Datenverarbeitungsvereinbarung

Wir bei Waldo Studio BV verpflichten uns, personenbezogene Daten sicher zu verarbeiten und die Privatsphäre der betroffenen Personen zu respektieren. Diese Richtlinie wird jährlich oder jedes Mal überprüft, wenn sich Änderungen in unserer Datenverarbeitung ergeben.

Vertragsgegenstand

Im Zuge der Erfüllung des Vertrags zwischen Waldo Studio BV (der „Auftragsverarbeiter“) und dem Kunden (der „Kunde“, zusammen mit dem Auftragsverarbeiter die „Parteien“) über die Bereitstellung der Software des Auftragsverarbeiters an den Kunden (der „Vertrag“) ist es möglich, dass der Auftragsverarbeiter personenbezogene Daten gemäß Art. 4 Nr. 1 Datenschutz-Grundverordnung („GDPR“), d. h. alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Namen, Adressen oder Telefonnummern von Personen, die Kunden des Kunden sind), hinsichtlich derer der Kunde als Verantwortlicher im Sinne des Datenschutzrechts fungiert (die „Kundendaten“). In dieser Vereinbarung (die „Vereinbarung“) werden die datenschutzrechtlichen Pflichten und Rechte der Parteien im Zusammenhang mit der Verwendung von Kundendaten durch den Auftragsverarbeiter zur Erbringung der Dienstleistungen im Rahmen der Datenschutz-Grundverordnung festgelegt Vertrag. 2. #### Umfang der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Kundendaten im Auftrag und nach Weisung des Kunden im Sinne des Art. 28 GDPR. Der Kunde bleibt Verantwortlicher gemäß Art. 28 GDPR. Die Verarbeitung der Kundendaten durch den Auftragsverarbeiter erfolgt in der Art, im Umfang und zu dem Zweck, die in Anhang 2.2 dieser Vereinbarung festgelegt sind; Die Verarbeitung bezieht sich auf die dort genannten Arten personenbezogener Daten und Kategorien betroffener Personen. Die Dauer der Bearbeitung entspricht der Vertragslaufzeit. Der Auftragsverarbeiter behält sich das Recht vor, die Kundendaten so zu anonymisieren oder zu aggregieren, dass eine Identifizierung einzelner betroffener Personen nicht mehr möglich ist, und sie in dieser Form zum Zwecke der bedarfsgerechten Gestaltung, des maschinellen Lernens, der Entwicklung und Optimierung sowie der Erbringung der vertraglich vereinbarten Leistungen zu verwenden. Die Parteien vereinbaren, dass anonymisierte und gemäß der oben genannten Anforderung aggregierte Kundendaten nicht als Kundendaten im Sinne dieser Vereinbarung gelten. Der Auftragsverarbeiter darf die Kundendaten für eigene Zwecke als Verantwortlicher verarbeiten und nutzen, soweit dies datenschutzrechtlich zulässig ist. Diese Vereinbarung gilt nicht für eine solche Datenverarbeitung. Die Verarbeitung der Kundendaten durch den Auftragsverarbeiter erfolgt grundsätzlich innerhalb der Europäischen Union oder einem anderen Vertragsstaat des Europäischen Wirtschaftsraums (EWR). Dem Auftragsverarbeiter ist es jedoch gestattet, Kundendaten gemäß den Bestimmungen dieser Vereinbarung außerhalb des EWR zu verarbeiten, wenn der Auftragsverarbeiter den Kunden vorab (z. B. in der Datenschutzerklärung) über den Ort der Datenverarbeitung informiert und die Voraussetzungen des Art. 44 bis 48 GDPR erfüllt sind oder eine Ausnahme gemäß Art. Es gilt Art. 49 GDPR.

Weisungsrecht des Kunden

Der Auftragsverarbeiter verarbeitet die Kundendaten gemäß den Anweisungen des Kunden, sofern der Auftragsverarbeiter nicht gesetzlich dazu verpflichtet ist. Im letzteren Fall muss der Auftragsverarbeiter den Kunden vor der Verarbeitung über diese rechtliche Anforderung informieren, es sei denn, das Gesetz verbietet eine solche Information aus wichtigen Gründen des öffentlichen Interesses.


