Auftragsverarbeitungsvertrag

Dieser Vertrag ist Anhang 1 zu den JewelExperts App-Bedingungen (die „Bedingungen“) zwischen Webcollation BV („wir“, „uns“) und dem Kunden, der die Bedingungen akzeptiert hat („Sie“).

1. Geltungsbereich und Rollen

1.1 Dieser Vertrag gilt immer dann, wenn wir bei der Bereitstellung unserer Apps im Sinne der Bedingungen personenbezogene Daten in Ihrem Auftrag verarbeiten. Er gilt für alle Apps, Plugins und Widgets, die Sie direkt oder über eine Plattform nutzen, sowie für unser Kundenportal.

1.2 Für diese personenbezogenen Daten sind Sie der Verantwortliche und wir sind Ihr Auftragsverarbeiter. Wenn Sie als Auftragsverarbeiter für einen Dritten tätig sind, bestätigen Sie, dass Ihre Weisungen an uns von diesem Verantwortlichen genehmigt sind.

1.3 Soweit wir personenbezogene Daten für eigene Zwecke verarbeiten, zum Beispiel die Daten Ihres Kontos und seiner Nutzer, sind wir der Verantwortliche, und anstelle dieses Vertrags gilt unsere Datenschutzrichtlinie.

1.4 Unsere Widgets können außerdem technische Messwerte senden, die Besucher nicht identifizieren. Wir verwenden sie, um unsere Apps zu betreiben, abzusichern und zu verbessern und Ihnen über die Nutzung zu berichten. Sie sind keine personenbezogenen Daten, und dieser Vertrag gilt nicht für sie.

1.5 Anhang A beschreibt die Verarbeitung. In der DSGVO definierte Begriffe haben hier dieselbe Bedeutung. „Datenschutzrecht“ bezeichnet die DSGVO und die für die Verarbeitung geltenden Rechtsvorschriften der EU und ihrer Mitgliedstaaten.

2. Weisungen

2.1 Wir verarbeiten die personenbezogenen Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf Übermittlungen an ein Drittland, sofern nicht das Recht der Union oder der Mitgliedstaaten, dem wir unterliegen, etwas anderes verlangt. In diesem Fall teilen wir Ihnen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Ihre Weisungen sind die Bedingungen, dieser Vertrag, die von Ihnen gewählten Einstellungen und die Art und Weise, wie Sie unsere Apps nutzen, sowie jede andere schriftliche Weisung, die wir mit Ihnen vereinbaren.

2.3 Wir informieren Sie unverzüglich, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

3. Vertraulichkeit

Wir gewährleisten, dass sich alle von uns zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4. Sicherheit

4.1 Wir treffen alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Anhang B führt sie in allgemeiner Form auf.

4.2 Wir können diese Maßnahmen ändern, solange das Gesamtniveau der Sicherheit nicht gesenkt wird.

5. Unterauftragsverarbeiter

5.1 Sie erteilen uns eine allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) direkt oder über einen unserer Unterauftragsverarbeiter zu beauftragen. Die aktuelle Liste veröffentlichen wir auf unserer Seite mit den Unterauftragsverarbeitern.

5.2 Wir informieren Sie über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vor der Änderung, per E-Mail an die Kontakt-E-Mail-Adresse, die wir für Sie hinterlegt haben, oder, wenn wir keine haben, durch einen Hinweis in der App, und wir aktualisieren gleichzeitig die Seite mit den Unterauftragsverarbeitern. Damit haben Sie die Möglichkeit, Einspruch zu erheben. Eine Änderung, die uns einer unserer Unterauftragsverarbeiter mit kürzerer Frist mitteilt, geben wir an Sie weiter, sobald wir sie erhalten.

5.3 Sie können innerhalb dieser Frist aus angemessenen, den Datenschutz betreffenden Gründen schriftlich Einspruch erheben. Wir besprechen den Einspruch dann nach Treu und Glauben mit Ihnen. Gelingt es uns nicht, ihn beizulegen, können Sie den betroffenen Dienst beenden, bevor die Änderung wirksam wird.

5.4 Wir stellen sicher, dass jeder Unterauftragsverarbeiter durch einen Vertrag mit uns oder mit dem Unterauftragsverarbeiter, der ihn beauftragt, an dieselben Datenschutzpflichten gebunden ist, die dieser Vertrag festlegt, wobei insbesondere hinreichende Garantien dafür geboten werden müssen, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden.

5.5 Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haften wir Ihnen gegenüber für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

6. Unterstützung bei Anfragen betroffener Personen

6.1 Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen von Personen, die ihre Rechte nach Kapitel III DSGVO wahrnehmen.

6.2 Erhalten wir eine solche Anfrage direkt, leiten wir sie unverzüglich an Sie weiter. Wir beantworten sie nicht selbst, es sei denn, Sie weisen uns dazu an.

