Datenverarbeitungsvereinbarung

Kunde bezeichnet die im Vertrag und bei der Kontoanmeldung angegebene Person oder Organisation. LensGo bezeichnet Acosh, Sweelinckplantsoen 40, 1323 MT Almere, Niederlande. Der Kunde ist der Verantwortliche und LensGo der Auftragsverarbeiter der Kundendaten. Falls der Kunde als Auftragsverarbeiter für einen anderen Verantwortlichen handelt, bestätigt er seine Befugnis, LensGo als Unterauftragsverarbeiter zu bestellen und die Anweisungen dieses Verantwortlichen weiterzugeben.

Dienste bezeichnet den LensGo-Dienst zur gemeinsamen Nutzung von Eventfotos und -videos, einschließlich Erfassung, Speicherung, Organisation, Moderation, Anzeige und Herunterladen von Eventinhalten. Kundendaten bezeichnet personenbezogene Daten, die LensGo im Auftrag des Kunden zur Erbringung dieser Dienste verarbeitet. Unterauftragsverarbeiter ist ein Anbieter, den LensGo zur Verarbeitung dieser Daten im Auftrag des Kunden einsetzt.

DSGVO bezeichnet die Verordnung (EU) 2016/679. Geltendes Datenschutzrecht bezeichnet die DSGVO und ergänzende nationale Rechtsvorschriften. EWR bezeichnet den Europäischen Wirtschaftsraum. Verantwortlicher, Auftragsverarbeiter, personenbezogene Daten, Verarbeitung, betroffene Person, Verletzung des Schutzes personenbezogener Daten und Aufsichtsbehörde haben die in der DSGVO festgelegten Bedeutungen.

Diese DPA regelt nicht die Verarbeitung, für die LensGo eigene Zwecke bestimmt, wie z. B. Kontoverwaltung, Abrechnung, gesetzliche Pflichten und Marketing. Diese Verarbeitung wird in der Datenschutzerklärung beschrieben. Die Rolle eines Anbieters hängt von der jeweiligen Verarbeitung ab; Anhang 3 unterscheidet diese Tätigkeiten.

LensGo verarbeitet Kundendaten nur auf der Grundlage dokumentierter Anweisungen des Kunden, einschließlich bei internationalen Übermittlungen, es sei denn, Unions- oder nationales Recht schreibt etwas anderes vor. In diesem Fall unterrichtet LensGo den Kunden vor der Verarbeitung über die gesetzliche Anforderung, sofern das Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Der Vertrag, diese DPA, die Einstellungen des Kunden und schriftliche Anfragen dokumentieren die Anweisungen. Anhang 1 enthält deren Gegenstand, Dauer, Art und Zweck. Der Kunde bestimmt die Rechtsgrundlage, stellt erforderliche Hinweise bereit, holt erforderliche Einwilligungen ein und kontrolliert, wer Eventinhalte hochladen, anzeigen und herunterladen darf. Der Kunde kann weitere rechtmäßige Anweisungen über die in Abschnitt 11 genannte Kontaktstelle erteilen.

LensGo unterrichtet den Kunden unverzüglich, wenn es der Ansicht ist, dass eine Anweisung gegen die DSGVO oder andere unions- oder mitgliedstaatliche Datenschutzvorschriften verstößt. LensGo setzt die betroffene Anweisung aus, bis die Parteien die Angelegenheit klären; es ersetzt nicht die Zwecke des Kunden durch eigene Zwecke.

LensGo beschränkt den Zugriff auf Kundendaten auf befugte Personen, die diese zur Erbringung der Dienste benötigen. Diese Personen werden durch Vertraulichkeitsverpflichtungen oder eine entsprechende gesetzliche Verschwiegenheitspflicht gebunden und erhalten Anweisungen, die ihrer Verantwortung entsprechen. Diese Pflichten gelten auch nach Beendigung ihres Zugriffs weiter.

LensGo setzt geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO um und hält diese aufrecht, wobei der Stand der Technik, die Implementierungskosten sowie die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung zu berücksichtigen sind. Anhang 2 enthält spezifische Anwendungssteuerungen und die damit verbundenen betrieblichen Pflichten.

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt LensGo den Kunden bei der Erfüllung der Artikel 32–36 DSGVO, einschließlich Sicherheit, Bewertung von Verletzungen und Meldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation mit Aufsichtsbehörden. LensGo stellt relevante Informationen bereit und arbeitet mit der zuständigen Aufsichtsbehörde zusammen.

