Auftragsverarbeitungsvertrag

1. Geltungsbereich und Zweck

Dieser Auftragsverarbeitungsvertrag („DPA") ist Bestandteil des Vertrags zwischen UnifAPI, Inc. („Auftragsverarbeiter") und dem Kunden („Verantwortlicher") über die Erbringung von Diensten. Dieser DPA legt die Bedingungen fest, unter denen der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

2. Begriffsbestimmungen

• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen
• Verarbeitung: Jeder mit personenbezogenen Daten ausgeführte Vorgang, einschließlich Erhebung, Speicherung, Nutzung und Löschung
• Betroffene Person: Die Person, auf die sich die personenbezogenen Daten beziehen
• Unterauftragsverarbeiter: Ein vom Auftragsverarbeiter zur Verarbeitung personenbezogener Daten beauftragter Dritter

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter ist verpflichtet:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
• Sicherzustellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind
• Angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen
• Den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen zu unterstützen
• Alle personenbezogenen Daten nach Beendigung der Dienste zu löschen oder zurückzugeben
• Alle Informationen bereitzustellen, die zum Nachweis der Einhaltung erforderlich sind

4. Sicherheitsmaßnahmen

Der Auftragsverarbeiter setzt die folgenden Sicherheitsmaßnahmen um:

• Verschlüsselung personenbezogener Daten während der Übertragung und im Ruhezustand
• Regelmäßige Prüfung und Bewertung der Sicherheitsmaßnahmen
• Zugangskontrollen und Authentifizierungsmechanismen
• Verfahren zur Erkennung von und Reaktion auf Vorfälle
• Regelmäßige Backups und Disaster-Recovery-Fähigkeiten
• Schulungen der Mitarbeiter zum Sicherheitsbewusstsein

5. Unterauftragsverarbeitung

Der Auftragsverarbeiter darf ohne vorherige schriftliche Genehmigung des Verantwortlichen keinen Unterauftragsverarbeiter beauftragen. Wenn ein Unterauftragsverarbeiter beauftragt wird:

• Erlegt der Auftragsverarbeiter gleichwertige Datenschutzpflichten auf
• Bleibt der Auftragsverarbeiter für die Leistung des Unterauftragsverarbeiters voll verantwortlich
• Wird der Verantwortliche über beabsichtigte Änderungen bei den Unterauftragsverarbeitern informiert

6. Datenübermittlungen

Jede Übermittlung personenbezogener Daten in ein Land außerhalb des Europäischen Wirtschaftsraums unterliegt geeigneten Garantien, einschließlich:

• Standardvertragsklauseln
• Verbindlichen internen Datenschutzvorschriften
• Angemessenheitsbeschlüssen der zuständigen Behörden

7. Benachrichtigung bei Datenschutzverletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich (und spätestens innerhalb von 48 Stunden), nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat. Die Benachrichtigung umfasst:

• Die Art der Verletzung
• Die Kategorien und die ungefähre Zahl der betroffenen Personen
• Die wahrscheinlichen Folgen der Verletzung
• Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung

8. Prüfungsrechte

Der Verantwortliche hat das Recht, Audits und Inspektionen durchzuführen, um die Einhaltung dieses DPA durch den Auftragsverarbeiter zu überprüfen. Der Auftragsverarbeiter kooperiert in vollem Umfang und gewährt Zugang zu allen relevanten Einrichtungen, Geräten und Unterlagen.

9. Laufzeit und Beendigung

Dieser DPA bleibt für die Dauer des Dienstleistungsvertrags in Kraft. Bei Beendigung löscht oder retourniert der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten und bestätigt, dass dies erfolgt ist.

10. Haftung

Die Haftung jeder Partei aus diesem DPA unterliegt den im Hauptdienstleistungsvertrag festgelegten Beschränkungen. Nichts in diesem DPA beschränkt die Haftung einer Partei für Verstöße gegen das Datenschutzrecht.