Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag („DPA“)

1. ALLGEMEINE BESTIMMUNGEN
   1. Dieser Auftragsverarbeitungsvertrag („DPA“) wird zusammen mit unseren Nutzungsbedingungen, unserer Richtlinie zum Schutz personenbezogener Daten und etwaigen sonstigen spezifischen Rahmenverträgen zur Zusammenarbeit zwischen den Parteien (zusammen der „Hauptvertrag“) geschlossen zwischen XOPERO SOFTWARE S.A. mit Sitz in Gorzów Wielkopolski, Polen, ul. Franciszka Walczaka 3, 66-400 Gorzów Wielkopolski, eingetragen im Unternehmerregister des Nationalen Gerichtsregisters unter der KRS-Nummer 0000684240, Steuer-ID (NIP): 5993066603, Statistische ID (REGON): 080285693, vertreten durch Łukasz Jesis – CEO (nachfolgend „XOPERO“, „wir“ oder „uns“, das „Unternehmen“ oder der „Auftragsverarbeiter“), und jeder natürlichen oder juristischen Person, die Kunde ist (nachfolgend der „Kunde“, „Sie“ oder der „Verantwortliche“); jede Partei einzeln als „Partei“ und gemeinsam als „Parteien“ bezeichnet.
   2. Dieser DPA ergänzt die Nutzungsbedingungen und/oder etwaige sonstige spezifische Rahmenverträge zur Zusammenarbeit zwischen den Parteien und ist integraler Bestandteil davon – zusammen als „Hauptvertrag“ bezeichnet.
   3. Dieser DPA tritt mit dem Datum des Abschlusses des Hauptvertrags in Kraft. Wurde dieser DPA nach dem Zeitpunkt abgeschlossen, zu dem der Auftragsverarbeiter gemäß dem Hauptvertrag mit der Verarbeitung personenbezogener Daten begonnen hat, gelten seine Bestimmungen sinngemäß für die Verarbeitung ab dem Datum, an dem mit der Erbringung der Dienste begonnen wurde und/oder die Software bereitgestellt wurde.
   4. Großgeschriebene Begriffe, die in diesem DPA nicht anderweitig definiert sind, haben die ihnen im Hauptvertrag zugewiesene Bedeutung.
   5. Bei Widersprüchen zwischen diesem DPA und dem Hauptvertrag haben die Bestimmungen dieses DPA Vorrang hinsichtlich des Schutzes personenbezogener Daten. Bei Widersprüchen zwischen diesem DPA und den in Abschnitt 8.3 genannten Standardvertragsklauseln haben diese Klauseln Vorrang hinsichtlich der Übermittlung personenbezogener Daten in Drittländer.
   6. Dieser DPA gilt nicht für die Verarbeitung personenbezogener Daten, bei der der Auftragsverarbeiter als eigenständiger Verantwortlicher handelt – insbesondere für Daten, die zum Zweck des Abschlusses und der Abwicklung des Hauptvertrags, der Buchführung, der Verwaltung des Kontos des Verantwortlichen, der Überprüfung der Berechtigungen seiner Nutzer, der Gewährleistung der Sicherheit und des ununterbrochenen Betriebs der Software und/oder der Dienste (einschließlich Sicherheitstelemetrie und Diagnosedaten), der Bearbeitung von Serviceanfragen sowie der Erfüllung gesetzlicher Pflichten des Auftragsverarbeiters verarbeitet werden. In diesem Zusammenhang handelt der Auftragsverarbeiter auf der Grundlage eigener Rechtsgrundlagen; die Verarbeitungsregeln sind in der Datenschutzrichtlinie des Auftragsverarbeiters festgelegt.
   7. Der Auftragsverarbeiter ist berechtigt, anonymisierte und aggregierte Daten, die im Zusammenhang mit der Erbringung der Dienste und/oder der Bereitstellung der Software entstehen, für statistische Zwecke sowie zur Wartung, Weiterentwicklung und Verbesserung der Software und der Dienste zu nutzen – vorausgesetzt, diese Daten lassen keine Rückschlüsse auf den Verantwortlichen, dessen Endnutzer oder andere natürliche Personen zu. Anonymisierte Daten stellen keine personenbezogenen Daten dar und unterliegen nicht diesem DPA.
2. GEGENSTAND DER VEREINBARUNG
   1. Die Parteien schließen diesen DPA ab, auf dessen Grundlage der Verantwortliche dem Auftragsverarbeiter die Verarbeitung sämtlicher personenbezogener Daten überträgt. Die Übertragung erfolgt zum Zweck der Erfüllung des Hauptvertrags, insbesondere im Hinblick auf die Nutzung der Dienste und/oder der Software des Auftragsverarbeiters durch den Verantwortlichen gemäß dem Hauptvertrag.
