AUFTRAGSVERARBEITUNGSVERTRAG (aktuelle Fassung)

Dies ist eine Übersetzung der englischen Originalfassung. Bei Abweichungen gilt die englische Fassung.

Dieser Auftragsverarbeitungsvertrag (nachfolgend der „Vertrag") ist am 30. April 2024 in Kraft getreten und seitdem anwendbar. Dieser Vertrag wurde zwischen dem Betreiber der Zebrasign-Plattform, Tegwa Technologies, AB (nachfolgend der „Auftragsverarbeiter"), und dem Kunden (Nutzer oder Verbraucher) (nachfolgend der „Verantwortliche") geschlossen.

GEGENSTAND DES VERTRAGS
1. Dieser Vertrag ist integraler Bestandteil der Allgemeinen Nutzungsbedingungen der Zebrasign-Plattform (nachfolgend die „Nutzungsbedingungen") und legt die Bedingungen fest, die gelten, wenn der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen im Auftrag des Verantwortlichen gemäß dem in den Nutzungsbedingungen festgelegten Verfahren verarbeitet.
2. Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten gemäß den Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (nachfolgend die „DSGVO") sowie den Anweisungen des Verantwortlichen zu verarbeiten.
3. Großgeschriebene, in diesem Vertrag verwendete Begriffe sind so zu verstehen, wie in der DSGVO und anderen anwendbaren Datenschutzvorschriften, der Datenschutzerklärung und den Nutzungsbedingungen definiert. Personenbezogene Daten im Sinne dieses Vertrags sind die vom Verantwortlichen in das Konto hochgeladenen Daten gemäß Klausel 2.3 des Vertrags.
ZWECKE, UMFANG UND DAUER DER DATENVERARBEITUNG
1. Der Auftragsverarbeiter erbringt Dienste für den Verantwortlichen gemäß den Nutzungsbedingungen. Der Verantwortliche weist den Auftragsverarbeiter an, die personenbezogenen Daten des Verantwortlichen in dem für die Umsetzung und Durchführung der Nutzungsbedingungen erforderlichen Umfang zu verarbeiten.
2. Zweck der Datenverarbeitung ist die Umsetzung und Durchführung der Nutzungsbedingungen, soweit die vom Verantwortlichen in das Konto hochgeladenen Daten betroffen sind.
3. Kategorien betroffener Personen sind Mitarbeiter des Verantwortlichen, die das Konto des Verantwortlichen (juristische Person) nutzen, und/oder Verantwortliche (natürliche Personen), die ein Konto besitzen, sowie sonstige Dritte, deren personenbezogene Daten der Verantwortliche in sein Konto hochlädt. Personenbezogene Daten, die der Auftragsverarbeiter verarbeitet und auf die er Zugriff hat oder haben kann, sind die in das Konto des Verantwortlichen hochgeladenen Daten im Sinne der Datenschutzerklärung. Diese Daten können unter anderem Name, Vorname, Position, Geburtsdatum, persönliche Identifikationsnummer, Telefonnummer usw. umfassen und je nach Art und Inhalt der vom Verantwortlichen in das Konto hochgeladenen Daten variieren. Die Parteien vereinbaren, dass sich die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen dieses Vertrags ausschließlich auf die vom Verantwortlichen in das Konto hochgeladenen Daten bezieht. In allen anderen Punkten, wie in der Datenschutzerklärung vorgesehen, handelt der Auftragsverarbeiter als Verantwortlicher, da er selbst die Zwecke und Mittel der Verarbeitung festlegt.
4. Hat der Auftragsverarbeiter keine dokumentierten Anweisungen zur Verarbeitung personenbezogener Daten erhalten, die zur Erfüllung seiner Pflichten aus dem Vertrag erforderlich sind, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber und handelt bis zur Erteilung solcher Anweisungen im besten Interesse des Verantwortlichen.
5. Personenbezogene Daten werden verarbeitet, solange der Verantwortliche das Konto nutzt. Löscht der Verantwortliche das Konto, werden das Konto und die darin enthaltenen personenbezogenen Daten 14 Kalendertage nach dem Datum der Kontolöschung ohne Wiederherstellungsmöglichkeit gelöscht. Inaktive kostenlose Konten und die darin enthaltenen personenbezogenen Daten des Verantwortlichen werden ohne Wiederherstellungsmöglichkeit gelöscht, wenn der Verantwortliche das Konto und/oder die auf der Plattform erbrachten Dienste zwei Jahre lang, gerechnet ab dem Datum des letzten Besuchs des Verantwortlichen im Konto, nicht genutzt hat. Benötigt der Verantwortliche eine Speicherung personenbezogener Daten für einen bestimmten Zeitraum nach Beendigung der Dienste, müssen die Parteien die Bedingungen einer solchen Verarbeitung vorab vereinbaren.
