Auftragsverarbeitungsvertrag (AVV) — Okeanun Manager

Parteien und Präambel

Einerseits die Tauchbasis, die Okeanun Manager abonniert und im Registrierungs- und Abonnementprozess durch Firmenname, Steuernummer, Anschrift und Vertreter identifiziert wird (der „Verantwortliche" oder die „Basis"); andererseits Munaeko Development Software Solutions, S.L., Steuernummer B88989868, mit Sitz in Gran Vía Manuel López Carreño, 1, 2.º, 30180 Bullas, Murcia, Spanien, Kontakt [email protected] (der „Auftragsverarbeiter" oder „Okeanun"). Beide Parteien erkennen ausreichende Geschäftsfähigkeit an.

Die Basis abonniert Okeanun Manager zur Verwaltung ihrer Tätigkeit, wobei sie im Dienst personenbezogene Daten von Tauchern, Kunden, Buchungskontakten und Personal eingeben, hosten, organisieren und abfragen kann, gegebenenfalls einschließlich besonderer Kategorien wie Gesundheitsdaten, je nach Nutzung. Für diese Daten bestimmt die Basis die wesentlichen Zwecke und Mittel und handelt als Verantwortlicher, während Okeanun sie in ihrem Auftrag verarbeitet und als Auftragsverarbeiter handelt.

Diese Vereinbarung ist in das Abonnement des Dienstes integriert und wird von der Basis im Registrierungs-/Abonnementprozess durch eine bestätigende Handlung (Kontrollkästchen) mit Aufzeichnung von Version und Datum akzeptiert. Die Basis kann Okeanun zur Nutzung von Unterauftragsverarbeitern ermächtigen, denen gleichwertige Pflichten auferlegt werden.

1. Gegenstand, Art, Zweck und Dauer

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten, die Okeanun im Auftrag der Basis bei der Bereitstellung von Okeanun Manager durchführt, einschließlich Erhebung, Speicherung, Organisation, Strukturierung, Abfrage, Offenlegung an autorisierte Unterauftragsverarbeiter und Löschung oder Rückgabe am Ende der Bereitstellung. Zweck ist ausschließlich die Erbringung des Dienstes gemäß den dokumentierten Weisungen der Basis; Okeanun darf die Daten nicht für eigene Zwecke verarbeiten. Die Vereinbarung gilt für die Dauer des Abonnements sowie für die zur Durchführung der Beendigungs-, Rückgabe- und Lösch- oder Sperrvorgänge erforderliche Zeit.

2. Kategorien betroffener Personen und Daten

Zu den betroffenen Personen zählen hauptsächlich: (i) Taucher und Kunden der Basis (registriert oder nicht, einschließlich „Gasttaucher"); (ii) buchungsbezogene Kontakte; und (iii) Personal der Basis, soweit im Dienst verwaltet. Die Datenkategorien können umfassen: Identifikations- und Kontaktdaten; Buchungs-, Aktivitäts- und Kursteilnahmedaten; Tauchbrevets; Versicherungsdaten; und, sofern die Basis sie hinzufügt, Gesundheitsdaten und medizinische Unterlagen (besondere Kategorie), sowie zahlungsbezogene Informationen. Die Basis ist dafür verantwortlich, nur notwendige und relevante Daten gemäß dem Grundsatz der Datenminimierung sowie Datenschutz durch Technikgestaltung und durch Voreinstellungen einzugeben.

3. Dokumentierte Weisungen der Basis und Nutzungsgrenzen

Okeanun verarbeitet personenbezogene Daten nur gemäß den dokumentierten Weisungen der Basis, d. h.: (i) diese Vereinbarung, (ii) die Konfiguration und Nutzung des Dienstes durch die Basis, und (iii) dokumentierte Mitteilungen über die eingerichteten Support-Kanäle. Okeanun nutzt die Daten nicht für eigene Zwecke; würde Okeanun Zwecke und Mittel unter Verstoß gegen diesen Rahmen bestimmen, könnte es für diese Verarbeitung als Verantwortlicher gelten. Hält Okeanun eine Weisung für rechtswidrig, informiert es die Basis unverzüglich.