   2. Der Auftragsverarbeiter verarbeitet die bereitgestellten Daten ausschließlich in dem Umfang und zu dem Zweck, der im Hauptvertrag festgelegt ist, sowie in dem Umfang und zu dem Zweck, der für die Erbringung der im Hauptvertrag genannten Dienste erforderlich ist.
   3. Der Auftragsverarbeiter darf die personenbezogenen Daten des Verantwortlichen nicht speichern, verwenden, verkaufen oder offenlegen – außer soweit dies zur Erfüllung des Hauptvertrags und gemäß den Weisungen des Verantwortlichen erforderlich ist.
   4. Kategorien betroffener Personen, deren personenbezogene Daten übermittelt werden – Der Verantwortliche kann im Rahmen der Nutzung der Dienste und/oder Software personenbezogene Daten übermitteln. Umfang und Kontrolle dieser Übermittlung liegen ausschließlich beim Verantwortlichen. Die Daten können sich auf folgende Kategorien betroffener Personen beziehen, ohne darauf beschränkt zu sein:
      1. Endnutzer des Verantwortlichen, einschließlich seiner Kunden und Geschäftspartner.
      2. Mit dem Verantwortlichen verbundene Personen, einschließlich Vertreter, Berater und Mitarbeiter.
   5. Kategorien übermittelter personenbezogener Daten – Der Verantwortliche kann personenbezogene Daten an den Auftragsverarbeiter übermitteln oder Dritte zur Übermittlung ermächtigen. Umfang und Kontrolle dieser Übermittlung liegen ausschließlich beim Verantwortlichen. Die Daten können folgende Kategorien personenbezogener Daten umfassen, ohne darauf beschränkt zu sein:
      1. Vorname, Nachname, Telefonnummer, E-Mail-Adresse, Liefer- und Rechnungsadressen von Kunden, Informationen zu Kundenbestellungen, Kaufhistorie, erworbenen Produkten, Warenguthaben (Handelskredit), Kennzeichnungen und Notizen;
      2. Vor- und Nachnamen von Mitarbeitern sowie Beschäftigungsangaben wie Berufsbezeichnung;
      3. Titel, Telefonnummer, Geschäftsadresse und E-Mail-Adresse;
      4. sonstige personenbezogene Daten, die vom Verantwortlichen und/oder seinen Endnutzern eingereicht, an diese übermittelt oder von diesen empfangen wurden.
   6. Ein wesentlicher Teil der dem Auftragsverarbeiter anvertrauten personenbezogenen Daten ist in verschlüsselten Backup-Kopien enthalten. Der Auftragsverarbeiter hat weder Zugang zum Inhalt dieser verschlüsselten Backup-Kopien noch die technischen Möglichkeiten festzustellen, welche Kategorien personenbezogener Daten und welche Kategorien betroffener Personen sie betreffen.
   7. Die Parteien gehen nicht davon aus, dass besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 der DSGVO oder die in Artikel 10 der DSGVO genannten Daten übermittelt werden. Der Verantwortliche erklärt, dass er solche Daten weder in die Software aufnehmen noch an den Auftragsverarbeiter übermitteln wird, ohne diesen zuvor zu benachrichtigen und zusätzliche Sicherheitsmaßnahmen mit ihm zu vereinbaren. Aufgrund der Art der Dienste und der Verschlüsselung der Backup-Kopien prüft der Auftragsverarbeiter den Umfang der vom Verantwortlichen einbezogenen Daten nicht und ist dazu auch nicht in der Lage.
   8. Die Häufigkeit der Datenübermittlungen (z. B. ob Daten einmalig oder kontinuierlich übermittelt werden) hängt von der Nutzung der Software und/oder der Dienste im Rahmen des Hauptvertrags ab.
   9. Art der Verarbeitung – Personenbezogene Daten werden gemäß dem Hauptvertrag (einschließlich dieses DPA) verarbeitet und können den folgenden Verarbeitungstätigkeiten unterliegen:
      1. Erstellung von Inhaltskopien zu Speicher- und Backup-Zwecken;
      2. Ermöglichung der Wiederherstellung solcher Kopien nach Ermessen des Verantwortlichen;
      3. soweit erforderlich, um den Zugang zu den Diensten und/oder der Software zu gewährleisten, in Übereinstimmung mit dem Hauptvertrag sowie gemäß den weiteren Weisungen des Verantwortlichen; und
      4. Offenlegung solcher Daten gemäß dem Hauptvertrag (einschließlich dieses DPA) und/oder soweit dies nach geltendem Recht erforderlich ist.