Der Kunde erteilt LensGo eine allgemeine schriftliche Genehmigung zur Nutzung der in Anhang 3 aufgeführten Unterauftragsverarbeiter für die dort angegebene Verarbeitung. LensGo benachrichtigt den Kunden mindestens 30 Kalendertage vor der Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail und gibt dabei dessen Funktion, Verarbeitungsstandorte und etwaige internationale Übermittlungssicherungen an. Eine Aktualisierung dieser Webseite allein stellt keine Benachrichtigung dar.

Der Kunde kann innerhalb dieser Benachrichtigungsfrist aus berechtigten Gründen des Datenschutzes Widerspruch einlegen, indem er sich an LensGo wendet. Die Parteien arbeiten an einer Lösung des Widerspruchs, einschließlich der Nutzung einer Alternative oder der Vermeidung der betroffenen Verarbeitung. LensGo gewährt dem vorgeschlagenen Anbieter keinen Zugriff auf die Daten des widersprechenden Kunden, solange der Widerspruch nicht geklärt ist. Falls keine Lösung gefunden wird, kann der Kunde die betroffenen Dienste vor Inkrafttreten der Änderung kündigen und die Rückgabe oder Löschung gemäß Abschnitt 9 verlangen.

Vor der Gewährung des Zugriffs schließt LensGo einen schriftlichen Vertrag ab, der dieselben Datenschutzverpflichtungen wie diese DPA enthält, einschließlich ausreichender Garantien für geeignete technische und organisatorische Maßnahmen. LensGo haftet dem Kunden gegenüber vollumfänglich für die Erfüllung dieser Verpflichtungen durch jeden Unterauftragsverarbeiter. Auf Anfrage stellt LensGo relevante Compliance-Informationen und vertragliche Sicherungen bereit, vorbehaltlich des notwendigen Schutzes vertraulicher Informationen.

Jede Partei dieser DPA verpflichtet sich, die andere Partei für Schäden oder Aufwendungen schadlos zu halten, die aus ihrer eigenen schuldhaften Verletzung dieser DPA resultieren, einschließlich jeder schuldhaften Verletzung, die von ihrem gesetzlichen Vertreter, Subunternehmern, Mitarbeitern oder anderen Agenten begangen wird. Darüber hinaus verpflichtet sich jede Partei, die andere Partei gegen jeden Anspruch Dritter zu verteidigen, der sich aus oder im Zusammenhang mit einer schuldhaften Verletzung durch die jeweils andere Partei ergibt.

Jede Partei ist für die Einhaltung ihrer Verpflichtungen aus dieser DPA und dem geltenden Datenschutzrecht verantwortlich. Nichts in dem Vertrag oder dieser DPA schränkt die Rechte betroffener Personen, die Haftung einer Partei nach Artikel 82 DSGVO, die Befugnisse der Aufsichtsbehörden oder die Verantwortung von LensGo gemäß Abschnitt 5 ein.

Unter Berücksichtigung der Art der Verarbeitung unterstützt LensGo den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung von Anfragen nach Kapitel III DSGVO. Dazu gehört die Unterstützung bei der Lokalisierung, dem Export, der Berichtigung, der Einschränkung oder der Löschung relevanter Kundendaten.

LensGo leitet Anfragen, die Kundendaten betreffen, unverzüglich an den Kunden weiter und antwortet nicht selbstständig, es sei denn, dies ist durch dokumentierte Anweisungen oder gesetzliche Anforderungen vorgeschrieben. Sofern gesetzlich zulässig, unterrichtet LensGo den Kunden vor einer Antwort aufgrund einer gesetzlichen Anforderung.

LensGo unterrichtet den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft. Die Mitteilung enthält eine Beschreibung der Verletzung, die Kategorien und ungefähren Zahlen der betroffenen Personen und Datensätze, soweit bekannt, die wahrscheinlichen Folgen, die ergriffenen oder geplanten Maßnahmen sowie eine Kontaktstelle für weitere Informationen. Unvollständige Informationen werden in Stufen ohne unangemessene weitere Verzögerung nachgereicht.

LensGo untersucht, begrenzt und behebt die Verletzung, bewahrt relevante Beweismittel auf und arbeitet mit der Bewertung, Meldung und Kommunikation des Kunden zusammen. Der Kunde entscheidet über Meldungen an Aufsichtsbehörden und betroffene Personen, unbeschadet eigener gesetzlicher Verpflichtungen von LensGo.