6.3 Wenn Sie oder Ihre App uns auffordern, die Daten einer Person zu löschen, löschen wir sie oder bewahren nur Zahlen auf, die niemanden identifizieren, etwa Summen für Ihre Berichte. Wir bewahren ausschließlich Folgendes auf:

• die Kennung der Person in einer kodierten Form, die sich nicht umkehren lässt, mit dem Datum, solange es nötig ist, damit die Löschung wirksam bleibt: Eine unveränderte Wiederholung eines früheren Ereignisses oder ein Ereignis mit einem Datum vor der Löschung bringt die gelöschten Daten nicht zurück. Daten, die Sie danach erneut erfassen, etwa durch einen Import in Ihr CRM, werden als neu behandelt. Diese kodierte Kennung wird zusammen mit den übrigen Daten nach Beendigung der Leistungen gelöscht (8.1); wenn Sie die App danach erneut installieren, werden an uns übermittelte Daten als neu behandelt, unabhängig von ihrem Datum;
• einen Nachweis der Anfrage und ihrer Erledigung, mit der Kennung der Person nur in kodierter Form und unter einem zufälligen Namen, solange es nötig ist, um zu belegen, dass sie ausgeführt wurde;
• einen Vermerk über jedes Ereignis zu der Person, das nach der Löschung eingeht, mit den Kennungen des Ereignisses, aber ohne seinen Inhalt, solange es nötig ist, damit eine Wiederholung erkannt und nicht angewendet wird.

6.4 Wir können außerdem anonyme Angaben zu gelöschten Datensätzen aufbewahren, für Ihre Berichte und unsere Statistiken: Zahlen je Shop und Zeitraum sowie Zusammenfassungen von Gruppen aus mindestens fünf gelöschten Personen eines Shops, die nur die Arten ihrer wichtigsten Ereignisse in groben Bereichen zeigen, ohne Namen, Kennung, Kontaktdaten oder Inhalt. Sie lassen sich keiner Person und keinem der oben genannten Datensätze zuordnen.

7. Unterstützung bei Sicherheit, Verletzungen des Schutzes personenbezogener Daten und Folgenabschätzungen

7.1 Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie bei der Erfüllung Ihrer Pflichten nach Art. 32 bis 36 DSGVO: Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultation.

7.2 Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, von der die personenbezogenen Daten betroffen sind, melden wir sie Ihnen unverzüglich. Wir stellen Ihnen die in Art. 33 Abs. 3 DSGVO beschriebenen Informationen zur Verfügung, soweit sie uns vorliegen, und die übrigen, sobald sie verfügbar werden.

8. Löschung oder Rückgabe bei Beendigung

8.1 Nach Beendigung der Leistungen löschen wir alle personenbezogenen Daten oder geben sie Ihnen nach Ihrer Wahl zurück, und wir löschen vorhandene Kopien, sofern uns nicht das Recht der Union oder der Mitgliedstaaten verpflichtet, sie aufzubewahren, mit Ausnahme der Nachweise über Anfragen nach Ziffer 6.3. Auf Anfrage bestätigen wir Ihnen schriftlich, dass die personenbezogenen Daten gelöscht wurden.

8.2 Wenn eine App einen Export anbietet, können Sie die Daten selbst herunterladen, bevor Sie Ihr Konto schließen. Treffen Sie keine Wahl, löschen wir die Daten.

8.3 Gelöschte Daten können für einen begrenzten Zeitraum in Sicherungskopien verbleiben, bis diese Sicherungskopien in ihrem regulären Zyklus gelöscht werden.

8.4 Die Support-Korrespondenz mit Ihnen gehört zu unseren eigenen Unterlagen. Personenbezogene Daten Ihrer Besucher oder Kunden darin werden nur so lange aufbewahrt, wie es unsere Regel für Support-E-Mails zulässt, und nur zur Bearbeitung der Anfrage verwendet.

9. Informationen und Überprüfungen

9.1 Wir stellen Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind.

9.2 Wir ermöglichen Überprüfungen, einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und tragen dazu bei. Sie geben uns eine angemessene Vorankündigung; innerhalb von jeweils 12 Monaten findet höchstens eine Überprüfung statt, es sei denn, eine Verletzung des Schutzes personenbezogener Daten, Anzeichen für eine Nichteinhaltung oder eine Aufsichtsbehörde erfordert eine weitere; der Prüfer ist zur Vertraulichkeit verpflichtet; und Sie tragen Ihre eigenen Kosten. Wir können zunächst Unterlagen anbieten, die die Einhaltung belegen; Sie entscheiden, ob diese ausreichen oder ob die Überprüfung durchgeführt wird.

10. Übermittlungen an Länder außerhalb des EWR

10.1 Wir übermitteln personenbezogene Daten an ein Land außerhalb des Europäischen Wirtschaftsraums nur im Einklang mit Kapitel V DSGVO, zum Beispiel auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission.

10.2 Sie genehmigen die Übermittlungen an die in der Liste aufgeführten Unterauftragsverarbeiter auf Grundlage der dort genannten Garantien.

