auf Übermittlungen außerhalb des EWR und des Vereinigten Königreichs, sofern das Recht nichts anderes verlangt; in diesem Fall teilt DS160.io dies dem Kunden vorab mit, sofern das Recht dies nicht verbietet. DS160.io informiert den Kunden, wenn es der Auffassung ist, dass eine Weisung gegen das Datenschutzrecht verstößt.

Vertraulichkeit. Jede Person, die DS160.io zur Verarbeitung personenbezogener Kundendaten befugt, ist durch eine schriftliche Vertraulichkeitspflicht gebunden und erhält angemessene Schulungen zu Datenschutz und Sicherheit. Mitarbeiter von DS160.io öffnen den Arbeitsbereich des Kunden oder den Antrag eines Antragstellers nur mit der Erlaubnis des Kunden, ein Problem zu untersuchen, und sehen ansonsten nur die Diagnoseaufzeichnungen fehlgeschlagener Einreichungsläufe.

Sicherheit. DS160.io setzt die technischen und organisatorischen Maßnahmen in Anhang II um und hält sie mindestens auf dem dort beschriebenen Schutzniveau.

Unterstützung. Unter Berücksichtigung der Art der Verarbeitung unterstützt DS160.io den Kunden dabei,

• Anträge von Antragstellern zu beantworten, die ihre Rechte ausüben. Der Kunde kann Antworten von Antragstellern in seinem Arbeitsbereich selbst einsehen, berichtigen und löschen; DS160.io übernimmt die Löschung der Daten eines Antragstellers und stellt auf Verlangen des Kunden Kopien bereit. DS160.io leitet jeden Antrag, den es direkt zu personenbezogenen Kundendaten erhält, an den Kunden weiter und beantwortet ihn nur auf Weisung des Kunden;
• seine Pflichten nach Artikel 32 bis 36 DSGVO zu erfüllen, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultation, mit den Informationen, über die DS160.io verfügt.

5. Verletzungen des Schutzes personenbezogener Daten

DS160.io benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Die Benachrichtigung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Antragsteller und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen, und DS160.io ergänzt sie, sobald es mehr erfährt. DS160.io ergreift angemessene Maßnahmen, um die Verletzung einzudämmen, und meldet sie einer Aufsichtsbehörde oder den Antragstellern nur, soweit der Kunde dies anweist oder das Recht es verlangt.

6. Unterauftragsverarbeiter

Der Kunde erteilt DS160.io eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die zum Datum dieses AVV beauftragten Unterauftragsverarbeiter sind in Anhang III aufgeführt.

DS160.io informiert den Kunden mindestens 30 Tage im Voraus, per E-Mail an den Inhaber des Arbeitsbereichs und durch Aktualisierung von Anhang III, bevor es einen Unterauftragsverarbeiter hinzufügt oder ersetzt. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; können die Parteien den Einspruch nicht ausräumen, kann der Kunde seine Nutzung von DS160.io nach Klausel 5(c) des Vertrags beenden, mit anteiliger Erstattung nicht genutzter vorausbezahlter Gebühren.

DS160.io erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die mindestens den Schutz dieses AVV bieten, und haftet gegenüber dem Kunden für die Leistung jedes Unterauftragsverarbeiters.

7. Internationale Übermittlungen

DS160.io verarbeitet personenbezogene Kundendaten auf eigenen Servern an seinem Hauptsitz in den Vereinigten Staaten, und seine Unterauftragsverarbeiter befinden sich in den Vereinigten Staaten. Unterliegt der Kunde der DSGVO und ist eine Übermittlung an DS160.io eine Übermittlung in ein Drittland, schließen die Parteien Modul 2 (Verantwortlicher an Auftragsverarbeiter) der SCC ab, die durch Verweis einbezogen werden, mit dem Kunden als Datenexporteur und DS160.io als Datenimporteur, und mit folgenden Wahlmöglichkeiten:

• Klausel 7 (Kopplungsklausel) findet keine Anwendung;
• Klausel 9: Option 2 (allgemeine schriftliche Genehmigung), mit der Frist aus Abschnitt 6;
• Klausel 11: die optionale Formulierung findet keine Anwendung;
• Klausel 13: die zuständige Aufsichtsbehörde ergibt sich aus Anhang I;
• Klauseln 17 und 18: das Recht und die Gerichte Irlands;
• die Anhänge I, II und III der SCC werden durch die Anhänge I, II und III dieses AVV ausgefüllt.

