Auftragsverarbeitungsvertrag

1. Parteien und Geltungsbereich

1.1 Dieser Auftragsverarbeitungsvertrag („AVV“) besteht zwischen BlinkFix Ltd (Firmennr. 13505930), 27 Old Gloucester Street, London WC1N 3AX, Vereinigtes Königreich („BlinkFix“, der „Auftragsverarbeiter“) und der Organisation, dem Lieferanten oder dem Lieferunternehmen, das die Enterprise-Bedingungen akzeptiert hat, oder dem Unternehmen, das die Händlerbedingungen akzeptiert hat (der „Kunde“, der „Verantwortliche“).

1.2 Er gilt für personenbezogene Daten, die BlinkFix im Auftrag des Kunden bei der Bereitstellung von BlinkFix Enterprise oder den Personal- und Integrationstools eines Betriebs verarbeitet (die „personenbezogenen Kundendaten“). Er ist Bestandteil der Enterprise-Bedingungen oder der Händlerbedingungen (die „Vereinbarung“) und wird zusammen mit diesen akzeptiert.

1.3 Er gilt nicht für personenbezogene Daten, die BlinkFix als Verantwortlicher verarbeitet, was in der Datenschutzrichtlinie beschrieben ist. BlinkFix ist Verantwortlicher für beispielsweise: (a) BlinkFix-Konten; (b) Bestellungen und Zahlungen von Kunden; (c) Abrechnungen, Wallets, Auszahlungen und Kontoauszüge; (d) die Lieferdetails einer Bestellung (Name, Adresse, Telefonnummer, Liefercode) und die Aufzeichnungen von Lieferungen, einschließlich Lieferungen durch ein Lieferunternehmen; (e) eine Lieferantenbestellung, einschließlich der Lieferdetails des Käufers; (f) Fahrzeugkautionen, einschließlich Ansprüchen, Fotos und Entscheidungen von BlinkFix; (g) die begrenzten Informationen, die BlinkFix einem Vertriebspartner über die von ihm eingeführten Konten gibt; (h) die eigene Prüfung der Unterlagen, die ein Lieferunternehmen zur Genehmigung hochlädt. Wenn BlinkFix solche Daten an einen Lieferanten, ein Lieferunternehmen oder einen Vertriebspartner weitergibt, damit dieser seinen Teil erfüllen kann, empfängt dieses Unternehmen sie als eigenständiger Verantwortlicher, nur für diesen Zweck, wie es in den Flottenbedingungen, Abschnitt 16 der Enterprise-Bedingungen und dem Dokument Bedingungen für Vertriebspartner festgelegt ist.

1.4 „UK GDPR“, „EU GDPR“ (Verordnung (EU) 2016/679), „Datenschutzgesetze“, „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutungen, die ihnen in der UK GDPR, dem Data Protection Act 2018 und, sofern anwendbar, der EU GDPR zugewiesen sind.

2. Einzelheiten der Verarbeitung

3. Weisungen des Verantwortlichen

3.1 BlinkFix verarbeitet personenbezogene Kundendaten nur auf der Grundlage dokumentierter Weisungen des Kunden, einschließlich in Bezug auf internationale Übermittlungen, es sei denn, BlinkFix ist durch britisches oder EU-Recht zu einer anderen Verarbeitung verpflichtet; in diesem Fall informiert BlinkFix den Kunden vor der Verarbeitung, sofern das betreffende Recht dies nicht untersagt.

3.2 Die Vereinbarung, diese AVV sowie die Nutzung und Konfiguration des Dienstes durch den Kunden (einschließlich Einstellungen, Integrationen und Handlungen seiner Administratoren) stellen die vollständigen Weisungen des Kunden dar. Weitere Weisungen müssen schriftlich erfolgen und mit der Vereinbarung im Einklang stehen.

3.3 BlinkFix informiert den Kunden unverzüglich, wenn BlinkFix der Auffassung ist, dass eine Weisung gegen Datenschutzgesetze verstößt.

3.4 Der Kunde ist für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung, für das Vorliegen einer Rechtsgrundlage sowie für die Bereitstellung der erforderlichen Informationen an die betroffenen Personen verantwortlich.