4. Vertraulichkeit des autorisierten Personals

Okeanun stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit und zum Berufsgeheimnis verpflichtet sind und dass die Verarbeitung unter der Aufsicht von Okeanun und nach Weisung erfolgt, um unbefugten Zugriff, Offenlegung oder Missbrauch zu verhindern. Die Basis erkennt an, dass diese Pflicht wesentlich ist, insbesondere wenn sie sensible Unterlagen oder Daten besonderer Kategorien eingibt.

5. Technische und organisatorische Sicherheitsmaßnahmen

Okeanun ergreift geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau, unter Berücksichtigung des Stands der Technik, der Kosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung, insbesondere bei besonderen Datenkategorien. Dazu gehören in der Regel Zugriffs- und Authentifizierungskontrollen, rollenbasierte Trennung sowie Mechanismen zur Wahrung von Vertraulichkeit, Integrität, Verfügbarkeit und Wiederherstellbarkeit nach Vorfällen. Der technische Detailgrad kann aus Sicherheitsgründen weiterentwickelt werden.

6. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung und soweit möglich unterstützt Okeanun die Basis durch geeignete Maßnahmen bei der Erfüllung ihrer Pflicht, Anträgen auf Ausübung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit oder Widerspruch) nachzukommen, einschließlich des Auffindens und Extrahierens von Daten, der Durchführung von Löschungen oder Einschränkungen oder der Bereitstellung erforderlicher technischer Informationen, soweit die Basis dies nicht selbst über die Funktionen des Dienstes tun kann.

7. Unterstützung bei Sicherheit, Verletzungen und Folgenabschätzungen

Okeanun unterstützt die Basis bei der Einhaltung ihrer Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen und zur Dokumentation sowie zu Datenschutz-Folgenabschätzungen, unter Berücksichtigung der Art der Verarbeitung und der Okeanun verfügbaren Informationen. Insbesondere bei besonderen Datenkategorien oder Verarbeitungen mit hohem Risiko kann die Basis angemessene Informationen zu Sicherheitsmaßnahmen, Architektur, Unterauftragsverarbeitern und Übermittlungen anfordern.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Okeanun benachrichtigt die Basis unverzüglich über jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, und stellt ausreichende Informationen bereit, damit die Basis ihren Pflichten zur Risikobewertung, Dokumentation und gegebenenfalls Meldung an die Aufsichtsbehörde und Benachrichtigung der Betroffenen nachkommen kann. Okeanun dokumentiert Vorfälle zur Nachvollziehbarkeit von Fakten, Auswirkungen und Abhilfemaßnahmen.

9. Autorisierte Unterauftragsverarbeiter und allgemeine Genehmigung

Die Basis erteilt Okeanun eine allgemeine Genehmigung zur Nutzung der zur Bereitstellung des Dienstes erforderlichen Unterauftragsverarbeiter (z. B. Hosting, Datenbank, Dokumentenspeicher, Transaktions-E-Mail, Fehlerdiagnose, Zahlungen sowie ggf. Benachrichtigungs- oder Kartenanbieter), sofern Okeanun: (i) dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt; (ii) angemessene Kontrolle über Garantien und Sicherheit behält; und (iii) die Basis über beabsichtigte Änderungen informiert und ihr die Möglichkeit zum begründeten Widerspruch gibt. Okeanun bleibt gegenüber der Basis voll verantwortlich.

10. Internationale Übermittlungen im Zusammenhang mit Unterauftragsverarbeitern

Soweit die Bereitstellung des Dienstes Übermittlungen personenbezogener Daten in Drittländer oder an internationale Organisationen umfasst, verarbeitet Okeanun diese Daten nur nach den dokumentierten Weisungen der Basis und mit den geeigneten Garantien und stellt der Basis angemessene Informationen über das Bestehen von Übermittlungen und den verwendeten Garantierahmen für ihre Compliance-Dokumentation als Verantwortlicher zur Verfügung.

11. Verbot der Offenlegung an Dritte

Okeanun gibt die im Auftrag verarbeiteten personenbezogenen Daten nicht an Dritte weiter, außer soweit dies zur Erbringung des Dienstes über autorisierte Unterauftragsverarbeiter erforderlich ist oder eine gesetzliche Verpflichtung besteht. Die Beauftragung eines Auftragsverarbeiters schafft keine direkte Rechtsbeziehung zwischen Okeanun und den Betroffenen der Basis; Mitteilungen an Betroffene, Datenschutzinformationen und Rechtsgrundlage obliegen der Basis.