Am Ende der Dienste, die eine Verarbeitung umfassen, gibt LensGo auf Wunsch des Kunden alle Kundendaten in einem gängigen elektronischen Format zurück und löscht bestehende Kopien, oder löscht alle Kundendaten und Kopien. Der Kunde kann seine Wahl über Abschnitt 11 mitteilen, auch vor Beendigung. LensGo holt Anweisungen ein, wenn keine Wahl mitgeteilt wurde, und behandelt Schweigen nicht als Verzicht auf das Recht auf Rückgabe.

LensGo führt die angeordnete Rückgabe oder Löschung innerhalb von 30 Werktagen nach Beendigung der Dienste oder, falls später, nach Erhalt der Wahl des Kunden durch. Bis zur Durchführung schützt es die Daten gemäß dieser DPA und verarbeitet sie nur, soweit dies für die Rückgabe, Löschung oder gesetzlich vorgeschriebene Aufbewahrung erforderlich ist. LensGo stellt sicher, dass auch Unterauftragsverarbeiter dieselbe Maßnahme ergreifen, und bestätigt die Durchführung auf Wunsch schriftlich.

Diese Pflichten umfassen Originale, abgeleitete Daten, Exporte und Backups. Die einzige Ausnahme ist eine gesetzliche Anforderung der Union oder eines Mitgliedstaats, die eine Aufbewahrung vorschreibt: LensGo teilt dem Kunden die gesetzliche Anforderung und die Aufbewahrungsfrist mit, sofern dies nicht verboten ist, isoliert die aufbewahrten Daten, beschränkt die Verarbeitung auf diese Anforderung und löscht sie, sobald die Anforderung endet. Backups dürfen nicht für andere Zwecke verwendet werden; jede Wiederherstellung muss die Löschanweisungen erneut anwenden.

Die Speicherung im EWR allein schließt internationale Übermittlungen durch Support-Zugriff, Diagnosen oder Content-Delivery nicht aus. LensGo übermittelt Kundendaten nur auf dokumentierte Anweisung und in Übereinstimmung mit Kapitel V DSGVO, einschließlich etwaiger Weiterübermittlungen.

Vor einer Übermittlung stellt LensGo sicher, dass diese durch einen anwendbaren Angemessenheitsbeschluss oder geeignete Garantien nach Artikel 46 DSGVO gedeckt ist. Bei der Nutzung der Standardvertragsklauseln der Kommission (EU) 2021/914 schließt LensGo das anwendbare Modul mit dem tatsächlichen Empfänger ab, vervollständigt dessen Anhänge, bewertet die Gesetze und Praktiken des Bestimmungsorts und setzt erforderliche zusätzliche Maßnahmen um. Bei einer Übermittlung vom Auftragsverarbeiter zum Unterauftragsverarbeiter handelt es sich in der Regel um Modul Drei. LensGo stellt auf Anfrage Informationen über den anwendbaren Mechanismus und die Sicherungen bereit und setzt Übermittlungen aus, wenn kein ausreichender Schutz gewährleistet werden kann.

Diese DPA ist eine Verarbeitungsvereinbarung nach Artikel 28 DSGVO. Sie enthält nicht automatisch einen Satz internationaler Übermittlungs-Standardvertragsklauseln zwischen dem Kunden und LensGo, nur weil LensGo Daten in den Niederlanden empfängt. Erforderliche SCCs gelten für die tatsächliche Übermittlungsbeziehung; Anhang 3 allein stellt keinen Übermittlungsmechanismus dar.

Anweisungen, Widersprüche, Anfragen zu Rechten und Compliance-Anfragen sind an [email protected], gerichtet an Daan de Vos, Acosh / LensGo, zu senden. LensGo sendet vertragliche Benachrichtigungen und Meldungen zu Verletzungen an die registrierte E-Mail-Adresse des Kunden oder eine benannte Datenschutz-Kontaktstelle. Der Kunde hält diese Angaben aktuell.

Die Parteien schützen vertrauliche Informationen, die sie im Rahmen dieser DPA erhalten. Dies hindert sie nicht daran, diese Vereinbarung oder erforderliche Compliance-Informationen mit beruflichen Beratern, Prüfern, Aufsichtsbehörden oder aufgrund gesetzlicher Anforderungen weiterzugeben.

Diese DPA unterliegt dem Recht der Niederlande. Streitigkeiten zwischen den Parteien werden den zuständigen Gerichten der Niederlande unter Vorbehalt zwingenden Rechts, der Rechte betroffener Personen auf Einleitung von Verfahren oder der Befugnisse zuständiger Aufsichtsbehörden unterworfen.