4. Vertraulichkeit

BlinkFix stellt sicher, dass alle Personen, die zur Verarbeitung personenbezogener Kundendaten befugt sind, zur Vertraulichkeit verpflichtet sind und nur insoweit darauf zugreifen, wie dies zur Erbringung des Dienstes, zur Unterstützung des Kunden auf dessen Anfrage, zur Bearbeitung von Meldungen und Missbrauchsfällen oder zur Einhaltung gesetzlicher Vorschriften erforderlich ist.

5. Sicherheit

BlinkFix implementiert geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Kundendaten (Artikel 32 UK/EU-DSGVO), einschließlich:

• Verschlüsselung bei der Übertragung (TLS) für den gesamten Datenverkehr sowie Verschlüsselung ruhender Daten durch Google Cloud (unsere Server und Datenbankfestplatten) und Cloudflare (Dateien und Backups);
• Passwörter und PINs, die nur als Hashes gespeichert werden; Integrationsgeheimnisse, die verschlüsselt gespeichert werden; API-Schlüssel, die in ihrem Umfang beschränkt und widerrufbar sind; signierte Webhooks;
• Zugriffskontrolle nach Sitzplatz und Rolle; Zugriff von Mitarbeitern auf Produktionsdaten beschränkt auf Personen, die diesen benötigen; Protokollierung von Mitarbeiterzugriffen auf sensible Elemente;
• Trennung der Kundendaten nach Organisation innerhalb der Anwendung;
• Ratenbegrenzung und Schutz vor Missbrauch;
• tägliche Backups unserer Datenbank mit kontinuierlichen Änderungsprotokollen, die 7 Tage lang in einem separaten Backup-Speicher aufbewahrt werden, sowie ein Verfahren zu deren Wiederherstellung;
• regelmäßige Überprüfung der Maßnahmen bei Änderungen des Dienstes.

Der Kunde ist für seine eigene Sicherheit verantwortlich, einschließlich der Verwaltung von Sitzplätzen, der Geheimhaltung von Anmeldedaten und API-Schlüsseln sowie der Absicherung der von ihm verbundenen Systeme.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt BlinkFix die allgemeine Genehmigung, die Unterauftragsverarbeiter in der Liste Unterauftragsverarbeiter hinzuzuziehen.

6.2 BlinkFix informiert den Kunden mindestens 30 Tage im Voraus über einen neuen oder ersetzenden Unterauftragsverarbeiter durch Aktualisierung der Liste und Benachrichtigung der Administratoren oder Kontoinhaber des Kunden per E-Mail. Der Kunde kann innerhalb dieses Zeitraums aus berechtigten datenschutzrechtlichen Gründen widersprechen. Die Parteien werden den Widerspruch nach Treu und Glauben erörtern; kann keine Einigung erzielt werden, kann der Kunde den betroffenen Dienst beenden und erhält eine Rückerstattung der im Voraus gezahlten Gebühren für den verbleibenden Zeitraum.

6.3 BlinkFix legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als diese AVV, und bleibt für deren Leistung verantwortlich.

7. Internationale Übermittlungen

7.1 Das Haupt-Hosting von BlinkFix, einschließlich der Datenbank, erfolgt über Google Cloud in Frankfurt, Deutschland (EU). Datenbank-Backups werden in Cloudflare R2 gespeichert. Der E-Mail-Server von BlinkFix befindet sich in Kanada. Einige Unterauftragsverarbeiter, einschließlich des KI-Dienstes, verarbeiten Daten in den USA oder an anderen Orten, wie in der Liste angegeben.

7.2 Wenn personenbezogene Kundendaten außerhalb des Vereinigten Königreichs oder des EWR in ein Land ohne Angemessenheitsbeschluss übermittelt werden, stellt BlinkFix angemessene Schutzmaßnahmen sicher: den EU-US Data Privacy Framework und dessen UK-Erweiterung für zertifizierte Empfänger oder die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914, Modul 3 Auftragsverarbeiter-zu-Auftragsverarbeiter oder Modul 2, sofern anwendbar) zusammen mit dem UK International Data Transfer Addendum sowie gegebenenfalls einer Transfer-Folgenabschätzung und ergänzenden Maßnahmen. Eine Übermittlung in ein Land mit Angemessenheitsbeschluss, wie etwa Kanada für kommerzielle Organisationen, stützt sich auf diesen Beschluss.

