Auftragsverarbeitungsvertrag

Dies ist eine zur besseren Verständlichkeit bereitgestellte Übersetzung. Weicht sie vom englischen Text ab, ist der englische Text maßgeblich.

Auftragsverarbeiter

Transfer Runner Ltd (eingetragen in England und Wales unter der Firmennummer 17488928), 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich, [email protected] ("TransferRunner")

Verantwortlicher

("Unternehmen")

Dieser Vertrag ist Bestandteil des TransferRunner Abonnementvertrags. Er regelt das Verhältnis zwischen dem Verantwortlichen und dem Auftragsverarbeiter nach Artikel 28 der UK GDPR, Artikel 28 der EU-Datenschutz-Grundverordnung (DSGVO) und Artikel 12 des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK) sowie nach jedem sonstigen Datenschutzrecht, das auf das Unternehmen anwendbar ist (zusammen das „Datenschutzrecht“). TransferRunner ist ein im Vereinigten Königreich niedergelassenes Unternehmen.

1. Rollen

Für die im Dienst verarbeiteten Daten von Gästen, Fahrern und Mitarbeitern des Unternehmens ist das Unternehmen der Verantwortliche und TransferRunner der Auftragsverarbeiter. TransferRunner verarbeitet diese Daten ausschließlich im Auftrag des Unternehmens und zur Erbringung des Dienstes.

2. Gegenstand, Dauer und Zweck

• Gegenstand und Zweck: Entgegennahme und Verwaltung von Buchungen, Veröffentlichung der Buchungsseite des Unternehmens, Zuweisung von Fahrern, Versand von Benachrichtigungen an Gäste, Flugverfolgung, Weiterleitung von Gästen an den Zahlungsdienstleister, Berichterstattung sowie das hierfür erforderliche Hosting und die Datensicherungen.
• Dauer: für die Laufzeit des Abonnementvertrags und bis zum Ablauf der Löschfrist nach Abschnitt 8.
• Betroffene Personen: Gäste und Fahrgäste, Personen, die Buchungen vornehmen, Rechnungsempfänger, die Fahrer des Unternehmens und Panel-Nutzer.
• Datenkategorien: Name, E-Mail-Adresse und Telefonnummer; Abhol- und Zieladressen, Datum und Uhrzeit, Flugnummer, Anzahl der Fahrgäste und Anmerkungen; Betrag und Zahlungsstatus (keine Kartendaten); Rechnungsangaben; Bewertungen; der Standort des Fahrers während einer Fahrt; Angaben zu Führerschein und Fahrzeugdokumenten der Fahrer; IP-Adressen und technische Protokolle.
• Besondere Kategorien personenbezogener Daten: ihre Verarbeitung ist nicht vorgesehen. Das Unternehmen achtet darauf, dass besondere Kategorien personenbezogener Daten wie Gesundheitsdaten nicht in Anmerkungsfelder eingegeben werden.

3. Pflichten von TransferRunner

• Die Daten ausschließlich auf dokumentierte Weisung des Unternehmens zu verarbeiten. Dieser Vertrag, der Abonnementvertrag und die Einstellungen des Unternehmens im Panel stellen seine Weisungen dar. Ist TransferRunner der Auffassung, dass eine Weisung rechtswidrig ist, teilt es dies dem Unternehmen unverzüglich mit.
• Sicherzustellen, dass die Mitarbeiter, die auf die Daten zugreifen können, zur Vertraulichkeit verpflichtet sind.
• Die technischen und organisatorischen Sicherheitsmaßnahmen nach Anlage 1 zu ergreifen und auf dem neuesten Stand zu halten.
• Das Unternehmen über die Werkzeuge des Panels und in angemessenem Umfang bei der Beantwortung von Anträgen betroffener Personen (etwa auf Auskunft, Berichtigung oder Löschung) zu unterstützen und jeden unmittelbar bei ihm eingehenden Antrag unverzüglich weiterzuleiten.
• Das Unternehmen ohne unangemessene Verzögerung und spätestens 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, mit den zu diesem Zeitpunkt bekannten Einzelheiten darüber zu informieren und das Unternehmen bei der Meldung an die Aufsichtsbehörde, etwa das ICO, eine EU-Behörde oder die türkische Datenschutzbehörde, zu unterstützen.
• Angemessene Informationen bereitzustellen, wenn eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation einer Behörde erforderlich ist.
• Die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereitzustellen und eine angemessene Prüfung pro Jahr zu ermöglichen, die mindestens 30 Tage im Voraus angekündigt und ohne Störung des Betriebs durchgeführt wird.

4. Unterauftragsverarbeiter

Das Unternehmen erteilt TransferRunner eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern der nachstehenden Arten. TransferRunner schließt mit ihnen schriftliche Vereinbarungen, die die Daten mindestens ebenso gut schützen wie dieser Vertrag, und bleibt gegenüber dem Unternehmen für deren Verarbeitung verantwortlich. Ein neuer Unterauftragsverarbeiter wird mindestens 30 Tage vor seiner Hinzuziehung im Panel angekündigt; das Unternehmen kann aus berechtigten Gründen Einspruch erheben, und kann der Einspruch nicht ausgeräumt werden, kann es sein Abonnement mit der im Abonnementvertrag beschriebenen Erstattung beenden.

