Auftragsverarbeitungsvertrag

Auftragsverarbeiter

BundS GmbH, Marburger Str. 17, 57223 Kreuztal, Deutschland. info@qrinio.com

Verantwortlicher

Die bei Annahme mit Name oder Firma und Konto-E-Mail bezeichnete Person oder Organisation. Die Annahme ist dem Konto zugeordnet; die Konto-E-Mail dient als Kontakt für Weisungen und Datenschutz. Wer für eine Organisation handelt, erklärt, zu ihrer Vertretung berechtigt zu sein.

1. Gegenstand und Dauer

Die BundS GmbH verarbeitet Kundendaten zur Bereitstellung der vereinbarten QRinio-Funktionen für die Dauer ihrer Nutzung und der anschließenden Rückgabe oder Löschung. Der Kunde bestimmt Zwecke, Inhalte und Berechtigungen und ist für Rechtsgrundlagen sowie die Information betroffener Personen verantwortlich. Eigene Verarbeitungen von QRinio, etwa zur Kontoverwaltung, sind in der Datenschutzerklärung beschrieben.

2. Verarbeitung und Daten

Erfasst sind Speichern, Bearbeiten, Bereitstellen, Veröffentlichen, Übermitteln, Auswerten und Löschen der vom Kunden gewählten Inhalte: QR-Codes, Kurzlinks, Kontakt- und Linkseiten sowie Dateien und zugehörige Aufrufstatistiken. Je nach Nutzung handelt es sich um Namen, berufliche Kontaktangaben, Bilder, Inhalts- und Verbindungsdaten von Beschäftigten, Kunden, Geschäftskontakten und Besuchern. Der konkrete Umfang ergibt sich aus den vom Kunden genutzten Funktionen und erteilten Weisungen. Daten nach Art. 9 oder 10 DSGVO sind nur nach gesonderter Vereinbarung erfasst.

3. Weisungen und Vertraulichkeit

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden, auch bei Drittlandübermittlungen. Weisungen ergeben sich aus diesem Vertrag, den gewählten Einstellungen und Mitteilungen der benannten Kontaktperson an info@qrinio.com. Verpflichtet uns Unionsrecht oder nationales Recht zur Verarbeitung, informieren wir vorher, soweit rechtlich zulässig. Auf aus unserer Sicht rechtswidrige Weisungen weisen wir unverzüglich hin und setzen deren Ausführung bis zur Klärung aus. Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet.

4. Technische und organisatorische Maßnahmen

Wir gewährleisten risikogerechte Maßnahmen nach Art. 32 DSGVO. Folgende Maßnahmen sind Vertragsbestandteil; Weiterentwicklungen dürfen das Schutzniveau nicht vermindern:

• Verschlüsselte Übertragung und auf berechtigte Personen beschränkte Verwaltungszugänge.
• Geschützte Passwörter, getrennte Konten und rollenabhängige Zugriffsrechte.
• Regelmäßige Sicherungen auf getrenntem Speicher mit verschlüsselter Übertragung, beschränktem Zugriff und Wiederherstellungstests.
• Begrenzte Protokollierung und Löschfristen, Prüfung sicherheitsrelevanter Änderungen und Updates sowie regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.
• Dokumentierte Bearbeitung von Weisungen, Betroffenenanfragen und Sicherheitsvorfällen; Zutrittsschutz der eingesetzten Rechenzentren durch die Hostinganbieter.

5. Weitere Auftragsverarbeiter

Der Kunde genehmigt die Dienstleisterliste in der beigefügten Vertragsanlage allgemein. Über Hinzufügen oder Ersetzen informieren wir mindestens 30 Tage vorher per E-Mail und ermöglichen begründete Datenschutz-Einwände vor dem Einsatz. Lässt sich ein Einwand nicht beheben, kann der Kunde die betroffene Leistung vor der Änderung beenden. Wir vereinbaren gleichwertige Datenschutzpflichten und bleiben für deren Erfüllung verantwortlich. Übermittlungen außerhalb des EWR erfolgen nur nach dokumentierter Weisung und unter Einhaltung von Kapitel V DSGVO; die Grundlage steht beim jeweiligen Dienstleister.

6. Unterstützung und Datenschutzverletzungen

Unter Berücksichtigung der Verarbeitung und unserer verfügbaren Informationen unterstützen wir den Kunden bei Betroffenenrechten sowie seinen Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Folgenabschätzungen und Behördenkonsultationen. Anfragen betroffener Personen leiten wir unverzüglich weiter und beantworten sie nur auf Weisung oder gesetzliche Verpflichtung. Verletzungen des Schutzes der Kundendaten melden wir unverzüglich nach Bekanntwerden mit den verfügbaren Angaben zu Art, Folgen, Maßnahmen und Kontakt; fehlende Angaben reichen wir nach.

7. Nachweise und Kontrollen

Wir stellen alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglichen und unterstützen Überprüfungen einschließlich Inspektionen durch den Kunden oder einen beauftragten Prüfer. Die Durchführung wird unter Wahrung der Vertraulichkeit anderer Kunden abgestimmt; dringende oder gesetzlich erforderliche Kontrollen werden dadurch nicht verhindert.

8. Rückgabe und Löschung

Nach Ende der Leistung geben wir die Kundendaten nach Wahl des Kunden zurück oder löschen sie und vorhandene Kopien, soweit keine gesetzliche Aufbewahrung vorgeschrieben ist. Die Rückgabe wird vor der Löschung abgestimmt. Sicherungskopien werden bis zum Ablauf der in der Anlage vereinbarten Aufbewahrung gesperrt und anschließend gelöscht; bei Wiederherstellung werden bereits erteilte Löschweisungen erneut angewendet. Gesetzlich aufzubewahrende Daten bleiben auf diesen Zweck beschränkt. Die Löschung bestätigen wir auf Anfrage.