Anhang 1: Bedingungen der Auftragsverarbeitung

Diese Bedingungen der Auftragsverarbeitung bilden den Auftragsverarbeitungsvertrag.

§ 1.

Beauftragung mit der Verarbeitung personenbezogener Daten

1. Der Dienstanbieter und der Leistungsempfänger arbeiten auf Grundlage des Vertrags über die Erbringung von Dienstleistungen nach den Nutzungsbedingungen zusammen (der Hauptvertrag).
2. Der Verantwortliche (Leistungsempfänger) beauftragt den Auftragsverarbeiter (Dienstanbieter) gemäß Artikel 28 DSGVO mit der Verarbeitung personenbezogener Daten.
3. Der Verantwortliche erklärt, dass er Verantwortlicher der zur Verarbeitung überlassenen Daten oder ein Auftragsverarbeiter ist, der zur Einschaltung des Auftragsverarbeiters als weiteren Auftragsverarbeiter berechtigt ist.
4. Die Beauftragung mit der Verarbeitung erfolgt in dem in § 2 festgelegten Umfang.
5. Die in den Nutzungsbedingungen oder der DSGVO definierten Begriffe haben die dort festgelegte Bedeutung, sofern nichts anderes bestimmt ist.

§ 2.

Gegenstand, Art, Zweck und Dauer

1. Der Auftragsverarbeiter verarbeitet die ihm überlassenen personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen und allein zur Erbringung der Dienstleistungen. Der Abschluss des Hauptvertrags stellt eine dokumentierte Weisung dar.
2. Die Kategorien der Daten und der betroffenen Personen sind in Anhang 1 zum Auftragsverarbeitungsvertrag aufgeführt.
3. Der Verantwortliche darf Daten nach Artikel 9 oder 10 DSGVO nicht ohne vorherige Vereinbarung in dokumentarischer Form zur Verarbeitung überlassen und trägt die alleinige Verantwortung für einen Verstoß.
4. Die Verarbeitung erfolgt mithilfe von Informations- und Kommunikationstechniksystemen und ist automatisiert.

§ 3.

Pflichten, Rechte und Erklärungen des Auftragsverarbeiters

1. Der Auftragsverarbeiter setzt technische und organisatorische Maßnahmen um und erhält sie aufrecht, die der Art, dem Umfang, den Umständen und dem Zweck der Verarbeitung entsprechen und gesetzlich vorgeschrieben sind, damit die Verarbeitung im Einklang mit der DSGVO erfolgt.
2. Befugte Personen müssen zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Soweit dies gerechtfertigt und möglich ist, unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach dem geltenden Recht, einschließlich Kapitel III DSGVO.
4. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über:
   1. jede Verletzung des Schutzes personenbezogener Daten, die die überlassenen Daten betrifft, das heißt eine unbeabsichtigte oder unrechtmäßige Vernichtung, einen Verlust, eine Veränderung, eine unbefugte Offenlegung oder einen unbefugten Zugang, spätestens 48 Stunden nach deren Feststellung;
   2. jeden eingegangenen Antrag einer betroffenen Person, ohne diesen vor Eingang der Weisungen des Verantwortlichen zu beantworten, spätestens 48 Stunden nach Eingang;
   3. jedes gesetzlich zulässige behördliche Auskunftsverlangen, es sei denn, die Benachrichtigung ist gesetzlich untersagt, um die Vertraulichkeit einer Untersuchung zu wahren;
   4. eine Prüfung durch den Präsidenten der polnischen Datenschutzbehörde oder eine andere Aufsichtsbehörde, deren Ergebnisse sowie sonstige Maßnahmen öffentlicher Stellen bezüglich der Daten.
5. Im gerechtfertigten Umfang und auf Grundlage der verfügbaren Informationen unterstützt der Auftragsverarbeiter bei der Erfüllung der Pflichten nach den Artikeln 32–36 DSGVO zu Sicherheit, Meldung von Datenschutzverletzungen, Folgenabschätzungen und Konsultation.
6. Der Auftragsverarbeiter:
   1. stellt die zum Nachweis der Einhaltung erforderlichen Informationen und Unterlagen innerhalb von 14 Tagen nach Aufforderung zur Verfügung;
   2. ermöglicht Prüfungen und Inspektionen zu den von den Parteien vereinbarten Bedingungen und nach Maßgabe dieses Paragraphen und wirkt daran mit.
7. Eine Prüfung darf frühestens 14 Tage nach ihrer Ankündigung, zu einem vereinbarten Termin und nach Abschluss einer Vertraulichkeitsvereinbarung mit dem Verantwortlichen oder dem bevollmächtigten Prüfer stattfinden.
8. Nach einer Prüfung erstellen die Parteien zwei unterzeichnete Ausfertigungen eines Berichts. Der Auftragsverarbeiter kann innerhalb von fünf Arbeitstagen Einwände vorbringen.
9. Soweit Mängel die Sicherheit beeinträchtigen, setzt der Auftragsverarbeiter die Empfehlungen des Verantwortlichen oder des Prüfers um.