   10. Zweck der Datenübermittlung und Weiterverarbeitung – Der Auftragsverarbeiter verarbeitet personenbezogene Daten in dem Umfang, der erforderlich ist, um den Zugang zur Software und/oder den Diensten gemäß dem Hauptvertrag und gemäß den weiteren Weisungen des Verantwortlichen hinsichtlich der Nutzung der Software und/oder der Dienste zu gewährleisten.
   11. Zeitraum der Speicherung personenbezogener Daten – Der Auftragsverarbeiter verarbeitet personenbezogene Daten für die im Hauptvertrag festgelegte Dauer, sofern im Einzelfall keine andere Vereinbarung getroffen wurde. Unterauftragsverarbeiter verarbeiten personenbezogene Daten in dem Umfang, der erforderlich ist, um den Zugang zur Software und/oder den Diensten gemäß dem Hauptvertrag und gemäß weiteren Weisungen des Verantwortlichen zu gewährleisten.
   12. Die Weisungen des Verantwortlichen zur Verarbeitung personenbezogener Daten sind in Textform zu erteilen, auch per E-Mail an die im Hauptvertrag angegebene Kontaktadresse. Weisungen, die über die Standardfunktionalität der Software und/oder den im Hauptvertrag festgelegten Leistungsumfang hinausgehen, erfordern eine gesonderte Vereinbarung zwischen den Parteien und können gemäß den Tarifen des Auftragsverarbeiters kostenpflichtig durchgeführt werden. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer Weisung zu verweigern, wenn deren Umsetzung technisch unmöglich ist, dem Hauptvertrag widerspricht oder gegen geltendes Recht verstößt.
3. ERKLÄRUNGEN UND PFLICHTEN
   1. Der Auftragsverarbeiter erklärt, dass er über die Infrastruktur, die Ressourcen, die Erfahrung, das Fachwissen und qualifiziertes Personal verfügt, das in der Lage ist, seine Aufgaben in Übereinstimmung mit dem geltenden Recht zu erfüllen. Insbesondere erklärt der Auftragsverarbeiter, dass ihm die Vorschriften zur Verarbeitung und zum Schutz personenbezogener Daten gemäß der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, nachfolgend „DSGVO“) bekannt sind.
   2. Jede Partei hält die geltenden Datenschutzgesetze ein, insbesondere die DSGVO.
   3. Der Auftragsverarbeiter ist verpflichtet:
      1. die bereitgestellten personenbezogenen Daten ausschließlich gemäß dem Hauptvertrag und diesem DPA zu verarbeiten, es sei denn, eine gesetzliche Verpflichtung erfordert eine anderweitige Verarbeitung; liegt eine solche gesetzliche Verpflichtung vor, informiert der Auftragsverarbeiter den Verantwortlichen elektronisch – vor Beginn der Verarbeitung – über diese Verpflichtung, sofern das Gesetz die Offenlegung dieser Informationen nicht aus Gründen eines wichtigen öffentlichen Interesses untersagt;
      2. die bereitgestellten personenbezogenen Daten in Übereinstimmung mit der DSGVO und diesem DPA zu verarbeiten;
      3. sicherzustellen, dass zur Datenverarbeitung befugte Personen die Vertraulichkeit der Daten wahren;
      4. geeignete technische und organisatorische Maßnahmen umzusetzen, um ein Sicherheitsniveau zu gewährleisten, das dem Risiko einer Verletzung der Rechte oder Freiheiten natürlicher Personen entspricht, deren personenbezogene Daten verarbeitet werden;
      5. den Verantwortlichen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anfragen betroffener Personen hinsichtlich der Ausübung der in Kapitel III der DSGVO festgelegten Rechte nachzukommen. Die im vorstehenden Satz genannte Unterstützung wird in angemessener Frist und nach besten Kräften des Auftragsverarbeiters geleistet, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter vorliegenden Informationen. Der Verantwortliche soll zunächst die ihm im Rahmen der Software und/oder der Dienste zur Verfügung gestellten Werkzeuge nutzen;
      6. den Verantwortlichen zu unterstützen bei:
         1. der Gewährleistung der Sicherheit der Verarbeitung personenbezogener Daten durch Umsetzung geeigneter technischer und organisatorischer Maßnahmen;
         2. der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde sowie der Benachrichtigung betroffener Personen über solche Verletzungen;
         3. der Durchführung der Datenschutz-Folgenabschätzung gemäß Artikel 35 der DSGVO sowie der vorherigen Konsultationen mit der Aufsichtsbehörde gemäß Artikel 36 der DSGVO.
      7. den Verantwortlichen unverzüglich zu informieren, wenn der Auftragsverarbeiter der Ansicht ist, dass eine ihm erteilte Weisung gegen die DSGVO oder andere Vorschriften zum Schutz personenbezogener Daten verstößt; in diesem Fall ist der Auftragsverarbeiter berechtigt, die Ausführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.
