Die DSGVO-Anlage zu Ihrem Vertrag : Sie sind Verantwortlicher für die Daten Ihrer Reiter, wir sind der Auftragsverarbeiter – mit genauen Zusagen.
Dieser Text ist eine Übersetzung zur Erleichterung. Bei Abweichungen ist die französische Fassung maßgeblich.
Dieser Auftragsverarbeitungsvertrag (« AVV ») bildet die DSGVO-Anlage zu den Allgemeinen Servicebedingungen und gilt von Rechts wegen für jeden Kunden des Dienstes Equimondo. Er setzt die in Artikel 28 der Verordnung (EU) 2016/679 (« DSGVO ») vorgesehenen Pflichten um.
Für die vom Kunden im Dienst eingegebenen oder importierten personenbezogenen Daten (Reiter und ihre gesetzlichen Vertreter, Pferdebesitzer, Teammitglieder, Lieferanten) ist der Kunde der Verantwortliche und EQUIMONDO der Auftragsverarbeiter, der ausschließlich auf dokumentierte Weisung des Kunden handelt, wobei der Vertrag selbst die erste Weisung darstellt.
EQUIMONDO hostet, speichert, ordnet, strukturiert, liest zu Supportzwecken, sichert, gibt zurück und löscht die Daten im Auftrag des Kunden, ausschließlich zum Zweck der Bereitstellung der Funktionen des Dienstes : Verwaltung der Pferde und ihrer Versorgung, Stundenplan und Buchungen, Ausbildungsverlauf, Kommunikation mit den Reitern, Rechnungsstellung und Zahlungseingang, Website des Kunden. Die Dauer der Verarbeitung entspricht der Vertragsdauer, verlängert um die vorgesehenen Rückgabefristen.
Der Dienst ist für die Verwaltung minderjähriger Reiter durch gewerbliche Betriebe ausgelegt. Der Kunde sichert zu, dass die Erhebung der Daten Minderjähriger bei deren gesetzlichen Vertretern oder mit deren Einverständnis erfolgt und dass er ihnen die nach den Artikeln 12 bis 14 DSGVO vorgesehenen Informationen erteilt.
Der Dienst ist nicht für die Speicherung besonderer Kategorien personenbezogener Daten (Artikel 9 DSGVO), insbesondere von Gesundheitsdaten von Personen, bestimmt. Der Kunde verpflichtet sich, solche Daten dort nicht zu erfassen, mit Ausnahme der für die Sicherheit der Aktivitäten unbedingt erforderlichen Angaben (Notfallkontakt, Hinweis auf eine von der Familie mitgeteilte Gegenanzeige), die er in alleiniger Verantwortung und datenminimierend verarbeitet. Daten über Pferde (Versorgung, Zuchtregister) sind keine personenbezogenen Daten, es sei denn, sie beziehen sich auf eine identifizierbare Person.
Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz der in der Datenschutzerklärung aufgeführten weiteren Auftragsverarbeiter (insbesondere OVH, Stancer, Brevo, Spot-Hit, Mistral AI, Yousign sowie Google allein für die optionale Kalendersynchronisation). EQUIMONDO informiert den Kunden mindestens dreißig (30) Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung ; der Kunde kann berechtigte Einwände erheben und, wenn keine Einigung erzielt wird, ohne Vertragsstrafe kündigen. EQUIMONDO schließt mit jedem weiteren Auftragsverarbeiter einen Vertrag, der gleichwertige Pflichten wie dieser AVV auferlegt, und bleibt dem Kunden gegenüber für deren Erfüllung voll verantwortlich.
Umgesetzte technische und organisatorische Maßnahmen : TLS-Verschlüsselung sämtlicher Kommunikation ; mandantenfähige Architektur mit strikter Trennung der Daten jedes Betriebs ; individuelle Benutzeranmeldung und feingliedrige Rechteverwaltung durch den Kunden ; vorbereitete und parametrisierte Datenbankabfragen ; eingeschränkte Administratorzugänge (SSH per Schlüssel, IP-Filterung) ; Protokollierung ; tägliche verschlüsselte Sicherungen auf dedizierten Servern in Frankreich mit eingeschränktem Zugang ; Verfahren zum Umgang mit Schwachstellen und Vorfällen.
Die Kundendaten werden ausschließlich in der Europäischen Union (Frankreich) gehostet und gesichert. Im Rahmen dieses AVV findet keine Übermittlung personenbezogener Daten außerhalb der EU statt, mit zwei Ausnahmen : (i) die Synchronisation mit Google Calendar, sofern und nur sofern der Kunde oder sein Nutzer sie aktiviert, abgesichert durch das Data Privacy Framework und die Standardvertragsklauseln ; (ii) Verbesserungsverarbeitungen ausschließlich auf anonymisiertenDaten, die keine personenbezogenen Daten mehr sind.
Der Kunde kann höchstens einmal jährlich und mit einer Frist von dreißig (30) Tagen die Einhaltung dieses AVV anhand der von EQUIMONDO bereitgestellten Compliance-Unterlagen überprüfen (Beschreibung der Maßnahmen, Bescheinigungen, Liste der weiteren Auftragsverarbeiter). Ein Vor-Ort-Audit durch einen unabhängigen, nicht konkurrierenden und zur Verschwiegenheit verpflichteten Dritten ist bei nachgewiesener Unzulänglichkeit der Unterlagen möglich, auf Kosten des Kunden und ohne die Sicherheit oder den gegenüber anderen Kunden geschuldeten Dienst zu beeinträchtigen.
Bei Vertragsende exportiert der Kunde seine gesamten Daten sechzig (60) Tage lang selbst und kostenlos in Standardformaten. Danach löscht EQUIMONDO die Daten aus den aktiven Systemen und bereinigt die Sicherungen durch Rotation innerhalb von drei (3) Monaten, vorbehaltlich gesetzlicher Aufbewahrungspflichten (Buchhaltungsunterlagen : 10 Jahre). Auf schriftliche Anfrage wird eine Löschbestätigung ausgestellt.
Jede Partei haftet für Schäden, die durch eine Verarbeitung entgegen ihren eigenen Pflichten nach der DSGVO verursacht werden. Die Haftungsobergrenzen der Allgemeinen Servicebedingungen gelten für diesen AVV, sofern zwingendes Recht nichts anderes bestimmt. Bei Widersprüchen zwischen dem AVV und den Allgemeinen Servicebedingungen in einer Datenschutzfrage geht der AVV vor.