Auftragsverarbeitungsvereinbarung (DPA)

1. Aufnahme in den Vertrag und Rollen

Diese DPA wird nur dann Vertragsbestandteil, wenn sie in eine unterzeichnete Bestellung oder ein anderes vereinbartes Dokument aufgenommen wird. Der Kunde fungiert als Verantwortlicher oder als Auftragsverarbeiter, der im Auftrag eines anderen Verantwortlichen handelt; PRO AGENCY EUROPE SRL fungiert als Auftragsverarbeiter bzw. Unterauftragsverarbeiter.

Der Auftraggeber ist für die Rechtmäßigkeit der Weisungen, Mitteilungen an Subjekte, Rechtsgrundlagen und die Einhaltung seiner eigenen Pflichten als Verantwortlicher verantwortlich.

2. Gegenstand, Zeitraum und Art der Verarbeitung

Gegenstand: Bereitstellung von SMBF-Funktionen und vereinbarten EPR-, Mehrwertsteuer-, Steuer-, Finanz- oder Datendienstleistungen. Laufzeit: Vertragslaufzeit zzgl. begrenzter Export-, Lösch- und Backup-Zeiträume. Die Art der Transaktionen kann Empfangen, Importieren, Strukturieren, Zusammenstellen, Berechnen, Speichern, Anzeigen, Anweisen, Exportieren und Löschen umfassen.

Der Zweck der Verarbeitung besteht in der Auftragserfüllung: Vorbereitung des Länderumfangs, Berechnungen, Antrags- und Berichtsentwürfe, Beweisführung, Unterstützung und vereinbarte Integrationen.

3. Kategorien von Themen und Daten

• Themen: Kundennutzer, Mitarbeiter und Ansprechpartner; Käufer und Empfänger von Bestellungen; Lieferanten, Partner und Vertreter, sofern deren Daten in den vereinbarten Arbeitsablauf eingebunden sind.
• Daten: Name, Arbeitskontakte, Rolle, Land, Konto und Aktivitätsprotokoll-IDs.
• Handelsdaten: Bestellnummer oder pseudonymisierte Kennung, Zielland, Daten, SKU, Menge, Retouren und Erfüllungsereignisse.
• Unterlagen: Vollmachten, Anmeldeunterlagen und Nachweise nur in dem Umfang, der für die Bestellung erforderlich ist.
• Besondere Kategorien und Vorstrafen liegen außerhalb des normalen Umfangs und sollten nicht ohne gesonderte schriftliche Vereinbarung weitergegeben werden.

4. Dokumentierte Anweisungen

PRO AGENCY EUROPE SRL verarbeitet Daten nur auf Grundlage dokumentierter Anweisungen des Kunden, einschließlich Bestellungen, Einstellungen, Aktionen autorisierter Benutzer und schriftlicher Anfragen. Sollte eine Weisung unserer Meinung nach gegen die DSGVO verstoßen, melden wir dies und dürfen die Umsetzung bis zur Klärung aussetzen.

Die Übermittlung an Dritte oder außerhalb des EWR erfolgt nur auf Anweisung, Vertrag oder wenn dies gesetzlich vorgeschrieben ist; im letzteren Fall wird der Kunde benachrichtigt, es sei denn, die Benachrichtigung ist gesetzlich verboten.

5. Datenschutz und Sicherheit

Personen mit Zugriff auf Daten sind zur Vertraulichkeit verpflichtet und erhalten Zugriff auf der Grundlage der geringsten Rechte. Vor der Produktionsabwicklung dokumentiert das SMBF dem Risiko angemessene technische und organisatorische Maßnahmen.

• Kontrolle von Rollen und privilegiertem Zugriff, MFA für Verwaltungsfunktionen und regelmäßige Zugriffsüberprüfung.
• Verschlüsseln Sie die Übertragung, verwalten Sie Geheimnisse, protokollieren Sie vertrauliche Aktivitäten und trennen Sie Umgebungen.
• Mandantenisolierung, Feldminimierung, Backup, Wiederherstellung und sicheres Löschen.
• Schwachstellen-, Änderungs- und Vorfallmanagement; Schulung für Personen mit Zugang.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine schriftliche Genehmigung zur Nutzung von Unterauftragsverarbeitern aus dem veröffentlichten Register. Vor der Produktionsaktivierung muss das Register die tatsächlichen Lieferanten, die Funktion, den Verarbeitungsort und den Übertragungsmechanismus angeben.

