Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("DPA") ist Bestandteil der AirStrings-Nutzungsbedingungen (die "Vereinbarung") und unterliegt diesen, zwischen Symbionix SL (Sociedad Limitada, CIF B-22937023, Sitz Carrer de Pere IV 182, 08005 Barcelona, Spain) ("AirStrings", "Auftragsverarbeiter") und dem in der Vereinbarung genannten Kunden ("Kunde", "Verantwortlicher"). Er regelt die Verarbeitung personenbezogener Daten durch AirStrings im Auftrag des Kunden im Zusammenhang mit dem Dienst.

Annahme / fingierte Unterzeichnung. Durch die Annahme der Vereinbarung (per Click-through oder durch Nutzung des Dienstes) akzeptiert der Kunde diesen DPA im eigenen Namen und, soweit anwendbar, im Namen seiner verbundenen Unternehmen. Eine gesonderte Unterschrift ist nicht erforderlich; die Annahme der Vereinbarung hat dieselbe Wirkung wie die Unterzeichnung dieses DPA und der in Abschnitt 8 durch Verweis einbezogenen Standardvertragsklauseln, und die Parteien gelten als hätten sie die Anhänge zu diesen Klauseln unterzeichnet. Fehlt der annehmenden Person die Befugnis, den Kunden zu binden, ist dieser DPA nicht wirksam.

Groß geschriebene Begriffe, die hier nicht definiert sind, haben die in der Vereinbarung oder in der GDPR festgelegte Bedeutung.

1. Definitionen

1.1 "GDPR" bezeichnet die Regulation (EU) 2016/679.

1.2 "Datenschutzrecht" bezeichnet die GDPR und das spanische Datenschutzrecht (LOPDGDD) sowie jedes andere anwendbare Datenschutz- oder Privatsphärerecht.

1.3 "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "Aufsichtsbehörde" und "Verletzung des Schutzes personenbezogener Daten" haben die in der GDPR festgelegten Bedeutungen.

1.4 "personenbezogene Daten des Kunden" bezeichnet personenbezogene Daten, die in Kundeninhalten enthalten sind oder anderweitig von AirStrings im Auftrag des Kunden im Rahmen der Vereinbarung verarbeitet werden, wie in Annex I beschrieben.

1.5 "Unterauftragsverarbeiter" bezeichnet einen von AirStrings beauftragten Dritten, der personenbezogene Daten des Kunden verarbeitet.

1.6 "SCCs" bezeichnet die durch Commission Implementing Decision (EU) 2021/914 genehmigten Standardvertragsklauseln.

2. Rollen und Anwendungsbereich

2.1 Der Kunde ist der Verantwortliche (oder ein Auftragsverarbeiter, der im Auftrag seines eigenen Verantwortlichen bzw. seiner eigenen Verantwortlichen handelt) der personenbezogenen Daten des Kunden. AirStrings ist der Auftragsverarbeiter (bzw. Unterauftragsverarbeiter).

2.2 AirStrings verarbeitet personenbezogene Daten des Kunden nur auf dokumentierte Weisung des Kunden, einschließlich wie in der Vereinbarung, diesem DPA und der Nutzung des Dienstes durch den Kunden festgelegt sowie wie in Annex I beschrieben. AirStrings wird den Kunden informieren, wenn eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt (ohne Verpflichtung, die Einhaltung durch den Kunden aktiv zu überwachen).

2.3 Der Kunde ist für die Rechtmäßigkeit der personenbezogenen Daten des Kunden und seiner Weisungen verantwortlich, einschließlich des Vorliegens einer gültigen Rechtsgrundlage und der Bereitstellung erforderlicher Hinweise an betroffene Personen. Der Kunde gewährleistet, dass seine Weisungen und die von ihm hochgeladenen Inhalte dem Datenschutzrecht entsprechen.

