Vereinbarung zur Datenverarbeitung

1.1. Gegenstand. Zur Erfüllung der Verpflichtungen aus dem Vertrag erteilt der Nutzer die Anweisung, und die Verwaltung verpflichtet sich, personenbezogene Daten Dritter zu verarbeiten, die über die Funktionen der Plattform erhoben oder anderweitig verarbeitet werden.

Die Bestimmungen der DPA stellen dokumentierte Anweisungen des Nutzers im Sinne der geltenden Datenschutzgesetze dar.

1.2. Kategorien von betroffenen Personen. Für die Zwecke der DPA können Dritte alle natürlichen Personen umfassen, einschließlich:
1) Mitarbeiter , Berater, Auftragnehmer, Geschäftspartner und Ansprechpartner, deren Informationen im Rahmen des Projekts des Nutzers veröffentlicht oder anderweitig zugänglich gemacht werden;
2) Bewerber , aktuelle oder potenzielle Kunden oder Partner des Nutzers, die personenbezogene Daten über Datenerfassungsformulare im Rahmen des Projekts des Nutzers übermitteln;
3) Besucher des Projekts des Nutzers, deren Informationen automatisch erfasst werden.

1.3. Zweck der Verarbeitung und Kategorien personenbezogener Daten. Die Verwaltung verarbeitet personenbezogene Daten im Auftrag des Nutzers im folgenden Umfang:

1.4. Beschränkungen der Datenverarbeitung. Der Nutzer beurteilt selbstständig die Rechtmäßigkeit der Verarbeitung personenbezogener Daten auf der Plattform sowie die Möglichkeit, die Verwaltung zur Verarbeitung dieser Daten zu ermächtigen. Der Nutzer akzeptiert und erkennt an, dass:
1) Die Verwaltung verarbeitet keine personenbezogenen Daten, die sich auf Gesundheit, genetische Daten, biometrische Daten oder andere besondere Kategorien personenbezogener Daten beziehen;
2) tDie Funktion zum Hochladen von Inhalten in den Projekten ist nicht für die Veröffentlichung von Bildern vorgesehen, die personenbezogene Daten enthalten, darunter Fotos von Personen und gescannte Kopien von Dokumenten.

1.5. Dauer der Verarbeitung. Die Verwaltung verarbeitet personenbezogene Daten Dritter für die Dauer des Vertrags oder für einen darüber hinausgehenden Zeitraum, der zur Erfüllung der vertraglichen Verpflichtungen erforderlich ist, bis diese Daten gemäß den in der Datenschutzvereinbarung festgelegten Verfahren gelöscht werden.

2.1. Organisation der Verarbeitung personenbezogener Daten auf der Plattform. Der Nutzer organisiert als Verantwortlicher eigenständig die Verarbeitung personenbezogener Daten von Personen auf der Plattform. Der Nutzer legt die Zwecke und Rechtsgrundlagen für die Verarbeitung personenbezogener Daten, deren Umfang sowie die Liste der durchzuführenden Maßnahmen und Vorgänge fest.

2.2. Gewährleistung der Einhaltung gesetzlicher Vorschriften. Bei der Verarbeitung personenbezogener Daten im Rahmen des Projekts hat der Nutzer eigenständig die Einhaltung der geltenden Rechtsvorschriften sicherzustellen. Insbesonderelegt der Nutzer ohne Einbeziehung der Verwaltung Folgendes fest:
1) das Verfahren zur Einholung von Einwilligungen zur Verarbeitung personenbezogener Daten im Rahmen des Projekts, einschließlich der Verwendung von Datenerfassungsformularen und/oder Analysediensten;
2) die Veröffentlichung einer Datenschutzerklärung oder eines Datenschutzhinweises im Rahmen des Projekts;
3) die Benennung verantwortlicher Personen und die Erstellung einer Reihe interner Dokumente zur Regelung der Datenverarbeitung.

2.3. Vorliegen einer Rechtsgrundlage. Durch die Verarbeitung personenbezogener Daten auf der Plattform versichert und gewährleistet der Nutzer, dass er die Einwilligungen der betroffenen Personen oder eine andere Rechtsgrundlage für die Verarbeitung der Daten und deren Übermittlung an die Verwaltung gemäß dem Datenschutzgesetz (DPA) eingeholt hat.

Auf Anfrage der Verwaltung, die an die im Konto angegebene E-Mail-Adresse des Nutzers gesendet wird, verpflichtet sich der Nutzer, innerhalb von 24 Stunden nach Erhalt der Anfrage Dokumente vorzulegen, die das Vorliegen einer Rechtsgrundlage für die Verarbeitung bestätigen.

