Vereinbarung über die Verarbeitung personenbezogener Daten (DPA)

1.1. Diese Vereinbarung gilt für alle Verträge zwischen der Interdevelopment UAB (im Folgenden „Auftragnehmer“) und ihren Kunden (im Folgenden „Auftraggeber“), die einen Verweis auf diese Vereinbarung enthalten (im Folgenden „Hauptvertrag“), und ist integraler Bestandteil solcher Verträge.

1.2. Die Vereinbarung legt die Bedingungen fest, unter denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Der Auftraggeber ist Verantwortlicher und der Auftragnehmer Auftragsverarbeiter. Begriffe werden im Sinne der DSGVO und des Hauptvertrags verwendet.

1.3. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich des Vorliegens von Rechtsgrundlagen und der Information der betroffenen Personen.

1.4. Die Vereinbarung gilt für die Laufzeit des Hauptvertrags und bis zum Abschluss der Rückgabe und Löschung der Daten nach Abschnitt 8.

2.1. Die Erweiterung der Aufstellung der Kategorien betroffener Personen oder der Datenkategorien für einen bestimmten Auftraggeber (zum Beispiel im Zusammenhang mit der Einführung eines Kundenbindungsprogramms) erfolgt durch schriftliche Abrede der Parteien. Die damit verbundenen zusätzlichen Leistungen werden nach Absprache der Parteien vergütet.

3.1. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisungen des Auftraggebers. Weisungen sind der Hauptvertrag, diese Vereinbarung und Aufgaben, die in dem im Hauptvertrag vorgesehenen Verfahren gestellt werden. Der Auftragnehmer informiert den Auftraggeber, wenn eine Weisung seiner Auffassung nach gegen das Datenschutzrecht verstößt, und ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

3.2. Der Auftragnehmer stellt sicher, dass die Personen, denen er Zugang zu den Daten gewährt hat (seine Beschäftigten und Unterauftragsverarbeiter), die Vertraulichkeit wahren.

3.3. Der Auftragnehmer trifft geeignete technische und organisatorische Sicherheitsmaßnahmen gemäß Art. 32 DSGVO, darunter Zugriffsverwaltung, Datensicherung und Schutz der Kommunikationskanäle. Eine Beschreibung der angewandten Maßnahmen wird dem Auftraggeber auf Anfrage zur Verfügung gestellt.

3.4. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragnehmer den Auftraggeber dabei, Anträgen betroffener Personen nachzukommen und die in Art. 32 bis 36 DSGVO genannten Pflichten zu erfüllen. Anträge, die unmittelbar beim Auftragnehmer eingehen, leitet er ohne Verzögerung an den Auftraggeber weiter. Unterstützung, die über den üblichen technischen Support hinausgeht (zum Beispiel die Mitwirkung an einer Datenschutz-Folgenabschätzung), wird zu einem vereinbarten Satz vergütet.

3.5. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten (einschließlich der unbefugten Offenlegung, des Verlusts, der Veränderung oder der Vernichtung dieser Daten oder des unbefugten Zugangs zu ihnen) unverzüglich, spätestens jedoch 48 Stunden nach ihrer Entdeckung. Die Meldung enthält die zu diesem Zeitpunkt verfügbaren Informationen über die Art der Verletzung, ihre wahrscheinlichen Folgen und die ergriffenen Maßnahmen sowie eine Kontaktperson des Auftragnehmers.

4.1. Als Unterauftragsverarbeiter gilt eine Person, die der Auftragnehmer mit der Verarbeitung personenbezogener Daten des Auftraggebers beauftragt, einschließlich ihres Hostings, ihrer Speicherung oder der Betreuung von Systemen mit Zugriff auf diese Daten. Anbieter von Hilfsdienstleistungen ohne Zugriff auf personenbezogene Daten des Auftraggebers (Kommunikations-, Buchhaltungs-, Rechts- und sonstige Dienstleistungen) sind keine Unterauftragsverarbeiter.

4.2. Der Auftraggeber erteilt eine allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern durch den Auftragnehmer. Die aktuelle Liste der Unterauftragsverarbeiter wird auf der Seite https://interdevelopment.eu/de/legal/subprocessors/ veröffentlicht.

