Zusatz zur Datenverarbeitung (DPA)

Datum des Inkrafttretens: 1. Januar 2026

Dieser Zusatz zur Datenverarbeitung (“DPA”) ist Teil der Vereinbarung zwischen Auftrag annehmen B.V. (“Auftrag annehmen”, “Bearbeiter”) und die Kundeneinheit, die den Service abonniert Auftrag annehmen Dienstes (“Kunde”, “für die Verarbeitung Verantwortlicher”). Diese DPA gilt in folgendem Umfang Auftrag annehmen verarbeitet personenbezogene Daten im Auftrag des Kunden im Zusammenhang mit dem Auftrag annehmen Software-Plattform und damit verbundene Dienstleistungen (der “Dienst”).

Wenn Sie diese DPA im Namen einer Organisation akzeptieren, bestätigen Sie, dass Sie befugt sind, diese Organisation zu binden.

1) Definitionen #

Für die Zwecke dieser DPA:

• Anwendbares Datenschutzrecht bezeichnet die DSGVO und alle anwendbaren Gesetze der EU-Mitgliedstaaten und, sofern anwendbar, die britische DSGVO und das britische Datenschutzgesetz 2018 sowie das Schweizer Datenschutzrecht.
• Persönliche Kundendaten sind die in den Kundendaten enthaltenen persönlichen Daten, die Auftrag annehmen im Rahmen der Bereitstellung des Dienstes im Namen des Kunden verarbeitet.
• Kundendaten sind Daten, Inhalte, Dateien und Materialien, die vom Kunden oder autorisierten Benutzern an den Dienst übermittelt werden.
• Autorisierte Benutzer sind Personen, denen der Kunde erlaubt, den Service unter seinem Konto zu nutzen.
• Unterauftragsverarbeiter ist eine dritte Partei, die von Auftrag annehmen Persönliche Daten von Kunden zu verarbeiten, um die Erbringung von Dienstleistungen zu unterstützen.
• Ein Sicherheitsvorfall ist eine bestätigte versehentliche oder unrechtmäßige Zerstörung, ein Verlust, eine Änderung, eine unbefugte Offenlegung von oder ein Zugriff auf persönliche Kundendaten.
• Standardvertragsklauseln oder SCCs sind die von der Europäischen Kommission genehmigten Standardvertragsklauseln für internationale Überweisungen.

2) Umfang, Rollen und Verantwortlichkeiten #

2.1 Kunde als Controller #

Der Kunde ist der Verantwortliche für die persönlichen Daten des Kunden. Der Kunde bestimmt den Zweck und die Mittel der Verarbeitung, einschließlich der Frage, welche Kundendaten übermittelt werden, wer Zugang hat und wie die Kundendaten innerhalb der Organisation des Kunden verwendet werden.

2.2 Auftrag annehmen als Verarbeiter #

Auftrag annehmen verarbeitet personenbezogene Daten des Kunden nur als Auftragsverarbeiter und nur zur Bereitstellung und Sicherung des Dienstes in Übereinstimmung mit den dokumentierten Anweisungen des Kunden und dieser DPA.

3) Rangfolge #

Im Falle eines Widerspruchs zwischen den Dokumenten gilt die folgende Reihenfolge, sofern in einem Bestellformular nicht ausdrücklich etwas anderes angegeben ist:

1. Bestellformular oder unterzeichneter Handelsvertrag
2. Diese DPA (für die Verarbeitung personenbezogener Kundendaten)
3. SaaS-Bedingungen oder Kundenvereinbarung
4. Anwendbare Programmbedingungen (API, Beta, Piloten), falls ausdrücklich für dieses Programm vereinbart

4) Verarbeitungshinweise #

4.1 Dokumentierte Anweisungen #

Auftrag annehmen wird personenbezogene Daten des Kunden nur auf dokumentierte Anweisungen des Kunden hin verarbeiten, einschließlich derjenigen, die für die Bereitstellung des vom Kunden angeforderten Dienstes und des damit verbundenen Supports erforderlich sind, es sei denn, die Verarbeitung ist durch geltendes Recht vorgeschrieben. Soweit gesetzlich zulässig, Auftrag annehmen wird den Kunden vor der Verarbeitung über diese rechtlichen Anforderungen informieren.

4.2 Art und Zweck der Verarbeitung #

Die Verarbeitung erfolgt zur Bereitstellung des Dienstes, einschließlich Hosting, Speicherung, Übertragung, Sicherung und Bereitstellung von Kundendaten für die Zusammenarbeit und Workflow-Funktionen.

5) Vertraulichkeit #

Auftrag annehmen stellt sicher, dass die zur Verarbeitung personenbezogener Kundendaten befugten Personen der Geheimhaltungspflicht unterliegen und ihrer Rolle entsprechende Anweisungen erhalten. Der Zugang ist auf die Personen beschränkt, die ihn für die Erbringung des Dienstes benötigen, wobei die Grundsätze des geringsten Rechtsanspruchs und des "Need-to-know"-Prinzips beachtet werden.

6) Sicherheit der Verarbeitung #

Auftrag annehmen setzt geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten der Kunden gemäß Artikel 32 GDPR um. Diese Maßnahmen sind in Anhang C in groben Zügen beschrieben.

7) Unterprozessoren #

7.1 Berechtigung zum Einsatz von Unterauftragsverarbeitern #

Der Kunde erteilt eine allgemeine Genehmigung für Auftrag annehmen Unterauftragsverarbeiter zur Unterstützung der Dienstleistungserbringung zu beauftragen. Auftrag annehmen gewährleistet, dass die Unterauftragsverarbeiter an Verpflichtungen gebunden sind, die nicht weniger schützend sind als die in dieser DPA enthaltenen.

