Auftragsverarbeitungsvertrag

1. Definitionen

Groß geschriebene Begriffe, die hier nicht definiert sind, haben die in den Nutzungsbedingungen angegebene Bedeutung. „GDPR" bezeichnet die Verordnung (EU) 2016/679. „UK GDPR" bezeichnet die im Vereinigten Königreich fortgeltende Fassung der GDPR nach dem beibehaltenen EU-Recht. „Anwendbares Datenschutzrecht" bezeichnet die GDPR, die UK GDPR, das Schweizer FADP, den California Consumer Privacy Act (in der geänderten Fassung) sowie jedes andere Datenschutz- oder Privatsphärengesetz, das auf die Verarbeitung durch den Auftragsverarbeiter im Rahmen dieses DPA anwendbar ist. „Personenbezogene Daten", „Verantwortlicher", „Auftragsverarbeiter", „Betroffener" und „Verarbeitung" haben die in der GDPR angegebene Bedeutung.

2. Umfang, Rollen und Gegenstand

ONTHEBIAS handelt als Auftragsverarbeiter personenbezogener Daten, die der Verantwortliche übermittelt oder die im Namen des Verantwortlichen generiert werden, wenn der Verantwortliche die ONTHEBIAS-Plattform nutzt. Gegenstand der Verarbeitung ist die Bereitstellung der ONTHEBIAS-Design-, Generierungs- und Marktplatzplattform gemäß den Nutzungsbedingungen. Die Dauer ist die Laufzeit der Nutzungsbedingungen zuzüglich eines etwaigen unten beschriebenen Abwicklungszeitraums. Art und Zweck der Verarbeitung sind in den Nutzungsbedingungen und in Anlage 1 beschrieben. Die Kategorien der personenbezogenen Daten und der Betroffenen sind in Anlage 1 beschrieben.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf internationale Übermittlungen, es sei denn, er ist durch geltendes Recht anderweitig verpflichtet (in diesem Fall wird der Auftragsverarbeiter den Verantwortlichen informieren, sofern das Recht eine solche Mitteilung nicht untersagt);
• sicherstellen, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen einer verbindlichen Verschwiegenheitspflicht unterliegen;
• geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten umsetzen (siehe Anlage 2);
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflicht zur Beantwortung von Betroffenenanträgen unterstützen;
• den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden unterstützen;
• den Verantwortlichen ohne unangemessene Verzögerung (und in jedem Fall innerhalb von 72 Stunden) benachrichtigen, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die Daten des Verantwortlichen betrifft;
• nach Wahl des Verantwortlichen nach Beendigung der Bereitstellung der Dienste alle personenbezogenen Daten löschen oder zurückgeben und vorhandene Kopien löschen, es sei denn, eine Aufbewahrung ist nach geltendem Recht erforderlich;
• dem Verantwortlichen alle Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieses DPA nachzuweisen.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern, vorbehaltlich des Folgenden. Der Auftragsverarbeiter wird auf der Seite der Datenschutzrichtlinie eine aktuelle Liste der Unterauftragsverarbeiter führen und dem Verantwortlichen jede Hinzufügung oder Ersetzung mindestens 30 Tage im Voraus in der App ankündigen. Der Verantwortliche kann einem neuen Unterauftragsverarbeiter innerhalb dieser Ankündigungsfrist aus berechtigten Datenschutzgründen widersprechen; wenn der Auftragsverarbeiter dem Widerspruch nicht in angemessener Weise nachkommen kann, kann der Verantwortliche den betroffenen Teil des Dienstes kündigen und eine anteilige Rückerstattung eines nicht genutzten, im Voraus bezahlten Zeitraums erhalten. Der Auftragsverarbeiter wird jedem Unterauftragsverarbeiter Datenschutzpflichten auferlegen, die mindestens so schützend sind wie die in diesem DPA.

