Auftragsverarbeitungsvertrag

Dieser Vertrag („AVV“) ist Bestandteil des Vertrags zwischen der Organisation, die EUlabel nutzt (der „Kunde“), und Búzios e Tartarugas, Lda., Rua Gil Vicente, 2, 2775-198 Parede, Portugal („EUlabel“). Er erfüllt die Anforderungen des Artikels 28 der Verordnung (EU) 2016/679 (DSGVO). In der DSGVO definierte Begriffe haben hier dieselbe Bedeutung.

Der Kunde nimmt diesen AVV zusammen mit den Plattformbedingungen an. Eine Unterschrift ist nicht erforderlich. Der portugiesische Text hat Vorrang vor jeder Übersetzung. Wenn Sie ein gegengezeichnetes Exemplar erhalten möchten, schreiben Sie an legal@eulabel.eu.

1. Rollen und Anwendungsbereich

1.1 Für personenbezogene Daten in Kundendaten ist der Kunde Verantwortlicher oder Auftragsverarbeiter für einen anderen Verantwortlichen, und EUlabel ist Auftragsverarbeiter oder Unterauftragsverarbeiter. Der Kunde bestätigt, dass jeder Verantwortliche, für den er handelt, diesen AVV genehmigt hat.

1.2 Anlage 1 beschreibt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen.

1.3 EUlabel ist eigenständiger Verantwortlicher für die Daten, die in seinen Datenschutzhinweisen als seine eigenen beschrieben sind: seine Website, sein Newsletter, die Anmeldung, die Kontosicherheit und die Vertragsunterlagen. Diese Daten fallen nicht unter diesen AVV.

2. Weisungen

2.1 EUlabel verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen. Die Weisungen des Kunden sind dieser AVV, die Plattformbedingungen, die Nutzung des Dashboards und der API durch den Kunden sowie jede weitere schriftliche Weisung, auf die sich beide Parteien einigen.

2.2 Verlangt das Recht der Union oder der Mitgliedstaaten eine andere Verarbeitung, teilt EUlabel dies dem Kunden vorab mit, sofern dieses Recht dies nicht verbietet.

2.3 EUlabel informiert den Kunden unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt, und kann diese Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

2.4 EUlabel verkauft keine personenbezogenen Daten und verwendet sie nicht für eigene Zwecke.

3. Pflichten des Kunden

Der Kunde ist verantwortlich für das Vorliegen einer Rechtsgrundlage, die Information der betroffenen Personen, die Richtigkeit der Daten und die Entscheidung, was veröffentlicht wird. Öffentliche Passfelder sind für jeden sichtbar. Der Kunde darf dort daher keine personenbezogenen Daten eingeben, sofern er sie nicht veröffentlichen will. Der Kunde darf keine besonderen Kategorien personenbezogener Daten und keine Daten über strafrechtliche Verurteilungen eingeben. Jede Produktseite verlinkt auf die Hinweise von EUlabel, und der Kunde kann unter Settings → Data and legal seine eigenen hinzufügen.

4. Vertraulichkeit

EUlabel stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind.

5. Sicherheit

5.1 EUlabel hält die technischen und organisatorischen Maßnahmen nach Anlage 2 aufrecht, wie es Artikel 32 DSGVO verlangt.

5.2 EUlabel kann diese Maßnahmen aktualisieren, sofern das Schutzniveau nicht sinkt.

5.3 Der Kunde ist für die Maßnahmen in seinem Einflussbereich verantwortlich, einschließlich der Verwaltung von Mitgliedern, Rollen, API-Schlüsseln und Zugriffsberechtigungen.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt EUlabel eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die am Tag der Annahme eingesetzten sind in Anlage 3 aufgeführt.

6.2 EUlabel informiert die Owner des Kunden mindestens 30 Tage im Voraus per E-Mail, bevor es einen Unterauftragsverarbeiter hinzuzieht oder ersetzt. Die E-Mail nennt den Unterauftragsverarbeiter und weist darauf hin, dass der Kunde zustimmt, sofern er nicht rechtzeitig widerspricht. Eine kürzere Frist gilt nur, wenn der Kunde ihr per E-Mail zustimmt.

