Auftragsverarbeitungsvertrag

01Gegenstand und Anwendungsbereich

Dieser Auftragsverarbeitungsvertrag (im Folgenden der "Vertrag") regelt die Verarbeitung personenbezogener Daten, die Innovageo Software SLU, mit Steuernummer CIF B70993019 und Sitz in Plaza Vicente Andrés Estellés nº2 Bajo, 46950 Xirivella (Spain) (im Folgenden "Innovageo Software" oder der "Auftragsverarbeiter"), im Auftrag des Kunden (im Folgenden der "Verantwortliche") im Zusammenhang mit der Erbringung der Dienste der Anwendung neobora.ai durchführt.

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und wird in Erfüllung von Artikel 28 der Verordnung (EU) 2016/679 (DSGVO) und des spanischen Gesetzes LOPDGDD 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte geschlossen. Die Annahme der Nutzungsbedingungen bedeutet die Annahme dieses Vertrages.

02Beschreibung der Verarbeitung

Gemäß Artikel 28 Abs. 3 DSGVO wird die beauftragte Verarbeitung wie folgt beschrieben:

Es obliegt ausschließlich dem Verantwortlichen zu bestimmen, welche personenbezogenen Daten er in die Anwendung einbringt. Innovageo Software wirkt an dieser Entscheidung nicht mit und nimmt keine vorherige Prüfung des Inhalts der vom Verantwortlichen hochgeladenen Daten vor.

03Weisungen des Verantwortlichen

Innovageo Software verarbeitet die personenbezogenen Daten ausschließlich nach den dokumentierten Weisungen des Verantwortlichen. Als dokumentierte Weisungen gelten dieser Vertrag, die Nutzungsbedingungen und die Anordnungen, die der Verantwortliche durch die Konfiguration und die Nutzung der Funktionen der Anwendung erteilt.

Innovageo Software verwendet die personenbezogenen Daten nicht für eigene Zwecke, gibt sie außer in den in diesem Vertrag vorgesehenen Fällen oder aufgrund gesetzlicher Verpflichtung nicht an Dritte weiter und trifft über ihre Verarbeitung keine anderen Entscheidungen als die zur Erbringung der Dienste erforderlichen.

Ist Innovageo Software der Auffassung, dass eine Weisung des Verantwortlichen gegen das Datenschutzrecht verstößt, teilt sie ihm dies unverzüglich mit und ist berechtigt, die Ausführung dieser Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

Der Verantwortliche gewährleistet, dass er über die für die von ihm beauftragte Verarbeitung erforderliche Rechtsgrundlage verfügt, dass er die betroffenen Personen gemäß Artikel 13 und 14 DSGVO informiert hat und dass er gegebenenfalls die Erforderlichkeit einer Datenschutz-Folgenabschätzung geprüft hat. Der Verantwortliche haftet gegenüber Innovageo Software für die Folgen eines Verstoßes gegen diese Gewährleistungen.

04Vertraulichkeit und befugtes Personal

Innovageo Software wahrt die Vertraulichkeit der personenbezogenen Daten, zu denen sie im Rahmen des Auftrages Zugang erhält; diese Pflicht besteht nach Beendigung des Verhältnisses fort.

Der Zugang zu den personenbezogenen Daten ist auf das Personal beschränkt, das sie zur Erbringung der Dienste kennen muss. Innovageo Software gewährleistet, dass dieses Personal über seine Pflichten unterrichtet wurde und einer vertraglichen oder gesetzlichen Vertraulichkeitspflicht unterliegt.

05Sicherheitsmaßnahmen

Innovageo Software trifft die geeigneten technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, gemäß Artikel 32 DSGVO und unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung.

Diese Maßnahmen umfassen unter anderem die Zugangskontrolle durch individuelle Authentifizierung und projektbezogene Berechtigungsverwaltung, die Verschlüsselung der Kommunikation, die logische Trennung der Informationen jedes Kunden, die Protokollierung relevanter Aktivitäten sowie die Erstellung von Sicherungskopien nach den Bestimmungen der Nutzungsbedingungen.

