Auftragsverarbeitungsvertrag (DPA)

Diese Übersetzung dient der Verständlichkeit; bei Abweichungen gilt der englische Text unter /dpa/.

Zweck und Nutzung der Daten

EuroVPS beschreibt gegenüber den von der Erhebung, Verarbeitung oder sonstigen Nutzung betroffenen Parteien stets Art und Zweck jeder Datenerhebung, -verarbeitung oder -nutzung. Im Fall einer Kundenbeziehung wird die Nutzung der Daten gemäß der Datenschutzvereinbarung zwischen EuroVPS und dem Kunden beschrieben, dem Auftragsverarbeitungsvertrag (AVV).

Die Verarbeitung findet in dem Rechenzentrum von EuroVPS statt, das der Kunde auswählt: Athen oder Amsterdam (EU) oder Toronto (Kanada, vorbehaltlich des Angemessenheitsbeschlusses der Europäischen Kommission). Jede sonstige Übermittlung der Daten erfordert die vorherige Einwilligung der mit diesen Daten verbundenen Personen/Organisationen und erfolgt nur, wenn die besonderen Voraussetzungen nach Artikel 44 (und vergleichbaren Artikeln) der Datenschutz-Grundverordnung (DSGVO, GDPR) erfüllt sind.

Qualitätssicherung

Neben der Einhaltung aller hier genannten Bestimmungen erfüllen wir auch die gesetzlichen Pflichten nach den Artikeln 28 bis 33 der DSGVO. Wir stellen insbesondere die Einhaltung der folgenden Anforderungen sicher:

Ein Leiter Datenschutz ist in die Rolle des Datenschutzbeauftragten berufen. Wir benachrichtigen die betreffenden Personen unverzüglich über jede Änderung in dieser Rolle. Die Kontaktdaten des Datenschutzbeauftragten sind auf unserer Website leicht zugänglich.

Wir halten strenge Vertraulichkeitsprotokolle ein und stellen sicher, dass nur bestimmte Mitarbeiter Zugang zum Datenerhebungsprozess erhalten. Diese Mitarbeiter erfüllen bereits die Vertraulichkeitsanforderungen und sind mit der Sicherheit des Datenschutzes vertraut. Wer Zugang zu personenbezogenen Daten hat, darf diese Daten nur gemäß den Weisungen der von der Nutzung dieser Daten betroffenen Personen (einschließlich der in diesem Dokument festgelegten) verarbeiten, sofern nicht gesetzlich etwas anderes vorgeschrieben ist.

Soweit erforderlich, können die Personen/Organisationen, deren Daten wir erheben, verarbeiten oder anderweitig nutzen, zur Zusammenarbeit mit einer Aufsichtsbehörde verpflichtet sein. Auch wir können auf Ersuchen zur Zusammenarbeit mit ihr verpflichtet sein.

Diese Personen/Organisationen werden unverzüglich über alle Prüfungen oder Maßnahmen der Aufsichtsbehörde informiert, soweit diese die Erhebung, Verarbeitung oder sonstige Nutzung ihrer Daten betreffen. Dies gilt, wenn gegen uns wegen Verstößen bei der Verarbeitung personenbezogener Daten ermittelt wird.

Ist einer unserer Kunden Gegenstand einer Prüfung durch die Aufsichtsbehörde im Zusammenhang mit einer Ordnungswidrigkeit, einem Strafverfahren oder dem Anspruch einer betroffenen Partei, unterstützen wir ihn nach besten Kräften.

Wir überwachen regelmäßig alle internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um sicherzustellen, dass alles dem geltenden Datenschutzrecht entspricht und die Rechte aller betroffenen Parteien gewahrt bleiben.

Unterlagen zum Nachweis der von uns in dieser Hinsicht getroffenen Maßnahmen werden allen beteiligten Parteien auf Anfrage zur Verfügung gestellt.

