Auftragsverarbeitungsvertrag

1.Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Unternehmen, das ein Hournook-Konto hat (der „Verantwortliche“, „Sie“), und Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), Einzelunternehmer, handelnd unter DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. USt-IdNr./Steuernummer (ΑΦΜ) 169481343, Allgemeines Handelsregister Griechenlands (Γ.Ε.ΜΗ.) Nr. 186989906000 (der „Auftragsverarbeiter“, „wir“). Er ist Bestandteil der Nutzungsbedingungen und gilt automatisch, ohne gesonderte Unterschrift, wann immer wir bei der Bereitstellung von Hournook personenbezogene Daten in Ihrem Auftrag verarbeiten.

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die Verordnung (EU) 2016/679 (die „DSGVO“) gibt. Widersprechen sich dieser AVV und die Bedingungen in Fragen des Datenschutzes, hat dieser AVV Vorrang.

2.Einzelheiten der Verarbeitung

• Gegenstand und Zweck: Bereitstellung von Hournook für Sie: Hosting Ihrer Buchungsseite, Annahme und Verwaltung von Buchungen, Speicherung von Kundendaten, Versand von Termin-E-Mails in Ihrem Namen, Statistiken, Exporte und Support.
• Dauer: solange Sie Hournook nutzen und bis die Daten wie unten beschrieben gelöscht sind.
• Art der Verarbeitung: Erhebung über die Buchungsseite oder Ihre Eingaben, Speicherung, Organisation, Abruf, Anzeige für Sie und Ihr Team, Übermittlung per E-Mail, Export und Löschung.
• Betroffene Personen: Ihre Kunden und Interessenten, die buchen oder die Sie anlegen; Ihre Mitarbeitenden und Teammitglieder.
• Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Telefonnummer, Termindetails (Leistung, Mitarbeiter:in, Datum, Uhrzeit, Preis, Status, Verlauf), Nachrichten von Kunden, Ihre Notizen sowie Namen und Arbeitspläne der Mitarbeitenden.
• Besondere Kategorien: Hournook ist nicht für besondere Kategorien von Daten (etwa Gesundheitsdaten) ausgelegt. Sie werden solche Daten nur eingeben, wenn Sie dazu gesetzlich berechtigt sind und die erforderlichen Garantien sichergestellt haben; tun Sie dies, gelten die Sicherheitsmaßnahmen dieses AVV auch für sie.

3.Verarbeitung nur auf Ihre Weisung

Wir verarbeiten die personenbezogenen Daten nur auf Ihre dokumentierte Weisung, die in diesen Bedingungen und diesem AVV sowie in den Einstellungen und Aktionen besteht, die Sie in Hournook nutzen. Wir verwenden sie nicht für eigene Zwecke, verkaufen sie nicht und verknüpfen sie nicht mit anderen Daten, es sei denn, das Recht der EU oder Griechenlands verpflichtet uns zur Verarbeitung; in diesem Fall teilen wir Ihnen dies vorher mit, sofern das Gesetz es nicht verbietet.

Wir informieren Sie unverzüglich, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

4.Vertraulichkeit

Alle Personen, die wir zum Zugriff auf die personenbezogenen Daten befugen, sind zur Vertraulichkeit verpflichtet und greifen nur darauf zu, soweit dies für die Bereitstellung, Absicherung oder Unterstützung des Dienstes erforderlich ist.

5.Sicherheitsmaßnahmen (Artikel 32)

Wir treffen geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Kosten und der Risiken. Derzeit gehören dazu:

• Verschlüsselung bei der Übertragung (HTTPS mit HSTS; verschlüsselte Datenbankverbindungen).
• Verschlüsselung im Ruhezustand durch unsere Hosting- und Datenbankanbieter.
• Logische Trennung der Daten jedes Unternehmens, bei jeder Anfrage durchgesetzt, und rollenbasierte Berechtigungen für Teammitglieder.
• Starkes Einweg-Hashing von Passwörtern, sichere Sitzungs-Cookies, Drosselung von Anmeldeversuchen und Kontosperrung sowie Ratenbegrenzung sensibler Aktionen.
• Eine Content Security Policy und weitere Sicherheits-Header auf jeder Seite.
• Ein Prüfprotokoll wichtiger Konto- und Datenaktionen.
• Sicherungen durch unseren Datenbankanbieter, die eine Wiederherstellung nach einem Vorfall ermöglichen.
• Zugriff auf Produktivsysteme nur durch den Inhaber des Anbieters, mit Multi-Faktor-Authentifizierung bei den Konten der Dienstleister.
• Datenminimierung und automatische Löschung wie in unserer Datenschutzerklärung beschrieben.

