Datenverarbeitungsvereinbarung
Gültig ab April 2020 Zuletzt aktualisiert im November 2020 Zwischen:
Bioresonanz am See e.U., Bahnstraße 22, 7093 Jois, Österreich (im Folgenden „der Kunde“ oder „Verantwortlicher“)
Und
SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Ireland D02 K580, VAT: IE9813461A (im Folgenden „SumUp“ oder „Auftragsverarbeiter“)
Jeweils eine „Partei“; zusammen „die Parteien“,
haben die Bestimmungen dieser Datenverarbeitungsvereinbarung (im Folgenden „DVV“ oder „Vereinbarung“) über den Schutz personenbezogener Daten in Bezug auf die Verarbeitung von personenbezogenen Daten, wenn der Kunde als Verantwortlicher agiert und SumUp als Auftragsverarbeiter agiert, um die gegenseitigen Verpflichtungen aus dem Vertragsverhältnis, die in der nachstehenden Dienstleistungsvereinbarung spezifiziert sind, zu erfüllen. Als Teil der Erfüllung dieser Verpflichtungen wird SumUp bestimmte personenbezogene Daten im Namen des Verantwortlichen, im Einklang mit den Regelungen dieses Vertrages, verarbeiten. Jede Partei stimmt zu und wird dafür Sorge tragen, dass die Bestimmungen dieses Vertrags auch vollumfänglich für alle Tochtergesellschaften der Parteien gelten, welche an den Verarbeitungsvorgängen personenbezogener Daten für das Projekt, welches in der Dienstleistungsvereinbarung definiert wird, involviert sind.
Insbesondere wird SumUp bei der Verarbeitung personenbezogener Daten des Kunden dafür Sorge tragen, dass sämtliche Subauftragsverarbeiter im Einklang mit den gleichen Bestimmungen dieser Vereinbarung operieren. Für die Verarbeitung persönlicher Daten gemäß dieser DVV nutzt SumUp als Subauftragsverarbeiter eine Einheit der SumUp-Unternehmensgruppe: Debitoor Ireland Ltd., Block 8 Harcourt Centre, Charlotte Way, Dublin 2, D02 K580 („Debitoor“)
Einführung und Definitionen
Personenbezogene Daten sind definiert als jegliche Informationen, die sich auf ein Datensubjekt beziehen, welches direkt oder indirekt identifiziert werden kann, insbesondere durch ein Identifizierungsmerkmal, wie Namen, Identifikationsnummern, Ortsdaten, eine Online-Kennung oder einen oder mehrere Faktoren, die einer physischen, physiologischen, genetischen, mentalen, ökonomischen, kulturellen oder sozialen Identifikation einer natürlichen oder juristischen Person (wo anwendbar) eigentümlich sind.
Alle anderen Definitionen, auf welche hier Bezug genommen wird, einschließlich der Begriffe Verantwortlicher und Auftragsverarbeiter, werden in den relevanten Datenschutzvorschriften, einschließlich der EU Datenschutz-Grundverordnung, Verordnung (EU) 2016/679 vom 27. April 2016 (im Folgenden „DSGVO“) definiert.
Die Verarbeitung sensibler personenbezogener Daten ist nicht durch den Anwendungsdienst vorgesehen und ist daher von dieser Vereinbarung ausgeschlossen.
Durch die Anmeldung zur Nutzung des SumUp Rechnungen-Programms und die Zustimmung zur AGB, einschließlich der Datenschutzerklärung und dieser DVV, stimmen die Parteien unter allen nationalen Datenschutzgesetzen und unter der DSGVO zu, dass diese Vereinbarung das Verhältnis zwischen dem Verantwortlichen und dem Auftragsverarbeiter regelt und Bestimmungen für die Verarbeitung personenbezogener Daten des Kunden durch SumUp regelt. Diese Vereinbarung hat Vorrang, soweit sie nicht durch eine andere unterzeichnete DVV, welche ihren Vorrang über diese Vereinbarung kommuniziert, ersetzt wird.
