Auftragsverarbeitungsvertrag

BESTELLUNG DES AUFTRAGSVERARBEITERS

gemäß Artikel 28 der EU-Verordnung 2016/679

Im Rahmen der Tätigkeiten und Dienstleistungen, die durch den mit der Cyber Guru S.p.A. abgeschlossenen Dienstleistungsvertrag über den Zugang zu und die Nutzung der Cloud-Software-Plattform „Cyber Guru“ (der „Vertrag“) vorgesehen und geregelt werden, das Kundenunternehmen (der „Verantwortliche“)

In der Erwägung, dass:

• Artikel 28 Absatz 3 der EU-Verordnung 2016/679 (Allgemeine Datenschutz-Grundverordnung), im Folgenden auch „GDPR“ genannt, vorsieht, dass die im Auftrag des Verantwortlichen von einem Auftragsverarbeiter durchgeführte Verarbeitung durch einen Vertrag oder einen anderen Rechtsakt geregelt werden muss, der den Gegenstand der Verarbeitung, die Dauer, Art und Zweck, die Art der verarbeiteten personenbezogenen Daten und die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt;
• Artikel 28 der EU-Verordnung 2016/679 dem Verantwortlichen zudem das Recht einräumt, einen oder mehrere Auftragsverarbeiter einzusetzen, die über die Erfahrung, die Fähigkeiten und das Wissen verfügen, um technische und organisatorische Maßnahmen umzusetzen, die den Anforderungen der Verordnung entsprechen, auch im Hinblick auf das Sicherheitsprofil;

bestellt hiermit

das Unternehmen Cyber Guru S.p.A., in der Person ihres jeweils amtierenden gesetzlichen Vertreters, mit Sitz in Rom (Italien), Viale della Grande Muraglia 284, 00144 Rom, Tel. (+39) 065159281, Fax (+39) 0651963515, als AUFTRAGSVERARBEITER, unter Berücksichtigung der Verarbeitungstätigkeiten, die zur Umsetzung der vereinbarten Pflichten notwendig und/oder geeignet sind, wobei für die Zwecke dieser Bestellung davon ausgegangen wird, dass der Auftragsverarbeiter ausreichende Garantien bietet, um geeignete technische und organisatorische Maßnahmen umzusetzen, die den Anforderungen der EU-Verordnung Nr. 2016/679 entsprechen.

Diese Bestellung führt zu keiner Änderung des beruflichen Status des Auftragsverarbeiters und/oder der zwischen den Parteien vereinbarten Pflichten und unterliegt den nachstehenden Vereinbarungen.

ART. 1 - ART UND ZWECK DER VERARBEITUNG

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur ordnungsgemäßen Durchführung der im Zusammenhang mit dem Zugang zu und der Nutzung der Software-Plattform der von Cyber Guru bereitgestellten Produkte/Dienstleistungen vereinbarten Tätigkeiten, wie im Vertrag näher beschrieben.

ART. 2 - KATEGORIEN BETROFFENER PERSONEN UND VERARBEITETE PERSONENBEZOGENE DATEN

Der Auftragsverarbeiter verarbeitet zur Durchführung der Tätigkeiten im Auftrag des Verantwortlichen direkt und/oder indirekt die folgenden Kategorien personenbezogener Daten und Informationen in Bezug auf die beschriebenen Kategorien betroffener Personen, im Rahmen der erworbenen Dienstleistungen:

ART. 3 - VERSCHWIEGENHEITSPFLICHT

Im Rahmen der vom Auftragsverarbeiter durchgeführten Tätigkeiten werden ausschließlich die in Artikel 4 Nr. 1 der EU-Verordnung 2016/679 genannten personenbezogenen Daten verarbeitet, unter Ausschluss besonderer Kategorien. Der Auftragsverarbeiter sowie dessen Mitarbeiter und Mitarbeitende sind zur absoluten Vertraulichkeit verpflichtet und verpflichten sich, die Daten vertraulich und geheim zu behandeln, um jegliche Weitergabe an und/oder Kenntnisnahme durch unbefugte Dritte zu vermeiden.

