Auftragsverarbeitungsvertrag

1. Parteien und Zweck

Dieser Auftragsverarbeitungsvertrag (AVV, auf Niederländisch: verwerkersovereenkomst) wird zwischen dem Kunden, der Mentiofy nutzt (der Verantwortliche, „du“), und Trueqrcode, handelnd unter dem Namen Mentiofy, KvK 71264558, Nieuwe Gracht 3, 2011 NB Haarlem, Niederlande (der Auftragsverarbeiter, „wir“), geschlossen.

Er gilt immer dann, wenn wir bei der Erbringung des Dienstes gemäß unseren AGB personenbezogene Daten in deinem Auftrag verarbeiten, und er ist Bestandteil dieser AGB. Er erfüllt die Anforderungen von Artikel 28 der Datenschutz-Grundverordnung (DSGVO). Du akzeptierst ihn, indem du die AGB akzeptierst. Wenn du ein unterzeichnetes Exemplar benötigst, schreib an info@mentiofy.com.

2. Begriffsbestimmungen

Begriffe wie personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person, Verletzung des Schutzes personenbezogener Daten und Aufsichtsbehörde haben die Bedeutung, die ihnen die DSGVO gibt. Personenbezogene Kundendaten sind personenbezogene Daten, die du oder deine Kunden in den Dienst eingeben oder die wir bei der Erbringung des Dienstes in deinem Auftrag verarbeiten. Unterauftragsverarbeiter ist ein Dritter, den wir mit der Verarbeitung personenbezogener Kundendaten beauftragen.

3. Was wir verarbeiten und warum

Wir verarbeiten personenbezogene Kundendaten nur, um den Dienst zu erbringen: Prompts auf KI-Engines messen, die Antworten analysieren, Berichte erstellen, Support leisten und abrechnungsbezogene Kommunikation zu deinem Konto führen. Anlage 1 beschreibt die Verarbeitung genauer.

Wir verarbeiten personenbezogene Kundendaten, solange der Vertrag läuft, und danach nur, soweit es nötig ist, um sie zurückzugeben oder zu löschen, siehe Abschnitt 11.

4. Deine Weisungen

Wir verarbeiten personenbezogene Kundendaten nur auf deine dokumentierte Weisung. Die AGB, dieser Vertrag und die Art, wie du den Dienst einrichtest und nutzt, sind deine Weisungen. Wenn wir der Meinung sind, dass eine Weisung gegen die DSGVO oder anderes Datenschutzrecht verstößt, teilen wir dir das sofort mit. Wenn uns das Gesetz verpflichtet, Daten auf andere Weise zu verarbeiten, teilen wir dir das vorher mit, es sei denn, das Gesetz verbietet dies.

Du bist dafür verantwortlich, dass für die Verarbeitung eine gültige Rechtsgrundlage besteht, dass die betroffenen Personen informiert werden und für die Daten, die du oder deine Kunden in den Dienst eingeben. Bitte gib keine besonderen Kategorien personenbezogener Daten in den Dienst ein.

5. Vertraulichkeit

Alle bei Mentiofy und jeder Unterauftragsverarbeiter, die Zugang zu personenbezogenen Kundendaten haben, sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet und erhalten nur Zugang, soweit es für ihre Arbeit nötig ist.

6. Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen, um personenbezogene Kundendaten vor Verlust und unrechtmäßiger Verarbeitung zu schützen, unter Berücksichtigung des Stands der Technik, der Kosten und der Risiken. Anlage 2 führt diese Maßnahmen auf. Wir dürfen sie anpassen, solange das Schutzniveau insgesamt nicht sinkt.

7. Unterauftragsverarbeiter

Du erteilst uns eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Anlage 3 führt die aktuellen auf. Wir erlegen ihnen dieselben Datenschutzpflichten auf, die dieser Vertrag uns auferlegt, und wir bleiben dir gegenüber für sie verantwortlich.

Wir informieren dich mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, per E-Mail oder in der App. Du kannst innerhalb dieser Frist aus berechtigten Gründen widersprechen. Wenn wir den Widerspruch nicht lösen können, darfst du den Vertrag für den betroffenen Teil des Dienstes beenden, ohne für den verbleibenden Zeitraum zu zahlen.

8. Übermittlungen außerhalb des EWR

Werden personenbezogene Kundendaten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt, sorgen wir dafür, dass die Übermittlung der DSGVO entspricht, zum Beispiel weil der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, für das Land ein Angemessenheitsbeschluss besteht oder durch die Standardvertragsklauseln der Europäischen Kommission mit zusätzlichen Maßnahmen, wo nötig.

9. Unterstützung für dich

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir dich dabei:

• Anfragen von betroffenen Personen zu beantworten, die ihre Rechte ausüben, etwa auf Auskunft, Berichtigung oder Löschung. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an dich weiter und beantworten sie nicht selbst, es sei denn, du bittest uns darum;
• deine Pflichten in Bezug auf Sicherheit, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörde zu erfüllen;
• nachzuweisen, dass du die DSGVO einhältst.

