Auftragsverarbeitungsvertrag

Diese Seite beschreibt unseren Standard-Auftragsverarbeitungsvertrag, damit Sie ihn prüfen können, bevor Sie ihn anfordern. Sie ist selbst kein Vertrag und begründet keine Pflichten. Maßgeblich ist der abgeschlossene AVV mit seinen Anhängen; weicht diese Seite davon ab, hat der abgeschlossene AVV Vorrang.

Immer dann, wenn wir ein System bauen, hosten, warten oder betreuen, das personenbezogene Daten enthält, die Ihnen oder Ihren Nutzern gehören. Sie sind der Verantwortliche bzw. das Unternehmen (Business); DCI Brands LLC ist der Auftragsverarbeiter bzw. der Dienstleister (Service Provider). Der AVV ist Bestandteil des Projektvertrags. Sind geschützte Gesundheitsinformationen betroffen, wird zusätzlich ein Business Associate Agreement unterzeichnet, dessen Bedingungen für diese Daten maßgeblich sind.

Alles, was Artikel 28 Absatz 3 DSGVO verlangt, sowie die Entsprechungen nach der UK GDPR und dem schweizerischen Bundesgesetz über den Datenschutz (DSG):

1. Die Beschreibung der Verarbeitung: Gegenstand, Dauer, Art und Zweck, Arten personenbezogener Daten und Kategorien betroffener Personen, in einem Anhang speziell für Ihr Projekt.
2. Verarbeitung ausschließlich nach Ihren dokumentierten Weisungen, auch bei Übermittlungen, sowie unsere Zusage, Sie zu informieren, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt.
3. Vertraulichkeit: Alle Personen, die wir zur Verarbeitung Ihrer Daten befugen, unterliegen einer schriftlichen Vertraulichkeitsverpflichtung.
4. Sicherheit: die technischen und organisatorischen Maßnahmen im Anhang, die Artikel 32 genügen. Wir können sie aktualisieren, sofern das Schutzniveau nicht wesentlich gesenkt wird.
5. Unterauftragsverarbeiter: Ihre allgemeine schriftliche Genehmigung, unsere schriftliche Weitergabe gleichwertiger Pflichten an diese und unsere Verantwortung für deren Leistung.
6. Unterstützung bei den Rechten betroffener Personen: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung und Widerspruch, unter Berücksichtigung der Art der Verarbeitung.
7. Unterstützung bei den Artikeln 32 bis 36: Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation, unter Berücksichtigung der uns zur Verfügung stehenden Informationen.
8. Löschung oder Rückgabe am Ende des Projekts, nach Ihrer Wahl.
9. Informationen und Prüfungen, wie in Abschnitt 8 beschrieben.
10. Übermittlungsbedingungen: die Standardvertragsklauseln, das UK Addendum und die schweizerischen Anpassungen, mit ausgefüllten Anhängen.
11. Bedingungen nach dem Recht von US-Bundesstaaten: Wir handeln als Dienstleister (Service Provider) bzw. Auftragsverarbeiter, wir verkaufen Ihre Daten nicht und geben sie nicht weiter, wir speichern, verwenden oder offenbaren sie nicht außerhalb der unmittelbaren Geschäftsbeziehung oder zu einem anderen Zweck als der Durchführung des Projekts, und wir führen sie nicht mit Daten aus anderen Quellen zusammen.
12. Ihre Zusicherungen: dass Sie über eine Rechtsgrundlage verfügen, die Ihren Nutzern geschuldeten Informationen erteilt und die erforderlichen Einwilligungen eingeholt haben und dass Ihre Weisungen rechtmäßig sind.

Wir verarbeiten sie ausschließlich nach Ihren dokumentierten Weisungen und ausschließlich zur Durchführung des Projekts: Bauen, Testen, Bereitstellen, Hosten, Überwachen, Sichern und Betreuen des Systems. Wir verwenden sie nicht für eigene Zwecke, und wir verkaufen sie nicht.

Wir verwenden Ihre personenbezogenen Daten nicht, um ein Modell zu trainieren, feinabzustimmen oder zu verbessern, und unsere Unterauftragsverarbeiter sind vertraglich ebenfalls so konfiguriert, dass sie dies nicht tun. Wir dürfen aggregierte Statistiken über den Systembetrieb nur erzeugen, wenn diese weder mit Ihnen noch mit Ihren Nutzern noch mit einer einzelnen Person in Verbindung gebracht werden können.

