Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag gehört zum Vertrag zwischen dem Kunden und der No Name B.V. (handelnd unter dem Namen OpenZero, KvK 77121481, Dierenriem 42A, 7071 TH Ulft) über den Dienst OpenZero. Der Kunde ist Verantwortlicher; wir sind Auftragsverarbeiter. Begriffe wie personenbezogene Daten, verarbeiten und Verletzung des Schutzes personenbezogener Daten haben dieselbe Bedeutung wie in der Datenschutz-Grundverordnung (DSGVO).

1. Was wir verarbeiten

2. Nur im Auftrag

1. Wir verarbeiten die personenbezogenen Daten nur im Auftrag des Kunden: für den Dienst und gemäß den schriftlichen Weisungen des Kunden. Dieser Vertrag und die Allgemeinen Geschäftsbedingungen sind diese Weisungen. Eine andere Verarbeitung nehmen wir nur vor, wenn das Gesetz uns dazu verpflichtet. Dann teilen wir das dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.
2. Sind wir der Ansicht, dass eine Weisung gegen die DSGVO verstößt, sagen wir das sofort.
3. Wir verwenden die Daten nicht für eigene Zwecke. Wir verwenden sie auch nicht, um Software oder KI-Modelle zu trainieren.

3. Geheimhaltung

Jeder, der bei uns mit den Daten arbeitet, ist zur Geheimhaltung verpflichtet. Nur Mitarbeiter, die die Daten für den Dienst brauchen, erhalten Zugang zu ihnen.

4. Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen. Dazu gehören:

• verschlüsselte Verbindungen (TLS);
• verschlüsselte Speicherung von Zugangsdaten für Programme und Banken;
• Zugang für unsere Buchhalter nur mit Passwort und Zwei-Faktor-Authentifizierung, und nur zu den Kunden, mit denen sie arbeiten;
• ein Protokoll, wer was getan hat;
• tägliche Backups;
• Hosting in der EU;
• das Aktualisieren von Software.

Wir halten die Maßnahmen auf dem aktuellen Stand und passen sie an, wenn das nötig ist.

5. Unterauftragsverarbeiter

1. Der Kunde genehmigt die Unterauftragsverarbeiter in der Tabelle unten.
2. Wollen wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilen wir das mindestens 30 Tage im Voraus per E-Mail mit. Hat der Kunde einen begründeten Anlass, Einspruch zu erheben, suchen wir gemeinsam nach einer Lösung. Gelingt das nicht, darf der Kunde den Vertrag zu dem Datum kündigen, an dem die Änderung wirksam wird.
3. Wir erlegen jedem Unterauftragsverarbeiter mindestens dieselben Pflichten auf, die in diesem Vertrag stehen. Wir bleiben gegenüber dem Kunden für das verantwortlich, was sie tun.

Das Programm des Kunden, seine Bank und seine Zahlungsanbieter sind keine Unterauftragsverarbeiter. Der Kunde hat mit ihnen selbst einen Vertrag, und wir arbeiten dort in seinem Auftrag.

6. Übermittlung außerhalb der EU

Wir übermitteln personenbezogene Daten nur dann in ein Land außerhalb des Europäischen Wirtschaftsraums, wenn die DSGVO das erlaubt, zum Beispiel mit Standardvertragsklauseln der Europäischen Kommission. Das gilt derzeit nur für Anthropic.

7. Unterstützung bei Anfragen und Pflichten

1. Erhalten wir eine Anfrage von jemandem, der seine Rechte ausübt, zum Beispiel Auskunft oder Löschung, leiten wir sie an den Kunden weiter. Wir helfen dem Kunden, sie zu beantworten.
2. Wir helfen dem Kunden auch bei:
   • einer Datenschutz-Folgenabschätzung;
   • einer vorherigen Konsultation der Autoriteit Persoonsgegevens;
   • der Sicherung der Daten.
3. Kostet diese Hilfe mehr als ein paar Stunden, dürfen wir diese Zeit zu unserem üblichen Satz in Rechnung stellen, aber nur, wenn wir das vorher mitgeteilt haben.

8. Datenpannen

1. Entdecken wir eine Verletzung des Schutzes personenbezogener Daten, teilen wir das dem Kunden ohne unangemessene Verzögerung mit, auf jeden Fall innerhalb von 36 Stunden, nachdem wir sie entdeckt haben. Wir geben dabei an:
   • was passiert ist;
   • welche Daten und wie viele Personen betroffen sind;
   • was die wahrscheinlichen Folgen sind;
   • was wir getan haben und noch tun.
2. Der Kunde entscheidet, ob er die Verletzung der Autoriteit Persoonsgegevens und den betroffenen Personen meldet. Das tun wir nicht selbst, es sei denn, der Kunde bittet uns darum.
3. Wir führen ein Verzeichnis aller Verletzungen.

9. Nach dem Ende

Nach dem Ende des Vertrags kann der Kunde seine Dokumente noch 30 Tage lang aus dem Portal herunterladen. Danach löschen wir die personenbezogenen Daten innerhalb von 60 Tagen, auch aus Backups, sobald diese ablaufen. Daten, die wir nach dem Gesetz aufbewahren müssen, löschen wir, sobald das zulässig ist. Auf Anfrage bestätigen wir die Löschung schriftlich.

10. Kontrolle

1. Wir geben dem Kunden alle Informationen, die nötig sind, um nachzuweisen, dass wir uns an diesen Vertrag halten.
2. Der Kunde darf das einmal pro Jahr von einem unabhängigen Sachverständigen prüfen lassen, der zur Geheimhaltung verpflichtet ist. Der Kunde kündigt das mindestens 30 Tage im Voraus an.
3. Der Kunde trägt die Kosten der Prüfung. Zeigt sich, dass wir uns in einem wesentlichen Punkt nicht an diesen Vertrag gehalten haben, tragen wir sie.

11. Haftung und Laufzeit

1. Für die Haftung gilt Artikel 9 unserer Allgemeinen Geschäftsbedingungen.
2. Dieser Vertrag läuft, solange wir personenbezogene Daten für den Kunden verarbeiten.
3. Auf diesen Vertrag ist niederländisches Recht anwendbar. Streitigkeiten legen wir dem Gericht Gelderland (rechtbank Gelderland) vor.
4. Bei Widersprüchen geht dieser Auftragsverarbeitungsvertrag den Allgemeinen Geschäftsbedingungen vor, soweit es um personenbezogene Daten geht.