Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ist Bestandteil des Vertrages zwischen EventDock B.V. ("EventDock") und dem Kunden und findet Anwendung, sobald EventDock bei der Durchführung des Vertrages personenbezogene Daten im Auftrag des Kunden verarbeitet.

Verantwortlicher: Der Kunde bestimmt den Zweck und die Mittel der Videoüberwachung: wo die Kameras stehen, was im Bild erfasst wird, wer die Aufnahmen ansehen darf und wie lange die Aufnahmen gespeichert werden. Der Kunde ist damit Verantwortlicher im Sinne von Artikel 4 Absatz 7 DSGVO.

Auftragsverarbeiter: EventDock verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Anweisung des Kunden und ist damit Auftragsverarbeiter im Sinne von Artikel 4 Absatz 8 DSGVO.

Eigene Verarbeitungen von EventDock: Für Daten, die EventDock für eigene Zwecke verarbeitet (wie Kundenverwaltung, Rechnungsstellung, Kontakt und Websitenutzung), ist EventDock selbst Verantwortlicher. Hierauf findet die Datenschutzerklärung Anwendung und nicht dieser Auftragsverarbeitungsvertrag.

Gegenstand: Die Lieferung, Installation, Verwaltung und (optional) Überwachung temporärer Kamera- und Sicherheitssysteme, einschließlich der Speicherung und Bereitstellung von Kamerabildern.

Art der Verarbeitung: Erfassung, Speicherung, Übermittlung (Streaming), Ansicht, Export, Löschung und Sicherung von Bildmaterial und zugehörigen Metadaten.

Arten personenbezogener Daten: - Bildmaterial von Personen, die in den Sichtbereich der Kameras gelangen - Zugehörige Metadaten wie Datum, Uhrzeit und Ort der Aufnahme - Bei ANPR-Anwendungen: Kennzeichen und Fahrzeugmerkmale - Zugangs- und Protokolldateien von Nutzern des Verwaltungsportals

Kategorien betroffener Personen: Besucher des Standorts, Mitarbeiter und Subunternehmer des Kunden, Passanten und, bei ANPR, Halter der registrierten Fahrzeuge.

Dauer: Dieser Auftragsverarbeitungsvertrag gilt, solange EventDock personenbezogene Daten für den Kunden verarbeitet, und endet nach Abschluss der Mietzeit und Löschung der Daten gemäß Artikel 10.

3.1. EventDock verarbeitet personenbezogene Daten ausschließlich auf Grundlage schriftlicher Anweisungen des Kunden und nicht für eigene Zwecke.

3.2. Anweisungen werden in der Overeenkomst, der Auftragsbestätigung und den im Verwaltungsportal gewählten Einstellungen festgelegt.

3.3. EventDock informiert den Kunden unverzüglich, wenn eine Anweisung nach Ansicht von EventDock gegen die DSGVO oder andere anwendbare Gesetze verstößt.

3.4. Der Kunde sichert zu, dass eine gültige Rechtsgrundlage für die Kameraüberwachung besteht, dass ein berechtigtes Interesse abgewogen wurde, dass erforderlichenfalls eine DPIA durchgeführt wurde und dass die betroffenen Personen am Standort deutlich über die Kameraüberwachung informiert werden.

3.5. EventDock verarbeitet keine besonderen Kategorien personenbezogener Daten, es sei denn, dies ergibt sich unvermeidlich aus den Bildaufnahmen; der Kunde ist dafür verantwortlich, die Kamerabilder auf das notwendige Maß zu beschränken.

4.1. EventDock verpflichtet sich zur Geheimhaltung aller personenbezogenen Daten, die sie im Auftrag des Kunden verarbeitet.

4.2. Mitarbeiter und beauftragte Dritte von EventDock sind vertraglich zur Geheimhaltung verpflichtet und erhalten ausschließlich Zugang, soweit dies für ihre Aufgabe erforderlich ist (need-to-know).

4.3. Die Geheimhaltungspflicht bleibt auch nach Beendigung der Vereinbarung bestehen.

EventDock trifft angemessene technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO, darunter:

• Verschlüsselte Verbindungen (TLS) für das Streaming und den Zugriff auf Bilder
• Verschlüsselte Speicherung von Bildmaterial
• Kontosicherheit mit eindeutigen Zugangsdaten und rollenbasierten Rechten
• Protokollierung des Zugriffs auf Bilder und Systemeinstellungen
• Physische Sicherung von Geräten, Schlössern und Gehäusen von Masten und Cases
• Firmware- und Software-Updates auf den Kamerasystemen
• Passwortrichtlinien und Autorisierungsverwaltung bei EventDock
• Periodische Kontrolle der Konfiguration vor und nach jeder Mietperiode

Der Kunde ist verantwortlich für die sorgfältige Verwaltung der eigenen Konten, die Beschränkung des Nutzerkreises und den rechtzeitigen Entzug des Zugriffs ausgeschiedener Mitarbeiter.

6.1. Der Kunde erteilt EventDock die allgemeine Genehmigung für die Einschaltung von Unterauftragsverarbeitern für Hosting, Speicherung, Zahlungsabwicklung und Kommunikation.

6.2. EventDock erlegt Unterauftragsverarbeitern mindestens die gleichen Verpflichtungen auf, die in dieser Auftragsverarbeitungsvereinbarung enthalten sind.

6.3. Eine aktuelle Liste der Unterauftragsverarbeiter befindet sich am Ende dieser Seite. EventDock informiert den Kunden vorab über beabsichtigte Änderungen, damit der Kunde dagegen Widerspruch einlegen kann.