LensGo stellt alle Informationen bereit, die zur Demonstration der Einhaltung von Artikel 28 DSGVO und dieser DPA erforderlich sind, und ermöglicht und unterstützt Audits, einschließlich Prüfungen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden.

Die Parteien koordinieren angemessene Fristen, Vertraulichkeit und Maßnahmen zum Schutz der Daten anderer Kunden. Dokumente oder unabhängige Berichte können zur Erfüllung einer Anfrage beitragen, ersetzen jedoch nicht das Recht auf ein Audit, wenn eine weitere Überprüfung erforderlich ist. Diese Regelungen verhindern oder verzögern ein Audit nicht unangemessen, insbesondere nach einem Vorfall oder auf Anfrage einer Aufsichtsbehörde. LensGo behebt festgestellte Mängel unverzüglich.

Parteien und Kontakte: der im Vertrag angegebene Kunde und seine registrierte oder benannte Kontaktstelle; Auftragsverarbeiter Acosh, handelnd unter dem Namen LensGo, Sweelinckplantsoen 40, 1323 MT Almere, Niederlande, Kontakt Daan de Vos unter [email protected]. Ihre Rollen und Verantwortlichkeiten sind in den Abschnitten 1 und 2 beschrieben.

Gegenstand und Zweck: Betrieb von Eventalben und Erfassung, Organisation, gemeinsame Nutzung, Anzeige und Export von Eventfotos, -videos und zugehörigen Einreichungen nach Anweisung des Kunden.

Art und Häufigkeit: fortlaufende Erfassung und Entgegennahme von Hochladungen und Einreichungen, Speicherung, Abruf, Formatkonvertierung und Erstellung von Miniaturansichten, Organisation, Moderation, Anzeige, Übertragung, Herunterladen, Zugriffsverwaltung und Löschung während der Nutzung der Dienste.

Betroffene Personen: Organisatoren und Kontoinhaber, deren Mitarbeiter und Mitarbeiterinnen und Mitarbeiter, Gäste und Einreicher, in Medien sichtbare oder hörbare Personen sowie andere Teilnehmer oder in Einreichungen identifizierte Personen.

Kundendaten: Namen und E-Mail-Adressen, sofern angegeben; Fotos, Gesichter, Videos und Stimmen; Bildunterschriften, Kommentare und Formularantworten; Dateinamen und Metadaten (einschließlich Aufnahmezeit und -ort, falls vorhanden); Event- und Einreicher-Identifikatoren; IP-Adressen, Browser-/Geräteinformationen, Zeitstempel und Protokolle des Zugriffs oder der Nutzung der Dienste, soweit sie zur Erbringung der Dienste erhoben werden.

Besondere Kategorien von Daten: Medien und Freitext-Einreichungen können versehentlich Angaben zu Gesundheit, Religion, politischen Ansichten, sexueller Orientierung oder anderen besonderen Kategorien von Daten enthalten und auch Kinder betreffen. Der Kunde bestimmt die anwendbare Bedingung nach Artikel 9 DSGVO und zusätzliche Schutzmaßnahmen, begrenzt die Erhebung und den Zugriff und erteilt bei Bedarf Löschanweisungen. LensGo nutzt Eventmedien nicht zur biometrischen Identifizierung.

Dauer: für die Dauer der Dienste und der Aufbewahrungsfrist gemäß Vertrag, gewähltem Tarif und dokumentierten Anweisungen des Kunden, gefolgt von Rückgabe oder Löschung gemäß Abschnitt 9. Die Beendigung eines Events oder Zahlungszeitraums allein bedeutet nicht, dass alle Medien bereits gelöscht wurden.

Zugangskontrollen: authentifizierte Organisator-Konten, gehashte Passwörter, optionale Zwei-Faktor-Authentifizierung und Autorisierungsprüfungen für die Eventverwaltung. Eventeinstellungen unterstützen Album-Passwörter und Moderation. Der Kunde kontrolliert Freigabelinks und Berechtigungen; Empfänger können heruntergeladene Kopien behalten.

Anwendungssicherungen: Eingabevalidierung, Anfragebegrenzung an geschützten Endpunkten, CSRF-Schutz für Browser-Zustandsänderungen und eingeschränkter Zugriff auf unveröffentlichte Medien. Änderungen an der Anwendung unterliegen automatisierten Tests relevanter Authentifizierungs-, Berechtigungs- und Medienoperationen.

