Error

Auftragsverarbeitungsvereinbarung

Version 6.5

Download

Table of Contents

    Auftragsverarbeitungsvereinbarung
    Präambel
    Diese Vereinbarung zur Auftragsverarbeitung („AVV“) regelt die Datenschutzpflichten und -rechte der Parteien im Zusammenhang mit der Verarbeitung der von Choco (nachfolgend „Auftragnehmer“) für den Lieferanten (nachfolgend „Auftraggeber“) verarbeiteten personenbezogenen Daten unter dem zwischen den Parteien geschlossenen Software-as-a-Service-Vertrag (nachfolgend „Hauptvertrag“).
    Begriffsbestimmungen
    Für die Zwecke dieser AVV bedeutet "Datenschutzgesetze" alle anwendbaren Gesetze und Vorschriften in allen relevanten Rechtsordnungen, die sich auf die Verwendung oder Verarbeitung personenbezogener Daten beziehen, einschließlich: (i) EU-Verordnung 2016/679 (nachfolgend "DSGVO"), ii) alle Gesetze und/oder Verordnungen, die die DSGVO ratifizieren, umsetzen, annehmen, ergänzen oder ersetzen, iii) alle Gesetze und/oder Verordnungen, die zur Umsetzung der EU-Richtlinie 2002/58/EG (in der durch 2009/136/EG geänderten Fassung) erlassen wurden; und (vi) in Deutschland das Telekommunikation-Telemedien-Datenschutz-Gesetz (nachfolgend "TTDSG"), und zwar jeweils in der aktualisierten, geänderten oder ersetzten Fassung, und die Begriffe "betroffene Person", "personenbezogene Daten", "Verarbeitung", "Auftragsverarbeiter", "gemeinsam Verantwortliche" und "Verantwortlicher" haben die in der DSGVO festgelegte Bedeutung.
    1. Gegenstand und Umfang der Beauftragung

    1.1 Choco verarbeitet die personenbezogenen Daten, die der Lieferant direkt oder indirekt für die Erbringung der Dienste zur Verfügung gestellt hat, ausschließlich im Auftrag und nach den Weisungen des Lieferanten, es sei denn, das geltende Recht schreibt etwas anderes vor. In einem solchen Fall wird Choco den Lieferanten vor der Verarbeitung auf diese gesetzlichen Anforderungen hinweisen, es sei denn, das einschlägige Recht verbietet einen solchen Hinweis.
    1.2 Die Verarbeitung personenbezogener Daten durch Choco im Auftrag des Lieferanten ist in Anlage 1 zu dieser AVV spezifiziert.
    1.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.
    1.4 Der Lieferant gewährleistet, dass er alle ggf. erforderlichen Einwilligungen eingeholt hat und allen Verpflichtungen nachgekommen ist, die sich aus den Datenschutzgesetzen ergeben, um Choco personenbezogene Daten zur Verfügung zu stellen und die Erhebung personenbezogener Daten durch Choco im Auftrag des Lieferanten im Rahmen dieser Vereinbarung zu gestatten.
    1.5 Der Lieferant kann weitere Weisungen über den Umfang der Verarbeitung personenbezogener Daten erteilen. Ist Choco der Ansicht, dass eine Weisung des Lieferanten gegen diese AVV oder gegen Datenschutzgesetze verstößt, wird Choco den Lieferanten unverzüglich schriftlich darauf hinweisen. Choco ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Lieferant sie schriftlich bestätigt. Besteht der Lieferant trotz der von Choco geäußerten Bedenken auf der Ausführung einer Weisung, hat der Lieferant Choco von allen Schäden und Kosten freizustellen, die Choco durch die Ausführung der Weisung des Lieferanten entstehen. Choco wird den Lieferanten über die gegen Choco geltend gemachten Schäden und die Choco entstandenen Kosten informieren und ohne Zustimmung des Lieferanten Ansprüche Dritter nicht anerkennen und die Verteidigung nach Wahl von Choco in Abstimmung mit dem Lieferanten vornehmen oder dem Lieferanten überlassen.
    2. Anforderungen an das Personal
    2.1 Choco stellt sicher, dass alle Personen, die durch Choco zum Zugriff auf personenbezogene Daten berechtigt sind, entweder vertraglich zur Vertraulichkeit verpflichtet sind oder bei der Verarbeitung der personenbezogenen Daten einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

