Auftragsverarbeitungsvertrag

1. Parteien und Geltungsbereich

Dieser Vertrag wird zwischen Ihnen (dem Inhaber des Workspace, hier als Kunde bezeichnet) und A Plus Apps geschlossen, eingetragen bei der niederländischen Handelskammer (KVK) unter der Nummer 42117052 und mit Sitz in den Niederlanden, Betreiber des Dienstes PollsLive. Er regelt unsere Verarbeitung personenbezogener Daten in Ihrem Auftrag und hat in dieser Hinsicht Vorrang vor entgegenstehenden Bestimmungen der Allgemeinen Geschäftsbedingungen. Nichts darin schmälert ein Recht, das Ihnen nach der DSGVO zusteht.

2. Wer Verantwortlicher und wer Auftragsverarbeiter ist

Für die Inhalte und Antworten in Ihrem Workspace (die Fragen, die Sie schreiben, die Stimmen und Freitextantworten, die Ihre Teilnehmer abgeben, die von ihnen gewählten Spitznamen und alle Felder zur Lead-Erfassung, die Sie aktivieren) sind Sie der Verantwortliche und wir der Auftragsverarbeiter. Sie entscheiden, was Sie fragen, wen Sie fragen und wie lange Sie es aufbewahren. Dieser Vertrag erfasst diese Verarbeitung.

Für Ihr eigenes Konto (Ihren Namen, Ihre E-Mail-Adresse, Ihren Workspace, Ihren Abrechnungsstatus und Ihren Support-Verlauf) sind wir der Verantwortliche, und dafür gilt unsere Datenschutzerklärung statt dieses Vertrags. Die Aufteilung entspricht der in Abschnitt 2 dieser Erklärung dargelegten.

Wenn eine Schule, ein Arbeitgeber oder eine andere Einrichtung Sitzungen mit PollsLive durchführt, ist diese Einrichtung der Verantwortliche für die Aktivität im Unterricht oder am Arbeitsplatz, und dieser Vertrag besteht mit ihr.

3. Gegenstand, Dauer, Art und Zweck

Gegenstand und Zweck. Bereitstellung des Dienstes PollsLive: Hosting von Umfragen, Befragungen und Live-Sitzungen, Erfassung und Auszählung von Antworten in Echtzeit, Darstellung von Ergebnissen sowie Erstellung von Exporten und Zusammenfassungen auf Ihre Anfrage.

Art der Verarbeitung. Erheben, Erfassen, Speichern, Ordnen, Abrufen, Anzeigen, Exportieren und Löschen mit automatisierten Mitteln. Wenn Sie unsere KI-Funktionen nutzen, umfasst dies auch die Übermittlung an den auf unserer Seite Unterauftragsverarbeiter genannten KI-Auftragsverarbeiter. Beachten Sie, dass bei einer KI-Zusammenfassung der Antworten die Freitextantworten Ihrer Teilnehmer zu dieser Umfrage gesendet werden.

Dauer. Solange Ihr Workspace besteht, und danach nur für den in Abschnitt 10 beschriebenen Zeitraum.

Kategorien betroffener Personen. Ihre Teilnehmer und Befragten, die Mitglieder, die Sie in Ihren Workspace einladen, und alle Personen, die in den von Ihnen hochgeladenen Inhalten identifiziert werden.

Arten personenbezogener Daten. Antworten auf Ihre Fragen, einschließlich Freitextantworten; Spitznamen oder Anzeigenamen, die Teilnehmer eingeben; alle Kontakt- oder Lead-Erfassungsfelder, die Sie erheben möchten; Namen und E-Mail-Adressen von Workspace-Mitgliedern; sowie technische Daten zur Verhinderung doppelter Stimmabgaben, bei denen es sich um einen pseudonymen Einwegwert und nicht um eine gespeicherte Adresse handelt. Wir fordern Sie nicht zur Angabe besonderer Kategorien von Daten nach Artikel 9 auf, und der Dienst ist nicht dafür ausgelegt, solche Daten zu speichern. Wenn Ihre Fragen sie hervorrufen, bleiben Sie für diese Entscheidung der Verantwortliche.

4. Verarbeitung auf dokumentierte Weisung

Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf internationale Übermittlungen. Ihre Nutzung des Dienstes (die Umfragen, die Sie erstellen, die Einstellungen, die Sie wählen, die Exporte, die Sie ausführen) stellt zusammen mit diesem Vertrag und den AGB diese Weisungen dar. Wenn uns das Recht der EU oder eines Mitgliedstaats zu einer Verarbeitung auf anderer Grundlage verpflichtet, teilen wir Ihnen dies vorher mit, sofern dieses Recht eine solche Mitteilung nicht verbietet. Wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt, informieren wir Sie.

