Bedingungen für die Verarbeitung

Diese Auftragsverarbeiter-Bedingungen wurden von Dyzle® erstellt, um als Auftragsverarbeiter die Bestimmungen der Allgemeinen Datenschutzverordnung (AVG) einzuhalten. Es handelt sich um einen Auftragsverarbeitungsvertrag im Sinne von Artikel 28(3) AVG, der die Rechte und Pflichten in Bezug auf die Verarbeitung personenbezogener Daten, einschließlich der Sicherheit, schriftlich festlegt.

In diesen Verarbeitungsbedingungen ist der Kunde die natürliche oder juristische Person, die Dyzle Services B.V. oder die mit ihr verbundenen Unternehmen beauftragt, bestimmte Verarbeitungstätigkeiten in ihrem Namen durchzuführen, im Folgenden als „Verantwortlicher“ bezeichnet.

In diesen Verarbeitungsbedingungen ist der Auftragnehmer Dyzle Services B.V. mit Sitz in der Transistorstraat 7, 1322 CJ in Almere die juristische Person, die Verarbeitungstätigkeiten für den Auftraggeber durchführt, im Folgenden „Verarbeiter“ genannt.

Der Beklagte und der Auftragsverarbeiter werden einzeln auch als „Partei“ oder gemeinsam als „Parteien“ bezeichnet.

Algemeen

Partijen hanteren in deze verwerkersvoorwaarden, naast de definities vanuit de AVG, de volgende definities (in alfabetische volgorde):

1. Algemene voorwaarden: de Algemene voorwaarden van Verwerker, die onverkort van toepassing zijn op iedere afspraak tussen Verwerker en Verantwoordelijke en van welke Algemene voorwaarden deze verwerkersovereenkomst onlosmakelijk deel uitmaken.
2. Betrokkene: De natuurlijke persoon op wie een Persoonsgegeven betrekking heeft.
3. Overeenkomst: elke afspraak tussen Opdrachtgever en Verwerker tot het verrichten van werkzaamheden of leveren van diensten door Verwerker ten behoeve van de Opdrachtgever, conform het bepaalde in de opdracht.
4. Sub-verwerker: Degene die de Verwerker bijstaat in de Verwerking van Persoonsgegevens.
5. Verantwoordelijke: De verwerkingsverantwoordelijke conform de definitie van de AVG, oftewel de opdrachtgever.
6. Werkzaamheden: alle werkzaamheden waartoe opdracht is gegeven, of die door Verwerker uit anderen hoofde worden verricht. Het voorgaande geldt in de ruimste zin van het woord en omvat in ieder geval de werkzaamheden zoals vermeld in de opdracht.

Anwendbarkeit der Verarbeitungsbedingungen

Umfang der Verarbeitungsbedingungen

1. Durch die Erteilung des Auftrags zur Durchführung von Arbeiten hat die verantwortliche Partei den Auftragsverarbeiter angewiesen, personenbezogene Daten im Namen der verantwortlichen Partei gemäß den Bestimmungen dieser Verarbeitungsbedingungen zu verarbeiten.
2. Der Auftragsverarbeiter darf die personenbezogenen Daten nur in Übereinstimmung mit diesen Verarbeitungsbedingungen verarbeiten. Der Auftragsverarbeiter bestätigt, dass er die personenbezogenen Daten nicht für andere Zwecke verarbeiten wird.
3. Die Kontrolle über die persönlichen Daten liegt niemals beim Auftragsverarbeiter.
4. Der für die Verarbeitung Verantwortliche kann dem Auftragsverarbeiter aufgrund von Aktualisierungen oder Änderungen der geltenden Vorschriften zum Schutz personenbezogener Daten zusätzliche, schriftliche Anweisungen erteilen.
5. Wenn Anweisungen der verantwortlichen Partei an den Auftragsverarbeiter im Widerspruch zu gesetzlichen Bestimmungen zum Datenschutz stehen, muss der Auftragsverarbeiter dies der verantwortlichen Partei mitteilen.
6. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur im Europäischen Wirtschaftsraum oder in Ländern, in denen angemessene Sicherheitsvorkehrungen (einschließlich Privacy Shield) getroffen wurden.