PFLICHTEN DER PARTEIEN
1. Bei der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen verpflichtet sich der Auftragsverarbeiter wie folgt:
  1. personenbezogene Daten nur gemäß den dokumentierten schriftlichen Anweisungen des Verantwortlichen zu verarbeiten, einschließlich der in diesem Vertrag festgelegten Anweisungen, sofern die geltenden Rechtsvorschriften nichts anderes vorsehen. In diesem Fall muss der Auftragsverarbeiter vor Beginn der Verarbeitung personenbezogener Daten, soweit gesetzlich zulässig, den Verantwortlichen über eine solche gesetzliche Anforderung informieren, sofern sie dem Auftragsverarbeiter bekannt ist;
  2. bei der Verarbeitung personenbezogener Daten gemäß den Anforderungen der DSGVO und anderer anwendbarer Datenschutzvorschriften zu handeln;
  3. unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung verpflichtet sich der Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen umzusetzen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Zu diesem Zweck hat der Auftragsverarbeiter zudem den Standard ISO/IEC 27001 für Informationssicherheits-Managementsysteme implementiert. Auf schriftliche Anfrage des Verantwortlichen verpflichtet sich der Auftragsverarbeiter, Informationen über die zur Gewährleistung der Sicherheit personenbezogener Daten angewandten technischen und organisatorischen Sicherheitsmaßnahmen bereitzustellen;
  4. sicherzustellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; der Auftragsverarbeiter muss seine Mitarbeiter, die personenbezogene Daten verarbeiten, schriftlich verpflichten, alle personenbezogenen Daten als vertrauliche Informationen zu behandeln und sie zu keinem anderen Zweck als der Verarbeitung im Auftrag des Verantwortlichen zu nutzen, soweit dies für die Erbringung der Dienste erforderlich ist;
  5. unter Berücksichtigung der Art der Verarbeitung personenbezogener Daten den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht zu unterstützen, auf Anträge zur Ausübung sämtlicher Rechte der betroffenen Person zu reagieren. Nach Erhalt eines Antrags der betroffenen Person zur Ausübung ihrer Rechte muss der Auftragsverarbeiter diesen Antrag unverzüglich an den Verantwortlichen weiterleiten. Der Auftragsverarbeiter stellt dem Verantwortlichen alle notwendigen Informationen bereit oder führt sonstige mit dem Antrag der betroffenen Person zusammenhängende Handlungen aus, sofern diese für die ordnungsgemäße Erfüllung des Antrags zur Ausübung der Rechte der betroffenen Person erforderlich sind;
  6. den Verantwortlichen bei der Sicherstellung der Einhaltung der Pflichten im Zusammenhang mit der Datensicherheit, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation (Art. 32 bis 36 DSGVO) zu unterstützen, unter Berücksichtigung der Art der Verarbeitung personenbezogener Daten und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.
2. Der Verantwortliche verpflichtet sich wie folgt:
  1. dem Auftragsverarbeiter Anweisungen zur Verarbeitung personenbezogener Daten im Allgemeinen schriftlich zu erteilen, sofern die Umstände des Einzelfalls keine andere Form erfordern. Anweisungen, die in einer anderen als der schriftlichen Form erteilt werden, sind auf Verlangen des Auftragsverarbeiters vom Verantwortlichen schriftlich zu bestätigen;
  2. dem Auftragsverarbeiter nur rechtmäßige, den Anforderungen der DSGVO entsprechende Anweisungen zu erteilen und über eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten zu verfügen;
  3. die Richtigkeit, Integrität und Rechtmäßigkeit der dem Auftragsverarbeiter offengelegten personenbezogenen Daten sicherzustellen.
3. Dem Verantwortlichen ist bewusst, dass jede nicht durch ein Verschulden des Auftragsverarbeiters verursachte Einschränkung der Verarbeitung personenbezogener Daten die Fähigkeit des Auftragsverarbeiters beeinträchtigen kann, seine Pflichten aus den Nutzungsbedingungen zu erfüllen. Entscheidet sich der Verantwortliche daher, Einschränkungen der Verarbeitung personenbezogener Daten aufzuerlegen, sind folgende Schritte zu unternehmen:
  1. der Verantwortliche informiert den Auftragsverarbeiter schriftlich mit angemessenem zeitlichem Vorlauf über konkrete geplante Einschränkungen, damit der Auftragsverarbeiter die im Folgenden beschriebenen erforderlichen Maßnahmen ergreifen kann;
  2. innerhalb von 5 Geschäftstagen, nachdem der Verantwortliche den Auftragsverarbeiter über die konkreten Einschränkungen informiert hat, analysiert der Auftragsverarbeiter die beabsichtigten Einschränkungen und legt dem Verantwortlichen eine begründete schriftliche Erläuterung der möglichen Folgen für die Fähigkeit des Auftragsverarbeiters vor, seine Pflichten aus den Nutzungsbedingungen zu erfüllen;
  3. entscheidet sich der Verantwortliche, nachdem er eine begründete Erläuterung der möglichen Folgen vom Auftragsverarbeiter erhalten hat, dennoch dafür, die Einschränkungen aufrechtzuerhalten, übernimmt der Verantwortliche alle damit verbundenen Risiken und negativen Folgen dieser Entscheidung.
