Auftragsverarbeitungsvereinbarung nach Art. 28 Abs. 3 Datenschutzgrundverordnung (nachfolgend „DSGVO“)

Die NatureWebServices GmbH agiert bei der Erbringung der Services für Kunden, die die Services als Unternehmer nutzen, als Auftragsverarbeiter nach Art. 28 DSGVO (nachfolgend „Auftragnehmer“). Unternehmer im Sinne dieser Nutzungsbedingungen ist eine natürliche oder juristische Person oder eine rechtsfähige Personengesellschaft, die bei Abschluss der Nutzungsbedingungen in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handelt. Verantwortlicher für die Datenverarbeitung ist in diesem Fall der Kunde, der die Services als Unternehmer nutzt (nachfolgend „Auftraggeber“). Die Auftragsverarbeitungsvereinbarung nach Art. 28 Abs. 3 DSGVO wird durch Annahme der Nutzungsbedingungen durch den Auftraggeber zwischen Auftragnehmer und Auftraggebern abgeschlossen.

• Gegenstand der Auftragsverarbeitungsvereinbarung ist die Verarbeitung von Zugangsdaten zum Web- und APP-Dienst (Email-Adresse), von auf freiwilliger Basis in der Applikation eingetragenen Daten (Anrede, Vorname, Nachname) und Bildern und/oder Videos entsprechend der Nutzungsbedingungen (nachfolgend „Verarbeitungstätigkeit“).
• Diese Auftragsverarbeitungssvereinbarung beginnt mit Annahme der Nutzungsbedingungen und endet wie in Absatz 10 Vertragsdauer und Kündigung angeführt.
• Die Verarbeitungstätigkeit wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers.
• Der Auftragnehmer verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich im Rahmen dieser Nutzungsbedingungen zu verarbeiten. Erhält der Auftragnehmer einen behördlichen Auftrag, Daten des Auftraggebers herauszugeben, so hat er – sofern gesetzlich zulässig – den Auftraggeber unverzüglich darüber zu informieren und die Behörde an diesen zu verweisen. Desgleichen bedarf eine Verarbeitung der Daten für eigene Zwecke des Auftragnehmers einer schriftlichen Zustimmung des Auftraggebers.
• Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich. Der Auftragnehmer leitet Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, an diesen weiter.
• Pflichten des Auftragnehmers
  • Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind.
  • Der Auftragnehmer erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung beauftragten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitsver-pflichtung unterliegen. Insbesondere bleibt die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung beauftragten Personen auch nach Beendigung ihrer Tätigkeit und Ausscheiden beim Auftragnehmer aufrecht.
  • Der Auftragnehmer erklärt rechtsverbindlich, dass er alle erforderlichen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art 32 DSGVO ergriffen hat.
  • Der Auftragnehmer gewährleistet für das Service ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau. Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.
  • Der Auftragnehmer führt bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durch.
  • Der Auftragnehmer ergreift die technischen und organisatorischen Maßnahmen, damit der Auftraggeber die Rechte der betroffenen Person nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann und überlässt dem Auftraggeber alle dafür notwendigen Informationen via Web- und APP-Dienste. Wird ein entsprechender Antrag an den Auftragnehmer gerichtet und lässt dieser erkennen, dass der Antragsteller ihn irrtümlich für den Auftraggeber der von ihm betriebenen Datenverarbeitung hält, hat der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiterzuleiten und dies dem Antragsteller mitzuteilen.
  • Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art 32 bis 36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgeabschätzung, vorherige Konsultation).
  • Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers wirkt der Auftragnehmer im notwendigen Umfang mit und unterstützt den Auftraggeber soweit möglich in angemessener Art und Weise.
  • Der Auftragnehmer teilt dem Auftraggeber Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der Auftragnehmer unterstützt den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO in angemessener Art und Weise.
  • Der Auftragnehmer errichtet für die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art 30 DSGVO.
  • Dem Auftraggeber wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten das Recht jederzeitiger Einsichtnahme und Kontrolle, sei es auch durch von ihm beauftragte Dritte, der Datenverarbeitungseinrichtungen eingeräumt. Der Auftragnehmer verpflichtet sich, dem Auftraggeber jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind.
  • Der Auftragnehmer bietet dem Auftraggeber über die Web- und APP-Dienste die Möglichkeit,
    • jederzeit einzelne oder alle Bilder und/oder Videos herunterzuladen  und/oder
    • einzelne oder alle Bilder und/oder Videos auf dem Server der Auftragnehmer zu löschen.

Entsprechend Art. 28 Abs. 3 lit. g DSGVO werden mit der Löschung der Zugangsdaten (Email-Adresse), zusätzlich auf freiwilliger Basis in der Applikation eingegebenen Daten (Anrede, Vorname, Nachname) und Bilder und/oder Videos durch den Auftraggeber über die Web- und APP-Dienste alle gelöschten personenbezogenen Daten auch beim Auftragnehmer und seinen Sub-Auftragnehmern gelöscht. Auf den Sicherungsbeständen sind die Daten nach Beendigung des nächsten Sicherungszyklus gelöscht.

• Sub-Auftragsverarbeiter
  • Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Sub-Auftragsverarbeiter im Sinne des Art. 28 DSGVO zur Vertragserfüllung einzusetzen. Dabei ist sicherzustellen, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Auftragnehmer auf Grund dieser Vereinbarung obliegen. Kommt der Sub-Auftrags-verarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.
  • Der Auftragnehmer teilt dem Auftraggebern Namen und Anschrift sowie die vorgesehene Tätigkeit des Sub-Auftragsverarbeiters auf Email-Anfrage (info@icuserver.com) mit. Der Auftragnehmer trägt dafür Sorge, dass er den Sub-Auftragsverarbeiter unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO sorgfältig auswählt.