Die Weisungen des Kunden werden grundsätzlich in den Bestimmungen dieses Vertrages abschließend festgelegt und dokumentiert. Einzelne Weisungen, die von den Regelungen dieser Vereinbarung abweichen oder zusätzliche Anforderungen stellen, bedürfen der Zustimmung des Auftragsverarbeiters.
Der Auftragsverarbeiter stellt sicher, dass die Kundendaten gemäß den Anweisungen des Kunden verarbeitet werden. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Kunden gegen diesen Vertrag oder geltendes Datenschutzrecht verstößt, ist der Auftragsverarbeiter nach entsprechender Information des Kunden berechtigt, die Ausführung der Weisung auszusetzen, bis der Kunde die Weisung bestätigt. Die Parteien vereinbaren, dass die alleinige Verantwortung für die weisungsgemäße Verarbeitung der Kundendaten beim Kunden liegt.

Rechtliche Verantwortung des Kunden

Der Kunde ist allein verantwortlich für die Zulässigkeit der Verarbeitung der Kundendaten und für die Wahrung der Rechte der betroffenen Personen im Verhältnis zwischen den Parteien. Sollten Dritte aufgrund der Verarbeitung von Kundendaten gemäß dieser Vereinbarung Ansprüche gegen den Auftragsverarbeiter geltend machen, stellt der Kunde den Auftragsverarbeiter auf erstes Anfordern von sämtlichen Ansprüchen frei.


Der Kunde ist dafür verantwortlich, dem Auftragsverarbeiter die Kundendaten rechtzeitig für die Erbringung der vertragsgemäßen Leistungen bereitzustellen, und der Kunde ist für die Qualität der Kundendaten verantwortlich. Der Kunde hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn der Kunde bei der Prüfung der Ergebnisse des Auftragsverarbeiters Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen oder Weisungen des Kunden feststellt.
Auf Anfrage stellt der Kunde dem Auftragsverarbeiter die in Art. 1 genannten Informationen zur Verfügung. 30 Abs. 2 GDPR, soweit sie dem Auftragsverarbeiter nicht bereits zur Verfügung steht.
Ist der Auftragsverarbeiter verpflichtet, einer staatlichen Stelle oder Person Informationen über die Verarbeitung von Kundendaten zu erteilen oder auf andere Weise mit diesen Stellen zusammenzuarbeiten, ist der Kunde verpflichtet, den Auftragsverarbeiter auf erstes Anfordern bei der Bereitstellung dieser Informationen und bei der Erfüllung anderer angemessener Mitwirkungspflichten zu unterstützen.

Anforderungen an Personal und Systeme

Der Auftragsverarbeiter verpflichtet alle an der Verarbeitung von Kundendaten beteiligten Personen zur Vertraulichkeit hinsichtlich der Verarbeitung von Kundendaten. 6. #### Sicherheit der Verarbeitung


Der Auftragsverarbeiter ergreift die erforderlichen geeigneten technischen und organisatorischen Maßnahmen gemäß Art. 32 GDPR unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und Zwecke der Kundendaten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen, um ein dem Risiko angemessenes Schutzniveau der Kundendaten sicherzustellen. Zu den umgesetzten technischen und organisatorischen Maßnahmen zählen die in Anlage 6.1 aufgeführten Maßnahmen.
Der Auftragsverarbeiter hat das Recht, während der Laufzeit dieser Vereinbarung technische und organisatorische Maßnahmen zu ändern, sofern diese weiterhin den gesetzlichen Anforderungen entsprechen.

