Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend der „DPA“) ergänzt die Allgemeinen Verkaufsbedingungen und die Allgemeinen Nutzungsbedingungen und regelt die jeweiligen Pflichten von BELLUM, handelnd als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO (nachfolgend der „Auftragsverarbeiter“), und des Kunden, handelnd als Verantwortlicher (nachfolgend der „Verantwortliche“), in Bezug auf die Verarbeitung personenbezogener Daten.

Im Rahmen der Erbringung der BellumAI-Dienste verarbeitet der Auftragsverarbeiter im Auftrag des Verantwortlichen die folgenden Datenkategorien: Identifikationsdaten geschäftlicher Kontakte (Namen, Vornamen, Funktionen, geschäftliche Kontaktdaten); Daten zu Zielunternehmen (Firmenname, Finanzdaten, Mitarbeiterzahl, Tätigkeit); Nutzungsdaten des Kunden (gestartete Analysen, generierte Nachrichten, durchgeführte Aktionen). Betroffene Personen sind die im Rahmen der B2B-Vertriebsakquise des Kunden identifizierten geschäftlichen Kontakte. Die Dauer der Verarbeitung entspricht der Laufzeit des Vertrags zwischen den Parteien.

Der Auftragsverarbeiter verpflichtet sich: die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf Übermittlungen in Drittländer oder an internationale Organisationen; zu gewährleisten, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; die in der Datenschutzerklärung beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen umzusetzen; keinen weiteren Auftragsverarbeiter ohne vorherige allgemeine oder gesonderte schriftliche Genehmigung des Verantwortlichen hinzuzuziehen; den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Ausübung der Rechte der betroffenen Personen nachzukommen; den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten zu unterstützen (Sicherheit, Meldung von Verletzungen, Folgenabschätzungen); nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Leistungen zu löschen oder zurückzugeben; und dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung zu stellen und Audits zu ermöglichen.

Der Auftragsverarbeiter ist vom Verantwortlichen allgemein ermächtigt, für die Erbringung bestimmter technischer Leistungen (Hosting, Zahlungsabwicklung, Infrastrukturdienste) Unterauftragsverarbeiter hinzuzuziehen. Die Liste der Unterauftragsverarbeiter wird dem Kunden auf Anfrage an dpo@bellum-it.com zur Verfügung gestellt.

Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb von dreißig Tagen ab der Mitteilung begründete Einwände erheben. Jeder Unterauftragsverarbeiter ist durch vertragliche Pflichten gebunden, die ein Schutzniveau gewährleisten, das dem in diesem DPA vorgesehenen gleichwertig ist.

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nr. 12 DSGVO verpflichtet sich der Auftragsverarbeiter, den Verantwortlichen unverzüglich und in jedem Fall spätestens zweiundsiebzig Stunden nach Kenntnisnahme zu benachrichtigen. Die Meldung umfasst die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen der Verletzung sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen oder einem von diesem beauftragten unabhängigen, zur Vertraulichkeit verpflichteten Prüfer die Durchführung von Audits zu ermöglichen, um die Einhaltung der Pflichten dieses DPA zu überprüfen — vorbehaltlich einer angemessenen Ankündigungsfrist von fünfzehn Tagen und begrenzt auf ein Audit pro Kalenderjahr, außer bei außergewöhnlichen Umständen, die ein zusätzliches Audit rechtfertigen (insbesondere bei einer Datenschutzverletzung oder einer Anfrage der Aufsichtsbehörde). Die Kosten des Audits trägt der Verantwortliche.

Auf deren Anfrage verpflichtet sich der Auftragsverarbeiter, mit den zuständigen Datenschutzbehörden zu kooperieren, insbesondere im Falle einer Kontrolle. Bei einer Anfrage einer Verwaltungs- oder Justizbehörde verpflichtet sich der Auftragsverarbeiter, den Verantwortlichen so schnell wie möglich zu informieren.

Dieser DPA tritt am Tag des Abonnements der BellumAI-Dienste in Kraft und bleibt für die gesamte Vertragslaufzeit wirksam. Bei Vertragsende löscht der Auftragsverarbeiter alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten innerhalb von dreißig Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Anfrage des Verantwortlichen kann eine Löschbescheinigung ausgestellt werden.