2.4 AirStrings handelt als eigenständiger Verantwortlicher für Konto-, Abrechnungs-, Sicherheits- und aggregierte/anonymisierte Nutzungsdaten, wie in der Datenschutzerklärung beschrieben; diese Daten liegen außerhalb des Anwendungsbereichs dieses DPA.

3. Pflichten des Auftragsverarbeiters

AirStrings wird:

3.1 personenbezogene Daten des Kunden nur gemäß Abschnitt 2.2 und anwendbarem Recht und nicht für eigene Zwecke verarbeiten;

3.2 sicherstellen, dass zur Verarbeitung personenbezogener Daten des Kunden befugte Personen zur Vertraulichkeit verpflichtet sind;

3.3 die in Annex II beschriebenen technischen und organisatorischen Maßnahmen umsetzen und aufrechterhalten (Art. 32 GDPR);

3.4 die Bedingungen in Abschnitt 5 für die Beauftragung von Unterauftragsverarbeitern einhalten;

3.5 unter Berücksichtigung der Art der Verarbeitung den Kunden durch geeignete Maßnahmen, soweit möglich, bei der Beantwortung von Anträgen betroffener Personen unterstützen (Chapter III GDPR) — siehe Abschnitt 6;

3.6 den Kunden bei der Sicherstellung der Einhaltung der Articles 32–36 GDPR unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der AirStrings zur Verfügung stehenden Informationen;

3.7 nach Wahl des Kunden personenbezogene Daten des Kunden am Ende der Erbringung der Dienste löschen oder zurückgeben und vorhandene Kopien löschen, außer soweit die Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich ist — siehe Abschnitt 9; und

3.8 dem Kunden die Informationen zur Verfügung stellen, die erforderlich sind, um die Einhaltung von Article 28 GDPR nachzuweisen, und Überprüfungen ermöglichen und zu diesen beitragen, wie in Abschnitt 7 festgelegt.

4. Sicherheit und Meldung von Verletzungen

4.1 AirStrings setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, wie in Annex II festgelegt, und überprüft diese regelmäßig.

4.2 Meldung von Verletzungen. AirStrings wird den Kunden über eine Verletzung des Schutzes personenbezogener Daten, die personenbezogene Daten des Kunden betrifft, unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Kenntniserlangung benachrichtigen. Die Meldung wird, soweit bekannt, die Art der Verletzung, die wahrscheinlichen Folgen und die getroffenen oder vorgeschlagenen Maßnahmen beschreiben und wird ergänzt, sobald weitere Informationen verfügbar werden. AirStrings wird den Kunden bei dessen eigenen Meldepflichten nach Articles 33–34 GDPR angemessen unterstützen. Die Meldung ist kein Schuldeingeständnis.

5. Unterauftragsverarbeiter

5.1 Allgemeine Genehmigung. Der Kunde erteilt AirStrings eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter innerhalb der in Annex III beschriebenen Kategorien mit der Verarbeitung personenbezogener Daten des Kunden zu beauftragen. Die aktuelle Liste der Unterauftragsverarbeiter, einschließlich der konkreten Anbieternamen, ist dem Kunden auf Anfrage unter support@airstrings.com erhältlich.

5.2 Weitergabe der Pflichten. AirStrings wird jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auferlegen, die im Wesentlichen denen dieses DPA entsprechen (insbesondere den SCC-Pflichten, soweit relevant), und bleibt dem Kunden gegenüber für die Leistung des Unterauftragsverarbeiters haftbar.

5.3 Änderungsmitteilung und Widerspruch. AirStrings wird dem Kunden die Hinzufügung oder den Austausch eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus mitteilen (per E-Mail und/oder einen anderen von uns bestimmten Benachrichtigungsmechanismus). Der Kunde kann innerhalb von 30 Tagen nach der Mitteilung aus berechtigten Datenschutzgründen Widerspruch einlegen. Die Parteien werden in gutem Glauben zusammenarbeiten, um den Widerspruch beizulegen. Kann er nicht beigelegt werden, kann der Kunde als seinen einzigen und ausschließlichen Rechtsbehelf den betroffenen Teil des Dienstes kündigen, und AirStrings wird etwaige im Voraus gezahlte, ungenutzte Gebühren für den gekündigten Teil erstatten.