Unterliegt der Kunde der UK GDPR, schließen die Parteien außerdem das UK International Data Transfer Addendum zu den SCC (Version B1.0) ab, wobei die Tabellen anhand dieses AVV ausgefüllt werden und keine Partei es nach dessen Abschnitt 19 beenden kann.

Unterliegt der Kunde dem Schweizer Bundesgesetz über den Datenschutz (DSG), gelten die SCC auch für Übermittlungen, die dem DSG unterliegen, mit folgenden Anpassungen: Verweise auf die DSGVO sind als Verweise auf das DSG zu verstehen; zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte; der Begriff „Mitgliedstaat“ hindert betroffene Personen mit gewöhnlichem Aufenthalt in der Schweiz nicht daran, ihre Ansprüche gemäß Klausel 18(c) vor den dortigen Gerichten geltend zu machen; und die Klauseln 17 und 18 bleiben im Übrigen so, wie in diesem Abschnitt festgelegt.

Die Einreichung des DS-160 eines Antragstellers bei CEAC übermittelt die Antworten des Antragstellers an das US-Außenministerium (US Department of State). Diese Übermittlung erfolgt auf Weisung des Kunden als Zweck des Dienstes, und das US-Außenministerium ist ein Empfänger, kein Unterauftragsverarbeiter. Der Import eines DS-160 aus CEAC übermittelt CEAC die Angaben, mit denen es abgerufen wird, und erstellt dort bei einem eingereichten DS-160 eine neue, nicht unterschriebene Kopie; auch dies geschieht auf Weisung des Kunden.

8. Löschung und Rückgabe

Endet die Nutzung von DS160.io durch den Kunden, stellt DS160.io dem Kunden einen Export der personenbezogenen Kundendaten in einem maschinenlesbaren Format für 30 Tage zur Verfügung und löscht sie anschließend (Klausel 11(e) des Vertrags). Während der Kunde DS160.io nutzt, löscht DS160.io die personenbezogenen Kundendaten eines Arbeitsbereichs oder eines Antragstellers innerhalb von 30 Tagen nach dem Verlangen des Kunden. Gelöschte Daten verbleiben in den Datenbanksicherungen von DS160.io, und frühere Versionen gespeicherter Dateien verbleiben bei seinem Speicheranbieter, für bis zu 7 Tage nach der Löschung, verschlüsselt, und werden dann überschrieben. DS160.io bewahrt personenbezogene Kundendaten nur dann länger auf, wenn das Recht dies verlangt, und dann nur zu diesem Zweck.

9. Audits und Informationen

DS160.io stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV und von Artikel 28 DSGVO erforderlich sind, und beantwortet angemessene schriftliche Fragen des Kunden zu seiner Verarbeitung. DS160.io ermöglicht Audits, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer, einmal innerhalb von 12 Monaten (oder häufiger nach einer Verletzung des Schutzes personenbezogener Daten oder wenn eine Aufsichtsbehörde es verlangt), mit einer schriftlichen Ankündigung von mindestens 30 Tagen, während der Geschäftszeiten, unter einer Verschwiegenheitspflicht und auf Kosten des Kunden. DS160.io kann einer Auditanfrage mit aktueller Dokumentation entsprechen, wenn diese sie beantwortet.

