Informatorische Übersetzung. Bei Abweichungen gilt die englische Originalfassung, die der Rechtsordnung Irlands unterliegt (Cuandeoro Limited, CRO 813028).
Auftragsverarbeitungsvertrag von Veripass
Bestandteil der Nutzungsbedingungen.
1. Parteien und Rollen. Der Kunde ist der Verantwortliche. Die Cuandeoro Limited t/a Veripass ist Auftragsverarbeiter der personenbezogenen Daten, die in Kundendokumenten und Kontoinhalten enthalten sind („personenbezogene Kundendaten“).
2. Gegenstand, Art und Zweck. Speicherung, Extraktion, Analyse und Veröffentlichung von Produkt- und Batteriepassdaten, ausschließlich zur Erbringung des Dienstes.
3. Dauer. Die Laufzeit des Abonnements zuzüglich der Löschfrist nach Ziffer 11.
4. Kategorien betroffener Personen. Mitarbeiter und Nutzer des Kunden; Ansprechpartner der Lieferanten, Kunden und Labore des Kunden, die in hochgeladenen Dokumenten genannt sind.
5. Kategorien von Daten. Namen, geschäftliche Kontaktdaten, Funktionsbezeichnungen, Unterschriften und Kennungen, die in Dokumenten erscheinen; Benutzerkontodaten. Besondere Datenkategorien werden nicht erwartet. Der Kunde lädt sie nicht hoch.
5A. Pflichten des Kunden. Der Kunde stellt sicher, dass er über eine Rechtsgrundlage für die Verarbeitung verfügt und rechtmäßige Weisungen erteilt, die betroffenen Personen wie erforderlich informiert und keine besonderen Datenkategorien hochlädt.
6. Pflichten des Auftragsverarbeiters. Veripass wird:
- (a) Daten nur auf dokumentierte Weisung des Kunden verarbeiten, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, es ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt Veripass dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet;
- (b) sicherstellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
- (c) die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen umsetzen;
- (d) den Kunden unter Berücksichtigung der Art der Verarbeitung bei Anfragen betroffener Personen und bei den Pflichten nach Art. 32-36 DSGVO unterstützen;
- (e) die erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung stellen;
- (f) den Kunden unverzüglich informieren, wenn eine Weisung gegen Datenschutzrecht verstößt.
7. Unterauftragsverarbeiter.
- Der Kunde erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anhang 3.
- Veripass benachrichtigt über neue Unterauftragsverarbeiter 30 Tage im Voraus per E-Mail. Der Kunde kann aus sachlichen Gründen widersprechen und, falls keine Lösung vereinbart wird, ohne Vertragsstrafe kündigen.
- Veripass erlegt jedem Unterauftragsverarbeiter gleichwertige Datenschutzpflichten auf und haftet für diesen weiter.
8. Internationale Übermittlungen. Personenbezogene Kundendaten können in den Vereinigten Staaten vom Hosting-Anbieter von Veripass (Cloud Clusters, Inc.) und von Google (Gemini API, kostenpflichtige Stufe) verarbeitet werden, und zwar auf Grundlage der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission) und, soweit anwendbar, des EU-US Data Privacy Framework, mit ergänzenden Maßnahmen (Verschlüsselung bei der Übertragung und im Ruhezustand). Demo-Dateien werden nach 24 Stunden gelöscht.
9. KI-Verarbeitung. Dokumente werden von den KI-Anbietern in Anhang 3 zu Bedingungen verarbeitet, die ihnen nicht gestatten, Kundendaten zum Training ihrer Modelle zu verwenden. Wir verwenden Ihre Dokumente oder Daten nicht zum Training von KI-Modellen.
10. Verletzungen des Schutzes personenbezogener Daten. Veripass benachrichtigt den Kunden unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung bekannt wurde, die personenbezogene Kundendaten betrifft, und übermittelt die nach Art. 33(3) DSGVO erforderlichen Informationen, sobald sie verfügbar sind.
11. Rückgabe und Löschung. Nach Wahl des Kunden gibt Veripass die personenbezogenen Kundendaten zurück oder löscht sie. Innerhalb von 60 Tagen nach Beendigung kann der Kunde seine Daten exportieren. Danach löscht Veripass die personenbezogenen Kundendaten innerhalb von 30 Tagen, einschließlich der Backups innerhalb ihres Rotationszyklus (höchstens 35 Tage), es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats schreibt eine Speicherung vor.
12. Prüfungen. Veripass ermöglicht Prüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten unabhängigen Prüfer und trägt dazu bei. Prüfungen finden einmal je 12 Monate nach 30 Tagen Vorankündigung statt (häufiger nach einer Verletzung oder wenn eine Aufsichtsbehörde dies verlangt), während der Geschäftszeiten und auf Kosten des Kunden. Ein schriftlicher Fragebogen geht voraus, sofern er ausreicht.
13. Haftung. Vorbehaltlich der Beschränkungen in den Nutzungsbedingungen, soweit die DSGVO eine Beschränkung nicht verbietet.
14. Vorrang. Bei Widersprüchen hat dieser AVV in Datenschutzfragen Vorrang vor den Nutzungsbedingungen.
Anhang 1 · Einzelheiten der Verarbeitung
Wie in den Ziffern 2 bis 5.
Anhang 2 · Technische und organisatorische Maßnahmen
- TLS 1.2 oder höher bei der Übertragung; AES-256-Verschlüsselung im Ruhezustand.
- Rollenbasierter Zugriff, MFA für Mitarbeiter, Prinzip der minimalen Rechtevergabe.
- Kundendaten sind pro Konto logisch getrennt.
- Audit-Protokoll der Validierungen und Veröffentlichungen.
- Tägliche verschlüsselte Backups, Rotation über 35 Tage.
- Demo-Dateien werden nach 24 Std. gelöscht.
- Einspielen von Patches für kritische Schwachstellen innerhalb von 7 Tagen.
- Jährliche Überprüfung dieser Maßnahmen.
Anhang 3 · Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Cloud Clusters, Inc. | Hosting der App und der Passseiten | Vereinigte Staaten |
| Google (Gemini API, kostenpflichtige Stufe) | Dokumentenextraktion | Vereinigte Staaten |
| Cloud Clusters, Inc. (eigener Mailserver, mailcow) | Vereinigte Staaten |
Stripe verarbeitet die eigenen Abrechnungsdaten von Veripass; Stripe verarbeitet keine personenbezogenen Kundendaten aus Dokumenten.