Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag („AVV“) ergänzt die Allgemeinen Geschäftsbedingungen und wird gemäß Art. 28 der Verordnung (EU) 2016/679 („DSGVO“) geschlossen zwischen:

• dem Kunden als Verantwortlichem (der „Verantwortliche“);
• Druido Eventi S.r.l., USt-IdNr. 04137511202, Sitz Via Rizzoli 4, 40125 Bologna (BO), Italien, als Auftragsverarbeiter (der „Auftragsverarbeiter“).

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung des in den Bedingungen beschriebenen Dienstes TARGA. Der AVV hat dieselbe Laufzeit wie der Vertrag und gilt nach dessen Ende bis zur Rückgabe oder Löschung der Daten gemäß Abschnitt 11.

2. Art und Zweck der Verarbeitung

Erhebung, Erfassung, Speicherung, Abfrage, Veröffentlichung auf den Seiten der Seriennummern, Versand von Servicemitteilungen, Export und Löschung von Daten zur Verwaltung der Dokumentation der Maschinen des Verantwortlichen, der Anfragen nach Papierfassungen der Betriebsanleitungen und der damit verbundenen Pflichten.

3. Kategorien betroffener Personen und Daten

Der Dienst ist nicht für die Verarbeitung besonderer Kategorien von Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten bestimmt. Der Verantwortliche verpflichtet sich, solche Daten nicht einzugeben.

4. Pflichten des Verantwortlichen

Der Verantwortliche gewährleistet, dass er über eine gültige Rechtsgrundlage für die übertragenen Verarbeitungen verfügt, dass er den betroffenen Personen die nach Art. 13 und 14 DSGVO erforderlichen Informationen bereitstellt (auch für das Formular zur Anforderung der Papierfassung) und dass er rechtmäßige Weisungen erteilt.

5. Pflichten des Auftragsverarbeiters

• die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, die die Bedingungen, diesen AVV und die vom Verantwortlichen genutzten Funktionen des Dienstes umfasst;
• den Verantwortlichen zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt;
• sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
• die Sicherheitsmaßnahmen nach Abschnitt 6 zu ergreifen (Art. 32 DSGVO);
• den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen zu unterstützen;
• den Verantwortlichen bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation zu unterstützen (Art. 32-36 DSGVO);
• die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen bereitzustellen und die Überprüfungen nach Abschnitt 9 zu ermöglichen.

6. Sicherheitsmaßnahmen

• Verschlüsselung der Kommunikation (HTTPS/TLS) und Speicherung von Passwörtern als Hash;
• logische Trennung der Daten jedes Kunden und rollenbasierte Zugriffskontrolle;
• nur erweiterbares Audit-Protokoll, verkettet mit kryptografischen Prüfsummen;
• unveränderliche veröffentlichte Fassungen mit SHA-256-Prüfsumme;
• tägliche verschlüsselte Sicherungen der Datenbank und der Dokumente, 30 Tage lang in einem getrennten Rechenzentrum in der Europäischen Union aufbewahrt, mit regelmäßigen Wiederherstellungstests;
• Begrenzung von Anmeldeversuchen und Anfragen an öffentliche Formulare;
• Server in der Europäischen Union bei Anbietern mit anerkannten Sicherheitszertifizierungen;
• regelmäßige Aktualisierung der Softwarekomponenten und Schwachstellenmanagement.

Zugriff durch den Support. Der Anbieter greift nicht auf die vom Kunden hochgeladenen Inhalte zu (Betriebsanleitungen, Textbausteine, Modelle, Seriennummern und zugehörige Dokumente), außer wie nachstehend beschrieben. Das Support-Personal des Anbieters greift nur mit ausdrücklicher Genehmigung des Kunden auf dessen Inhalte zu, die von einem Nutzer mit der Rolle Inhaber oder Administrator unter Einstellungen > Support erteilt wird oder durch Genehmigung einer konkreten, begründeten Anfrage des Anbieters. Die Genehmigung ist zeitlich begrenzt (4, 24 oder 72 Stunden), kann jederzeit mit sofortiger Wirkung widerrufen werden und erlaubt nur das Ansehen, ohne Daten ändern, veröffentlichen oder löschen zu können.