    3. Sicherheit der Verarbeitung
    3.1 Choco wird während der gesamten Laufzeit des Hauptvertrages die in Anlage 2 zu dieser AVV aufgeführten technischen und organisatorischen Maßnahmen ("TOM") umsetzen und aufrechterhalten, um ein dem Risiko angemessenes Schutzniveau für die personenbezogenen Daten zu gewährleisten, wobei der Stand der Technik, die Kosten der Umsetzung und, soweit Choco bekannt, die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung der personenbezogenen Daten sowie die unterschiedliche Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen berücksichtigt werden. Choco bewertet regelmäßig die Wirksamkeit der TOM und ergreift gegebenenfalls alternative Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus.
    3.2 Es obliegt dem Lieferanten, die von Choco getroffenen TOM zu überprüfen, insbesondere, ob diese Maßnahmen auch im Hinblick auf Umstände der Datenverarbeitung, die Choco nicht bekannt sind, ausreichend sind.

    4. Einsatz von Unterauftragsverarbeitern und Datenübermittlung
    4.1 Der Lieferant erteilt Choco eine generelle Ermächtigung, bei der Verarbeitung der personenbezogenen Daten die Dienste seiner verbundenen Unternehmen und Unterauftragsverarbeiter in Anspruch zu nehmen.
    4.2 Die derzeit von Choco eingesetzten Unterauftragsverarbeiter sind in Anlage 3 zu dieser AVV aufgeführt. Choco erlegt seinen Unterauftragsverarbeitern im Wesentlichen ähnliche Datenschutzverpflichtungen auf, die mindestens das gleiche Schutzniveau bieten als in dieser AVV festgelegt, und bleibt gegenüber dem Lieferanten für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter im Rahmen dieser AVV verantwortlich.
    4.3 Choco aktualisiert die Liste der Unterauftragsverarbeiter in Anlage 3 dieser AVV mindestens 30 Tage vor der Inanspruchnahme eines weiteren Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten im Auftrag des Lieferanten. Wenn der Lieferant eine individuelle Benachrichtigung über eine Aktualisierung der Liste der Unterauftragsverarbeiter erhalten möchte, muss er sich zu dem in Anlange 3 zu dieser AVV aufgeführten Benachrichtigungsmechanismus anmelden. Wenn der Lieferant nicht innerhalb von 14 Tagen nach der Benachrichtigung durch Choco per E-Mail an legal@choco.com widerspricht, gilt die Inanspruchnahme als genehmigt. Widerspricht der Lieferant, ist Choco berechtigt, die Dienste nach seiner Wahl entweder ohne den abgelehnten weiteren Unterauftragsverarbeiter zu erbringen oder den Hauptvertrag zu kündigen.
    4.4 Der Lieferant ermächtigt Choco, seine verbundenen Unternehmen und seine Unterauftragsverarbeiter, personenbezogene Daten außerhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums ("EWR") zu übermitteln, auf sie zuzugreifen oder sie zu verarbeiten, sofern die Anforderungen für eine solche Übermittlung, einen solchen Zugriff oder eine solche Verarbeitung gemäß den Datenschutzgesetzen eingehalten werden.

    5. Rechte der betroffenen Personen
    5.1 Unter Berücksichtigung der Art der Verarbeitung der personenbezogenen Daten unterstützt Choco den Lieferanten mit angemessenen technischen und organisatorischen Maßnahmen, soweit dies möglich ist, um die Verpflichtung des Lieferanten zu erfüllen, auf Anfragen zur Ausübung der in den Datenschutzgesetzen festgelegten Rechte der betroffenen Person zu reagieren.
    5.2 Choco soll insbesondere:
    1. den Lieferanten unverzüglich informieren, wenn sich eine betroffene Person direkt an Choco wendet, um ihre Rechte geltend zu machen;
    2. dem Lieferanten auf dessen Anfrage hin alle Choco zur Verfügung stehenden Informationen über die Verarbeitung der personenbezogenen Daten zur Verfügung stellen, die der Lieferant benötigt, um auf die Anfrage einer betroffenen Person zu antworten, und über die er selbst nicht verfügt;
    3. auf Anweisung des Lieferanten die personenbezogenen Daten unverzüglich berichtigen, zu löschen oder deren Verarbeitung einschränken, es sei denn, der Lieferant ist selbst dazu in der Lage und vorausgesetzt, es ist Choco technisch möglich, dies zu tun;
    4. den Lieferanten unterstützen, soweit dies erforderlich ist, um die im Verantwortungsbereich von Choco verarbeiteten personenbezogenen Daten - soweit dies für Choco technisch möglich ist - in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung zu stellen, sofern eine betroffene Person ein Recht auf Datenübertragbarkeit geltend macht.

