Vereinbarung zur Datenverarbeitung

Für die Zwecke dieser Datenverarbeitungsvereinbarung werden die Begriffe in der nachstehend angegebenen Bedeutung verwendet:

Verantwortlicher ist der Nutzer, wie in der Vereinbarung definiert, eine Person, die ein Verantwortlicher für personenbezogene Daten im Sinne des VAE-Bundesgesetzes Nr. 45/2021 über den Schutz personenbezogener Daten oder der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO) (nachfolgend zusammenfassend - das Gesetz).
Auftragsverarbeiter ist die Verwaltung, wie in der Vereinbarung definiert, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet und ein Auftragsverarbeiter im Sinne des Gesetzes ist.
Betroffene Person ist eine Person, auf die sich die personenbezogenen Daten beziehen, wie im Gesetz definiert.
Personenbezogene Daten sind alle Daten, die sich auf eine identifizierte oder direkt oder indirekt identifizierbare Person beziehen, indem die Daten mit einer Kennung wie dem Namen, der Stimme, dem Bild, der Identifikationsnummer, der elektronischen Kennung, dem geografischen Standort oder einem oder mehreren physischen, physiologischen, kulturellen oder sozialen Merkmalen, wie sie im Gesetz definiert sind, verknüpft werden und von der verantwortlichen Stelle über die Plattform verarbeitet werden.
Nutzerdaten sind die Informationen, die personenbezogene Daten enthalten können, die von der verantwortlichen Stelle unter Verwendung der Plattform heruntergeladen oder verarbeitet werden.
Sensible personenbezogene Daten sind alle Informationen, die direkt oder indirekt die Ethnie, die politischen oder philosophischen Meinungen, die religiösen Überzeugungen, das Strafregister, biometrische Daten oder alle Daten in Bezug auf die Gesundheit einer solchen Person offenlegen, wie z. B. ihren physischen, psychologischen, mentalen, körperlichen, genetischen oder sexuellen Zustand, einschließlich aller Informationen in Bezug auf die Erbringung von Gesundheitsdienstleistungen für eine solche Person, die ihren Gesundheitszustand gemäß der Definition im Gesetz offenlegen.
Biometrische personenbezogene Daten sind alle personenbezogenen Daten, die als Ergebnis einer speziellen technischen Verarbeitung im Zusammenhang mit den physischen, physiologischen oder verhaltensbezogenen Merkmalen der betroffenen Person gewonnen werden und die eindeutige Identifizierung der betroffenen Person identifizieren oder bestätigen, wie z. B. Gesichtsbild- oder Fingerabdruckdaten im Sinne des Gesetzes.

In der Datenverarbeitungsvereinbarung können andere, oben nicht definierte Begriffe verwendet werden, die in Übereinstimmung mit der Vereinbarung und dem Gesetz ausgelegt werden.

1.1. Der für die Verarbeitung Verantwortliche beauftragt und verpflichtet den Auftragsverarbeiter, Maßnahmen zur Verarbeitung der personenbezogenen Daten der Kunden (Besucher der Websites) des für die Verarbeitung Verantwortlichen durchzuführen, die von dem für die Verarbeitung Verantwortlichen über die Plattform verarbeitet werden oder werden sollen.

1.2. Grundlegende Bestimmungen zur Verarbeitung personenbezogener Daten:

3.1. Der Auftragsverarbeiter verpflichtet sich, den Zweck und die Beschränkungen der Verarbeitung personenbezogener Daten einzuhalten, die in der Vereinbarung über die Datenverarbeitung festgelegt sind.

3.2. Der Auftragsverarbeiter verpflichtet sich, den Vertrag über die Datenverarbeitung selbstständig sowie unter Einbeziehung von Dritten, die auf der Website des Auftragsverarbeiters in der Datenschutzerklärung angegeben sind, durchzuführen, wobei er gegenüber dem für die Verarbeitung Verantwortlichen für die Erfüllung seiner Verpflichtungen aus dem Vertrag über die Datenverarbeitung verantwortlich bleibt.

3.3. Der Auftragsverarbeiter ist verpflichtet, die Vertraulichkeit und Sicherheit der personenbezogenen Daten gemäß den Anforderungen des geltenden Rechts zu gewährleisten.

3.4. Der Auftragsverarbeiter verpflichtet sich, nach Treu und Glauben mit dem für die Verarbeitung Verantwortlichen zusammenzuarbeiten und ihn in angemessener Weise bei der Prüfung und Lösung von Anfragen (Beschwerden, Forderungen) im Zusammenhang mit dem Datenverarbeitungsvertrag zu unterstützen. Insbesondere ist der Auftragsverarbeiter nach Erhalt einer solchen Anfrage verpflichtet, den für die Verarbeitung Verantwortlichen innerhalb von fünf (5) Werktagen nach Eintreten des betreffenden Ereignisses zu benachrichtigen, indem er eine entsprechende Mitteilung an die vom für die Verarbeitung Verantwortlichen bei der Registrierung im persönlichen Konto angegebene E-Mail-Adresse sendet.

