Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO
zwischen dem jeweiligen Kunden der Anwendung „Virtuelle Sehschärfenbestimmung“ als Auftraggeber / Verantwortlichem
und der virtual.vision UG (haftungsbeschränkt) i.G., Nonnenstieg 39, 37075 Göttingen, als Auftragnehmer / Auftragsverarbeiter.
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der webbasierten Anwendung „Virtuelle Sehschärfenbestimmung“.
1. Gegenstand und Dauer des Vertrags
Gegenstand des Vertrags zum Datenumgang ist die Bereitstellung eines mandantenbezogenen Zugangs zur webbasierten Anwendung „Virtuelle Sehschärfenbestimmung“. Die Anwendung dient der digitalen Durchführung und Dokumentation einer virtuellen Sehschärfenbestimmung mit Landolt-Ringen im Rahmen einer vom Kunden bereitgestellten Videokonferenzlösung.
Die Dauer dieses Vertrags entspricht der Laufzeit der jeweiligen Leistungsvereinbarung zwischen Auftraggeber und Auftragnehmer.
Der Vertrag gilt darüber hinaus so lange, wie der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet, einschließlich etwaiger Sicherungs- und Archivdaten.
Soweit sich aus anderen Vereinbarungen zwischen Auftraggeber und Auftragnehmer abweichende Regelungen zum Schutz personenbezogener Daten ergeben, gehen die Regelungen dieses Vertrags zur Auftragsverarbeitung vor, sofern nicht ausdrücklich etwas anderes vereinbart wurde.
2. Konkretisierung des Vertragsinhalts
2.1 Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zur Einrichtung, Bereitstellung, technischen Durchführung, Dokumentation und Verwaltung der webbasierten Anwendung „Virtuelle Sehschärfenbestimmung“ sowie zur Vertrags- und Zahlungsabwicklung.
2.2 Arten personenbezogener Daten
Gegenstand der Verarbeitung können insbesondere folgende Datenarten sein:
- Stammdaten und Kontaktdaten des Kunden und seiner Nutzer, insbesondere Name, Einrichtung, Anschrift und E-Mail-Adresse,
- Login- und Nutzungsdaten, insbesondere Benutzerkonto, Zeitpunkte der Nutzung und technische Ereignisse,
- Vertrags-, Lizenz- und Rechnungsdaten,
- Dokumentationsdaten im Zusammenhang mit der Durchführung einer virtuellen Sehschärfenbestimmung, soweit diese durch den Kunden in der Anwendung erzeugt oder gespeichert werden.
2.3 Kategorien betroffener Personen
Betroffene Personen sind insbesondere Nutzer des Auftraggebers, prüfende Personen sowie gegebenenfalls Personen, deren Daten im Rahmen der Sehschärfenbestimmung dokumentiert werden.
3. Technisch-organisatorische Maßnahmen
Der Auftragnehmer ergreift in seinem Verantwortungsbereich angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zum Schutz der personenbezogenen Daten.
Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer ist berechtigt, alternative angemessene Maßnahmen umzusetzen, sofern das Sicherheitsniveau nicht unterschritten wird.
Die Anwendung wird auf Servern der Mittwald CM Service GmbH & Co.KG in Deutschland gehostet. Ein Zugriff auf den Quellcode wird dem Auftraggeber nicht eingeräumt.
4. Berichtigung, Einschränkung und Löschung von Daten
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte.
Der Auftragnehmer darf personenbezogene Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunften, berichtigen, löschen oder deren Verarbeitung einschränken.
Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
5. Qualitätssicherung und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer gewährleistet insbesondere:
- die Wahrung der Vertraulichkeit der verarbeiteten personenbezogenen Daten,
- die Verarbeitung personenbezogener Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Pflicht zur Verarbeitung besteht,
- die Unterstützung des Auftraggebers bei Datenschutzanfragen, Kontrollhandlungen und etwaigen Informationspflichten, soweit dies erforderlich und zumutbar ist,
- die unverzügliche Information des Auftraggebers über Verletzungen des Schutzes personenbezogener Daten, soweit Daten des Auftraggebers betroffen sind,
- die regelmäßige Überprüfung interner Prozesse und Schutzmaßnahmen.
6. Unterauftragsverhältnisse
Als Unterauftragsverhältnisse gelten solche Dienstleistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören reine Nebenleistungen wie Telekommunikations-, Post-, Reinigungs- oder Bewachungsleistungen.
Der Auftraggeber stimmt dem Einsatz des folgenden Unterauftragnehmers zu:
- Mittwald CM Service GmbH & Co.KG, Deutschland – Hosting und technischer Betrieb der webbasierten Anwendung.
Der Auftragnehmer stellt sicher, dass mit dem Unterauftragnehmer eine Vereinbarung nach Maßgabe des Art. 28 DSGVO besteht.
Änderungen beim Einsatz wesentlicher Unterauftragnehmer werden dem Auftraggeber in geeigneter Weise mitgeteilt. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
7. Internationale Datentransfers
Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.
Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation erfolgt nur, wenn die datenschutzrechtlichen Voraussetzungen hierfür erfüllt sind.
8. Kontrollrechte des Auftraggebers
Der Auftraggeber hat das Recht, sich im erforderlichen Umfang von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO zu überzeugen.
Der Auftragnehmer stellt dem Auftraggeber auf Anforderung die erforderlichen Informationen zur Verfügung, soweit dies zum Nachweis der Einhaltung der datenschutzrechtlichen Pflichten erforderlich ist.
Vor-Ort-Kontrollen sind nur nach angemessener vorheriger Anmeldung, während üblicher Geschäftszeiten und unter Berücksichtigung der Betriebs- und Sicherheitsinteressen des Auftragnehmers zulässig.
9. Weisungsbefugnis des Auftraggebers
Der Auftragnehmer verarbeitet personenbezogene Daten nur auf Grundlage dokumentierter Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.
10. Löschung und Rückgabe personenbezogener Daten
Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten nach Maßgabe der gesetzlichen Aufbewahrungsfristen und der vertraglichen Regelungen gelöscht oder zurückgegeben.
Sicherheitskopien und Protokolldaten können nach Maßgabe technischer Löschroutinen und gesetzlicher Aufbewahrungspflichten für einen begrenzten Zeitraum fortbestehen.
11. Schlussbestimmungen
Im Übrigen gelten die Allgemeinen Geschäftsbedingungen und die Datenschutzerklärung der virtual.vision UG (haftungsbeschränkt) i.G.