    6. Unterstützungspflichten

    6.1 Choco benachrichtigt den Lieferanten unverzüglich, nachdem von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt wird. Die Benachrichtigung enthält, soweit möglich, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Anzahl der von der Verletzung betroffenen Personen, die wahrscheinlichen Folgen der Verletzung, die von Choco ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes der personenbezogenen Daten und, soweit anwendbar, Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen.
    6.2 Choco untersucht die Ursache des Verstoßes und ergreift gegebenenfalls angemessene Maßnahmen, um die möglichen nachteiligen Auswirkungen zu mindern.
    6.3 Ist der Lieferant verpflichtet, die Aufsichtsbehörden und/oder die betroffenen Personen über die Verletzung des Schutzes personenbezogener Daten zu informieren, so unterstützt Choco den Lieferanten bei der Erfüllung dieser Verpflichtung unter Berücksichtigung der Art der Verarbeitung und der Choco zur Verfügung stehenden Informationen. Alle zusätzlichen Kosten, die Choco in diesem Zusammenhang entstehen und die über die gesetzlichen Verpflichtungen des Auftragsverarbeiters nach dem anwendbaren Recht hinausgehen, gehen zu Lasten des Lieferanten.
    6.4 Choco benachrichtigt den Lieferanten von gerichtlichen oder behördlichen Anordnungen, Prozessen oder Verfahren, die den Zugang zu oder die Offenlegung von personenbezogenen Daten verlangen, soweit eine solche Benachrichtigung nicht gesetzlich verboten ist. Ist der Lieferant verpflichtet, einer Aufsichtsbehörde Auskunft über die Verarbeitung der personenbezogenen Daten zu erteilen oder anderweitig mit solchen Behörden zusammenzuarbeiten, unterstützt Choco den Lieferanten bei der Erteilung dieser Auskunft, soweit der Lieferant nicht selbst über die Informationen verfügt, und arbeitet in angemessener Weise mit dem Lieferanten und den Aufsichtsbehörden zusammen, einschließlich der Gewährung der erforderlichen Zugangs-, Informations- und Kontrollrechte an die zuständige Aufsichtsbehörde.
    6.5 Choco unterstützt den Lieferanten in angemessener Weise bei der Erfüllung seiner Pflichten in Bezug auf die Sicherheit der Verarbeitung, die Datenschutz-Folgenabschätzung und die vorherige Konsultation der Aufsichtsbehörden, jeweils unter Berücksichtigung der Art der Verarbeitung und der Choco vorliegenden Informationen. Alle zusätzlichen Kosten, die Choco in diesem Zusammenhang entstehen und die über die nach geltendem Recht vorgesehenen Verpflichtungen des Auftragsverarbeiters hinausgehen, sind vom Lieferanten zu tragen.

    7. Löschung und Rückgabe von Daten

    7.1 Nach Beendigung des Hauptvertrages und schriftlicher Aufforderung durch den Lieferanten wird Choco die personenbezogenen Daten, es sei denn, Choco ist nach geltendem Recht verpflichtet, die personenbezogenen Daten weiterhin zu speichern.
    7.2 Einige personenbezogene Daten können in Chocos Backup-Systemen archiviert werden, und solche archivierten personenbezogenen Daten werden in Übereinstimmung mit Chocos Aufbewahrungsrichtlinien gelöscht. Alle in Backups archivierten personenbezogenen Daten werden isoliert und vor jeglicher weiteren Verarbeitung geschützt. Für den Zeitraum, in dem die Daten nach Beendigung des Hauptvertrages gespeichert werden, gelten die Rechte und Pflichten der Parteien im Rahmen dieser AVV weiter.

