Auftragsverarbeitungsvertrag

Parteien

• Verantwortlicher: [NAME DER KUNDENORGANISATION], mit Sitz in [ORT], Handelskammernummer [HANDELSKAMMERNUMMER] („Verantwortlicher“).
• Auftragsverarbeiter: AGENTICA mit Sitz in Den Haag (Langeland 18, 2548 WE), Handelskammernummer 94577056, USt-IdNr. NL005093484B44 („Auftragsverarbeiter“).

Artikel 1: Begriffsbestimmungen

• DSGVO: Datenschutz-Grundverordnung.
• Personenbezogene Daten: alle Informationen über eine identifizierte oder identifizierbare natürliche Person, die im Rahmen dieses Vertrags verarbeitet werden.
• Verarbeitung: jeder Vorgang im Zusammenhang mit personenbezogenen Daten, wie Erheben, Speichern, Abfragen und Löschen.
• Unterauftragsverarbeiter: ein Dritter, den der Auftragsverarbeiter einschaltet, um (einen Teil) der Verarbeitung durchzuführen.

Artikel 2: Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich für den Verantwortlichen und auf dessen Weisung, im Rahmen der Nutzung von TelMaar. Dieser Vertrag läuft gleich mit dem Hauptvertrag und endet von Rechts wegen mit dessen Beendigung, unbeschadet der Bestimmungen, die ihrer Art nach auch nach Beendigung fortgelten (darunter Artikel 10 über Rückgabe und Löschung).

Artikel 3: Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Speichern, Verwalten und Verarbeiten personenbezogener Daten der Geschäftspartner (Kunden, Lieferanten und deren Ansprechpartner) des Verantwortlichen zum Zweck der Finanzbuchhaltung, der Fakturierung und der Pflege der Geschäftsbeziehung, wie in der Datenschutzerklärung des Verantwortlichen näher beschrieben. Die Kategorien betroffener Personen und personenbezogener Daten entsprechen den Artikeln 2 und 4 jener Datenschutzerklärung.

Artikel 4: Pflichten des Auftragsverarbeiters

• Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage schriftlicher Weisungen des Verantwortlichen, sofern nicht eine gesetzliche Verpflichtung etwas anderes verlangt.
• Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
• Der Auftragsverarbeiter leistet angemessene Unterstützung bei Anträgen betroffener Personen auf Auskunft, Berichtigung oder Löschung, innerhalb der Grenzen der gesetzlichen Aufbewahrungspflicht.
• Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen geltendes Recht verstößt.
• Der Auftragsverarbeiter verwendet personenbezogene Daten nicht zum Trainieren oder Verbessern eigener oder fremder Modelle und verpflichtet die von ihm eingeschalteten Unterauftragsverarbeiter in gleicher Weise.

Artikel 5: Sicherheitsmaßnahmen

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, darunter:

• Verschlüsselung der Daten bei der Übertragung mit TLS 1.3.
• Verschlüsselung der Daten im Ruhezustand mit AES-256, mit zusätzlicher Envelope-Verschlüsselung (ein Data-Encryption-Key je Organisation, verschlüsselt mit einem Master Key) für Zugangsdaten von Zahlungsdienstleistern und andere besonders sensible Felder.
• Rollenbasierte Zugriffssteuerung (RBAC) und Sicherheit auf Zeilenebene (Row Level Security) in der Datenbank, sodass Daten einer Organisation für eine andere niemals zugänglich sind.
• Verpflichtende Zwei-Faktor-Authentifizierung (2FA) für Nutzer mit Schreibzugriff auf Finanzdaten.
• Ein ausschließlich anfügbares Auditprotokoll der Änderungen an Finanzdaten, einschließlich Zeitpunkt, IP-Adresse und Nutzer.
• Regelmäßige, verschlüsselte Backups mit einer Aufbewahrungsdauer von mindestens 7 und höchstens 30 Tagen, sodass nach einer Löschung gemäß Artikel 10 keine Kopie zurückbleibt.

Artikel 6: Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die folgenden Unterauftragsverarbeiter einzusetzen: Supabase (Datenbank, Authentifizierung, Speicher), Vercel (Hosting), Resend (E-Mail), Stripe und Mollie (Zahlungsabwicklung), Cloudflare (Sicherheit und Content-Auslieferung), Anthropic (Verarbeitung der Fragen und Dokumente, die der Verantwortliche über den Assistenten übermittelt), Sentry (Fehlermeldungen aus der Anwendung, ohne personenbezogene Daten), Expo, Google und Apple (Zustellung von Benachrichtigungen auf das Telefon), Google ML Kit (Texterkennung auf dem Gerät beim Fotografieren eines Belegs), Mapbox (Kartenanzeige zu einer Adresse), overheid.io (Abfragen im Handelsregister) und postcode.tech (Adresse anhand der Postleitzahl). Der Assistent steht nur Nutzern mit einer Finanzrolle zur Verfügung und verarbeitet ausschließlich, was der Nutzer selbst übermittelt; übermittelte Daten werden nicht zum Training von Modellen verwendet. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vergleichbare Pflichten wie in dieser Vereinbarung auf und informiert den Verantwortlichen über jede Änderung dieser Liste, mit der Möglichkeit zum Widerspruch.

