Vereinbarung zur Datenverarbeitung

Aktualisiert 2025-06-10

Inhaltsübersicht

Einführung
Verträge und Dokumente
Verarbeitung personenbezogener Daten
Sicherheitsmaßnahmen
Datenübermittlung außerhalb der EU/des EWR
Einsatz von Unterauftragsverarbeitern
Pflichten des Auftragsverarbeiters
Verletzung des Schutzes personenbezogener Daten
Vertraulichkeit
Vergütung
Haftung
Laufzeit und Kündigung
Rückgabe und Vernichtung personenbezogener Daten
Anwendbares Recht und Streitbeilegung

Anhänge

Anhang I - Liste der Parteien und Beschreibung der Verarbeitung
Anhang II - Technische und organisatorische Maßnahmen
Anhang III - Liste der Unterauftragsverarbeiter

Diese Datenverarbeitungsvereinbarung ("DPA") ist Teil der Vereinbarung zwischen 360Player AB ("Auftragsverarbeiter") als Datenverarbeiter und dem Kunden, der Vertragspartei ist ("Verantwortlicher"), als Datenverantwortlichem. Im Falle eines Widerspruchs zwischen dieser DPA und der Vereinbarung hat diese DPA in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.

Der Verantwortliche und der Auftragsverarbeiter werden gemeinsam als die„Parteien“ und jeder von ihnen als eine„Partei“ bezeichnet.

1 – Einleitung

1.1 Zur Erfüllung seiner Verpflichtungen aus dem Vertrag wird der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. Diese Datenverarbeitungsvereinbarung ist ein Anhang zum Vertrag und regelt die Verarbeitung personenbezogener Daten gemäß den Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung„DSGVO“) sowie aller jeweils geltenden nationalen oder EU-Rechtsvorschriften („geltende Datenschutzvorschriften“) geregelt.

1.2 Im Falle von Konflikten oder Widersprüchen zwischen der Vereinbarung und dieser Datenschutzrichtlinie in Bezug auf die Verarbeitung personenbezogener Daten haben die Bestimmungen der Datenschutzrichtlinie Vorrang.

2 – Vertragsunterlagen

2.1 Die folgenden Anhänge werden hiermit durch Verweis in diese DPA aufgenommen:

Anhang I - Beschreibung der Verarbeitung
Anhang II - Technische und organisatorische Maßnahmen
Anhang III - Liste der Unterauftragsverarbeiter

3 – Verarbeitung personenbezogener Daten

3.1 Gegenstand, Dauer, Art und Zweck der Verarbeitung sind in Anhang I (Beschreibung der Verarbeitung) dargelegt.

3.2 Der für die Verarbeitung Verantwortliche ist dafür verantwortlich, dass die Verarbeitung in Übereinstimmung mit den geltenden Datenschutzgesetzen erfolgt und dass der Auftragsverarbeiter genaue und ausreichende Anweisungen erhält.

3.3 Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten nur in Übereinstimmung mit den Anweisungen dieser DSGVO, der Vereinbarung und den dokumentierten Anweisungen, die der für die Verarbeitung Verantwortliche von Zeit zu Zeit erteilt, zu verarbeiten, es sei denn, die Verarbeitung ist aufgrund der anwendbaren Datenschutzgesetze erforderlich. In diesem Fall unterrichtet der Auftragsverarbeiter den für die Verarbeitung Verantwortlichen vor der Verarbeitung der personenbezogenen Daten über die Verarbeitung und die rechtlichen Voraussetzungen, auf denen die Verarbeitung beruht, es sei denn, eine solche Unterrichtung ist nach dem geltenden Datenschutzrecht verboten.