ART. 4 - VERFÜGBARKEIT, NUTZUNG DER DATEN UND BEENDIGUNG DER VERARBEITUNG

Unabhängig von Zweck und Dauer der vom Auftragsverarbeiter durchgeführten Verarbeitung gilt:

• die Daten dürfen weder ganz noch teilweise an Dritte verkauft oder übertragen werden;
• der Auftragsverarbeiter verpflichtet sich, keinerlei Rechte an den eingesehenen Daten und Materialien geltend zu machen;
• im Einklang mit den Bestimmungen der GDPR ist es dem Auftragsverarbeiter ausdrücklich untersagt, Werbe-, Handels- und Promotionsnachrichten zu versenden und die betroffenen Personen in jedem Fall zu anderen als den in dieser Urkunde genannten Zwecken zu kontaktieren.

Nach Beendigung der vom Vertrag erfassten Verarbeitungsvorgänge verpflichtet sich der Auftragsverarbeiter, sofern der Vertrag nicht verlängert wird, dem Verantwortlichen die personenbezogenen Daten zurückzugeben, die er im Zusammenhang mit der Erbringung der Dienstleistungen erhoben, erhalten oder verarbeitet hat, und erst anschließend, diese aus seinen Unterlagen zu löschen oder sie 90 Tage nach Beendigung des Vertrags zu vernichten, außer in Fällen, in denen die Daten aufgrund gesetzlicher Verpflichtungen aufbewahrt werden müssen. Es wird klargestellt, dass der Nachweis der Gründe, die eine Fortsetzung der Aufbewahrungspflichten rechtfertigen, in der Verantwortung des Auftragsverarbeiters liegt und dass die einzigen Zwecke, die mit diesen Daten verfolgt werden dürfen, ausschließlich auf die Erfüllung dieser regulatorischen Anforderungen beschränkt sind.

ART. 5 - GÜLTIGKEIT UND WIDERRUF DER BESTELLUNG

Diese Bestellung gilt für die gesamte Dauer des Rechtsverhältnisses zwischen den Parteien und kann nach freiem Ermessen des Verantwortlichen widerrufen werden.

Diese Bestellung stellt keine zusätzliche Belastung für den Auftragsverarbeiter dar, da sie in den Rahmen der regulatorischen Pflichten fällt, die die Beziehungen zum Verantwortlichen im Hinblick auf den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten regeln.

ART. 6 - UNTERAUFTRAGSVERARBEITER

Der Auftragsverarbeiter ist gemäß den Bestimmungen von Artikel 28 Absatz 4 der GDPR berechtigt, ein anderes Unternehmen (im Folgenden „Unterauftragsverarbeiter“) für die Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen einzusetzen, wobei die Beziehung durch einen Rechtsakt oder Vertrag geregelt wird, der darauf abzielt, die jeweiligen Verantwortungsbereiche abzugrenzen, und der Unterauftragsverarbeiter dieselben in dieser Bestellungsurkunde angewandten Bedingungen unterzeichnen muss, unter ausdrücklicher Übernahme der Pflichten zum Schutz personenbezogener Daten, die dem Auftragsverarbeiter bereits obliegen und sich aus der Unterzeichnung dieser Urkunde ergeben.

Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf dessen förmliche Anfrage hin die Liste der ermittelten Unterauftragsverarbeiter zu übermitteln.

Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter ausreichende Garantien für Zuverlässigkeit und Vertraulichkeit bietet und geeignete technische und organisatorische Maßnahmen so umsetzt, dass die Verarbeitung den Anforderungen der GDPR entspricht, und dass er die personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie etwaige Kopien am Ende der Dienstleistung zurückgibt (oder löscht). Sollte ein Unterauftragsverarbeiter als Ausführender der Verarbeitung seinen Pflichten zum Schutz personenbezogener Daten nicht nachkommen, erklärt und garantiert der Auftragsverarbeiter ausdrücklich, dass er die volle Verantwortung für die Erfüllung der Pflichten dieser Partei behält.

