Auftragsverarbeitungsvertrag

Hintergrund des Auftragsverarbeitungsvertrags

Dieser Vertrag legt die Rechte und Pflichten fest, die gelten, wenn Booking Board (der Auftragsverarbeiter) personenbezogene Daten im Auftrag eines Kunden (des Verantwortlichen) verarbeitet.

Der Vertrag dient der Sicherstellung der Einhaltung von Artikel 28 Absatz 3 der Datenschutz-Grundverordnung (EU) 2016/679, der spezifische Anforderungen an den Inhalt eines Auftragsverarbeitungsvertrags stellt.

Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt im Zusammenhang mit der Nutzung des Booking Board-Systems durch den Verantwortlichen, wie in den Geschäftsbedingungen von Booking Board beschrieben.

Der Auftragsverarbeitungsvertrag und die Geschäftsbedingungen von Booking Board sind voneinander abhängig und können nicht gesondert gekündigt werden. Der Auftragsverarbeitungsvertrag kann jedoch durch einen anderen gültigen Auftragsverarbeitungsvertrag ersetzt werden, ohne dass die Geschäftsbedingungen berührt werden. Bei Änderungen muss Booking Board den Verantwortlichen benachrichtigen und den neuen Vertrag zur Verfügung stellen.

Dieser Auftragsverarbeitungsvertrag hat Vorrang vor etwaigen ähnlichen Bestimmungen in anderen Vereinbarungen zwischen den Parteien, einschließlich der Geschäftsbedingungen von Booking Board.

Rechte und Pflichten

Der Verantwortliche trägt die letztendliche Verantwortung dafür, dass die Verarbeitung personenbezogener Daten im Rahmen der Datenschutz-Grundverordnung und des Datenschutzgesetzes erfolgt.

Der Auftragsverarbeiter muss angemessenen Anfragen des Verantwortlichen stets unverzüglich nachkommen, um die Einhaltung der Datenschutz-Grundverordnung und des Datenschutzgesetzes sicherzustellen.

Der Auftragsverarbeiter handelt gemäß Weisungen

• Der Auftragsverarbeiter darf personenbezogene Daten nur gemäß dokumentierten Weisungen des Verantwortlichen verarbeiten, es sei denn, eine Verarbeitung ist nach dem Recht der EU oder der Mitgliedstaaten erforderlich. In solchen Fällen hat der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung zu informieren, es sei denn, das betreffende Recht untersagt eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses.
• Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn nach seiner Auffassung eine Weisung gegen die Datenschutz-Grundverordnung oder gegen andere datenschutzrechtliche Bestimmungen der EU oder der Mitgliedstaaten verstößt.

Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass nur Personen, die für ihre Tätigkeit bei Booking Board Zugang benötigen, Zugriff auf die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten haben. Der Zugang zu den Daten ist unverzüglich zu entziehen, wenn die Person den Zugang nicht mehr benötigt oder nicht mehr bei Booking Board beschäftigt ist.

Datensicherheit

Der Auftragsverarbeiter hat alle nach Artikel 32 der Datenschutz-Grundverordnung erforderlichen Maßnahmen umzusetzen und angemessene technische und organisatorische Sicherheitsmaßnahmen unter Berücksichtigung des Risikos für die Rechte und Freiheiten natürlicher Personen zu gewährleisten:

1. Pseudonymisierung und Verschlüsselung personenbezogener Daten
2. Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme auf Dauer sicherzustellen
3. Fähigkeit, die Verfügbarkeit der und den Zugang zu personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen
4. Ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung

Einsatz von Unterauftragsverarbeitern

Der Auftragsverarbeiter muss die in Artikel 28 Absatz 2 und 4 der Datenschutz-Grundverordnung festgelegten Bedingungen erfüllen, um einen weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Der Auftragsverarbeiter darf ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen keinen Unterauftragsverarbeiter einsetzen.

Übermittlung von Daten an Drittländer oder internationale Organisationen

Der Auftragsverarbeiter darf personenbezogene Daten nur gemäß dokumentierten Weisungen des Verantwortlichen verarbeiten, einschließlich bei Übermittlungen an Drittländer oder internationale Organisationen, es sei denn, eine Verarbeitung ist nach dem Recht der EU oder der Mitgliedstaaten erforderlich.

Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte gemäß Kapitel 3 der Datenschutz-Grundverordnung zu beantworten.

Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu benachrichtigen, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.

Löschung und Rückgabe von Daten

Nach Beendigung der mit der Verarbeitung verbundenen Dienste hat der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zu löschen oder an den Verantwortlichen zurückzugeben und vorhandene Kopien zu löschen, es sei denn, das Recht der EU oder der Mitgliedstaaten schreibt eine Aufbewahrung der personenbezogenen Daten vor.

Überwachung und Prüfung

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 der Datenschutz-Grundverordnung und dieses Vertrags zur Verfügung und ermöglicht Überprüfungen oder Inspektionen durch den Verantwortlichen.

Inkrafttreten und Beendigung

Dieser Vertrag tritt in Kraft, wenn der Verantwortliche mit der Nutzung des Systems von Booking Board beginnt. Der Vertrag bleibt in Kraft, solange die Verarbeitung andauert, und kann nicht gesondert von den Geschäftsbedingungen von Booking Board gekündigt werden.