    8. Überprüfungen und Audits
    8.1 Choco führt Aufzeichnungen über seine im Auftrag des Lieferanten durchgeführten Verarbeitungstätigkeiten und stellt dem Lieferanten auf Anfrage diese Aufzeichnungen oder andere Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der gesetzlichen Verpflichtungen des Auftragsverarbeiters gemäß den Datenschutzgesetzen nachzuweisen.
    8.2 Choco wird Audits, einschließlich Vor-Ort-Inspektionen, durch den Lieferanten oder einen von ihm beauftragten Auditor in Bezug auf die Verarbeitung der personenbezogenen Daten zulassen und dazu beitragen. Die Audits und Vor-Ort-Kontrollen dürfen Choco im normalen Geschäftsbetrieb nicht behindern und keine unangemessene Belastung für Choco darstellen. Insbesondere sollen Vor-Ort-Kontrollen bei Choco ohne besonderen Anlass nicht öfter als einmal pro Kalenderjahr und nur während der üblichen Geschäftszeiten von Choco stattfinden. Der Lieferant wird Choco mindestens 30 (dreißig) Tage im Voraus schriftlich oder in Textform über Inspektionen benachrichtigen und Choco in angemessener Weise über den Umfang, die Dauer und den Prüfplan informieren. Der Lieferant und Choco werden nach Treu und Glauben zusammenarbeiten und den Umfang, die Dauer und den Beginn der Prüfung einvernehmlich festlegen. Kosten, die Choco für eine Vor-Ort-Prüfung entstehen und die nicht offensichtlich unverhältnismäßig sind, trägt der Lieferant. Ein vom Lieferanten beauftragter Auditor ist ein unabhängiger Auftragnehmer, der nicht in Konkurrenz zu Choco steht und seine Arbeit erst nach Abschluss einer Vertraulichkeitsvereinbarung mit Choco aufnehmen darf.

    9. Sonstiges
    9.1 Die Haftung der Vertragsparteien und der mit ihnen verbundenen Unternehmen insgesamt, die sich aus dieser AVV ergibt oder damit zusammenhängt, gleich ob aus Vertrag, unerlaubter Handlung oder anderem Grund, unterliegt den Haftungsbeschränkungsbestimmungen des Hauptvertrages.
    9.2 Diese AVV, einschließlich ihrer Anlagen, stellt einen integralen Bestandteil des Hauptvertrages zwischen Choco und dem Lieferanten dar. Im Falle von Widersprüchen zwischen dieser AVV und den Bestimmungen des Hauptvertrages haben die Bestimmungen dieser AVV Vorrang.
    9.3 Alle Änderungen und/oder Nebenabreden zu Teilen dieser AVV bedürfen der Schriftform oder Textform. Dies gilt auch für dieses Schriftformerfordernis selbst. Das anwendbare Recht und der Gerichtsstand des Hauptvertrages gelten entsprechend für alle Teile dieser AVV.

    Anhang 1 - Zweck, Art und Umfang der Datenverarbeitung, Art der Daten und Kreis der betroffenen Personen

    Zweck der Datenverarbeitung
    Bereitstellung von Onboarding- und Support-Diensten, Cloud-Diensten und Integrationsdiensten
    Art und Umfang der Datenverarbeitung
    Erhebung, Verarbeitung, Speicherung und Übermittlung personenbezogener Daten, die für die Bereitstellung und Wartung der folgenden Dienste erforderlich sind:
    • Onboarding-Services, wie z. B. die Einführung des Cloud-Service bei autorisierten Nutzern und Kunden des Lieferanten, die Einrichtung von Konten und die Durchführung von Werbeaktionen zur Einführung des Cloud-Service bei seinen Kunden
    • Unterstützungsdienste, wie die Beantwortung von Fragen autorisierter Benutzer oder Kunden
    • Cloud-Dienst, wie die Übermittlung von Bestellungen und Nachrichten, die Bereitstellung von Analyseberichten über Bestellungen und/oder Mitteilungen, die über den Cloud-Dienst gesendet wurden, die Bereitstellung von Choco-AI und andere zwischen den Parteien vereinbarte Funktionalitäten
    • Aufbau einer Integration zwischen dem Cloud-Service und dem ERP des Lieferanten und
    • alle anderen Dienstleistungen, die vom Lieferanten angewiesen werden.

    Art der Daten

    • Namen
    • E-Mail-Adressen
    • Telefonnummern
    • Titel und Firmenname
    • Log-in Daten
    • Statistik der Onboarding-Nachrichten
    • Statistik der In-App-Kampagnenmeldungen
    • Alle anderen persönlichen Daten, die direkt oder indirekt vom Lieferanten, seinen autorisierten Benutzern und/oder dem Personal seiner Kunden zur Verfügung gestellt werden können
    Kreis der betroffenen Personen
    • Autorisierte Benutzer des Lieferanten
    • Personal der Kunden des Lieferanten
    • Personal von potenziellen Kunden des Lieferanten, falls zutreffend

    Dauer der Bearbeitung
    		Für die Dauer des Hauptvertrages, wie in Abschnitt 7 der AVV näher beschrieben