Auftragsverarbeitungsvertrag

1. Geltungsbereich und Rollen

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Rediacc OÜ („Rediacc“, dem „Auftragsverarbeiter“) und dem Kunden, soweit der Kunde die Dienste geschäftlich nutzt und Rediacc Personenbezogene Kundendaten im Auftrag des Kunden verarbeitet. In den Nutzungsbedingungen definierte Begriffe haben hier dieselbe Bedeutung. Dieser AVV ist in englischer Sprache verfasst; Übersetzungen dienen nur der Information, und bei Abweichungen gilt die englische Fassung.

Für Personenbezogene Kundendaten ist der Kunde der Verantwortliche (oder ein Auftragsverarbeiter, der für seinen eigenen Verantwortlichen handelt) und Rediacc der Auftragsverarbeiter (oder Unterauftragsverarbeiter). Für Konto-, Abrechnungs- und Annahmedaten sowie für Telemetriedaten ist Rediacc eigenständiger Verantwortlicher, wie in der Datenschutzerklärung beschrieben; dieser AVV gilt für diese Verarbeitung nicht.

Kundendaten auf den Maschinen des Kunden werden von Rediacc nicht verarbeitet. Verschlüsselter Konfigurationsspeicher und gehostete Backups sind mit Schlüsseln verschlüsselt, die Rediacc nicht besitzt; Rediacc speichert diese Datenblöcke daher, kann ihren Inhalt aber nicht lesen.

2. Begriffsbestimmungen

• „Datenschutzgesetze“ bezeichnet die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“), die britische UK GDPR und jedes andere Datenschutzgesetz, das auf die Verarbeitung nach diesem AVV Anwendung findet.
• „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die Rediacc bei der Bereitstellung der Plattform im Auftrag des Kunden verarbeitet, etwa Namen und E-Mail-Adressen von Autorisierten Benutzern und vom Kunden eingeladenen Teammitgliedern sowie verschlüsselte Daten, die der Kunde auf der Plattform speichert.
• „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „betroffene Person“ haben die in der DSGVO festgelegte Bedeutung.
• „SCC“ bezeichnet die Standardvertragsklauseln, die mit dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission genehmigt wurden.
• „Unterauftragsverarbeiter“ bezeichnet einen Dritten, den Rediacc mit der Verarbeitung Personenbezogener Kundendaten beauftragt.

3. Verarbeitung auf Weisung

Rediacc verarbeitet Personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden; das sind die Nutzungsbedingungen, dieser AVV und die Nutzung und Konfiguration der Dienste durch den Kunden. Etwas anderes gilt nur, wenn das Recht es verlangt; dann informiert Rediacc den Kunden vor der Verarbeitung, sofern das Recht dies nicht verbietet. Rediacc informiert den Kunden, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzgesetze verstößt.

4. Einzelheiten der Verarbeitung

• Gegenstand und Zweck: Bereitstellung der Plattform, einschließlich Konto- und Teamverwaltung, Lizenzausstellung, verschlüsseltem Konfigurationsspeicher, gehostetem Backup-Speicher und Support
• Dauer: die Laufzeit der Nutzungsbedingungen zuzüglich der Löschfrist nach Abschnitt 11
• Art der Verarbeitung: Erhebung, Speicherung, Übermittlung, Abruf und Löschung
• Kategorien betroffener Personen: die Autorisierten Benutzer des Kunden, eingeladene Teammitglieder und Ansprechpartner von Partnern
• Kategorien personenbezogener Daten: Namen, E-Mail-Adressen, Organisation und Rolle, Authentifizierungsdaten (Passwort-Hashes, öffentliche Passkey-Schlüssel), Netzwerkadressen und User-Agents von Sitzungen sowie alle personenbezogenen Daten innerhalb verschlüsselter Daten, die der Kunde auf der Plattform speichert
• Besondere Kategorien: keine vorgesehen; der Kunde darf besondere Kategorien von Daten nicht unverschlüsselt auf der Plattform speichern

5. Vertraulichkeit

Rediacc stellt sicher, dass jede zur Verarbeitung Personenbezogener Kundendaten befugte Person zur Vertraulichkeit verpflichtet ist.

6. Sicherheit

Rediacc setzt geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO um, darunter:

• Verschlüsselung bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand sowie clientseitige Verschlüsselung von Konfigurationsspeicher und gehosteten Backups mit Schlüsseln, die Rediacc nicht besitzt
• Zugriff auf Produktionssysteme nur für befugtes Personal und mit Multi-Faktor-Authentifizierung
• logische Trennung der Kundendaten und regionale Datenspeicherung
• Protokollierung und Überwachung der Produktionssysteme sowie regelmäßige Prüfung der Sicherheitsmaßnahmen

7. Unterauftragsverarbeiter

Der Kunde erteilt Rediacc die Genehmigung, Unterauftragsverarbeiter einzusetzen. Rediacc legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als dieser AVV, und bleibt für die Leistung seiner Unterauftragsverarbeiter verantwortlich. Die aktuellen Unterauftragsverarbeiter sind:

• Cloudflare, Inc. (Vereinigte Staaten; globales Netzwerk): Hosting des Kontoportals und der API (Workers), der Kontodatenbank (D1), des gehosteten Backup- und Objektspeichers (R2), Content Delivery und DNS sowie Bot-Schutz in Formularen (Turnstile)
• Amazon Web Services, Inc. (Amazon Simple Email Service, in der AWS-Region, die der Region des Kundenkontos dient): Zustellung transaktionaler E-Mails wie Anmeldelinks, Mitteilungen und Rechnungen
• Stripe, Inc. und seine verbundenen Unternehmen (Vereinigte Staaten und Irland): Zahlungsabwicklung, Abonnementabrechnung, Rechnungsstellung und Steuerberechnung für kostenpflichtige Abonnements
• Hostinger (virtuelle Server in der Europäischen Union): Hosting des Telemetrie- und Observability-Endpunkts (otlp.rediacc.io), der Telemetriedaten und Dienstprotokolle entgegennimmt

Rediacc kündigt das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens dreißig (30) Tage vorher an, indem es diese Seite aktualisiert und die E-Mail-Adresse des Kontos benachrichtigt. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Parteien den Widerspruch nicht beilegen, kann der Kunde die betroffenen Dienste kündigen und erhält im Voraus bezahlte Entgelte für den Zeitraum nach der Kündigung erstattet.

Website-Analysen (Plausible) verarbeiten keine Personenbezogenen Kundendaten und unterliegen der Datenschutzerklärung.

8. Internationale Übermittlungen

Werden Personenbezogene Kundendaten in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, für das kein Angemessenheitsbeschluss besteht, werden die SCC durch Verweis in diesen AVV einbezogen: Modul Zwei (Verantwortlicher an Auftragsverarbeiter), wenn der Kunde Verantwortlicher ist, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde Auftragsverarbeiter ist. Für die SCC gilt: Die optionale Kopplungsklausel (Klausel 7) findet Anwendung; Klausel 9 Buchstabe a Option 2 (allgemeine Genehmigung) findet mit der Frist aus Abschnitt 7 Anwendung; die optionale Formulierung in Klausel 11 findet keine Anwendung; Klauseln 17 und 18 wählen das Recht und die Gerichte von Estland; und die Anhänge I und II werden durch die Abschnitte 1, 4 und 6 sowie Anhang III durch Abschnitt 7 dieses AVV ausgefüllt.

Für Übermittlungen, die der UK GDPR unterliegen, gilt zusammen mit den SCC der vom britischen Information Commissioner herausgegebene International Data Transfer Addendum. Rediacc stützt sich für Unterauftragsverarbeiter, die danach zertifiziert sind, auf das EU-US Data Privacy Framework.

9. Anfragen betroffener Personen und Unterstützung

Rediacc leitet Anfragen betroffener Personen zu Personenbezogenen Kundendaten unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, außer auf Weisung des Kunden. Unter Berücksichtigung der Art der Verarbeitung unterstützt Rediacc den Kunden bei der Beantwortung solcher Anfragen und bei der Erfüllung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultationen.

10. Verletzung des Schutzes personenbezogener Daten

Rediacc benachrichtigt den Kunden unverzüglich, in jedem Fall aber innerhalb von zweiundsiebzig (72) Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Personenbezogene Kundendaten betrifft. Die Mitteilung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Rediacc unternimmt angemessene Schritte, um die Verletzung einzudämmen und zu beheben.

11. Löschung oder Rückgabe

Nach Ende der Dienste kann der Kunde die Personenbezogenen Kundendaten innerhalb von dreißig (30) Tagen exportieren. Danach löscht Rediacc die Personenbezogenen Kundendaten aus den aktiven Systemen und innerhalb von neunzig (90) Tagen auch aus den Backups, sofern Rediacc nicht gesetzlich zur Aufbewahrung verpflichtet ist.

12. Prüfungen

Rediacc stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, vor allem durch schriftliche Antworten auf angemessene Sicherheitsfragebögen sowie durch verfügbare Prüfberichte und Zertifizierungen von Rediacc und seinen Unterauftragsverarbeitern. Reichen diese Informationen nicht aus oder verlangt es eine Aufsichtsbehörde, kann der Kunde auf eigene Kosten eine Prüfung durchführen, mit dreißig (30) Tagen Vorankündigung, während der Geschäftszeiten, höchstens einmal im Jahr, unter Vertraulichkeitsverpflichtungen und so, dass die Dienste und andere Kunden nicht beeinträchtigt werden.

13. Haftung und Vorrang

Die Haftung jeder Partei nach diesem AVV unterliegt den Beschränkungen der Nutzungsbedingungen, außer soweit Datenschutzgesetze dies nicht zulassen. Widerspricht dieser AVV den Nutzungsbedingungen, geht dieser AVV für die Verarbeitung Personenbezogener Kundendaten vor; widersprechen die SCC diesem AVV, gehen die SCC vor.

14. Quelle dieses AVV

Teile dieses AVV sind den Common Paper Data Processing Agreement Standard Terms Version 1.1 (commonpaper.com/standards/data-processing-agreement/1.1) entnommen und angepasst, die Common Paper, Inc. unter der Creative Commons Attribution 4.0 International License (CC BY 4.0) veröffentlicht hat. Der Text wurde verändert: Er wurde umstrukturiert, gekürzt und an die Dienste angepasst. Common Paper, Inc. unterstützt diesen AVV nicht.