Technische und organisatorische Maßnahmen nach Artikel 32 der DSGVO

Vor Beginn jeder Dienstleistung, die die Erhebung oder Verarbeitung von Daten erfordert, legen wir den betreffenden Personen die technischen und organisatorischen Maßnahmen dar, die zum Schutz dieser Daten getroffen wurden. Jede weitere Nutzung dieser Daten bleibt auf die zwischen EuroVPS und der beteiligten Partei vereinbarten Zwecke beschränkt, und diese Maßnahmen und Zwecke werden Bestandteil der Nutzungsbedingungen, die EuroVPS und die beteiligte Partei binden. Änderungen dieser Maßnahmen oder Zwecke werden nur nach beiderseitiger Vereinbarung zwischen EuroVPS und der beteiligten Partei besprochen und umgesetzt.

Wir treffen die erforderlichen Sicherheitsmaßnahmen gemäß allen einschlägigen Artikeln der DSGVO. Alle Maßnahmen gewährleisten ein dem jeweiligen Risiko angemessenes Schutzniveau, insbesondere im Hinblick auf die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der eingesetzten Systeme. Bei der Abwägung dieser Maßnahmen werden die Implementierungskosten, Umfang und Zweck der erhobenen Daten, der Stand der Technik sowie das potenzielle Risiko für die Rechte und Freiheiten einer Person/Organisation und ihre Daten berücksichtigt.

Wir können die technischen und organisatorischen Maßnahmen, die wir zum Schutz der von uns erhobenen Daten getroffen haben, weiterentwickeln, einschließlich der Umsetzung alternativer Maßnahmen, sofern diese das Sicherheitsniveau der bestehenden technischen und organisatorischen Maßnahmen nicht beeinträchtigen. Alle wesentlichen Änderungen werden dokumentiert.

Berichtigung, Einschränkung und Löschung von Daten

Wir sind nicht berechtigt, Daten im Auftrag Dritter zu löschen oder deren Verarbeitung einzuschränken. Werden wir zu einem Anliegen der Datenerhebung kontaktiert, leiten wir es unverzüglich an die beteiligte Partei weiter.

Wir führen jede Anfrage im Zusammenhang mit dem «Recht auf Vergessenwerden», Löschrichtlinien, Datenberichtigung, Datenübertragbarkeit und Auskunft unverzüglich aus.

Unteraufträge

Grundsätzlich geben wir die von uns erhobenen Daten nicht an Dritte weiter; nutzen wir jedoch einen ausgelagerten Dienst, der Zugang zu solchen Daten haben könnte, treffen wir rechtsverbindliche vertragliche Regelungen und setzen die erforderlichen Maßnahmen um, um den Schutz und die Sicherheit der von uns erhobenen Daten zu gewährleisten.

Prüfrechte

Die Personen/Organisationen, deren Daten wir erhoben haben, haben das Recht, nach Abstimmung mit uns Prüfungen durchzuführen oder in bestimmten Einzelfällen durch Prüfer durchführen zu lassen. Sie haben das Recht, die Einhaltung dieses Dokuments durch Stichprobenprüfungen zu überprüfen, die mit angemessener Frist anzukündigen sind.

Wir stellen sicher, dass die Einhaltung unserer Pflichten nach Artikel 28 der DSGVO überprüft werden kann. Wir stellen den beteiligten Personen/Organisationen auf Anfrage die relevanten Informationen zur Verfügung, zusammen mit der Dokumentation der Umsetzung der technischen und organisatorischen Maßnahmen zum Schutz ihrer Daten.

Die Dokumentation der Maßnahmen, die (unter anderem) die Beziehung zu der Person/Organisation betreffen, deren Daten wir erheben, kann in Übereinstimmung mit den genehmigten Verhaltensregeln und Zertifizierungen gemäß den einschlägigen Artikeln der DSGVO vorgelegt werden. Die Dokumentation kann auch in Form von Berichten erfolgen, einschließlich solcher unabhängiger Stellen (etwa eines Datenschutzbeauftragten, einer IT-Sicherheitsabteilung, eines Qualitätsauditors usw.), sowie einer geeigneten Zertifizierung durch eine IT-Sicherheitsabteilung oder eines Datenschutzaudits.