Der Zweck der Verarbeitung personenbezogener Daten durch SumUp für den Kunden ist es, die Sicherstellung der vollständigen Nutzung des Dienstes durch den Kunden und die Erfüllung dieser Vereinbarung zu erlauben. SumUp versichert, dass ausreichende Sicherheit der personenbezogenen Daten zu jeder Zeit sichergestellt wird.
Beide Parteien bestätigen ihre Autorität, diese Vereinbarung einzugehen, indem sie dies tun.
Verantwortung des Auftragsverarbeiters
Der Auftragsverarbeiter muss sämtliche personenbezogenen Daten im Auftrag des Verantwortlichen nach dessen Anweisungen handhaben. Beim Abschluss dieser Vereinbarung wird SumUp (und alle
Subverarbeiter, mit denen der Auftragsverarbeiter eine rechtliche Dienstvereinbarung hat) angewiesen, personenbezogene Daten wie folgt zu verarbeiten:
Im Einklang mit nationalem und europäischem Recht
Um seine Verpflichtungen unter den allgemeinen Geschäftsbestimmungen für den SumUp
Rechnungen-Dienst zu erfüllen
So wie durch den Verantwortlichen angewiesen
So wie in dieser Vereinbarung beschrieben
Als Teil der Zurverfügungstellung der Anwendung ist der Auftragsverarbeiter dazu verpflichtet, dem Kunden stets adäquate Lösungen zur Begleitung steter Entwicklung seines Unternehmens durch die Verwendung des Dienstes zur Verfügung zu stellen. Der Auftragsverarbeiter hält fest, wie der Kunde die Anwendung nutzt, um die besten Vorschläge zu machen, um zu jeder Zeit relevante Dienste anbieten zu können und um die präzisesten Kommunikationen zu senden, um auf die stete Leichtigkeit der Nutzung und Zufriedenheit hinzuarbeiten. Soweit die Verarbeitung personenbezogener Daten von der Anwendung Teil dessen ist, werden sie nur im Einklang mit dieser DVV und anwendbaren Rechtsnormen verarbeitet und nur insoweit weitergegeben, wie es notwendig ist, um ein besseres Erlebnis für den Kunden zu schaffen.
Unter Berücksichtigung der verfügbaren Technologie und den Kosten der Implementierung sowie der Reichweite, dem Kontext und dem Zweck der Verarbeitung, wird verlangt, dass der Auftragsverarbeiter alle zumutbaren Vorkehrungen trifft, einschließlich technischen und organisatorischen Vorkehrungen, um einen ausreichenden Grad an Sicherheit in Bezug auf das Risiko und die Kategorie der personenbezogenen Daten sicherzustellen. Der Auftragsverarbeiter wird den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen unterstützen, soweit sie notwendig sind, unter Berücksichtigung der Natur des Verfahrens und der Kategorie der Information, die dem Auftragsverarbeiter zur Verfügung steht, um die Einhaltung der Verpflichtungen des Verantwortlichen unter anwendbarem Datenschutzrecht zu gewährleisten.
Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich benachrichtigen, wenn der Auftragsverarbeiter von einer Sicherheitslücke Kenntnis erlangt.
Darüber hinaus wird der Auftragsverarbeiter, soweit möglich und legal, den Verantwortlichen informieren, wenn ein Antrag auf Datenzugriff (Data Access Request) von einer Einrichtung gestellt wird, der der Auftragsverarbeiter die Daten zur Verfügung stellen sollte. Der Auftragsverarbeiter wird auf einen solchen Antrag reagieren, sobald er vom Verantwortlichen hierfür autorisiert wurde. Der Auftragsverarbeiter wird keine Informationen über diese Vereinbarung offenlegen, es sei denn, dass der Auftragsverarbeiter durch Gesetz, zum Beispiel durch einen Gerichtsbeschluss, dazu verpflichtet ist.