7.3 Wenn sich der Kunde im EWR befindet und BlinkFix (im Vereinigten Königreich) personenbezogene Kundendaten erhält, ist die Übermittlung durch den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich abgedeckt. Sollte dieser Beschluss enden, finden die Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter) Anwendung und werden durch Verweis einbezogen, wobei irisches Recht und irische Gerichte für diese gewählt werden und die Aufsichtsbehörde des Kunden als zuständige Behörde gilt.

7.4 Kunden außerhalb des Vereinigten Königreichs und des EWR. Wenn sich der Kunde außerhalb des Vereinigten Königreichs und des EWR befindet (zum Beispiel in den Vereinigten Arabischen Emiraten oder den USA) und dessen Recht die Übermittlung personenbezogener Daten in das Vereinigte Königreich oder in die Länder der Liste der Unterauftragsverarbeiter einschränkt, stützen sich die Parteien auf diese AVV und, sofern dieses Recht mehr verlangt, auf die Standardklauseln und den in 7.2 und 7.3 genannten Nachtrag, deren Anwendung die Parteien vereinbaren, soweit dies nach dem jeweiligen Recht zulässig ist.

8. Unterstützung

8.1 Anfragen betroffener Personen. BlinkFix unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen (Zugang, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch), hauptsächlich durch die Funktionen des Dienstes (Admins können Daten einsehen, bearbeiten, exportieren und entfernen). Erhält BlinkFix eine Anfrage direkt, verweist es die Person an den Kunden und antwortet nicht selbst, es sei denn, der Kunde fordert dazu auf.

8.2 Datenschutz-Folgenabschätzungen und Konsultation. BlinkFix stellt angemessene Informationen bereit, um den Kunden bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation einer Aufsichtsbehörde zu unterstützen.

9. Verletzungen des Schutzes personenbezogener Daten

BlinkFix benachrichtigt den Kunden ohne schuldhaftes Zögern, und in jedem Fall innerhalb von 48 Stunden, nachdem es von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die personenbezogene Kundendaten betrifft, mit den Informationen, die der Kunde vernünftigerweise benötigt, um seinen Verpflichtungen nachzukommen (Art der Verletzung, Kategorien und ungefähre Anzahl, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle), und aktualisiert diese, sobald mehr bekannt wird. BlinkFix ergreift angemessene Schritte, um die Verletzung einzudämmen und zu beheben. Die Benachrichtigung stellt kein Schuldeingeständnis dar.

10. Audits

BlinkFix stellt die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser AVV und von Artikel 28 nachzuweisen, einschließlich schriftlicher Antworten auf Sicherheitsfragebögen einmal jährlich. Wenn dies nicht ausreicht oder eine Aufsichtsbehörde dies verlangt, kann der Kunde ein Audit (selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer) mit einer Ankündigungsfrist von mindestens 30 Tagen, während der Geschäftszeiten, höchstens einmal jährlich, auf eigene Kosten und ohne Zugriff auf Daten anderer Kunden durchführen.

11. Löschung und Rückgabe

11.1 Während der Laufzeit der Vereinbarung können Admins personenbezogene Kundendaten löschen und exportieren (CSV- und JSON-Exporte sowie über die API).

11.2 Wenn die Vereinbarung endet, hat der Kunde 30 Tage Zeit, seine Daten zu exportieren. BlinkFix löscht daraufhin personenbezogene Kundendaten innerhalb weiterer 30 Tage, auch aus aktiven Systemen, es sei denn, das Recht des Vereinigten Königreichs oder der EU verlangt eine Aufbewahrung. Backups werden für 7 Tage aufbewahrt und dann in ihrem normalen Zyklus gelöscht; sie werden außer zur Notfallwiederherstellung nicht wiederhergestellt. Auf Anfrage bestätigt BlinkFix die Löschung schriftlich.

11.3 Daten über Einrichtungen auf BlinkFix, deren Bestellungen und die persönlichen BlinkFix-Konten ihrer Mitarbeiter sind keine personenbezogenen Kundendaten des Enterprise-Kunden und unterliegen weiterhin den Händlerbedingungen und der Datenschutzrichtlinie.