12. Verbleib der Daten am Ende der Bereitstellung

Bei Beendigung des Dienstes wird Okeanun nach Wahl der Basis (i) die im Auftrag verarbeiteten Daten löschen oder (ii) sie der Basis oder einem benannten Dritten in einem angemessenen Format zurückgeben und vorhandene Kopien löschen, sofern nicht EU- oder spanisches Recht eine Aufbewahrung verlangt. Die Standardoption ist Löschung/Rückgabe, unbeschadet der Möglichkeit der Basis, während der Exportfrist die Alternative zu verlangen. Bei gesetzlicher Aufbewahrungspflicht werden solche Daten gesperrt oder eingeschränkt.

13. Compliance-Informationen, Audits und Inspektionen

Okeanun stellt der Basis die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht und unterstützt angemessene Audits einschließlich Inspektionen durch die Basis oder einen von ihr beauftragten Prüfer, sofern (i) angemessene Vorankündigung erfolgt, (ii) der Umfang auf das Notwendige beschränkt ist, (iii) die Sicherheit und Vertraulichkeit anderer Kunden gewahrt bleibt und (iv) Zugangsbedingungen in gutem Glauben vereinbart werden. Die Dokumentation kann elektronisch erfolgen und Zertifizierungen oder Berichte umfassen.

14. Verzeichnis von Verarbeitungstätigkeiten und Nachvollziehbarkeit

Okeanun führt das seiner Rolle als Auftragsverarbeiter entsprechende Verzeichnis der im Auftrag der Basis durchgeführten Verarbeitungstätigkeiten und kooperiert bei Bedarf mit der Aufsichtsbehörde, unbeschadet der Dokumentations- und Verzeichnispflichten der Basis als Verantwortlicher. Die Basis erkennt die Notwendigkeit der dokumentarischen Nachvollziehbarkeit zum Nachweis von Sorgfalt und Rechenschaftspflicht an.

15. Pflichten der Basis als Verantwortlicher

Die Basis gewährleistet, dass sie über eine ausreichende Rechtsgrundlage für die von ihr eingegebenen oder verwalteten Daten verfügt und ihre Informationspflichten gegenüber den Betroffenen erfüllt hat, einschließlich – bei besonderen Datenkategorien (z. B. Gesundheitsdaten) – der Einholung der erforderlichen verstärkten Legitimation und geeigneter Garantien. Die Basis ist für die Festlegung ihrer Zwecke, ihr Verzeichnis, die Bearbeitung von Anträgen und interne Verfahren zur Verletzungsmeldung verantwortlich.

16. Kontaktstelle und Datenschutzkommunikation

Für die operative Koordination ist die Kontaktstelle von Okeanun für Angelegenheiten dieser Vereinbarung [email protected]. Die Basis benennt eine interne Kontaktstelle über die bei der Registrierung angegebene E-Mail. Die Kommunikation kann elektronisch erfolgen, unter Wahrung angemessener Nachvollziehbarkeit von Anfragen und Weisungen.

17. Integration, Vorrang und Änderungen

Diese Vereinbarung ist integraler Bestandteil der Okeanun-Manager-Bedingungen und regelt die Verarbeitung im Auftrag. Bei Widersprüchen zu anderen Vertragsbedingungen hinsichtlich der Auftragsverarbeitung hat diese Vereinbarung Vorrang. Okeanun kann die Vereinbarung bei regulatorischen, Sicherheits- oder Dienständerungen aktualisieren und die neue Version mit angemessener Vorankündigung mitteilen, wobei Version und Annahmedatum aufgezeichnet werden.

18. Standardvertragsklauseln als Grundlage

Sofern angebracht, kann sich diese Vereinbarung ganz oder teilweise auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln für die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter stützen, die als standardisiertes Element integriert werden und gegebenenfalls gegenüber widersprechenden Bestimmungen Vorrang haben.

19. Formalisierung und verstärkte Detaillierung der Weisungen

Die Parteien können diese Vereinbarung durch einen technischen Anhang zu Verarbeitung und Datenflüssen ergänzen, der je Manager-Modul die verarbeiteten Daten, die beteiligten Unterauftragsverarbeiter und die stattfindenden Übermittlungen beschreibt und die Präzision der dokumentierten Weisungen sowie die Nachvollziehbarkeit verstärkt. Ein solcher Anhang ist integraler Bestandteil der Vereinbarung.