Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung ("DPA") wird zwischen den Parteien hinsichtlich der Verarbeitung personenbezogener Daten im Rahmen des Hauptvertrags (nachfolgend "Hauptvertrag" genannt) geschlossen. Die Erbringung von Dienstleistungen im Rahmen des Hauptvertrags ("Dienstleistungen") erfordert die Verarbeitung von Daten. Wenn und soweit diese Daten aus personenbezogenen Daten bestehen oder solche enthalten, handelt der Datenverarbeiter als Datenverarbeiter in Bezug auf diese Daten, während der Verantwortliche gemäß Artikel 28 der Datenschutz-Grundverordnung (nachfolgend "DSGVO" genannt) der Verantwortliche für diese Daten bleibt.

Die Dienstleistungen werden vom Datenverarbeiter so erbracht, dass der Verantwortliche seine eigenen Daten bereitstellt, deren Übertragung an den Datenverarbeiter steuert und im Falle von Software-as-a-Service (SaaS)-Modellen die Handhabung solcher auf die Dienstleistungen hochgeladenen Daten direkt steuert. Der Verantwortliche stimmt zu und versteht, dass der Datenverarbeiter die Daten des Verantwortlichen oder die Handhabung solcher Daten durch den Verantwortlichen nicht überwacht, es sei denn, der Verantwortliche fordert ausdrücklich Zugang zu solchen Daten vom Datenverarbeiter an. Daher liegt es in der alleinigen Verantwortung und Verpflichtung des Verantwortlichen sicherzustellen, dass die Daten des Verantwortlichen in Übereinstimmung mit den geltenden Datenschutzgesetzen gesammelt und übertragen werden und insbesondere, dass es eine Rechtsgrundlage hierfür gibt und dass die betroffenen Personen ordnungsgemäß über die Erhebung und Verarbeitung ihrer personenbezogenen Daten informiert werden.

Als Datenverarbeiter verarbeitet der Datenverarbeiter die personenbezogenen Daten des Verantwortlichen nur in Übereinstimmung mit den Bestimmungen dieser Vereinbarung zur Auftragsverarbeitung (DPA) und den dokumentierten Anweisungen des Verantwortlichen. Wenn der Datenverarbeiter nach Unionsrecht oder dem Recht der Mitgliedstaaten, dem er unterliegt, zur weiteren Verarbeitung personenbezogener Daten verpflichtet ist, informiert der Datenverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen, es sei denn, das einschlägige Recht verbietet eine solche Benachrichtigung aus Gründen des wichtigen öffentlichen Interesses; im letzteren Fall informiert der Datenverarbeiter den Verantwortlichen über die weitere Verarbeitung, sobald dies rechtlich zulässig ist. Der Datenverarbeiter stellt sicher und überprüft regelmäßig, dass die Verarbeitung personenbezogener Daten in seinem Verantwortungsbereich, einschließlich aller von ihm beauftragten Unterauftragsverarbeiter, in Übereinstimmung mit den Bestimmungen dieser DPA, den geltenden Datenschutzgesetzen und insbesondere der DSGVO durchgeführt wird.

Die Einzelheiten der Verarbeitung sind in den nachfolgenden Bestimmungen und im Hauptvertrag beschrieben. Unter Berücksichtigung seiner Verpflichtungen als Verantwortlicher wird der Verantwortliche den Verarbeiter informieren, falls es erforderlich ist, die im Hauptvertrag festgelegten Bestimmungen zu ergänzen.

Der Verarbeiter wird personenbezogene Daten wie im Hauptvertrag beschrieben verarbeiten.

Der Verarbeiter wird personenbezogene Daten grundsätzlich für die Dauer des Hauptvertrags und dieser Vereinbarung zur Auftragsverarbeitung verarbeiten, sofern nicht schriftlich etwas anderes vereinbart wurde.

Der Verarbeiter verarbeitet personenbezogene Daten ausschließlich in seinen eigenen Räumlichkeiten oder in den Räumlichkeiten seiner autorisierten Unterauftragsverarbeiter. Alle Verarbeitungsvorgänge werden grundsätzlich in den Mitgliedstaaten der Europäischen Union oder in einem anderen Staat durchgeführt, der Vertragspartei des Abkommens über den Europäischen Wirtschaftsraum ist.

