Auftragsverarbeitungsvertrag (DPA)

Parteien. Dieser Auftragsverarbeitungsvertrag („DPA”) wird zwischen dem im Vertrag benannten Kunden (der „Verantwortliche”) und der CashXChain UG (haftungsbeschränkt), Georg-Bichler-Str. 9, 83620 Feldkirchen-Westerham, Deutschland (der „Auftragsverarbeiter”) geschlossen. Er ist Bestandteil des Vertrags und gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen gemäß Artikel 28 DSGVO  verarbeitet.

1. Begriffsbestimmungen. Begriffe wie „personenbezogene Daten”, „Verarbeitung”, „Verantwortlicher”, „Auftragsverarbeiter”, „Unterauftragsverarbeiter”, „betroffene Person” und „Verletzung des Schutzes personenbezogener Daten” haben die in der DSGVO festgelegten Bedeutungen.

2. Gegenstand und Dauer. Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt. Die Verarbeitung dauert für die Laufzeit des Vertrags an.

3. Weisungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf internationale Datenübermittlungen, es sei denn, er ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen mit, sofern das Recht dies nicht verbietet. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung gegen das Datenschutzrecht verstößt.

4. Vertraulichkeit. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben.

5. Sicherheit. Der Auftragsverarbeiter setzt die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen um, wie in Anlage 2 (unsere Sicherheitserklärung) beschrieben.

6. Unterauftragsverarbeiter. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in unserer Liste der Unterauftragsverarbeiter (Anlage 3) aufgeführten Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen und gibt dem Verantwortlichen die Möglichkeit zum Widerspruch. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses DPA gleichwertig sind, und bleibt für seine Unterauftragsverarbeiter verantwortlich.

7. Rechte betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen.

8. Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß den Artikeln 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation) unter Berücksichtigung der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

9. Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die personenbezogenen Daten des Verantwortlichen betrifft, und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner eigenen Pflichten billigerweise benötigt.

10. Löschung oder Rückgabe. Nach Beendigung der Dienste löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, es sei denn, das Recht schreibt eine Speicherung vor.

11. Prüfungen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 DSGVO zur Verfügung und ermöglicht und trägt zu Prüfungen, einschließlich Inspektionen, bei, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, vorbehaltlich angemessener Vertraulichkeits- und Sicherheitsbedingungen.

12. Internationale Datenübermittlungen. Sofern die Verarbeitung eine Übermittlung personenbezogener Daten außerhalb des EWR in ein Land ohne Angemessenheitsbeschluss umfasst, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission zusammen mit etwaigen weiteren erforderlichen Maßnahmen.

13. Haftung. Die Haftung nach diesem DPA richtet sich nach Artikel 82 DSGVO und den Haftungsbestimmungen des Vertrags.

14. Anwendbares Recht. Dieses DPA unterliegt deutschem Recht. Gerichtsstand ist München, Deutschland, soweit das Recht dies zulässt.

Anlage 1 — Einzelheiten der Verarbeitung. Gegenstand: Bereitstellung der CashXChain-Plattform. Art und Zweck: Hosting, Übermittlung und Verarbeitung von Transaktions- und Kontodaten zur Erbringung des Dienstes. Arten personenbezogener Daten: Kennungen von Unternehmensvertretern und autorisierten Nutzern, Kontaktdaten, Transaktionsdaten und Zahlungsempfängerdaten. Kategorien betroffener Personen: die autorisierten Nutzer des Verantwortlichen und die von ihm bezahlten Zahlungsempfänger. Dauer: die Laufzeit des Vertrags.

Anlage 2 — Technische und organisatorische Maßnahmen. Wie in unserer Sicherheitserklärung festgelegt, in der jeweils aktualisierten Fassung.

Anlage 3 — Unterauftragsverarbeiter. Wie in unserer Liste der Unterauftragsverarbeiter festgelegt, in der jeweils aktualisierten Fassung.