Auftragsverarbeitungsvertrag

1. Wer hier was ist

Dieser Vertrag gilt, soweit Ihre Anwendung über die SIDES LABS API personenbezogene Daten verarbeitet, die einem SIDES-Kunden zuzuordnen sind — dessen Beschäftigte, dessen Gäste, dessen Bestellungen.

Die Rollen gehören klar benannt, denn sie zu verwechseln ist der übliche Weg, auf dem ein Vertrag nach Art. 28 zur Dekoration wird:

• der SIDES-Kunde ist Verantwortlicher für die Daten seines eigenen Betriebs und seiner Gäste;
• die SimplyDelivery GmbH verarbeitet diese Daten für ihn auf Grundlage ihrer eigenen Vereinbarung mit ihm und schließt diesen Vertrag mit Ihnen auf der von ihm erteilten Ermächtigung;
• Sie als Geschäftspartner verarbeiten sie als weiterer Auftragsverarbeiter, auf Weisung, zu dem Zweck, den Ihre Anwendung dokumentiert.

Für die Daten Ihres eigenen SIDES-LABS-Kontos — Ihre Nutzer, Ihre Unternehmensangaben, Ihre Abrechnung — sind die Rollen umgekehrt, und dieser Vertrag gilt dort nicht: Dort ist die SimplyDelivery GmbH Verantwortlicher, und die Datenschutzerklärung beschreibt es.

2. Gegenstand, Dauer und Zweck

Gegenstand ist die Verarbeitung, die Ihre Anwendung an Daten vornimmt, die über die SIDES LABS API abgerufen wurden. Zweck ist die Funktion, die Ihr Eintrag beschreibt, und nichts darüber hinaus.

Die Dauer entspricht der des Partnervertrags und endet mit ihm. Nach dem Ende des Vertrags findet keine Verarbeitung mehr statt außer der, die Abschnitt 9 verlangt.

3. Daten und Betroffene

Welche Kategorien Sie tatsächlich erhalten, hängt von den Endpunkten ab, die Ihr Tarif und Ihre Berechtigungen zulassen. In der Regel:

• Betroffene — Beschäftigte eines SIDES-Kunden sowie dessen Gäste oder bestellende Kunden.
• Kategorien — Kontaktdaten, Bestell- und Lieferdaten, Zeitpunkte, Beträge und, soweit die Konfiguration des Kunden sie vorsieht, Anmerkungen zu einer Bestellung.

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind nicht Gegenstand dieser Vereinbarung. Gäbe ein Endpunkt sie jemals zurück, bedürfte ihre Verarbeitung einer eigenen Vereinbarung.

4. Verarbeitung auf Weisung

Sie verarbeiten die Daten ausschließlich auf dokumentierte Weisung. Die dokumentierte Weisung ist dieser Vertrag zusammen mit der API-Dokumentation: Der dokumentierte Zweck eines Endpunkts ist die Weisung für die Daten, die er zurückgibt.

Ohne gesonderte Weisung werden Sie nicht:

• die Daten für eigene Zwecke verwenden, auch nicht zur Verbesserung Ihres eigenen Produkts;
• sie mit Daten aus anderer Quelle verbinden, um Informationen zu erzeugen, die der Zweck nicht erfordert;
• sie ohne gültigen Übermittlungsmechanismus in ein Drittland übermitteln;
• sie nutzen, um einen Betroffenen anders als im Auftrag des Kunden zu kontaktieren.

Halten Sie eine Weisung für datenschutzrechtlich unzulässig, teilen Sie uns das unverzüglich mit und dürfen den betroffenen Teil der Verarbeitung bis zur Klärung aussetzen.

5. Vertraulichkeit

Sie stellen sicher, dass jede Person, die die Daten verarbeitet, zur Vertraulichkeit verpflichtet ist und dass diese Pflicht über das Ende ihrer Tätigkeit hinaus fortbesteht. Der Zugriff ist auf diejenigen beschränkt, die ihn für den Zweck benötigen.

6. Technische und organisatorische Maßnahmen

Sie treffen die nach Art. 32 DSGVO erforderlichen, dem Risiko angemessenen Maßnahmen. Mindestens:

• Transportverschlüsselung für jede Verbindung, die die Daten führt;
• Verschlüsselung im Ruhezustand überall dort, wo die Daten liegen;
• eine Zugriffskontrolle, die eine Person benennt — gemeinsam genutzte Konten genügen dem nicht, aus demselben Grund, aus dem sie den Geschäftsbedingungen nicht genügen;
• Ihnen erteilte Zugangsdaten werden als Geheimnisse verwahrt, nie in einem Repository, einem Protokoll, einem Auslieferungspaket für den Browser oder einem Ticket;
• eine Protokollierung, die rekonstruieren lässt, wer worauf zugegriffen hat, ohne dass das Protokoll selbst zu einer zweiten Kopie der Daten wird;
• ein dokumentiertes Verfahren zur Wiederherstellung der Verfügbarkeit nach einem Vorfall und ein Nachweis, dass es erprobt wurde.

7. Unterauftragsverarbeiter

Sie dürfen Unterauftragsverarbeiter einsetzen — einen Hosting-Anbieter, einen Maildienst — auf Grundlage einer allgemeinen Genehmigung, sofern jeder auf Pflichten verpflichtet wird, die diesen nicht nachstehen.

Sie halten eine aktuelle Liste bereit und teilen uns die Aufnahme oder den Wechsel vorher mit. Wir können aus sachlichen datenschutzrechtlichen Gründen widersprechen; lässt sich der Widerspruch nicht ausräumen, kann jede Seite die betroffene Verarbeitung beenden.

8. Unterstützung und Vorfälle

• Sie unterstützen uns bei der Beantwortung eines Betroffenenantrags. Erreicht einer Sie unmittelbar, leiten Sie ihn weiter, statt ihn selbst zu beantworten.
• Sie unterstützen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit die Angaben Ihnen zustehen.
• Eine Verletzung des Schutzes personenbezogener Daten melden Sie uns unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit dem, was Sie zu diesem Zeitpunkt wissen. Die Frist von 72 Stunden nach Art. 33 beginnt mit der Kenntnis und nicht mit der Gewissheit — eine erste, unvollständige Meldung ist besser als eine späte, die es nicht ist.

9. Rückgabe und Löschung

Mit dem Ende der Verarbeitung löschen Sie die Daten oder geben sie vorher zurück, wenn wir das binnen dreißig Tagen verlangen. Die Löschung erfasst Sicherungskopien im Rahmen ihrer üblichen Rotation, und Sie bestätigen sie in Textform.

Ausgenommen sind Daten, die Sie gesetzlich aufbewahren müssen. Sie teilen uns mit, welche das sind und warum, und stellen jede Verarbeitung zu anderen Zwecken ein.

10. Nachweise und Kontrollen

Sie weisen die Einhaltung dieses Vertrags auf Verlangen nach. Eine aktuelle Zertifizierung oder ein Prüfbericht, der den einschlägigen Bereich abdeckt, genügt zunächst als Nachweis.

Beantwortet das die Frage nicht, können wir kontrollieren — mit angemessener Ankündigung, zu Geschäftszeiten, höchstens einmal jährlich, sofern kein konkreter Anlass besteht, und auf eine Weise, die uns keine Daten Ihrer anderen Kunden offenlegt.