VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG VON PERSONENDATEN (DPA)

Diese Vereinbarung zur Auftragsverarbeitung von Personendaten („DPA") wird geschlossen zwischen:

VHN Sp. z o.o. ul. Gliwicka 35 42-600 Tarnowskie Góry Polska

NIP: 6452561131

im Folgenden als:

„Auftragsverarbeiter"

und

dem Nutzer der Dienstleistungen von Rezulo,

im Folgenden als:

„Verantwortlicher"

bezeichnet.

Die Annahme der Rezulo-Nutzungsbedingungen oder die Inanspruchnahme der Dienstleistung bedeutet den Abschluss dieser Vereinbarung.

§1. GEGENSTAND DER VEREINBARUNG

  1. Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung von Personendaten in dem Umfang, der erforderlich ist, um die Rezulo-Dienstleistungen zu erbringen.

  2. Der Auftragsverarbeiter erklärt sich bereit, Personendaten wie folgt zu verarbeiten:

a) gemäß Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates („GDPR"),

b) gemäß dieser Vereinbarung,

c) gemäß dokumentierten Anweisungen des Verantwortlichen.

  1. Diese Vereinbarung ist integraler Bestandteil der Rechtsdokumentation von Rezulo.

§2. ART UND ZWECK DER VERARBEITUNG

  1. Die Verarbeitung erfolgt ausschließlich zum Zweck der Erbringung von Dienstleistungen, die im Rezulo-System verfügbar sind.

  2. Der Auftragsverarbeiter nutzt die vom Verantwortlichen übertragenen Daten nicht für eigene Marketingzwecke.

  3. Die Daten werden vom Auftragsverarbeiter nicht zum Verkauf von Daten, zur Marketingprofilierung oder zur Weitergabe an Dritte zu Werbezwecken verwendet.

  4. Der Auftragsverarbeiter verarbeitet Daten nur für den Zeitraum, der erforderlich ist, um die Dienstleistung zu erbringen, und gemäß der in den Nutzungsbedingungen festgelegten Aufbewahrungsrichtlinien.

§3. DAUER DER VERARBEITUNG

  1. Daten werden für den Zeitraum verarbeitet, in dem der Verantwortliche die Rezulo-Dienstleistungen nutzt.

  2. Nach Beendigung der Nutzung der Dienstleistung gelten die in den Nutzungsbedingungen und dieser Vereinbarung festgelegten Aufbewahrungsrichtlinien.

  3. Die Vereinbarung gilt für den gesamten Zeitraum der Nutzung von Rezulo.

§4. DATENKATEGORIEN

Der Verantwortliche kann unter anderem folgende Daten übertragen:

Kundendaten

  • Vorname,
  • Nachname,
  • E-Mail-Adresse,
  • Telefonnummer,
  • Besuchsverlauf,
  • Reservierungsverlauf,
  • Informationen zu Dienstleistungen,
  • Zahlungsinformationen,
  • Notizen zu Kunden.

Mitarbeiterdaten

  • Vorname,
  • Nachname,
  • E-Mail-Adresse,
  • Telefonnummer,
  • Arbeitsplan,
  • Daten im Zusammenhang mit der Nutzung von Mitarbeiterkonten.

Weitere Daten

Alle vom Verantwortlichen in das Rezulo-System eingegebenen Daten.

§5. KATEGORIEN BETROFFENER PERSONEN

Daten können sich auf folgende Personen beziehen:

  • Kunden,
  • potenzielle Kunden,
  • Personen, die online eine Reservierung vornehmen,
  • Mitarbeiter,
  • Kooperationspartner,
  • Auftraggeber,
  • andere Personen, deren Daten vom Verantwortlichen eingegeben wurden.