Wenn der Verantwortliche weitere Information oder Unterstützung bezüglich der Sicherheit der Daten, Dokumentation oder Information darüber wie der Auftragsverarbeiter grundsätzlich personenbezogene Daten verarbeitet benötigt, kann er diese Information vom Auftragsverarbeiter anfordern.
Der Auftragsverarbeiter, seine Angestellten und assoziierte Unternehmen oder Personen werden Vertraulichkeit in Bezug auf personenbezogene Daten, die unter dieser Vereinbarung verarbeitet werden, sicherstellen. Diese Vorkehrung bleibt auch nach Beendigung der Vereinbarung in Kraft, unabhängig vom Grund der Beendigung.
Verantwortung des Verarbeiters
Der Verantwortliche bestätigt durch Unterzeichnung/Zustimmung zu dieser Vereinbarung, dass er bei Nutzung der Anwendung befähigt ist, seine Daten uneingeschränkt verarbeiten zu dürfen, soweit im Einklang mit allen datenschutzrechtlichen Anforderungen, einschließlich der DSGVO. Er gibt seine ausdrückliche Einwilligung zur Verarbeitung seiner personenbezogenen Daten zu jeder Zeit während der Verwendung des Dienstes.
Der Verantwortliche kann jederzeit seine Zustimmung zu dieser DVV widerrufen, jedoch wird hierdurch die Vereinbarung beendigt und der Auftragsverarbeiter wird nicht länger den Dienst zur Verfügung stellen können.
Der Kunde hat eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten mit dem Auftragsverarbeiter (einschließlich aller Subverarbeiter) durch die Verwendung der SumUp-Dienste.
Der Verantwortliche ist zu jeder Zeit verantwortlich für die Richtigkeit, die Integrität, den Inhalt und die Zuverlässigkeit der Daten, die vom Auftragsverarbeiter verarbeitet werden. Er hat alle obligatorischen Voraussetzungen, bezüglich der Verarbeitung personenbezogener Daten erfüllt, in Bezug auf die Benachrichtigung der relevanten öffentlichen Behörden, oder den Erhalt einer Erlaubnis von relevanten öffentlichen Behörden. Er hat ferner alle Offenlegungsverpflichtungen gegenüber den relevanten Behörden bezüglich der Verarbeitung personenbezogener Daten im Einklang mit allen anwendbaren Datenschutzvoraussetzungen erfüllt.
Der Verantwortliche muss eine vollständige und fehlerfreie Liste der Kategorien personenbezogener Daten, die er verarbeitet, haben, insbesondere wenn eine solche Verarbeitung von den vom Auftragsverarbeiter in Anhang A aufgelisteten Kategorien abweicht.
Vereinbarung zur Übertragung von Daten und zur Verwendung durch Subunternehmer
Um den Dienst dem Verantwortlichen anzubieten, nutzt der Auftragsverarbeiter Subunternehmer. Diese Subunternehmer können Drittpersonen sowohl innerhalb, als auch außerhalb der/des EU / EWR sein. Der Auftragsverarbeiter gewährleistet, dass alle Subunternehmer die Verpflichtungen und Voraussetzungen dieser Vereinbarung erfüllen, insbesondere, dass deren Datenschutzniveau den Standards entspricht, die von relevantem Datenschutzrecht gefordert werden. Wenn sich die anwendbare Rechtsordnung außerhalb der/des EU/EWR befindet und nicht auf der Auflistung der Europäischen Kommission für zufriedenstellende Datenschutzniveaus unter der DSGVO befindet, wird eine besondere Vereinbarung zwischen SumUp und dem Subunternehmen getroffen, um sicherzustellen, dass alle personenbezogenen Daten im Einklang mit den Voraussetzungen des aktuellen EU-Datenschutzrechts behandelt werden.