5. Internationale Übermittlungen

Soweit der Auftragsverarbeiter personenbezogene Daten von Betroffenen im EWR, im Vereinigten Königreich oder in der Schweiz außerhalb dieser Rechtsordnungen in ein Land übermittelt, für das kein Angemessenheitsbeschluss besteht, richtet sich die Übermittlung nach den Standardvertragsklauseln der Europäischen Kommission (Modul 2, Verantwortlicher an Auftragsverarbeiter, oder Modul 3, Auftragsverarbeiter an Unterauftragsverarbeiter, je nach Anwendbarkeit), dem UK International Data Transfer Addendum und dem entsprechenden Schweizer Instrument, die jeweils durch Verweis in dieses DPA einbezogen werden und im Konfliktfall Vorrang haben. Der Verantwortliche und der Auftragsverarbeiter handeln jeweils als Datenexporteur bzw. Datenimporteur, und die entsprechenden optionalen Klauseln gelten (einschließlich der Andockklausel in Klausel 7, Klausel 11 ohne Option, Klausel 17 Option 1 (Recht eines zu vereinbarenden Mitgliedstaats) und Klausel 18(b) Gerichtsstand in diesem Mitgliedstaat).

6. Betroffenenanträge

Erhält der Auftragsverarbeiter einen Antrag eines Betroffenen bezüglich personenbezogener Daten, die im Auftrag des Verantwortlichen verarbeitet werden, wird der Auftragsverarbeiter nicht direkt antworten (außer zur Bestätigung des Eingangs) und den Antrag ohne unangemessene Verzögerung an den Verantwortlichen weiterleiten. Der Auftragsverarbeiter wird den Verantwortlichen bei der Beantwortung unterstützen, unter Berücksichtigung der Art der Verarbeitung.

7. Audits

Der Auftragsverarbeiter wird dem Verantwortlichen die zum Nachweis der Einhaltung dieses DPA vernünftigerweise erforderlichen Informationen zur Verfügung stellen, einschließlich Zusammenfassungen unabhängiger Audits und Zertifizierungen (soweit der Auftragsverarbeiter diese erlangt hat). Soweit der Verantwortliche vernünftigerweise weitere Informationen oder ein Vor-Ort-Audit benötigt, kann der Verantwortliche den Auftragsverarbeiter einmal pro Jahr mit einer Frist von mindestens 60 Tagen schriftlich, während der Geschäftszeiten, vorbehaltlich angemessener Vertraulichkeits- und Sicherheitsbeschränkungen und auf Kosten des Verantwortlichen auditieren. Soweit eine Aufsichtsbehörde ein Audit verlangt, wird der Auftragsverarbeiter gesetzlich vorgeschrieben kooperieren.

8. Laufzeit und Kündigung

Dieses DPA tritt am oben angegebenen Datum in Kraft, bleibt für die Dauer der Nutzungsbedingungen in Kraft und endet automatisch mit Beendigung der Nutzungsbedingungen. Bei Beendigung wird der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten innerhalb von 30 Tagen zurückgeben oder löschen, außer soweit eine Aufbewahrung nach geltendem Recht erforderlich ist (in diesem Fall wird der Auftragsverarbeiter die Vertraulichkeit dieser Daten wahren und sie nur wie erforderlich verarbeiten).

9. Haftung und Vorrang

Die Haftungsobergrenzen und -ausschlüsse in den Nutzungsbedingungen gelten für dieses DPA. Im Falle eines Widerspruchs zwischen diesem DPA und den Nutzungsbedingungen hat dieses DPA für Angelegenheiten Vorrang, die die Verarbeitung personenbezogener Daten betreffen. Im Falle eines Widerspruchs zwischen diesem DPA und den Standardvertragsklauseln haben die Standardvertragsklauseln Vorrang.