3.4 Der Auftragsverarbeiter muss den für die Verarbeitung Verantwortlichen unverzüglich informieren, wenn:

(i) Der Auftragsverarbeiter ist nicht in der Lage, seinen Verpflichtungen aus der DSGVO nachzukommen;

(ii) der Auftragsverarbeiter der Ansicht ist, dass die vom für die Verarbeitung Verantwortlichen erteilten Anweisungen gegen die geltenden Datenschutzvorschriften verstoßen, oder

(iii) der Auftragsverarbeiter ist der Ansicht, dass die vom für die Verarbeitung Verantwortlichen erteilten Anweisungen unzureichend oder falsch sind.

In diesem Fall passt der Controller seine Anweisungen an.

4 – Sicherheitsmaßnahmen

4.1 Die Vertragsparteien ergreifen geeignete technische und organisatorische Sicherheitsmaßnahmen, die erforderlich sind, um ein Sicherheitsniveau zu gewährleisten, das den bei der Verarbeitung personenbezogener Daten bestehenden Risiken angemessen ist, und führen erforderlichenfalls die in Artikel 32 DSGVO genannten technischen und organisatorischen Sicherheitsmaßnahmen durch und halten sie aufrecht.

4.2 Die zwischen den Parteien vereinbarten technischen und organisatorischen Sicherheitsmaßnahmen sind in Anhang II (Technische und organisatorische Maßnahmen) aufgeführt. Der für die Verarbeitung Verantwortliche stellt sicher, dass diese Maßnahmen mit den Bestimmungen des geltenden Datenschutzrechts übereinstimmen.

5 – Datenübermittlung außerhalb der EU/des EWR

5.1 Der Auftragsverarbeiter kann gelegentlich personenbezogene Daten gemäß den Anweisungen des Verantwortlichen in ein Land außerhalb der EU/des EWR übermitteln, wie in den Anhängen zu dieser DPA, die von Zeit zu Zeit aktualisiert werden, näher dargelegt. Werden personenbezogene Daten in ein Land außerhalb der EU/des EWR übermittelt, stellen die Parteien sicher, dass die Übermittlung einem angemessenen Übermittlungsmechanismus gemäß Kapitel V der DSGVO unterliegt, beispielsweise durch die Anwendung des entsprechenden Moduls der von der EU-Kommission genehmigten Standardvertragsklauseln oder durch verbindliche Unternehmensregeln. Soweit dies zur Gewährleistung eines angemessenen Schutzes personenbezogener Daten erforderlich ist, vereinbaren die Parteien zusätzliche Schutzmaßnahmen in Anhang III (Liste der Unterauftragsverarbeiter).

6 – Einsatz von Unterauftragsverarbeitern

6.1 Der Auftragsverarbeiter erhält hiermit eine allgemeine schriftliche Ermächtigung des Verantwortlichen, Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen einzusetzen. Die Liste der vom Verantwortlichen zum Zeitpunkt des Inkrafttretens dieser DPA für die Verarbeitung personenbezogener Daten autorisierten Unterauftragsverarbeiter ist in Anhang III (Liste der Unterauftragsverarbeiter) aufgeführt. Der Auftragsverarbeiter hat den Verantwortlichen mindestens 30 Tage vor Eintritt der Änderung schriftlich über die Hinzufügung oder den Austausch von Unterauftragsverarbeitern zu informieren, um dem Verantwortlichen die Möglichkeit zu geben, gegen die Änderung Einspruch zu erheben.

6.2 Der für die Verarbeitung Verantwortliche hat das Recht, innerhalb von 20 Tagen, nachdem der Auftragsverarbeiter den für die Verarbeitung Verantwortlichen über die Änderung informiert hat, schriftlich Einspruch zu erheben. Der für die Verarbeitung Verantwortliche kann der Einschaltung eines Unterauftragsverarbeiters nur dann widersprechen, wenn Grund zu der Annahme besteht, dass der Unterauftragsverarbeiter die Anforderungen der geltenden Datenschutzvorschriften nicht erfüllt, und den Widerspruch begründen. Der Auftragsverarbeiter stellt dem für die Verarbeitung Verantwortlichen die Informationen zur Verfügung, die dieser benötigt, um sein Widerspruchsrecht auszuüben.

