Auftragsverarbeitungsvertrag

Diese Auftragsverarbeitungsvereinbarung gilt für die Nutzung der Online-Plattform 4planning, angeboten von 4Software B.V., handelnd unter dem Namen 4planning.

Diese Vereinbarung ergänzt die Vereinbarung, die allgemeinen Geschäftsbedingungen und/oder die Abonnementvereinbarung zwischen 4planning und dem Kunden. Bei Widersprüchen zwischen dieser Auftragsverarbeitungsvereinbarung und anderen Vereinbarungen haben die Bestimmungen dieser Auftragsverarbeitungsvereinbarung Vorrang, soweit es um die Verarbeitung personenbezogener Daten geht.

1. Definitionen

In dieser Auftragsverarbeitungsvereinbarung werden die folgenden Begriffe verwendet:

AVG
Die Datenschutz-Grundverordnung.

Personenbezogene Daten
Alle Informationen über eine identifizierte oder identifizierbare natürliche Person, wie Name, E-Mail-Adresse, Telefonnummer, Adressdaten, Geburtsdatum oder andere Daten, mit denen jemand direkt oder indirekt erkennbar ist.

Betroffene
Die Person, auf die sich die personenbezogenen Daten beziehen, wie z. B. ein Mitglied, Mitarbeiter, Freiwilliger, Teilnehmer, Administrator, Ansprechpartner oder Kunde.

Verantwortlicher für Datenverarbeitung
Das Unternehmen, das bestimmt, warum und wie personenbezogene Daten verarbeitet werden. Innerhalb dieser Vereinbarung ist der Kunde der für die Verarbeitung Verantwortliche.

Verwerker
Die Partei, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Innerhalb dieser Vereinbarung ist 4Software B.V., handelnd unter dem Namen 4planning, der Verarbeiter.

Unterauftragnehmer
Ein Dritter, der von 4planning beauftragt wird und personenbezogene Daten im Rahmen der Dienstleistungen von 4planning verarbeitet.

Bearbeiten
Alle Tätigkeiten mit personenbezogenen Daten, einschließlich Sammeln, Erfassen, Speichern, Ändern, Abfragen, Verwenden, Weitergeben, Sperren, Löschen oder Vernichten.

2. Parteien

Dieser Verarbeitungsvertrag wird geschlossen zwischen:

Verantwoordelijke voor de verwerking:
Der Kunde, der 4planung nutzt.

und

Verarbeiter:
4Software B.V., handelnd unter dem Namen 4planning
Hakkesstraat 32, 5916PX Venlo
KvK: 96265531
E-Mail: info@4planning.nl

3. Anwendbarkeit

Diese Verarbeitungsvereinbarung gilt für alle Verarbeitungen personenbezogener Daten, die 4planning im Auftrag des Kunden bei der Bereitstellung der 4planning-Software, App, Module, Support und dazugehörigen Dienstleistungen durchführt.

Der Kunde bestimmt selbst, welche persönlichen Daten in 4planning eingegeben werden, für welche Personen diese Daten erfasst werden und zu welchem Zweck diese Daten verwendet werden.

4planning verarbeitet diese personenbezogenen Daten ausschließlich im Auftrag des Kunden und nicht für eigene Zwecke, es sei denn, dies ist für seine eigenen gesetzlichen Verpflichtungen, die Sicherheit, die Verwaltung, die Rechnungsstellung, die Unterstützung oder die Verbesserung der Dienstleistung auf aggregierter oder anonymisierter Basis erforderlich.

4. Zweck der Verarbeitung

4planning verarbeitet personenbezogene Daten zur Bereitstellung einer Online-Plattform für unter anderem:

• Mitgliederverwaltung;
• Benutzerverwaltung;
• Gruppenverwaltung;
• Rollen en rechten;
• Kommunikation in Organisationen;
• Nachrichtenberichte;
• Veranstaltungsmanagement;
• Anmeldungen und Anwesenheit;
• Ticketausstellung und Zugangskontrolle;
• QR-Scan;
• Dokumentenmanagement;
• Planung;
• Beitrags- und Mitgliedschaftsverwaltung;
• Benachrichtigungen per E-Mail und Push-Benachrichtigungen;
• Unterstützung und Verwaltung der Umgebung.

4planning verarbeitet keine personenbezogenen Daten für andere Zwecke als die, die für die Erbringung, Wartung, Sicherung und Unterstützung der Dienstleistungen erforderlich sind, es sei denn, der Kunde erteilt ausdrücklich eine entsprechende Anweisung oder das Gesetz schreibt dies vor.

