Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (AVV) wird geschlossen zwischen dem bei der Registrierung angegebenen Kunden (“Kunde”) und juristische Person noch anzugeben als Betreiber von TheStakk (“TheStakk”).

Die Rollenverteilung ist der eigentliche Kern dieses Dokuments. Für Inhalte, die an die Anwendungen übermittelt werden, sind Sie Verantwortlicher und wir Auftragsverarbeiter; für Ihre eigenen Kontodaten sind wir eigenständiger Verantwortlicher.

Agenturkette. Ist der Kunde eine Agentur, die Kunden-Workspaces bereitstellt, gilt: Die Agentur ist gegenüber ihrem Endkunden je nach dem zwischen ihnen geschlossenen Vertrag Verantwortlicher oder Auftragsverarbeiter; TheStakk handelt auf dokumentierte Weisung der Agentur als Auftragsverarbeiter oder als Unterauftragsverarbeiter, wenn die Agentur selbst Auftragsverarbeiter ist. Die Agentur sichert zu, über die Rechtsgrundlage und die vertragliche Kette – eigene Bedingungen, eine eigene Datenschutzerklärung und, soweit erforderlich, einen eigenen AVV mit ihrem Kunden – zu verfügen, um TheStakk rechtmäßig Weisungen zu erteilen. Endkunden sind nicht Parteien dieses AVV.

Die Verarbeitung umfasst das Hosting, die Ausführung, die Verbrauchsmessung und die Rückgabe der an die Anwendungen übermittelten Inhalte für die Dauer des Kontos und ausschließlich zum Zweck der Erbringung des in den Nutzungsbedingungen beschriebenen Dienstes.

• Datenkategorien. Sämtliche Inhalte, die der Kunde oder seine Nutzer nach eigener Wahl übermitteln – Texte, Dokumente, Medien, Daten verbundener Konten –, Ausführungsergebnisse sowie technische Metadaten je Ausführung.
• Betroffene Personen. Die Beschäftigten des Kunden, seine Kunden und deren Beschäftigte sowie alle Personen, auf die sich übermittelte Inhalte beziehen.

TheStakk verarbeitet Inhalte ausschließlich auf dokumentierte Weisung des Kunden – die Nutzungsbedingungen, diesen AVV und die im Produkt vorgenommenen Handlungen: Das Ausführen einer Anwendung ist eine Weisung –, es sei denn, das Recht der EU oder Frankreichs schreibt etwas anderes vor; in diesem Fall informiert TheStakk den Kunden vor der Verarbeitung, sofern das betreffende Recht dies nicht verbietet.

TheStakk informiert den Kunden, wenn eine Weisung seiner Auffassung nach gegen die DSGVO verstößt.

Personen, die zur Verarbeitung von Inhalten befugt sind, unterliegen Vertraulichkeitspflichten, greifen auf Inhalte ausschließlich nach dem Need-to-know-Prinzip zu und niemals außerhalb des Support-Szenarios, das die Datenschutzerklärung beschreibt – ausdrückliche Anfrage, begrenzte Dauer, protokolliert.

Artikel 32. Die geltenden Maßnahmen, ausführlich beschrieben in der Sicherheitsdokumentation und hier als verbindliche Zusagen zusammengefasst.

TheStakk erhält und verbessert diese Maßnahmen und senkt das Gesamtschutzniveau während der Vertragslaufzeit nicht.

Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern für Hosting, Modellinferenz, Zahlungsabwicklung und Transaktions-E-Mails. Die aktuelle Liste – Name, Rolle, Standort – wird veröffentlicht und versioniert auf der Seite „Unterauftragsverarbeiter“.

TheStakk informiert Kunden vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters; der Kunde kann innerhalb von 15 Tagen aus berechtigten datenschutzrechtlichen Gründen schriftlich Einspruch erheben und, falls keine Ausweichlösung gefunden wird, den betroffenen Dienst ohne Vertragsstrafe kündigen. TheStakk erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und haftet in vollem Umfang für deren Leistung.

Hosting und Verarbeitung erfolgen innerhalb der Europäischen Union. Anbieter und Regionen noch anzugeben – müssen mit Abschnitt 05 der Datenschutzerklärung übereinstimmen.

Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb der EU, ist die Übermittlung abgesichert durch die Standardvertragsklauseln der Europäischen Kommission, erforderlichenfalls ergänzt durch zusätzliche Maßnahmen; beides ist in der Liste der Unterauftragsverarbeiter vermerkt.

Unter Berücksichtigung der Art der Verarbeitung unterstützt TheStakk den Kunden:

• Anfragen betroffener Personen. Die Export-, Berichtigungs- und Löschfunktionen des Produkts sind die erste Stufe; Anfragen, die TheStakk direkt erreichen, werden unverzüglich an den Kunden weitergeleitet.
• Sicherheit, Meldung von Datenschutzverletzungen, DSFA und vorherige Konsultationen – Artikel 32 bis 36 – durch Bereitstellung der ihm vorliegenden Informationen.

TheStakk meldet dem Kunden unverzüglich nach Kenntniserlangung jede Verletzung des Schutzes personenbezogener Daten, die Inhalte des Kunden betrifft, mit den nach Artikel 33 Absatz 3 erforderlichen Angaben – Art, Kategorien und ungefähre Anzahl, wahrscheinliche Folgen, ergriffene Maßnahmen –, die im Laufe der Untersuchung ergänzt werden.

Die Meldung an die Aufsichtsbehörden und die Benachrichtigung der betroffenen Personen bleiben Entscheidung und Pflicht des Verantwortlichen.

Während der Vertragslaufzeit kann der Kunde seine Inhalte und seinen Ausführungsverlauf jederzeit selbstständig in einem maschinenlesbaren Format exportieren.

Bei Beendigung des Dienstes löscht TheStakk Inhalte innerhalb der Fristen, die in Abschnitt 06 der Datenschutzerklärung festgelegt sind Fristen dort noch zu bestätigen, ausgenommen Daten, die nach französischem Recht aufzubewahren sind – Rechnungsunterlagen und die ihnen zugrunde liegenden Ausführungsprotokolle. Die Löschung erfasst auch Backups im rollierenden Zyklus, der in der Datenschutzerklärung beschrieben ist.

TheStakk stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit: diesen AVV, die Sicherheitsdokumentation, die Liste der Unterauftragsverarbeiter sowie Zertifizierungen oder Zusammenfassungen von Audits durch Dritte, soweit vorhanden SOC2-/ISO-Status: derzeit keiner.

Der Kunde kann ein Audit durchführen, und zwar einmal innerhalb von zwölf Monaten, mit einer schriftlichen Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, ohne Zugriff auf Daten anderer Kunden, auf eigene Kosten, zunächst mittels schriftlicher Fragebögen und vor Ort nur, wenn die Fragebögen nachweislich nicht ausreichen.

Die Haftung aus diesem AVV richtet sich nach der Haftungsobergrenze und den Haftungsausschlüssen der Nutzungsbedingungen, unbeschadet des Artikels 82 DSGVO.