12. Haftung und Vorrang

12.1 Die Haftung jeder Partei im Rahmen dieser AVV unterliegt den in der Vereinbarung festgelegten Grenzen.

12.2 Sollte diese AVV im Widerspruch zur Vereinbarung stehen, hat diese AVV bei der Verarbeitung personenbezogener Kundendaten Vorrang. Sollten die Standardvertragsklauseln oder der UK-Nachtrag Anwendung finden und im Widerspruch zu dieser AVV stehen, haben diese Vorrang.

12.3 Diese AVV unterliegt dem Recht, das die Vereinbarung regelt.

13. Kontakt

Datenschutz: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Vereinigtes Königreich.

Registrierung beim UK Information Commissioner's Office: beantragt (Antrag C2042936).

EU-Vertreter (Art. 27 DSGVO)

Der Vertreter von BlinkFix in der Europäischen Union gemäß Artikel 27 der EU-DSGVO ist Michał Michalek, Polen (Postanschrift auf Anfrage unter [email protected]), [email protected], +48 505 643 432. Betroffene Personen in der EU und Aufsichtsbehörden können sich bezüglich der Verarbeitung durch BlinkFix, einschließlich der Verarbeitung gemäß dieser AVV, an den Vertreter wenden.

14. Rechtsvorschriften anderer Länder

14.1 EWR. Wenn sich der Kunde in Island, Liechtenstein oder Norwegen befindet, gilt diese AVV wie für die EU, und „EU-DSGVO“ umfasst die DSGVO in ihrer Anwendung im EWR.

14.2 Vereinigte Arabische Emirate. Wenn das Föderale Dekret-Gesetz Nr. 45 der VAE von 2021 über den Schutz personenbezogener Daten auf personenbezogene Kundendaten Anwendung findet, ist der Kunde der Verantwortliche und BlinkFix dessen Auftragsverarbeiter, und die Abschnitte 3 bis 11 sind die Pflichten von BlinkFix als Auftragsverarbeiter gemäß diesem Gesetz. Wenn das Datenschutzrecht des Dubai International Financial Centre oder des Abu Dhabi Global Market Anwendung findet, gilt dasselbe gemäß diesem Recht. Die Parteien stützen sich für jede Übermittlung aus den VAE auf diese AVV und Abschnitt 7.

14.3 Vereinigte Staaten. Wenn ein US-Datenschutzgesetz eines Bundesstaates auf personenbezogene Kundendaten Anwendung findet (zum Beispiel der California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung), ist BlinkFix der Dienstleister oder Auftragsverarbeiter des Kunden, und: (a) BlinkFix verarbeitet die personenbezogenen Kundendaten nur zu den in Abschnitt 2 genannten Zwecken und gemäß den Anweisungen des Kunden; (b) BlinkFix verkauft oder teilt diese nicht (wie diese Begriffe gesetzlich definiert sind); (c) BlinkFix speichert, verwendet oder offenbart sie nicht für andere Zwecke oder außerhalb seiner direkten Geschäftsbeziehung mit dem Kunden; (d) BlinkFix führt sie nicht mit personenbezogenen Daten zusammen, die es aus anderen Quellen erhält oder selbst erhebt, es sei denn, dies ist gesetzlich zulässig; (e) BlinkFix hält dieses Gesetz ein und bietet das gleiche Schutzniveau für die Privatsphäre; (f) der Kunde kann angemessene Schritte unternehmen (einschließlich gemäß Abschnitt 10), um sicherzustellen, dass BlinkFix die Daten gemäß dieser AVV (Auftragsverarbeitungsvereinbarung) verwendet, sowie um eine unbefugte Nutzung zu stoppen und zu korrigieren; (g) BlinkFix benachrichtigt den Kunden innerhalb von 5 Werktagen, wenn es seine Verpflichtungen gemäß diesem Gesetz nicht mehr erfüllen kann.

14.4 Wenn das Datenschutzrecht eines anderen Landes Anwendung findet und weitergehende Anforderungen als diese AVV stellt, werden die Parteien nach Treu und Glauben vereinbaren, was zu ergänzen ist.