Es obliegt dem Verantwortlichen, die Berechtigungen seiner Projekte und den öffentlichen oder eingeschränkten Charakter der von ihm veröffentlichten Geoportale angemessen zu konfigurieren sowie vorab zu beurteilen, ob es angebracht ist, Daten zu veröffentlichen, die personenbezogene Informationen enthalten können. Innovageo Software haftet nicht für die Folgen einer vom Verantwortlichen entschiedenen Sichtbarkeitskonfiguration.

06Unterauftragsverarbeiter

Der Verantwortliche erteilt Innovageo Software die allgemeine Genehmigung, für die Erbringung der Dienste weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Innovageo Software verpflichtet diese Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in diesem Vertrag vorgesehenen entsprechen, und haftet für ihr Handeln nach Artikel 28 Abs. 4 DSGVO.

Zum Zeitpunkt dieses Vertrages sind die Unterauftragsverarbeiter die folgenden:

Innovageo Software teilt dem Verantwortlichen jede Aufnahme oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens dreißig (30) Kalendertagen mit, durch eine Nachricht an die mit dem Konto verknüpfte E-Mail-Adresse oder durch eine Benachrichtigung in der Anwendung. Innerhalb dieser Frist kann der Verantwortliche aus vernünftigen, den Datenschutz betreffenden Gründen widersprechen; wird keine Lösung erreicht, kann der Verantwortliche die Nutzungsbedingungen ohne Vertragsstrafe beenden, mit Rückerstattung des anteiligen Teils der gezahlten und nicht verbrauchten Beträge, was seinen einzigen Rechtsbehelf aus diesem Grund darstellt.

07Speicherort der Daten und internationale Übermittlungen

Der Verantwortliche wählt bei der Erstellung seines Kontos die Region, in der die Daten seiner Projekte gehostet werden sollen. Innovageo Software verlagert die gehosteten Daten nicht in eine andere als die gewählte Region, ohne dies dem Verantwortlichen vorher mitzuteilen.

Liegt die vom Verantwortlichen gewählte Region innerhalb des Europäischen Wirtschaftsraums, erfolgt die Verarbeitung in diesem Gebiet, unbeschadet gelegentlicher Fernzugriffe des technischen Supports, die für die Erbringung des Dienstes erforderlich sind.

08Unterstützung des Verantwortlichen

Rechte der betroffenen Personen. Es obliegt dem Verantwortlichen, die von betroffenen Personen erhaltenen Anträge auf Ausübung ihrer Rechte zu bearbeiten. Innovageo Software stellt ihm die Funktionen der Anwendung zur Verfügung, die den Zugriff auf die gehosteten Daten sowie deren Berichtigung, Export und Löschung ermöglichen. Richtet eine betroffene Person ihren Antrag unmittelbar an Innovageo Software, leitet diese ihn unverzüglich an den Verantwortlichen weiter, ohne ihn selbst zu bearbeiten.

Innovageo Software leistet dem Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen die zumutbare Unterstützung, die dieser für die Erfüllung seiner Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Folgenabschätzungen und vorherige Konsultationen der Aufsichtsbehörde anfordert. Geht diese Unterstützung über die Bereitstellung der Informationen und der in der Anwendung bereits vorhandenen Funktionen hinaus, kann Innovageo Software dem Verantwortlichen angemessene Kosten weiterbelasten, die vorher mitgeteilt und akzeptiert wurden.

09Verletzungen des Schutzes personenbezogener Daten

Innovageo Software meldet dem Verantwortlichen unverzüglich, nachdem sie tatsächlich Kenntnis davon erlangt hat, jede Verletzung des Schutzes der im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten, durch eine Nachricht an die mit dem Konto verknüpfte E-Mail-Adresse.

Die Meldung enthält die Innovageo Software zu diesem Zeitpunkt verfügbaren Informationen über die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die möglichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Minderung ihrer Auswirkungen. Ist es nicht möglich, diese Informationen gleichzeitig bereitzustellen, werden sie ohne unangemessene weitere Verzögerung schrittweise vervollständigt.