5. Vertraulichkeit

Der Zugriff auf Produktivsysteme ist auf die Personen beschränkt, die ihn benötigen, um den Dienst zu betreiben und zu unterstützen, und sie sind an Vertraulichkeitspflichten gebunden, die über das Ende ihrer Tätigkeit hinaus fortbestehen. Wir lesen Workspace-Inhalte nicht, außer wenn dies erforderlich ist, um von Ihnen angeforderten Support zu leisten, eine Missbrauchsmeldung zu untersuchen, oder wenn das Gesetz es verlangt.

6. Sicherheitsmaßnahmen (Artikel 32)

Die heute bestehenden technischen und organisatorischen Maßnahmen. Sie sind auf unserer Seite Sicherheit ausführlicher beschrieben; diese Liste ist das, wozu wir uns vertraglich verpflichten, und wir können eine einzelne Maßnahme ändern, sofern das Gesamtschutzniveau nicht verringert wird.

Verschlüsselung bei der Übertragung. Der gesamte Datenverkehr wird über TLS ausgeliefert, das an unserem CDN terminiert wird, und HTTP Strict Transport Security wird erzwungen.
Speicherung von Zugangsdaten. Passwörter werden durch branchenübliche Einweg-Speicherung geschützt. Wir halten nie eine wiederherstellbare Kopie vor.
Datenminimierung bei der Missbrauchsverhinderung. Technische Kennungen, die zur Verhinderung von Missbrauch verwendet werden, werden minimiert, geschützt und nur so lange aufbewahrt, wie es für den jeweiligen Sicherheitszweck erforderlich ist.
Sicherheit der Infrastruktur. Die Daten des Dienstes werden in der Europäischen Union gehostet, mit mehrstufigen Netzwerk- und Zugriffskontrollen.
Zugriffskontrolle. Der Zugriff auf Workspaces ist rollenbasiert, administrative Vorgänge werden in einem Audit-Protokoll erfasst, und der Zugang zu Produktivsystemen ist auf befugtes Personal beschränkt.
Härtung der Anwendung. Wir setzen dem Dienst angemessene Browser-Sicherheitsmechanismen, Anfragelimits, automatisierte Missbrauchsverhinderung und Sicherheitsüberwachung ein.
Sicherheit von Uploads. Bilder werden beim Hochladen neu kodiert, wodurch eingebettete Metadaten und alles, was keine Bilddaten sind, entfernt werden; unsichere Dateitypen werden abgelehnt.
Belastbarkeit. Backups laufen nach Zeitplan, werden an einem separaten Standort aufbewahrt und werden auf Wiederherstellbarkeit getestet, statt diese nur anzunehmen. Aufbewahrungsfristen werden durch einen geplanten Job durchgesetzt, statt bloße Absicht zu bleiben.
Verfügbarkeit Ihrer Daten für Sie. Workspace-Inhaber können ihre Daten exportieren und ihr Konto löschen, ohne uns zu fragen, sodass beides nicht von unserer Reaktionszeit abhängt.
Patches und Schwachstellenmanagement. Sicherheitsupdates des Betriebssystems werden automatisch eingespielt, und die Host-Konfiguration wird regelmäßig geprüft. Anwendungsabhängigkeiten werden auf veröffentlichte Schwachstellen überwacht und fortlaufend aktualisiert.
Gespeicherte Daten. Der Zugriff auf gespeicherte Daten des Dienstes ist beschränkt, und sensible Zugangsdaten sind durch ein Einwegverfahren geschützt.

7. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste mit Zweck, verarbeiteten Daten und Standort jedes einzelnen ist unter Unterauftragsverarbeiter veröffentlicht und wird aktuell gehalten. Diese Seite ist die Anlage zu diesem Vertrag und keine Kopie davon, sodass beide nicht auseinanderlaufen können.

Jeder Unterauftragsverarbeiter ist durch einen schriftlichen Vertrag gebunden, der Datenschutzpflichten auferlegt, die nicht weniger schützend sind als die in diesem Vertrag, und wir haften Ihnen gegenüber für deren Leistung wie für unsere eigene, im Rahmen der Haftungsbeschränkungen in Abschnitt 20 unserer Allgemeinen Geschäftsbedingungen. Wenn wir planen, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, aktualisieren wir diese Seite mit der Änderung und dem Datum ihres Inkrafttretens mindestens 30 Tage, bevor er mit der Verarbeitung Ihrer Daten beginnt, es sei denn, wir müssen früher handeln, um den Dienst sicher oder verfügbar zu halten; in diesem Fall aktualisieren wir sie so bald wie möglich. Jeder Kunde kann über unser Kontaktformular verlangen, über solche Änderungen direkt informiert zu werden, und kann vor dem Inkrafttreten der Änderung aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können wir dem Einspruch nicht abhelfen, können Sie den betroffenen Dienst beenden, und wir erstatten im Voraus gezahlte Entgelte für den nicht genutzten Zeitraum.

8. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen Ihrer Teilnehmer auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit ihrer Daten oder Widerspruch gegen deren Verarbeitung. In der Praxis erfolgt das meiste davon in Selbstbedienung: Workspace-Inhaber können Antworten direkt ansehen, exportieren und löschen. Wenn sich ein Teilnehmer wegen einer von Ihnen durchgeführten Umfrage an uns wendet, verweisen wir ihn an Sie als Verantwortlichen und helfen Ihnen bei der Umsetzung der Anfrage. Erreicht uns eine Anfrage und verlangt das Gesetz, dass wir selbst handeln, tun wir das.

9. Meldung von Verletzungen und Folgenabschätzungen

Wir unterhalten Verfahren, um Verletzungen des Schutzes personenbezogener Daten zu erkennen, zu untersuchen und zu dokumentieren. Betrifft eine Verletzung personenbezogene Daten, die wir für Sie verarbeiten, benachrichtigen wir Sie unverzüglich, in jedem Fall aber innerhalb von 48 Stunden, nachdem sie uns bekannt geworden ist, mit den Informationen, die Sie zur Erfüllung Ihrer eigenen Pflicht nach Artikel 33 benötigen: was geschehen ist, die Kategorien und die ungefähre Zahl der betroffenen Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Liegen uns noch nicht alle diese Informationen vor, senden wir die vorhandenen und reichen den Rest nach. Die Meldung an Ihre Aufsichtsbehörde bleibt Ihre Entscheidung als Verantwortlicher.

Wir unterstützen Sie unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Artikel 35 und 36.

10. Rückgabe und Löschung

Während der Dauer des Dienstes können Sie Ihre Workspace-Daten jederzeit in maschinenlesbarer Form exportieren, sodass die Rückgabe nicht von einer Beendigung abhängt.

Wenn Sie Ihr Konto löschen oder Ihren Workspace schließen, löschen wir die personenbezogenen Daten, die wir für Sie verarbeiten, außer wenn uns das Recht der EU oder eines Mitgliedstaats zur Aufbewahrung verpflichtet, insbesondere Abrechnungsunterlagen, die einer niederländischen Aufbewahrungspflicht unterliegen und in unserer Datenschutzerklärung offengelegt statt gelöscht werden. Wir löschen die Daten innerhalb von 30 Tagen aus unseren Live-Systemen, und aus unseren Backups verschwinden sie mit deren Rotation innerhalb von weiteren 35 Tagen. Auf Anfrage bestätigen wir die Löschung schriftlich.

11. Informationen und Prüfungen

Wir stellen Ihnen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 erforderlich sind, und ermöglichen Überprüfungen, einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und tragen dazu bei.

In erster Linie beantworten wir einen schriftlichen Sicherheitsfragebogen und stellen einen schriftlichen Überblick über unsere Kontrollen, den Datenstandort und unsere Prüfverfahren bereit, was für die meisten Kunden die Frage ohne einen Besuch vor Ort klärt. Wenn dies tatsächlich nicht ausreicht, kann eine Prüfung nach angemessener Vorankündigung durchgeführt werden, höchstens einmal im Jahr, sofern nicht eine Verletzung oder eine Aufsichtsbehörde etwas anderes erfordert, während der Geschäftszeiten, unter Wahrung der Vertraulichkeit und in einer Weise, die den Dienst für andere Kunden nicht beeinträchtigt. Wir sind ein kleines Unternehmen: Wir veröffentlichen keine detaillierten Prüfberichte im öffentlichen Internet, und wir sagen das offen, statt eine Zertifizierung zu suggerieren, die wir nicht besitzen.

12. Internationale Übermittlungen

Unsere Kernanwendung und Datenbank werden in der Europäischen Union gehostet. Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des EWR verarbeiten kann, erfolgt diese Übermittlung auf Grundlage einer geeigneten Garantie nach Artikel 46 (in der Praxis der Standardvertragsklauseln der Europäischen Kommission und gegebenenfalls des EU-US Data Privacy Framework). Die Klauseln von Modul Zwei (Verantwortlicher an Auftragsverarbeiter) werden für jede solche Übermittlung durch Verweis in diesen Vertrag einbezogen, wobei die Anhänge dieses Vertrags durch die obigen Abschnitte 3, 6 und 7 gebildet werden.

13. Eine unterzeichnete Kopie erhalten

Dieser Vertrag ist für Ihren Workspace bereits in Kraft; es ist keine Unterschrift erforderlich, damit er gilt. Wenn Ihre Beschaffungs- oder Rechtsabteilung ein gegengezeichnetes PDF benötigt oder ihn auf Ihren eigenen Vorlagen ausgefertigt haben möchte, senden Sie eine E-Mail an support@pollslive.com oder nutzen Sie unser Kontaktformular und wählen Sie „Datenschutz / DSGVO“. Fragen zu allem oben Genannten richten Sie an dieselbe Stelle.