6.3 Der Auftragsverarbeiter stellt sicher, dass den Unterauftragsverarbeitern in einer schriftlichen Vereinbarung mindestens gleichwertige Verpflichtungen in Bezug auf die Verarbeitung personenbezogener Daten auferlegt werden wie dem Auftragsverarbeiter gemäß dieser DSGVO. Der Auftragsverarbeiter haftet gegenüber dem für die Verarbeitung Verantwortlichen in vollem Umfang für die Erfüllung seiner Verpflichtungen durch den Unterauftragsverarbeiter wie für seine eigenen Verpflichtungen gemäß dieser DSGVO.

7 – Pflichten des Auftragsverarbeiters

7.1 Der Auftragsverarbeiter hat den Auftragsgeber auf dessen angemessene Aufforderung hin, soweit dies unter Berücksichtigung der Art der Verarbeitung zumutbar ist, bei der Erfüllung seiner Verpflichtungen zur Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte gemäß den geltenden Datenschutzvorschriften zu unterstützen. Der Auftragsverarbeiter hat den Auftragsgeber innerhalb von 30 Tagen zu benachrichtigen, wenn er Anträge von betroffenen Personen erhält. Der Auftragsverarbeiter darf ohne ausdrückliche vorherige schriftliche Anweisung des Auftragsgebers nicht auf solche Anträge reagieren.

7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit dies unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen möglich ist, bei der Erfüllung seiner Verpflichtungen gemäß den Artikeln 32 bis 36 der DSGVO.

7.3 Der Auftragsverarbeiter hat dem Verantwortlichen auf dessen begründete Aufforderung hin die Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der Verpflichtungen aus der Datenverarbeitungsvereinbarung nachzuweisen.

7.4 Für den Fall, dass der Auftragsverarbeiter gemäß den geltenden Datenschutzvorschriften verpflichtet ist, personenbezogene Daten, die er im Auftrag des Verantwortlichen verarbeitet, an Aufsichtsbehörden offenzulegen, hat der Auftragsverarbeiter den Verantwortlichen hierüber zu informieren und im Zusammenhang mit der Offenlegung der angeforderten Informationen um Vertraulichkeit zu bitten.

7.5 Auf begründete Anfrage des Verantwortlichen oder eines vom Verantwortlichen beauftragten externen Prüfers hat der Auftragsverarbeiter eine Prüfung zuzulassen, um zu überprüfen, ob die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Einklang mit den geltenden Datenschutzvorschriften und dieser DPA erfolgt. Die Kosten für einen externen Prüfer trägt der Verantwortliche.

8 – Verletzung des Schutzes personenbezogener Daten

8.1 Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich schriftlich zu benachrichtigen, nachdem er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten in Bezug auf personenbezogene Daten erhalten hat, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet. Der Auftragsverarbeiter übermittelt dem Verantwortlichen eine Beschreibung der Verletzung, ihrer Art und ihrer voraussichtlichen Folgen sowie Informationen über die Maßnahmen, die ergriffen wurden oder ergriffen werden sollen, um die Folgen der Verletzung zu beheben und abzumildern, soweit eine solche Verletzung beim Auftragsverarbeiter stattgefunden hat.

8.2 Meldet der Verantwortliche einen Verstoß der Aufsichtsbehörde, so hat der Auftragsverarbeiter auf angemessene Aufforderung des Verantwortlichen diesen zu unterstützen und die angeforderten Informationen bereitzustellen.

9 – Vertraulichkeit

9.1 Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten, die im Rahmen dieser DSGVO verarbeitet werden, ohne vorherige schriftliche Zustimmung des für die Verarbeitung Verantwortlichen nicht an Dritte weiterzugeben oder ihnen anderweitig zugänglich zu machen, mit Ausnahme von Unterauftragsverarbeitern, die in Übereinstimmung mit dieser DSGVO beauftragt wurden.