§ 4.

Pflichten des Verantwortlichen

1. Der Verantwortliche muss während der gesamten Vertragsdauer über eine Rechtsgrundlage und die Befugnis zur Beauftragung mit der Verarbeitung der Daten verfügen. Entfällt eine dieser Voraussetzungen, muss er die Überlassung der betroffenen Daten unverzüglich einstellen und den Auftragsverarbeiter informieren.
2. Der Verantwortliche darf keine Weisungen erteilen, die dem geltenden Recht, dem Auftragsverarbeitungsvertrag oder anderen vertraglichen Pflichten widersprechen.

§ 5.

Unterauftragsverarbeitung

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern, einschließlich der in Anhang 2 aufgeführten.
2. Der Auftragsverarbeiter stellt sicher, dass jeder Unterauftragsverarbeiter angemessene, DSGVO-konforme Maßnahmen anwendet und gleichwertigen Datenschutzpflichten unterliegt.
3. Bei einem neuen Unterauftragsverarbeiter oder einer Änderung des Umfangs informiert der Auftragsverarbeiter mindestens sieben Tage im Voraus per E-Mail. Der Verantwortliche kann innerhalb von sieben Tagen nach der Mitteilung per E-Mail widersprechen.
4. Erfolgt kein fristgerechter Widerspruch, darf der Auftragsverarbeiter fortfahren.
5. Bei einem Widerspruch kann der Auftragsverarbeiter den Hauptvertrag mit sofortiger Wirkung kündigen.
6. Eine Unterauftragsverarbeitung nach Absatz 3 stellt keine Änderung des Auftragsverarbeitungsvertrags dar.
7. Die Liste der Unterauftragsverarbeiter bildet Anhang 2.

§ 6.

Vertraulichkeit

Die Parteien verwenden Materialien, Daten und Informationen, die sie von der jeweils anderen Partei erhalten, ausschließlich zur Erfüllung des Auftragsverarbeitungsvertrags und behandeln sie während seiner Laufzeit und nach seiner Beendigung vertraulich.

§ 7.

Folgen der Vertragsbeendigung

Nach Vertragsbeendigung gibt der Auftragsverarbeiter sämtliche ihm zur Verarbeitung überlassenen personenbezogenen Daten unverzüglich, spätestens jedoch innerhalb von 14 Arbeitstagen nach Vertragsbeendigung, an den Verantwortlichen zurück und löscht sie von seinen Datenträgern, einschließlich elektronischer Datenträger. Dies gilt nicht für Daten, die der Auftragsverarbeiter nach geltendem Recht länger aufbewahren muss.

§ 8.

Schlussbestimmungen

1. Anhang 1 enthält die Kategorien der Daten und betroffenen Personen; Anhang 2 enthält die Unterauftragsverarbeiter.
2. Für Änderungen gelten die Änderungsbestimmungen der Nutzungsbedingungen.
3. Nicht geregelte Angelegenheiten unterliegen den Nutzungsbedingungen, der DSGVO und dem geltenden polnischen Recht.