Dieser Auftragsverarbeitungsvertrag („AVV") wird zwischen dem Kunden („Verantwortlicher") und der Sealsport Solutions GmbH („Auftragsverarbeiter") geschlossen und ergänzt die Allgemeinen Geschäftsbedingungen. Er regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Artikel 28 der DSGVO.
1. Definitionen
- Verantwortlicher: Der Kunde, der die Zwecke und Mittel der Verarbeitung personenbezogener Daten über die Sealsport-Plattform bestimmt.
- Auftragsverarbeiter: Sealsport Solutions GmbH, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
- Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und über den Dienst verarbeitet werden.
2. Gegenstand & Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung der Sealsport-Vertragsmanagement-Plattform. Die Dauer der Verarbeitung entspricht der Dauer der Dienstvereinbarung zwischen den Parteien.
3. Umfang & Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung des Dienstes wie in den AGB beschrieben. Dies umfasst:
- Datenkategorien: Namen, Kontaktdaten, Vertragsdaten und vom Verantwortlichen hochgeladene Dokumente
- Betroffene Personen: Mitarbeiter, Teammitglieder, Vertragspartner und in hochgeladenen Dokumenten genannte Vertragsbeteiligte des Verantwortlichen
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, EU- oder mitgliedstaatliches Recht erfordert dies
- Sicherzustellen, dass zur Verarbeitung befugte Personen sich zur Vertraulichkeit verpflichtet haben
- Geeignete technische und organisatorische Maßnahmen umzusetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten
- Keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen einzusetzen
- Den Verantwortlichen bei der Erfüllung seiner Pflichten bezüglich der Rechte betroffener Personen und Datenschutz-Folgenabschätzungen zu unterstützen
- Nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung des Dienstes zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht
- Dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung erforderlich sind, und Überprüfungen zu ermöglichen
5. Technische & organisatorische Maßnahmen
Der Auftragsverarbeiter implementiert folgende Maßnahmen zum Schutz personenbezogener Daten:
- Verschlüsselung von Dokumenten im Ruhezustand mit starken Verschlüsselungsalgorithmen
- Zugriffskontrolle über authentifizierte, zeitlich begrenzte signierte URLs
- Strikte Mandantentrennung zur vollständigen Datentrennung zwischen Kunden
- Verschlüsselte und sicher gespeicherte Backups
- Umfassende Audit-Protokollierung aller Datenzugriffsereignisse
- Firewall-Schutz und Netzwerksicherheit; Datenbank nicht öffentlich zugänglich
6. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die Nutzung der folgenden Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen bezüglich der Hinzufügung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, Einspruch zu erheben.
- Hetzner Online GmbH: Server-Hosting und Infrastruktur (Deutschland)
- Google LLC (Gemini API): Optionale KI-gestützte Dokumentenanalyse (Endpunkt in Deutschland, Daten werden nicht von Google gespeichert)
7. Datenübermittlungen
Alle Daten werden innerhalb des EWR verarbeitet und gespeichert (Server in Deutschland). Falls ein Unterauftragsverarbeiter eine Datenübermittlung außerhalb des EWR erfordert, stellt der Auftragsverarbeiter sicher, dass angemessene Schutzmaßnahmen bestehen (z.B. Standardvertragsklauseln).
8. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten. Die Benachrichtigung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung.
9. Laufzeit & Kündigung
Dieser AVV gilt für die Dauer der Dienstvereinbarung. Nach Beendigung löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.
10. Anwendbares Recht
Dieser AVV unterliegt dem Recht der Republik Österreich und der DSGVO. Für alle Streitigkeiten ist ausschließlich das zuständige Gericht in Linz, Österreich, zuständig.
Kontakt
Sealsport Solutions GmbH
Am Hohlweg 16
4221 Steyregg, Österreich
Firmenbuchnummer (FN): FN 681761 s (Landesgericht Linz)
E-Mail: hello@sealsport.io