Für Unterstützung, die über das hinausgeht, was der Dienst normalerweise bietet, dürfen wir angemessene Kosten berechnen. Darüber informieren wir dich im Voraus.

10. Verletzungen des Schutzes personenbezogener Daten

Wenn uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die personenbezogene Kundendaten betrifft, informieren wir dich unverzüglich und in jedem Fall innerhalb von 48 Stunden. Wir geben dir die Informationen, die du brauchst, um die Verletzung zu beurteilen und sie, wo erforderlich, innerhalb der gesetzlichen Frist der Aufsichtsbehörde und den betroffenen Personen zu melden. Dazu gehört, soweit bekannt: was passiert ist, welche Daten und wie viele betroffene Personen betroffen sind, die wahrscheinlichen Folgen und die Maßnahmen, die wir ergriffen haben oder vorschlagen. Wir ergreifen Maßnahmen, um die Folgen zu begrenzen und eine Wiederholung zu verhindern.

Die Meldung einer Verletzung an die Aufsichtsbehörde oder an betroffene Personen liegt in deiner Verantwortung als Verantwortlicher, sofern wir nichts anderes vereinbaren.

11. Wenn der Vertrag endet

Wenn der Vertrag endet, kannst du deine Daten 30 Tage lang exportieren. Danach löschen wir personenbezogene Kundendaten, einschließlich Kopien, innerhalb von 90 Tagen, es sei denn, das Gesetz verpflichtet uns, sie aufzubewahren. Backups werden im normalen Backup-Zyklus überschrieben. Auf Anfrage bestätigen wir schriftlich, dass die Daten gelöscht wurden.

12. Audits

Wir geben dir die Informationen, die du brauchst, um nachzuweisen, dass wir diesen Vertrag einhalten. Du darfst höchstens einmal im Jahr ein Audit durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen, mit einer Ankündigung von mindestens 30 Tagen und während der üblichen Geschäftszeiten. Du trägst die Kosten des Audits, es sei denn, es zeigt, dass wir diesen Vertrag schwerwiegend verletzt haben. Wenn wir einen aktuellen unabhängigen Bericht oder eine Zertifizierung haben, die die Fragen abdeckt, dürfen wir dir stattdessen diese zur Verfügung stellen.

13. Haftung

Die Haftungsbeschränkungen in den AGB gelten auch für diesen Vertrag. Jede Partei haftet weiterhin für Bußgelder, die eine Aufsichtsbehörde gegen sie verhängt, soweit die DSGVO dies vorsieht.

14. Laufzeit und Änderungen

Dieser Vertrag gilt, solange wir personenbezogene Kundendaten für dich verarbeiten. Pflichten, die ihrer Natur nach fortbestehen, wie Vertraulichkeit und Löschung, gelten auch nach seinem Ende weiter. Wir dürfen diesen Vertrag ändern, wenn sich das Gesetz oder unser Dienst ändert, auf dieselbe Weise wie für die AGB beschrieben. Wenn dieser Vertrag und die AGB beim Datenschutz im Widerspruch stehen, hat dieser Vertrag Vorrang.

15. Recht und Streitigkeiten

Es gilt niederländisches Recht. Streitigkeiten werden vor dem zuständigen Gericht im Bezirk Noord-Holland, Standort Haarlem, verhandelt. Dieser Vertrag ist auf Englisch verfasst, und die englische Fassung hat immer Vorrang vor jeder Übersetzung.

16. Anlage 1: Beschreibung der Verarbeitung

17. Anlage 2: Sicherheitsmaßnahmen

• Alle Verbindungen sind mit TLS verschlüsselt.
• Daten werden bei einem Hosting-Anbieter gespeichert, der anerkannte Sicherheitsstandards erfüllt, und durch Cloudflare vor Angriffen geschützt.
• Der Zugang zu personenbezogenen Kundendaten ist auf Personen beschränkt, die ihn benötigen, mit Zwei-Faktor-Authentifizierung für den Administratorzugang.
• Passwörter werden als gesalzene Hashes gespeichert, nie im Klartext.
• Regelmäßige Backups mit einem getesteten Wiederherstellungsverfahren.
• Protokollierung des Zugriffs auf sensible Daten und Überwachung auf ungewöhnliche Aktivitäten.
• Wir senden KI-Anbietern nur die Daten, die für die jeweilige Aufgabe nötig sind, unter geschäftlichen Bedingungen, die sie vom Modelltraining ausschließen, sofern der Anbieter dies anbietet.
• Ein Verfahren zur Behandlung und Meldung von Verletzungen des Schutzes personenbezogener Daten.
• Regelmäßige Überprüfung dieser Maßnahmen.

18. Anlage 3: Unterauftragsverarbeiter