   4. Die in Abschnitt 3.3 lit. e) und f) genannte Unterstützung wird in angemessenem Umfang geleistet, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter verfügbaren Informationen. Tätigkeiten, die über den Standardfunktionsumfang der Software und den im Hauptvertrag festgelegten Leistungsumfang hinausgehen, können gegen Vergütung gemäß den Preisen des Auftragsverarbeiters erbracht werden.
4. TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN
   1. Der Auftragsverarbeiter implementiert und wendet geeignete technische und organisatorische Maßnahmen an, um ein Sicherheitsniveau zu gewährleisten, das dem Risiko einer Verletzung der Rechte oder Freiheiten natürlicher Personen entspricht, deren personenbezogene Daten auf Grundlage und im Rahmen dieses DPA verarbeitet werden.
   2. Bei der Beurteilung, ob das oben genannte Sicherheitsniveau angemessen ist, berücksichtigt der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken, insbesondere jene, die aus der zufälligen oder rechtswidrigen Vernichtung, dem zufälligen Verlust, der Veränderung, der unbefugten Offenlegung oder dem unbefugten Zugang zu personenbezogenen Daten resultieren, die übermittelt, gespeichert oder anderweitig verarbeitet werden.
   3. Bei der Implementierung technischer und organisatorischer Maßnahmen ist der Auftragsverarbeiter verpflichtet:
      1. die Vorgaben des Verantwortlichen zu Sicherheitsmaßnahmen für die Verarbeitung personenbezogener Daten gemäß geltendem Recht einzuhalten – im Rahmen des Funktionsumfangs der Software und des im Hauptvertrag festgelegten Leistungsumfangs; die Umsetzung von Maßnahmen, die diesen Funktionsumfang überschreiten, erfordert eine gesonderte Vereinbarung in Textform (einschließlich E-Mail) zwischen den Parteien und kann gegen Vergütung gemäß den Preisen des Auftragsverarbeiters erfolgen;
      2. den aktuellen Stand der Technik, den Kontext, die Art, den Umfang und die Zwecke der Verarbeitung sowie das Risiko einer Verletzung der Rechte oder Freiheiten natürlicher Personen, deren personenbezogene Daten auf der Grundlage und im Rahmen dieses DPA verarbeitet werden, zu berücksichtigen.
5. UNTERAUFTRAGSVERARBEITUNG
   1. Der Verantwortliche stimmt zu, dass der Auftragsverarbeiter die Verarbeitung personenbezogener Daten in dem Umfang und für den Zweck, der mit dem Hauptvertrag vereinbar ist, weiteren Stellen übertragen darf.
   2. Der Auftragsverarbeiter stellt sicher, dass er ausschließlich Dienste von Auftragsverarbeitern nutzt, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so umgesetzt werden, dass die Verarbeitung den Anforderungen der DSGVO sowie den geltenden Datenschutzgesetzen entspricht.
   3. Entscheidet sich der Verantwortliche dafür, dass die Dienste ausschließlich unter Nutzung von Infrastruktur innerhalb der Europäischen Union/des Europäischen Wirtschaftsraums erbracht werden, werden nur Stellen eingesetzt, die für den jeweiligen Verantwortlichen als innerhalb der EU/des EWR ansässig ausgewiesen sind.
   4. Die Liste der Unterauftragsverarbeiter ist auf der Website des Auftragsverarbeiters verfügbar und unterteilt sich in IT-Infrastruktur-Unterauftragsverarbeiter und Dienstleistungs-Unterauftragsverarbeiter sowie nach dem jeweiligen Standort des Unterauftragsverarbeiters.
   5. Der Verantwortliche erkennt an, dass die Nutzung der Software und/oder Dienste erfordert, dass der Auftragsverarbeiter mit IT-Infrastruktur-Unterauftragsverarbeitern zusammenarbeitet, was ein wesentliches Element der Erfüllung des Hauptvertrags darstellt.
   6. Der Auftragsverarbeiter ist berechtigt, Änderungen an der Liste der IT-Infrastruktur-Unterauftragsverarbeiter vorzunehmen, die Dienste direkt im Zusammenhang mit dem Verantwortlichen erbringen, sofern der Verantwortliche vorab – mindestens per E-Mail – 30 Tage vor der Änderung unter Angabe des Umfangs und der Gründe informiert wird. Der Verantwortliche hat das Recht, innerhalb von 7 Tagen nach Erhalt der Mitteilung Widerspruch einzulegen; ein solcher Widerspruch muss begründet sein. Wird innerhalb dieser Frist kein Widerspruch eingelegt, gilt dies als stillschweigende Zustimmung des Verantwortlichen zur Änderung.