9.2 Der Auftragsverarbeiter stellt sicher, dass nur Mitarbeiter und andere Vertreter, die Zugang zu personenbezogenen Daten benötigen, Zugang zu diesen Informationen haben. Der Auftragsverarbeiter stellt sicher, dass diese Personen durch Vertraulichkeitserklärungen gebunden sind oder einer gesetzlichen Geheimhaltungspflicht unterliegen.

9.3 Der Auftragsverarbeiter verpflichtet sich, dafür zu sorgen, dass mit allen im Rahmen dieser DSGVO beauftragten Unterauftragsverarbeitern Vertraulichkeitsvereinbarungen geschlossen werden.

10 – Vergütung

10.1 Der Auftragsverarbeiter hat Anspruch auf eine angemessene Vergütung der Kosten und Arbeiten, die dem Auftragsverarbeiter aufgrund seiner nachstehend genannten Verpflichtungen entstehen:

(i) Der für die Verarbeitung Verantwortliche passt seine Weisungen gemäß Abschnitt 3.1 oben an.

(ii) Der für die Verarbeitung Verantwortliche passt seine Anweisungen gemäß Abschnitt 4.2 oben an.

(iii) Der Auftragsverarbeiter unterstützt den für die Verarbeitung Verantwortlichen bei einem Audit gemäß Abschnitt 7.5 oben.

11 – Haftung

11.1 Die Parteien erkennen an, dass sie in ihrer jeweiligen Rolle als für die Verarbeitung Verantwortlicher und Auftragsverarbeiter gemäß den in der DSGVO und dieser DSGVO festgelegten Anforderungen haftbar, rechenschaftspflichtig und verantwortlich sind. Etwaige von der Aufsichtsbehörde verhängte Bußgelder, Gebühren oder Sanktionen und/oder Entschädigungen für betroffene Personen unterliegen den in den Artikeln 82-84 DSGVO festgelegten Haftungsbestimmungen. Verarbeitet eine Vertragspartei personenbezogene Daten unter Verstoß gegen diese DSGVO oder das geltende Datenschutzrecht, so entschädigt sie die andere Vertragspartei für unmittelbare Schäden, die ihr aufgrund einer solchen unrechtmäßigen Verarbeitung und/oder eines Verstoßes gegen diese DSGVO entstehen, im Einklang mit den im Abkommen festgelegten Haftungsbeschränkungen.

12 – Laufzeit und Kündigung

12.1 Diese DPA tritt mit der Unterzeichnung der Vereinbarung durch beide Parteien in Kraft und bleibt danach so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

12.2 Der Auftragsverarbeiter hat das Recht, die DPA mit sofortiger Wirkung durch schriftliche Mitteilung an den für die Verarbeitung Verantwortlichen zu kündigen, wenn von dem für die Verarbeitung Verantwortlichen erteilte Anweisungen gegen geltendes Datenschutzrecht verstoßen und der für die Verarbeitung Verantwortliche, nachdem er von diesen Umständen in Kenntnis gesetzt wurde, nachträglich auf der Anwendung dieser Anweisungen besteht.

13 – Rückgabe und Vernichtung personenbezogener Daten

13.1 Bei Kündigung oder Ablauf dieser Datenschutzvereinbarung hat der Auftragsverarbeiter unverzüglich die Verarbeitung personenbezogener Daten einzustellen und auf schriftliche Aufforderung des Verantwortlichen alle personenbezogenen Daten des Verantwortlichen sowie alle verbleibenden Kopien zu löschen, sofern dies nicht nach den geltenden Datenschutzvorschriften erforderlich ist.

14 – Anwendbares Recht und Streitbeilegung

14.1 Die DPA unterliegt schwedischem Recht unter Ausschluss der geltenden Kollisionsnormen.

14.2 Alle Streitigkeiten, die sich aus oder im Zusammenhang mit dem DPA ergeben, werden gemäß der in der Vereinbarung festgelegten Streitbeilegungsregelung endgültig beigelegt.

Anhang I - Beschreibung der Verarbeitung

1 Einleitung

In Anhang I (Beschreibung der Verarbeitung) wird die Verarbeitung personenbezogener Daten im Rahmen des DSG beschrieben.