Wir setzen Unterauftragsverarbeiter nur ein, soweit das Projekt sie erfordert, zu schriftlichen Bedingungen, die mindestens so schützend sind wie der AVV, und wir bleiben für ihr Handeln verantwortlich. Kategorien: Cloud-Infrastruktur in der in Ihrem Angebot genannten Region, Zustellung von Transaktions-E-Mails sowie Anbieter für Sprache, Sprachverarbeitung und Modelle, soweit eine Funktion einen solchen Anbieter erfordert und das Angebot ihn nennt. Der abgeschlossene AVV führt die konkreten Anbieter für Ihr Projekt auf.

Bevor wir einen Unterauftragsverarbeiter hinzufügen, kündigen wir dies 30 Tage im Voraus an. Sie können innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; wir arbeiten dann nach Treu und Glauben mit Ihnen zusammen, und wenn wir keine Lösung finden, kann jede Partei den betroffenen Dienst gegen anteilige Erstattung im Voraus gezahlter, nicht genutzter Entgelte beenden. Dies ist der einzige Rechtsbehelf. Bei On-Premise- und Air-Gap-Lieferungen entfällt der Unterauftragsverarbeiter für die Infrastruktur vollständig.

Gelieferte Systeme werden mit den im Sicherheitsanhang festgelegten Maßnahmen ausgeliefert: mindestens Verschlüsselung bei der Übertragung und im Ruhezustand, rollenbasierte Zugriffskontrolle, strukturierte Audit-Protokollierung und sichere Löschung temporärer Dateien. Der Zugriff durch Mitarbeiter ist auf namentlich benannte Personen mit entsprechendem Bedarf beschränkt und wird protokolliert. Bei Projekten in regulierten Bereichen kommen die in Ihrem Anhang genannten Kontrollen hinzu.

Wir benachrichtigen Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Ihre Daten betrifft, und in jedem Fall binnen 72 Stunden, nachdem uns diese bekannt geworden ist. Die Benachrichtigung legt dar, was wir wissen, was wir unternommen haben und was wir empfehlen; eine erste Benachrichtigung kann vorläufig sein, und wir ergänzen sie, sobald wir mehr erfahren. Erfolglose Zugriffsversuche, Scans oder Pings melden wir nicht, und eine Benachrichtigung ist kein Eingeständnis eines Verschuldens oder einer Haftung.

Wir unterstützen Sie dabei, Anträge auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit innerhalb der Ihnen gesetzlich eingeräumten Frist zu beantworten.

Prüfungen beginnen mit Unterlagen. Auf Anfrage stellen wir einmal innerhalb von 12 Monaten unsere Sicherheitsdokumentation, unseren Maßnahmenanhang und einen ausgefüllten Sicherheitsfragebogen bereit. Wenn dies tatsächlich nicht ausreicht, nach einer bestätigten Verletzung, die Ihre Daten betrifft, oder wenn eine Aufsichtsbehörde es verlangt, können Sie uns nach schriftlicher Ankündigung mit einer Frist von 30 Tagen einmal innerhalb von 12 Monaten prüfen, während der Geschäftszeiten, auf Ihre Kosten, unter Vertraulichkeit, ohne Beeinträchtigung unseres Betriebs oder der Daten anderer Kunden und durch einen Prüfer, der nicht unser Wettbewerber ist.

Produktivdaten im Ruhezustand verbleiben in der in Ihrem Angebot genannten Region. Administrative Zugriffe von anderen Standorten aus sowie jede unvermeidbare Übermittlung aus dem EWR, dem Vereinigten Königreich oder der Schweiz sind durch die Standardvertragsklauseln und die anwendbaren Zusätze abgedeckt.

Wir geben Ihre personenbezogenen Daten nach Ihrer Wahl zurück oder löschen sie und bestätigen die Löschung. Kopien in verschlüsselten Sicherungskopien werden im regulären Sicherungszyklus gelöscht und bleiben bis dahin geschützt. Wir bewahren nur auf, was wir nach dem Gesetz aufbewahren müssen.

Schreiben Sie an constantine@vavusai.com unter Angabe Ihrer Angebotsreferenz. Wir senden Ihnen den AVV zusammen mit dem Projektvertrag zur Unterzeichnung. Wir prüfen auch Ihren eigenen AVV und unterzeichnen ihn, wenn seine Bedingungen im Wesentlichen mit unseren übereinstimmen; andernfalls ist unserer maßgeblich.