5. Arten personenbezogener Daten

Abhängig von der Nutzung durch den Kunden können im Rahmen von 4planning unter anderem folgende personenbezogene Daten verarbeitet werden:

• Vorname und Nachname;
• E-Mail-Adresse;
• Telefonnummer;
• Adressdaten;
• Geburtsdatum;
• Geschlecht, falls vom Kunden verwendet;
• Profilfoto;
• Benutzername;
• Organisationsrolle;
• Gruppenaufteilung;
• Team- oder Abteilungsinfo;
• Mitgliedsnummer oder interne Kunden-Nr.;
• Anwesenheit und Anmeldestatus;
• Teilnahme an Veranstaltungen;
• Fahrscheininformationen;
• QR-Codeinformationen;
• Kommunikationspräferenzen;
• Sprachpräferenz;
• Push-Benachrichtigungseinstellungen;
• Dokumentenrechte und Zugriffsebenen;
• Berichte, Umfragen und Kommentare innerhalb der Umgebung;
• Logdaten, wie Anmeldemomente, technische Fehlermeldungen und Sicherheitsprotokolle;
• Zahlungsstatus oder Transaktionsreferenzen, falls zutreffend.

4planning speichert keine IBAN-Nummern, es sei denn, dies wird in Zukunft ausdrücklich anders vereinbart und schriftlich festgehalten. Etwaige Zahlungen, Einzüge oder Transaktionen können über externe Zahlungsdienstleister oder Finanzdienstleister abgewickelt werden. In diesem Fall kann 4planning nur begrenzte Zahlungsstatus, Transaktionsreferenzen oder administrative Informationen für die Anzeige des Status auf der Plattform verarbeiten.

6. Beteiligte Kategorien

Die personenbezogenen Daten können unter anderem Folgendes umfassen:

• Leder;
• Altmitglieder;
• Vorstandsmitglieder;
• Verwalter;
• Gruppenadministratoren;
• Mitarbeiter;
• Freiwillige;
• Trainer;
• Teammitglieder;
• Veranstaltungsteilnehmer;
• Ticketkäufer;
• Scanner von Zugangskontrolleuren;
• Kontaktpersonen;
• Kunden oder Beziehungen des Kunden;
• andere Nutzer, die durch den Kunden Zugang zu 4planning erhalten.

7. Anweisungen des Kunden

4planning verarbeitet personenbezogene Daten ausschließlich auf Basis der Vereinbarung mit dem Kunden, dieser Auftragsverarbeitungsvereinbarung, den Einstellungen innerhalb der Plattform und angemessenen schriftlichen Anweisungen des Kunden.

Wenn 4planning der Meinung ist, dass eine Anweisung gegen die DSGVO oder andere geltende Gesetze verstößt, informiert 4planning den Kunden darüber, soweit dies gesetzlich zulässig ist.

Der Kunde bleibt verantwortlich für die Richtigkeit, Rechtmäßigkeit und Notwendigkeit der personenbezogenen Daten, die in 4planning eingegeben werden.

8. Verantwortlichkeiten des Kunden

Der Kunde ist verantwortlich für:

• die Gültigkeit einer rechtlichen Grundlage für die Verarbeitung personenbezogener Daten haben;
• die Information von Beteiligten durch zum Beispiel eine Datenschutzerklärung;
• die Festlegung, welche personenbezogenen Daten eingegeben werden;
• das Aktualisieren von Daten;
• die korrekte Einstellung von Rollen, Rechten und Zugriffseinstellungen;
• sorgfältig verwalten von Konten und Passwörtern;
• die Prüfung und Bearbeitung von Anfragen betroffener Personen;
• die Beurteilung, ob eine Datenpanne der Datenschutzbehörde und/oder betroffenen Personen gemeldet werden muss.

Der Kunde darf in 4planning keine personenbezogenen Daten verarbeiten, die für die Nutzung der Plattform nicht erforderlich sind. Der Kunde darf in 4planning keine besonderen personenbezogenen Daten speichern, es sei denn, es liegt eine gültige Rechtsgrundlage dafür vor und es wurden angemessene Maßnahmen getroffen.

9. Sicherheit

4planning ergreift geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, Missbrauch, unbefugtem Zugriff, Veränderung oder Offenlegung zu schützen. Artikel 32 DSGVO nennt unter anderem geeignete technische und organisatorische Sicherheitsmaßnahmen, die auf die Risiken der Verarbeitung abgestimmt sind.

