Entwurf: Dieser Text wurde noch nicht rechtlich geprüft.

Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag gehört zum Vertrag über LTSD Desk. Der Kunde ist Verantwortlicher. Angelista Enterprise B.V. ist Auftragsverarbeiter.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur, um LTSD Desk zu erbringen, solange der Vertrag läuft.

2. Art, Zweck und Daten

Lieferantenerklärungen über den Präferenzursprung (Durchführungsverordnung (EU) 2015/2447, Anhänge 22-15 und 22-16) anfordern, unterzeichnen lassen und aufbewahren.

• E-Mail-Adresse des Nutzers (Anmeldung)
• Name und E-Mail-Adresse der Exporteure
• Name, E-Mail-Adresse und Sprache der Lieferanten sowie die gelieferten Produkte
• Inhalt der Erklärung: Name und Stellung des Unterzeichners, Firma und Anschrift, Ort, Zeitpunkt und IP-Adresse der Unterzeichnung

Betroffene: Beschäftigte, Kunden, Mieter oder Geschäftspartner des Kunden, soweit sie in seinen Dateien stehen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die bestimmungsgemäße Nutzung des Dienstes gilt als Weisung.

4. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Der Auftragsverarbeiter trifft geeignete Maßnahmen (Art. 32 DSGVO): verschlüsselte Verbindungen (HTTPS), Zugang nur mit Anmeldung, Server im EWR, beschränkter Administratorzugang und Backups.

6. Unterauftragsverarbeiter

Der Kunde genehmigt allgemein diese Unterauftragsverarbeiter:

• OVHcloud SAS, Roubaix, Frankreich (Hosting von Server und Datenbank)
• Heinlein Hosting GmbH (mailbox.org), Berlin, Deutschland (Versand und Empfang von E-Mails)
• Mollie B.V., Amsterdam, Niederlande (Zahlungen)

Einen neuen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter 30 Tage vorher an. Der Kunde kann widersprechen und dann kündigen.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener und bei den Pflichten aus Art. 32 bis 36 DSGVO.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet eine Verletzung unverzüglich, spätestens 48 Stunden nach Kenntnis, an den Kunden (Art. 33 DSGVO).

9. Ende

Nach Vertragsende kann der Kunde die Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter sie, auch aus Backups innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht.

10. Kontrollen

Der Auftragsverarbeiter stellt alle nötigen Informationen zum Nachweis bereit und ermöglicht angemessene Überprüfungen.

11. Übermittlung

Es werden keine Daten in Länder außerhalb des EWR übermittelt.