Diese Vereinbarung konstituiert die vorherige, spezifische und ausdrückliche Einwilligung des Verantwortlichen zur Verwendung von Subunternehmern durch den Datenverantwortlichen, welche sich zeitweise außerhalb der/des EU / EWR oder Territorien, die von der Europäischen Kommission anerkannt wurden, befinden können. Der Verantwortliche kann jederzeit seine Einwilligung widerrufen, jedoch wird hierdurch die Vereinbarung beendigt und der Auftragsverarbeiter wird nicht länger den Dienst zur Verfügung stellen können.
Wenn ein Subunternehmer eingesetzt wird oder personenbezogene Daten außerhalb der/des EU / EWR oder Territorien, die von der Europäischen Kommission anerkannt sind, gespeichert werden, trägt der Auftragsverarbeiter die Verantwortung zu gewährleisten, dass eine zufriedenstellende Grundlage für die Übertragung personenbezogener Daten in einen Drittstaat im Auftrag des Verantwortlichen gewährleistet wird, einschließlich der Nutzung der Standardverträge der EU-Kommission oder spezifischer Maßnahmen, die im Vorhinein von der EU-Kommission anerkannt wurden.
Der Verantwortliche muss informiert werden, bevor der Auftragsverarbeiter seine Subunternehmer austauscht. Der Verantwortliche kann Einspruch gegen den neuen Sub-Verarbeiter erheben, der seine personenbezogenen Daten im Auftrag des Auftragsverarbeiters verarbeitet, jedoch nur, wenn der Subverarbeiter die Daten nicht im Einklang mit relevantem Datenschutzrecht verarbeitet. Der Auftragsverarbeiter kann die Einhaltung des Datenschutzrechts demonstrieren, indem er dem Verantwortlichen Zugang zur Datenschutzeinschätzung des Auftragsverarbeiters gewährt.
Sollte der Verantwortliche weiterhin der Einsetzung des Subunternehmers widersprechen, kann er sein Abonnement ohne die gewöhnliche Kündigungsfrist des Dienstes beendigen, wodurch sichergestellt wird, dass die personenbezogenen Daten nicht vom ungewollten Subunternehmer verarbeitet werden.
Laufzeit der Vereinbarung
Die Vereinbarung bleibt solange gültig, wie der Auftragsverarbeiter personenbezogene Daten unter Verwendung der Dienstanwendung des Verantwortlichen verarbeitet und soweit sie nicht durch eine andere unterzeichnete DVV, welche ihren Vorrang über diese Vereinbarung kommuniziert, ersetzt wird.
Beendigung der Vereinbarung
Mit Beendigung eines Abonnements, mithin wenn die Vereinbarung endet, kann der Datenverantwortliche alle Daten des Benutzerkontos löschen. Mit der Ausführung des Datenlöschvorgangs, der durch den Datenverantwortlichen angestoßen wird, löscht der Auftragsverarbeiter alle personenbezogenen Daten, außer diejenigen, die aufgrund der anwendbaren rechtlichen Anforderungen erhalten werden müssen und die in einem solchen Fall im Einklang mit technischen und organisatorischen Schutzvorkehrungen von SumUp aufbewahrt werden.
Der Datenverantwortliche hat die Möglichkeit alle personenbezogenen Daten aus der Dienstanwendung zu exportieren. Sollte der Datenverantwortliche Hilfe beim Datenexport beanspruchen, werden die damit verbundenen Kosten im gegenseitigen Einverständnis der beiden Parteien, basierend auf der Komplexität des geforderten Prozesses und der Zeit, die notwendig ist, um das gewählte Format zu erfüllen, bestimmt.