Diese Maßnahmen können unter anderem umfassen:

• gesicherte Verbindungen über SSL/TLS;
• Zugangssicherheit mit Benutzerkonten;
• Rollen- und Rechtestruktur;
• Zwei-Faktor-Authentifizierung, wo verfügbar;
• Protokollierung relevanter System- und Sicherheitsaktivitäten;
• Sicherungen;
• Server-Sicherheit;
• Zugangsbeschränkung für befugte Personen;
• gesicherte Hostingumgebung;
• periodische Aktualisierungen und Wartung;
• Maßnahmen gegen Missbrauch, unbefugten Zugriff und Datenverlust.

4planning kümmert sich darum, die Sicherheitsmaßnahmen fortlaufend zu evaluieren und, wo nötig, zu verbessern.

10. Geheimhaltung

4planning verpflichtet sich zur Geheimhaltung aller personenbezogenen Daten, die sie im Rahmen dieser Vereinbarung verarbeitet.

Diese Geheimhaltungspflicht gilt auch für Mitarbeiter, angestellte Kräfte, Freiberufler und andere Personen, die unter der Verantwortung von 4planning Zugang zu personenbezogenen Daten haben können.

Die Geheimhaltungspflicht gilt nicht, wenn eine Offenlegung gesetzlich vorgeschrieben ist, durch einen Gerichtsbeschluss oder eine zuständige Behörde.

11. Unterauftragnehmer

4planning kann Subunternehmer für die Leistungserbringung einsetzen. Denken Sie an Hosting-Anbieter, E-Mail-Anbieter, Zahlungsanbieter, Support-Software, Backup-Anbieter oder technische Dienstleister.

Der Kunde erteilt die allgemeine Zustimmung zur Einschaltung von Unterauftragsverarbeitern, vorausgesetzt 4planung:

• eine aktuelle Liste der Unterverarbeiter zur Verfügung stellt;
• Unterauftragnehmer verpflichtet zu angemessener Sicherheit und Vertraulichkeit;
• macht Vereinbarungen mit Unterauftragsverarbeitern, die mit dieser Verarbeitervereinbarung übereinstimmen;
• der Kunde informiert über wesentliche Änderungen bei Unterverarbeitern;
• dem Kunden eine angemessene Möglichkeit gibt, gegen neue Unterverarbeiter Einspruch einzulegen.

Gemäß Artikel 28 DSGVO darf ein Auftragsverarbeiter keinen weiteren Auftragsverarbeiter beauftragen ohne vorherige ausdrückliche oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei allgemeiner Genehmigung muss der Kunde über die Hinzufügung oder den Ersatz von Unterauftragsverarbeitern informiert werden, sodass Einspruch möglich ist.

Die aktuellen Unterauftragsverarbeiter sind im Anhang oder auf einer separaten Unterauftragsverarbeiterseite von 4planning aufgeführt.

12. Ort der Verarbeitung

4planning strebt danach, personenbezogene Daten so weit wie möglich innerhalb des Europäischen Wirtschaftsraums zu verarbeiten.

Wenn personenbezogene Daten außerhalb des EWR verarbeitet werden, stellt 4planning geeignete Garantien gemäß der AVG sicher, beispielsweise durch die Verwendung anerkannter vertraglicher Klauseln oder anderer gültiger Übertragungsmechanismen.

13. Datenlecks

Wenn 4planning einen Sicherheitsvorfall feststellt, bei dem personenbezogene Kundendaten verloren gegangen sind oder bei dem unbefugter Zugriff, unbefugte Änderung oder unbefugte Offenlegung nicht vernünftigerweise ausgeschlossen werden kann, informiert 4planning den Kunden so schnell wie möglich.

4planning stellt dabei, soweit bekannt und zumutbar, Informationen über:

• die Art des Vorfalls;
• die betroffenen personenbezogenen Daten;
• die möglichen Folgen;
• die getroffenen oder vorgeschlagenen Maßnahmen;
• der Ansprechpartner für Nachverfolgung.

4planning meldet eine Datenpanne spätestens innerhalb von 48 Stunden nach Entdeckung an den Kunden, es sei denn, dies ist vernünftigerweise nicht möglich. In diesem Fall meldet 4planning den Vorfall so schnell wie möglich danach.

Der Kunde bleibt verantwortlich für die Bewertung, ob der Datenleck bei der Datenschutzbehörde und/oder Betroffenen gemeldet werden muss.