2 Beschreibung der Verarbeitung

Für Controller mit lokaler Datenschutzgesetzgebung ist es wichtig zu verstehen, welche Daten in der lokalen Datenschutzgesetzgebung eine besondere Klassifizierung haben. Es wird empfohlen, die Erhebung sensibler Daten auf ein Minimum zu beschränken, und 360Player wird immer die Zustimmung der Nutzer zu den Nutzungsbedingungen und Datenschutzrichtlinien einholen.

Kategorien von betroffenen Personen

Die folgenden Kategorien von betroffenen Personen werden in die Verarbeitung einbezogen:

☐ Mitarbeiter des Verantwortlichen
☐ Mitglieder des Verwaltungsrats und Erziehungsberechtigte der Mitglieder

Kategorien personenbezogener Daten, die der für die Verarbeitung Verantwortliche verarbeiten wird

Die folgenden personenbezogenen Daten werden verarbeitet:

☐ Name
☐ Geburtsdatum
☐ E-Mail
☐ Telefonnummer
☐ Adresse

Besondere Kategorien personenbezogener Daten, die die für die Verarbeitung Verantwortlichen verarbeiten dürfen

Die folgenden besonderen Kategorien von personenbezogenen Daten werden in die Verarbeitung einbezogen:

☐ Genetische Daten
☐ Biometrische Daten
☐ Gesundheitsdaten
☐ Weitere Daten, die der für die Datenverarbeitung Verantwortliche erfassen muss (benutzerdefinierte Datenfelder)

Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten für die folgenden Zwecke:

Die personenbezogenen Daten werden von dem für die Verarbeitung Verantwortlichen verarbeitet, um das System entsprechend dem Zweck der Plattform nutzen zu können.

Dauer der Bearbeitung

Die Verarbeitung personenbezogener Daten erfolgt nach Maßgabe der folgenden Bestimmungen:

Die Dauer der Verarbeitung entspricht der Dauer des Abkommens oder bis der für die Verarbeitung Verantwortliche die Daten entfernt. Danach werden die personenbezogenen Daten so lange verarbeitet, wie es das geltende Datenschutzrecht erfordert.

Anhang II - Technische und organisatorische Maßnahmen

1 Einleitung

In Anhang II (Technische und organisatorische Maßnahmen) werden die technischen und organisatorischen Maßnahmen zur Gewährleistung eines hohen Sicherheitsniveaus bei der Verarbeitung personenbezogener Daten beschrieben.

2 Liste der technischen und organisatorischen Maßnahmen

Die folgenden Sicherheitsmaßnahmen wurden von den Vertragsparteien ausdrücklich vereinbart:

360Player wird mit höchstem Sicherheitsprotokoll bei Microsoft Azure und Zwei-Faktor-Authentifizierung gehostet.
Der Verkehr innerhalb der App wird mit SSL (TLS 1.2) verschlüsselt.
360Player Die Mitarbeiter unterliegen Geheimhaltungsvereinbarungen und haben nur eingeschränkten Zugriff auf die Daten des Verantwortlichen.
Die Benutzer der Organisation können so strukturiert werden, dass sie nur begrenzten Zugriff auf die Daten innerhalb der Plattform erhalten.
360Player unterstützt Single Sign On (SSO) und Directory Sync für den Lebenszyklus und die Bereitstellung von Benutzern.
360Player und seine Dienste sind vollständig konform mit der Datenschutz-Grundverordnung und ergreifen vierteljährlich Maßnahmen zur Überprüfung der Konformität.
Es gibt Protokolle für die Meldung nutzergenerierter Inhalte.
Prüfpfade existieren auf Konto- und Benutzerebene.
Die Überwachung von Chats, an denen Minderjährige beteiligt sind, ist möglich.
SLA auf Anfrage erhältlich.

