Auftragsverarbeitungsvertrag

1.1. Parteien

Dieser Auftragsverarbeitungsvertrag (nachfolgend der „Vertrag" oder „AVV") wird geschlossen zwischen:

• dem Kunden – dem Präsentator, der Organisation oder dem Fachanwender, der Votinova nutzt und interaktive Abstimmungssitzungen erstellt oder leitet – in seiner Eigenschaft als Verantwortlicher (nachfolgend der „Verantwortliche" oder der „Kunde"); und
• Atbion OÜ, einer Gesellschaft mit beschränkter Haftung (Osaühing) nach estnischem Recht, mit der Registrierungsnummer 16890390 und der Umsatzsteuer-Identifikationsnummer EE102728154, mit Sitz in Ahtri tn 12, Kesklinna linnaosa, Tallinn 15551, Harju maakond, Estland, Betreiberin des Produkts Votinova (votinova.com), in ihrer Eigenschaft als Auftragsverarbeiter (nachfolgend der „Auftragsverarbeiter" oder „Atbion OÜ").

Der Verantwortliche und der Auftragsverarbeiter werden gemeinsam als die „Parteien" bezeichnet.

1.2. Gegenstand des Vertrags

Dieser Vertrag regelt die Verarbeitung der personenbezogenen Daten der Teilnehmer – des Publikums, das den Sitzungen des Kunden beitritt und darauf antwortet –, die Atbion OÜ im Auftrag und nach den dokumentierten Weisungen des Kunden im Rahmen der Erbringung des Votinova-Dienstes durchführt. Er wird in Erfüllung von Artikel 28 der Verordnung (EU) 2016/679 (nachfolgend „DSGVO") und der estnischen Datenschutzvorschriften (Isikuandmete kaitse seadus) geschlossen.

1.3. Verhältnis zu den übrigen Vertragsdokumenten

Dieser Vertrag wird in die Nutzungsbedingungen einbezogen und ist integraler Bestandteil des Dienstvertrags zwischen dem Kunden und Atbion OÜ. Er gilt, sofern der Kunde über Votinova personenbezogene Daten von Teilnehmern verarbeitet.

In Bezug auf die Kontodaten – die Daten des Präsentators und der Mitglieder der Organisation (Name, E-Mail-Adresse, Zugangsdaten, Abrechnungsdaten, Sicherheitsprotokolle und Ähnliches) – handelt Atbion OÜ als Verantwortlicher aus eigenem Recht, und diese Verarbeitung unterliegt nicht diesem Vertrag, sondern der Datenschutzerklärung. Der vorliegende Vertrag beschränkt sich auf die Daten von Teilnehmern, hinsichtlich derer Atbion OÜ Auftragsverarbeiter ist.

Für die Zwecke dieses Vertrags haben die folgenden Begriffe die ihnen durch die DSGVO zugewiesene Bedeutung:

3.1. Art und Zweck

Atbion OÜ verarbeitet die personenbezogenen Daten der Teilnehmer mit dem ausschließlichen Zweck, den Votinova-Dienst im Auftrag des Verantwortlichen zu erbringen: dem Publikum zu ermöglichen, den Sitzungen des Kunden beizutreten, Antworten und Stimmen abzugeben, an offenen Fragen und Q&A teilzunehmen, und die Ergebnisse in Echtzeit zu aggregieren und anzuzeigen. Die Verarbeitung umfasst die hierfür erforderlichen technischen Vorgänge (Erhebung, Erfassung, Aggregation, vorübergehende Speicherung, Offenlegung gegenüber dem Publikum der Sitzung und Löschung).

3.2. Datenarten und Kategorien betroffener Personen

Die verarbeiteten Kategorien personenbezogener Daten und die Kategorien betroffener Personen (Teilnehmer der Sitzungen des Kunden) werden nachfolgend zusammengefasst und in der Anlage I näher beschrieben. Standardmäßig sind die Teilnehmer anonym; der Kunde entscheidet über die Sitzungskonfiguration, ob er den identifizierten oder den authentifizierten Modus aktiviert und somit, welche Daten erhoben werden.

3.3. Dauer

Die Verarbeitung erfolgt während der gesamten Laufzeit des Dienstvertrags zwischen dem Kunden und Atbion OÜ und endet gemäß Ziffer 9 dieses Vertrags.