§6. BESONDERE KATEGORIEN VON DATEN

  1. Der Verantwortliche kann besondere Kategorien von Daten im Sinne von Art. 9 GDPR übertragen.

  2. Diese können unter anderem folgende Informationen enthalten:

  • Allergien,
  • Kontraindikationen für Verfahren,
  • Gesundheitsinformationen,
  • weitere Informationen, die erforderlich sind, um die vom Verantwortlichen erbrachten Dienstleistungen zu erbringen.

  1. Der Verantwortliche ist verantwortlich dafür, dass er eine angemessene Rechtsgrundlage für die Verarbeitung solcher Daten hat.

  2. Der Auftragsverarbeiter prüft nicht die Rechtmäßigkeit der Rechtsgrundlagen des Verantwortlichen.

§7. PFLICHTEN DES AUFTRAGSVERARBEITERS

Der Auftragsverarbeiter erklärt sich bereit:

a) Daten nur auf Anweisung des Verantwortlichen zu verarbeiten,

b) die Vertraulichkeit von Personen, die Zugriff auf Daten haben, zu gewährleisten,

c) angemessene technische und organisatorische Maßnahmen zu ergreifen,

d) den Verantwortlichen bei der Erfüllung seiner Verpflichtungen aus der GDPR zu unterstützen,

e) den Verantwortlichen über Verletzungen des Datenschutzes zu informieren,

f) die erforderliche Dokumentation gemäß geltenden Rechtsvorschriften zu führen.

§8. SICHERHEITSMASSNAHMEN

Der Auftragsverarbeiter ergreift Sicherheitsmaßnahmen, die dem Risiko angemessen sind.

Diese können unter anderem folgende Maßnahmen umfassen:

  • Verschlüsselung der Datenübertragung,
  • Zugriffskontrolle,
  • Berechtigungssystem,
  • Ereignisprotokollierung,
  • Sicherheitsüberwachung,
  • regelmäßige Sicherungen,
  • Schutz der Serverinfrastruktur.

Der Auftragsverarbeiter kann die angewendeten Sicherheitsmaßnahmen mit der Technologieentwicklung aktualisieren.

§9. UNTERAUFTRAGSVERARBEITER

  1. Der Verantwortliche erteilt allgemeine Zustimmung zur Nutzung von Unterauftragsverarbeitern durch den Auftragsverarbeiter.

  2. Unterauftragsverarbeiter können unter anderem Anbieter folgender Dienstleistungen sein:

  • Hosting,
  • Cloud-Infrastruktur,
  • Zahlungsverarbeitung,
  • SMS-Dienstleistungen,
  • Analysedienstleistungen,
  • Sicherheitsdienstleistungen,
  • IT-Dienstleistungen.
  1. Die aktuelle Liste der Unterauftragsverarbeiter kann unter anderem folgende Unternehmen umfassen:
  • OVHcloud,
  • Stripe,
  • Twilio,
  • Google,
  • Meta.

  1. Der Auftragsverarbeiter kann neue Unterauftragsverarbeiter hinzufügen, wenn dies erforderlich ist, um die Dienstleistung zu erbringen.

  2. Der Verantwortliche kann über wesentliche Änderungen bezüglich Unterauftragsverarbeiter durch die Website, das Rezulo-System oder per E-Mail informiert werden.

§10. INTERNATIONALE DATENÜBERMITTLUNGEN

  1. Einige Unterauftragsverarbeiter können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten.

  2. In solchen Fällen stellt der Auftragsverarbeiter die erforderlichen Schutzmaßnahmen gemäß GDPR bereit.

  3. Diese können folgende Maßnahmen umfassen:

  • Standardvertragsklauseln der Europäischen Kommission (SCC),
  • Entscheidungen, die ein angemessenes Schutzniveau feststellen,
  • andere durch geltende Rechtsvorschriften vorgesehene Mechanismen.

§11. VERLETZUNGEN DES DATENSCHUTZES

  1. Falls der Auftragsverarbeiter eine Verletzung des Schutzes von Personendaten feststellt, wird er den Verantwortlichen unverzüglich nach Bestätigung des Zwischenfalls informieren.