3.5. Der Auftragsverarbeiter haftet gegenüber dem für die Verarbeitung Verantwortlichen für die Erfüllung des Datenverarbeitungsvertrags, einschließlich der Handlungen (Untätigkeit) seiner Mitarbeiter, die Zugang zu den im Rahmen des Datenverarbeitungsvertrags des für die Verarbeitung Verantwortlichen verarbeiteten personenbezogenen Daten erlangt haben, was zur Offenlegung dieser personenbezogenen Daten geführt hat, und zwar in Höhe des tatsächlichen, durch Dokumente bestätigten Schadens, wobei jedoch die gesamte vermögensrechtliche Haftung der Verwaltung gegenüber dem für die Verarbeitung Verantwortlichen die Höhe der Kosten des von dem für die Verarbeitung Verantwortlichen bezahlten und während des Zeitraums des Eintritts der Ereignisse, die die Grundlage für den Eintritt der vermögensrechtlichen Haftung der Verwaltung bilden, gültigen Tarifs nicht überschreiten kann.

4.1. The Controller shall be responsible to the Personal Data subject for the actions performed by the Processor when executing the Data Processing Agreement.

4.2. The Controller shall make its own decision and be responsible for determining whether the Platform is suitable for processing Personal Data in accordance with United Arab Emirates law, as well as for using the Platform in accordance with the Controller’s legal obligations.

4.3. The Controller shall, independently and at its own expense, develop and place on the Websites it uses all documents required by the applicable law regarding the collection and processing of Personal Data by the Controller, and shall be responsible for their correctness and completeness.

4.4. The Controller shall independently select service providers and data collection systems and services enabled by the Controller to the fields of web forms on the Websites and used by the Controller to collect Personal Data, and shall also be independently responsible for fulfilling the requirements of the Law when organizing the collection of Personal Data using such systems and services.

4.5. The Controller shall be entitled, no more than once a year, to request from the Processor documents and other information confirming the adoption of measures and compliance with the requirements established in the Data Processing Agreement for the purpose of executing the Controller’s Data Processing Agreement.

4.6. The Controller shall be responsible for the security of the means of protection of access to the Platform he/she has chosen, and also independently ensure their confidentiality.

4.7. The Controller shall be responsible for all actions, as well as their consequences, when using the Platform, while all actions performed in the Account shall be considered to have been carried out by the Controller themselves.

4.8. The Controller shall be responsible for responding to requests from Personal Data subjects and third parties regarding the Controller’s use of the Platform for the purpose of Personal Data processing.

4.9. The Controller shall be responsible for considering requests from Personal Data subjects related to the exercise of their rights, including in cases where the use of the Platform by the Controller affects the rights of these persons.

4.10. The Controller undertakes to provide the Processor with confirmation of the existence of legal grounds for processing Personal Data and the fact of proper notification of the Personal Data subject about their transfer, within five (5) calendar days from the date of receipt of the corresponding request from the Processor.

4.11. In the event that the Processor is presented with claims and demands from third parties, including from Personal Data subjects and authorized bodies, in connection with the execution of the Data Processing Agreement, including in the event of a claim about the unlawfulness of the Processor’s processing of Personal Data processed by the Controller using the Platform, the Controller shall be obliged to settle independently such claims on its own and at its own expense, to protect the Processor from possible losses and participation in the consideration of claims, demands and possible litigation. If it becomes necessary for the Processor to participate in resolving the above-mentioned claims and/or demands, the Processor shall be entitled to demand from the Controller compensation for losses and expenses incurred in connection with such participation, including, but not limited to, the costs of a representative, negotiations and other expenses.

4.12. In the event of claims being made against the Processor from third parties, including from Personal Data subjects and authorized bodies, in connection with the execution of the Data Processing Agreement, including in the event of a claim about the unlawfulness of the Processor’s processing of Personal Data processed by the Controller using the Platform, which will result in a court order on the collection of funds from the Processor, which has entered into legal force, the latter shall be entitled to demand from the Controller compensation to the Processor for expenses incurred in the process of resolving a legal dispute and in execution of a court decision, as well as all legal costs and losses incurred by the Processor in full.

4.13. The Controller shall bear the risk of being unable to use the Website and/or Platform arising as a result of the Processor’s fulfilling the obligation to stop processing the Personal Data on the basis of the Controller’s Data Processing Agreement.