Einschaltung weiterer Auftragsverarbeiter

Der Kunde erteilt dem Auftragsverarbeiter die generelle Befugnis, weitere Auftragsverarbeiter im Hinblick auf die Verarbeitung von Kundendaten einzusetzen. Weitere zum Zeitpunkt des Vertragsabschlusses beauftragte Auftragsverarbeiter sind in Anlage 7.2 aufgeführt. Für Vertragsverhältnisse mit Dienstleistern, die die Prüfung oder Aufrechterhaltung von Datenverarbeitungsverfahren oder -systemen durch Dritte zum Gegenstand haben oder sonstige Zusatzleistungen beinhalten, bedarf es grundsätzlich keiner Genehmigung, auch wenn ein Zugriff auf Kundendaten nicht ausgeschlossen werden kann, sofern der Auftragsverarbeiter angemessene Maßnahmen zum Schutz der Vertraulichkeit der Kundendaten trifft. Um Benachrichtigungen über das Hinzufügen oder Ersetzen vorhandener Unterauftragsverarbeiter zu erhalten, kann der Kunde eine Mailingliste abonnieren, indem er uns eine E-Mail an support@socialjuice.io sendet. Benachrichtigungen an den Unterauftragsverarbeiter erfolgen spätestens 14 Tage vor etwaigen Änderungen, um dem Kunden die Möglichkeit zu geben, Einwände zu erheben. Ein Widerspruch kann vom Kunden nur aus wichtigen Gründen erhoben werden, die gegenüber dem Auftragsverarbeiter glaubhaft gemacht werden müssen. Sofern der Kunde nicht innerhalb von 14 Tagen nach Zugang der Mitteilung widerspricht, erlischt sein Widerspruchsrecht gegen die entsprechende Beauftragung. Widerspricht der Kunde, ist der Auftragsverarbeiter berechtigt, den Vertrag und diese Vereinbarung mit einer Frist von drei Monaten zum Monatsende zu kündigen.


Die Vereinbarung zwischen dem Auftragsverarbeiter und dem weiteren Auftragsverarbeiter muss dem weiteren Auftragsverarbeiter die gleichen Verpflichtungen auferlegen, die dem Auftragsverarbeiter im Rahmen dieser Vereinbarung obliegen. Die Parteien vereinbaren, dass diese Anforderung erfüllt ist, wenn der Vertrag ein Schutzniveau aufweist, das dieser Vereinbarung entspricht.
Vorbehaltlich der Einhaltung der Anforderungen des Abschnitts. 2.5 dieser Vereinbarung gelten die Bestimmungen dieses Abschnitts. 7 gilt auch dann, wenn ein weiterer Auftragsverarbeiter in einem Drittland beteiligt ist. Der Kunde ermächtigt hiermit den Auftragsverarbeiter, im Namen des Kunden einen Vertrag mit einem anderen Auftragsverarbeiter auf Basis der Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittstaaten gemäß Beschluss der Europäischen Kommission vom 5. Februar 2010 abzuschließen. Der Kunde erklärt sich bereit, bei der Erfüllung der Anforderungen des Art. 49 GDPR soweit erforderlich.

Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Kunden im Rahmen des Zumutbaren durch technische und organisatorische Maßnahmen bei der Erfüllung seiner Verpflichtung, auf Anfragen zur Wahrnehmung von Betroffenenrechten zu reagieren.


Soweit eine betroffene Person einen Antrag auf Ausübung ihrer Rechte direkt an den Auftragsverarbeiter richtet, wird der Auftragsverarbeiter diesen Antrag zeitnah an den Kunden weiterleiten.
Der Auftragsverarbeiter informiert den Kunden über alle Informationen zu den gespeicherten Kundendaten, über die Empfänger der Kundendaten, an die der Auftragsverarbeiter sie gemäß den Anweisungen weitergeben darf, und über den Zweck der Speicherung, soweit der Kunde nicht über diese Informationen verfügt und der Kunde nicht in der Lage ist, sie selbst zu erheben.
Der Auftragsverarbeiter wird dem Kunden im Rahmen des Zumutbaren und Erforderlichen die Berichtigung, Löschung oder Einschränkung der weiteren Verarbeitung von Kundendaten ermöglichen oder auf Weisung des Kunden selbst die Berichtigung, Sperrung oder Einschränkung der weiteren Verarbeitung vornehmen, wenn und soweit dies für den Kunden unmöglich ist. In diesem Fall werden dem Auftragsverarbeiter die ihm in diesem Zusammenhang entstandenen und gegenüber dem Kunden nachgewiesenen Aufwendungen und Kosten ersetzt.
Soweit der betroffenen Person gegenüber dem Kunden ein Recht auf Datenübertragbarkeit hinsichtlich der Kundendaten gemäß Art. 20 GDPR unterstützt der Auftragsverarbeiter den Kunden im Rahmen des Zumutbaren und Erforderlichen bei der Übergabe der Kundendaten in einem strukturierten, gängigen und maschinenlesbaren Format, wenn der Kunde die Daten nicht anderweitig erhalten kann. In diesem Fall werden dem Auftragsverarbeiter die ihm in diesem Zusammenhang entstandenen und gegenüber dem Kunden nachgewiesenen Aufwendungen und Kosten ersetzt.

