Data Processing Agreement

Dieser Auftragsverarbeitungsvertrag („AVV") wird gemäß Art. 28 der Verordnung (EU) 2016/679 („DSGVO") geschlossen und regelt die Verarbeitung personenbezogener Daten, die von SORAIA S.R.L. als Auftragsverarbeiter im Auftrag des Kunden als Verantwortlicher im Rahmen der Bereitstellung des Linkly-Dienstes durchgeführt wird.

Öffentliche Modellversion: Dieses Dokument gibt den Text des AVV, den SORAIA S.R.L. mit jedem Linkly-Kunden abschließt, vollständig wieder. Der beidseitig unterzeichnete AVV ist integraler Bestandteil des Liefervertrags und bildet dessen Anlage A. Die nachstehenden Klauseln sind mit den vertraglichen identisch, mit Ausnahme der Einfügung der spezifischen identifizierenden Daten des Verantwortlichen zum Zeitpunkt der Unterzeichnung.

1. Parteien

Zwischen:

• [Kunde], mit Sitz in [Anschrift], USt-IdNr. [IT…], als Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher")
• und SORAIA S.R.L., mit Sitz in Via Losana 13, 13900 Biella (BI), Italien, USt-IdNr. IT02820060024, als Auftragsverarbeiter gemäß Art. 28 DSGVO (nachfolgend „Auftragsverarbeiter")

gemeinsam die „Parteien".

2. Gegenstand

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die vom Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Linkly-Plattform durchgeführt wird.

3. Dauer der Verarbeitung

Die Verarbeitung hat dieselbe Dauer wie der Hauptliefervertrag zwischen den Parteien. Bei Beendigung gelten die Bestimmungen des Abschnitts 12 dieses Vertrags.

4. Art und Zwecke der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu den folgenden Zwecken:

• Erfassung und Digitalisierung von Kontakten (z. B. Badges, Visitenkarten, QR-Codes) mittels optischer Zeichenerkennung (OCR)
• Speicherung, Organisation und technische Verwaltung der Daten
• Datenanreicherung über öffentliche Quellen und Drittanbieter
• Strukturierung, Normalisierung und Klassifizierung der Daten mittels Technologien der künstlichen Intelligenz
• Erstellung von Vorlagen für geschäftliche Follow-ups (auf Weisung des Verantwortlichen)
• technische Integration mit den CRM-, ERP- und Marketingsystemen des Verantwortlichen
• Reporting und Analytics nach der Veranstaltung
• technischer Support und Wartung der Plattform

5. Kategorien der verarbeiteten Daten

5.1 Vom Verantwortlichen oder seinen Nutzern unmittelbar bereitgestellte Daten

• Vor- und Nachname
• Unternehmen
• Rolle
• geschäftliche E-Mail-Adresse
• berufliche Telefonnummer
• vom Nutzer eingegebene Notizen und kommerzielle Bewertungen

5.2 Automatisch erfasste Daten

• mittels OCR aus Visitenkarten und Veranstaltungs-Badges extrahierte Daten
• in QR-Codes kodierte Daten
• Erfassungsquelle (Veranstaltung, Datum, Kanal, Nutzer, der den Scan durchgeführt hat)

5.3 Angereicherte Daten

• geschäftliche E-Mail-Adressen
• Telefonnummern
• öffentliche LinkedIn-Profile
• öffentliche Unternehmensinformationen (Branche, Größe, Standort)

5.4 Technische Daten

• IP-Adresse
• Zugriffsprotokolle
• Gerätekennungen
• Zeitstempel der Vorgänge

5.5 Ausschlüsse

Der Verantwortliche verpflichtet sich, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO: Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen oder religiöse Überzeugungen hervorgehen, biometrische Daten, Gesundheitsdaten, Daten zum Sexualleben oder zur sexuellen Orientierung) oder Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) in die Plattform hochzuladen. Jeder Verstoß gegen diese Verpflichtung liegt in der alleinigen Verantwortung des Verantwortlichen.

6. Kategorien betroffener Personen

• berufliche B2B-Kontakte, die auf Messen und Veranstaltungen erfasst werden (Leads)
• Mitarbeiter und Mitwirkende des Verantwortlichen, die zur Nutzung der Plattform berechtigt sind
• geschäftliche und administrative Kontakte des Verantwortlichen

7. Weisungen des Verantwortlichen

Der Auftragsverarbeiter:

• verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), einschließlich dieses Vertrags, des Hauptvertrags und der operativen Konfigurationen der Plattform
• verwendet die Daten nicht für eigene Zwecke oder für Dienstleistungen gegenüber Dritten
• trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für die betroffene Person gemäß Art. 22 DSGVO
• informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere anwendbare Rechtsvorschriften verstößt (Art. 28 Abs. 3 letzter Unterabsatz DSGVO)

8. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• die Vertraulichkeit der personenbezogenen Daten zu gewährleisten
• nur geschultes und zur Vertraulichkeit verpflichtetes Personal mit der Verarbeitung zu betrauen (Art. 28 Abs. 3 lit. b DSGVO; Art. 29 DSGVO)
• geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen (siehe Abschnitt 9)
• den Verantwortlichen bei der Einhaltung der Pflichten aus der DSGVO (Art. 32-36 DSGVO) zu unterstützen, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultationen
• den Verantwortlichen unverzüglich über etwaige Verletzungen des Schutzes personenbezogener Daten zu benachrichtigen (siehe Abschnitt 15)
• dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten erforderlich sind, und Audits zu ermöglichen (siehe Abschnitt 14)
• die Daten bei Beendigung des Verhältnisses zu löschen oder an den Verantwortlichen zurückzugeben (siehe Abschnitt 12)

9. Sicherheit der Verarbeitung

SORAIA trifft dem Risiko angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, darunter:

• Verschlüsselung der Daten bei der Übertragung mittels TLS 1.2 oder höher mit modernen Cipher Suites
• Verschlüsselung der ruhenden Daten in den Datenbanken (AES-256)
• Zugriffskontrollen auf Grundlage individueller Zugangsdaten, des Least-Privilege-Prinzips und der Rollentrennung
• Obligatorische Multi-Faktor-Authentifizierung für administrative Konten und Entwicklerkonten
• Passwort-Hashing mit bcrypt (angemessener Cost-Faktor)
• Protokollierung und Überwachung administrativer Zugriffe (Aufbewahrung 12 Monate)
• Logische Trennung der Umgebungen (Dev/Staging/Prod) und der Kundendaten (mandantenfähig mit logischer Isolierung)
• Tägliche automatische Backups mit regelmäßig getesteten Disaster-Recovery-Verfahren
• Formales Management von Sicherheitsvorfällen (Incident-Response-Plan)
• Regelmäßige Überprüfung der Zugriffe (vierteljährliche Überprüfung)
• Patch-Management für Komponenten mit bekannten Schwachstellen
• Penetrationstests in regelmäßigen Abständen an kritischen Komponenten
• Schulung des autorisierten Personals (jährlich)
• Löschung oder Anonymisierung der Daten bei Beendigung des Dienstes
• Infrastruktur, die sich vorrangig in der Europäischen Union befindet (siehe Abschnitt 11 für Einzelheiten zu den Unterauftragsverarbeitern)

10. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, gemäß Art. 28 Abs. 2 DSGVO Unterauftragsverarbeiter hinzuzuziehen.

Der Auftragsverarbeiter setzt Unterauftragsverarbeiter der folgenden Kategorien ein:

• Backend-Infrastruktur und Datenbank
• Frontend-Anwendung
• Workflow-Automatisierung und -Orchestrierung
• KI-Anbieter für OCR, Strukturierung, Textgenerierung
• Anbieter von B2B-Datenanreicherung
• Dienste für die Recherche in öffentlichen Quellen

Die spezifische und aktualisierte Liste der Unterauftragsverarbeiter, mit Name, Rolle, Ort der Verarbeitung und angewandtem Instrument für Übermittlungen außerhalb der EU, wird dem Verantwortlichen bei Unterzeichnung des Vertrags und bei jeder nachfolgenden Aktualisierung zur Verfügung gestellt.

Der Auftragsverarbeiter sichert zu, dass:

• jeder Unterauftragsverarbeiter durch vertragliche Verpflichtungen gebunden ist, die denen dieses AVV gleichwertig sind, mittels eines unterzeichneten Auftragsverarbeitungsvertrags
• für Unterauftragsverarbeiter mit Sitz außerhalb der EU Garantien gemäß Art. 44 ff. DSGVO getroffen werden (Standardvertragsklauseln, Angemessenheitsbeschlüsse, EU-US Data Privacy Framework, sofern anwendbar)
• etwaige Änderungen der Liste (Hinzufügungen oder Ersetzungen) dem Verantwortlichen per E-Mail mit einer Frist von 30 Tagen mitgeteilt werden, innerhalb derer der Verantwortliche schriftlich begründet Widerspruch erheben kann. Im Falle eines Widerspruchs verhandeln die Parteien nach Treu und Glauben über eine Lösung; kommt keine Einigung zustande, kann jede Partei ohne Vertragsstrafen vom Vertrag zurücktreten

11. Übermittlungen außerhalb der EU

Sofern personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, stellt der Auftragsverarbeiter die Einhaltung von Art. 44 ff. DSGVO durch die gesetzlich vorgesehenen Instrumente sicher:

• Angemessenheitsbeschlüsse gemäß Art. 45 DSGVO (z. B. Vereinigtes Königreich, Schweiz, Japan)
• EU-US Data Privacy Framework (DPF) für beigetretene US-Unterauftragsverarbeiter
• Standardvertragsklauseln (SCC), von der EU-Kommission mit Durchführungsbeschluss 2021/914 genehmigt (Modul 3 für Beziehungen Auftragsverarbeiter→Unterauftragsverarbeiter)
• Zusätzliche technische und organisatorische Maßnahmen, sofern angesichts der Schrems-II-Rechtsprechung und der Empfehlungen 01/2020 des EDSA erforderlich (Verschlüsselung, Pseudonymisierung, vertragliche Kontrollen behördlicher Anfragen)

Für jeden Unterauftragsverarbeiter außerhalb der EU führt SORAIA eine dokumentierte Transfer Impact Assessment (TIA) durch.

12. Rückgabe und Löschung der Daten

Bei Beendigung des Vertrags wird der Auftragsverarbeiter:

• dem Verantwortlichen die personenbezogenen Daten in einem strukturierten, gängigen Format (CSV, JSON oder vereinbartes Format) für einen Zeitraum von höchstens 30 Tagen ab dem Beendigungsdatum zur Verfügung stellen
• nach Ablauf dieses Zeitraums die sichere Löschung oder, auf schriftliche Anfrage des Verantwortlichen, die Anonymisierung der Daten vornehmen
• die Daten auch aus den Backups gemäß den üblichen Rotationsverfahren löschen (spätestens innerhalb von 90 Tagen nach Beendigung)
• nur die Daten aufbewahren, die zur Erfüllung gesetzlicher Verpflichtungen erforderlich sind (z. B. Rechnungsstellung, Rechtsstreitigkeiten, Geldwäschebekämpfung), mit beschränktem Zugriff und für die unbedingt erforderliche Zeit
• auf Anfrage des Verantwortlichen eine schriftliche Bestätigung der durchgeführten Löschung bereitstellen

13. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen, bei:

• der Bearbeitung von Anträgen auf Ausübung der Betroffenenrechte (Art. 15-22 DSGVO) innerhalb der von der DSGVO gesetzten Fristen
• der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) gemäß Art. 35 DSGVO, unter Bereitstellung der einschlägigen technischen und organisatorischen Informationen
• vorherigen Konsultationen der Aufsichtsbehörde gemäß Art. 36 DSGVO
• der zum Nachweis der Einhaltung der DSGVO-Pflichten erforderlichen Dokumentation (Verzeichnis von Verarbeitungstätigkeiten, Sicherheitsmaßnahmen, Unterauftragsverarbeiter)

Die Unterstützung wird für gewöhnliche Tätigkeiten unentgeltlich geleistet. Für außergewöhnliche Anfragen, die einen erheblichen technischen Aufwand erfordern, können spezifische Vergütungen vereinbart werden, stets im Rahmen der tatsächlich entstandenen Kosten.

14. Audits

Der Verantwortliche hat gemäß Art. 28 Abs. 3 lit. h DSGVO das Recht, Informationen anzufordern und die Einhaltung der Pflichten durch den Auftragsverarbeiter zu überprüfen. Die Modalitäten sind wie folgt:

• Jährliches Dokumenten-Audit: Der Verantwortliche kann Kopien der einschlägigen technischen und organisatorischen Dokumente anfordern (Sicherheitsrichtlinien, etwaige Zertifizierungen, zusammenfassende Berichte über Penetrationstests, Liste der Unterauftragsverarbeiter). SORAIA antwortet innerhalb von 30 Tagen
• Audits vor Ort oder aus der Ferne: Auf begründete Anfrage vereinbaren die Parteien Termin und Modalitäten. Das Audit beschränkt sich auf das unbedingt Erforderliche und darf weder die Sicherheit anderer Kunden noch die Betriebskontinuität beeinträchtigen. Etwaige Kosten, die SORAIA für den Einsatz eigens dafür abgestellten Personals entstehen, werden dem Verantwortlichen in Rechnung gestellt, es sei denn, das Audit deckt Verstöße des Auftragsverarbeiters auf
• Von der Aufsichtsbehörde veranlasste Audits: SORAIA kooperiert uneingeschränkt, ohne zusätzliche Kosten für den Verantwortlichen

15. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO)

Der Auftragsverarbeiter ist verpflichtet, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die im Auftrag des Verantwortlichen verarbeitete Daten betrifft:

• den Verantwortlichen unverzüglich nach Kenntniserlangung zu benachrichtigen, in jedem Fall innerhalb von 48 Stunden (operativer Spielraum, der es dem Verantwortlichen ermöglicht, die von Art. 33 DSGVO gegenüber der Behörde gesetzte Frist von 72 Stunden einzuhalten)
• dem Verantwortlichen mindestens die folgenden Informationen bereitzustellen:
  • Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze
  • Name und Kontaktdaten der Anlaufstelle von SORAIA für das Management des Vorfalls
  • wahrscheinliche Folgen der Verletzung
  • getroffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer nachteiligen Auswirkungen
• den Verantwortlichen fortlaufend zu aktualisieren, sobald neue Erkenntnisse vorliegen
• bei der Meldung an die italienische Datenschutzbehörde und gegebenenfalls bei der Benachrichtigung der betroffenen Personen mitzuwirken (Art. 33-34 DSGVO)
• die Verletzung und die ergriffenen Maßnahmen zu dokumentieren (Art. 33 Abs. 5 DSGVO)

Die Anlaufstelle von SORAIA für Meldungen von Verletzungen und für alle Sicherheitsfragen ist: privacy@soraia.io.

16. Haftung

Der Auftragsverarbeiter haftet ausschließlich für Verstöße gegen die DSGVO oder gegen diesen AVV, die auf sein eigenes Verhalten zurückzuführen sind (Art. 82 Abs. 2 DSGVO).

Eine Haftung des Auftragsverarbeiters ist ausgeschlossen für:

• Verarbeitungen, die unmittelbar vom Verantwortlichen durchgeführt werden
• die rechtswidrige oder nicht vorschriftsgemäße Nutzung der Daten durch den Verantwortlichen
• dem Verantwortlichen zuzurechnende Rechtsverstöße (z. B. fehlende Information der betroffenen Personen, unzureichende Rechtsgrundlage, Nutzung über die Grenzen der Information hinaus)
• die Eingabe nicht zulässiger Datenkategorien (Art. 9, 10 DSGVO) oder von Daten Minderjähriger
• Schäden, die aus Fehlfunktionen von Drittsystemen entstehen, die der Kontrolle des Verantwortlichen unterliegen

17. Schlussbestimmungen

Dieser AVV ist integraler Bestandteil des Hauptliefervertrags. Im Falle eines Widerspruchs zwischen den Bestimmungen dieses AVV und denen des Hauptvertrags in Bezug auf den Schutz personenbezogener Daten gehen die Bestimmungen dieses AVV vor.

Änderungen dieses AVV bedürfen der schriftlichen Vereinbarung. SORAIA kann Aktualisierungen zur Anpassung an regulatorische Änderungen vorschlagen und teilt diese dem Verantwortlichen mit einer Frist von 30 Tagen mit; bleibt ein schriftlicher Widerspruch aus, gelten die Änderungen als angenommen.

Für nicht ausdrücklich geregelte Angelegenheiten wird auf die Bestimmungen der DSGVO, der nationalen Durchführungsgesetzgebung (italienisches Gesetzesdekret 196/2003 in der geltenden Fassung) und der anwendbaren Leitlinien des EDSA verwiesen.

Kontakte für den Datenschutz

Für jede Frage zur Verarbeitung personenbezogener Daten, zur Ausübung der Betroffenenrechte nach der DSGVO oder um eine Kopie des Data Processing Agreement zu erhalten, wenden Sie sich bitte an:

• Datenschutz-E-Mail: privacy@soraia.io
• Zertifizierte E-Mail (PEC): soraia@mypec.eu
• Anschrift: SORAIA S.R.L., Via Losana 13, 13900 Biella (BI), Italia

Datenschutzbeauftragter (DPO): nicht benannt. SORAIA S.R.L. unterliegt nicht der Pflicht zur Benennung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO (die Voraussetzungen nach Abs. 1 lit. b und c sind nicht erfüllt). Anfragen von betroffenen Personen und von den Datenschutzbeauftragten der Kunden werden direkt von der betrieblichen Datenschutzfunktion über die oben genannten Kontakte bearbeitet.

Beschwerden: unbeschadet des Rechts, sich direkt an den Verantwortlichen/Auftragsverarbeiter zu wenden, haben betroffene Personen das Recht, bei der italienischen Datenschutzbehörde (Garante) (garanteprivacy.it) oder bei einer anderen zuständigen Aufsichtsbehörde je nach ihrem Wohnort Beschwerde einzulegen.

Änderungen des Dokuments

SORAIA S.R.L. behält sich das Recht vor, dieses Dokument aus regulatorischen Gründen oder aufgrund der Weiterentwicklung des Dienstes zu aktualisieren. Wesentliche Änderungen werden aktiven Kunden per E-Mail mitgeteilt und auf dieser Seite mit Aktualisierung des Datums der letzten Änderung veröffentlicht.