Auftragsverarbeitungsvertrag (AVV)
Parteien. Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (der „AVV”) wird zwischen dem in den AGB benannten Kunden (der „Verantwortliche”) und der CashXChain UG (haftungsbeschränkt), Georg-Bichler-Str. 9, 83620 Feldkirchen-Westerham, Deutschland (der „Auftragsverarbeiter”) geschlossen. Er steht nicht für sich: Er ist nach Ziffer 3.1 der AGB integraler Bestandteil der AGB und gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
1. Begriffsbestimmungen
Begriffe wie „personenbezogene Daten”, „Verarbeitung”, „Verantwortlicher”, „Auftragsverarbeiter”, „Unterauftragsverarbeiter”, „betroffene Person” und „Verletzung des Schutzes personenbezogener Daten” haben die in der DSGVO festgelegten Bedeutungen.
2. Gegenstand und Dauer
Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt. Die Verarbeitung dauert für die Laufzeit der AGB an.
3. Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf internationale Datenübermittlungen, es sei denn, er ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen mit, sofern das Recht dies nicht verbietet. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung gegen das Datenschutzrecht verstößt.
4. Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
5. Sicherheit
Der Auftragsverarbeiter setzt die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen um, wie in Anlage 2 (unsere Sicherheitserklärung) beschrieben.
6. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in unserer Liste der Unterauftragsverarbeiter (Anlage 3) aufgeführten Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen und gibt dem Verantwortlichen die Möglichkeit zum Widerspruch. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleibt für seine Unterauftragsverarbeiter verantwortlich.
7. Rechte betroffener Personen
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen.
8. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß den Artikeln 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation) unter Berücksichtigung der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.
9. Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die personenbezogenen Daten des Verantwortlichen betrifft, und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner eigenen Pflichten billigerweise benötigt.
10. Löschung oder Rückgabe
Nach Beendigung der Dienste löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, es sei denn, das Recht schreibt eine Speicherung vor.
11. Prüfungen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 DSGVO zur Verfügung und ermöglicht und trägt zu Prüfungen, einschließlich Inspektionen, bei, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, vorbehaltlich angemessener Vertraulichkeits- und Sicherheitsbedingungen.
12. Internationale Datenübermittlungen
Sofern die Verarbeitung eine Übermittlung personenbezogener Daten außerhalb des EWR in ein Land ohne Angemessenheitsbeschluss umfasst, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission zusammen mit etwaigen weiteren erforderlichen Maßnahmen.
13. Haftung
Die Haftung nach diesem AVV richtet sich nach Artikel 82 DSGVO und den Haftungsbestimmungen der AGB.
14. Anwendbares Recht, Gerichtsstand und Schiedsverfahren
Anwendbares Recht und Gerichtsstand ergeben sich aus der Seite Vertragspartner & anwendbares Recht und werden hier nicht wiederholt. Zusammengefasst: Es gilt Schweizer materielles Recht; für Kunden in der EU, dem EWR oder der EFTA ist das Handelsgericht des Kantons Zürich zuständig, im Übrigen gilt ein Schiedsverfahren nach der Schweizerischen Schiedsordnung mit Sitz in Zürich.
Anlage 1 — Einzelheiten der Verarbeitung. Gegenstand: Bereitstellung der CashXChain-Plattform. Art und Zweck: Hosting, Übermittlung und Verarbeitung von Transaktions- und Kontodaten zur Erbringung des Dienstes. Arten personenbezogener Daten: Kennungen von Unternehmensvertretern und autorisierten Nutzern, Kontaktdaten, Transaktionsdaten und Zahlungsempfängerdaten. Kategorien betroffener Personen: die autorisierten Nutzer des Verantwortlichen und die von ihm bezahlten Zahlungsempfänger. Dauer: die Laufzeit der AGB.
Anlage 2 — Technische und organisatorische Maßnahmen. Wie in unserer Sicherheitserklärung festgelegt, in der jeweils aktualisierten Fassung.
Anlage 3 — Unterauftragsverarbeiter. Wie in unserer Liste der Unterauftragsverarbeiter festgelegt, in der jeweils aktualisierten Fassung.