6.4. Bleibt ein Widerspruch bestehen und kann keine angemessene Alternative gefunden werden, darf der Kunde den betreffenden Teil des Vertrags ohne Strafzahlung kündigen.

7.1. Kamerabilder werden innerhalb des Europäischen Wirtschaftsraums gespeichert und verarbeitet.

7.2. Für unterstützende Dienstleistungen kann eine begrenzte Übermittlung außerhalb des EWR vorkommen (beispielsweise Zahlungs- oder E-Mail-Dienstleistungen). In diesem Fall stützt EventDock die Übermittlung auf einen Angemessenheitsbeschluss oder auf die Standardvertragsklauseln der Europäischen Kommission, gegebenenfalls mit zusätzlichen Maßnahmen.

7.3. EventDock übermittelt keine personenbezogenen Daten an Behörden außerhalb des EWR, es sei denn, sie ist gesetzlich dazu verpflichtet; in diesem Fall informiert EventDock den Kunden, sobald dies zulässig ist.

8.1. Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung oder Widerspruch) werden vom Kunden als Verantwortlichem bearbeitet.

8.2. Erhält EventDock eine Anfrage, die die Daten des Kunden betrifft, verweist EventDock den Betroffenen an den Kunden und informiert den Kunden hierüber innerhalb von 3 werkdagen.

8.3. EventDock leistet angemessene Unterstützung bei der Ausführung einer Anfrage, beispielsweise durch das Aufsuchen, Exportieren oder Löschen von Bildfragmenten. Für umfangreiche manuelle Tätigkeiten kann EventDock Kosten auf Basis des geltenden Stundensatzes nach vorheriger Angabe in Rechnung stellen.

9.1. EventDock informiert den Kunden ohne unangemessene Verzögerung und in jedem Fall innerhalb von 24 Stunden nach Entdeckung einer Verletzung des Schutzes personenbezogener Daten.

9.2. Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Datenkategorien und betroffenen Personen, die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

9.3. EventDock nimmt selbst keine Meldung bei der niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) oder gegenüber betroffenen Personen im Namen des Kunden vor, es sei denn, dies wurde schriftlich anders vereinbart. Der Kunde beurteilt, ob eine Meldung erforderlich ist.

9.4. EventDock unterstützt den Kunden bei der Untersuchung, der Begrenzung der Folgen und der Dokumentation des Vorfalls.

10.1. Kamerabilder werden gemäß der vom Kunden eingestellten Aufbewahrungsfrist aufbewahrt. Standardmäßig beträgt diese 7 Tage; die gesetzliche Richtlinie für Kamerabilder beträgt maximal 4 Wochen, es sei denn, die Bilder werden für die Abwicklung eines Vorfalls benötigt.

10.2. Nach Ablauf des Mietzeitraums werden alle Kamerabilder und die dazugehörigen Metadaten spätestens innerhalb von 30 Tagen endgültig gelöscht, es sei denn, der Kunde beantragt schriftlich eine vorzeitige Löschung oder einen Export.

10.3. Auf Anfrage des Kunden stellt EventDock vor der Löschung einen Export in einem gängigen Format zur Verfügung.

10.4. Die Geräte werden nach der Rückgabe gelöscht, bevor sie erneut ausgegeben werden.

10.5. Daten, die EventDock gesetzlich aufbewahren muss (wie z. B. Rechnungsdaten), bleiben von dieser Löschungspflicht ausgenommen.

11.1. EventDock stellt auf Anfrage Informationen zur Verfügung, mit denen der Kunde nachweisen kann, dass Artikel 28 DSGVO eingehalten wird, wie beispielsweise eine Übersicht der getroffenen Sicherheitsmaßnahmen und die Unterauftragsverarbeiterliste.

11.2. Der Kunde darf höchstens einmal pro Jahr ein Audit durch einen unabhängigen Sachverständigen durchführen lassen, nach einer Vorankündigung von mindestens 30 Tagen und während der Geschäftszeiten.

11.3. Die Kosten des Audits gehen zu Lasten des Kunden, es sei denn, aus dem Audit geht hervor, dass EventDock die Einhaltung dieses Auftragsverarbeitungsvertrags versäumt hat.

11.4. Bei einem festgestellten Mangel behebt EventDock diesen innerhalb einer angemessenen Frist.

12.1. Auf diesen Auftragsverarbeitungsvertrag finden die Haftungsbeschränkungen aus den Allgemeinen Geschäftsbedingungen von EventDock Anwendung, soweit die DSGVO dies zulässt.

12.2. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen hat dieser Auftragsverarbeitungsvertrag Vorrang, soweit es die Verarbeitung personenbezogener Daten betrifft.

12.3. Auf diesen Auftragsverarbeitungsvertrag findet niederländisches Recht Anwendung. Streitigkeiten werden dem zuständigen Gericht in dem Bezirk vorgelegt, in dem EventDock ansässig ist.

12.4. Wünschen Sie eine unterzeichnete Version dieses Auftragsverarbeitungsvertrags? Fordern Sie diese über privacy@eventdock.nl an; wir senden Ihnen dann ein Exemplar auf den Namen Ihrer Organisation zu.

Fragen zu dieser Auftragsverarbeitungsvereinbarung? Bitte kontaktieren Sie uns:

EventDock B.V. Dortherweg 29 7214 PS Epse Handelsregisternummer (KvK): 42095557 E-Mail: privacy@eventdock.nl Telefon: +31 85 505 5059 Website: www.eventdock.nl