   7. Der Auftragsverarbeiter hat das Recht, Änderungen an der Liste der Dienstleistungs-Unterauftragsverarbeiter vorzunehmen, indem er die Liste auf seiner Website aktualisiert, mit einer Vorankündigungsfrist von mindestens 14 Tagen. Der Verantwortliche hat das Recht, innerhalb von 7 Tagen ab dem Datum der Veröffentlichung der Änderung oder dem Datum des Eingangs der Mitteilung – je nachdem, was zuerst eintritt – einen begründeten Widerspruch einzulegen. Wird innerhalb dieser Frist kein Widerspruch eingelegt, gilt dies als stillschweigende Zustimmung des Verantwortlichen zur Änderung.
   8. Legt der Verantwortliche einen begründeten Widerspruch gemäß Abschnitt 5.6 oder 5.7 ein, führen die Parteien Verhandlungen in gutem Glauben, um innerhalb von 30 Tagen nach Eingang des Widerspruchs beim Auftragsverarbeiter eine alternative Lösung zu vereinbaren. Einigen sich die Parteien innerhalb dieser Frist nicht auf eine Lösung, ist jede Partei berechtigt, den Hauptvertrag in Bezug auf die Dienste und/oder Software, auf die sich der Widerspruch bezieht, mit einer Frist von 30 Tagen zu kündigen, ohne dass eine der Parteien hierfür schadensersatzpflichtig wird. Der Verantwortliche hat dann Anspruch auf Rückerstattung der im Voraus gezahlten Entgelte für den nicht genutzten Zeitraum der Erbringung dieser Dienste.
   9. Der Auftragsverarbeiter haftet dem Verantwortlichen in vollem Umfang für die Einhaltung der vertraglichen Verpflichtungen gemäß der DSGVO, die zwischen dem Auftragsverarbeiter und den Unterauftragsverarbeitern eingegangen wurden. Erfüllt ein Unterauftragsverarbeiter seine Pflichten zum Schutz personenbezogener Daten nicht, haftet der Auftragsverarbeiter dem Verantwortlichen für diese Nichterfüllung der vertraglichen Verpflichtungen.
6. AUDITS
   1. Der Verantwortliche ist berechtigt, die Einhaltung dieses DPA, des Hauptvertrags und der geltenden Gesetze zur Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß den in diesem Abschnitt festgelegten Regelungen zu überprüfen, und zwar höchstens einmal innerhalb von zwölf (12) aufeinanderfolgenden Monaten. Insbesondere kann der Verantwortliche die Einhaltung und Angemessenheit der vom Auftragsverarbeiter implementierten technischen und organisatorischen Maßnahmen zur Sicherung der Verarbeitung personenbezogener Daten prüfen. Die im vorstehenden Satz genannte Häufigkeitsbeschränkung gilt nicht bei einem bestätigten Verstoß gegen den Schutz der vom Verantwortlichen anvertrauten personenbezogenen Daten oder wenn die Überprüfung auf Antrag der zuständigen Aufsichtsbehörde durchgeführt wird.
   2. Die in Abschnitt 6.1 genannte Überprüfung erfolgt in erster Linie dadurch, dass der Verantwortliche den Auftragsverarbeiter auffordert, die erforderlichen Erläuterungen innerhalb von 30 Tagen vorzulegen.
   3. Im Rahmen der oben genannten Anfrage ist der Verantwortliche berechtigt, vom Auftragsverarbeiter interne Dokumentation zum Schutz personenbezogener Daten anzufordern sowie die Vorlage relevanter Zertifikate oder Berichte und der Ergebnisse von Audits unabhängiger Dritter zu verlangen – sofern dies zulässig ist. Die Vorlage aktueller Zertifikate oder Berichte unabhängiger Prüfer, die den Umfang der Anfrage abdecken, gilt als ausreichend, um der Pflicht gemäß Artikel 28 Absatz 3 Buchstabe h DSGVO nachzukommen.
   4. Antwortet der Auftragsverarbeiter nicht innerhalb der festgelegten Frist, antwortet unvollständig oder belegen die eingereichten Unterlagen keine Einhaltung im Rahmen der Anfrage, ist der Verantwortliche berechtigt, ein direktes Audit gemäß den nachstehend festgelegten Regeln durchzuführen.
   5. Der Verantwortliche informiert den Auftragsverarbeiter über seine Absicht, das direkte Audit durchzuführen, mindestens 14 Tage vor dem geplanten Auditdatum. Ist der Auftragsverarbeiter der Auffassung, dass das Audit aus triftigen Gründen nicht am angegebenen Datum stattfinden kann, teilt er dies dem Verantwortlichen unter Angabe einer Begründung mit. In diesem Fall vereinbaren die Parteien gemeinsam einen alternativen Termin für das Audit.