Für die Unterstützung einer Prüfung sowie für die Bereitstellung von Dokumentation und/oder Zertifizierungen können wir zusätzliche Gebühren verlangen.

Kommunikation im Fall einer Verletzung

Wir erfüllen unsere Pflichten in Bezug auf die Sicherheit personenbezogener Daten sowie alle Anforderungen zu Verletzungen des Schutzes personenbezogener Daten, Folgenabschätzungen und vorherigen Konsultationen nach den Artikeln 32 bis 36 der DSGVO.

Zu diesen Pflichten gehören:

1. Die Gewährleistung eines ausreichenden Schutzniveaus durch technische und organisatorische Maßnahmen, die die verschiedenen Umstände und Zwecke der Datenverarbeitung sowie die Wahrscheinlichkeit und Schwere möglicher Rechtsverletzungen aufgrund von Sicherheitslücken berücksichtigen. Es werden auch Maßnahmen getroffen, um Rechtsverletzungen so schnell wie möglich zu erkennen.
2. Wir melden den beteiligten Parteien unverzüglich alle festgestellten Verletzungen des Schutzes personenbezogener Daten.
3. Soweit zutreffend, unterstützen wir die beteiligten Parteien bei ihren eigenen Pflichten, betroffene Parteien zu informieren. Wir erinnern die beteiligten Parteien auch an ihre Pflichten in diesem Fall.
4. Wir unterstützen die beteiligten Parteien bei ihrer Datenschutz-Folgenabschätzung.
5. Wir unterstützen die beteiligten Parteien vor ihrer Konsultation der Aufsichtsbehörde.
6. Für Unterstützung in diesem Zusammenhang, die nicht in den Supportleistungen enthalten ist, die wir unseren Kunden üblicherweise anbieten, und die nicht infolge eigener Versäumnisse erforderlich wird, können wir eine Gebühr erheben.

Die Erteilung von Weisungen

Alle Weisungen, die uns von beteiligten Parteien erteilt werden, sind von der jeweiligen Partei unverzüglich schriftlich zu bestätigen.

Wir informieren eine beteiligte Partei unverzüglich, wenn wir der Auffassung sind, dass eine erteilte Weisung gegen Datenschutzvorschriften verstößt. Wir sind dann berechtigt, die Ausführung dieser Weisung auszusetzen, bis die Weisung so geändert wurde, dass sie als mit den Datenschutzvorschriften vereinbar gelten kann.

Löschung und Rückgabe personenbezogener Daten

Wir erstellen keine Kopien oder Duplikate personenbezogener Daten ohne vorherige Kenntnis der Personen/Organisationen, deren Daten wir erheben, mit Ausnahme von Sicherungskopien, die für eine ordnungsgemäße Datenverarbeitung erforderlich sind, und von Daten, die zur Erfüllung verschiedener gesetzlicher Pflichten erforderlich sind.

Wir vernichten alle Dokumente und Datensätze, die sich auf eine bestimmte Person/Organisation beziehen, gemäß dem Datenschutzrecht nach Beendigung der Dienstleistungsbeziehung mit dieser Person/Organisation oder auf deren Anfrage. Wir stellen der Person/Organisation außerdem alle relevanten Informationen über Art und Zeitpunkt der Löschung dieser Daten zur Verfügung.

Wir bewahren alle Unterlagen, die den ordnungsgemäßen Umgang mit den Daten nachweisen können, nach Beendigung der Dienstleistungsbeziehung gemäß den jeweiligen Aufbewahrungsfristen auf. Wir können von dieser Pflicht befreit werden, indem wir diese Unterlagen bei Beendigung der Dienstleistungsbeziehung an die beteiligten Parteien übergeben.