6. Anträge betroffener Personen

6.1 Unter Berücksichtigung der Art der Verarbeitung wird AirStrings den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen unterstützen. Erhält AirStrings einen Antrag unmittelbar von einer betroffenen Person in Bezug auf personenbezogene Daten des Kunden, wird es den Antrag nicht selbst beantworten (außer um die betroffene Person gegebenenfalls an den Kunden zu verweisen), sondern wird den Kunden unverzüglich benachrichtigen, sofern dies nicht gesetzlich untersagt ist.

7. Überprüfungen

7.1 AirStrings wird dem Kunden die Informationen zur Verfügung stellen, die erforderlich sind, um die Einhaltung von Article 28 GDPR nachzuweisen. Diese Pflicht wird in erster Linie dadurch erfüllt, dass AirStrings auf Anfrage einschlägige Dokumentation und, soweit verfügbar, Prüfberichte oder Zertifizierungen Dritter bereitstellt.

7.2 Sind solche Informationen unzureichend, um die Einhaltung nachzuweisen, oder im Anschluss an eine Verletzung des Schutzes personenbezogener Daten, kann der Kunde eine Überprüfung durchführen. Überprüfungen vor Ort sind auf einmal pro 12-Monats-Zeitraum beschränkt, erfordern eine mindestens vier Wochen im Voraus erfolgende schriftliche Ankündigung, müssen während der Geschäftszeiten durchgeführt werden, ohne den Betrieb von AirStrings unangemessen zu stören, unterliegen der Vertraulichkeit und erfolgen auf Kosten des Kunden. AirStrings kann verlangen, dass ein einvernehmlich bestimmter unabhängiger Dritter die Überprüfung durchführt.

8. Internationale Datenübermittlungen

8.1 Der Kunde ermächtigt AirStrings, personenbezogene Daten des Kunden außerhalb des EWR zu übermitteln, soweit dies zur Bereitstellung des Dienstes erforderlich ist, vorbehaltlich geeigneter Garantien nach Chapter V GDPR.

8.2 SCCs. Soweit AirStrings personenbezogene Daten des Kunden aus dem EWR in ein Land ohne Angemessenheitsbeschluss übermittelt, werden die SCCs durch Verweis in diesen DPA einbezogen und gelten wie folgt:

• Module Two (controller-to-processor) gilt, soweit der Kunde ein Verantwortlicher der personenbezogenen Daten des Kunden ist; und
• Module Three (processor-to-processor) gilt, soweit der Kunde selbst ein Auftragsverarbeiter ist, der im Auftrag eines Drittverantwortlichen handelt.

Für die Zwecke der SCCs:

• (a) der Kunde ist der "Datenexporteur" und AirStrings ist der "Datenimporteur";
• (b) die optionale Andockklausel (Clause 7) findet keine Anwendung;
• (c) gemäß Clause 9 gilt Option 2 (allgemeine schriftliche Genehmigung), mit der Ankündigungsfrist in Abschnitt 5.3;
• (d) gemäß Clause 11 findet die optionale Formulierung zur unabhängigen Streitbeilegung keine Anwendung;
• (e) gemäß Clause 17 (Option 1) unterliegen die SCCs dem Recht von Spanien;
• (f) gemäß Clause 18 werden Streitigkeiten vor den Gerichten von Spanien (Barcelona) beigelegt;
• (g) die zuständige Aufsichtsbehörde ist die Agencia Española de Protección de Datos (AEPD);
• (h) Annex I.A/B wird durch Annex I dieses DPA ausgefüllt; Annex II der SCCs wird durch Annex II dieses DPA ausgefüllt; und die Liste der Unterauftragsverarbeiter in Annex III dient als die Clause 9-Liste.