   6. Ein direktes Audit darf nur vom Verantwortlichen selbst oder von einem unabhängigen externen Auditor durchgeführt werden, der weder ein Wettbewerber des Auftragsverarbeiters noch ein mit einem solchen Wettbewerber verbundenes Unternehmen ist und der vor Beginn des Audits eine Vertraulichkeitsvereinbarung mit dem Auftragsverarbeiter unter Bedingungen abschließt, die nicht weniger restriktiv sind als die für die Parteien geltenden Bedingungen. Der Auftragsverarbeiter hat das Recht, begründeten Einwand gegen den Auditor zu erheben; in diesem Fall benennt der Verantwortliche einen anderen Auditor.
   7. Ein direktes Audit kann vom Verantwortlichen oder von durch den Verantwortlichen beauftragten Dritten durchgeführt werden, ausschließlich an Werktagen zwischen 8:00 Uhr und 16:00 Uhr, für einen Zeitraum von höchstens drei (3) aufeinanderfolgenden Werktagen.
   8. Der Auftragsverarbeiter ist verpflichtet, mit den Auditoren zusammenzuarbeiten, insbesondere indem er ihnen Zugang zu Räumlichkeiten und Dokumenten gewährt, die personenbezogene Daten und Informationen über die Methoden der Verarbeitung personenbezogener Daten, die IKT-Infrastruktur und IT-Systeme enthalten, sowie zu Personen mit Kenntnissen der vom Auftragsverarbeiter durchgeführten Verarbeitungsvorgänge. Die im vorherigen Satz genannte Verpflichtung gilt nicht für: (a) personenbezogene Daten, Dokumente, Systeme und Umgebungen, die andere Kunden des Auftragsverarbeiters betreffen, einschließlich gemeinsam genutzter (mandantenfähiger) Umgebungen, soweit deren Offenlegung zur Preisgabe von Daten oder Informationen über diese Kunden führen würde; (b) Informationen, die Geschäftsgeheimnisse des Auftragsverarbeiters oder Dritter darstellen und nicht vom Auditumfang erfasst sind; (c) Einrichtungen und Infrastrukturen Dritter, einschließlich Rechenzentren von IT-Infrastruktur-Unterauftragsverarbeitern, zu denen der Auftragsverarbeiter weder Zugangsrechte noch die Befugnis besitzt, solchen Zugang zu gewähren – in diesem Fall stellt der Auftragsverarbeiter die ihm vorliegenden Zertifikate und Auditberichte für diese Einrichtungen zur Verfügung. Das Audit darf keine Penetrationstests oder andere aktive Sicherheitstests von Produktionsumgebungen umfassen, ohne die vorherige, gesonderte Zustimmung des Auftragsverarbeiters.
   9. Nach dem Audit erstellt ein Vertreter des Verantwortlichen einen Auditbericht, der von Vertretern beider Parteien unterzeichnet wird; der Auftragsverarbeiter hat das Recht, Anmerkungen und Vorbehalte in den Bericht aufzunehmen. Der Auftragsverarbeiter verpflichtet sich, innerhalb eines mit dem Verantwortlichen vereinbarten angemessenen Zeitrahmens die im Bericht enthaltenen sachgerechten Empfehlungen nach dem Audit umzusetzen, die auf die Behebung von Mängeln und die Verbesserung der Sicherheit der Verarbeitung personenbezogener Daten abzielen.
   10. Die Kosten des Audits trägt der Verantwortliche, einschließlich der Kosten für externe Auditoren. Der Auftragsverarbeiter unterstützt das Audit in jedem Zeitraum von zwölf (12) aufeinanderfolgenden Monaten bis zu sechzehn (16) Arbeitsstunden kostenlos. Unterstützung, die dieses Limit überschreitet, sowie die Unterstützung eines weiteren Audits im selben Zeitraum, wird gemäß den Tarifen des Auftragsverarbeiters kostenpflichtig erbracht. Die vorstehenden Sätze gelten nicht, wenn das Audit einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen DPA aufdeckt – in diesem Fall trägt der Auftragsverarbeiter die angemessenen Kosten des Audits.
7. ERKENNUNG VON DATENSCHUTZVERLETZUNGEN
   1. Der Auftragsverarbeiter ist verpflichtet, Verfahren zur Erkennung von Datenschutzverletzungen einzuführen, einzuhalten und geeignete Abhilfemaßnahmen umzusetzen.
   2. Stellt der Auftragsverarbeiter eine Verletzung personenbezogener Daten fest, die ihm vom Verantwortlichen anvertraut wurden, benachrichtigt er den Verantwortlichen unverzüglich und, sofern möglich, spätestens 48 Stunden nach Entdeckung der Verletzung.
