Auftragsverarbeitungsvertrag

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag (der AVV) wird zwischen dem Kunden, der die AGB akzeptiert (der Verantwortliche), und Henartech Yazılım Ltd. Şti. (der Auftragsverarbeiter oder Mesaifix) geschlossen und erfüllt die Anforderungen des Art. 28 Abs. 3 DSGVO. Mit der Annahme der AGB wird auch dieser AVV angenommen.

Der AVV gilt für personenbezogene Daten, die Mesaifix bei der Erbringung der Dienste im Auftrag des Kunden verarbeitet. Daten, die Mesaifix als eigener Verantwortlicher verarbeitet (etwa Konto- und Rechnungsdaten), fallen nicht darunter.

Begriffe, die hier nicht definiert sind, haben die Bedeutung aus den AGB und der DSGVO.

2. Gegenstand, Art und Zweck der Verarbeitung

3. Pflichten des Verantwortlichen

• für eine Rechtsgrundlage der Verarbeitung von Endnutzerdaten zu sorgen (Art. 6 und gegebenenfalls Art. 9 DSGVO),
• Endnutzer zu informieren (Art. 13, 14 DSGVO); zu prüfen, ob der kurze Hinweis, den Mesaifix auf Buchungsseite und Website-Assistent zeigt, ausreicht, und andernfalls eigene Informationen bereitzustellen,
• erforderliche Einwilligungen der Endnutzer einzuholen, auch für Werbenachrichten,
• sicherzustellen, dass seine Weisungen an Mesaifix (einschließlich Einstellungen im Panel, Fragen im Buchungsablauf und Informationen für den Assistenten) datenschutzkonform sind,
• Anfragen von Endnutzern zur Ausübung ihrer Rechte zu beantworten,
• ein eigenes Verzeichnis von Verarbeitungstätigkeiten zu führen und, wo erforderlich, eine Datenschutz-Folgenabschätzung durchzuführen.

4. Pflichten des Auftragsverarbeiters

• personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten, auch hinsichtlich der Übermittlung in Drittländer. Als Weisung gelten die AGB, dieser AVV sowie die Einstellungen und Handlungen des Kunden im Panel. Hält Mesaifix eine Weisung für datenschutzwidrig, informiert es den Kunden unverzüglich,
• die Daten nicht für eigene Zwecke zu verwenden, nicht zu verkaufen und ohne schriftliche Weisung des Kunden nicht zum Training von KI-Modellen zu nutzen,
• sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind und nur den nötigen Zugriff haben,
• die unter Technische und organisatorische Maßnahmen aufgeführten Maßnahmen nach Art. 32 DSGVO zu treffen und aktuell zu halten,
• den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Endnutzeranfragen, bei seinen Pflichten zu Sicherheit, Meldung von Verletzungen und Folgenabschätzung (Art. 32 bis 36 DSGVO) sowie in Verfahren vor Aufsichtsbehörden zu unterstützen,
• ein Verzeichnis der im Auftrag des Kunden durchgeführten Verarbeitungen zu führen (Art. 30 Abs. 2 DSGVO),
• dem Kunden auf Anfrage die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieses AVV nötig sind.

5. Unterauftragsverarbeiter

Der Kunde erteilt Mesaifix die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter der in der Datenschutzerklärung genannten Arten einzusetzen. Die aktuelle Liste mit Namen und Standorten erhält der Kunde auf Anfrage per E-Mail.

Mesaifix informiert den Kunden mindestens 30 Tage vorher per E-Mail oder im Panel, bevor es einen Unterauftragsverarbeiter hinzuzieht oder ersetzt. Der Kunde kann in dieser Frist aus berechtigtem Grund widersprechen; lässt sich der Widerspruch nicht ausräumen, kann der Kunde den Vertrag kündigen und die anteilige Erstattung des ungenutzten Zeitraums verlangen.

Mesaifix erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten wie in diesem AVV auf und haftet gegenüber dem Kunden für deren Einhaltung.

6. Übermittlung in Drittländer

Mesaifix verarbeitet Endnutzerdaten von der Türkei aus, und einige Unterauftragsverarbeiter sitzen in den USA und weiteren Ländern. Mit diesem AVV weist der Kunde diese Übermittlungen an.

Da für die Türkei kein Angemessenheitsbeschluss besteht, werden die Standardvertragsklauseln der EU (Durchführungsbeschluss (EU) 2021/914) durch Bezugnahme Bestandteil dieses AVV: Modul 2 (Verantwortlicher an Auftragsverarbeiter) zwischen dem Kunden und Mesaifix. Für diese Klauseln bilden die Angaben unter Gegenstand, Art und Zweck der Verarbeitung Anhang I.B und die Maßnahmen unter Technische und organisatorische Maßnahmen Anhang II; Klausel 7 (Kopplungsklausel) gilt, in Klausel 9 gilt Option 2 (allgemeine Genehmigung, 30 Tage), die Option in Klausel 11 gilt nicht, und für die Klauseln 17 und 18 gelten das Recht und die Gerichte der Bundesrepublik Deutschland.