10. Haftung und Vorrang

Die Haftung jeder Partei nach diesem AVV unterliegt den Beschränkungen in Klausel 12 des Vertrags (Haftung), außer soweit das Datenschutzrecht diese Beschränkungen nicht zulässt. Steht dieser AVV im Widerspruch zum Vertrag, hat dieser AVV Vorrang; steht er im Widerspruch zu den SCC, haben die SCC Vorrang.

Dieser AVV gilt, solange DS160.io personenbezogene Kundendaten verarbeitet. Mit Ausnahme der SCC, für die das in Abschnitt 7 Festgelegte gilt, unterliegt dieser AVV dem Recht von New South Wales, Australien, und jede Partei unterwirft sich der ausschließlichen Zuständigkeit der Gerichte von New South Wales und der ihnen übergeordneten Rechtsmittelgerichte.

Anhang I: Beschreibung der Verarbeitung

A. Parteien

Datenexporteur und Verantwortlicher: der Kunde, wie in seinem Business-Arbeitsbereich bei DS160.io angegeben. Kontakt: der Inhaber des Arbeitsbereichs.

Datenimporteur und Auftragsverarbeiter: Galah Enterprises Pty Ltd, handelnd unter der Bezeichnung DS160.io, 26 Knight Street, Arncliffe NSW 2205, Australien. Kontakt: privacy@ds160.io.

B. Beschreibung der Übermittlung und Verarbeitung

Kategorien betroffener Personen

• Antragsteller: die Kunden des Kunden und deren Familienangehörige, einschließlich Kindern, deren DS-160 im Arbeitsbereich des Kunden vorbereitet wird.
• Gruppenleiter: Personen, die der Kunde benennt, um über einen einzigen Link die Formulare einer Gruppe von Antragstellern auszufüllen, und die selbst keine Antragsteller sein müssen.
• In den Antworten eines Antragstellers genannte Personen, etwa Familienangehörige, Arbeitgeber, Reisebegleiter und Kontaktpersonen in den Vereinigten Staaten.
• Die Mitarbeiter des Kunden, wie sie im Bearbeitungsverlauf eines Antrags erfasst sind und als Verfasser von Nachrichten an Antragsteller.

Kategorien personenbezogener Daten

• Alles, was das DS-160 abfragt: Namen, Geburtsdatum und -ort, Staatsangehörigkeit, nationale Identifikationsnummer und Passdaten, Adressen, Telefonnummern, E-Mail-Adressen und Social-Media-Kennungen, Reisepläne und Reisehistorie, Familienangehörige, Ausbildungs- und Berufsweg.
• Das Visumfoto des Antragstellers und alle für den Antrag hochgeladenen Dokumente, einschließlich Scans der Reisepässe des Ehepartners und der Eltern des Antragstellers, soweit sie hochgeladen werden, um die Antworten zu diesen Personen auszufüllen.
• Einreichungsdaten: die CEAC Application ID, die Antwort auf die Sicherheitsfrage, die Bestätigungsseite und ein PDF jeder Seite, die CEAC zurückgegeben hat.
• Importe aus CEAC: der Standort, die Application ID, der Nachname, das Geburtsjahr und die Antwort auf die Sicherheitsfrage, die eingegeben werden, um ein DS-160 abzurufen; die Antworten, die CEAC zurückgibt; bei einem eingereichten DS-160 die Application ID und die Antwort auf die Sicherheitsfrage der Kopie, die CEAC erstellt; sowie eine Aufzeichnung über Verlauf und Ergebnis jedes Imports, die keine Antworten enthält.
• Der Bearbeitungsverlauf jeder Antwort: der alte und der neue Wert, wer die Änderung vorgenommen hat und wann.
• Nachrichten zwischen den Mitarbeitern des Kunden und einem Antragsteller zum Antrag, einschließlich der Antworten des Antragstellers per E-Mail, und wann jede gesendet und gelesen wurde. Anhänge einer per E-Mail gesendeten Antwort werden nicht aufbewahrt.
• Nutzungsdaten der Seiten zur Kundenerfassung, die ein Antragsteller über einen Kundenlink öffnet.
• Wenn ein Kundenlink danach fragt, die Aufzeichnung der Einwilligung des Antragstellers: wann sie erteilt oder widerrufen wurde, Version und Sprache des Hinweises sowie der verwendete Browser.
• Bei einem Gruppenlink: Name und E-Mail-Adresse des Gruppenleiters, wann der Link per E-Mail versandt und geöffnet wurde und, bei einer vom Gruppenleiter erteilten Einwilligung, dass sie im Namen des Antragstellers erteilt wurde.

