Vereinbarung zur Auftragsverarbeitung (AVV)

(Art. 28 DSGVO)

4.1 Wer wer ist

Wenn ein Atelier die Daten seiner Kunden in Registro hochlädt — Namen, Adressen, Telefonnummern, Fotografien der Karten, Korrespondenz —, ist das Atelier der Verantwortliche. Wir verarbeiten diese Daten nur im Auftrag des Ateliers, als Auftragsverarbeiter.

Das bedeutet ganz konkret: Wir entscheiden nichts über diese Daten. Wir nutzen sie nicht für eigene Zwecke, analysieren sie nicht, verwenden sie nicht zum Trainieren automatisierter Systeme und zeigen sie keinen anderen Ateliers.

4.2 Was wir verarbeiten, für wen und wie lange

• Gegenstand: Erbringung des Dienstes Registro.
• Dauer: so lange der Vertrag besteht, zuzüglich der 30 Tage zur Wiederherstellung.
• Art und Zweck: Speicherung, Organisation, Abruf, Erstellung von Dokumenten, Versand von Mitteilungen an die Kunden des Ateliers in dessen Auftrag.
• Datenarten: Identifikations- und Kontaktdaten, Fotografien von Gegenständen (den Karten), wirtschaftliche Inhalte (Kostenvoranschläge, Zahlungen), Korrespondenz.
• Betroffene Personen: die Kunden des Ateliers und die Mitarbeitenden, die das Atelier hinzufügt.
• Besondere Kategorien: nicht vorgesehen. Das Atelier verpflichtet sich, keine hochzuladen.

4.3 Unsere Pflichten

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Ateliers, die der normalen Nutzung der Produktfunktionen entspricht. Wer Zugriff hat, ist zur Vertraulichkeit verpflichtet. Wir wenden die unter Punkt 2.6 beschriebenen Sicherheitsmaßnahmen an.

Unterstützung des Ateliers. Macht ein Kunde des Ateliers seine Rechte geltend, stellen wir dem Atelier die Werkzeuge zur Antwort bereit: vollständiger Export eines einzelnen Kunden und Löschung seiner Daten, Fotografien eingeschlossen.

Verletzungen. Bemerken wir eine Verletzung, benachrichtigen wir das Atelier unverzüglich mit allem, was wir wissen, denn die Meldung an die Aufsichtsbehörde obliegt dem Atelier. Wir melden nicht an seiner Stelle.

4.4 Unterauftragsverarbeiter

Das Atelier genehmigt den Einsatz der unter Punkt 2.4 genannten Anbieter zu denselben Schutzbedingungen. Ändern wir einen Anbieter oder kommt einer hinzu, teilen wir das mit einer Frist von mindestens 30 Tagen mit, und das Atelier kann widersprechen; im Fall eines Widerspruchs kann es ohne Vertragsstrafe kündigen, weil wir den Dienst ohne Infrastruktur nicht erbringen können.

4.5 Am Ende der Zusammenarbeit

Bei Beendigung, spätestens aber innerhalb der 30 Tage aus Punkt 1.8, löschen wir alle im Auftrag des Ateliers verarbeiteten personenbezogenen Daten, soweit uns das Gesetz keine Aufbewahrung vorschreibt. Vor der Löschung kann das Atelier alles exportieren.

4.6 Überprüfungen

Das Atelier kann von uns die Informationen verlangen, die zum Nachweis der Einhaltung von Art. 28 nötig sind, und mit angemessener Vorlaufzeit eine Überprüfung vereinbaren, auf eigene Kosten und ohne die Vertraulichkeit anderer Ateliers zu gefährden.