Jede Verarbeitung personenbezogener Daten außerhalb der EU/des EWR ist nur mit vorheriger Vereinbarung zwischen den Parteien und nur zulässig, wenn die Anforderungen der Artikel 44 ff. DSGVO erfüllt sind.

Die Parteien stimmen zu, dass diese DPA die allgemeinen Anweisungen des Verantwortlichen bezüglich der Verarbeitung personenbezogener Daten im Auftrag des Verarbeiters enthält.

Alle spezifischen Anweisungen des Verantwortlichen, die von den Bestimmungen dieser Vereinbarung zur Auftragsverarbeitung abweichen oder dem Verarbeiter neue, zusätzliche Verpflichtungen auferlegen, erfordern die Zustimmung des Verarbeiters, um wirksam zu sein. Für solche spezifischen Anweisungen wenden die Parteien das im Hauptvertrag vereinbarte Änderungsverfahren an, falls zutreffend.

Es liegt in der Verantwortung des Verantwortlichen sicherzustellen, dass die von ihm erteilten Anweisungen bezüglich der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen den geltenden Datenschutzgesetzen entsprechen und dass der Verarbeiter personenbezogene Daten in Übereinstimmung mit diesen Anweisungen verarbeiten kann, ohne gegen geltende Datenschutzgesetze, insbesondere die DSGVO, zu verstoßen. Wenn der Verarbeiter der Ansicht ist, dass eine Anweisung des Verantwortlichen gegen geltende Datenschutzgesetze verstößt, informiert der Verarbeiter den Verantwortlichen entsprechend. In solchen Fällen ist der Verarbeiter berechtigt, die Ausführung der Anweisung zu verweigern, bis der Verantwortliche sie bestätigt.

Spezifische Anweisungen des Verantwortlichen müssen schriftlich oder mindestens in Textform von Personen erteilt werden, die hierzu im Namen des Verantwortlichen autorisiert sind. Mündlich erteilte Anweisungen müssen sofort von einer der autorisierten Personen und mindestens in Textform bestätigt werden, um wirksam zu sein.

Mitarbeiter des Datenverarbeiters: (i) sind, soweit sie zur Verarbeitung personenbezogener Daten autorisiert sind, zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht; (ii) verarbeiten personenbezogene Daten nur in Übereinstimmung mit den Anweisungen des Datenverarbeiters, es sei denn, es besteht eine Verpflichtung zur Verarbeitung in anderer Weise nach geltenden Datenschutzgesetzen; und (iii) werden regelmäßig über die Verpflichtungen aus dieser DPA und den geltenden Datenschutzgesetzen, insbesondere der DSGVO, unterrichtet.

Der Datenverarbeiter darf ohne vorherige Zustimmung des Verantwortlichen keine Kopien oder Duplikate der im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten anfertigen. Hiervon ausgenommen sind Kopien, die zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung und ordnungsgemäßen Erbringung der Dienstleistungen (einschließlich Datensicherung) erforderlich sind, sowie Kopien, die zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich sind.

Der Verarbeiter bestellt einen sachkundigen und zuverlässigen Datenschutzbeauftragten, wenn und solange die gesetzlichen Voraussetzungen für die Bestellung eines Datenschutzbeauftragten bestehen. Der Verarbeiter stellt dem Verantwortlichen die Kontaktdaten eines solchen bestellten Datenschutzbeauftragten zur Verfügung.

Vor Beginn der Verarbeitung implementiert der Datenverarbeiter die unter www.fitness-nation.com/support/tom.html aufgeführten technischen und organisatorischen Maßnahmen und hält sie während der gesamten Laufzeit dieser Vereinbarung zur Auftragsverarbeitung aufrecht. Diese technischen und organisatorischen Maßnahmen sind darauf ausgelegt, ein dem Risiko angemessenes Sicherheitsniveau in Bezug auf Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme zu gewährleisten. Der Stand der Technik, die Kosten der Implementierung sowie Art, Umfang, Kontext und Zwecke der Verarbeitung sowie die unterschiedliche Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Artikel 32 Absatz 1 DSGVO müssen berücksichtigt werden.