2.4. Einbindung von Drittanbieterdiensten. Bei der Nutzung der Plattform kann dem Nutzer die Einbindung von Drittanbieterdiensten angeboten werden, die personenbezogene Daten erheben oder anderweitig verarbeiten, darunter Datenerfassungsdienste, Zahlungssysteme und/oder Lieferdienste.

Die Datenverarbeitung durch Drittanbieterdienste erfolgt durch deren Eigentümer, die unabhängig von der Verwaltung handeln und nicht im Namen und/oder im Auftrag der Verwaltung handeln. Die Verwaltung ist nicht für die Verarbeitung personenbezogener Daten durch die Eigentümer von Drittanbieterdiensten verantwortlich.

Der Nutzer verpflichtet sich, bei der Einbindung von Drittanbieterdiensten selbstständig die Rechtmäßigkeit der Verarbeitung personenbezogener Daten sicherzustellen, einschließlich der Erteilung gesonderter Verarbeitungsanweisungen an deren Eigentümer.

2.5. Grenzüberschreitende Übermittlungen. Bei der Nutzung der Funktionen der Plattform kann es auf Initiative des Nutzers zu einer grenzüberschreitenden Übermittlung personenbezogener Daten Dritter kommen, insbesondere wenn:
1) das Profilland des Nutzersgeändert wird ;
2) einem Nutzer mit einem anderen Profilland Zugriff auf ein Projektgewährt wird ;
3) ein Projekt auf das Konto eines Nutzers mit einem anderen Profillandübertragen wird .
4) Dienste von Drittanbietern mit dem Projektverbunden werden .

Der Nutzer verpflichtet sich, die Sicherheit der grenzüberschreitenden Übermittlung personenbezogener Daten gemäß den Anforderungen der geltenden Rechtsvorschriften selbstständig zu gewährleisten.

3.1. Weitergabe an Dritte. Die Verwaltung übermittelt personenbezogene Daten auf der Grundlage von Datenverarbeitungsvereinbarungen an die folgenden Auftragsverarbeiter:
1) Hetzner Online GmbH – zur Speicherung personenbezogener Daten auf Servern;
2) G-Core Labs SA – zur Speicherung und Sicherung von Nutzerprojekten;
3) Google Cloud EMEA Limited – zur Gewährleistung der Informationssicherheit von Projekten.

Der Nutzer erteilt der Verwaltung hiermit eine allgemeine schriftliche Ermächtigung, die genannten Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten zu beauftragen.

Alle Auftragsverarbeiter, die personenbezogene Daten im Auftrag der Verwaltung verarbeiten, verpflichten sich zur Einhaltung der nach geltendem Recht erforderlichen Vertraulichkeits-, Schutz- und Sicherheitsmaßnahmen.

Vorbehaltlich der hierin festgelegten Haftungsbeschränkungen bleibt die Verwaltung gegenüber dem Nutzer für Handlungen und/oder Unterlassungen der beauftragten Auftragsverarbeiter verantwortlich.

3.2. Änderungen an der Liste der beauftragten Auftragsverarbeiter. Die Verwaltung hat das Recht, andere Dritte in die Verarbeitung personenbezogener Daten einzubeziehen, vorbehaltlich einer vorherigen Benachrichtigung des Nutzers. Die Benachrichtigung erfolgt an die für die Autorisierung auf der Plattform verwendete E-Mail-Adresse oder durch Veröffentlichung entsprechender Informationen im persönlichen Konto.

Der Nutzer hat das Recht, innerhalb von 10 Tagen ab dem Datum der Benachrichtigung begründete Einwände gegen die Änderung der Liste der beauftragten Auftragsverarbeiter einzulegen. Gleichzeitig versteht und erkennt der Nutzer an, dass:
1) die Beauftragung von Dritten für die ordnungsgemäße Erfüllung der Verpflichtungen der Verwaltung aus dem Vertrag erforderlich sein kann;
2) bei Eingang von Einwänden die Verwaltung den Vertrag einseitig außergerichtlich kündigen kann.

3.3. Sicherheit grenzüberschreitender Übermittlungen. Die Verwaltung führt grenzüberschreitende Übermittlungen personenbezogener Daten in folgende Gebiete durch:
1) Mitgliedstaaten der Europäischen Union – zu Zwecken der Speicherung und Informationssicherheit;
2) die Vereinigten Staaten von Amerika – zur Speicherung und Sicherung von Nutzerprojekten.

Vor der Einleitung einer grenzüberschreitenden Übermittlung prüft die Verwaltung, ob das Land, in das die personenbezogenen Daten übermittelt werden, gemäß geltendem Recht als Land mit einem angemessenen Datenschutzniveau anerkannt ist.

