Auftragsverarbeitungsvertrag
Dieser Auftragsverarbeitungsvertrag („AVV“ oder „DPA“) ist Bestandteil der Nutzungsbedingungen zwischen Marko Omelyash VARSOFIA („Auftragsverarbeiter“, „wir“) und der Kundenorganisation („Verantwortlicher“, „Sie“) und gilt immer dann, wenn wir personenbezogene Daten in Ihrem Auftrag im Zusammenhang mit dem Dienst verarbeiten. Er wird gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO) geschlossen und ergänzt die Datenschutzerklärung.
1. Rollen der Parteien
Der Verantwortliche ist Verantwortlicher aller in den Kundeninhalten enthaltenen personenbezogenen Daten (einschließlich Daten von Endnutzern / Unterzeichnern). Der Auftragsverarbeiter ist der Auftragsverarbeiter, der diese personenbezogenen Daten im Auftrag des Verantwortlichen auf dessen dokumentierte Weisungen ausschließlich zum Zweck der Bereitstellung des Dienstes verarbeitet. Jede Partei ist eigenverantwortlich für ihre eigenen Verantwortlichenpflichten gemäß DSGVO zuständig.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand: Bereitstellung des Dienstes. Dauer: für die Laufzeit der Vereinbarung und einen vereinbarten Export-/Löschzeitraum danach. Art und Zweck: Hosting, Übermittlung, Speicherung und Verarbeitung personenbezogener Daten, die zur Bereitstellung von elektronischen Signatur-Workflows erforderlich sind, einschließlich Unterzeichnung, Audit, Benachrichtigung und Speicherung abgeschlossener Dokumente.
3. Kategorien betroffener Personen und personenbezogener Daten
Betroffene Personen: Nutzer, Administratoren, Unterzeichner und sonstige in den Kundeninhalten genannte Personen des Verantwortlichen. Personenbezogene Daten: Identifikations- und Kontaktdaten (Name, E-Mail, Telefon, IP-Adresse, User-Agent), die Inhalte der vom Verantwortlichen hochgeladenen Dokumente, Signaturnachweise und Audit-Trail-Einträge. Der Verantwortliche ist dafür verantwortlich, keine besonderen Datenkategorien (Art. 9 DSGVO) oder Daten von Kindern hochzuladen, sofern keine geeignete Rechtsgrundlage und zusätzliche Schutzmaßnahmen vorliegen.
4. Verarbeitung auf dokumentierte Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisungen des Verantwortlichen, einschließlich für Übermittlungen personenbezogener Daten in ein Drittland, sofern er nicht aufgrund des Rechts der Union oder eines Mitgliedstaats, dem er unterliegt, anderweitig verpflichtet ist. Die Weisungen des Verantwortlichen sind in der Vereinbarung (diesen Bedingungen, der Datenschutzerklärung und diesem AVV), in der Konfiguration der Organisation des Verantwortlichen im Dienst sowie in jeder dokumentierten weiteren schriftlichen Anweisung des Verantwortlichen festgelegt.
5. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass der Zugriff auf das Personal beschränkt ist, das ihn zur Erfüllung seiner Aufgaben benötigt.
6. Sicherheitsmaßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen um, einschließlich Verschlüsselung bei der Übertragung und im Ruhezustand, modernem Passwort-Hashing, Unterstützung für Mehr-Faktor-Authentifizierung, rollenbasierter Zugriffskontrolle, einem nur-anhängenden Audit-Log mit Hash-Ketten-Integrität, Perimeterschutz (TLS-Terminierung, DDoS-Abwehr, WAF) sowie getesteten Sicherungs- und Wiederherstellungsverfahren. Die detaillierten Maßnahmen sind in der Datenschutzerklärung beschrieben und können von Zeit zu Zeit aktualisiert werden, sofern das Schutzniveau nicht gesenkt wird.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter zur Unterstützung bei der Bereitstellung des Dienstes einzusetzen. Die aktuelle Liste der Unterauftragsverarbeiter wird online geführt und ist durch Verweis Teil dieses AVV. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen (per E-Mail und/oder Banner im Produkt) mindestens 30 Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen Gelegenheit, aus berechtigten Gründen Widerspruch zu erheben. Wenn der Verantwortliche aus berechtigten Gründen widerspricht und die Parteien sich innerhalb weiterer 30 Tage nicht einigen können, kann der Verantwortliche den betroffenen Teil des Dienstes beenden. Der Auftragsverarbeiter bleibt dem Verantwortlichen für die Erfüllung der Pflichten eines Unterauftragsverarbeiters voll verantwortlich. Die aktuelle Liste ist unter sign.yt/subprocessors veröffentlicht.
8. Internationale Übermittlungen
Sofern personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums übermittelt werden, stützt sich der Auftragsverarbeiter auf die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) und auf ergänzende technische und organisatorische Maßnahmen im Einklang mit dem Schrems-II-Urteil. Sofern der Verantwortliche Funktionen oder Anbieter wählt, die Übermittlungen umfassen (z. B. bestimmte KI-Anbieter), bestätigt und veranlasst der Verantwortliche solche Übermittlungen.
9. Unterstützung bei Betroffenenrechten
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflicht des Verantwortlichen, auf Anfragen betroffener Personen zur Wahrnehmung ihrer Rechte gemäß Art. 15-22 DSGVO zu reagieren, insbesondere durch Bereitstellung produktinterner Werkzeuge zum Datenexport, zur Löschung und zum Abruf des Audit-Trails.
10. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Verantwortlichen betrifft, und stellt die ihm vernünftigerweise verfügbaren Informationen bereit, damit der Verantwortliche seinen eigenen Pflichten gemäß Art. 33 und 34 DSGVO nachkommen kann.
11. Audits
Der Auftragsverarbeiter stellt dem Verantwortlichen auf angemessenes schriftliches Ersuchen und unter Wahrung der Vertraulichkeit die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung. Über solche Informationsbereitstellung hinausgehende Audits beschränken sich auf (a) bereits dem Auftragsverarbeiter vorliegende Auditorenberichte (z. B. Berichte unabhängiger Dritter, sofern vorhanden) und (b) ein Vor-Ort-Audit pro Jahr mit einer Vorlaufzeit von mindestens 30 Tagen durch einen einvernehmlich zu bestimmenden Auditor und auf Kosten des Verantwortlichen, soweit dies durch eine glaubhafte Compliance-Befürchtung sachlich gerechtfertigt ist.
12. Rückgabe und Löschung von Daten
Bei Beendigung der Vereinbarung löscht der Auftragsverarbeiter die Kundeninhalte aus den aktiven Systemen innerhalb der in den Nutzungsbedingungen festgelegten Fristen (Exportfenster gefolgt von Löschung). Sicherungen, die Kundeninhalte enthalten, werden im normalen Verlauf entsprechend der rollierenden Sicherungs-Aufbewahrungsfrist überschrieben. Der Auftragsverarbeiter kann personenbezogene Daten aufbewahren, soweit dies nach geltendem Recht erforderlich ist (z. B. Buchhaltungsunterlagen).
13. Haftung
Die Gesamthaftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den in den Nutzungsbedingungen festgelegten Haftungsbeschränkungen.
14. Anwendbares Recht
Dieser AVV unterliegt polnischem Recht und ist im Einklang mit den Nutzungsbedingungen auszulegen. Im Konflikt zwischen diesem AVV und den Nutzungsbedingungen in Bezug auf die Verarbeitung personenbezogener Daten geht dieser AVV vor.
15. Kontakt
Bei allen Fragen zu diesem AVV wenden Sie sich bitte an support@sign.yt.