Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Verkaufs- und Nutzungsbedingungen zwischen Orbix Technologies Ltd, handelnd unter der Bezeichnung Tapqora, eine in England und Wales unter der Gesellschaftsnummer (company number) 16973554 eingetragene Private Company Limited by Shares (Kapitalgesellschaft mit beschränkter Haftung nach englischem Recht) mit eingetragenem Sitz in 437–441 Coventry Road, Small Heath, Birmingham B10 0TH, Vereinigtes Königreich („Auftragsverarbeiter“) und jedem Tapqora-Kontoinhaber oder Team-Inhaber („Verantwortlicher“). Er gilt für personenbezogene Daten, die Besucher über Tapqora-Profile mit dem Verantwortlichen teilen, sowie für die von einem Team-Inhaber verwalteten Daten von Teammitgliedern („Daten des Verantwortlichen“), und erfüllt die Anforderungen von Art. 28 der UK GDPR und der DSGVO.

1. Gegenstand, Dauer, Art und Zweck

Der Auftragsverarbeiter hostet, speichert, zeigt an, exportiert und übermittelt Daten des Verantwortlichen zur Bereitstellung des Dienstes, und zwar für die Dauer des Kontos des Verantwortlichen und die nachstehende Löschfrist.

2. Datenarten und betroffene Personen

• Betroffene Personen: Personen, die ihre Angaben über das Profil des Verantwortlichen teilen; die Teammitglieder des Verantwortlichen.
• Datenarten: Name, E-Mail-Adresse, Telefonnummer, Unternehmen, LinkedIn-Profil, Nachricht, Event-Kennzeichnung, vom Verantwortlichen hinzugefügte Notizen sowie Daten zu Team-Mitgliedschaft und Aktivität.
• Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen; der Verantwortliche darf solche Daten nicht abfragen.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

• Daten des Verantwortlichen nur auf dokumentierte Weisung des Verantwortlichen verarbeiten — diese Weisungen sind die AGB und die Nutzung des Dienstes durch den Verantwortlichen —, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist (in diesem Fall teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet);
• gewährleisten, dass alle zur Verarbeitung der Daten des Verantwortlichen befugten Personen zur Vertraulichkeit verpflichtet sind;
• geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen, einschließlich Verschlüsselung bei der Übertragung, Zugriffskontrollen, Sicherheit auf Zeilenebene (Row-Level Security) und Protokollierung;
• den Verantwortlichen unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Verantwortlichen betrifft, mit den vernünftigerweise verfügbaren Informationen benachrichtigen;
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei Anträgen betroffener Personen, bei der Sicherheit, bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen unterstützen;
• alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung stellen und angemessene Überprüfungen (Audits) ermöglichen, und zwar mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen, höchstens einmal jährlich, auf Kosten des Verantwortlichen und vorbehaltlich der Vertraulichkeit;
• nach Beendigung die Daten des Verantwortlichen innerhalb von 30 Tagen löschen (der Verantwortliche kann sie zuvor über das Dashboard exportieren), sofern nicht eine gesetzliche Pflicht zur Speicherung besteht.

4. Unterauftragsverarbeiter

Der Verantwortliche genehmigt dem Auftragsverarbeiter den Einsatz der in Abschnitt 5 der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter (Supabase, Cloudflare, Resend sowie, bei vom Verantwortlichen ausgelösten Exporten, das vom Verantwortlichen gewählte Ziel). Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als dieser AVV, haftet für deren Leistung und kündigt neue Unterauftragsverarbeiter mindestens 14 Tage im Voraus per E-Mail oder auf dieser Seite an; innerhalb dieser Frist kann der Verantwortliche Einspruch erheben und, wenn der Einspruch nicht ausgeräumt werden kann, sein Konto schließen.

5. Internationale Datenübermittlungen

Werden Daten des Verantwortlichen außerhalb des Vereinigten Königreichs oder des EWR übermittelt, stützt sich der Auftragsverarbeiter auf einen Angemessenheitsbeschluss oder auf das UK International Data Transfer Agreement / Addendum oder die Standardvertragsklauseln der EU.

6. Pflichten des Verantwortlichen

Der Verantwortliche ist dafür verantwortlich, über eine Rechtsgrundlage für die Erhebung und Verwendung der Daten des Verantwortlichen zu verfügen, den betroffenen Personen die gesetzlich vorgeschriebenen Informationen zu erteilen, für die Rechtmäßigkeit seiner Weisungen und Integrationen (einschließlich der von ihm konfigurierten Webhooks) und dafür, Daten des Verantwortlichen nicht ohne die gesetzlich erforderliche Einwilligung für unerbetene Werbung zu verwenden.

7. Haftung und Vorrang

Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen der AGB, soweit das Gesetz dies zulässt. Widerspricht dieser AVV den AGB, hat dieser AVV für die Verarbeitung der Daten des Verantwortlichen Vorrang.