• Server-Hosting und Datensicherungen
• E-Mail-Versand
• SMS- und WhatsApp-Nachrichten (zum Beispiel Meta WhatsApp Business)
• Karten und Adressvorschläge (Google Maps)
• Anbieter von Fluginformationen (nur Flugnummer und Datum)

Der Zahlungsdienstleister, den das Unternehmen mit seinem eigenen Konto anbindet (etwa Stripe oder iyzico), und die Mess- und Werbe-Tags, die es seiner eigenen Seite hinzufügt (etwa von Google oder Meta), sind keine Unterauftragsverarbeiter von TransferRunner. Das Verhältnis zu diesen Diensten besteht unmittelbar zwischen dem Unternehmen und dem Anbieter.

5. Internationale Übermittlungen

• Unternehmen in der Türkei: die Übermittlung von Daten an TransferRunner im Vereinigten Königreich ist eine Übermittlung ins Ausland nach Artikel 9 KVKK. Für diese Übermittlung unterzeichnen die Parteien ohne Änderungen den von der türkischen Datenschutzbehörde veröffentlichten Standardvertrag „Verantwortlicher an Auftragsverarbeiter“, und das Unternehmen meldet dies der Behörde innerhalb von 5 Werktagen nach der Unterzeichnung. TransferRunner stellt die für die Unterzeichnung erforderlichen Informationen und Unterlagen bereit.
• Unternehmen im Europäischen Wirtschaftsraum: die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich. Endet dieser Beschluss, verwenden die Parteien die Standardvertragsklauseln nach Artikel 46 DSGVO.
• Unternehmen in anderen Ländern: verlangt das Datenschutzrecht des Unternehmens eine bestimmte Garantie für Übermittlungen in das Vereinigte Königreich, schaffen die Parteien diese, und TransferRunner stellt die erforderlichen Informationen bereit.
• Unterauftragsverarbeiter: für Unterauftragsverarbeiter, die Daten außerhalb des Vereinigten Königreichs, des Europäischen Wirtschaftsraums oder der Türkei verarbeiten, werden Garantien wie Angemessenheitsbeschlüsse, das UK International Data Transfer Agreement (IDTA) oder die EU-Standardvertragsklauseln verwendet.

6. Pflichten des Unternehmens

• Über eine gültige Rechtsgrundlage für die Verarbeitung der Daten zu verfügen und die betroffenen Personen zu informieren. TransferRunner stellt vorgefertigte Texte für die Buchungsseite bereit; das Unternehmen ist dafür verantwortlich zu prüfen, ob sie zu seinem Geschäft passen, und sie korrekt auszufüllen.
• Sich, soweit erforderlich, bei der Behörde zu registrieren (zum Beispiel VERBİS in der Türkei oder die ICO-Gebühr im Vereinigten Königreich).
• TransferRunner ausschließlich rechtmäßige Weisungen zu erteilen und die Zugriffsrechte der Panel-Nutzer ordnungsgemäß zu verwalten.

7. Vertraulichkeit

TransferRunner gibt die Daten nicht an Dritte weiter. Es übermittelt Daten nur im Einklang mit diesem Vertrag an Unterauftragsverarbeiter oder, soweit gesetzlich vorgeschrieben, an zuständige Behörden und informiert das Unternehmen über eine solche Anfrage, soweit das Gesetz dies zulässt.

8. Ende der Verarbeitung, Rückgabe und Löschung

Endet der Abonnementvertrag, kann das Unternehmen seine Daten innerhalb von 30 Tagen aus dem Panel exportieren. Nach Ablauf dieser Frist löscht TransferRunner die Daten aus seinen Live-Systemen; Kopien in Datensicherungen werden spätestens innerhalb von 90 Tagen automatisch gelöscht. Daten, die von Gesetzes wegen aufbewahrt werden müssen (etwa die eigenen Rechnungsunterlagen von TransferRunner), werden für die vorgeschriebene Dauer aufbewahrt.

9. Haftung und Rangfolge

Die Haftung aus diesem Vertrag unterliegt den Beschränkungen des Abonnementvertrags, mit Ausnahme einer Haftung, die gesetzlich nicht beschränkt werden kann. In Fragen personenbezogener Daten geht dieser Vertrag im Fall eines Widerspruchs dem Abonnementvertrag vor.

10. Sprache und Recht

Dieser Vertrag wird in englischer Sprache geschlossen, und Übersetzungen werden zur besseren Verständlichkeit bereitgestellt; weicht eine Übersetzung ab, ist der englische Text maßgeblich. Es gelten das Recht und die Gerichte, die im Abonnementvertrag genannt sind, unbeschadet des zwingenden Datenschutzrechts des Landes des Unternehmens.

Anlage 1: Technische und organisatorische Sicherheitsmaßnahmen

• Verschlüsselung aller Verbindungen (HTTPS / TLS)
• Speicherung von Passwörtern ausschließlich als Einweg-Hashwerte; Zwei-Faktor-Anmeldung für das Panel
• Verschlüsselte Speicherung (AES-256) der geheimen Schlüssel des Zahlungsdienstleisters in der Datenbank; Kartendaten werden niemals gespeichert
• Rollenbasierter Zugriff: Fahrer sehen nur die ihnen zugewiesenen Aufträge
• Datentrennung zwischen Unternehmen: jedes Unternehmen sieht nur seine eigenen Daten
• Regelmäßige Datensicherungen und Wiederherstellungstests
• Serverzugriff beschränkt auf befugte Personen, mit Zugriffsprotokollen
• Regelmäßige Einspielung von Sicherheitsupdates