Atbion OÜ verpflichtet sich in ihrer Eigenschaft als Auftragsverarbeiter gemäß Artikel 28 Abs. 3 DSGVO zu Folgendem:

4.1. Verarbeitung nach dokumentierten Weisungen

Die personenbezogenen Daten ausschließlich nach den dokumentierten Weisungen des Verantwortlichen zu verarbeiten, einschließlich der Weisungen in Bezug auf internationale Übermittlungen, es sei denn, das Recht der Union oder Estlands verpflichtet Atbion OÜ zu etwas anderem; in diesem Fall unterrichtet Atbion OÜ den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern dies nicht gesetzlich verboten ist. Ist Atbion OÜ der Auffassung, dass eine Weisung gegen die DSGVO oder eine andere Datenschutzvorschrift verstößt, teilt sie dies dem Verantwortlichen unverzüglich mit.

4.2. Vertraulichkeit des Personals

Sicherzustellen, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugang auf das Personal beschränkt wird, das ihn zur Erbringung des Dienstes benötigt.

4.3. Sicherheitsmaßnahmen (Art. 32 DSGVO)

Die geeigneten technischen und organisatorischen Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, gemäß Artikel 32 DSGVO. Diese Maßnahmen werden in der Anlage II beschrieben und regelmäßig überprüft und aktualisiert.

4.4. Unterstützung bei den Rechten der betroffenen Personen

Den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen und soweit möglich dabei zu unterstützen, Anträge auf Wahrnehmung der Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) gemäß Kapitel III der DSGVO zu erfüllen. Richtet ein Teilnehmer einen Antrag unmittelbar an Atbion OÜ, leitet diese ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht eigenständig, es sei denn auf Weisung des Verantwortlichen.

4.5. Unterstützung bei Sicherheit, Folgenabschätzungen und vorherigen Konsultationen

Den Verantwortlichen bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde) zu unterstützen, unter Berücksichtigung der Art der Verarbeitung und der Atbion OÜ zur Verfügung stehenden Informationen.

4.6. Meldung von Verletzungen des Schutzes personenbezogener Daten

Dem Verantwortlichen unverzüglich nach Kenntniserlangung jede Verletzung des Schutzes personenbezogener Daten zu melden, die im Auftrag des Verantwortlichen verarbeitet werden. Die Meldung umfasst, soweit möglich, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung. Atbion OÜ arbeitet mit dem Verantwortlichen zusammen, damit dieser gegebenenfalls seinen Pflichten zur Meldung an die Aufsichtsbehörde und zur Benachrichtigung der betroffenen Personen (Artikel 33 und 34 DSGVO) nachkommen kann.

4.7. Löschung oder Rückgabe der Daten

Nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung des Dienstes zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, es sei denn, das Recht der Union oder Estlands verlangt ihre Aufbewahrung, gemäß Ziffer 9.

4.8. Nachweis der Einhaltung

Dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der Pflichten aus Artikel 28 DSGVO nachzuweisen, sowie die in Ziffer 7 vorgesehenen Überprüfungen und Inspektionen zu ermöglichen und dazu beizutragen.

5.1. Allgemeine Genehmigung

Der Verantwortliche erteilt Atbion OÜ eine allgemeine Genehmigung, zur Erbringung des Dienstes auf Unterauftragsverarbeiter zurückzugreifen. Die Liste der zum Zeitpunkt des Inkrafttretens geprüften Unterauftragsverarbeiter ist in der Anlage III aufgeführt.

5.2. Von den Unterauftragsverarbeitern verlangte Garantien

Atbion OÜ erlegt jedem Unterauftragsverarbeiter vertraglich die gleichen Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere die Anwendung geeigneter technischer und organisatorischer Maßnahmen (Artikel 28 Abs. 4 DSGVO). Atbion OÜ bleibt gegenüber dem Verantwortlichen vollumfänglich verantwortlich für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

5.3. Vorherige Ankündigung von Änderungen und Widerspruchsrecht

Atbion OÜ unterrichtet den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, diesen Änderungen aus angemessenen, mit dem Datenschutz zusammenhängenden Gründen zu widersprechen. Widerspricht der Verantwortliche und erzielen die Parteien keine Lösung, kann der Verantwortliche den Dienst hinsichtlich des betroffenen Teils gemäß Ziffer 9 kündigen.

6.1. Grundsatz: Verarbeitung in der Europäischen Union

Die Verarbeitung der Daten von Teilnehmern erfolgt überwiegend innerhalb der Europäischen Union: Rechenleistung und Speicherung werden bei AWS (EU-Region) gehostet, und die primäre Datenbank befindet sich in einem MongoDB-Atlas-Cluster in der EU (siehe Anlage II).

6.2. Garantien für Übermittlungen in Drittländer

Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, wird diese Übermittlung durch einen gültigen Übermittlungsmechanismus gemäß Kapitel V der DSGVO abgesichert, insbesondere:

• die von der Europäischen Kommission erlassenen Standardvertragsklauseln (SVK), gegebenenfalls ergänzt durch zusätzliche Maßnahmen; und/oder
• das Datenschutzrahmenwerk EU–USA (Data Privacy Framework, DPF) in Bezug auf die zu diesem Zweck zertifizierten Anbieter aus den Vereinigten Staaten, sofern anwendbar.

