Datenverarbeitungsvereinbarung

Diese Datenverarbeitungsvereinbarung wird geschlossen zwischen:

In dieser Vereinbarung:

• “DSGVO” bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016.
• “Personenbezogene Daten” hat die Bedeutung gemäß Artikel 4 Absatz 1 DSGVO.
• “Verarbeitung” hat die Bedeutung gemäß Artikel 4 Absatz 2 DSGVO.
• “Plattform” bezeichnet den Bokrez-SaaS-Dienst unter bokrez.com.
• “Betroffene” bezeichnet die Endkunden des Verantwortlichen, deren personenbezogene Daten über die Plattform verarbeitet werden.
• “Unterbeauftragte” bezeichnet Dritte, die vom Auftragsverarbeiter zur Verarbeitung personenbezogener Daten im Namen des Verantwortlichen beauftragt werden.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Namen des Verantwortlichen ausschließlich zum Zweck der Erbringung des Bokrez-Dienstes wie in den Nutzungsbedingungen beschrieben.

3.1 Arten der verarbeiteten personenbezogenen Daten

• Identitätsdaten: Vorname, Nachname
• Kontaktdaten: E-Mail-Adresse, Mobiltelefonnummer
• Buchungsdaten: Termine, Dienstleistungen, Terminnotizen
• CRM-Notizen und Tags, die der Verantwortliche über Betroffene eingibt
• Treueprogrammdaten: Punkte/Stempelstand, Transaktionsverlauf
• Bewertungs- und Beurteilungsdaten
• Plattforminterne Nachrichten zwischen Betroffenen und dem Verantwortlichen

Bokrez verarbeitet im Rahmen der Standarddienstleistung keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), es sei denn, der Verantwortliche gibt solche Daten ausdrücklich in Freitextfelder ein, wofür der Verantwortliche die volle Verantwortung trägt.

3.2 Kategorien Betroffener

Endkunden des Verantwortlichen (natürliche Personen, die Termine buchen oder über die Plattform mit dem Verantwortlichen kommunizieren).

Der Auftragsverarbeiter (Bokrez) verpflichtet sich zu:

Bokrez setzt folgende technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten Betroffener ein:

Der Verantwortliche ermächtigt Bokrez hiermit allgemein zur Beauftragung von Unterbeauftragten. Bokrez stellt sicher, dass alle Unterbeauftragten durch Vertragspflichten gebunden sind, die denen in dieser Vereinbarung gleichwertig sind.

Aktuelle Unterbeauftragte:

Bokrez wird den Verantwortlichen über geplante Änderungen bei Unterbeauftragten mindestens 14 Tage im Voraus informieren. Der Verantwortliche kann innerhalb von 10 Tagen Widerspruch einlegen. Kann der Widerspruch nicht beigelegt werden, hat der Verantwortliche das Recht, die Vereinbarung ohne Strafe zu kündigen.

Bokrez wird ohne ungerechtfertigte Verzögerung, in jedem Fall jedoch innerhalb von 48 Stunden nach Kenntnisnahme einer Verletzung des Schutzes personenbezogener Daten, die Daten betreffen, die im Namen des Verantwortlichen verarbeitet werden, den Verantwortlichen benachrichtigen.

Die Benachrichtigung enthält mindestens:

• Eine Beschreibung der Art der Verletzung, einschließlich Kategorien und ungefähre Anzahl betroffener Personen und Datensätze
• Kontaktdaten der für weitere Informationen verfügbaren Person
• Eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• Eine Beschreibung der ergriffenen oder geplanten Maßnahmen zur Behebung der Verletzung

Der Verantwortliche behält die Verantwortung für eigene Meldepflichten gegenüber AZOP (innerhalb von 72 Stunden gemäß Art. 33 DSGVO) und die Unterrichtung Betroffener (gemäß Art. 34 DSGVO).

Bokrez wird unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen mit angemessenen technischen Maßnahmen unterstützen, soweit möglich, um dessen Pflichten zur Beantwortung von Anträgen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) zu erfüllen.

Bokrez ist verpflichtet, ohne Verzögerung, spätestens jedoch innerhalb von 5 Werktagen, alle Anträge Betroffener, die es direkt erhält und die Daten betreffen, die Bokrez im Namen des Verantwortlichen verarbeitet, an den Verantwortlichen weiterzuleiten.

Der Verantwortliche erklärt und gewährleistet, dass er:

• Eine gültige Rechtsgrundlage für die Erhebung und Verarbeitung personenbezogener Daten Betroffener über die Plattform hat
• Betroffene über die Verarbeitung ihrer Daten gemäß Art. 13 und 14 DSGVO informiert hat (z. B. durch eine eigene Datenschutzerklärung)
• Die Plattform nur für rechtmäßige Zwecke nutzen wird
• Bokrez unverzüglich über alle Anträge oder Beschwerden Betroffener informieren wird, die die Verarbeitung über die Plattform betreffen
• Das Recht hat, Bokrez Weisungen zur Verarbeitung zu erteilen, einschließlich Weisungen zur Löschung oder Änderung von Daten

Der Verantwortliche hat das Recht, die Compliance von Bokrez mit dieser Vereinbarung zu überprüfen. Bokrez wird:

• Auf Anfrage relevante Dokumentation zu Sicherheitsmaßnahmen und Compliance zur Verfügung stellen
• Einmal jährlich mit 30 Tagen Vorankündigung dem Verantwortlichen oder einem autorisierten unabhängigen Prüfer die Durchführung eines Audits ermöglichen, sofern das Audit den Betrieb von Bokrez nicht beeinträchtigt und die Auditkosten vom Verantwortlichen getragen werden

Nach Ablauf oder Kündigung des Abonnements:

• Dem Verantwortlichen wird die Möglichkeit gegeben, Daten innerhalb von 30 Tagen in maschinenlesbarem Format (CSV, JSON) zu exportieren
• Nach Ablauf dieser Frist wird Bokrez alle personenbezogenen Daten Betroffener, die im Namen des Verantwortlichen verarbeitet wurden, löschen, es sei denn, eine gesetzliche Aufbewahrungspflicht greift
• Auf Anfrage stellt Bokrez eine schriftliche Bestätigung der Löschung zur Verfügung

Bokrez haftet gegenüber dem Verantwortlichen für direkte Schäden, die aus der Verletzung dieser Vereinbarung oder geltenden Datenschutzrechts durch Bokrez entstehen, vorbehaltlich der in den Nutzungsbedingungen festgelegten Beschränkungen.

Jede Partei ist gegenüber der Aufsichtsbehörde unabhängig für eigene Verstöße gegen Datenschutzvorschriften verantwortlich.

Diese Vereinbarung unterliegt dem Recht der Republik Kroatien und dem anwendbaren EU-Recht, insbesondere der DSGVO. Das Handelsgericht in Zagreb ist für alle Streitigkeiten zuständig.

Bokrez kann diese Vereinbarung mit mindestens 30 Tagen schriftlicher Vorankündigung ändern. Die fortgesetzte Nutzung der Plattform nach dem Änderungsdatum gilt als Akzeptanz. Wenn der Verantwortliche nicht zustimmt, kann er das Abonnement ohne Strafe kündigen.