Mitteilungs- und Supportpflichten des Auftragsverarbeiters

Sofern für den Kunden aufgrund einer Verletzung der Sicherheit der Kundendaten (insbesondere gemäß Art. 33, 34 GDPR) eine gesetzliche Meldepflicht besteht, wird der Auftragsverarbeiter den Kunden rechtzeitig über alle meldepflichtigen Ereignisse im Verantwortungsbereich des Auftragsverarbeiters informieren. Der Auftragsverarbeiter wird den Kunden auf Verlangen des Auftragsverarbeiters bei der Erfüllung der Mitteilungspflichten unterstützen, soweit dies zumutbar und erforderlich ist. In diesem Fall werden dem Auftragsverarbeiter die ihm in diesem Zusammenhang entstandenen und gegenüber dem Kunden nachgewiesenen Aufwendungen und Kosten ersetzt.


Der Auftragsverarbeiter unterstützt den Kunden im Rahmen des Zumutbaren und Erforderlichen bei von ihm durchzuführenden Datenschutz-Folgenabschätzungen und ggf. anschließenden Beratungen mit der Aufsichtsbehörde gemäß Art. 35, 36 GDPR. In diesem Fall werden dem Auftragsverarbeiter die ihm in diesem Zusammenhang entstandenen und gegenüber dem Kunden nachgewiesenen Aufwendungen und Kosten ersetzt.

Löschung und Rückgabe von Kundendaten

Bei Beendigung dieser Vereinbarung wird der Auftragsverarbeiter nach Ermessen des Kunden Folgendes tun:
a. die Kundendaten entweder löschen oder zurückgeben; und
b. vorhandene Kopien davon löschen
es sei denn, der Auftragsverarbeiter ist gesetzlich zur weiteren Speicherung der Kundendaten verpflichtet.
Der Auftragsverarbeiter kann auch nach Beendigung dieser Vereinbarung Dokumentationen aufbewahren, die als Nachweis für die ordnungsgemäße und korrekte Verarbeitung von Kundendaten dienen.

Nachweise und Audits

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage des Kunden alle erforderlichen und verfügbaren Informationen zur Verfügung, um die Einhaltung seiner Verpflichtungen aus dieser Vereinbarung nachzuweisen.
Der Kunde ist berechtigt, den Auftragsverarbeiter hinsichtlich der Einhaltung der Bestimmungen dieser Vereinbarung, insbesondere der Umsetzung der technischen und organisatorischen Maßnahmen, zu überprüfen (einschließlich Inspektionen).
Zur Durchführung von Prüfungen gemäß § 10 Abs. 11.2. ist der Kunde nach rechtzeitiger Voranmeldung gemäß Ziffer 11.2 berechtigt, die Geschäftsräume des Auftragsverarbeiters, in denen Kundendaten verarbeitet werden, innerhalb der üblichen Geschäftszeiten (montags bis freitags von 10 bis 18 Uhr) zu betreten. 11.5 auf eigene Kosten, ohne Störung des Geschäftsablaufs und unter strenger Geheimhaltung der Geschäfts- und Betriebsgeheimnisse des Auftragsverarbeiters.
Der Auftragsverarbeiter ist nach eigenem Ermessen und unter Berücksichtigung der gesetzlichen Verpflichtungen des Kunden berechtigt, Informationen nicht weiterzugeben, die für den Geschäftsbetrieb des Auftragsverarbeiters sensibel sind oder der Auftragsverarbeiter durch die Offenlegung gegen gesetzliche oder sonstige vertragliche Bestimmungen verstoßen würde. Der Kunde hat keinen Anspruch auf Zugriff auf Daten oder Informationen über andere Kunden des Auftragsverarbeiters, Kosteninformationen, Qualitätskontroll- und Vertragsmanagementberichte oder andere vertrauliche Daten des Auftragsverarbeiters, die für die vereinbarten Prüfungszwecke nicht unmittelbar relevant sind.
Der Kunde informiert den Auftragsverarbeiter rechtzeitig (in der Regel mindestens zwei Wochen im Voraus) über alle Umstände im Zusammenhang mit der Durchführung des Audits. Der Kunde darf höchstens ein Audit pro Kalenderjahr durchführen.
Beauftragt der Kunde einen Dritten mit der Durchführung des Audits, verpflichtet er den Dritten schriftlich in gleicher Weise, wie er gemäß dieser Ziffer gegenüber dem Auftragsverarbeiter verpflichtet ist. 11. Darüber hinaus wird der Kunde den Dritten durch schriftliche Vereinbarung zur Geheimhaltung und Vertraulichkeit verpflichten, sofern der Dritte nicht einer beruflichen Verschwiegenheitspflicht unterliegt. Auf Verlangen des Auftragsverarbeiters hat der Kunde dem Auftragsverarbeiter die Verpflichtungs- und Vertraulichkeitsvereinbarungen mit dem Dritten unverzüglich vorzulegen. Der Kunde darf keine Wettbewerber des Auftragsverarbeiters mit der Durchführung des Audits beauftragen.
Der Nachweis der Einhaltung der Pflichten aus diesem Vertrag kann nach Wahl des Auftragsverarbeiters anstelle einer Inspektion auch durch die Vorlage eines entsprechenden aktuellen Gutachtens oder Berichts einer unabhängigen Stelle (z.B. Wirtschaftsprüfer, Revisionsabteilung, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzprüfer oder Qualitätsprüfer) oder einer geeigneten Bescheinigung durch ein IT-Sicherheits- oder Datenschutzaudit (der „Auditbericht“) erbracht werden, sofern der Auditbericht es dem Kunden in geeigneter Weise ermöglicht, sich von den Anforderungen des Auftragsverarbeiters zu überzeugen Einhaltung der in dieser Vereinbarung enthaltenen vertraglichen Verpflichtungen.