14. Rechte van betrokkenen

Beteiligte Personen haben gestützt auf die DSGVO Rechte, wie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Übertragbarkeit.

Wenn eine betroffene Person eine Anfrage bezüglich personenbezogener Daten, die im Verantwortungsbereich des Kunden verarbeitet werden, direkt an 4planning richtet, leitet 4planning diese Anfrage an den Kunden weiter, es sei denn, 4planning ist gesetzlich verpflichtet, selbst zu antworten.

4planning leistet, soweit angemessen und technisch machbar, Unterstützung bei Anfragen des Kunden zur Einsichtnahme, Berichtigung, Löschung, Ausfuhr oder Sperrung von personenbezogenen Daten.

15. Export und Entfernung

Der Kunde kann während der Laufzeit des Vertrags Daten exportieren, soweit die Funktionalität von 4planning dies unterstützt.

Nach Beendigung des Vertrages wird 4planning personenbezogene Daten löschen oder zurückgeben, es sei denn, eine gesetzliche Aufbewahrungspflicht oder ein berechtigter technischer Grund erfordert eine vorübergehende Speicherung.

Sicherungen können für einen begrenzten Zeitraum ausschließlich zu Wiederherstellungs- und Sicherheitszwecken aufbewahrt werden. Personenbezogene Daten in Sicherungen werden nicht aktiv genutzt und werden gemäß dem regulären Sicherungsplan überschrieben oder gelöscht.

16. Kontrolle und Prüfung

Der Kunde hat das Recht, Auskunft über die Einhaltung dieser Auftragsverarbeitungsvereinbarung zu verlangen.

4planning kann dieser Anfrage nachkommen, indem es Folgendes bereitstellt:

• eine Sicherheitserklärung;
• Dokumentation über technische und organisatorische Maßnahmen;
• eine Übersicht von Unterverarbeitern;
• relevante Zertifizierungen oder Berichte, falls vorhanden;
• schriftliche Beantwortung angemessener Fragen.

Eine physische oder externe Prüfung ist nur dann möglich, wenn der Kunde ein nachweislich berechtigtes Interesse hat, die Prüfung im Voraus schriftlich ankündigt, die Prüfung keine unzumutbare Störung des Dienstleistungsbetriebs verursacht und alle beteiligten Personen Verschwiegenheit wahren.

Die Kosten einer vom Kunden gewünschten Prüfung gehen zu Lasten des Kunden.

17. Haftung

Die Haftung von 4planning für Schäden im Zusammenhang mit der Verarbeitung personenbezogener Daten ist, sofern nicht zwingende gesetzliche Bestimmungen etwas anderes vorsehen, auf die in den Allgemeinen Geschäftsbedingungen oder der Hauptvereinbarung zwischen den Parteien genannten Beschränkungen beschränkt.

Der Kunde stellt 4planning von Ansprüchen Dritter frei, die sich aus rechtswidrigen oder fehlerhaften Anweisungen des Kunden, rechtswidriger Eingabe personenbezogener Daten oder der unzureichenden Einhaltung der eigenen DSGVO-Pflichten durch den Kunden ergeben.

18. Dauer und Beendigung

Diese Verarbeitungsvereinbarung tritt in Kraft, sobald der Kunde 4planning nutzt, ein Abonnement abschließt oder diese Vereinbarung akzeptiert.

Der Verarbeitungsvertrag endet automatisch mit dem Ende des Vertrags über die Nutzung von 4planning, es sei denn, Verpflichtungen aus diesem Vertrag sind ihrer Natur nach weiterhin geltend zu machen, wie z. B. Geheimhaltung, Haftung und Vereinbarungen über die Löschung.

19. Änderungen

4planning kann diese Verarbeitungsvereinbarung ändern, wenn dies aufgrund von Änderungen der Gesetzgebung, der Dienstleistungserbringung, der Sicherheit, der Unterauftragsverarbeiter oder der Geschäftsabläufe erforderlich ist.

4planning informiert Kunden rechtzeitig über wesentliche Änderungen. Wenn der Kunde 4planning nach der Änderung weiterhin nutzt, gilt der Kunde als mit der geänderten Vereinbarung einverstanden, es sei denn, es wird innerhalb der angegebenen Frist schriftlich widersprochen.

20. Anwendbares Recht

Auf diesen Verarbeitungsvertrag findet niederländisches Recht Anwendung.

Streitigkeiten werden dem zuständigen Gericht in den Niederlanden vorgelegt, es sei denn, zwingende gesetzliche Bestimmungen sehen etwas anderes vor.