Vereinbarung zur Auftragsverarbeitung (AVV)

Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO wird geschlossen zwischen dem Nutzer der Sanctions Compliance Platform als Verantwortlichem (nachfolgend „Auftraggeber“) und Alexander Bergmann, Quellenstraße 7a, 70376 Stuttgart, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

Die Vereinbarung ist Bestandteil des Nutzungsvertrags nach den Allgemeinen Geschäftsbedingungen (AGB). Sie kommt mit der Zustimmung zu den AGB zustande; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer eine Fassung zur Unterzeichnung bereit.

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten Dritter, die der Auftraggeber bei der Nutzung der Plattform eingibt oder überwachen lässt (nachfolgend „Auftragsdaten“). Sie regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien in Bezug auf diese Daten.

Nicht Gegenstand dieser Vereinbarung sind die Kontodaten des Auftraggebers und die Daten aus den amtlichen Sanktionslisten; für diese ist der Auftragnehmer selbst Verantwortlicher (siehe Datenschutzerklärung). Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.

Zweck: Abgleich von Personen, Unternehmen und sonstigen Angaben mit Sanktionslisten, Speicherung des Suchverlaufs, laufende Überwachung ausgewählter Einträge mit Benachrichtigung bei Statusänderungen sowie Bereitstellung des Datenexports.

Art der Verarbeitung: Entgegennahme der Eingaben über die Weboberfläche oder die API, Speichern, Abgleichen, Anzeigen, Versenden von Benachrichtigungen per E-Mail, Exportieren und Löschen.

Kategorien von Daten, soweit der Auftraggeber sie eingibt: Namen und Aliasnamen, Geburtsdatum und Geburtsort, Staatsangehörigkeit, Anschriften, Kontaktdaten (E-Mail-Adressen, Telefonnummern), Identifikationsnummern (z. B. Reisepass-, Personalausweis-, Steuer- und Handelsregisternummer, USt-IdNr., LEI, DUNS-Nummer) sowie Finanzkennungen (z. B. IBAN, BIC, Krypto-Wallet-Adressen).

Kategorien betroffener Personen: Geschäftspartner, Kunden, Lieferanten, Beschäftigte und Interessenten des Auftraggebers sowie sonstige natürliche Personen, die der Auftraggeber prüft, einschließlich Vertretern und wirtschaftlich Berechtigten von Unternehmen.

Die Plattform ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Der Auftraggeber gibt solche Daten nicht ein.

Die Verarbeitung dauert so lange wie der Nutzungsvertrag. Sie erfolgt auf Servern in einem Rechenzentrum in der Europäischen Union. E-Mail-Benachrichtigungen werden über einen Dienstleister in der Schweiz versendet, für die ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO). Eine Verarbeitung außerhalb der EU oder des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Der Auftragnehmer verarbeitet die Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vorab mit, sofern das betreffende Recht dies nicht verbietet.

Die Weisungen ergeben sich aus den AGB, dieser Vereinbarung und der Nutzung der Funktionen der Plattform durch den Auftraggeber (z. B. Suchen, Überwachung, Export, Löschung). Weitere Weisungen erteilt der Auftraggeber in Textform an alexander.bergmann@scp.one.

Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

Der Auftragnehmer verarbeitet die Auftragsdaten ausschließlich zur Erbringung der vertraglichen Leistungen und nicht für eigene Zwecke. Die technische Protokollierung zur Fehleranalyse und zur Abwehr von Angriffen ist Teil der Leistungserbringung.

Personen, die Zugang zu Auftragsdaten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.

Der Auftragnehmer trifft die in Abschnitt 11 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Der Auftraggeber kann Auftragsdaten über die Funktionen der Plattform selbst einsehen, exportieren und löschen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes von Auftragsdaten unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

Der Auftragnehmer unterstützt den Auftraggeber außerdem bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde, bei Benachrichtigungen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen (Art. 32 bis 36 DSGVO), jeweils im Rahmen der ihm vorliegenden Informationen.

Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen im Voraus per E-Mail über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei den Vertrag zum Zeitpunkt des Wechsels kündigen.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieser Vereinbarung entsprechen. Er haftet gegenüber dem Auftraggeber für deren Einhaltung nach Art. 28 Abs. 4 DSGVO.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind.

Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen durchführen. Diese sind mit angemessener Frist, in der Regel zwei Wochen, anzukündigen und so durchzuführen, dass der Betrieb nicht unverhältnismäßig gestört wird. Soweit möglich, erfolgt der Nachweis zunächst durch schriftliche Auskünfte und Dokumentation.

Der Auftraggeber kann die Auftragsdaten jederzeit über die Exportfunktion in den Kontoeinstellungen in einem gängigen, maschinenlesbaren Format (JSON) abrufen.

Mit Ende des Vertrags, also mit Löschung des Nutzerkontos, löscht oder anonymisiert der Auftragnehmer die Auftragsdaten, sofern keine gesetzliche Pflicht zur Speicherung besteht. Suchtexte in technischen Protokolldateien werden nach Ablauf von 14 Tagen gelöscht, Datensicherungen nach Maßgabe von Abschnitt 11.

Auf Anfrage bestätigt der Auftragnehmer dem Auftraggeber die Löschung in Textform.

Diese Vereinbarung gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragnehmer Auftragsdaten verarbeitet. Änderungen dieser Vereinbarung erfolgen nach dem Verfahren für Änderungen der AGB.

Sollte eine Bestimmung dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.