Jeder Support-Zugriff (Erteilung, Sitzungsbeginn, jede angesehene Seite, Beendigung und Widerruf) wird mit Datum, Uhrzeit und Namen des Mitarbeiters im Aktivitätsprotokoll des Kunden erfasst, das der Kunde einsehen kann und das nicht geändert werden kann, sowie in einem ebenfalls nicht änderbaren internen Protokoll des Anbieters. Die Administrationskonten des Anbieters sind durch eine verpflichtende Zwei-Faktor-Authentifizierung geschützt und jede ihrer Aktionen wird in einem mit kryptografischen Prüfsummen verketteten Protokoll erfasst, das für die Vertragsdauer und die folgenden 10 Jahre aufbewahrt wird.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der nachstehend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleibt für deren Handlungen verantwortlich.

Service-E-Mails (Einladungen, Benachrichtigungen, Hinweise, Bestätigungen von Papieranfragen) werden über einen vom Anbieter selbst betriebenen Mailserver ohne Drittanbieter versendet. Auch die Besuchsstatistiken (Umami) laufen auf den Servern des Anbieters.

Zur Verwaltung der Vertragsbeziehung verarbeitet der Anbieter als Verantwortlicher aggregierte Daten und Abrechnungsdaten (Unternehmensdaten, Tarif, Abonnementstatus, Nutzungszähler) und die unbedingt erforderlichen Daten der Nutzer des Kunden (Name, E-Mail, Rolle, Datum des letzten Zugriffs). Zahlungen werden von Stripe Payments Europe, Ltd. abgewickelt, die als eigenständiger Verantwortlicher handelt, auch für ihre eigenen gesetzlichen Pflichten zur Geldwäschebekämpfung und Betrugsprävention, und nicht als Unterauftragsverarbeiter. Anthropic erhält die zu übersetzenden Texte der Betriebsanleitungen, die in der Regel keine personenbezogenen Daten enthalten.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters. Die aktuelle Liste ist stets auf dieser Seite veröffentlicht. Der Verantwortliche kann aus berechtigten datenschutzbezogenen Gründen widersprechen; wird keine Lösung gefunden, kann der Verantwortliche für den betroffenen Teil des Dienstes ohne Vertragsstrafe vom Vertrag zurücktreten.

8. Übermittlungen außerhalb der Europäischen Union

Die Daten werden in der Europäischen Union gespeichert. Übermittlungen in Drittländer erfolgen nur mit den Garantien von Kapitel V DSGVO. Für den von Anthropic, PBC (Vereinigte Staaten) erbrachten Dienst der maschinellen Übersetzung beruht die Übermittlung auf den von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 angenommenen Standardvertragsklauseln, erforderlichenfalls ergänzt durch zusätzliche Maßnahmen. Nach den geschäftlichen Bedingungen des Anbieters werden über die API gesendete Daten nicht zum Training der Modelle verwendet und nur für einen begrenzten Zeitraum, in der Regel höchstens 30 Tage, aufbewahrt.

9. Überprüfungen

Der Verantwortliche kann die Einhaltung dieses AVV überprüfen, indem er Unterlagen anfordert und, mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen und höchstens einmal jährlich außer bei Verstößen, durch einen zur Vertraulichkeit verpflichteten Prüfer. Die Kosten der Überprüfung trägt der Verantwortliche.

10. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in jedem Fall innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, und stellt die verfügbaren Informationen bereit, damit der Verantwortliche die Verletzung der Aufsichtsbehörde melden und sie erforderlichenfalls den betroffenen Personen mitteilen kann.

11. Rückgabe und Löschung

Bei Vertragsende kann der Verantwortliche seine Daten während der in den Bedingungen vorgesehenen Übergangsfrist exportieren. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die personenbezogenen Daten, einschließlich der Daten in den Sicherungen innerhalb ihres normalen 30-tägigen Rotationszyklus, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

12. Haftung und Schlussbestimmungen

Für die Haftung zwischen den Parteien gelten die Beschränkungen der Bedingungen, soweit Art. 82 DSGVO dies zulässt. Bei Widersprüchen zwischen diesem AVV und den Bedingungen in Fragen des Datenschutzes hat dieser AVV Vorrang. Kontakt für den Datenschutz: info@mattiazucchini.com.