Anhang III - Liste der Unterauftragsverarbeiter

1 Einleitung

In Anhang III (Liste der Unterauftragsverarbeiter) sind die vom Verantwortlichen genehmigten Unterauftragsverarbeiter des Auftragsverarbeiters aufgeführt. SCC steht für „Standardvertragsklauseln“ und bezeichnet die aktuellste Fassung der Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter mit Sitz in Drittländern gemäß der DSGVO.

2 Liste der Unterauftragsverarbeiter

Der für die Verarbeitung Verantwortliche hat die in der nachstehenden Tabelle aufgeführten Unterauftragsverarbeiter zum Zeitpunkt des Inkrafttretens der DSGVO zugelassen. Die Tabelle wird von Zeit zu Zeit aktualisiert:

Sendgrid

Adresse: privacy@twilio.com
Ort der Datenverarbeitung: USA
Beschreibung der Verarbeitung: Transaktions-E-Mails
Kategorien personenbezogener Daten: E-Mail-Adresse, Name
Übertragungsmechanismus: SCC

Gegensprechanlage

Adresse: 124 St. Stephen’s Green, Dublin 2, D02 C628
Ort der Datenverarbeitung: Irland
Beschreibung der Verarbeitung: Kundensupport
Kategorien personenbezogener Daten: E-Mail-Adresse, Name
Übertragungsmechanismus: k. A.

Duda

Adresse: privacy@duda.co
Ort der Datenverarbeitung: Irland
Beschreibung der Verarbeitung: Website-Hosting
Kategorien personenbezogener Daten: k. A.
Übertragungsmechanismus: k. A.

Microsoft

Anschrift: z. Hd.: Datenschutz, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
Ort der Datenverarbeitung: Irland
Beschreibung der Verarbeitung: Cloud-Speicherung und Hosting
Kategorien personenbezogener Daten: k. A.
Übertragungsmechanismus: k. A.

WorkOS

Adresse: support@workos.com
Ort der Datenverarbeitung: EU, USA
Beschreibung der Verarbeitung: SSO
Kategorien personenbezogener Daten: k. A.
Übertragungsmechanismus: SCC

Adyen

Adresse: Simon Carmiggeltstraat 5-60, 1011 DJ Amsterdam, Niederlande
Ort der Verarbeitung: Weltweit
Beschreibung der Verarbeitung: Zahlungsdienstleister
Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Produkte
Übertragungsmechanismus: SCC

Grafana

Anschrift: Raintank Inc. (firmierend unter dem Namen Grafana Labs), 165 Broadway, 23. Etage, New York, NY 10006, USA
Ort der Verarbeitung: Weltweit
Beschreibung der Verarbeitung: Kennzahlen und Analysen
Kategorien personenbezogener Daten: k. A.
Übertragungsmechanismus: SCC

Sinch, Mailjet

Adresse: Hauptsitz in Paris, 4 Rue Jules Lefebvre, 75009 Paris, Frankreich
Ort der Datenverarbeitung: Deutschland und Belgien
Beschreibung der Verarbeitung: E-Mail
Kategorien personenbezogener Daten: Name, E-Mail-Adresse
Übertragungsmechanismus: k. A.

Mixpanel

Anschrift: Mixpanel Inc., One Front Street, 28. Stock, San Francisco, CA 94111
Ort der Datenverarbeitung: EU
Beschreibung der Verarbeitung: Kennzahlen und Analysen
Kategorien personenbezogener Daten: k. A.
Übertragungsmechanismus: k. A.

HubSpot Inc.

Adresse: Two Canal Park, Cambridge, MA 02141, USA
Ort der Verarbeitung: Weltweit
Beschreibung der Verarbeitung: CRM
Kategorien personenbezogener Daten: Name, E-Mail-Adresse
Übertragungsmechanismus: k. A.

Stripe, Inc.

Adresse: 345 Oyster Point Boulevard, CA 94080, USA
Ort der Verarbeitung: Weltweit
Beschreibung der Verarbeitung: Zahlungsdienstleister
Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Produkte
Übertragungsmechanismus: SCC