Für Weiterübermittlungen an Unterauftragsverarbeiter nutzt Mesaifix Modul 3 derselben Klauseln oder ein anderes gültiges Übermittlungsinstrument. Informationen zu diesen Garantien erhält der Kunde auf Anfrage.

Bei Widersprüchen zwischen den Standardvertragsklauseln und diesem AVV gehen die Klauseln vor.

7. Anfragen betroffener Personen

Erreicht Mesaifix eine Anfrage eines Endnutzers direkt, beantwortet Mesaifix sie nicht selbst, sondern leitet sie spätestens innerhalb von 5 Werktagen an den Kunden weiter und teilt dem Endnutzer mit, dass die Anfrage an den Kunden weitergegeben wurde.

Im Panel kann der Kunde Endnutzerdaten einsehen, berichtigen und löschen. Bei Anfragen, die sich nicht im Panel erledigen lassen, unterstützt Mesaifix auf Anfrage des Kunden in Textform in angemessener Zeit.

8. Verletzungen des Schutzes personenbezogener Daten

Wird Mesaifix eine Verletzung des Schutzes von Endnutzerdaten bekannt, informiert es den Kunden unverzüglich, spätestens innerhalb von 48 Stunden. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Kunden als Verantwortlichem. Mesaifix stellt die Informationen bereit, die der Kunde für die 72-Stunden-Frist des Art. 33 DSGVO braucht.

9. Nachweise und Kontrollen

Mesaifix stellt dem Kunden auf Anfrage in Textform die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV nötig sind. Reichen sie nicht aus, kann der Kunde Überprüfungen einschließlich Inspektionen durchführen — mit einer Ankündigung von mindestens 30 Tagen in Textform, höchstens einmal jährlich, sofern keine Aufsichtsbehörde es verlangt und keine Verletzung vorliegt, zu Geschäftszeiten, durch einen zur Verschwiegenheit verpflichteten Prüfer und auf eigene Kosten. Eine Kontrolle darf die Vertraulichkeit der Daten anderer Kunden und die Sicherheit der Plattform nicht gefährden. Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

10. Löschung und Rückgabe

Nach Ende der AGB kann der Kunde innerhalb von 30 Tagen eine Kopie der Endnutzerdaten verlangen. Danach löscht oder anonymisiert Mesaifix die Endnutzerdaten; Kopien in Backups werden spätestens nach 90 Tagen gelöscht. Löscht der Kunde sein Konto selbst im Panel, werden die Daten sofort gelöscht.

Gespräche, die der Kunde während der Vertragslaufzeit im Panel entfernt, verschwinden aus seinem Panel; sie können für Support und Sicherheit aufbewahrt werden und werden auf Wunsch des Kunden endgültig gelöscht.

Daten mit gesetzlicher Aufbewahrungspflicht sind von diesen Fristen ausgenommen und werden nur zu diesem Zweck aufbewahrt.

11. Haftung und Laufzeit

Für die Haftung zwischen den Parteien gelten die Regeln der AGB; die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

Der AVV gilt, solange die AGB gelten, und in jedem Fall, solange Mesaifix personenbezogene Daten im Auftrag des Kunden verarbeitet.

12. Technische und organisatorische Maßnahmen

Mesaifix trifft mindestens die folgenden Maßnahmen und überprüft sie regelmäßig am Stand der Technik.

Technische Maßnahmen

• Verschlüsselung der Daten bei der Übertragung und im Ruhezustand,
• Trennung der Daten jedes Kunden von denen anderer Kunden,
• zusätzlicher Schutz von Geheimnissen wie Zugangsdaten; nicht umkehrbar gespeicherte Passwörter,
• Website-Assistent nur auf vom Kunden freigegebenen Websites und mit Schutz gegen Missbrauch,
• Prüfung der Herkunft von Daten, die über Kanäle eingehen,
• regelmäßige, befristet aufbewahrte Backups, damit die Verfügbarkeit nach einem Vorfall wiederhergestellt werden kann,
• Führung und Überwachung von System- und Fehlerprotokollen,
• Aktualisierung von Softwareabhängigkeiten und Behebung von Sicherheitslücken.

Organisatorische Maßnahmen

• administrativer Datenzugriff nur für befugte Personen und nur nach Bedarf,
• Verpflichtung von Mitarbeitern und Auftragnehmern zur Vertraulichkeit,
• Verträge mit Unterauftragsverarbeitern mit Datenschutzpflichten,
• festgelegte Abläufe für Aufbewahrung und Löschung personenbezogener Daten,
• ein Verfahren zum Umgang mit Datenschutzverletzungen,
• Datenminimierung: Verarbeitung nur der Daten, die der Dienst braucht.