Besondere Kategorien und strafrechtliche Daten: Gesundheitsdaten (Artikel 9 DSGVO: übertragbare Krankheiten, psychische oder körperliche Störungen, Drogenkonsum) und Daten über strafrechtliche Verurteilungen und Straftaten (Artikel 10 DSGVO: Festnahmen, Verurteilungen und andere strafrechtliche Angelegenheiten), aus den Sicherheits- und Hintergrundfragen des DS-160.

Häufigkeit der Übermittlung: fortlaufend, solange der Kunde DS160.io nutzt.

Art der Verarbeitung: Erhebung von Antworten über Kundenlinks und durch die Mitarbeiter des Kunden; deren Speicherung und Verschlüsselung; Übersetzung von Freitextantworten ins Englische; Extraktion der Angaben aus einem Passscan (des Antragstellers oder seines Ehepartners oder eines Elternteils), wenn die Mitarbeiter des Kunden oder ein Antragsteller dies verlangen, um daraus Antworten vorzuschlagen; automatische Prüfung des Visumfotos; Versand von Kundenlink- und Nachrichten-E-Mails und Empfang der Antworten der Antragsteller darauf; Protokollierung der Einwilligung der Antragsteller auf Kundenlinks, die danach fragen; und, wenn der Kunde eine Einreichung startet, Eingabe der Antworten bei CEAC und Erfassung des Ergebnisses. Wenn die Mitarbeiter des Kunden oder ein Antragsteller auf einem Kundenlink dies verlangen, liest DS160.io außerdem ein DS-160 aus CEAC in einen neuen Antrag oder anstelle der Antworten des Antrags ein.

Zweck: Vorbereitung und Einreichung der DS-160-Anträge der Antragsteller für den Kunden.

Aufbewahrung: solange der Arbeitsbereich des Kunden besteht, danach wie in Abschnitt 8. Diagnoseaufzeichnungen eines fehlgeschlagenen Einreichungslaufs werden nach 90 Tagen gelöscht, Aufzeichnungen der Schritte jedes Einreichungslaufs nach 30 Tagen. Aus einem Passscan extrahierte Angaben werden nach 30 Tagen gelöscht, oder früher, wenn der Scan gelöscht oder ersetzt wird. Eine per E-Mail empfangene Antwort wird von Amazon Web Services gespeichert, bis DS160.io sie in die Nachrichten des Antrags eingelesen hat, höchstens jedoch 14 Tage. Die zum Import eines DS-160 aus CEAC eingegebenen Angaben werden gelöscht, sobald der Import mit dem Einlesen beginnt, spätestens nach einer Stunde; was ein Import eingelesen hat, die Angaben einer von CEAC erstellten Kopie und die Diagnoseaufzeichnungen eines Imports werden nach 90 Tagen gelöscht.

Übermittlungen an Unterauftragsverarbeiter: wie in Anhang III, für die dort genannten Zwecke und Daten, solange DS160.io sie einsetzt.

