Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ist Bestandteil des Vertrages zwischen der EventDock B.V. („EventDock") und dem Kunden und gilt, sobald EventDock im Rahmen der Vertragsdurchführung personenbezogene Daten für den Kunden verarbeitet.

Begriffe: - Produkte: Hardware und Geräte, einschließlich Kamera-, Zutritts-, Konnektivitäts- und Sicherheitssysteme. - Dienstleistungen: Installation, Konfiguration, Verwaltung, Wartung, Monitoring, Konnektivität, Cloud- und Softwaredienste sowie Support. - Vermietung: die vorübergehende Bereitstellung von Produkten. - Verkauf: Eigentumsübertragung von Produkten. - Verwaltete Systeme: Systeme, an denen EventDock Fernverwaltung oder Dienstleistungen erbringt, unabhängig davon, ob sie gemietet oder gekauft sind. - Vertrag: alles, was zwischen EventDock und dem Kunden vertraglich vereinbart ist.

Verantwortlicher: Der Kunde bestimmt Zweck und Mittel der Kamera- und Sicherheitsüberwachung: wo die Kameras stehen, was erfasst wird, welche Erkennungsfunktionen aktiv sind, wer die Aufnahmen einsehen darf und wie lange Aufnahmen gespeichert werden. Der Kunde ist damit Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Auftragsverarbeiter: EventDock verarbeitet diese personenbezogenen Daten ausschließlich im Auftrag und nach Weisung des Kunden und ist damit Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Eigene Verarbeitungen von EventDock: Für Daten, die EventDock zu eigenen Zwecken verarbeitet, etwa Kundenverwaltung, Angebote, Rechnungsstellung, Kontakt, Support und Websitenutzung, ist EventDock selbst Verantwortlicher. Hierfür gilt unsere Datenschutzerklärung und nicht dieser Auftragsverarbeitungsvertrag.

Gegenstand: Die Lieferung, Vermietung, der Verkauf, die Installation, Konfiguration, Verwaltung, Wartung und, sofern vereinbart, das Monitoring von Kamera-, Zutritts-, Konnektivitäts- und Sicherheitssystemen sowie zugehöriger Software- und Clouddienste.

Art der Verarbeitung: Erfassen, Speichern, Übertragen (Streaming), Ansehen, Exportieren, Löschen und Sichern von Bildmaterial und zugehörigen Metadaten sowie das Analysieren, Erkennen und Klassifizieren von Ereignissen und Objekten durch automatisierte Bildanalyse.

Arten personenbezogener Daten: - Bildmaterial von Personen, die in den Erfassungsbereich der Kameras gelangen - Zugehörige Metadaten wie Datum, Uhrzeit, Standort und Kamerakennung - Erkennungsereignisse, Bewegungsdaten, Objektklassifizierungen, Snapshots, Alarmereignisse und weitere vom Sicherheitssystem erzeugte Metadaten - Bei ANPR-Anwendungen: Kennzeichen und Fahrzeugmerkmale - Bei Gesichtserkennung: biometrische Daten (siehe Artikel 3) - Zugriffs- und Protokolldaten der Nutzer des Verwaltungsportals

Kategorien betroffener Personen: Besucher des Standorts, Mitarbeitende und Subunternehmer des Kunden, Passanten und bei ANPR Halter erfasster Fahrzeuge.

Dauer: Dieser Auftragsverarbeitungsvertrag gilt, solange EventDock im Rahmen des Vertrages personenbezogene Daten für den Kunden verarbeitet, und endet, nachdem die betreffenden Verarbeitungsdienste beendet und die personenbezogenen Daten gemäß Artikel 10 gelöscht oder zurückgegeben wurden. Die Dauer ist nicht an einen einzelnen Mietzeitraum gebunden: bei einem Verkauf mit laufenden Dienstleistungen gilt dieser Auftragsverarbeitungsvertrag fort, solange diese Dienstleistungen erbracht werden.

Verarbeitungsdetails je Auftrag: Die konkrete Ausgestaltung je Auftrag (System, Erkennungsfunktionen, ANPR, Monitoring, Speicherort, Speicherdauer und Laufzeit) wird in Anlage A festgehalten.

3.1. EventDock verarbeitet personenbezogene Daten ausschließlich auf Grundlage schriftlicher Weisungen des Kunden und nicht zu eigenen Zwecken.