Änderungen der Vereinbarung
Änderungen der Vereinbarung können durch den Auftragsverarbeiter in einem separaten Anhang der Vereinbarung oder auf eine andere für den Verantwortlichen sichtbare Weise vorgenommen und dem Verantwortlichen mitgeteilt werden. Sollten Bestimmungen dieser Vereinbarung für unwirksam befunden werden, hat dies keine Auswirkung auf die restlichen Bestimmungen. Die Parteien ersetzen die unwirksamen Bestimmungen mit rechtlichen Bestimmungen, die den Zweck der unwirksamen Bestimmung entsprechen.
Überprüfung
Der Verantwortliche ist dazu berechtigt, eine Überprüfung der Verpflichtungen des Auftragsverarbeiters aus dieser Vereinbarung einmal im Jahr zu initiieren. Sollte der Verantwortliche unter anwendbarem
Recht dazu verpflichtet sein, können Überprüfungen einmal im Jahr wiederholt werden. Die Parteien entscheiden zusammen, ob ein Dritter die Untersuchung durchführen soll. Der Verantwortliche kann jedoch dem Auftragsverarbeiter erlauben, die Sicherheitsüberprüfung durch einen neutralen Dritten, den der Auftragsverarbeiter aussuchen kann, durchführen zu lassen, wenn in der Verarbeitungsumgebung Daten mehrere Datenverantwortlicher verarbeitet werden.
Wenn die vorgeschlagene Reichweite der Untersuchung einem ISAE, ISO oder ähnlichem Zertifikationsbericht, welcher von einem qualifizierten Dritten innerhalb der vorangegangenen zwölf Monate stattgefunden hat, entspricht, und der Auftragsverarbeiter bestätigt, dass keine grundlegenden Veränderungen der Überprüfungsmaßnahmen vorgenommen wurden, wird dies alle Anfragen, die innerhalb einer bestimmten Zeitspanne zugestellt wurden, befriedigen. Überprüfungen dürfen die gewöhnliche Ausübung des gewerblichen Betriebs des Auftragsverarbeiters nicht unzumutbar beeinträchtigen. Der Datenverantwortliche ist für alle mit der geforderten Überprüfung verbundenen Kosten verantwortlich.
Verantwortlichkeiten und Gerichtsbarkeiten
Haftung für Ansprüche, die aus der Verletzung der Bestimmungen dieser Vereinbarung hervorgehen, wird von den Haftungs- und Schadensersatzbestimmungen in den AGB des SumUp Rechnungen- Dienstes hervorgehen. Dies gilt auch für sämtliche Verletzungen durch die Subverarbeiter des Auftragsverarbeiters.
Diese Vereinbarung wird in Übereinstimmung mit irischem Recht und von irischen Gerichten überprüft und ausgelegt, welchen die ausschließliche Zuständigkeit für Rechtsstreitigkeiten, die dieselbige betreffen, zusteht.
Anhang A
Anhang A – Kategorien personenbezogener Information und gewöhnliche Verarbeitungskategorien.
A. Kategorien personenbezogener Information (Liste ist nicht abschließend)
Name
Adresse
Telefonnummer(n) E-Mail-Adresse(n)
Adresse(n)
Kontonummern oder Bankdaten
B. Gewöhnliche Verarbeitungskategorien (Liste ist nicht abschließend)
Die Angestellten des Verantwortlichen
Die Kontakte des Verantwortlichen (Telefon/E-Mail/Adresse/etc.) Die Kunden des Verantwortlichen
Die Bankinformationen des Verantwortlichen
Die Angestellten seiner Kunden
Die Kontakte seiner Kunden (Telefon/E-Mail/Adresse/etc.)
Die Kunden seiner Kunden
Die Bankinformation der Kunden seiner Kunden
Wir benötigen Ihre Zustimmung zum Laden der Übersetzungen
Wir nutzen einen Drittanbieter-Service, um den Inhalt der Website zu übersetzen, der möglicherweise Daten über Ihre Aktivitäten sammelt. Bitte überprüfen Sie die Details in der Datenschutzerklärung und akzeptieren Sie den Dienst, um die Übersetzungen zu sehen.