6.3 Der Kunde kann innerhalb von 14 Tagen nach der Mitteilung aus jedem vernünftigen Grund widersprechen. Die Parteien bemühen sich dann, den Widerspruch beizulegen, und EUlabel setzt den neuen Unterauftragsverarbeiter für die Daten dieses Kunden nicht ein, bis dies gelungen ist oder der Vertrag endet. Wird der Widerspruch nicht beigelegt, kann der Kunde den Vertrag kostenfrei beenden, und EUlabel kann ihn nach Abschnitt 13 der Plattformbedingungen beenden.

6.4 EUlabel verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die inhaltlich nicht weniger schützen als die dieses AVV, und bleibt dem Kunden gegenüber für die Leistung des Unterauftragsverarbeiters in vollem Umfang haftbar, wie Ziffer 13.1 erläutert.

6.5 Unterauftragsverarbeiter setzen ihre eigenen Unterauftragsverarbeiter nach ihren eigenen veröffentlichten Listen ein, die auf der Seite zu den Unterauftragsverarbeitern verlinkt sind.

7. Übermittlungen außerhalb des EWR

7.1 EUlabel übermittelt personenbezogene Daten nur auf Weisung des Kunden und nach Kapitel V DSGVO außerhalb des Europäischen Wirtschaftsraums. Anlage 3 nennt die Übermittlungen und ihre Garantien. Mit der Annahme dieses AVV weist der Kunde EUlabel an, diese Übermittlungen vorzunehmen.

7.2 Beruht eine Übermittlung auf den Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), hat EUlabel mit dem Unterauftragsverarbeiter Modul Drei über dessen Bedingungen zur Datenverarbeitung vereinbart. EUlabel stellt auf Verlangen eine Kopie zur Verfügung, ohne die geschäftlichen Bedingungen.

7.3 Verliert eine Garantie ihre Gültigkeit, stützen sich die Parteien auf eine andere rechtmäßige Garantie. Steht keine zur Verfügung, informiert EUlabel den Kunden, und der Kunde kann den Vertrag kostenfrei beenden.

7.4 Ist der Kunde außerhalb des EWR niedergelassen, gilt zwischen den Parteien Modul Vier derselben Klauseln, und für dieses Modul werden portugiesisches Recht und portugiesische Gerichte gewählt.

7.5 Erhält EUlabel von einer Behörde ein Ersuchen um personenbezogene Daten, verweist es die Behörde nach Möglichkeit an den Kunden, informiert den Kunden, sofern das Gesetz dies nicht verbietet, und legt nur offen, was das Gesetz verlangt.

8. Unterstützung bei Anträgen betroffener Personen

8.1 Erhält EUlabel von einer betroffenen Person einen Antrag zu Kundendaten, leitet es den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht, außer um die Person an den Kunden zu verweisen.

8.2 EUlabel unterstützt den Kunden bei der Beantwortung durch das Dashboard, die API und den Export sowie durch angemessene weitere Unterstützung, wenn diese nicht ausreichen.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 EUlabel benachrichtigt die Owner des Kunden per E-Mail unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Kundendaten betrifft.

9.2 Die Benachrichtigung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Weitere Informationen können schrittweise folgen.

9.3 EUlabel ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und zu beheben, und dokumentiert sie. Die Meldung einer Verletzung ist kein Schuldeingeständnis.

10. Unterstützung bei der Einhaltung von Pflichten

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt EUlabel den Kunden in angemessenem Umfang bei der Sicherheit, der Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation (Artikel 32 bis 36 DSGVO).

11. Löschung oder Rückgabe von Daten

11.1 Während der Vertragslaufzeit kann der Kunde Kundendaten selbst exportieren und löschen.

11.2 Bei Vertragsende gilt der Abrufzeitraum nach den Plattformbedingungen. EUlabel löscht anschließend die Kundendaten, und Sicherungen werden innerhalb von 30 Tagen überschrieben, sofern nicht das Recht der Union oder der Mitgliedstaaten EUlabel zur Aufbewahrung der Daten verpflichtet.

11.3 Während der Vertragslaufzeit löscht EUlabel Aufzeichnungen nach Maßgabe von Anlage 1.

12. Prüfungen und Informationen

12.1 EUlabel stellt alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 DSGVO zur Verfügung und beantwortet angemessene schriftliche Fragen innerhalb von 30 Tagen.