8.3 Soweit AirStrings sich für Weiterübermittlungen auf die eigenen Übermittlungsgarantien eines Unterauftragsverarbeiters stützt (dessen SCCs und/oder Zertifizierung nach dem EU–US Data Privacy Framework), gelten diese Garantien zusätzlich zu diesem Abschnitt, wie in der aktuellen, dem Kunden auf Anfrage erhältlichen Liste der Unterauftragsverarbeiter beschrieben.

8.4 Werden die SCCs für ungültig erklärt oder ersetzt, werden die Parteien in gutem Glauben zusammenarbeiten, um einen alternativen rechtmäßigen Übermittlungsmechanismus umzusetzen.

9. Rückgabe und Löschung

9.1 Bei Kündigung oder Ablauf der Vereinbarung wird AirStrings nach Wahl des Kunden personenbezogene Daten des Kunden für ein 30-tägiges Aufbewahrungsfenster zum Export bereitstellen und sie dann aus aktiven Systemen löschen sowie im Rahmen des normalen Backup-Ablaufzyklus von AirStrings aus Backups entfernen, außer soweit die Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich ist. Auf Anfrage wird AirStrings die Löschung schriftlich bestätigen.

10. Haftung und Allgemeines

10.1 Die Haftung jeder Partei nach diesem DPA unterliegt den Beschränkungen und Ausschlüssen in der Vereinbarung, soweit dies nach dem Datenschutzrecht zulässig ist. Nichts in der Vereinbarung beschränkt eine Haftung, die nach dem Datenschutzrecht nicht beschränkt werden kann.

10.2 Dieser DPA unterliegt dem Recht von Spanien, wobei die Gerichte von Barcelona zuständig sind, in Übereinstimmung mit der Vereinbarung.

10.3 Im Falle eines Widerspruchs zwischen diesem DPA und der Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten ist dieser DPA maßgeblich. Im Falle eines Widerspruchs zwischen diesem DPA und den SCCs sind die SCCs maßgeblich.

10.4 Dieser DPA bleibt so lange in Kraft, wie AirStrings personenbezogene Daten des Kunden verarbeitet.

Annex I — Beschreibung der Verarbeitung

A. Liste der Parteien

• Datenexporteur / Verantwortlicher: der Kunde (wie im Konto der Vereinbarung angegeben), handelnd als Verantwortlicher oder als Auftragsverarbeiter im Auftrag seines eigenen Verantwortlichen bzw. seiner eigenen Verantwortlichen. Kontakt: der Konto-/Admin-Kontakt des Kunden.
• Datenimporteur / Auftragsverarbeiter: Symbionix SL, Carrer de Pere IV 182, 08005 Barcelona, Spain. Kontakt: support@airstrings.com.

B. Art und Zweck der Verarbeitung. Hosting, Speicherung, Übertragung, Zwischenspeicherung, Signierung (Ed25519), Bündelung und CDN-Auslieferung von Kundeninhalten sowie Bereitstellung des AirStrings-Dienstes zur String-Verwaltung und Lokalisierung (Dashboard, API, SDK-Auslieferung), einschließlich zugehörigem Support und zugehöriger Sicherheit.

C. Dauer. Für die Laufzeit der Vereinbarung zuzüglich des in Abschnitt 9 beschriebenen 30-tägigen Aufbewahrungsfensters und Backup-Ablaufzyklus.

D. Kategorien betroffener Personen. Die autorisierten Nutzer und Administratoren des Kunden; und alle Personen, deren personenbezogene Daten der Kunde in Kundeninhalte aufzunehmen wählt (der Dienst ist nicht dafür vorgesehen, personenbezogene Daten als Inhalt zu speichern — siehe Terms §5.5).

E. Kategorien personenbezogener Daten. Konto- und Authentifizierungsdaten der Nutzer des Kunden (Namen, geschäftliche E-Mails, Rollen, API-Schlüssel-Metadaten, IP-Adressen, Protokolle); und alle personenbezogenen Daten, die der Kunde in Kundeninhalte einzustellen wählt (Strings/Locale-Daten sollen keine personenbezogenen Daten enthalten).

