Auftragsverarbeitungsvertrag (AVV/DPA)

Der Auftragsverarbeiter: Frédéric KULAS, Einzelunternehmer unter der Bezeichnung KLS-Concept, eingetragen im Handelsregister (RCS) Alençon unter der SIREN-Nummer 817 714 660, mit Niederlassung in 4 chemin du binai, 61300 Crulai (Frankreich). Kontakt: contact@kls-concept.com.

Der Verantwortliche: der gewerbliche Kunde, der den Dienst GSE-Web abonniert und bei der Bestellung identifiziert wird (Firmenname, SIREN/SIRET, Anschrift). Der Kunde bestimmt die Zwecke und die Mittel der Verarbeitung der Daten, die er in GSE-Web hostet.

Gegenstand dieses Vertrags ist die Festlegung der Bedingungen, unter denen der Auftragsverarbeiter im Auftrag und auf Weisung des Verantwortlichen die für die Bereitstellung des Dienstes GSE-Web (Bestandsverwaltung, Logistik und zugehörige Module) erforderlichen personenbezogenen Daten verarbeitet.

Er gilt für die gesamte Dauer des Abonnements des Dienstes und endet mit diesem, vorbehaltlich der in Artikel 9 beschriebenen Pflichten zur Rückgabe und Löschung der Daten.

a) Verarbeitung auf Weisung — die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, einschließlich in Bezug auf Übermittlungen, sofern keine gesetzliche Verpflichtung besteht; in diesem Fall unterrichtet er den Verantwortlichen vor der Verarbeitung, sofern dies nicht gesetzlich untersagt ist.

b) Vertraulichkeit — sicherzustellen, dass sich die zur Verarbeitung der Daten befugten Personen (einschließlich seiner eigenen technischen Dienstleister) zur Vertraulichkeit verpflichtet haben oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen.

c) Sicherheit — geeignete technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO zu ergreifen (siehe Artikel 6).

d) Weitere Auftragsverarbeiter — einen weiteren Auftragsverarbeiter nur mit Genehmigung des Verantwortlichen in Anspruch zu nehmen, wobei dieser die in Artikel 5 aufgeführte Liste anerkennt und akzeptiert; der Auftragsverarbeiter unterrichtet den Verantwortlichen über jede Änderung und erlegt ihm dieselben Schutzpflichten auf.

e) Rechte der betroffenen Personen — den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen dabei zu unterstützen, Anträgen auf Ausübung der Rechte der betroffenen Personen nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Die in GSE-Web integrierten Funktionen zum Datenexport und zur Kontolöschung tragen zu dieser Unterstützung bei.

f) Unterstützung bei Sicherheit und Konformität — den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen (DSFA) und vorherige Konsultation zu unterstützen.

g) Verbleib der Daten — nach Wahl des Verantwortlichen die Daten nach Abschluss der Leistung zu löschen oder zurückzugeben und bestehende Kopien zu vernichten, sofern keine gesetzliche Aufbewahrungspflicht besteht (siehe Artikel 9).

h) Dokumentation und Audit — dem Verantwortlichen die zum Nachweis der Einhaltung seiner Pflichten erforderlichen Informationen zur Verfügung zu stellen und die Durchführung von Audits unter den Bedingungen von Artikel 8 zu ermöglichen.

Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, nachdem er Kenntnis davon erlangt hat, und übermittelt ihm die zweckdienlichen Informationen, um ihm gegebenenfalls die Meldung an die CNIL innerhalb der Frist von 72 Stunden und die Benachrichtigung der betroffenen Personen zu ermöglichen.

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Konformität erforderliche Dokumentation zur Verfügung und unterzieht sich angemessenen Audits (nach Vorankündigung und unter Wahrung der Vertraulichkeit und der Kontinuität des Dienstes), die vom Verantwortlichen oder einem von ihm beauftragten Dritten durchgeführt werden.

Der Kunde kann jederzeit und vor Beendigung der Leistung seine Geschäftsdaten (Produkte, Bestände, Bestandsbewegungen) aus seinem Administratorkonto exportieren. Fotografien und Bilddateien können über diese Funktion nicht zurückgegeben werden: Es obliegt dem Kunden, deren Sicherung zu gewährleisten.

Im Falle einer Nichtverlängerung oder Kündigung bleiben die Daten 30 Tage lang wiederherstellbar, anschließend werden sie 3 Monate lang als Sicherung aufbewahrt, bevor sie endgültig gelöscht werden. Auf ausdrücklichen Wunsch des Kunden kann eine vorzeitige Löschung vorgenommen werden, vorbehaltlich der gesetzlichen Aufbewahrungspflichten (insbesondere für Rechnungen, die 10 Jahre aufbewahrt werden).

Jede Partei haftet für Schäden, die durch die Nichteinhaltung der ihr obliegenden Pflichten der DSGVO verursacht werden. Der Verantwortliche garantiert, dass die von ihm in den Dienst eingeführten Daten rechtmäßig sind und dass er über die für ihre Verarbeitung erforderlichen Rechtsgrundlagen verfügt.

Dieser Vertrag unterliegt französischem Recht. Für alle Streitigkeiten ist das Handelsgericht Alençon zuständig. Er ergänzt die Allgemeinen Nutzungs- und Verkaufsbedingungen, deren Anlage er bildet; im Falle eines Widerspruchs hinsichtlich des Datenschutzes hat dieser Vertrag Vorrang.