3.2. Weisungen werden im Vertrag, in der Auftragsbestätigung, in Anlage A und in den im Verwaltungsportal gewählten Einstellungen festgehalten.

3.3. EventDock verarbeitet personenbezogene Daten nicht außerhalb der Weisungen des Kunden, es sei denn, eine für EventDock geltende Vorschrift des Unionsrechts oder des nationalen Rechts verpflichtet sie dazu. In diesem Fall informiert EventDock den Kunden vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

3.4. EventDock informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von EventDock gegen die DSGVO oder andere anwendbare Vorschriften verstößt.

3.5. Der Kunde stellt sicher, dass für die Verarbeitung eine gültige Rechtsgrundlage besteht und dass, sofern die Verarbeitung auf einem berechtigten Interesse beruht, die erforderliche Interessenabwägung durchgeführt wurde. Der Kunde stellt zudem sicher, dass erforderlichenfalls eine DSFA durchgeführt wurde und dass betroffene Personen am Standort deutlich über die Kamera- und Sicherheitsüberwachung informiert werden.

3.6. Kameraaufnahmen können unvermeidbar Daten enthalten, die auf besondere Kategorien personenbezogener Daten hindeuten können. EventDock nutzt die automatisierte Bildanalyse nicht, um sensible Merkmale wie Gesundheit, Ethnie, religiöse Überzeugung oder politische Meinung abzuleiten. Der Kunde ist dafür verantwortlich, den Kamerabereich auf das Notwendige zu beschränken.

3.7. Gesichtserkennung ist die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung und stellt eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO dar. Diese Funktion wird ausschließlich auf ausdrückliche, dokumentierte Weisung des Kunden aktiviert. Der Kunde ist verantwortlich für eine gültige Ausnahme nach Art. 9 DSGVO, für die grundsätzlich erforderliche DSFA und für die Information der betroffenen Personen.

4.1. EventDock verpflichtet sich zur Vertraulichkeit hinsichtlich aller personenbezogenen Daten, die sie für den Kunden verarbeitet.

4.2. Mitarbeitende und eingesetzte Dritte von EventDock sind vertraglich zur Vertraulichkeit verpflichtet und erhalten Zugriff nur, soweit dies für ihre Aufgabe erforderlich ist (Need-to-know).

4.3. Die Vertraulichkeitspflicht gilt auch nach Beendigung des Vertrages fort.

5.1. EventDock trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die von EventDock tatsächlich angewendeten Maßnahmen sind in Anlage B beschrieben und werden regelmäßig überprüft und bei Bedarf angepasst.

5.2. Verbindungen zum Streamen und Abrufen von Aufnahmen sind verschlüsselt (TLS). Die Speicherung von Bildmaterial wird mit geeigneten Maßnahmen geschützt, einschließlich Verschlüsselung, sofern die jeweilige Speichermöglichkeit dies unterstützt. EventDock garantiert nicht, dass jede Speicherform eine Verschlüsselung im Ruhezustand anwendet; welche Speicherform gilt, ergibt sich aus der Konfiguration und aus Anlage A.

5.3. Es wird zwischen folgenden Speicherformen unterschieden:
- lokale Speicherung auf Geräten von EventDock vor Ort
- lokale Speicherung in Systemen oder auf Geräten des Kunden
- Cloudspeicherung von EventDock, nur sofern vereinbart
- externe Cloud- oder Plattformdienste Dritter, sofern der Kunde dies wählt oder es Teil der vereinbarten Konfiguration ist

Für Daten in Systemen des Kunden oder bei einem vom Kunden gewählten externen Anbieter ist jeweils dieser Kunde bzw. dieser Anbieter für Sicherheit, Zugriff, Speicherung und Löschung verantwortlich.

5.4. Der Kunde ist verantwortlich für die sorgfältige Verwaltung eigener Konten, die Begrenzung des Nutzerkreises und den rechtzeitigen Entzug von Zugriffen ausgeschiedener Mitarbeitender.

6.1. Der Kunde erteilt EventDock eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Als Unterauftragsverarbeiter im Sinne dieses Vertrages gelten ausschließlich Parteien, die im Auftrag von EventDock personenbezogene Daten für den Kunden verarbeiten, etwa für Hosting, Speicherung, Fernzugriff und Verwaltung von Sicherheitssystemen. Anbieter, die ausschließlich Daten verarbeiten, für die EventDock selbst Verantwortlicher ist, etwa Zahlungs- und E-Mail-Dienste für die eigene Verwaltung, sind keine Unterauftragsverarbeiter nach diesem Vertrag.