Die Einzelheiten zum Standort jedes Unterauftragsverarbeiters und zu den anwendbaren Übermittlungsmechanismen sind in der Anlage III aufgeführt.

7.1. Auditrecht

Atbion OÜ stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, um die Einhaltung von Artikel 28 DSGVO nachzuweisen, und ermöglicht und trägt zur Durchführung von Überprüfungen und Inspektionen bei, einschließlich solcher, die durch den Verantwortlichen oder einen von diesem beauftragten und zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchgeführt werden.

7.2. Modalitäten

Die Überprüfungen erfolgen mit angemessener Vorankündigung, während der Geschäftszeiten, ohne unangemessene Unterbrechung des Betriebs von Atbion OÜ und in angemessenen Abständen (in der Regel nicht mehr als einmal jährlich, es sei denn, es liegt ein nachgewiesener Sicherheitsvorfall vor oder eine Aufsichtsbehörde verlangt dies). Atbion OÜ kann das Auditrecht durch Vorlage von Zertifizierungen, Auditberichten Dritter oder gleichwertiger Dokumentation über ihre Maßnahmen und die ihrer Unterauftragsverarbeiter erfüllen, sofern diese Dokumentation dem Antrag des Verantwortlichen in angemessener Weise entspricht.

Jede Partei haftet für die durch eine Verarbeitung, die gegen die DSGVO verstößt, verursachten Schäden nach Maßgabe des Artikels 82 DSGVO. Keine Bestimmung dieses Vertrags – noch der Nutzungsbedingungen – beschränkt oder schließt die Haftung der Parteien aus, soweit eine solche Beschränkung oder ein solcher Ausschluss durch die DSGVO oder durch zwingende Datenschutzvorschriften untersagt ist. Die im Dienstvertrag vereinbarten Haftungsbeschränkungen gelten unbeschadet des Vorstehenden.

9.1. Dauer

Dieser Vertrag tritt zu dem zu Beginn angegebenen Datum in Kraft oder, falls später, zu dem Datum, zu dem der Kunde beginnt, Daten von Teilnehmern über Votinova zu verarbeiten, und bleibt in Kraft, solange Atbion OÜ personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Seine Dauer ist an die Laufzeit des Dienstvertrags gebunden.

9.2. Rückgabe oder Löschung der Daten bei Beendigung

Bei Beendigung des Dienstes und nach Wahl des Verantwortlichen gibt Atbion OÜ die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten von Teilnehmern zurück oder löscht sie und löscht vorhandene Kopien, es sei denn, das Recht der Union oder Estlands verlangt deren Aufbewahrung. Die in der Echtzeitinfrastruktur vorübergehend gespeicherten Daten werden nach Ablauf der technischen Aufbewahrungsfristen automatisch gelöscht; die verschlüsselten Sicherungskopien werden gemäß ihrem Rotationszyklus überschrieben.

9.3. Fortbestand

Die Vertraulichkeitspflichten, die Garantien in Bezug auf Übermittlungen und die Bestimmungen über die Haftung bestehen nach der Beendigung fort, soweit dies zum Schutz der betroffenen Personen erforderlich ist.

10.1. Anwendbares Recht

Dieser Vertrag unterliegt dem estnischen Recht sowie der DSGVO und den übrigen Datenschutzvorschriften der Europäischen Union.

10.2. Rangfolge

Im Falle eines Widerspruchs zwischen diesem Vertrag und den Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten von Teilnehmern geht dieser Vertrag vor. Im Übrigen gelten die Nutzungsbedingungen.

10.3. Änderungen

Atbion OÜ kann diesen Vertrag aktualisieren, um rechtliche, technische oder organisatorische Änderungen zu berücksichtigen, und teilt wesentliche Änderungen mit angemessener Vorankündigung mit. Die zugehörigen Dokumente sind im Rechtszentrum verfügbar: https://votinova.com/legal.

10.4. Kontakt in Datenschutzangelegenheiten

Für jegliche Anfragen im Zusammenhang mit diesem Vertrag oder mit der Verarbeitung personenbezogener Daten können Sie sich an privacy@votinova.com wenden. Die zuständige Aufsichtsbehörde ist die Andmekaitse Inspektsioon (AKI) — Tatari 39, Tallinn 10134, Estland — info@aki.ee — https://www.aki.ee.

Atbion OÜ wendet mindestens die folgenden Maßnahmen an, die sie regelmäßig überprüft und aktualisiert. Sensible Parameter, deren Veröffentlichung Angriffe erleichtern könnte, werden nicht offengelegt.