Da technische und organisatorische Maßnahmen dem technischen Fortschritt und technologischen Entwicklungen unterliegen, ist es dem Datenverarbeiter gestattet, alternative und angemessene Maßnahmen zu implementieren, vorausgesetzt, dass dies nicht zu einem Sicherheitsstandard führt, der nicht niedriger ist als der unter www.fitness-nation.com/support/tom.html angegebene.

Der Datenverarbeiter darf Unterauftragsverarbeiter für die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen nur mit vorheriger Zustimmung des Verantwortlichen beauftragen. Der Verantwortliche erteilt hiermit seine Zustimmung zur Verwendung der unter www.fitness-nation.com/support/subunternehmer.html aufgeführten Unterauftragsverarbeiter.

Der Datenverarbeiter legt jedem Unterauftragsverarbeiter Verpflichtungen in Bezug auf Datenschutz, Vertraulichkeit und Datensicherheit auf, die mindestens so streng sind wie die Verpflichtungen des Datenverarbeiters gegenüber dem Verantwortlichen, die in dieser Vereinbarung zur Auftragsverarbeitung festgelegt sind. Wenn ein Unterauftragsverarbeiter diese ihm auferlegten Verpflichtungen nicht einhält, haftet der Datenverarbeiter für diese Verstöße, als wären sie sein eigenes Verschulden.

Der Verarbeiter benachrichtigt den Verantwortlichen schriftlich über jede neue Beauftragung eines Unterauftragsverarbeiters. Wenn der Verantwortliche nach Erhalt einer solchen Benachrichtigung innerhalb von dreißig (30) Tagen unter Angabe eines plausiblen Grundes Widerspruch gegen die Beauftragung einlegt, suchen die Parteien eine einvernehmliche Lösung. Wenn in einem solchen Fall innerhalb von zwei (2) Monaten keine einvernehmliche Lösung gefunden werden kann, hat der Verantwortliche das Recht, den Hauptvertrag in Bezug auf diejenigen Dienstleistungen zu kündigen, für die die Beauftragung des vorgeschlagenen Unterauftragsverarbeiters erforderlich ist.

Die Parteien stimmen zu, dass Anbieter von bloßen Nebenleistungen keine Datenverarbeiter im Sinne der Datenschutzgesetze sind; dies umfasst insbesondere Transportdienstleistungen, die von Post- oder Kurierdiensten erbracht werden, sowie Geldtransportdienstleistungen, Telekommunikationsdienstleistungen, Sicherheitsdienstleistungen und Reinigungsdienstleistungen. Ungeachtet des Vorstehenden wird der Datenverarbeiter branchenübliche Vertraulichkeitsvereinbarungen mit solchen Unterauftragnehmern abschließen.

Die Bestimmungen dieses Abschnitts 7 gelten auch, wenn ein Unterauftragsverarbeiter in einem Drittland außerhalb der EU oder des EWR beauftragt wird. Vorbehaltlich der Zustimmung des Verantwortlichen zur Verwendung des Unterauftragsverarbeiters ermächtigt der Verantwortliche hiermit den Verarbeiter, im Namen des Verantwortlichen einen Vertrag mit einem Unterauftragsverarbeiter abzuschließen, der die Daten des Verantwortlichen außerhalb der EU oder des EWR verarbeitet, unter Einbeziehung der EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Verarbeiter in Drittländern vom 5. Februar 2010 oder, falls zutreffend, später von der EU-Kommission oder der zuständigen Aufsichtsbehörde angenommene Standard-Datenschutzklauseln.