5.1. Der für die Verarbeitung Verantwortliche verpflichtet sich, die Anforderungen an den Schutz der verarbeiteten personenbezogenen Daten in Übereinstimmung mit dem Gesetz festzulegen. Diese Verpflichtung gilt ausschließlich für den für die Verarbeitung Verantwortlichen und ist nicht als Festlegung von Anforderungen an den Schutz der verarbeiteten personenbezogenen Daten durch den für die Verarbeitung Verantwortlichen gegenüber dem Auftragsverarbeiter zu verstehen.

5.2. Der Auftragsverarbeiter ergreift die erforderlichen Vertraulichkeits- und Sicherheitsmaßnahmen bei der Ausführung des Datenverarbeitungsvertrags unter Verwendung von Automatisierungswerkzeugen gemäß den im Gesetz festgelegten Anforderungen. Ausführlichere Informationen sind in der Datenschutzrichtlinie enthalten.

6.1. Der für die Verarbeitung Verantwortliche trifft die erforderlichen und ausreichenden Maßnahmen, einschließlich der Überwachung und Verwaltung des Zugangs zur Plattform, um Verletzungen der Informationssicherheit bei der Verarbeitung personenbezogener Daten über die Plattform zu verhindern. Die Verantwortung für die Auswahl der erforderlichen Schutz- und Sicherheitsmaßnahmen sowie für die Angemessenheit und Zuverlässigkeit dieser Maßnahmen liegt bei dem für die Verarbeitung Verantwortlichen. Im Falle einer Verletzung der Informationssicherheit, die auf Handlungen oder Untätigkeit des für die Verarbeitung Verantwortlichen zurückzuführen ist, verpflichtet sich dieser, den Auftragsverarbeiter unverzüglich, spätestens jedoch achtundvierzig (48) Stunden nach Feststellung des Ereignisses, zu benachrichtigen, und der Auftragsverarbeiter wird von der Verantwortung für die Sicherheit und Vertraulichkeit der im Rahmen des Datenverarbeitungsvertrags verarbeiteten Daten entbunden.

6.2. Erlangt der Auftragsverarbeiter Kenntnis von einer Sicherheitsverletzung, die zu einer versehentlichen oder rechtswidrigen Übermittlung (Bereitstellung, Verbreitung, Zugriff) personenbezogener Daten führt (im Folgenden "Informationssicherheitsverletzung") und Risiken für die Privatsphäre, die Vertraulichkeit und die Sicherheit der betroffenen Personen birgt, deren personenbezogene Daten von einer Sicherheitsverletzung (im Sinne von Artikel 34 des Gesetzes) betroffen sind, so hat der Auftragsverarbeiter unverzüglich nach Bekanntwerden (1) den für die Verarbeitung Verantwortlichen über die Informationssicherheitsverletzung zu benachrichtigen und (2) angemessene Maßnahmen zu ergreifen, um die Folgen der Informationssicherheitsverletzung zu mildern und den daraus resultierenden Schaden zu minimieren.

6.3. Der Auftragsverarbeiter stellt dem für die Verarbeitung Verantwortlichen die notwendigen und ausreichenden Informationen und Unterstützung im Zusammenhang mit einem solchen Ereignis zur Verfügung, die der für die Verarbeitung Verantwortliche benötigt, um seinen gesetzlichen Verpflichtungen nachzukommen und um die negativen Folgen, die sich aus einem solchen Ereignis ergeben können, zu verringern.

6.4. Die Verpflichtung des Auftragsverarbeiters, einen solchen Verstoß gegen die Informationssicherheit gemäß diesem Abschnitt zu melden oder darauf zu reagieren, stellt kein Eingeständnis eines Verschuldens oder einer Haftung des Auftragsverarbeiters im Zusammenhang mit dem Verstoß gegen die Informationssicherheit dar.

7.1. Dieses Abkommen unterliegt den Gesetzen der Vereinigten Arabischen Emirate und ist nach diesen auszulegen.

7.2. Alle Streitigkeiten, die bei der Durchführung des Abkommens zwischen den Vertragsparteien entstehen können, werden durch Verhandlungen beigelegt.

7.3. Der Auftragsverarbeiter behält sich das Recht vor, die Bedingungen des Datenverarbeitungsvertrags einseitig zu ändern und/oder zu ergänzen, indem er den geänderten Text im Internet unter dem folgenden Link veröffentlicht: https://tilda.cc/dpa/. Mit jeder tatsächlichen Nutzung der Plattform zur Verarbeitung personenbezogener Daten bestätigt der für die Verarbeitung Verantwortliche sein Einverständnis mit den Bedingungen der Vereinbarung zur Datenverarbeitung in der zum Zeitpunkt der tatsächlichen Nutzung der Plattform zur Verarbeitung personenbezogener Daten geltenden Fassung.