Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („Auftragsverarbeitungsvertrag“) ist Bestandteil der Allgemeinen Geschäftsbedingungen von BrewerSync und gilt, sobald Sie über den Dienst personenbezogene Daten Dritter verarbeiten.

Parteien

1. Afiant B.V., geschäftsansässig in der Lorentzstraat 89, 2665 JG Bleiswijk, Niederlande, eingetragen bei der Kamer van Koophandel unter der Nummer 61946281, nachstehend: „Auftragsverarbeiter“; und

2. Der Kunde, die natürliche oder juristische Person, die ein Konto bei BrewerSync nutzt und dadurch personenbezogene Daten Dritter verarbeitet, nachstehend: „Verantwortlicher“.

Nachstehend gemeinsam: „Parteien“.

Präambel

• Der Verantwortliche nutzt den Dienst BrewerSync („den Dienst“) und verarbeitet dabei personenbezogene Daten, für die er im Sinne der DSGVO Verantwortlicher ist.
• Der Auftragsverarbeiter verarbeitet diese personenbezogenen Daten ausschließlich im Auftrag des Verantwortlichen, um den Dienst zu erbringen.
• Die Parteien legen in diesem Auftragsverarbeitungsvertrag die nach Artikel 28 DSGVO erforderlichen Regelungen fest.

1. Begriffsbestimmungen

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ (Datenpanne), „Verantwortlicher“ und „Auftragsverarbeiter“ haben die Bedeutung, die ihnen die DSGVO (Verordnung (EU) 2016/679) beimisst.

2. Gegenstand, Art und Dauer der Verarbeitung

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der Erbringung des Dienstes, wie in Anlage 1 näher beschrieben.

2.2 Dieser Auftragsverarbeitungsvertrag gilt für die Dauer der Nutzung des Dienstes und endet, sobald der zugrunde liegende Vertrag endet, unbeschadet der Bestimmungen, die ihrem Wesen nach fortgelten (wie Geheimhaltung und Löschung).

3. Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf der Grundlage der schriftlichen Weisungen des Verantwortlichen. Die Nutzung des Dienstes gemäß der Dokumentation gilt als eine solche Weisung.

3.2 Der Auftragsverarbeiter setzt den Verantwortlichen in Kenntnis, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere anwendbare Rechtsvorschriften verstößt, es sei denn, diese Rechtsvorschriften verbieten eine solche Mitteilung.

3.3 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer wie in diesem Auftragsverarbeitungsvertrag vorgesehen oder wenn eine gesetzliche Verpflichtung dies erfordert. Im letzteren Fall informiert der Auftragsverarbeiter den Verantwortlichen vorab, es sei denn, das Gesetz verbietet dies.

4. Geheimhaltung

Der Auftragsverarbeiter stellt sicher, dass Personen, die Zugang zu den personenbezogenen Daten haben, zur Geheimhaltung verpflichtet sind, sei es aufgrund einer gesetzlichen Verpflichtung, sei es aufgrund eines Vertrages.

5. Sicherheit

5.1 Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um die personenbezogenen Daten gegen Verlust oder unrechtmäßige Verarbeitung zu sichern, unter Berücksichtigung des Stands der Technik und der Art der Daten. Die Maßnahmen sind in Anlage 3 beschrieben.

5.2 Der Auftragsverarbeiter darf die Sicherheitsmaßnahmen aktualisieren, sofern das Schutzniveau dadurch nicht verringert wird.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter hinzuzuziehen. Die derzeit hinzugezogenen Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

6.2 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Pflichten auf wie in diesem Auftragsverarbeitungsvertrag und bleibt gegenüber dem Verantwortlichen für deren Einhaltung verantwortlich.

6.3 Bei einer beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen vorab, damit dieser angemessene Einwände erheben kann. Bei einem begründeten Einwand, der nicht ausgeräumt werden kann, kann der Verantwortliche die Nutzung der betreffenden Funktionalität oder den zugrunde liegenden Vertrag beenden.

7. Rechte der betroffenen Personen

7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit vernünftigerweise möglich, bei der Bearbeitung von Anträgen betroffener Personen auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch).

7.2 Erhält der Auftragsverarbeiter unmittelbar einen Antrag einer betroffenen Person, so leitet er diesen an den Verantwortlichen weiter und bearbeitet ihn nicht selbst, es sei denn, er ist gesetzlich dazu verpflichtet.

8. Unterstützung

Der Auftragsverarbeiter leistet dem Verantwortlichen angemessene Unterstützung bei der Erfüllung seiner Pflichten gemäß den Artikeln 32 bis 36 DSGVO, einschließlich Sicherheit, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen (DSFA), unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

9. Datenschutzverletzungen

9.1 Der Auftragsverarbeiter informiert den Verantwortlichen ohne unangemessene Verzögerung, spätestens jedoch innerhalb von 48 Stunden, nachdem er von einer Datenschutzverletzung Kenntnis erlangt hat, die die von ihm verarbeiteten personenbezogenen Daten betrifft.