RECHT DES AUFTRAGSVERARBEITERS, UNTERAUFTRAGSVERARBEITER EINZUSETZEN
1. Der Auftragsverarbeiter ist berechtigt, Dritte zur Verarbeitung personenbezogener Daten heranzuziehen (nachfolgend die „Unterauftragsverarbeiter").
2. Der Verantwortliche erteilt eine allgemeine Genehmigung für die künftige Beauftragung neuer Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen bei der Beauftragung oder beim Wechsel von Unterauftragsverarbeitern, denen der Verantwortliche widersprechen kann. Der Verantwortliche wird informiert, wenn der Auftragsverarbeiter die Liste der Unterauftragsverarbeiter auf seiner Website aktualisiert. Erhebt der Verantwortliche innerhalb von dreißig (30) Tagen ab dem Datum der Aktualisierung auf der Website keinen Widerspruch, gilt dies als Nichtwiderspruch des Verantwortlichen. Widerspricht der Verantwortliche, ist der Auftragsverarbeiter berechtigt, den Widerspruch des Verantwortlichen durch Vorlage einer begründeten schriftlichen Erläuterung zurückzuweisen.
3. Der Auftragsverarbeiter stellt sicher, dass die Unterauftragsverarbeiter Verantwortung gemäß den in diesem Vertrag und in Artikel 28 DSGVO festgelegten Pflichten übernehmen.
MITTEILUNG EINER VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN AN DEN VERANTWORTLICHEN
1. Im Falle einer möglichen Verletzung des Schutzes personenbezogener Daten ist der Auftragsverarbeiter verpflichtet, die in den Klauseln 5.2 bis 5.4 des Vertrags festgelegten Maßnahmen zu ergreifen.
2. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden ab dem Zeitpunkt der Feststellung der möglichen Verletzung, durch eine schriftliche Mitteilung gemäß Unterklausel 5.2.1. Die Mitteilung muss die in Art. 33 Abs. 3 DSGVO vorgesehenen Informationen enthalten.
3. Können dem Verantwortlichen die Informationen nicht innerhalb der in Klausel 5.2 des Vertrags festgelegten Frist bereitgestellt werden, können sie stufenweise ohne unangemessene Verzögerung bereitgestellt werden. Ist der Auftragsverarbeiter nicht in der Lage, dem Verantwortlichen bestimmte Informationen bereitzustellen, informiert der Auftragsverarbeiter den Verantwortlichen darüber.
ÜBERMITTLUNG PERSONENBEZOGENER DATEN
1. Der Auftragsverarbeiter übermittelt personenbezogene Daten ohne die vorherige schriftliche Genehmigung des Verantwortlichen an niemanden (einschließlich außerhalb des Europäischen Wirtschaftsraums). Findet eine solche Übermittlung statt, verpflichtet sich der Auftragsverarbeiter, die in Kapitel V der DSGVO festgelegten Anforderungen einzuhalten.
HAFTUNG
1. Der Verantwortliche ist dafür verantwortlich, die Rechtmäßigkeit der Rechtsgrundlage sicherzustellen, auf deren Basis der Auftragsverarbeiter bei der Erbringung der Dienste personenbezogene Daten verarbeitet.
2. Der Auftragsverarbeiter haftet nicht für Handlungen des Verantwortlichen, die gegen die Datenschutzvorschriften verstoßen.
3. In jedem Fall ist die Haftung des Auftragsverarbeiters für Schäden beschränkt und darf die vom Auftragsverarbeiter in den letzten 12 (zwölf) Monaten für die dem Verantwortlichen gemäß den Nutzungsbedingungen erbrachten Dienste erhaltene Vergütung nicht übersteigen, sofern eine solche Beschränkung nicht gesetzlich untersagt ist.
4. Der Auftragsverarbeiter prüft, kontrolliert oder überwacht die vom Verantwortlichen in das Konto hochgeladenen Daten nicht. Dies kann nur in den in der Datenschutzerklärung vorgesehenen Ausnahmefällen geschehen.