Der Auftragsverarbeiter muss dem Unternehmen den Namen des Unterauftragsverarbeiters sowie jede weitere Änderung im Hinblick auf die Hinzufügung oder den Austausch mit anderen Unterauftragsverarbeitern übermitteln und dem Verantwortlichen die Möglichkeit geben, Einspruch zu erheben.

ART. 7 - BENENNUNG UND ERMÄCHTIGUNG DER BEAUFTRAGTEN PERSONEN

Der Auftragsverarbeiter gewährleistet die rechtzeitige Identifizierung der in seiner Organisation in jeglicher Funktion tätigen Personen als „ermächtigte“ Personen für die Verarbeitung.

Insbesondere verpflichtet sich der Auftragsverarbeiter, den Zugriff auf und die Verarbeitung personenbezogener Daten nur ordnungsgemäß geschultem und eigens benanntem Personal zu gestatten, auch gemäß Artikel 2-quaterdecies des Gesetzesdekrets Nr. 196/2003 in der jeweils geltenden Fassung.

Der Auftragsverarbeiter verpflichtet sich, die Ernennungen schriftlich vorzunehmen und den Zugriff auf und die Verarbeitung personenbezogener Daten auf das für die Durchführung der vom Vertrag erfassten Tätigkeiten erforderliche Maß zu beschränken.

Ermächtigtes Personal muss eine angemessene und spezifische Schulung im Hinblick auf die Einhaltung organisatorischer und technischer Maßnahmen erhalten, insbesondere der ergriffenen Sicherheitsmaßnahmen, die geeignet sind, den Schutz der verarbeiteten personenbezogenen Daten in Übereinstimmung mit den einschlägigen regulatorischen Bestimmungen und der Praxis zu gewährleisten.

Im Einzelnen wird der Auftragsverarbeiter:

• die zur Datenverarbeitung ermächtigten Personen identifizieren, indem er ihnen schriftlich detaillierte Anweisungen zu den zulässigen Vorgängen und den im Hinblick auf die Kritikalität der verarbeiteten Daten zu ergreifenden Sicherheitsmaßnahmen erteilt;
• regelmäßig die rechtzeitige Anwendung der Anforderungen durch die ermächtigten Personen überwachen, auch durch regelmäßige Kontrollen;
• die Anwendung unterschiedlicher Berechtigungsprofile der beauftragten Personen gewährleisten, um den Zugriff auf die für die im Hinblick auf die ausgeübten Aufgaben zulässigen Verarbeitungsvorgänge erforderlichen Daten zu beschränken;
• regelmäßig das Vorliegen der Voraussetzungen für die Beibehaltung der Berechtigungsprofile aller beauftragten Personen überprüfen und dieses Profil bei Bedarf umgehend anpassen (z. B. bei einem Stellenwechsel);
• für die Schulung und berufliche Weiterbildung der unter seiner Verantwortung tätigen ermächtigten Personen im Hinblick auf die gesetzlichen und regulatorischen Bestimmungen zum Schutz personenbezogener Daten sorgen.

Der Auftragsverarbeiter übermittelt dem Verantwortlichen auf Anfrage per zertifizierter E-Mail die Namensliste mit genauer Angabe der jeweiligen Aufgaben der Personen, die zur Verarbeitung personenbezogener Daten in seinem Auftrag und im Rahmen des Vertrags ermächtigt sind.

ART. 8 - DATENSCHUTZBEAUFTRAGTER

Der Auftragsverarbeiter hat gemäß Artikel 37 ff. der GDPR einen Datenschutzbeauftragten benannt, dessen Kontaktdaten wie folgt lauten: privacy@cyberguru.it.

ART. 9 - RECHTE DER BETROFFENEN PERSONEN

Da die Ausübung der der betroffenen Person gemäß Artikel 15 ff. der GDPR zustehenden Rechte direkt vom Verantwortlichen verwaltet wird, steht der Auftragsverarbeiter zur Verfügung, um mit dem Verantwortlichen zusammenzuarbeiten, indem er ihm alle Informationen zur Verfügung stellt, die zur Erfüllung diesbezüglich eingegangener Anfragen erforderlich sind.

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen zu unterstützen, um die Pflicht des Verantwortlichen zur Erfüllung von Anfragen zur Ausübung der Rechte der betroffenen Person zu erfüllen.

Insbesondere muss der Auftragsverarbeiter den Verantwortlichen unverzüglich und in jedem Fall spätestens 72 Stunden nach Eingang über jegliche von betroffenen Personen aufgrund der geltenden Rechtsvorschriften gestellten Anfragen (z. B. Auskunftsrecht usw.) informieren und die notwendigen Informationen bereitstellen, damit der Verantwortliche diese innerhalb der gesetzlich festgelegten Fristen bearbeiten kann.

ART. 10 - VERZEICHNIS DER VERARBEITUNGSTÄTIGKEITEN

Der Auftragsverarbeiter führt – sofern diese Pflicht gemäß Artikel 30 Absatz 5 der GDPR auch für ihn selbst gilt – ein Verzeichnis (in schriftlicher und/oder elektronischer Form) aller Kategorien von Tätigkeiten im Zusammenhang mit der im Auftrag des Verantwortlichen durchgeführten Verarbeitung, das Folgendes enthält:

• den Namen und die Kontaktdaten des Auftragsverarbeiters und/oder seiner Unterauftragsverarbeiter;
• die Kategorien der im Auftrag des Verantwortlichen durchgeführten Verarbeitungen;
• gegebenenfalls Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation, einschließlich der Angabe des Drittlands oder der internationalen Organisation, sowie bei Übermittlungen gemäß Artikel 49 Absatz 2 der GDPR die Dokumentation der getroffenen geeigneten Garantien;
• soweit möglich, eine allgemeine Beschreibung der in Artikel 32 Absatz 1 der GDPR genannten technischen und organisatorischen Sicherheitsmaßnahmen.

Der Auftragsverarbeiter gewährleistet zudem, das genannte Verarbeitungsverzeichnis dem Verantwortlichen und/oder der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen bei der Erstellung seines eigenen Verzeichnisses der Verarbeitungstätigkeiten zu unterstützen und, im Rahmen seiner Zuständigkeit, auf etwaige am Verzeichnis vorzunehmende Änderungen hinzuweisen.

ART. 11 - SICHERHEIT PERSONENBEZOGENER DATEN

Bei der Verarbeitung personenbezogener Daten zum Zweck der Erbringung der Dienstleistungen verpflichtet sich der Auftragsverarbeiter, angemessene technische und organisatorische Sicherheitsmaßnahmen zu ergreifen und aufrechtzuerhalten, um ein hohes Schutzniveau für personenbezogene Daten zu gewährleisten und unrechtmäßige oder unbefugte Verarbeitung, zufällige oder unrechtmäßige Zerstörung, Beschädigung, zufälligen Verlust, Veränderung sowie unbefugte Offenlegung von oder unbefugten Zugriff auf personenbezogene Daten zu verhindern („Sicherheitsmaßnahmen“).

Der Auftragsverarbeiter kann die oben genannten Sicherheitsmaßnahmen im Laufe der Zeit aktualisieren und ändern, wobei diese Aktualisierungen und Änderungen nicht zu einer Verringerung des allgemeinen Sicherheitsniveaus der Dienstleistungen führen dürfen.

Der Auftragsverarbeiter ist verpflichtet, die Maßnahmen zu aktualisieren, wenn dies durch die jeweilige Verarbeitungstätigkeit und/oder durch die Datenschutzgesetzgebung erforderlich ist, in Übereinstimmung mit den Bestimmungen von Artikel 32 Absatz 1 der GDPR, d. h. „unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen“.

Die Liste der zum Zeitpunkt der Unterzeichnung dieser Bestellungsurkunde umgesetzten Sicherheitsmaßnahmen ist auf Anfrage des Verantwortlichen erhältlich.

ART. 12 - SYSTEMSICHERHEIT UND -VERWALTUNG (SSA)

Der Auftragsverarbeiter stellt dem Verantwortlichen die Namensliste der ADS zur Verfügung, worunter die natürlichen Personen zu verstehen sind, die im Auftrag des Auftragsverarbeiters und in Erfüllung der mit dem Verantwortlichen vereinbarten und übertragenen Aufgaben die Verwaltung und Wartung der Verarbeitungseinrichtungen durchführen, mit denen personenbezogene Daten verarbeitet werden, einschließlich Datenbankverwaltungssystemen, komplexer Software zur Verarbeitung der Daten des Verantwortlichen, der lokalen Netzwerke und Sicherheitsausrüstung des Verantwortlichen, oder die in sonstiger Weise auf die Sicherheitsmaßnahmen zum Schutz dieser Daten einwirken können. In Bezug auf die identifizierten Personen muss der Auftragsverarbeiter die jeweils ausgeübten Aufgaben und Tätigkeiten mitteilen.

ART. 13 - AUFGABEN, ANWEISUNGEN UND METHODEN DER VERARBEITUNG SOWIE ANFORDERUNGEN AN PERSONENBEZOGENE DATEN

Der Auftragsverarbeiter hat die Befugnis und die Pflicht, die angegebenen personenbezogenen Daten in Übereinstimmung mit den geltenden Rechtsvorschriften zu verarbeiten, wobei er sowohl den nachstehenden Anweisungen als auch denjenigen folgt, die ihm der Verantwortliche über spezifische Verfahren und/oder Mitteilungen bekannt gibt.

Der Auftragsverarbeiter erklärt ausdrücklich, dass er die nachstehenden Anweisungen befolgen wird, und verpflichtet sich, im Rahmen der ihm vertraglich übertragenen Aufgaben alle von der einschlägigen Datenschutzgesetzgebung vorgeschriebenen Pflichten umzusetzen, um die Risiken der Zerstörung oder des Verlusts, einschließlich des zufälligen Verlusts, von Daten, des unbefugten Zugriffs sowie einer nicht zulässigen oder nicht mit der Erhebung übereinstimmenden Verarbeitung zu minimieren.

Der Auftragsverarbeiter verpflichtet sich:

• die personenbezogenen Daten des Verantwortlichen direkt oder über seine eigens benannten und zur Verarbeitung ermächtigten Mitarbeiter, externen Mitarbeitenden, Berater usw. ausschließlich zu den Zwecken zu verarbeiten, die mit der Durchführung der im Vertrag vorgesehenen Tätigkeiten zusammenhängen, und zwar in rechtmäßiger und korrekter Weise sowie unter vollständiger Einhaltung der Bestimmungen der GDPR und dieser Anweisungen;
• die vom Verantwortlichen erhaltenen personenbezogenen Daten, von denen er im Zusammenhang mit der Erbringung der Dienstleistung Kenntnis erlangt hat, aus keinem Grund und zu keinem Zeitpunkt, weder gegenwärtig noch zukünftig, auch nicht nach Beendigung der vom Vertrag erfassten Verarbeitungsvorgänge, an Dritte weiterzugeben oder offenzulegen, sofern nicht zuvor eine schriftliche Genehmigung des Verantwortlichen vorliegt, unbeschadet etwaiger gesetzlicher Pflichten oder Anordnungen der Justizbehörde und/oder der zuständigen Verwaltungsbehörden;
• mit dem Verantwortlichen zusammenzuarbeiten, um die rechtzeitige Einhaltung und Beachtung der Datenschutzgesetzgebung sicherzustellen;
• den Verantwortlichen im Falle der Beendigung der vereinbarten Verarbeitung unverzüglich zu benachrichtigen;
• ohne ausdrückliche Genehmigung des Verantwortlichen keine neuen Datenbanken zu erstellen, außer wenn dies für die Erfüllung der eingegangenen Pflichten unbedingt erforderlich ist;
• im Falle des Eingangs spezifischer Anfragen der italienischen Datenschutzbehörde oder anderer Behörden den Verantwortlichen im Rahmen seiner Zuständigkeit zu unterstützen;
• dem Verantwortlichen jegliche kritischen Probleme zu melden, die die Sicherheit der Daten gefährden könnten, um geeignete Maßnahmen durch diesen zu ermöglichen;
• den Verantwortlichen und die von diesem benannten Personen auf Anfrage bei der Erstellung der zur Einhaltung der Branchenvorschriften erforderlichen Dokumentation zu unterstützen, in Bezug auf die vom Auftragsverarbeiter in Ausführung der übertragenen Tätigkeiten durchgeführte Datenverarbeitung;
• den Verantwortlichen unverzüglich zu informieren, falls seiner Ansicht nach eine von diesem erteilte Anweisung einen Verstoß gegen die Verordnung oder andere geltende Datenschutzvorschriften darstellt, und von jeder weiteren Verarbeitungstätigkeit abzusehen. Jede auf einer Anweisung des Verantwortlichen beruhende Verarbeitung führt in keinem Fall zu einer Haftung des Anbieters

Sollte die Europäische Kommission gemäß Artikel 28 Absatz 7 der Verordnung Standardvertragsklauseln für die in Artikel 28 Absätze 3 und 4 der Verordnung genannten Angelegenheiten festlegen oder eine Aufsichtsbehörde solche gemäß Artikel 28 Absatz 8 der Verordnung erlassen (sofern anwendbar), und der Verantwortliche den Auftragsverarbeiter über seine Absicht informiert, ein Element dieser Standardvertragsklauseln in diesen Vertrag aufzunehmen, wird der Auftragsverarbeiter die vom Verantwortlichen gewünschten Änderungen akzeptieren, um diese Elemente schriftlich aufzunehmen, sofern dies wirtschaftlich vertretbar ist.

ART. 14 - DATENSCHUTZVERLETZUNG

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen unverzüglich nach Kenntniserlangung, in jedem Fall jedoch innerhalb von 72 Stunden, durch eine an die zertifizierte E-Mail-Adresse des Verantwortlichen gesendete Mitteilung über jede Verletzung des Schutzes personenbezogener Daten und/oder Sicherheitsvorfälle im Zusammenhang mit der ihm anvertrauten Verarbeitung zu informieren und dabei Folgendes anzugeben:

• eine Beschreibung der Art der Verletzung sowie Angaben zu den Kategorien personenbezogener Daten und der ungefähren Anzahl der betroffenen Personen;
• den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktstelle, die weitere Informationen bereitstellen kann;
• eine Beschreibung der wahrscheinlichen Folgen;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung oder zumindest zur Abmilderung ihrer möglichen negativen Auswirkungen.

Unbeschadet des Vorstehenden verpflichtet sich der Auftragsverarbeiter, dem Verantwortlichen jede mögliche Unterstützung zu leisten, damit dieser seinen Pflichten gemäß den Artikeln 33-34 der GDPR nachkommen kann.

Sobald die Ursachen der Verletzung ermittelt wurden, wird der Auftragsverarbeiter in Absprache mit dem Verantwortlichen bzw. einer von diesem benannten Person auf Anfrage tätig werden, um so schnell wie möglich alle physischen und/oder logischen und/oder organisatorischen Sicherheitsmaßnahmen umzusetzen, die darauf abzielen, das erneute Auftreten einer Verletzung derselben Art zu verhindern, wobei er sich hierbei auch der Mitwirkung von Unterauftragnehmern bedienen kann.

ART. 15 - FOLGENABSCHÄTZUNG UND VORHERIGE KONSULTATION

Unter Bezugnahme auf die Artikel 35 und 36 der GDPR verpflichtet sich der Auftragsverarbeiter, den Verantwortlichen auf Anfrage bei den zur Erfüllung der in den genannten Artikeln festgelegten Pflichten erforderlichen Tätigkeiten zu unterstützen, und zwar auf der Grundlage der ihm aufgrund der als Auftragsverarbeiter durchgeführten Verarbeitung vorliegenden Informationen, einschließlich der Informationen über etwaige von den Unterauftragsverarbeitern durchgeführte Verarbeitungen.

ART. 16 - ÜBERMITTLUNG PERSONENBEZOGENER DATEN

Der Auftragsverarbeiter verpflichtet sich, die Bereiche der Verbreitung und Verarbeitung personenbezogener Daten (z. B. Speicherung, Archivierung, Speicherung von Daten auf seinen Servern) auf Länder der Europäischen Union zu beschränken, wobei es ausdrücklich untersagt ist, diese an Nicht-EU-Länder zu übermitteln, die kein angemessenes Schutzniveau gewährleisten (oder bei dessen Fehlen), oder bei Fehlen der in der EU-Verordnung 2016/679 – KAPITEL V vorgesehenen Schutzinstrumente.

ART. 17 - PRÜFUNGSTÄTIGKEITEN

Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der in diesem Dokument beschriebenen Sicherheitspflichten sowie allgemein die Einhaltung der im Rahmen dieser Urkunde und der GDPR übernommenen Pflichten nachzuweisen, und die vom Verantwortlichen oder einer von ihm benannten Person durchgeführten Prüfungstätigkeiten, einschließlich Inspektionen, zu ermöglichen und auf Anfrage dazu beizutragen.

Sollte der Verantwortliche Verhaltensweisen feststellen, die von den Bestimmungen der einschlägigen Rechtsvorschriften sowie den Vorgaben der italienischen Datenschutzbehörde abweichen, wird er den Auftragsverarbeiter davon in Kenntnis setzen, ohne dass dies die Autonomie der Geschäftstätigkeit des Auftragsverarbeiters beeinträchtigt oder als Einmischung in dessen Tätigkeit gewertet wird.

Die in den vorstehenden Absätzen dieses Artikels genannten Kontrollen und etwaigen Inspektionen müssen zwischen dem Unternehmen und dem Anbieter mit einer Frist von mindestens 15 Werktagen vor dem Termin der Überprüfung/Inspektion mittels Mitteilungen an die Benachrichtigungs-E-Mail-Adressen vereinbart werden.

Vor der Prüfung/Inspektion vereinbaren die Parteien den Gegenstand, den Zeitpunkt und die Dauer der Prüfung/Inspektion, wobei die Prüfung/Inspektion eine maximale Dauer von 2 aufeinanderfolgenden Werktagen haben und nur einmal pro Vertragsjahr durchgeführt werden darf. Sollte die Prüfung/Inspektion auf Wunsch des Unternehmens länger als 2 aufeinanderfolgende Werktage dauern oder sollte das Unternehmen mehr als 1 Prüfung/Inspektion pro Vertragsjahr verlangen, verpflichtet sich das Unternehmen, dem Anbieter sämtliche zusätzlich entstehenden Kosten/Auslagen zu erstatten.

Das Unternehmen stellt dem Anbieter unverzüglich einen schriftlichen, vertraulichen Bericht zur Verfügung, der eine Zusammenfassung des Gegenstands und der Ergebnisse der Prüfung/Inspektion enthält. Der Anbieter hat das Recht, diesen Bericht und die darin enthaltenen Informationen nach eigenem Ermessen zu verwenden.

Im Falle einer Prüfung/Inspektion verpflichtet sich das Unternehmen – unabhängig davon, ob es diese Tätigkeit selbst durchführt oder Prüfern oder Beratern überträgt –, alle während der Inspektion erlangten oder in der Dokumentation vorgefundenen Informationen vertraulich zu behandeln und diese Informationen/Dokumente nicht an Dritte weiterzugeben und/oder zu verbreiten.