Wir können diese Maßnahmen anpassen, solange das Gesamtsicherheitsniveau nicht sinkt.

6.Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die Unterauftragsverarbeiter, die derzeit die Daten Ihrer Kunden verarbeiten, sind:

Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleiben Ihnen gegenüber für deren Erfüllung verantwortlich. Wir informieren Kontoinhaber mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Sie können innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; können wir dem Einspruch nicht in zumutbarer Weise Rechnung tragen, können Sie den betroffenen Dienst kündigen und erhalten eine anteilige Erstattung vorausbezahlter Entgelte.

7.Internationale Übermittlungen

Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, stellen wir sicher, dass die Übermittlung Kapitel V DSGVO entspricht, durch einen Angemessenheitsbeschluss (etwa den EU-US-Datenschutzrahmen für zertifizierte Anbieter) oder die Standardvertragsklauseln der Europäischen Kommission, bei Bedarf mit ergänzenden Maßnahmen.

8.Unterstützung bei Betroffenenanfragen und Compliance

Mit Hournook können Sie die meisten Anfragen selbst beantworten: Kundendaten einsehen, berichtigen und exportieren, einen Kunden löschen und Ihr Unternehmen löschen. Erhalten wir eine Anfrage direkt von einem Ihrer Kunden, beantworten wir sie nicht selbst (außer um die Person an Sie zu verweisen) und leiten sie unverzüglich an Sie weiter.

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie zudem in angemessenem Umfang bei Ihren Pflichten zu Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32–36 DSGVO).

9.Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen Sie unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Ihre Daten betrifft, per E-Mail an den Kontoinhaber. Die Meldung beschreibt, soweit dann bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen, und liefern weitere Informationen, sobald sie verfügbar sind, damit Sie Ihre eigenen Pflichten zur Meldung an die Aufsichtsbehörde und zur Benachrichtigung der betroffenen Personen erfüllen können.

10.Löschung und Rückgabe von Daten

Sie können Ihre Daten jederzeit exportieren. Wenn Sie einen Kunden löschen, werden seine personenbezogenen Daten sofort entfernt, und für Ihre Statistiken bleiben nur anonyme Termindatensätze erhalten. Wenn Sie Ihr Unternehmen löschen, werden alle seine Daten sofort aus unseren Live-Systemen gelöscht. In beiden Fällen werden die Daten innerhalb von 30 Tagen in den Sicherungen unseres Datenbankanbieters überschrieben, sofern das Recht der EU oder Griechenlands uns nicht zur Aufbewahrung verpflichtet. Endet Ihr Abonnement, ohne dass Sie Ihr Unternehmen löschen, bleiben Ihre Daten für Sie verfügbar, bis Sie sie löschen.

11.Informationen und Prüfungen

Wir stellen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen, und beantworten Ihre schriftlichen Fragen zu unserer Verarbeitung. Reicht das nicht aus, können Sie unsere Einhaltung überprüfen, auch durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer, mit einer schriftlichen Ankündigung von mindestens 30 Tagen, höchstens einmal im Jahr (sofern nicht von einer Aufsichtsbehörde verlangt oder nach einer Verletzung), während der Geschäftszeiten und so, dass die Daten anderer Kunden oder unsere Sicherheit nicht gefährdet werden. Jede Partei trägt ihre eigenen Kosten.

12.Haftung und Laufzeit

Die Haftung aus diesem AVV unterliegt den Beschränkungen der Bedingungen, soweit das Gesetz sie nicht ausschließt. Dieser AVV endet automatisch, wenn wir keine personenbezogenen Daten mehr in Ihrem Auftrag verarbeiten; die Pflichten zu Löschung und Vertraulichkeit gelten bis dahin fort. Er unterliegt demselben Recht und denselben Gerichten wie die Bedingungen.

13.Kontakt

Fragen zu diesem AVV oder Anfragen nach einem gegengezeichneten Exemplar: devtaskhub@devtaskhub.com.