Bei der Übermittlung personenbezogener Daten in ein Land, das das erforderliche Schutzniveau nicht gewährleistet, verpflichtet sich die Verwaltung, Standardvertragsklauseln mit dem Empfänger zu vereinbaren oder die Anwendung verbindlicher Unternehmensregeln sicherzustellen.

4.1. Durchgeführte Maßnahmen. Die Verwaltung gewährleistet die Vertraulichkeit und Sicherheit personenbezogener Daten gemäß den geltenden Rechtsvorschriften, einschließlich:
1) Führung von Aufzeichnungen über Verarbeitungsvorgänge;
2) Erstellung einer Liste der Personen, die zur Erhebung und Verarbeitung personenbezogener Daten befugt sind oder Zugriff darauf haben;
3) Festlegung von Verfahren zur Zugriffskontrolle für personenbezogene Daten;
4) Nutzung sicherer Kommunikationskanäle und Verschlüsselung;
5) Anwendung von Pseudonymisierungstechniken, einschließlich der Verwendung von IDs in den internen Systemen der Verwaltung;
6) Implementierung von Identifizierungs- und/oder Authentifizierungsmechanismen bei der Verarbeitung personenbezogener Daten;
7) Nutzung von Sicherungs- und Wiederherstellungssystemen;
8) Bewertung und Management von Informationssicherheitsrisiken;
9) Berücksichtigung von Datenschutz- und Sicherheitsanforderungen in Verträgen und/oder Datenverarbeitungsvereinbarungen mit Dienstleistern;
10) Durchführung regelmäßiger technischer Audits.

4.2. Verletzung des Schutzes personenbezogener Daten. Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung und/oder zum unbefugten Zugriff auf personenbezogene Daten Dritter führt, ist die Verwaltung verpflichtet, den Nutzer unverzüglich über diese Verletzung zu informieren.

Die Benachrichtigung muss eine Beschreibung der Art der Verletzung, der möglichen Folgen für die betroffenen Personen sowie der Maßnahmen enthalten, die die Verwaltung ergriffen hat und/oder zu ergreifen beabsichtigt, um diese Folgen zu mindern.

Gleichzeitig versteht und erkennt der Nutzer an, dass die Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten unter keinen Umständen als Eingeständnis eines Verschuldens und/oder einer Haftung seitens der Verwaltung angesehen werden kann.

5.1. Bereitstellung von Informationen und Prüfung. Auf Anfrage des Nutzers ist die Verwaltung während der Laufzeit der DPA verpflichtet, Unterlagen und sonstige Informationen vorzulegen, die bestätigen, dass Maßnahmen zur Erfüllung der DPA getroffen wurden und eingehalten werden. Der Nutzer darf solche Anfragen jedoch höchstens einmal alle drei Monate stellen.

Auf schriftliche Anfrage des Nutzers verpflichtet sich die Verwaltung, bei der Durchführung von Audits oder Inspektionen mitzuwirken, indem sie dem Nutzer die erforderlichen Informationen über die Verfahren zur Verarbeitung personenbezogener Daten zur Verfügung stellt.

5.2. Unterstützung bei der Erfüllung von Verpflichtungen. Grundsätzlich hat der Nutzer als Verantwortlicher für die Verarbeitung personenbezogener Daten selbstständig die Einhaltung der durch geltendes Recht festgelegten Anforderungen sicherzustellen.

Unter Berücksichtigung der Art der Verarbeitung leistet die Verwaltung jedoch auf schriftliche Anfrage des Nutzers angemessene Unterstützung bei der Erfüllung von Verpflichtungen in Bezug auf:
1) die Gewährleistung der Sicherheit der Verarbeitung;
2) die Erstellung von Meldungen über Verletzungen des Schutzes personenbezogener Daten;
3) die Durchführung von Datenschutz-Folgenabschätzungen;
4) die Durchführung von Vorabkonsultationen mit Aufsichtsbehörden;
5) die Bearbeitung von Anträgen betroffener Personen durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen, soweit dies angesichts der Art der Verarbeitung machbar ist.

6.1. Gewährleistung der Rechte der betroffenen Personen. Der Nutzer verpflichtet sich, personenbezogene Daten auf der Plattform so lange zu verarbeiten, bis die Verarbeitungszwecke erfüllt sind. Wird die Einwilligung zur Verarbeitung personenbezogener Daten widerrufen oder entfallen die Gründe, die eine solche Verarbeitung rechtfertigen, hat der Nutzer selbstständig für die Löschung der personenbezogenen Daten zu sorgen.