4.3. Über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragnehmer den Auftraggeber vorab an die im Hauptvertrag angegebene E-Mail-Adresse. Der Auftraggeber ist berechtigt, innerhalb von 14 Kalendertagen aus Gründen, die mit dem Datenschutz zusammenhängen, begründeten Einspruch zu erheben. Erzielen die Parteien keine Einigung, ist der Auftraggeber berechtigt, den Hauptvertrag ohne Einhaltung der im Hauptvertrag vorgesehenen Kündigungsfrist zu kündigen.

4.4. Der Auftragnehmer erlegt den Unterauftragsverarbeitern Datenschutzpflichten auf, die den Anforderungen des Art. 28 DSGVO entsprechen, und haftet gegenüber dem Auftraggeber für die Erfüllung dieser Pflichten.

5.1. Die personenbezogenen Daten werden in Rechenzentren im Gebiet der EU/des EWR verarbeitet und gespeichert, die nach der Norm ISO/IEC 27001 zertifiziert sind.

5.2. Eine Übermittlung von Daten außerhalb der EU/des EWR ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers und unter Einhaltung der Anforderungen des Kapitels V DSGVO zulässig.

6.1. Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, in erster Linie in Form von Dokumenten, einschließlich Berichten unabhängiger Prüfer und Zertifikaten der Unterauftragsverarbeiter.

6.2. Reichen die Dokumente nicht aus, ist der Auftraggeber oder ein von ihm beauftragter Prüfer berechtigt, höchstens einmal pro Kalenderjahr eine Überprüfung durchzuführen, nach Ankündigung mindestens 30 Kalendertage im Voraus, während der Geschäftszeiten und ohne Störung des Betriebsablaufs des Auftragnehmers. Der Prüfer unterzeichnet eine Vertraulichkeitsvereinbarung und darf kein Wettbewerber des Auftragnehmers sein. Die Überprüfung berührt keine Daten anderer Kunden des Auftragnehmers.

6.3. Die Kosten der Überprüfung trägt der Auftraggeber.

7.1. Der Auftragnehmer ist berechtigt, diese Vereinbarung zu ändern, indem er eine neue Version auf seiner Website veröffentlicht und den Auftraggeber mindestens 30 Kalendertage vor dem Inkrafttreten der Änderungen per E-Mail informiert.

7.2. Die Änderungen dürfen das Schutzniveau für personenbezogene Daten ohne Zustimmung des Auftraggebers nicht senken. Ist der Auftraggeber mit den Änderungen nicht einverstanden, ist er berechtigt, den Hauptvertrag vor dem Tag ihres Inkrafttretens ohne Einhaltung der im Hauptvertrag vorgesehenen Kündigungsfrist zu kündigen.

7.3. Frühere Versionen der Vereinbarung bleiben auf der Website des Auftragnehmers verfügbar.

8.1. Nach Beendigung des Hauptvertrags gibt der Auftragnehmer die Daten in dem im Hauptvertrag vorgesehenen Verfahren zurück und löscht anschließend deren Kopien, sofern ihre Speicherung nicht gesetzlich vorgeschrieben ist. Kopien in Sicherungsarchiven werden im Rahmen ihrer planmäßigen Rotation gelöscht, spätestens jedoch nach 90 Tagen.

9.1. Die Haftung der Parteien aus dieser Vereinbarung richtet sich nach den Bestimmungen des Hauptvertrags, einschließlich der Haftungsbeschränkung.

9.2. Bei Widersprüchen zwischen dem Hauptvertrag und dieser Vereinbarung in Fragen des Schutzes personenbezogener Daten hat diese Vereinbarung Vorrang. Auf die Vereinbarung ist das auf den Hauptvertrag anwendbare Recht anzuwenden.

9.3. Kontakt für Fragen des Datenschutzes: info@interdevelopment.eu.

9.4. Diese Vereinbarung wird in mehreren Sprachen veröffentlicht. Bei Abweichungen zwischen den Sprachfassungen hat die litauische Sprachfassung Vorrang.