C. Zuständige Aufsichtsbehörde

Die Aufsichtsbehörde des EU-Mitgliedstaats, in dem der Kunde niedergelassen ist, oder, wenn der Kunde nicht in der EU niedergelassen ist, aber der DSGVO unterliegt, die Behörde des Mitgliedstaats, in dem sein Vertreter nach Artikel 27 DSGVO niedergelassen ist. Für die UK GDPR das Information Commissioner’s Office. Für das Schweizer Bundesgesetz über den Datenschutz der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

Anhang II: Technische und organisatorische Maßnahmen

Verschlüsselung im Ruhezustand. Antworten der Antragsteller, ihr Bearbeitungsverlauf, Nachrichten zu einem Antrag, die bei jeder Einreichung erstellte Kopie des Antrags, die CEAC Application ID und die Antwort auf die Sicherheitsfrage sowie die Diagnoseaufzeichnungen von Einreichungsläufen werden mit AES-256 (GCM) verschlüsselt. Der Schlüssel wird in einem verwalteten Schlüsselspeicher getrennt von der Datenbank und ihren Sicherungen aufbewahrt, sodass keine von beiden ohne ihn gelesen werden kann. Nur Name, Geburtsjahr, Konsulat und Visumtyp des Antragstellers bleiben lesbar, für die Antragslisten. Die zum Import eines DS-160 aus CEAC eingegebenen Angaben, was der Import eingelesen hat, und die Angaben einer von CEAC erstellten Kopie werden auf dieselbe Weise verschlüsselt.

Verschlüsselung bei der Übertragung. Der gesamte Datenverkehr zu DS160.io erfolgt über HTTPS. Geheimnisse wie Mailserver-Passwörter und Authentifizierungsschlüssel werden verschlüsselt gespeichert.

Hosting. Die Datenbank, die Anwendungsserver und der Browser, der jedes DS-160 einreicht, laufen auf eigener Hardware von DS160.io, in den eigenen Räumlichkeiten an seinem Hauptsitz in den Vereinigten Staaten. Die Räumlichkeiten werden verschlossen gehalten.

Zugriffskontrolle. Nur das Team von DS160.io kann auf die Produktivsysteme zugreifen. Mitarbeiter öffnen einen Arbeitsbereich oder einen Antrag nur mit der Erlaubnis des Kunden, ein Problem zu untersuchen, und sehen ansonsten nur die Diagnoseaufzeichnungen fehlgeschlagener Einreichungsläufe. Änderungen, die Mitarbeiter während einer Untersuchung vornehmen, werden als von DS160.io vorgenommen protokolliert. Für jedes Konto kann die Multi-Faktor-Authentifizierung aktiviert werden, und der Zugriff innerhalb eines Arbeitsbereichs folgt den Rollen, die der Kunde vergibt.

Datenminimierung im Betrieb. Die Betriebsalarme von DS160.io laufen auf eigenen Servern und identifizieren Arbeitsbereiche und Anträge anhand interner IDs, niemals anhand von Namen oder E-Mail-Adressen. Visumfotos werden auf eigenen Servern von DS160.io geprüft, nicht durch einen Dritten.

Datensicherung und Wiederherstellung. Die Datenbank wird gesichert, und Sicherungen werden 7 Tage aufbewahrt. Frühere Versionen gespeicherter Dateien werden vom Speicheranbieter 7 Tage aufbewahrt. Die Notfallwiederherstellung zielt auf einen Wiederherstellungspunkt und eine Wiederherstellungszeit von 24 Stunden.

Protokollierung, Überwachung und Patching. Die Systeme von DS160.io werden protokolliert und überwacht, und Schwachstellen werden durch zeitnahes Patchen behandelt.

Schulung. Jede Person mit Zugriff auf personenbezogene Kundendaten erhält Schulungen zu Datenschutz und Sicherheit.

Aufbewahrung. Diagnoseaufzeichnungen fehlgeschlagener Einreichungsläufe werden nach 90 Tagen gelöscht, Aufzeichnungen der Schritte von Einreichungsläufen nach 30 Tagen und Daten auf ein Löschverlangen hin innerhalb von 30 Tagen, wie in Abschnitt 8. Die für einen Import aus CEAC eingegebenen Angaben werden innerhalb einer Stunde gelöscht, und was er eingelesen hat, nach 90 Tagen.

Anhang III: Unterauftragsverarbeiter