10Information und Überprüfung

Innovageo Software stellt dem Verantwortlichen die zum Nachweis der Erfüllung der Pflichten aus Artikel 28 DSGVO vernünftigerweise erforderlichen Informationen zur Verfügung, mittels der Dokumentation ihrer technischen und organisatorischen Maßnahmen sowie gegebenenfalls der ihr vorliegenden Berichte oder Zertifizierungen hinsichtlich ihrer Infrastruktur und ihrer Unterauftragsverarbeiter.

Das Überprüfungsrecht des Verantwortlichen gilt mit der Übergabe der vorstehenden Dokumentation als erfüllt. Nur wenn diese Dokumentation objektiv unzureichend ist oder eine zuständige Aufsichtsbehörde es verlangt, kann der Verantwortliche eine Überprüfung durchführen, die den folgenden Bedingungen unterliegt: Vorankündigung von mindestens dreißig (30) Kalendertagen; eine einzige Überprüfung je Kalenderjahr, außer auf Verlangen der Aufsichtsbehörde oder bei nachgewiesener Verletzung des Datenschutzes; Beschränkung des Umfangs auf die Gegenstand dieses Vertrages bildenden Verarbeitungen; Durchführung während der Arbeitszeit und ohne Beeinträchtigung der Verfügbarkeit des Dienstes oder der Vertraulichkeit der Informationen anderer Kunden; Bindung des Prüfpersonals an eine Vertraulichkeitspflicht; und Übernahme der eigenen Kosten sowie der angemessenen Kosten, die die Überprüfung Innovageo Software verursacht, durch den Verantwortlichen.

11Löschung und Rückgabe der Daten

Mit Beendigung der Erbringung der Dienste löscht Innovageo Software die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten nach den in den Nutzungsbedingungen vorgesehenen Fristen: während dreißig (30) Kalendertagen nach dem Ende des letzten Abrechnungszeitraums werden die Daten im Nur-Lese-Modus aufbewahrt, damit der Verantwortliche sie über die Funktionen der Anwendung herunterladen oder exportieren kann, und nach Ablauf dieser Frist werden sie endgültig gelöscht.

Vorhandene Sicherungskopien werden nach ihrem ordentlichen Rotationszyklus innerhalb der folgenden dreißig (30) Kalendertage gelöscht, ohne dass Innovageo Software selektive Löschungen innerhalb dieser Kopien vornimmt.

Unbeschadet des Vorstehenden kann Innovageo Software diejenigen personenbezogenen Daten aufbewahren, die zur Erfüllung einer gesetzlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, ordnungsgemäß gesperrt und für die Dauer der Verjährungsfrist der entsprechenden Ansprüche.

12Haftung

Die Haftung der Parteien im Rahmen dieses Vertrages richtet sich nach Artikel 82 DSGVO und, was das Vertragsverhältnis zwischen ihnen betrifft, nach den in der Klausel "Gewährleistung und Haftung" der Nutzungsbedingungen vorgesehenen Beschränkungen und Ausschlüssen, die gemeinsam und kumuliert für die Nutzungsbedingungen und diesen Vertrag gelten.

Jede Partei haftet für die Geldbußen und Schadensersatzleistungen, die ihr aus ausschließlich ihr zurechenbaren Gründen auferlegt werden.

13Laufzeit, Änderung und Vorrang

Dieser Vertrag tritt mit der Annahme der Nutzungsbedingungen in Kraft und bleibt in Kraft, solange Innovageo Software personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Innovageo Software kann diesen Vertrag ändern, um ihn an regulatorische Entwicklungen, an Entscheidungen der Aufsichtsbehörden oder an Änderungen der Dienste anzupassen, unter Einhaltung einer Frist von mindestens dreißig (30) Kalendertagen nach dem in den Nutzungsbedingungen vorgesehenen Verfahren.

Im Falle eines Widerspruchs zwischen diesem Vertrag und den Nutzungsbedingungen in Fragen des Schutzes personenbezogener Daten haben die Bestimmungen dieses Vertrages Vorrang. Soweit hier nicht ausdrücklich geregelt, gelten die Bestimmungen der Nutzungsbedingungen.