6.2. EventDock verpflichtet Unterauftragsverarbeiter zu mindestens denselben Pflichten, wie sie in diesem Vertrag festgelegt sind.

6.3. Eine aktuelle Liste der Unterauftragsverarbeiter findet sich in Anlage C. EventDock informiert den Kunden mindestens 14 Tage vor dem beabsichtigten Einsatz oder Wechsel eines Unterauftragsverarbeiters, damit der Kunde Einspruch erheben kann. Bei einer dringenden Änderung, die für die Sicherheit oder Kontinuität der Dienstleistung erforderlich ist, informiert EventDock den Kunden so schnell wie möglich, spätestens unmittelbar nach der Änderung.

6.4. Bleibt ein Einspruch bestehen und lässt sich keine zumutbare Alternative finden, darf der Kunde den betreffenden Teil des Vertrages ohne Vertragsstrafe kündigen.

6.5. EventDock bleibt dem Kunden gegenüber vollumfänglich für die Erfüllung der Pflichten aus diesem Vertrag durch ihre Unterauftragsverarbeiter verantwortlich.

7.1. Kameraaufnahmen und zugehörige Sicherheitsmetadaten werden grundsätzlich innerhalb des Europäischen Wirtschaftsraums gespeichert und verarbeitet. EventDock überprüft dies je Anbieter und hält den tatsächlichen Verarbeitungsort sowie ein etwaiges Übermittlungsinstrument in Anlage C fest.

7.2. Für unterstützende Dienste, etwa Cloud- und Verwaltungsplattformen, Support und Telemetrie von Anbietern, kann es zu begrenzter Verarbeitung außerhalb des EWR kommen. In diesem Fall stützt EventDock die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf die Standardvertragsklauseln, erforderlichenfalls mit zusätzlichen Maßnahmen.

7.3. EventDock folgt den dokumentierten Weisungen des Kunden zur internationalen Übermittlung personenbezogener Daten. Ohne Weisung oder gültiges Übermittlungsinstrument findet keine Übermittlung außerhalb des EWR statt.

7.4. EventDock übermittelt keine personenbezogenen Daten an Behörden außerhalb des EWR, es sei denn, sie ist gesetzlich dazu verpflichtet; in diesem Fall informiert EventDock den Kunden, sobald dies zulässig ist.

8.1. Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch) werden vom Kunden als Verantwortlichem bearbeitet.

8.2. Erhält EventDock eine Anfrage zu Daten, die sie im Auftrag des Kunden verarbeitet, bearbeitet EventDock diese inhaltlich nicht selbstständig ohne Weisung des Kunden, sofern dies nicht gesetzlich vorgeschrieben ist. EventDock informiert den Kunden innerhalb von 3 Werktagen und verweist die betroffene Person, soweit angemessen, an den Kunden.

8.3. Unter Berücksichtigung der Art der Verarbeitung und der ihr verfügbaren Informationen unterstützt EventDock den Kunden in dem Umfang, der zur Bearbeitung von Anfragen betroffener Personen erforderlich ist, etwa durch das Auffinden, Exportieren oder Löschen von Bildsequenzen. Diese notwendige Unterstützung ist inbegriffen. Nur für außergewöhnliche oder maßgeschneiderte Leistungen, die darüber hinausgehen, kann EventDock nach vorheriger Ankündigung Kosten zum geltenden Stundensatz berechnen.

9.1. Eine Verletzung des Schutzes personenbezogener Daten ist eine Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu verarbeiteten personenbezogenen Daten führt. Dazu gehören unbefugte Einsicht in Aufnahmen, verlorene oder gestohlene Geräte und versehentlich geteilte Bildsequenzen.

9.2. EventDock informiert den Kunden unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Kenntnisnahme einer Verletzung des Schutzes personenbezogener Daten.

9.3. Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Datenkategorien und Personengruppen, die voraussichtlichen Folgen sowie die getroffenen oder vorgeschlagenen Maßnahmen. EventDock stellt weitere Informationen unverzüglich bereit, sobald diese verfügbar sind.

9.4. EventDock nimmt keine Meldung an eine Aufsichtsbehörde oder an betroffene Personen im Namen des Kunden vor, sofern nichts anderes schriftlich vereinbart ist. Der Kunde beurteilt, ob eine Meldung erforderlich ist.