9.2 Die Meldung enthält mindestens die Art der Verletzung, die betroffenen Kategorien und Anzahlen, die wahrscheinlichen Folgen und die getroffenen oder vorgeschlagenen Maßnahmen.

9.3 Die Beurteilung, ob eine Datenschutzverletzung der Autoriteit Persoonsgegevens oder den betroffenen Personen gemeldet werden muss, sowie die etwaige Meldung selbst obliegt dem Verantwortlichen.

10. Übermittlung außerhalb des EWR

Der Auftragsverarbeiter verarbeitet personenbezogene Daten innerhalb des EWR, sofern in Anlage 2 nichts anderes angegeben ist. Findet eine Übermittlung in ein Land außerhalb des EWR statt, so sorgt der Auftragsverarbeiter für eine geeignete Garantie im Sinne des Kapitels V DSGVO, wie die Standardvertragsklauseln der Europäischen Kommission oder eine Zertifizierung nach dem EU-US Data Privacy Framework.

11. Audit und Information

11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen.

11.2 Der Verantwortliche darf höchstens einmal pro Jahr ein Audit durchführen (oder durchführen lassen), sofern es mindestens vier Wochen im Voraus angekündigt und in einer Weise durchgeführt wird, die den Geschäftsbetrieb des Auftragsverarbeiters so wenig wie möglich stört. Die angemessenen Kosten eines Audits trägt der Verantwortliche, es sei denn, das Audit weist einen wesentlichen Mangel nach.

12. Rückgabe und Löschung

12.1 Nach Beendigung des zugrunde liegenden Vertrages ermöglicht der Auftragsverarbeiter dem Verantwortlichen für mindestens 30 Tage den Export der personenbezogenen Daten.

12.2 Danach löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie zurück, nach Wahl des Verantwortlichen, mit Ausnahme von Daten, zu deren Aufbewahrung der Auftragsverarbeiter gesetzlich verpflichtet ist.

13. Haftung

Auf die Haftung im Rahmen dieses Auftragsverarbeitungsvertrags findet die Haftungsregelung aus den Allgemeinen Geschäftsbedingungen von BrewerSync entsprechend Anwendung.

14. Schlussbestimmungen

14.1 Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen geht dieser Auftragsverarbeitungsvertrag vor, soweit es die Verarbeitung personenbezogener Daten betrifft.

14.2 Auf diesen Auftragsverarbeitungsvertrag findet niederländisches Recht Anwendung. Streitigkeiten werden dem zuständigen Gericht des Bezirks vorgelegt, in dem der Auftragsverarbeiter niedergelassen ist.

Anlage 1: Verarbeitungsdetails

Gegenstand und Art der Verarbeitung: das Speichern, Abrufen, Strukturieren, Ändern und sonstige Verarbeiten personenbezogener Daten, die der Verantwortliche in den Dienst eingibt oder verarbeiten lässt, zum Zweck der Brauerei- und/oder Festivalverwaltung.

Zweck: die Erbringung des Dienstes wie in den Allgemeinen Geschäftsbedingungen beschrieben.

Kategorien betroffener Personen:

• Nutzer des Verantwortlichen (Mitarbeiter);
• Kunden und geschäftliche Kontakte des Verantwortlichen;
• Teilnehmer und Besucher eines Festivals.

Arten personenbezogener Daten:

• Kontakt- und Kontodaten (Name, E-Mail-Adresse, Telefonnummer);
• Unternehmens- und Bestelldaten;
• Festival- und Besucherdaten, einschließlich Besucher-E-Mail-Adressen für eine angeforderte Bierübersicht;
• Nutzungsdaten.

Grundsätzlich werden keine besonderen Kategorien personenbezogener Daten verarbeitet.

Anlage 2: Unterauftragsverarbeiter

Anlage 3: Technische und organisatorische Sicherheitsmaßnahmen

• Der Zugang zu Daten ist auf Datenbankebene (Row-Level Security) und auf Grundlage rollenbasierter Autorisierung abgeschottet.
• Verbindungen erfolgen über Verschlüsselung (TLS).
• Sensible Daten, wie Besucher-E-Mail-Adressen, werden verschlüsselt gespeichert.
• Passwörter werden ausschließlich verschlüsselt (gehasht) gespeichert.
• Der Zugang durch Mitarbeiter des Auftragsverarbeiters ist auf das Erforderliche beschränkt und unterliegt der Geheimhaltung.
• Regelmäßige Back-ups und Protokollierung von Zugriffen und Änderungen.
• Hosting bei Unterauftragsverarbeitern mit anerkannten Sicherheitszertifizierungen.