Vertragslaufzeit und Kündigung

Die Laufzeit und Kündigung dieser Vereinbarung richten sich nach den Laufzeit- und Kündigungsbestimmungen des Vertrags. Eine Kündigung des Vertrages führt automatisch zu einer Kündigung dieser Vereinbarung. Eine isolierte Kündigung dieses Vertrages ist ausgeschlossen.

Haftung

Die Haftung des Auftragsverarbeiters im Rahmen dieser Vereinbarung richtet sich nach den im Vertrag vorgesehenen Haftungsausschlüssen und Haftungsbeschränkungen. Soweit Dritte Ansprüche gegen den Auftragsverarbeiter geltend machen, die auf einem schuldhaften Verstoß des Kunden gegen diesen Vertrag oder eine seiner datenschutzrechtlichen Pflichten als Verantwortlicher beruhen, stellt der Kunde den Auftragsverarbeiter auf erstes Anfordern von diesen Ansprüchen frei.
Der Kunde verpflichtet sich, den Auftragsverarbeiter auf erstes Anfordern von allen möglichen gegen den Auftragsverarbeiter verhängten Bußgeldern freizustellen, die der Mitverantwortung des Kunden für den mit der Geldbuße geahndeten Verstoß entsprechen.

Schlussbestimmungen

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden oder eine Lücke enthalten, bleiben die übrigen Bestimmungen davon unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine rechtlich zulässige Regelung zu ersetzen, die dem Zweck der unwirksamen Bestimmung am nächsten kommt und dabei den Anforderungen des Art. 28 GDPR.
Im Falle von Widersprüchen zwischen dieser Vereinbarung und anderen Vereinbarungen der Parteien, insbesondere dem Vertrag, haben die Bestimmungen dieser Vereinbarung Vorrang.

Anhang 2.2

Weitere Informationen zur Verarbeitung von Kundendaten

Anhang 6.1

Technische und organisatorische Maßnahmen gemäß Art. 32 GDPR Gemäß Art. 32 GDPR Der Verantwortliche und Verarbeiter personenbezogener Daten muss technische und organisatorische Maßnahmen (TOM) ergreifen, um sicherzustellen, dass die Sicherheits- und Schutzanforderungen des Datenschutzes eingehalten werden. Unter technischen Maßnahmen sind alle im weitesten Sinne physikalisch umsetzbaren Schutzversuche zu verstehen, etwa die Absicherung von Türen und Fenstern oder in Soft- und Hardware umgesetzte Maßnahmen, etwa die Einrichtung einer Benutzerkonto- und Passwortpflicht. Unter organisatorischen Maßnahmen sind Schutzversuche zu verstehen, die durch Anweisungen, Verfahren und Vorgehensweisen umgesetzt werden.

Anlage 7.2 Weitere Auftragsverarbeiter

Weitere Informationen zur Verarbeitung von Kundendaten