12.2 EUlabel ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer und trägt dazu bei. Der Kunde kündigt sie mit einer Frist von 30 Tagen an, außer nach einer Verletzung des Schutzes personenbezogener Daten oder wenn eine Aufsichtsbehörde etwas anderes verlangt, und vermeidet unzumutbare Störungen.

12.3 Reichen die Informationen nach Ziffer 12.1 zum Nachweis der Einhaltung nicht aus, kann eine Überprüfung stattfinden. Überprüfungen erstrecken sich nicht auf Räumlichkeiten oder Systeme von Unterauftragsverarbeitern über das hinaus, was deren Bedingungen zulassen. Deren veröffentlichte Zertifizierungen und Berichte sind der vorrangige Nachweis.

12.4 Jede Partei trägt ihre eigenen Prüfungskosten.

13. Haftung, Laufzeit und Rangfolge

13.1 Die Haftung zwischen den Parteien aus diesem AVV, auch für die Leistung eines Unterauftragsverarbeiters (Ziffer 6.4) und für den Rückgriff nach Artikel 82 Absatz 5 DSGVO, richtet sich nach Abschnitt 18 der Plattformbedingungen, mit den dort genannten Ausnahmen und soweit gesetzlich zulässig. Nichts hierin beschränkt die Haftung einer Partei gegenüber betroffenen Personen oder Aufsichtsbehörden.

13.2 Dieser AVV gilt, solange EUlabel Kundendaten verarbeitet.

13.3 Dieser AVV hat in Datenschutzfragen Vorrang vor den Plattformbedingungen. Die Standardvertragsklauseln haben, soweit sie gelten, Vorrang vor beiden.

13.4 EUlabel kann diesen AVV nach Maßgabe von Abschnitt 19 der Plattformbedingungen ändern oder wenn das Gesetz oder eine Aufsichtsbehörde dies verlangt. Änderungen dürfen den Schutz des Kunden nicht ohne seine Zustimmung verringern.

13.5 Dieser AVV unterliegt portugiesischem Recht, und die in den Plattformbedingungen genannten Gerichte sind zuständig.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand. Hosting und Veröffentlichung digitaler Produktpässe und Wein-E-Labels, Auflösung von Produktkennungen, Steuerung eingeschränkter Zugriffe und, sofern der Kunde dies wählt, Zählung von Scans.

Dauer. Die Vertragslaufzeit und der Abrufzeitraum und danach bis zum Überschreiben der Sicherungen.

Art und Zweck. Speichern, Organisieren, Abrufen, Veröffentlichen, Übermitteln und Löschen von Kundendaten zur Erbringung des Dienstes.

Kategorien betroffener Personen.

• Personen, die in Lieferanten-, Betreiber- oder Standortdatensätzen genannt sind, etwa Einzelunternehmer und Kontaktpersonen
• Personen, die in Pässen genannt sind, etwa Bevollmächtigte oder Reparaturbetriebe
• Personen oder Organisationen mit eingeschränktem Zugriff, die in Zugriffsberechtigungen genannt sind
• Personen, die eine Produktseite scannen, wenn der Kunde die Zählung aktiviert hat, solange eine IP-Adresse und Anfragedaten verarbeitet werden, um ein Land zu ermitteln und automatisierten Datenverkehr auszuschließen. Gespeicherte Scan-Aufzeichnungen sollen niemanden identifizieren
• Mitglieder der Organisation des Kunden, soweit sie in Ereignissen und Aufzeichnungen genannt sind

Art der personenbezogenen Daten.

• Namen, geschäftliche Kontaktdaten, USt-IdNr. und Standortnummern natürlicher Personen in Lieferanten- und Standortdatensätzen
• Alles, was der Kunde in Pass-, Einheiten- und Ereignisfelder eingibt
• Name und Standortnummer des Berechtigten, Nachweise für die Berechtigung und der Nutzer, der sie erstellt hat
• Aufzeichnungen über eingeschränkte Lesezugriffe: Berechtigung, Produkt, Seriennummer, Zielgruppe und Zeitpunkt
• Scan-Aufzeichnungen: Produkt, GTIN, Land und Tag. Es werden keine IP-Adresse, keine Browserdaten und keine Kennung gespeichert. Die Zählung ist deaktiviert, sofern der Kunde sie nicht unter Settings → Data and legal aktiviert, nachdem er einen Link zu seinen eigenen Datenschutzhinweisen angegeben hat. Das ist seine Weisung und seine Entscheidung als Verantwortlicher. Weinprodukte werden nie gezählt
• Nutzerkennungen, die mit Pass- und Einheitenereignissen verknüpft sind

Besondere Kategorien. Keine. Ziffer 3 untersagt sie.