   3. Soweit es nicht möglich ist, innerhalb der in Abschnitt 7.2 genannten Frist vollständige Informationen über die Verletzung bereitzustellen, übermittelt der Auftragsverarbeiter die Informationen stufenweise, sobald sie verfügbar sind, und zwar unverzüglich. Die Meldung der Verletzung sowie die vom Auftragsverarbeiter ergriffenen Maßnahmen zur Untersuchung oder Schadensbegrenzung stellen kein Schuldanerkenntnis des Auftragsverarbeiters dar.
   4. Der Auftragsverarbeiter ergreift unverzüglich alle angemessenen Maßnahmen, um die negativen Folgen der Verletzung zu minimieren und zu beheben.
   5. Der Auftragsverarbeiter ist verpflichtet, jede Verletzung der ihm anvertrauten personenbezogenen Daten zu dokumentieren, einschließlich der Umstände der Verletzung, ihrer Auswirkungen und der ergriffenen Korrekturmaßnahmen.
8. MÖGLICHE ÜBERMITTLUNG VON DATEN AN DRITTLÄNDER
   1. Personenbezogene Daten, die der Verantwortliche aus dem Gebiet der Europäischen Union/des Europäischen Wirtschaftsraums übermittelt, werden grundsätzlich ausschließlich innerhalb dieses Gebiets verarbeitet und nicht in Drittländer übermittelt.
   2. Der Verantwortliche hat das Recht, einen Speicherort außerhalb der Europäischen Union/des Europäischen Wirtschaftsraums für seine personenbezogenen Daten zu wählen – in diesem Fall erkennt der Verantwortliche an, dass diese Wahl einer Weisung zur Übermittlung personenbezogener Daten in ein Drittland gleichkommt.
   3. Der Auftragsverarbeiter stellt sicher, dass etwaige Übermittlungen personenbezogener Daten in Drittländer auf geeigneten Rechtsmechanismen beruhen (z. B. Standardvertragsklauseln oder Angemessenheitsbeschlüsse wie das Data Privacy Framework).
9. LAUFZEIT DES VERTRAGS UND HAFTUNGSBESTIMMUNGEN
   1. Dieser DPA wird für eine bestimmte Laufzeit geschlossen und endet mit der Beendigung des Hauptvertrags.
   2. Bei Beendigung des Hauptvertrags erlischt dieser DPA gleichzeitig mit ihm.
   3. Innerhalb von 30 Tagen nach Beendigung oder Ablauf des Hauptvertrags gibt der Auftragsverarbeiter – entsprechend der Wahl des Verantwortlichen, die spätestens zum Zeitpunkt der Beendigung oder des Ablaufs des Hauptvertrags mitgeteilt werden muss – alle personenbezogenen Daten an den Verantwortlichen zurück oder löscht sie. Wird innerhalb der genannten Frist keine Wahl mitgeteilt, gilt dies als Weisung zur Löschung der personenbezogenen Daten.
   4. Die Rückgabe personenbezogener Daten erfolgt über die in der Software bereitgestellte Exportfunktion. Die Rückgabe der Daten auf anderem Wege sowie die Gewährung des Zugangs zur Software ausschließlich zum Zweck des Datenabrufs nach Beendigung oder Ablauf des Hauptvertrags bedarf einer gesonderten Vereinbarung zwischen den Parteien und kann gemäß den Tarifen des Auftragsverarbeiters kostenpflichtig sein.
   5. Der Auftragsverarbeiter ist berechtigt, personenbezogene Daten in dem Umfang und für den Zeitraum weiter zu speichern, der gesetzlich vorgeschrieben ist. In diesem Fall beschränkt der Auftragsverarbeiter die Verarbeitung ausschließlich auf den sich aus diesen Vorschriften ergebenden Zweck und wendet dabei weiterhin die Bestimmungen dieses DPA an. Die Parteien vereinbaren, dass die Löschung personenbezogener Daten aus den Backup- und Archivkopien des Auftragsverarbeiters gemäß dem vom Auftragsverarbeiter für solche Kopien festgelegten Aufbewahrungs- und Überschreibungszyklus erfolgt, spätestens jedoch 30 Tage nach dem Datum der Löschung der Daten aus der Produktionsumgebung.
   6. Auf Anfrage des Verantwortlichen, die innerhalb von 30 Tagen nach dem Datum der Löschung der personenbezogenen Daten eingereicht wird, stellt der Auftragsverarbeiter eine Bestätigung dieser Löschung in Textform (einschließlich per E-Mail) bereit.