10.3 Wenn Sie in einem Land außerhalb des EWR niedergelassen sind, für das kein Angemessenheitsbeschluss der Europäischen Kommission besteht, unterliegen unsere Übermittlungen personenbezogener Daten an Sie den Standardvertragsklauseln, die die Europäische Kommission im Durchführungsbeschluss (EU) 2021/914 erlassen hat, Modul vier (Übermittlung von Auftragsverarbeitern an Verantwortliche) (die „Klauseln“). Die Klauseln werden durch Verweis in diesen Vertrag einbezogen und wie folgt ergänzt: (a) Wir sind der Datenexporteur und Sie sind der Datenimporteur; (b) Klausel 7 und die Option in Klausel 11 Buchstabe a finden keine Anwendung; (c) gemäß Klausel 17 unterliegen die Klauseln belgischem Recht, und gemäß Klausel 18 werden Streitigkeiten von den Gerichten Belgiens entschieden; (d) in Anhang I.A ist der Datenexporteur die Webcollation BV, wie in den Bedingungen genannt, die als Auftragsverarbeiter handelt, und Sie sind der Datenimporteur, wie in Ihrem Konto angegeben, und handeln als Verantwortlicher; die Kontaktdaten jeder Partei sind die in den Bedingungen und in Ihrem Konto; die für die Übermittlungen relevanten Tätigkeiten sind die Dienste unserer Apps nach den Bedingungen; (e) in Anhang I.B werden die Übermittlungen durch Anhang A dieses Vertrags beschrieben; sie erfolgen fortlaufend, und zwar immer dann, wenn wir Ihnen personenbezogene Daten zur Verfügung stellen, zum Beispiel in unseren Apps, in deren Exporten und über deren Integrationen; (f) mit der Annahme der Bedingungen stimmen Sie den hier ergänzten Klauseln zu und unterzeichnen Anhang I; wir stimmen ihnen zu, indem wir diesen Vertrag zum Bestandteil der Bedingungen machen. Widersprechen die Klauseln diesem Vertrag oder den Bedingungen, haben die Klauseln Vorrang.

11. Ihre Pflichten

11.1 Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich ihrer Rechtsgrundlage, sowie für die Information der betroffenen Personen, zum Beispiel in Ihren Datenschutz- und Cookie-Hinweisen.

11.2 Sie holen jede gesetzlich erforderliche Einwilligung ein und verbinden, wo unsere Dokumentation Sie dazu auffordert, Ihr Cookie-Banner gemäß ihren Erläuterungen mit unseren Widgets.

11.3 Ihre Weisungen entsprechen dem Datenschutzrecht.

11.4 Sie nutzen unsere Apps nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO).

12. Dauer, Vorrang, Haftung, Recht und Sprache

12.1 Dieser Vertrag gilt, solange wir personenbezogene Daten in Ihrem Auftrag verarbeiten.

12.2 Widerspricht dieser Vertrag den Bedingungen, hat dieser Vertrag in Fragen des Datenschutzes Vorrang. Gelten die Standardvertragsklauseln, haben sie Vorrang vor diesem Vertrag.

12.3 Die Haftungsbeschränkungen in den Bedingungen gelten für diesen Vertrag, außer soweit das Datenschutzrecht sie nicht zulässt.

12.4 Dieser Vertrag unterliegt belgischem Recht. Für Streitigkeiten über diesen Vertrag sind die Gerichte im Gerichtsbezirk Antwerpen, Belgien, ausschließlich zuständig, soweit zwingendes Recht nichts anderes bestimmt.

12.5 Dieser Vertrag ist in englischer Sprache verfasst. Weicht eine Übersetzung vom englischen Text ab, ist der englische Text maßgeblich.

Anhang A. Beschreibung der Verarbeitung

Anhang B. Sicherheitsmaßnahmen (Art. 32 DSGVO)

In allgemeiner Form beschrieben, da Art. 32 dem Risiko angemessene Maßnahmen verlangt.

• Netzwerksicherheit: jede App ist über einen Netzwerksicherheitsdienst erreichbar, der vor Angriffen schützt; das Hosting der Apps ergänzt eine Web Application Firewall, die schädliche Anfragen filtert.
• Zahlungen: wir erhalten nie vollständige Kartennummern; die Zahlung wickelt der Wiederverkäufer oder die Plattform ab.
• Datenminimierung: unsere Apps verarbeiten nur die personenbezogenen Daten, die eine Funktion benötigt, und unsere Protokolle lassen Abfragezeichenfolgen weg, die Zugangsdaten enthalten können.
• Datensicherungen: unsere Datenbanken werden gesichert.
• Überwachung: Alarme erreichen unsere Mitarbeiter.
• Unterauftragsverarbeiter: schriftliche Verträge nach Ziffer 5.
• Löschung: wir kommen den Löschanfragen der Plattformen nach.

Anhang C. Unterauftragsverarbeiter

Die Liste, veröffentlicht auf unserer Seite mit den Unterauftragsverarbeitern, in der nach Ziffer 5 aktualisierten Fassung, einschließlich der über einen anderen Unterauftragsverarbeiter beauftragten Unterauftragsverarbeiter.