6.2. Verfahren zur Rückgabe oder Löschung. Auf gesonderte Anfragehin löscht die Verwaltung nach Wahl des Nutzers die vom Nutzer erhaltenen personenbezogenen Daten innerhalb einer Frist von höchstens 30 Tagen oder gibt sie zurück, sofern nicht durch geltendes Recht eine andere Frist festgelegt ist.

Die Verwaltung löscht personenbezogene Daten zudem nach Ablauf der auf der Plattform festgelegten oder vom Nutzer selbst bestimmten Aufbewahrungsfrist. Insbesondere bei der Nutzung von Datenerfassungsformularen im Rahmen des Projekts wird die Aufbewahrungsfrist über die entsprechenden Projekteinstellungen festgelegt.

Gleichzeitig hat die Verwaltung das Recht, vom Nutzer erhaltene personenbezogene Daten nicht zu löschen und/oder nicht zurückzugeben, wenn das Recht oder die Verpflichtung zur Aufbewahrung dieser Daten nach geltendem Recht vorgesehen ist.

6.3. Sperrungen und Einschränkungen auf der Plattform. Im Falle eines Verstoßes oder eines begründeten Verdachts, dass der Nutzer gegen die Vereinbarung und/oder geltendes Rechtverstoßen hat, ist die Verwaltung berechtigt, das Konto des Nutzers zu sperren sowie anderein der Vereinbarungvorgesehene Maßnahmen zu ergreifen.

Der Nutzer versteht und erkennt an, dass bei Ergreifen von Verwaltungsmaßnahmen durch die Verwaltung die gemäß der DPA verarbeiteten personenbezogenen Daten ohne die Möglichkeit einer späteren Wiederherstellung gelöscht werden können.

7.1. Haftung der Verwaltung. Die Verwaltung haftet nicht für Handlungen des Nutzers bei der Verarbeitung personenbezogener Daten auf der Plattform. Etwaige Ansprüche, Forderungen oder Beschwerden Dritter im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten sind vom Nutzer direkt und ohne Einbeziehung der Verwaltung zu klären.

Die Verwaltung haftet ebenfalls nicht für Handlungen und/oder Unterlassungen im Zusammenhang mit der Verarbeitung personenbezogener Daten Dritter, sofern die Verwaltung ausschließlich gemäß den Anweisungen des Nutzers gehandelt hat.

In jedem Fall übersteigt die Haftung der Verwaltung nicht den Betrag der vom Nutzer gezahlten Kosten für den Tarif, der während des Zeitraums gültig war, in dem die Ereignisse eintraten, die die Grundlage für die Entstehung der Vermögenshaftung der Verwaltung bilden.

7.2. Verantwortung des Nutzers und Ersatz von Schäden. Der Nutzer ist als Verantwortlicher im Sinne der Gesetzgebung der Russischen Föderation gegenüber den betroffenen Personen individuell für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten verantwortlich.

Für den Fall, dass ein Gerichts- und/oder Verwaltungsverfahren gegen die Verwaltung eingeleitet, eine Klage erhoben oder ein Anspruch von einer Partei aufgrund eines Verstoßes des Nutzers gegen das Verfahren zur Verarbeitung personenbezogener Daten geltend gemacht wird, ist der Nutzer verpflichtet, der Verwaltung alle Verluste, einschließlich angemessener Rechtskosten, zu ersetzen.

8.1. Anwendbares Recht. Ungeachtet der Bestimmungen der Vereinbarung unterliegt die Verarbeitung personenbezogener Daten im Rahmen dieser Anweisungen den Gesetzen der Vereinigten Arabischen Emirate und ist entsprechend auszulegen.

Befinden sich betroffene Personen, deren personenbezogene Daten von der Verwaltung verarbeitet werden, in einem Mitgliedstaat der Europäischen Union und/oder des Europäischen Wirtschaftsraums, unterliegt die Verarbeitung personenbezogener Daten zudem den Bestimmungen der Datenschutz-Grundverordnung.

8.2. Standardvertragsklauseln. Die Verarbeitung personenbezogener Daten von Personen mit Wohnsitz in der Europäischen Union und/oder im Europäischen Wirtschaftsraum durch die Verwaltung unterliegt zusätzlich den Standardvertragsklauseln.

Gemäß der Datenschutz-Grundverordnung gewährleisten diese Standardvertragsklauseln die Rechtmäßigkeit der Übermittlung personenbezogener Daten in die Vereinigten Arabischen Emirate.

Im Falle eines Widerspruchs zwischen diesen Anweisungen und den Bestimmungen der Standardvertragsklauseln haben die Standardvertragsklauseln Vorrang.