9.5. EventDock unterstützt den Kunden bei der Untersuchung, der Begrenzung der Folgen und der Dokumentation des Vorfalls.

10.1. Der Kunde bestimmt die Speicherdauer unter Berücksichtigung des Verarbeitungszwecks, des Grundsatzes der Speicherbegrenzung und der anwendbaren Rechtsvorschriften. Sofern nichts anderes vereinbart ist, beträgt die technisch eingestellte Standardspeicherdauer 7 Tage.

10.2. Nach Beendigung der betreffenden Verarbeitungsdienste löscht EventDock alle personenbezogenen Daten, die sie im Auftrag des Kunden verarbeitet, oder gibt sie zurück, nach Wahl des Kunden. Löschung oder Rückgabe erfolgt spätestens innerhalb von 30 Tagen nach Beendigung, sofern der Kunde keine frühere Löschung verlangt oder gesetzliche Aufbewahrungspflichten entgegenstehen.

10.3. Auf Wunsch des Kunden stellt EventDock vor der Löschung einen Export in einem gängigen Format bereit.

10.4. Personenbezogene Daten in technischen Backups werden gemäß der regulären Backup-Aufbewahrung gelöscht und in diesem Zeitraum nicht zu anderen Zwecken verarbeitet.

10.5. Geräte werden nach Rückgabe oder Austausch gelöscht, bevor sie erneut ausgegeben werden.

11.1. Unter Berücksichtigung der Art der Verarbeitung und der ihr verfügbaren Informationen unterstützt EventDock den Kunden in angemessenem Umfang bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO, einschließlich der Sicherheit der Verarbeitung, der Meldung und Dokumentation von Datenschutzverletzungen, von Datenschutz-Folgenabschätzungen (DSFA) und der vorherigen Konsultation einer Aufsichtsbehörde.

11.2. EventDock erstellt die DSFA des Kunden nicht, stellt jedoch auf Anfrage die technischen und organisatorischen Informationen bereit, die der Kunde dafür benötigt, darunter Informationen zu Kameras und Platzierung, Erkennungs- und Analysefunktionen, ANPR und Gesichtserkennung, sofern zutreffend, Speicherform und Speicherort, Zugriffsverwaltung, Protokollierung, Sicherheitsmaßnahmen und Unterauftragsverarbeitern.

11.3. Diese Unterstützung ist bei regulärer Nutzung inbegriffen. Für außergewöhnliche oder maßgeschneiderte Leistungen gilt Artikel 8.3.

12.1. Auf Anfrage stellt EventDock die Informationen bereit, mit denen der Kunde die Einhaltung von Art. 28 DSGVO nachweisen kann, einschließlich der Übersicht der technischen und organisatorischen Maßnahmen (Anlage B), der Liste der Unterauftragsverarbeiter (Anlage C) sowie, sofern verfügbar, Zertifizierungen und einschlägiger Auditberichte.

12.2. Der Kunde darf höchstens einmal jährlich ein Audit durch einen unabhängigen Sachverständigen durchführen lassen, nach einer Ankündigung von mindestens 30 Tagen und während der Bürozeiten.

12.3. Die Beschränkungen in Artikel 12.2 gelten nicht, wenn ein zusätzliches Audit aufgrund einer Datenschutzverletzung, konkreter Hinweise auf Nichteinhaltung oder eines Ersuchens einer zuständigen Aufsichtsbehörde angemessen erforderlich ist.

12.4. EventDock ermöglicht Audits und trägt zu ihnen bei. Die Kosten des Audits trägt der Kunde, es sei denn, das Audit ergibt, dass EventDock die Pflichten aus diesem Vertrag nicht einhält.

12.5. Bei einem festgestellten Mangel behebt EventDock diesen innerhalb einer angemessenen Frist.

13.1. Auf diesen Auftragsverarbeitungsvertrag finden die Haftungsbeschränkungen der Allgemeinen Geschäftsbedingungen von EventDock Anwendung, soweit die DSGVO dies zulässt.

13.2. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen hat dieser Vertrag Vorrang, soweit die Verarbeitung personenbezogener Daten betroffen ist. Im Übrigen gilt die Rangfolge der Dokumente aus den Allgemeinen Geschäftsbedingungen.

