Auftragsverarbeitungsvertrag (DPA)

Beta-Übersetzung. Maßgeblich ist die englische Fassung.

Entwurf. Dieses Dokument ist ein Entwurf des Solispec-Entwicklungsteams und wird derzeit von einem Anwalt geprüft. Es ist noch nicht in Kraft. Übersetzungen dienen der Verständlichkeit; weicht eine Übersetzung von der englischen Fassung ab, ist die englische Fassung maßgeblich.

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („DPA“) besteht zwischen dem Kunden, der einen Pro-, Business- oder White-Label-Tarif nutzt („Kunde“, der Verantwortliche), und dem Betreiber von Solispec, einem ukrainischen Einzelunternehmer: [BETREIBER: vollständiger Name, Steuernummer und Adresse — vom Inhaber bereitzustellen] („Solispec“, der Auftragsverarbeiter).

Er gilt, wenn die Projekte oder das Kundenadressbuch des Kunden personenbezogene Daten Dritter enthalten, und ergänzt die Nutzungsbedingungen. Er soll Art. 28 DSGVO entsprechen. [ANWALT: bestätigen, wie der DPA geschlossen wird, z. B. durch Annahme in den Kontoeinstellungen oder zusammen mit den Nutzungsbedingungen.]

2. Einzelheiten der Verarbeitung

• Gegenstand: Hosting und Verarbeitung von Kundendaten im Solispec-Dienst.
• Dauer: solange Solispec dem Kunden den Dienst bereitstellt, zuzüglich der Löschfrist nach Abschnitt 10.
• Art und Zweck: Speicherung, Anzeige, Berechnung, Versionierung, Datensicherung und, sobald verfügbar, Export, ausschließlich zur Bereitstellung des Dienstes.
• Kategorien betroffener Personen: die Kunden des Kunden und deren Ansprechpartner sowie weitere Personen, die der Kunde in Projekten erfasst.
• Kategorien personenbezogener Daten: Name, E-Mail, Telefon, Adresse, Notizen sowie Installationsorte oder -adressen in Projekten. Der Kunde sollte keine besonderen Kategorien personenbezogener Daten speichern (Art. 9 DSGVO).

3. Weisungen

Solispec verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden. Diese Nutzungsbedingungen, dieser DPA und die Nutzung der Funktionen des Dienstes durch den Kunden stellen die Weisungen des Kunden dar. Ist Solispec gesetzlich verpflichtet, die Daten anderweitig zu verarbeiten, wird es den Kunden vorab informieren, sofern das Gesetz dies nicht untersagt. Solispec wird den Kunden informieren, wenn es der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.

4. Vertraulichkeit

Solispec stellt sicher, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind.

5. Sicherheitsmaßnahmen

Solispec setzt geeignete technische und organisatorische Maßnahmen um, unter anderem:

• Verschlüsselung bei der Übertragung (TLS);
• Zugriffskontrolle auf Basis von Konten und Rollen;
• Trennung der Daten jeder Organisation von anderen Organisationen;
• Passwort-Hashing;
• regelmäßige Datensicherungen, gespeichert in der EU.

Solispec kann diese Maßnahmen aktualisieren, sofern das Schutzniveau nicht verringert wird.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die folgenden Unterauftragsverarbeiter:

• OVH — Hosting und Datensicherung (EU);
• Stripe — Kartenzahlungen (Abrechnungsdaten des Kunden);
• Heleket — Kryptowährungszahlungen (Abrechnungsdaten des Kunden);
• ein E-Mail-Zustelldienst (SMTP) [noch zu benennen].

Google Analytics (nur mit Einwilligung) und Kartenanbieter (OpenStreetMap/Nominatim, Anbieter von Kartenkacheln, Mapbox mit eigenem Token des Nutzers) werden direkt vom Browser des Besuchers angefragt oder betreffen die Website-Nutzung; sie erhalten nicht das Kundenadressbuch des Kunden. [ANWALT: diese Einordnung bestätigen.]

Solispec wird den Kunden im Voraus über neue oder ersetzte Unterauftragsverarbeiter informieren [Ankündigungsfrist noch festzulegen]. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; findet sich keine Lösung, kann der Kunde den betroffenen Tarif kündigen. Solispec verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die diesem DPA entsprechen, und bleibt für diese verantwortlich.

7. Internationale Datenübermittlungen

Kundendaten werden in der EU gehostet und gesichert, sodass für das Hosting keine Standardvertragsklauseln erforderlich sind. Soweit Stripe, Heleket oder Google Daten außerhalb der EU verarbeiten, stützen sich die Übermittlungen auf deren eigene Garantien. [ANWALT: Standort und Übermittlungsgrundlage von Heleket bestätigen.]

[ANWALT: Solispec ist in der Ukraine ansässig und verwaltet den Dienst remote; prüfen, ob dieser Zugriff Garantien nach Kapitel V DSGVO erfordert.]

8. Unterstützung

Unter Berücksichtigung der Art der Verarbeitung unterstützt Solispec den Kunden bei:

• der Beantwortung von Anfragen betroffener Personen (Zugang, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch); wendet sich eine betroffene Person direkt an Solispec, leitet Solispec die Anfrage an den Kunden weiter;
• der Erfüllung seiner Pflichten zu Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation.

9. Verletzungen des Schutzes personenbezogener Daten

Solispec wird den Kunden unverzüglich benachrichtigen, nachdem es von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Kundendaten betrifft. Die Benachrichtigung enthält die zum jeweiligen Zeitpunkt verfügbaren Informationen, etwa Art der Verletzung, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen.

10. Löschung oder Rückgabe

Am Ende des Dienstes kann der Kunde eine Kopie seiner Daten erhalten: per Self-Service-Export, sobald verfügbar, und bis dahin auf Anfrage an [email protected], bereitgestellt innerhalb eines Monats. Solispec löscht anschließend die personenbezogenen Daten, sofern das Gesetz keine Aufbewahrung vorschreibt. Kopien in Datensicherungen werden mit der Rotation der Sicherungen gelöscht, innerhalb von bis zu 30 Tagen [zu verifizieren].

11. Prüfungen (Audits)

Auf Anfrage stellt Solispec die zum Nachweis der Einhaltung dieses DPA erforderlichen Informationen bereit und ermöglicht Prüfungen durch den Kunden oder einen von ihm beauftragten Prüfer sowie wirkt daran mit, mit angemessener Vorankündigung und unter Wahrung der Vertraulichkeit. [ANWALT: Häufigkeit und Kostenregeln festlegen.]

12. Haftung und Vorrang

Die Haftung nach diesem DPA richtet sich nach den Nutzungsbedingungen, vorbehaltlich zwingenden Rechts. Widerspricht dieser DPA den Nutzungsbedingungen in Datenschutzfragen, hat dieser DPA Vorrang.

13. Kontakt

[email protected].