Auftragsverarbeitungszusatz

Dieser Auftragsverarbeitungszusatz (der DPA) regelt die Verarbeitung personenbezogener Daten bei der Nutzung von Slotio und ist Teil des Vertragsrahmens zwischen dem Slotio-Kunden als Verantwortlichem und ByteWoods, spol. s r.o., Firmen-ID 01849883, USt-ID CZ01849883, č.ev. 7, 739 36 Sedliště, Tschechische Republik, als Auftragsverarbeiter.

Bei einem Widerspruch zwischen Hauptvertrag, Bedingungen und diesem DPA in Datenschutzfragen geht dieser DPA vor. Die Geschäftsbedingungen gelten für andere Fragen weiterhin.

Der Kunde bestimmt Zwecke und Mittel der Verarbeitung von Kundendaten, die in Slotio hochgeladen werden, und handelt als Verantwortlicher. ByteWoods verarbeitet diese Daten als Auftragsverarbeiter nur im Auftrag des Verantwortlichen, soweit dies zur Bereitstellung des Dienstes erforderlich ist und nach dokumentierten Weisungen, sofern die Verarbeitung nicht gesetzlich vorgeschrieben ist.

Dokumentierte Weisungen umfassen insbesondere Dienstkonfiguration, Handlungen berechtigter Nutzer in der Administration und die gewöhnliche Nutzung bestellter Funktionen. Wenn der Auftragsverarbeiter der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich, sofern dies nicht gesetzlich verboten ist.

Die Verarbeitung dauert während der Nutzung des Dienstes und danach so lange, wie es für Export, Löschung, übliche Backup-Zyklen, Sicherheit, Audit und gesetzliche Pflichten erforderlich ist.

Die Verarbeitung kann Erheben, Speichern, Ordnen, Abrufen, Anzeigen, Verwenden, Zustellen von Benachrichtigungen, Sichern und Löschen umfassen. Zweck ist der Betrieb des Buchungs-SaaS, die Verwaltung von Reservierungen und zugehöriger Kommunikation, Support und Absicherung des Dienstes.

• Betroffene Personen: Endkunden des Verantwortlichen, Personen, die Reservierungen vornehmen, und weitere Personen, deren Daten der Verantwortliche rechtmäßig in Slotio hochlädt.
• Datenarten: Identifikationsdaten, Kontaktdaten, Buchungsdaten, zugehörige Notizen sowie technische oder Audit-Datensätze, die für den Betrieb des Dienstes erforderlich sind.
• Besondere Kategorien: Ohne vorherige schriftliche Vereinbarung lädt der Verantwortliche keine besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO in Slotio hoch.

Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung personenbezogener Daten berechtigte Personen zur Vertraulichkeit verpflichtet sind und nur Zugriff erhalten, soweit dies für Betrieb, Support oder Sicherheit des Dienstes erforderlich ist.

• rollenbasierte Zugriffskontrollen und Berechtigungen
• verschlüsselte Datenübertragung (TLS)
• Protokollierung, Monitoring und Sicherheitsupdates
• Backup- und Wiederherstellungsverfahren
• interne Verfahren für Sicherheitsvorfälle

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Subunternehmern, sofern die Anforderungen der DSGVO und angemessene vertragliche Datenschutzbedingungen eingehalten werden. Der Auftragsverarbeiter stellt sicher, dass Subunternehmer Pflichten übernehmen, die diesem DPA entsprechen.

ByteWoods stellt die aktuelle namentliche Liste der Subunternehmer auf Anfrage an gdpr@myslotio.com bereit. Über wesentliche Änderungen der Liste erhält der Verantwortliche mit angemessenem Vorlauf eine Mitteilung in einer für das Vertragsverhältnis passenden Weise. Der Verantwortliche kann aus berechtigten Datenschutzgründen widersprechen.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen bei Anfragen betroffener Personen und bei der Erfüllung der Pflichten nach Artikel 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, soweit relevant.

Erhält der Auftragsverarbeiter eine Anfrage einer betroffenen Person zu Kundendaten, die im Auftrag des Verantwortlichen verarbeitet werden, leitet er sie an den Verantwortlichen weiter und beantwortet sie nicht inhaltlich, sofern dies nicht gesetzlich vorgeschrieben ist.

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung personenbezogener Kundendaten bekannt geworden ist, die unter diesem DPA verarbeitet werden. Soweit Informationen verfügbar sind, beschreibt die Mitteilung den Vorfall, betroffene Datenkategorien, wahrscheinliche Folgen und getroffene oder vorgeschlagene Maßnahmen.

Nach Beendigung des Dienstes gibt der Auftragsverarbeiter personenbezogene Kundendaten nach Wahl des Verantwortlichen zurück oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Übliche Export- und Löschfristen sind in den Geschäftsbedingungen und der Datenschutzerklärung beschrieben.

Der Auftragsverarbeiter stellt Informationen bereit, die angemessen erforderlich sind, um die Einhaltung dieses DPA und von Artikel 28 DSGVO nachzuweisen. Die Prüfung erfolgt üblicherweise durch Fragebogen, Dokumentationsprüfung oder relevante Sicherheitsinformationen. Ein Vor-Ort-Audit erfordert vorherige Vereinbarung und darf die Sicherheit anderer Kunden oder Geschäftsgeheimnisse des Auftragsverarbeiters nicht gefährden.

Wenn der Auftragsverarbeiter oder ein Subunternehmer personenbezogene Daten außerhalb der EU/des EWR übermittelt, stellt der Auftragsverarbeiter einen geeigneten Übermittlungsmechanismus sicher, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Fragen zu diesem DPA senden Sie an gdpr@myslotio.com. Weitere Informationen finden Sie in der Datenschutzerklärung.

Dieser DPA kann in übersetzten Fassungen bereitgestellt werden. Sofern zwingendes Recht nichts anderes vorsieht, geht die englische Fassung bei Widersprüchen zwischen Übersetzungen vor.