Geheimhaltung

1. Der Auftragsverarbeiter und die von ihm beschäftigten oder für ihn tätigen Personen, soweit diese Personen Zugang zu personenbezogenen Daten haben, verarbeiten die Daten nur auf Anweisung des für die Verarbeitung Verantwortlichen, vorbehaltlich abweichender gesetzlicher Verpflichtungen.
2. Der Auftragsverarbeiter und die von ihm beschäftigten oder für ihn tätigen Personen sind, soweit sie Zugang zu personenbezogenen Daten haben, verpflichtet, die ihnen bekannt gewordenen personenbezogenen Daten vertraulich zu behandeln, es sei denn, eine gesetzliche Regelung verpflichtet sie zur Offenlegung oder die Notwendigkeit der Offenlegung ergibt sich aus einer Pflicht.

Keine weitere Bestimmung

Sicherheitsmaßnahmen

1. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung und der Risiken für die Rechte und Freiheiten natürlicher Personen, die hinsichtlich ihrer Wahrscheinlichkeit und Schwere variieren, trifft der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Die derzeit bestehenden Sicherheitsmaßnahmen sind:
   1. Logische Zugangskontrolle durch persönliche Benutzerkennung und Passwort.
   2. Die Zugriffskontrolle bestimmt auch, auf welche Teile des Dyzle Portals Zugriff gewährt wird. Dadurch werden Berechtigungen an bestimmte Personen vergeben.
   3. Es wird ständig auf die Gefahren von Ransomware und die Notwendigkeit hingewiesen, die eigenen Anmeldecodes geheim zu halten.
   4. Es wurden/werden Unterverarbeitungsverträge mit Dritten abgeschlossen.
   5. ISO 27001-zertifizierter Anbieter für das Hosting des Dyzle-Portals.
   6. Es wurden IKT-Einrichtungen wie eine Firewall und Backups implementiert.
   7. Arbeitsverträge enthalten eine Vertraulichkeitsklausel, die auch nach Beendigung des Arbeitsverhältnisses gilt.

2. Der Auftragsverarbeiter muss Maßnahmen ergreifen, die den Bestimmungen von Artikel 32 AVG entsprechen.

Überwachung der Einhaltung

1. Der Auftragsverarbeiter erteilt auf Anfrage und auf Rechnung des Auftraggebers Auskunft über die Verarbeitung der Daten durch den Auftragsverarbeiter oder Unterauftragsverarbeiter. Der Auftragsverarbeiter wird die angeforderten Informationen so schnell wie möglich, spätestens jedoch innerhalb von fünf Arbeitstagen, zur Verfügung stellen.
2. Der Beklagte hat das Recht, einmal im Jahr auf eigene Kosten eine Inspektion durch einen unabhängigen Dritten durchführen zu lassen, der vom Beklagten und dem Auftragsverarbeiter gemeinsam zu benennen ist, um die Einhaltung der Verpflichtungen des Auftragsverarbeiters aus dem AVG und dieser Auftragsverarbeitervereinbarung zu überprüfen. Der Auftragsverarbeiter ist verpflichtet, jede zu diesem Zweck vernünftigerweise erforderliche Zusammenarbeit zu leisten. Der Auftragsverarbeiter ist berechtigt, seine Kosten im Zusammenhang mit der Inspektion dem Beklagten in Rechnung zu stellen.
3. Im Rahmen seiner Verpflichtung gemäß Absatz 1 dieses Artikels benachrichtigt der Auftragsverarbeiter in jedem Fall die verantwortliche Partei oder einen von der verantwortlichen Partei zu diesem Zweck eingeschalteten Dritten:
   • Stellen Sie alle relevanten Informationen und Dokumente zur Verfügung;
   • Zugang zu allen relevanten Gebäuden, Informationssystemen und Daten bieten
4. Die verantwortliche Partei und der Auftragsverarbeiter beraten sich so bald wie möglich nach Fertigstellung des Berichts, um etwaige Risiken und Mängel zu beseitigen. Der Auftragsverarbeiter ergreift auf Kosten der verantwortlichen Partei Maßnahmen, um die festgestellten Risiken und Mängel auf ein für die verantwortliche Partei akzeptables Niveau zu bringen bzw. zu beseitigen, sofern die Parteien nicht schriftlich etwas anderes vereinbart haben.

Datenschutzverletzung

1. Sobald der Auftragsverarbeiter von einem Vorfall oder einer Datenschutzverletzung erfährt, der/die die Daten (teilweise) betrifft oder betreffen könnte, benachrichtigt der Auftragsverarbeiter die betroffene Person über die dem Auftragsverarbeiter bekannten Kontaktdaten der betroffenen Person und informiert den Auftragsverarbeiter über: die Art des Vorfalls oder der Datenschutzverletzung, die betroffenen Daten, die festgestellten und erwarteten Auswirkungen des Vorfalls oder der Datenschutzverletzung auf die Daten und die Maßnahmen, die der Auftragsverarbeiter ergriffen hat und ergreifen wird.
2. Der Beklagte entscheidet, ob eine Meldung an die Behörde für personenbezogene Daten oder an die betroffenen Personen erfolgen soll. Der Auftragsverarbeiter unterstützt den Beklagten bei der Benachrichtigung der betroffenen Personen und/oder Behörden.
3. Der Auftragsverarbeiter verfügt über eine angemessene Richtlinie für Datenschutzverletzungen.

Sub-verwerkers

1. Verwerker maakt voor het uitvoeren van haar dienstverlening gebruik van een aantal Sub-verwerkers, waarvoor verantwoordelijke hierbij toestemming verleent. Deze Sub-verwerkers zijn op dit moment:
2. SMSpack, gevestigd te Den Haag, voor het uitsturen van sms-alarmeringen en berichten;
3. Fenix Informatie Technologie B.V., gevestigd te Vlist, voor het uitsturen van IVR (Interactive Voice Response) alarmeringen en berichten;
4. BIT B.V., gevestigd te Ede, voor de hosting van het Dyzle portaal.
5. Verantwoordelijke geeft hierbij Verwerker de algemene schriftelijke toestemming om Sub-verwerkers in te schakelen voor de verwerking van persoonsgegevens, alsmede om deze Sub-verwerkers te vervangen.
6. Verwerker draagt er zorg voor dat de Sub-verwerker is onderworpen aan deze verwerkersvoorwaarden dan wel aan een Sub-verwerkersovereenkomst die dezelfde plichten bevat als deze verwerkersvoorwaarden.
7. Indien de ingeschakelde Sub-verwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, is de Verwerker steeds aansprakelijk voor het nakomen van verplichtingen aan Verantwoordelijke.

Pflichten zur Zusammenarbeit und Rechte der betroffenen Personen

1. Der Auftragsverarbeiter unterstützt den für die Verarbeitung Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Ausübung der in Kapitel III AVG genannten Rechte der betroffenen Person.
2. Der Auftragsverarbeiter muss gegebenenfalls und unverzüglich nach einer entsprechenden Aufforderung durch den Verantwortlichen den Nachweis erbringen, dass der Auftragsverarbeiter dem Antrag der betroffenen Person stattgegeben hat. Die Kosten für die Ausübung der Rechte einer betroffenen Person werden von dem für die Verarbeitung Verantwortlichen getragen.
3. Der Auftragsverarbeiter muss, soweit gesetzlich zulässig, den Antragsgegner benachrichtigen, wenn der Auftragsverarbeiter eine Anfrage der betroffenen Person in Bezug auf die Rechte erhält, die der betroffenen Person durch das Datenschutzgesetz und die Verordnungen gewährt werden. Der Auftragsverarbeiter darf ohne die Zustimmung des für die Verarbeitung Verantwortlichen keinem Antrag einer betroffenen Person nachkommen.