10. Wie Sie gegenzeichnen

Durch Annahme der Nutzungsbedingungen gilt der Verantwortliche als Annehmer dieses DPA. Wenn für die Unterlagen des Verantwortlichen ein unterzeichnetes Gegenstück erforderlich ist (zum Beispiel für eine Beschaffungsakte), laden Sie diese Seite als PDF herunter, fügen Sie Signaturfelder hinzu und senden Sie eine unterzeichnete Kopie per E-Mail an privacy@onthebias.co. ONTHEBIAS wird gegenzeichnen und sie innerhalb von 10 Werktagen zurücksenden.

Anlage 1 - Beschreibung der Verarbeitung

Gegenstand. Bereitstellung der ONTHEBIAS-Design-, KI-Generierungs- und Marktplatzplattform.

Dauer. Die Laufzeit der Nutzungsbedingungen zuzüglich bis zu 30 Tage für Rückgabe oder Löschung.

Art und Zweck. Hosting, Speicherung, Datenbank, Authentifizierung, KI-Generierung, E-Mail-Zustellung, Zahlungsabwicklung, Marktplatz-Routing, Analyse, Sicherheitsüberwachung.

Kategorien personenbezogener Daten. Kontodaten (E-Mail, Name, Arbeitsbereich), Design-Inhalte, Chat- und RFQ-Inhalte, Nutzungstelemetrie, IP-Adresse, kommerzielle Daten (Abonnement, Guthaben, Bestellung, Rechnung) und (nur mit Einwilligung) Marketingpräferenzen.

Besondere Kategorien. Keine beabsichtigt. Der Verantwortliche darf keine personenbezogenen Daten besonderer Kategorien (Gesundheit, biometrische Daten, politische Meinung usw.) über den Dienst übermitteln, es sei denn, dies wurde ausdrücklich in einer separaten schriftlichen Ergänzung vereinbart.

Kategorien von Betroffenen. Belegschaft, Auftragnehmer des Verantwortlichen und alle anderen Personen, deren Daten der Verantwortliche an die Plattform übermittelt.

Häufigkeit. Fortlaufend, solange der Verantwortliche den Dienst nutzt.

Empfänger. Die in der Datenschutzrichtlinie aufgeführten Unterauftragsverarbeiter sowie Strafverfolgungs- oder Aufsichtsbehörden, soweit gesetzlich vorgeschrieben.

Anlage 2 - Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt die folgenden Maßnahmen um:

Verschlüsselung. TLS 1.2 oder höher für Daten während der Übertragung; AES-256 für ruhende Daten in der primären Datenbank und im Dateispeicher.

Zugriffskontrolle. Rollenbasierte Zugriffskontrolle, SSO mit MFA für Mitarbeiter, Prinzip der geringsten Rechte und Sicherheit auf Zeilenebene bei Nutzerdaten.

Protokollierung und Überwachung. Audit-Protokolle für administrative Aktionen; Fehler- und Leistungsüberwachung über Sentry; Alarmierung bei Anomalien.

Härtung. Regelmäßige Aktualisierungen von Abhängigkeiten, Schwachstellenprüfung und Code-Review; Geheimnisse werden in einem verwalteten Secret-Store gespeichert, nicht in der Versionskontrolle.

Backup und Wiederherstellung. Automatisierte tägliche Backups mit verschlüsselter Speicherung und getesteter Wiederherstellung.

Reaktion auf Vorfälle. Dokumentierte Verfahren für Erkennung, Eindämmung, Benachrichtigung und Nachbereitung von Vorfällen.

Personal. Vertraulichkeitspflichten in Arbeitsverträgen, Hintergrundüberprüfungen soweit rechtlich zulässig und regelmäßige Sicherheitsschulungen.

Physische Sicherheit. Die primäre Hosting- und Unterauftragsverarbeiter-Infrastruktur befindet sich in sicheren Rechenzentren, die von unseren Unterauftragsverarbeitern betrieben werden (siehe Datenschutzrichtlinie für die aktuelle Liste); wir betreiben kein eigenes Rechenzentrum.