13.3. Auf jedes Rechtsverhältnis, das aus diesem Auftragsverarbeitungsvertrag entsteht oder damit zusammenhängt, ist ausschließlich niederländisches Recht anwendbar, unabhängig davon, in welchem Land die Produkte geliefert, aufgestellt, installiert oder genutzt werden. Das UN-Kaufrecht (CISG) ist ausdrücklich ausgeschlossen. Alle Streitigkeiten werden, soweit gesetzlich zulässig, ausschließlich dem zuständigen niederländischen Gericht in dem Bezirk vorgelegt, in dem EventDock ihren satzungsmäßigen Sitz hat. Diese Rechts- und Gerichtsstandswahl entspricht der in den Allgemeinen Geschäftsbedingungen.

13.4. Wünschen Sie eine unterzeichnete Fassung dieses Auftragsverarbeitungsvertrages? Fordern Sie sie über privacy@eventdock.nl an; wir senden Ihnen dann ein Exemplar auf den Namen Ihrer Organisation, einschließlich der ausgefüllten Anlage A.

Diese Anlage wird je Auftrag ausgefüllt und ist Bestandteil dieses Vertrages. Bei Änderungen der Dienstleistung wird ausschließlich diese Anlage angepasst.

- Dienstleistung: Vermietung / Verkauf / Installation / verwaltetes System - System: Case / Pole / Tower / Edge / Connect / festes System - Kameraüberwachung: ja / nein - KI-Erkennung: Personen / Fahrzeuge / sonstige Objekte / nicht aktiv - ANPR (Kennzeichenerkennung): ja / nein - Gesichtserkennung: ja / nein (bei ja: ausschließlich auf dokumentierte Weisung, siehe Artikel 3.7) - Monitoring und Alarmverfolgung: ja / nein - Speicherform: lokal auf Geräten von EventDock / lokal beim Kunden / Cloud von EventDock / externe Cloud - Speicherort: grundsätzlich EWR (siehe Anlage C) - Speicherdauer: standardmäßig 7 Tage, sofern nichts anderes festgehalten ist - Kategorien betroffener Personen: Besucher / Mitarbeitende / Subunternehmer / Passanten / Fahrzeughalter - Besondere Verarbeitung: sofern zutreffend - Laufzeit: Dauer der betreffenden Dienstleistungen

EventDock wendet die folgenden Maßnahmen an. Diese Anlage wird aktualisiert, wenn sich die Maßnahmen ändern.

• Verschlüsselte Verbindungen (TLS) für Streaming und Abruf von Aufnahmen
• Eindeutige Anmeldedaten pro Nutzer; keine gemeinsam genutzten Konten
• Rollenbasierte Zugriffsrechte nach dem Need-to-know-Prinzip
• Protokollierung von Zugriffen auf Aufnahmen und von Änderungen an Systemeinstellungen
• Firmware- und Software-Updates der Kamera- und Sicherheitssysteme
• Physische Sicherung von Geräten, Schlösser und Gehäuse von Masten, Cases und Installationen
• Passwortrichtlinie und Berechtigungsverwaltung bei EventDock
• Regelmäßige Kontrolle der Konfiguration bei Aufstellung, Änderung und Rückgabe
• Löschen von Geräten, bevor sie erneut ausgegeben werden
• Vertragliche Vertraulichkeit für Mitarbeitende und eingesetzte Dritte

Maßnahmen, die hier nicht genannt sind, werden von EventDock nicht als vertragliche Garantie zugesagt. Verlangt der Kunde zusätzliche Maßnahmen, werden diese gesondert vereinbart.

Nachstehend die Parteien, die im Auftrag von EventDock personenbezogene Daten für den Kunden verarbeiten. Anbieter, die ausschließlich Daten verarbeiten, für die EventDock selbst Verantwortlicher ist, etwa Zahlungs- und E-Mail-Dienste, sind hier nicht aufgeführt; siehe Datenschutzerklärung.

Je Unterauftragsverarbeiter werden der juristische Name, die Dienstleistung, die Kategorien personenbezogener Daten, der Zweck, der Verarbeitungsort und ein etwaiges Übermittlungsinstrument festgehalten. Die aktuelle Übersicht befindet sich in der Tabelle am Ende dieser Seite und ist auf Anfrage über privacy@eventdock.nl erhältlich.

Fragen zu diesem Auftragsverarbeitungsvertrag? Kontaktieren Sie uns:

EventDock B.V. Dortherweg 29 7214 PS Epse, Niederlande Handelsregister (KvK): 42095557 E-Mail: privacy@eventdock.nl Telefon: +31 85 505 5059 Website: www.eventdock.nl