SMBF wird den Kunden mindestens 30 Tage im Voraus über einen geplanten neuen Unterauftragsverarbeiter informieren, sofern in der Vereinbarung keine andere Frist festgelegt ist. Der Kunde kann aus datenschutzrechtlichen Gründen angemessen widersprechen. Ist eine angemessene Lösung nicht möglich, können die Parteien den betroffenen Dienst kündigen.

Der Unterauftragsverarbeiter hat im Wesentlichen gleichwertige Pflichten. PRO AGENCY EUROPE SRL bleibt gegenüber dem Kunden für die Erfüllung dieser Verpflichtungen im gesetzlich und vertraglich vorgesehenen Umfang verantwortlich.

7. Rechte und Anträge der betroffenen Person

Angesichts der Art der Verarbeitung unterstützt SMBF den Kunden angemessen bei der Erfüllung von Anträgen auf Zugang, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch. Eine direkte Anfrage einer betroffenen Person ohne inhaltliche Antwort wird an den Kunden weitergeleitet, sofern gesetzlich nichts anderes vorgeschrieben ist.

8. Sicherheitsverletzungen

Sobald ein Verstoß gegen den Schutz personenbezogener Daten bestätigt wird, benachrichtigt SMBF den Kunden unverzüglich und stellt sofort verfügbare Informationen über die Art, die wahrscheinlichen Folgen, die betroffenen Kategorien und die Gegenmaßnahmen zur Verfügung. Die Mitteilung stellt kein Schuldeingeständnis dar.

Der Kunde ist für die Benachrichtigung der Aufsichtsbehörde und der Subjekte verantwortlich, es sei denn, das Gesetz weist diese Verantwortung direkt dem SMBF zu.

9. Bewertungen, Konsultationen und Compliance-Nachweise

SMBF stellt angemessene Informationen bereit, die der Kunde für die Sicherheitsbewertung, die DSFA, die Konsultation mit der Aufsichtsbehörde und die Bestätigung der Einhaltung von Artikel 28 der DSGVO benötigt. Umfang, Häufigkeit, Vertraulichkeit und Kosten einer nicht standardmäßigen Inspektion werden im Voraus vereinbart.

10. Prüfung

Zunächst werden aktuelle Beschreibungen der Kontrollen, Antworten auf den Fragebogen und verfügbare unabhängige Berichte verwendet. Reicht dies nicht aus, kann der Kunde höchstens einmal pro Jahr während der Geschäftszeiten, mit angemessener Vorankündigung, ohne Zugriff auf die Daten anderer Kunden und ohne Sicherheitsverletzung ein Audit beantragen. Zusätzliche Prüfungen sind nach einem erheblichen Vorfall oder auf Antrag der Behörde möglich.

11. Rückgabe und Löschung

Nach Beendigung der Dienstleistung gibt SMBF nach Wahl des Kunden die Daten zurück oder löscht sie nach Ablauf der vereinbarten Exportfrist, mit Ausnahme der Informationen, die gesetzlich zur Aufbewahrung verpflichtet sind. Daten in Sicherungskopien werden in einem normalen geschützten Zyklus gelöscht und nicht zuvor für andere Zwecke verwendet.

12. Übertragungen außerhalb des EWR

Wenn eine Verarbeitung außerhalb des EWR erforderlich ist, nutzen die Parteien den geltenden DSGVO-Kapitel-V-Mechanismus, einschließlich einer Angemessenheitsentscheidung oder Standardvertragsklauseln, und dokumentieren zusätzliche Maßnahmen nach einer Risikobewertung.

13. Priorität und Kontakt

Im Falle eines datenschutzrechtlichen Konflikts geht die AVV den Allgemeinen Geschäftsbedingungen vor und die unterzeichneten SCCs gehen der AVV in dem darin geregelten Umfang vor. Die kommerziellen und Sicherheitsparameter einer bestimmten Dienstleistung können in der Bestellung festgelegt werden, ohne dass die obligatorischen Garantien eingeschränkt werden.

Signierte Versionsanfrage und Fragen: hello@smbf.me.