Betriebliche Pflichten: LensGo beschränkt den Zugriff von Mitarbeitenden und Dienstzugängen auf das Notwendige, wahrt Vertraulichkeitsverpflichtungen, überprüft den Zugriff und entfernt ihn bei Nichtmehrbedarf. Es gewährleistet sichere Datenübertragung, zeitnahe Sicherheitswartung und Incident-Handling gemäß den Abschnitten 3, 4 und 8.

Verfügbarkeit und Wiederherstellung: LensGo hält Wiederherstellungsmaßnahmen vor, die dem Risiko nach Artikel 32 DSGVO angemessen sind, bewertet und testet Sicherheits- und Wiederherstellungsmaßnahmen regelmäßig und wendet die Lösch- und Rückgabeanweisungen auch auf Wiederherstellungskopien an. Informationen über den aktuellen Umfang, die Standorte, die Aufbewahrung und die Wiederherstellungsmaßnahmen der Backups werden gemäß Abschnitt 13 bereitgestellt.

Umfang der Zusagen: Die EU-Medien-Speicherung ist getrennt von der Auslieferung und anderen Verarbeitungen zu betrachten. Dieser Anhang beansprucht keine Ende-zu-Ende-Verschlüsselung, universelle Verschlüsselung im Ruhezustand, unabhängige Zertifizierungen oder eine bestimmte Wiederherstellungszeit. LensGo stellt auf Anfrage gemäß Abschnitt 13 aktuelle Infrastruktur- und Sicherheitsnachweise bereit und reduziert den durch diese DPA geforderten Schutz nicht wesentlich.

Die folgenden Anbieter verarbeiten Kundendaten im Rahmen der angegebenen Teile der Dienste. Änderungen unterliegen Abschnitt 5 und Übermittlungen Abschnitt 10. Der Sitz eines Anbieters garantiert nicht, dass alle Verarbeitungen dort erfolgen.

Hetzner — Anwendungshosting und Datenbankinfrastruktur in Deutschland; Eventdatensätze, Kontoidentifikatoren und von der Anwendung verarbeitete Daten.

Bunny.net (Bunny Edge Storage) — Speicherung und Auslieferung hochgeladener Fotos, Videos, Derivate und herunterladbarer Archive; zugehörige Dateinamen, Metadaten und Daten zu Auslieferungsanfragen. Die Medien-Speicherung erfolgt in der Europäischen Union; Auslieferung und Fernzugriff unterliegen ebenfalls Abschnitt 10.

Scaleway Transactional Email — transaktionale E-Mail-Zustellung in Frankreich; Empfängeradressen und Inhalte von Service- oder Eventbenachrichtigungen.

Cloudflare — Reverse-Proxy, Content-Delivery und Traffic-Schutz; IP-Adressen von Anfragen, Header und Inhalte, die den Dienst durchlaufen. US-amerikanischer Anbieter mit globalem Netzwerk; internationale Verarbeitung unterliegt Abschnitt 10.

Bugsink – Wird zur Fehlerüberwachung verwendet; Fehlerberichte können technische Daten wie IP-Adressen, Nutzerkennungen und Anfragedetails enthalten (EU - FI/DE).

Crisp — Support, sofern der Kunde Event- oder Gästedaten für die Unterstützung bereitstellt; Kontaktdaten, Nachrichten und bereitgestellte Anhänge. Französischer Anbieter.

Diese Tätigkeiten liegen außerhalb der Verarbeitungsanweisungen des Kunden und werden durch die Datenschutzerklärung und die anwendbaren Bedingungen der Anbieter abgedeckt. Sie machen nicht jeden aufgeführten Anbieter zu einem Unterauftragsverarbeiter im Sinne dieser DPA; Anbieter können für LensGo als Verantwortliche oder als eigenständige Verantwortliche für bestimmte Tätigkeiten handeln.

Mollie: Zahlungen, Abonnements und Abrechnung. Google Sign-In und Sign in with Apple: optionale Kontoauthentifizierung. Google Ads: LensGo-eigene Werbung und Conversion-Messung. Crisp: LensGo-eigener Vertrieb und Kontosupport.

Falls einer dieser Anbieter Kundendaten im Auftrag des Kunden über die oben genannten Tätigkeiten hinaus verarbeiten soll, muss LensGo zunächst die Abschnitte 5 und 10 einhalten. Eventmedien sind durch diese DPA nicht für LensGo-eigene Werbung autorisiert.