Häufigkeit. Fortlaufend.

Aufbewahrung.

Anlage 2: Technische und organisatorische Maßnahmen

Standort und Hosting. Anwendungsfunktionen laufen in der Region Frankfurt. Die Datenbank wird in der Region Frankfurt gespeichert. Seiten werden über ein globales Netzwerk ausgeliefert, wie in Anlage 3 beschrieben.

Verschlüsselung. Der gesamte Datenverkehr nutzt TLS mit HTTP Strict Transport Security. Der Datenbankanbieter verschlüsselt ruhende Daten mit AES-256.

Geheimnisse. Passwörter werden als scrypt-Hashes gespeichert und beim Festlegen gegen bekannte Datenlecks geprüft. API-Schlüssel und Zugriffstokens werden als SHA-256-Hashes gespeichert und einmalig angezeigt. Zwei-Faktor-Geheimnisse sind verschlüsselt, und Tokens von Google oder Microsoft werden nach der Anmeldung nicht aufbewahrt.

Zugriffskontrolle. Vier Organisationsrollen, deren Berechtigungen bei jeder Anfrage und jeder Dashboard-Aktion geprüft werden. Dashboard- und API-Zugriffe auf Kundendaten werden anhand der Organisation des Kunden geprüft. API-Schlüssel können nach Berechtigung und auf ein Projekt begrenzt sowie widerrufen werden. Mitglieder können Passkeys und Zwei-Faktor-Authentifizierung nutzen sowie ihre Sitzungen einsehen und beenden. Eingeschränkte Passfelder werden auf dem Server gefiltert, und Zugriffstokens können zeitlich begrenzt und widerrufen werden.

Anwendungssicherheit. Ratenbegrenzung bei der Anmeldung, Prüfung der Anfrageherkunft bei cookie-authentifizierten Änderungen, eine Content Security Policy und weitere Sicherheits-Header in jeder Anwendung sowie validierte Eingaben auf API-Routen.

Änderungs- und Schwachstellenmanagement. Bei Codeänderungen laufen automatische Typprüfungen, Tests und Abhängigkeitsprüfungen, und Aktualisierungen von Abhängigkeiten werden automatisch überwacht. Schwachstellenmeldungen gehen an security@eulabel.eu.

Protokollierung. Jeder eingeschränkte Lesezugriff wird aufgezeichnet. Statusänderungen von Pässen und Einheitenereignisse werden mit ihrem Datum aufgezeichnet und, wenn eine Person sie vorgenommen hat, mit dem Nutzer. Einen vollständigen Prüfpfad für Administratoren gibt es noch nicht.

Verfügbarkeit. Der Datenbankanbieter bietet eine Wiederherstellung auf einen bestimmten Zeitpunkt. EUlabel sagt keine Wiederherstellungszeit zu. Das Hosting umfasst die DDoS-Abwehr der Plattform.

Datenminimierung. Scan-Aufzeichnungen enthalten keine IP-Adresse und keine Browserdaten. Weinprodukte werden nicht gezählt. Auf keiner Website laufen Analyse- oder Werbeskripte. Ein täglicher Vorgang löscht Daten, deren Aufbewahrungsfrist abgelaufen ist.

Personal. Der Zugang zu Produktionssystemen ist auf Personen beschränkt, die ihn benötigen, und diese sind zur Vertraulichkeit verpflichtet.

Grenzen. EUlabel verfügt über keine Zertifizierung nach ISO 27001 oder SOC 2 und hat noch keinen externen Penetrationstest beauftragt. Seine Hosting- und Datenbankanbieter verfügen über eigene Zertifizierungen, die auf der Seite zu den Unterauftragsverarbeitern aufgeführt sind.

Anlage 3: Unterauftragsverarbeiter und Übermittlungen

Die aktuelle Liste und Links zu den eigenen Listen der einzelnen Unterauftragsverarbeiter finden Sie auf der Seite zu den Unterauftragsverarbeitern.