7.2 Subprozessorliste und Aktualisierungen #

Die Kategorien von Unterauftragsverarbeitern und die derzeitige Liste der für die Erbringung von Dienstleistungen verwendeten Dienstleister sind in Anhang B beschrieben.

Auftrag annehmen kann Subprozessoren aktualisieren. Wenn ein neuer Subprozessor hinzugefügt oder ein Subprozessor ersetzt wird, Auftrag annehmen wird den Kunden im Voraus benachrichtigen, sofern dies gesetzlich vorgeschrieben ist.

7.3 Einwände #

Wenn der Kunde aus Datenschutzgründen berechtigte Einwände gegen einen neuen Unterauftragsverarbeiter erhebt, kann er Folgendes mitteilen Auftrag annehmen innerhalb der Kündigungsfrist. Die Parteien bemühen sich nach bestem Wissen und Gewissen um eine Lösung für den Einspruch. Wenn keine angemessene Lösung verfügbar ist und die Änderung für die Bereitstellung des Dienstes wesentlich ist, kann jede Partei das betroffene Abonnement ohne Vertragsstrafe für den nicht genutzten vorausbezahlten Zeitraum kündigen.

8) Unterstützung des Kunden #

Unter Berücksichtigung der Art der Verarbeitung, Auftrag annehmen wird dem Kunden in angemessener Weise dabei behilflich sein:

• Beantwortung von Anfragen der betroffenen Person in Bezug auf die persönlichen Daten des Kunden, wenn der Kunde nicht mit Hilfe der Dienstkontrollen antworten kann.
• Sicherheit, Benachrichtigungen über Sicherheitsverletzungen und Risiko Bewertungen, die für die Nutzung des Dienstes durch den Kunden relevant sind.
• DPIAs und Konsultationen mit Aufsichtsbehörden, soweit dies für den Dienst relevant ist, und die Informationen, die für Auftrag annehmen.

Der Kunde bleibt als für die Verarbeitung Verantwortlicher dafür verantwortlich, den betroffenen Personen und den Aufsichtsbehörden zu antworten.

9) Meldung von Sicherheitsvorfällen #

Auftrag annehmen benachrichtigt den Kunden unverzüglich nach Bestätigung eines Sicherheitsvorfalls, der personenbezogene Daten des Kunden betrifft. Wenn möglich, erfolgt die Benachrichtigung innerhalb von 48 Stunden nach der Bestätigung.

Die Benachrichtigung enthält verfügbare Informationen, die die Verpflichtungen des Kunden unterstützen, wie z. B.:

• Eine Beschreibung des Vorfalls und der voraussichtlichen Auswirkungen
• Kategorien der betroffenen Daten (falls bekannt)
• Getroffene oder geplante Maßnahmen zur Behebung des Vorfalls
• Empfohlene Kundenaktionen (falls zutreffend)

10) Löschung oder Rückgabe von persönlichen Daten des Kunden #

Bei Beendigung oder Ablauf des Dienstes und auf Anfrage des Kunden, sofern verfügbar:

• Der Kunde kann Kundendaten mit den verfügbaren Exporttools exportieren.
• Auftrag annehmen löscht oder gibt die personenbezogenen Daten des Kunden gemäß den Anweisungen des Kunden zurück, vorbehaltlich des geltenden Rechts und angemessener Aufbewahrungsfristen für Sicherungskopien.

11) Audits und Informationen zur Einhaltung der Vorschriften #

Auftrag annehmen stellt die Informationen zur Verfügung, die für den Nachweis der Einhaltung dieser DPA angemessen sind. Der Kunde kann einmal pro Jahr eine Sicherheits- oder Compliance-Überprüfung beantragen, es sei denn, es kommt zu einem Sicherheitsvorfall; in diesem Fall kann der Kunde zusätzliche Informationen zu diesem Vorfall anfordern.

Vor-Ort-Prüfungen unterliegen einem angemessenen Umfang, Zeitplan, Vertraulichkeitsschutz und einer angemessenen Kostenzuweisung und dürfen nicht unangemessen stören. Auftrag annehmen Operationen.

12) Internationale Überweisungen #

12.1 Ort der Erstverarbeitung #

Die personenbezogenen Daten des Kunden werden in erster Linie im Europäischen Wirtschaftsraum gehostet und verarbeitet, wobei das Standard-Hosting in Westeuropa erfolgt, es sei denn, der Kunde wählt eine andere Region, sofern dies im Rahmen einer Unternehmensvereinbarung möglich ist.

12.2 Übertragungen außerhalb der EU oder des EWR #

Wenn personenbezogene Daten des Kunden außerhalb der EU oder des EWR übermittelt werden, Auftrag annehmen sorgt für einen angemessenen Übermittlungsmechanismus nach geltendem Datenschutzrecht, wie z. B.:

• SCCs, plus zusätzliche Maßnahmen, falls erforderlich
• Für Übermittlungen aus dem Vereinigten Königreich ist das UK International Data Transfer Addendum oder ein anderer gültiger britischer Mechanismus erforderlich.
• Für Schweizer Überweisungen gelten die in der Schweiz anerkannten Mechanismen

13) Haftung #

Jede Partei bleibt für die Einhaltung des geltenden Datenschutzrechts selbst verantwortlich. Die Haftung im Zusammenhang mit dieser DPA richtet sich nach den Haftungsbeschränkungsbestimmungen des maßgeblichen Handelsvertrags, sofern nicht zwingendes Recht etwas anderes vorschreibt.

14) Begriff #

Diese DPA bleibt für die Dauer des Vertrages in Kraft. Auftrag annehmen verarbeitet die persönlichen Daten des Kunden im Namen des Kunden.