Artikel 7: Übermittlung außerhalb des EWR

Die Verarbeitung findet grundsätzlich innerhalb des Europäischen Wirtschaftsraums statt. Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des EWR verarbeitet, geschieht dies ausschließlich auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder der Standardvertragsklauseln (SCC) der Europäischen Kommission, ergänzt um angemessene zusätzliche Maßnahmen wie die Verschlüsselung der Daten bei der Übertragung und im Ruhezustand. Auf Anfrage gewährt der Auftragsverarbeiter dem Verantwortlichen Einblick in die jeweils geltende Übermittlungsgrundlage je Unterauftragsverarbeiter.

Artikel 8: Datenschutzverletzungen und Meldefrist

Der Auftragsverarbeiter meldet dem Verantwortlichen eine festgestellte Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung und spätestens innerhalb von 48 Stunden nach Entdeckung, damit dieser seiner eigenen Meldepflicht (innerhalb von 72 Stunden) gegenüber der niederländischen Datenschutzbehörde rechtzeitig nachkommen kann. Die Meldung umfasst mindestens die Art der Verletzung, die betroffenen Kategorien und die Zahl der betroffenen Personen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

Artikel 9: Audits

Der Verantwortliche hat das Recht, nach vorheriger schriftlicher Ankündigung mit einer angemessenen Frist von mindestens vier Wochen Audits zur Einhaltung dieses Vertrags durchführen zu lassen oder sich anhand eines vom Auftragsverarbeiter bereitgestellten Berichts eines unabhängigen Dritten informieren zu lassen. Die Kosten eines Audits durch den Verantwortlichen trägt der Verantwortliche, sofern keine Mängel festgestellt werden.

Artikel 10: Rückgabe und Löschung nach Beendigung

Bei Beendigung des Hauptvertrags stellt der Auftragsverarbeiter auf Wunsch des Verantwortlichen alle personenbezogenen Daten in einem gängigen Exportformat bereit und löscht anschließend alle personenbezogenen Daten, mit Ausnahme der Daten, die aufgrund einer gesetzlichen Aufbewahrungspflicht (darunter die steuerliche Aufbewahrungspflicht von sieben Jahren) aufbewahrt werden müssen. Die Löschung erfolgt innerhalb von 30 Tagen nach dem Ersuchen.

Artikel 11: Haftung

Die Haftung der Parteien nach diesem Vertrag richtet sich nach dem Hauptvertrag zwischen den Parteien, nämlich Artikel 11 der Allgemeinen Geschäftsbedingungen.

Artikel 12: Anwendbares Recht

Auf diesen Vertrag ist niederländisches Recht anwendbar. Streitigkeiten werden dem zuständigen Gericht im Bezirk Den Haag vorgelegt, sofern zwingendes Recht nichts anderes vorschreibt.

Artikel 13: Anhang für Verantwortliche in den Vereinigten Arabischen Emiraten

Dieser Artikel gilt nur, wenn der Verantwortliche in den Vereinigten Arabischen Emiraten ansässig ist. Soweit er von den vorstehenden Artikeln abweicht, geht dieser Artikel vor.

Anwendbarer Rahmen. Für die Verarbeitung gilt das Föderale Dekretgesetz Nr. 45 von 2021 zum Schutz personenbezogener Daten (PDPL). Soweit dieser Vertrag auf die DSGVO verweist, gelten für den Verantwortlichen die entsprechenden Bestimmungen der PDPL.

Übermittlung. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten auf Servern in der Europäischen Union. Der Verantwortliche weist diese Übermittlung an; sie ist für die Erfüllung des Vertrags erforderlich, und das Zielgebiet bietet ein Schutzniveau, das dem der PDPL mindestens gleichwertig ist.

Datenschutzverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, damit dieser seine Meldepflichten gegenüber dem UAE Data Office und gegenüber betroffenen Personen erfüllen kann.

Rechte betroffener Personen. Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch nach der PDPL.

Aufbewahrungsfrist. Abweichend von Artikel 10 werden Steuerunterlagen so lange aufbewahrt, wie das Recht der VAE es vorschreibt: für die Mehrwertsteuer fünf Jahre nach Ende des Steuerzeitraums und für Unterlagen zu Immobilien fünfzehn Jahre.

Anwendbares Recht. Abweichend von Artikel 12 werden Streitigkeiten aus diesem Anhang dem zuständigen Gericht in Dubai vorgelegt; auf diese Streitigkeiten ist das Recht der Vereinigten Arabischen Emirate anwendbar.

Unterzeichnung

So vereinbart und von beiden Parteien unterzeichnet: