Auftragsverarbeitungsvertrag

1. Parteien und Anwendungsbereich

Dieser Auftragsverarbeitungsvertrag (der „AVV") ist Bestandteil des Vertrags zwischen dem geschäftlichen Event-Ersteller (der „Verantwortliche") und Codexio s.r.o. (der „Auftragsverarbeiter", „wir") über die Nutzung des Dienstes Bloomsy. Er gilt, soweit der Auftragsverarbeiter bei der Bereitstellung des Dienstes personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet - insbesondere Fotos, Videos und zugehörige Metadaten, die von Event-Gästen hochgeladen werden.

Für eigene Zwecke (Konto, Bestellung, Zahlung, Rechnungsstellung, Betrieb und Sicherheit des Dienstes) handelt der Auftragsverarbeiter als eigenständiger Verantwortlicher; diese Verarbeitung richtet sich nach der Datenschutzerklärung, nicht nach diesem AVV.

2. Gegenstand, Dauer, Art und Zweck

• Gegenstand: Verarbeitung von Inhalten und Metadaten, die zum Event des Verantwortlichen hochgeladen werden.
• Dauer: für die Dauer des Events und die an den gewählten Tarif gebundene Aufbewahrungsfrist, nach deren Ablauf die Inhalte gemäß den Nutzungsbedingungen gelöscht werden; danach nur, soweit gesetzlich vorgeschrieben.
• Art und Zweck: Speicherung, Organisation, Erstellung von Vorschauen, Bereitstellung und Ermöglichung des Downloads der hochgeladenen Inhalte, ausschließlich zur Erbringung des Dienstes Bloomsy in der vom Verantwortlichen konfigurierten Form.
• Arten personenbezogener Daten: Bild- und audiovisuelle Aufnahmen von Personen; Dateimetadaten; vom Hochladenden angegebene Namen oder Bezeichnungen, sofern zutreffend; technische Daten (IP-Adresse, Geräte-/Browserdaten), die für den Betrieb des Uploads erforderlich sind.
• Kategorien betroffener Personen: Event-Gäste und andere Personen, die in den hochgeladenen Inhalten abgebildet oder daraus identifizierbar sind.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen, sofern er nicht durch Unionsrecht oder das Recht der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist; in diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht diese Mitteilung nicht wegen eines wichtigen Grundes des öffentlichen Interesses verbietet. Die Weisungen des Verantwortlichen erfolgen über die Diensteinstellungen und diesen AVV. Der Auftragsverarbeiter unterrichtet den Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

4. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten, einschließlich, soweit angemessen: Verschlüsselung bei der Übertragung und Speicherung, Zugriffskontrollen nach dem Prinzip der geringsten Rechte, Trennung der Inhalte einzelner Kunden, Protokollierung und Überwachung, Backup- und Wiederherstellungsverfahren sowie regelmäßige Überprüfung der Maßnahmen. Eine aktuelle Zusammenfassung der Maßnahmen ist über support@bloomsy.eu erhältlich.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Der Auftragsverarbeiter beauftragt nur Unterauftragsverarbeiter, die ausreichende Garantien im Sinne von Art. 28 DSGVO bieten, und legt ihnen vertraglich Datenschutzpflichten auf, die denen dieses AVV entsprechen. Die aktuellen Unterauftragsverarbeiter sind die in der Datenschutzerklärung genannten Infrastruktur-, Speicher-, E-Mail-, Zahlungs-, Support- und Analyseanbieter. Der Auftragsverarbeiter informiert den Verantwortlichen innerhalb angemessener Frist über eine beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters und gibt dem Verantwortlichen Gelegenheit, aus angemessenen datenschutzrechtlichen Gründen Einwände zu erheben; kann ein Einwand nicht ausgeräumt werden, kann der Verantwortliche den betroffenen Teil des Dienstes kündigen.

7. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen zur Ausübung ihrer Rechte nach Kapitel III DSGVO zu beantworten. Anträge, die der Auftragsverarbeiter direkt von einer betroffenen Person erhält, werden unverzüglich an den Verantwortlichen weitergeleitet.

8. Unterstützung bei weiteren Pflichten des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO - insbesondere Sicherheit der Verarbeitung, Meldung einer Verletzung des Schutzes personenbezogener Daten, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzungen und vorherige Konsultation.

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt geworden ist, mit den Informationen, die der Verantwortliche zur Erfüllung seiner eigenen Meldepflichten benötigt.

9. Löschung oder Rückgabe

Nach Wahl des Verantwortlichen löscht der Auftragsverarbeiter nach Beendigung der mit der Verarbeitung verbundenen Dienstleistungen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht Unionsrecht oder das Recht der Mitgliedstaaten eine Speicherung der personenbezogenen Daten vorschreibt. Im Regelfall werden Inhalte gemäß der Aufbewahrungsfrist des gewählten Tarifs gelöscht.

10. Information und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Prüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und wirkt daran mit. Prüfungen erfolgen nach angemessener vorheriger Ankündigung, höchstens einmal jährlich, sofern kein besonderer datenschutzrechtlicher Anlass besteht, während der Geschäftszeiten und in einer Weise, die den Betrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt und die Sicherheit oder Vertraulichkeit der Daten anderer Kunden nicht gefährdet. Der Auftragsverarbeiter kann Prüfanfragen durch Vorlage eines aktuellen Berichts oder einer Zertifizierung eines Dritten erfüllen, sofern verfügbar.

11. Internationale Datenübermittlungen

Sofern die Verarbeitung eine Übermittlung personenbezogener Daten in ein Drittland umfasst, stellt der Auftragsverarbeiter einen geeigneten Übermittlungsmechanismus nach Kapitel V DSGVO sicher (einen Angemessenheitsbeschluss oder Standarddatenschutzklauseln mit ergänzenden Maßnahmen) und stellt dem Verantwortlichen auf Anfrage die entsprechenden Informationen zur Verfügung.

12. Verantwortlichkeiten des Verantwortlichen

Der Verantwortliche ist dafür verantwortlich, über eine Rechtsgrundlage für das Erheben und Bereitstellen von Inhalten innerhalb seines Events zu verfügen, die Gäste wie erforderlich zu informieren, das Event zu konfigurieren (Sichtbarkeit, Zugriff, Aufbewahrung) sowie für die von ihm und seinen Gästen hochgeladenen Inhalte. Der Verantwortliche darf den Auftragsverarbeiter nicht anweisen, besondere Kategorien personenbezogener Daten als eigenständige Tätigkeit zu verarbeiten; solche Daten können dennoch in von Gästen hochgeladenen Inhalten enthalten sein, und der Verantwortliche bleibt für deren rechtmäßigen Umgang verantwortlich.

13. Laufzeit und Vorrang

Dieser AVV tritt mit der Annahme beim Checkout in Kraft und bleibt in Kraft, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Bei Widersprüchen zwischen diesem AVV und den allgemeinen Nutzungsbedingungen in Datenschutzfragen geht dieser AVV vor. Fragen zu diesem AVV: support@bloomsy.eu.