Auf schriftliche Anfrage des Verantwortlichen leistet der Verarbeiter dem Verantwortlichen angemessene Unterstützung im Falle einer Untersuchung oder Anfrage durch eine Datenschutzaufsichtsbehörde, soweit sich eine solche Untersuchung oder Anfrage auf die Dienstleistungen bezieht. Der Verarbeiter leistet dem Verantwortlichen angemessene Unterstützung bei der Erfüllung aller Verpflichtungen im Zusammenhang mit einer solchen Untersuchung oder Anfrage. Sollte eine Datenschutzaufsichtsbehörde eine Untersuchung direkt beim Verarbeiter einleiten oder eine entsprechende Anfrage direkt an den Verarbeiter richten, informiert der Verarbeiter den Verantwortlichen, soweit zulässig, unverzüglich und kooperiert im Rahmen einer solchen Untersuchung oder Anfrage.

Der Verarbeiter informiert den Verantwortlichen ohne unzumutbare Verzögerung, wenn er eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Verarbeitung personenbezogener Daten unter dieser Vereinbarung zur Auftragsverarbeitung feststellt. Wenn der Verantwortliche infolge einer solchen Benachrichtigung Meldepflichten gegenüber Datenschutzaufsichtsbehörden und/oder betroffenen Personen (insbesondere nach den Artikeln 33 und 34 der DSGVO) unterliegt, leistet der Verarbeiter dem Verantwortlichen angemessene und notwendige Unterstützung bei der Erfüllung dieser Meldepflichten. Soweit der Verarbeiter nicht für eine meldepflichtige Datenschutzverletzung verantwortlich ist, ist der Verarbeiter berechtigt, für die Unterstützungsleistungen gemäß den im Hauptvertrag vereinbarten Vergütungssätzen zu berechnen.

Der Verarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Verarbeiter verfügbaren Informationen bei jeder Datenschutz-Folgenabschätzung, die der Verantwortliche möglicherweise in Bezug auf die Verarbeitung personenbezogener Daten durchführen muss, einschließlich gegebenenfalls der Konsultation der zuständigen Datenschutzaufsichtsbehörde (Artikel 35 und 36 DSGVO). Der Verarbeiter ist berechtigt, für die Unterstützungsleistungen gemäß den im Hauptvertrag vereinbarten Vergütungssätzen zu berechnen.

Der Verarbeiter informiert den Verantwortlichen ohne unzumutbare Verzögerung, wenn sich eine betroffene Person direkt an den Verarbeiter wendet, um eine Beschwerde, eine Anfrage einzureichen oder ihre Rechte auszuüben. Der Verarbeiter antwortet nicht selbst auf die Anfrage, es sei denn, der Verantwortliche hat den Verarbeiter ausdrücklich angewiesen, dies zu tun. Der Verarbeiter leistet dem Verantwortlichen angemessene Unterstützung bei der Beantwortung solcher Beschwerden, Anfragen und Anfragen betroffener Personen. Der Verarbeiter ist berechtigt, für die geleistete Unterstützung gemäß den im Hauptvertrag vereinbarten Vergütungssätzen zu berechnen.

Auf angemessene Anweisung des Verantwortlichen während der Laufzeit dieser Vereinbarung zur Auftragsverarbeitung (DPA) oder nach deren Beendigung oder nach Beendigung der Verarbeitung personenbezogener Daten unter dem relevanten Einzelvertrag zerstört, löscht oder gibt der Verarbeiter die im Auftrag des Verantwortlichen verarbeiteten Daten zurück. Wenn geltende Gesetze den Verarbeiter daran hindern, die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten zu zerstören, zu löschen oder zurückzugeben, stellt der Verarbeiter dennoch die aktive Verarbeitung solcher Daten ein, speichert sie jedoch weiterhin nur, um gesetzlichen Anforderungen, insbesondere gesetzlichen Aufbewahrungspflichten, nachzukommen, und zerstört, löscht oder gibt sie an den Verantwortlichen zurück, sobald das rechtliche Hindernis nicht mehr besteht, gemäß den ursprünglichen Anweisungen des Verantwortlichen.

Der Verarbeiter erstellt einen Nachweis über jede Zerstörung oder Löschung personenbezogener Daten, der dem Verantwortlichen auf Anfrage zur Verfügung gestellt wird.