F. Besondere Kategorien. Keine vorgesehen oder erwartet. Der Kunde darf keine Daten besonderer Kategorien in Kundeninhalte aufnehmen.

G. Häufigkeit. Fortlaufend, für die Dauer des Dienstes.

H. Aufbewahrung. Wie in Abschnitt 9 und der Datenschutzerklärung beschrieben.

Annex II — Technische und organisatorische Maßnahmen (TOMs)

AirStrings unterhält die folgenden Maßnahmen (Art. 32 GDPR), die regelmäßig überprüft und mit der Weiterentwicklung des Dienstes aktualisiert werden:

1. Verschlüsselung. TLS 1.2+ für Daten während der Übertragung; Verschlüsselung im Ruhezustand für gespeicherte Daten und Objektspeicher (signierte Bundles). Passwörter mit bcrypt gehasht; API-Schlüssel gehasht gespeichert. 2. Integrität der Auslieferung. Alle ausgelieferten Bundles werden mit Ed25519 signiert; SDKs überprüfen Signaturen, und ein Überprüfungsfehler ist ein harter Fehler — dies schützt die Integrität und Authentizität der Inhalte durchgängig. 3. Zugriffskontrolle. Rollenbasierter Zugriff nach dem Least-Privilege-Prinzip auf Produktivsysteme; eindeutige Konten; Multi-Faktor-Authentifizierung für administrativen Zugriff; der Zugriff wird regelmäßig überprüft und innerhalb von 24 Stunden nach dem Ausscheiden oder Rollenwechsel eines Mitarbeiters entzogen. 4. Netzwerk- & Mandantenisolierung. Logische Isolierung zwischen Kunden/Mandanten; Produktivzugriff beschränkt und von anderen Umgebungen getrennt. 5. Verwaltung von Geheimnissen. Geheimnisse werden in Umgebungsvariablen oder einem Secrets-Manager gehalten, niemals in Quellcode, Protokollen oder Fehlermeldungen. 6. Protokollierung & Überwachung. Strukturierte Sicherheits- und Zugriffsprotokollierung mit Korrelations-IDs; Überwachung und Alarmierung bei anomaler Aktivität. 7. Sichere Entwicklung. Versionskontrollierte, geprüfte Änderungen; gepinnte und verifizierte Abhängigkeiten; keine Abhängigkeit mit bekannten kritischen/hohen Schwachstellen; Validierung externer Eingaben an Vertrauensgrenzen. 8. Resilienz & Backups. Regelmäßige Backups von Metadaten mit einem definierten Ablaufzyklus; Wiederherstellungsverfahren. 9. Reaktion auf Vorfälle. Dokumentierter Prozess zur Reaktion auf Vorfälle, einschließlich Bewertung von Verletzungen und der in Abschnitt 4.2 festgelegten Verpflichtung zur Kundenbenachrichtigung innerhalb von 48 Stunden. 10. Lieferantenmanagement. Unterauftragsverarbeiter sind durch schriftliche Datenschutzbedingungen mit Pflichten gebunden, die diesem DPA im Wesentlichen gleichwertig sind. 11. Datenminimierung durch Technikgestaltung. Der Dienst ist für Anwendungs-Strings konzipiert, nicht für personenbezogene Daten; Kunden werden angewiesen, keine personenbezogenen Daten in Kundeninhalte aufzunehmen.

Annex III — Unterauftragsverarbeiter

AirStrings beauftragt Unterauftragsverarbeiter innerhalb der folgenden Kategorien mit der Verarbeitung personenbezogener Daten des Kunden:

Die aktuelle Liste der Unterauftragsverarbeiter, einschließlich der konkreten Anbieternamen und des für jeden herangezogenen Übermittlungsmechanismus, ist dem Kunden auf Anfrage unter support@airstrings.com erhältlich und dient als die in Abschnitt 8.2 genannte Clause 9-Liste.