   7. Der Verantwortliche hat das Recht, diesen DPA ausschließlich aus wichtigem Grund mit sofortiger Wirkung zu kündigen, einschließlich eines Verstoßes des Auftragsverarbeiters oder Unterauftragsverarbeiters gegen die Bestimmungen der DSGVO und anderer zwingender gesetzlicher Vorschriften oder gegen die Bedingungen dieses DPA, insbesondere wenn:
      1. die zuständige Aufsichtsbehörde in einer rechtskräftigen Entscheidung feststellt, dass der Auftragsverarbeiter oder Unterauftragsverarbeiter gegen die Vorschriften zur Verarbeitung personenbezogener Daten verstößt;
      2. ein rechtskräftiges Urteil eines ordentlichen Gerichts feststellt, dass der Auftragsverarbeiter oder Unterauftragsverarbeiter die Vorschriften zur Verarbeitung personenbezogener Daten nicht einhält.
   8. Die Kündigung dieses DPA gilt in dem Umfang als Kündigung des Hauptvertrags, in dem dessen Erfüllung die Übermittlung personenbezogener Daten zur Verarbeitung erfordert.
   9. Verstößt der Auftragsverarbeiter schuldhaft gegen zwingende gesetzliche Vorschriften oder gegen die Bestimmungen dieses DPA und wird der Verantwortliche dadurch zur Zahlung von Schadensersatz oder eines Bußgelds verpflichtet, ist der Auftragsverarbeiter zur Erstattung dieser Aufwendungen verpflichtet – soweit dies dem Umfang entspricht, in dem der Auftragsverarbeiter gemäß Artikel 82 Absatz 5 DSGVO für den durch die Verarbeitung verursachten Schaden haftet. Die im vorherigen Satz genannte Verpflichtung entsteht unter folgenden Voraussetzungen: (a) Die Zahlungspflicht ergibt sich aus einer bestandskräftigen Entscheidung einer Aufsichtsbehörde oder einem rechtskräftigen Gerichtsurteil; (b) der Verantwortliche hat den Auftragsverarbeiter unverzüglich über die Einleitung des Verfahrens informiert, ihm die Teilnahme daran ermöglicht und seine Verfahrensposition mit ihm abgestimmt; (c) der Verantwortliche hat den Anspruch nicht anerkannt und keinen Vergleich geschlossen, ohne dass der Auftragsverarbeiter zuvor in Textform (einschließlich per E-Mail) zugestimmt hat. Der Auftragsverarbeiter haftet nicht, soweit die Zahlungspflicht auf Weisungen des Verantwortlichen, auf einem Verstoß des Verantwortlichen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die Bestimmungen des Hauptvertrags oder auf Daten beruht, die der Verantwortliche unter Verstoß gegen Abschnitt 2.7 in die Software eingegeben hat.
10. HAFTUNG UND SCHLUSSBESTIMMUNGEN
    1. Die Gesamthaftung jeder Partei für die Nichterfüllung oder nicht ordnungsgemäße Erfüllung dieses DPA – unabhängig von der Rechtsgrundlage des Anspruchs – unterliegt den Haftungsbeschränkungen des Hauptvertrags. Die Haftung aus diesem DPA und die Haftung aus dem Hauptvertrag unterliegen gemeinsam einer einheitlichen Gesamtobergrenze gemäß dem Hauptvertrag; geleistete Zahlungen aus diesem DPA werden auf diese Obergrenze angerechnet.
    2. Keine Partei haftet für mittelbare Schäden, entgangenen Gewinn, den Verlust erwarteter Einsparungen oder Reputationsschäden.
    3. Die in den Abschnitten 10.1 und 10.2 genannten Beschränkungen gelten nicht für vorsätzlich verursachte Schäden oder für Haftungen, die nach zwingenden gesetzlichen Vorschriften nicht ausgeschlossen oder begrenzt werden können. Diese Beschränkungen berühren nicht die Haftung der Parteien gegenüber betroffenen Personen und Aufsichtsbehörden gemäß Artikel 82 der DSGVO.
    4. Ist eine Bestimmung dieses DPA ganz oder teilweise unwirksam oder nicht durchsetzbar, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen, die weiterhin in vollem Umfang gültig und durchsetzbar bleiben.
    5. Änderungen dieses DPA bedürfen der gleichen oder einer höheren Form; andernfalls sind sie nichtig.
    6. Dieser DPA kann schriftlich oder in elektronischer Form mit qualifizierten elektronischen Signaturen geschlossen werden sowie durch die Annahme des Hauptvertrags durch den Verantwortlichen, sofern dieser die Bedingungen dieses DPA einbezieht.
    7. Dieser DPA unterliegt polnischem Recht. Alle Streitigkeiten, die sich aus oder im Zusammenhang mit diesem DPA ergeben, werden vor dem zuständigen ordentlichen Gericht am Sitz des Auftragsverarbeiters beigelegt, sofern der Hauptvertrag nichts anderes vorsieht.

Zurück zu den rechtlichen Hinweisen