Der Verantwortliche ist berechtigt, während der normalen Geschäftszeiten (Montag bis Freitag von 9:00 bis 17:00 Uhr) auf eigene Kosten, ohne den Betrieb zu stören und unter strikter Wahrung der Vertraulichkeit der Geschäftsgeheimnisse und Betriebsgeheimnisse des Verarbeiters, die Räumlichkeiten des Verarbeiters zu betreten, in denen die Daten des Verantwortlichen verarbeitet werden, um die Einhaltung dieser Vereinbarung zur Auftragsverarbeitung zu überprüfen. Der Verantwortliche wird im Allgemeinen ausreichend im Voraus (mindestens zwei Wochen im Voraus) über eine solche Vor-Ort-Prüfung benachrichtigen.

In der Regel ist der Verantwortliche zu einer Vor-Ort-Prüfung pro Kalenderjahr berechtigt, wie im vorhergehenden Absatz erwähnt. Dies beeinträchtigt nicht das Recht des Verantwortlichen, im Falle besonderer Vorfälle weitere Vor-Ort-Prüfungen durchzuführen.

Wenn der Verantwortliche einen Dritten mit der Durchführung der Prüfung beauftragt, muss der Verantwortliche den Dritten schriftlich in demselben Umfang verpflichten, wie der Verantwortliche gegenüber dem Verarbeiter unter dieser Vereinbarung zur Auftragsverarbeitung verpflichtet ist. Darüber hinaus muss der Verantwortliche den Dritten zur Vertraulichkeit und Geheimhaltung verpflichten, es sei denn, der Dritte unterliegt einer beruflichen Verschwiegenheitspflicht. Auf Anfrage des Verarbeiters muss der Verantwortliche dem Verarbeiter unverzüglich die Vertraulichkeitsvereinbarungen mit dem Dritten zur Verfügung stellen. Der Verantwortliche darf keinen Wettbewerber des Verarbeiters mit der Durchführung der Prüfung beauftragen.

Anstelle einer Vor-Ort-Prüfung kann der Nachweis der Einhaltung dieser DPA auch durch Einhaltung genehmigter Verhaltenskodizes gemäß Artikel 40 DSGVO, Zertifizierung nach einem genehmigten Zertifizierungsmechanismus gemäß Artikel 42 DSGVO oder durch Vorlage einer geeigneten, aktuellen Bescheinigung, Berichte oder Auszüge aus Berichten unabhängiger Stellen (z. B. Wirtschaftsprüfer, interne Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit – z. B. nach ISO 27001 – ("Prüfbericht") erbracht werden, vorausgesetzt, dass der Prüfbericht es dem Verantwortlichen ermöglicht, sich vernünftigerweise mit der Einhaltung dieser DPA zufrieden zu geben.

Wenn und soweit eine Vor-Ort-Prüfung nicht durch Fehlverhalten des Verarbeiters veranlasst wurde, ist der Verarbeiter berechtigt, für die bei den Vor-Ort-Prüfungen entstandenen Ausgaben gemäß den im Hauptvertrag vereinbarten Vergütungssätzen zu berechnen.

Diese Allgemeinen Geschäftsbedingungen unterliegen demselben Recht wie der Hauptvertrag, und die Gerichte, auf die sich die Parteien im Hauptvertrag geeinigt haben, haben ausschließliche Zuständigkeit für alle Streitigkeiten, die aus diesen Allgemeinen Geschäftsbedingungen oder in Verbindung damit entstehen.

Änderungen oder Ergänzungen dieser Allgemeinen Verwaltungsvorschrift sind nur wirksam, wenn sie schriftlich vorgenommen werden.

Wenn eine Bestimmung dieser Allgemeinen Geschäftsbedingungen vom zuständigen Gericht für ungültig oder nicht durchsetzbar erklärt wird, bleiben die übrigen Bestimmungen in vollem Umfang in Kraft.

Diese Vereinbarung zur Auftragsverarbeitung (DPA) tritt mit dem Abschluss des Hauptvertrags als integraler Bestandteil davon in Kraft. Sie bleibt unabhängig vom Ende der Laufzeit des Hauptvertrags in Kraft, bis und erlischt automatisch, sobald alle personenbezogenen Daten vom Datenverarbeiter und/oder allen beauftragten Unterauftragsverarbeitern gelöscht wurden.