  2. Die Mitteilung kann folgende Informationen enthalten:

  • Art der Verletzung,
  • mögliche Auswirkungen,
  • Umfang der von der Verletzung betroffenen Daten,
  • vom Auftragsverarbeiter ergriffene Abhilfemaßnahmen.

§12. UNTERSTÜTZUNG FÜR DEN VERANTWORTLICHEN

Der Auftragsverarbeiter unterstützt den Verantwortlichen im technisch und organisatorisch möglichen Umfang bei der Erfüllung seiner Verpflichtungen aus der GDPR, insbesondere bezüglich:

  • Erfüllung der Rechte betroffener Personen,
  • Meldung von Verletzungen,
  • Datenschutz-Folgenabschätzung,
  • Konsultation mit Aufsichtsbehörden.

§13. AUDITS UND SICHERHEITSINFORMATIONEN

  1. Der Verantwortliche kann den Auftragsverarbeiter um Informationen zu den angewendeten Datenschutzmaßnahmen anfordern.

  2. Der Auftragsverarbeiter kann seine Informationsverpflichtungen erfüllen durch:

  • Sicherheitsdokumentation,
  • Beantwortung von Anfragen,
  • Sicherheitsberichte,
  • andere angemessene Maßnahmen.

  1. Audits sollten so durchgeführt werden, dass die Sicherheit anderer Kunden und die Geschäftsgeheimnisse des Auftragsverarbeiters nicht beeinträchtigt werden.

  2. Der Auftragsverarbeiter kann die Durchführung eines Audits ablehnen, wenn dessen Umfang unverhältnismäßig wäre, zur Offenlegung von Geschäftsgeheimnissen führen würde oder die Sicherheit anderer Kunden gefährden könnte.

§14. LÖSCHUNG ODER RÜCKGABE VON DATEN

  1. Der Verantwortliche kann vor Beendigung der Nutzung der Dienstleistung in Rezulo verfügbare Daten herunterladen.

  2. Daten können für einen Zeitraum von bis zu 90 Tagen nach Löschung des Kontos gespeichert werden, insbesondere in Sicherungen.

  3. Nach Ablauf der Aufbewahrungsfristen werden Daten gelöscht oder anonymisiert, sofern nicht geltende Rechtsvorschriften ihre weitere Speicherung erfordern.

§15. HAFTUNG DER PARTEIEN

  1. Jede Partei haftet für die Verletzung ihrer Verpflichtungen aus der GDPR in dem Umfang, der durch geltende Rechtsvorschriften vorgesehen ist.

  2. Der Auftragsverarbeiter haftet nicht für:

  • Rechtmäßigkeit der vom Verantwortlichen eingegebenen Daten,
  • Fehlen einer Rechtsgrundlage für die Datenverarbeitung durch den Verantwortlichen,
  • Handlungen oder Unterlassungen des Verantwortlichen.

§16. SPRACHVERSIONEN

Diese Vereinbarung kann in verschiedenen Sprachversionen veröffentlicht werden.

Übersetzungen dienen nur als Hilfe.

Im Fall von Abweichungen zwischen den Sprachversionen ist die vom Auftragsverarbeiter für den betreffenden Markt oder Nutzer angegebene Version bindend.

§17. SCHLUSSBETIMMUNGEN

  1. In Angelegenheiten, die nicht durch diese Vereinbarung geregelt sind, gelten die GDPR und das polnische Recht.

  2. Diese Vereinbarung ist integraler Bestandteil der Rechtsdokumentation von Rezulo.

  3. Die aktuelle Version der DPA wird auf der Rezulo-Website veröffentlicht.

  4. Die Annahme der Rezulo-Nutzungsbedingungen bedeutet gleichzeitig die Annahme dieser Vereinbarung zur Auftragsverarbeitung von Personendaten.

  5. Die Vereinbarung gilt ab dem Datum der Inanspruchnahme der Dienstleistung oder der Annahme der Nutzungsbedingungen.