ART. 18 - ZUSÄTZLICHE ANWEISUNGEN

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich über jede Änderung der Organisations- oder Eigentümerstruktur, die nach der Auftragserteilung eintreten kann, damit der Verantwortliche das mögliche Fehlen der von den geltenden Rechtsvorschriften vorgesehenen Voraussetzungen oder das Fehlen ausreichender Garantien zur Umsetzung angemessener technischer und organisatorischer Maßnahmen zur Gewährleistung der ordnungsgemäßen Verarbeitung der von dieser Bestellung erfassten Daten feststellen kann.

Der Auftragsverarbeiter informiert den Verantwortlichen über jegliche im Rahmen der erbrachten Dienstleistung festgestellten Mängel, Anomalien oder Notfallsituationen – insbesondere wenn diese die Verarbeitung personenbezogener Daten und die vom Auftragsverarbeiter ergriffenen Sicherheitsmaßnahmen betreffen können – sowie über jedes andere relevante Ereignis oder jeden relevanten Sachverhalt, der die Anwendung der GDPR (z. B. Anfragen der italienischen Datenschutzbehörde, Ergebnisse von Inspektionen der Behörden usw.) oder der gegebenenfalls anwendbaren nationalen Rechtsvorschriften betrifft.

ART. 19 - VERHALTENSKODIZES UND ZERTIFIZIERUNGEN

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Beitritt zu gemäß Artikel 40 der GDPR genehmigten Verhaltenskodizes und/oder den Erhalt von Zertifizierungen zu informieren, die sich auf die dem Verantwortlichen angebotenen Dienstleistungen auswirken, einschließlich derjenigen gemäß Artikel 42 der GDPR.

ART. 20 - HAFTUNG UND VERANTWORTLICHKEITEN DES AUFTRAGSVERARBEITERS

Der Verantwortliche behält sich, nach Erteilung der oben genannten Anweisungen und unbeschadet der oben genannten Aufgaben, im Rahmen seiner Rolle das Recht vor, schriftlich weitere Anweisungen zu erteilen, die für die korrekte und vorschriftsmäßige Durchführung der mit dem zwischen den Parteien geltenden Vertrag verbundenen Datenverarbeitungstätigkeiten erforderlich sein können, auch um das oben Festgelegte zu vervollständigen und zu ergänzen.

Der Auftragsverarbeiter erklärt hiermit, dass er den Verantwortlichen von jeglichem Schaden, jeglicher Belastung, jeglichen Kosten und Folgen freistellt und schadlos hält, die dem Verantwortlichen infolge einer Verletzung der Verpflichtungen zur Einhaltung der Vorschriften zum Schutz personenbezogener Daten oder der in den entsprechenden Bestellungsurkunden enthaltenen Anweisungen durch den Auftragsverarbeiter oder seine Unterauftragsverarbeiter entstehen können, auch infolge von Verhaltensweisen, die deren Mitarbeitern, Vertretern oder Mitarbeitenden in jeglicher Funktion zuzurechnen sind.

ART. 21 - VERANTWORTLICHKEITEN DES VERANTWORTLICHEN

Der Verantwortliche erklärt hiermit, dass er den Auftragsverarbeiter von jeglichem Schaden, jeglicher Belastung, jeglichen Kosten und Folgen freistellt und schadlos hält, die dem Auftragsverarbeiter infolge von Anweisungen, Angaben und/oder Anfragen des Verantwortlichen entstehen können, die gegen die geltenden regulatorischen Bestimmungen und/oder Praktiken zum Schutz personenbezogener Daten verstoßen.

Hinweis zur automatischen Übersetzung

Dieser DPA ist in italienischer und englischer Sprache abgefasst. Beide Fassungen gelten als offiziell und haben gleiche Rechtsgültigkeit. Fassungen in anderen Sprachen als Italienisch und Englisch, die mittels automatischer Übersetzungswerkzeuge (einschließlich in digitale Plattformen integrierter Tools) bereitgestellt werden, gelten nicht als offizielle Fassungen und haben keine Rechtsgültigkeit. Solche Übersetzungen dienen ausschließlich zu Informationszwecken.