DURCHFÜHRUNG VON AUDITS
1. Vorbehaltlich dessen, dass der Auftragsverarbeiter nicht verpflichtet ist, Informationen über (i) andere Kunden des Auftragsverarbeiters oder (ii) sonstige externe oder interne nicht öffentliche Berichte des Auftragsverarbeiters bereitzustellen oder Zugang dazu zu gewähren, ist der Verantwortliche und/oder ein von ihm bestellter unabhängiger Prüfer berechtigt, während der Laufzeit dieses Vertrags Audits und Prüfungen beim Auftragsverarbeiter gemäß den in diesem Vertrag festgelegten Bedingungen durchzuführen. Die Parteien vereinbaren schriftlich, spätestens 14 Geschäftstage im Voraus, die Bedingungen, den Umfang und weitere Einzelheiten eines solchen Audits. Auf der Grundlage dieses Vertrags durchgeführte Audits beschränken sich auf die Bewertung der Erfüllung der Pflichten des Auftragsverarbeiters aus diesem Vertrag. Solche Audits dürfen höchstens einmal alle 12 Monate durchgeführt werden.
2. Das Audit wird so durchgeführt, dass der Betrieb und die Pflichten des Auftragsverarbeiters nicht gestört werden.
3. Der Vertreter des Verantwortlichen und/oder der externe Prüfer müssen entsprechende Vertraulichkeitsvereinbarungen mit dem Auftragsverarbeiter unterzeichnen.
4. Der Verantwortliche verpflichtet sich, dem Auftragsverarbeiter alle im Rahmen der Unterstützung nach Abschnitt 8 dieses Vertrags entstandenen Kosten und aufgewendete Zeit (für den Zeitaufwand interner Ressourcen und Maßnahmen zur Unterstützung des Verantwortlichen bei der Durchführung des Audits) zu erstatten, einschließlich der Kosten und des Zeitaufwands der Unterauftragsverarbeiter bei der oben genannten Unterstützung, gemäß einer gesonderten, von den Parteien schriftlich vereinbarten Vergütung.
HÖHERE GEWALT
1. Eine Partei wird von der Haftung für die Nichterfüllung von Pflichten aus dem Vertrag befreit, wenn die Nichterfüllung auf Umstände höherer Gewalt zurückzuführen ist, die die Partei zum Zeitpunkt des Vertragsabschlusses nicht kontrollieren oder vernünftigerweise vorhersehen konnte und deren Eintritt oder Folgen nicht hätten verhindert werden können. Ein Mangel an finanziellen Mitteln der betroffenen Partei oder eine Pflichtverletzung durch ihre Auftragnehmer gilt nicht als höhere Gewalt.
2. Sind die Umstände, die die Erfüllung des Vertrags unmöglich machen, vorübergehender Natur, kann die Partei für einen angemessenen Zeitraum von der Haftung befreit werden, unter Berücksichtigung der Auswirkungen dieser Umstände auf die Erfüllung des Vertrags.
GÜLTIGKEIT UND BEENDIGUNG DES VERTRAGS
1. Dieser Vertrag tritt mit Inkrafttreten der Nutzungsbedingungen in Kraft und bleibt so lange gültig, wie diese in Kraft sind.
2. Wird eine Bestimmung des Vertrags ganz oder teilweise ungültig oder für ungültig erklärt, berührt dies nicht die Gültigkeit der übrigen Bestimmungen des Vertrags. In diesem Fall verpflichten sich die Parteien, die ungültige Bestimmung durch eine gültige zu ersetzen, die der ungültigen Bestimmung rechtlich und wirtschaftlich möglichst nahekommt.
3. Die Parteien erkennen ausdrücklich an, dass die Gültigkeit dieses Vertrags für die ordnungsgemäße Erfüllung der Nutzungsbedingungen erforderlich ist, weshalb die Nutzungsbedingungen bei Beendigung oder anderweitigem Ablauf dieses Vertrags automatisch erlöschen.
SCHLUSSBESTIMMUNGEN
1. Etwaige Meinungsverschiedenheiten oder Streitigkeiten zwischen den Parteien im Zusammenhang mit dem Vertrag werden durch Verhandlungen beigelegt; können die Streitigkeiten nicht auf diese Weise gelöst werden, werden sie vor dem zuständigen Gericht der Republik Litauen in Vilnius gemäß den Gesetzen oder sonstigen Vorschriften der Republik Litauen beigelegt.
2. Der Vertrag sowie sonstige, nicht von diesem Vertrag erfasste gegenseitige Beziehungen unterliegen dem Recht der Republik Litauen.

Kontaktieren Sie uns! Wir finden die beste Digitalisierungslösung für Sie. Termin vereinbaren