Auftragsverarbeitungsvertrag

Parteien und Geltungsbereich

Dieser Vertrag wird zwischen der Kundenorganisation (Verantwortlicher) und der ExpertFusion Software and Marketplace L.L.C-FZ, Betreiber von PestLove (Auftragsverarbeiter), geschlossen. Er ist Bestandteil der Nutzungsbedingungen und gilt automatisch für jedes Abonnement, ohne dass eine Unterschrift erforderlich ist. Bei Widersprüchen zu den Bedingungen hinsichtlich der Verarbeitung personenbezogener Daten hat dieser Vertrag Vorrang.

Er umfasst personenbezogene Daten, die die Organisation und ihre Nutzer in PestLove erfassen oder erzeugen. Die eigene Verarbeitung des Betreibers für Konten, Abrechnung, Sicherheit und die Website ist in der Datenschutzerklärung beschrieben.

Weisungen und Vertraulichkeit

Wir verarbeiten personenbezogene Kundendaten nur auf dokumentierte Weisung der Organisation — die Bedingungen, diesen Vertrag sowie die Konfiguration und Nutzung des Dienstes durch die Organisation —, es sei denn, das Gesetz verlangt etwas anderes; in diesem Fall informieren wir die Organisation vorab, soweit zulässig. Wir weisen die Organisation darauf hin, wenn eine Weisung unserer Auffassung nach gegen Datenschutzrecht verstößt.

Alle zur Verarbeitung personenbezogener Kundendaten befugten Personen sind zur Vertraulichkeit verpflichtet, und der Zugriff ist auf das zur Erbringung, Unterstützung und Absicherung des Dienstes Notwendige beschränkt.

Technische und organisatorische Maßnahmen

Wir unterhalten angemessene technische und organisatorische Maßnahmen, darunter: Mandantentrennung bei jeder Anfrage und jedem API-Aufruf; rollenbasierte Berechtigungen und ausdrückliche Freigabe zwischen Organisationen; verschlüsselte Verbindungen (TLS); gehashte Passwörter und begrenzte Anmeldeversuche; API-Tokens mit festgelegtem Umfang; operative Audit-Protokolle; minimale Zugriffsrechte auf Produktivsysteme; versionierte und getestete Releases; und Datenbanksicherungen.

Wir können diese Maßnahmen anpassen, sofern das Gesamtschutzniveau nicht sinkt.

Unterauftragsverarbeiter

Die Organisation genehmigt folgende Unterauftragsverarbeiter: Vultr (Hosting, Datenbanken und Dateispeicher, Amsterdam, Niederlande; sowie unser Server für ausgehende E-Mails, Madrid, Spanien) und Expo / 650 Industries, Inc. (mobile Push-Benachrichtigungen, USA). Stripe verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher.

Vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters informieren wir mindestens 30 Tage im Voraus per E-Mail. Die Organisation kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; lässt sich der Einwand nicht ausräumen, kann sie den betroffenen Dienst kündigen und erhält bereits gezahlte Entgelte anteilig erstattet. Wir verpflichten jeden Unterauftragsverarbeiter zu gleichwertigen Datenschutzpflichten und bleiben für ihn verantwortlich.

Internationale Übermittlungen

Personenbezogene Kundendaten werden in den Niederlanden gehostet. Werden sie außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz übermittelt — einschließlich an den Betreiber in den Vereinigten Arabischen Emiraten und an Unterauftragsverarbeiter in den USA —, gelten die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914, Modul 2: Verantwortlicher an Auftragsverarbeiter, irischem Recht unterliegend) als in diesen Vertrag einbezogen, zusammen mit dem UK International Data Transfer Addendum und den schweizerischen Anpassungen, soweit anwendbar.

Unterstützung, Datenschutzverletzungen und Prüfungen

Der Dienst ermöglicht der Organisation, ihre Daten einzusehen, zu berichtigen, zu exportieren und zu löschen. Anfragen betroffener Personen leiten wir an die Organisation weiter und unterstützen sie bei der Beantwortung; für Datenschutz-Folgenabschätzungen stellen wir angemessene Informationen bereit.

Wir melden der Organisation eine Verletzung des Schutzes personenbezogener Daten, die ihre Daten betrifft, unverzüglich und spätestens 48 Stunden nach Kenntnis, mit den zu diesem Zeitpunkt verfügbaren Informationen, und halten sie über neue Erkenntnisse auf dem Laufenden.

Wir stellen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit. Die Organisation kann unsere Einhaltung einmal jährlich mit 30 Tagen schriftlicher Vorankündigung oder nach einer Datenschutzverletzung prüfen, vertraulich und auf eigene Kosten.

Rückgabe und Löschung

Während des Abonnements und 30 Tage nach seinem Ende kann die Organisation ihre Daten exportieren. Danach löschen wir die personenbezogenen Kundendaten aus den Produktivsystemen; Sicherungskopien werden entfernt, wenn sie im Rahmen der Backup-Rotation ablaufen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Anfrage bestätigen wir die Löschung schriftlich.

Beschreibung der Verarbeitung

Gegenstand und Zweck: Bereitstellung der PestLove-Software für Schädlingsbekämpfung, Lebensmittelsicherheit (HACCP), Audits, Schulungen und Laborabläufe. Dauer: Laufzeit des Abonnements zuzüglich Exportzeitraum. Art: Hosting, Speicherung, Organisation, Anzeige, Übermittlung per E-Mail und Push-Benachrichtigung, Berichte, Export, Sicherung und Löschung.

Betroffene Personen: Nutzer der Organisation, deren Kunden und Ansprechpartner, in Aufzeichnungen genannte Mitarbeitende an Standorten, Schulungsteilnehmer und Unterzeichnende. Datenkategorien: Namen, Funktionen, geschäftliche Kontaktdaten, Kontokennungen, Standortadressen, Einsatz-, Inspektions- und Auditaufzeichnungen, Messwerte, Fotos, Unterschriften und Schulungsnachweise. Eine Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen.

Die Haftung aus diesem Vertrag unterliegt den Beschränkungen der Nutzungsbedingungen, soweit das Datenschutzrecht nichts anderes vorschreibt.