Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Diese Seite enthält die Standardvereinbarung über die Verarbeitung personenbezogener Daten zwischen Unternehmen, die den Dienst Bildir365 nutzen, und dem Anbieter des Dienstes. Sie wurde auf Grundlage von Art. 28 der Datenschutz-Grundverordnung (DSGVO) und Art. 12 des türkischen Datenschutzgesetzes Nr. 6698 (KVKK) erstellt.

Parteien und Wirksamkeit

Diese Vereinbarung zur Auftragsverarbeitung (die „Vereinbarung“) wird zwischen den folgenden Parteien geschlossen:

• Verantwortlicher: das Unternehmen, das durch die Angaben bestimmt wird, die es beim Anlegen seines Kontos bei Bildir365 gemacht hat (Unternehmensname, Name der berechtigten Person, E-Mail-Adresse und optional Telefonnummer).
• Auftragsverarbeiter: der Anbieter des Dienstes
  Bekir UĞUR (handelnd unter der Bezeichnung „Konsol Dev“)
  Hürriyet Mahallesi, Numan Durak Aksoy Bulvarı No: 158/B, Kat: 2, No: 11, 27900 Oğuzeli / Gaziantep, Türkei
  E-Mail: info@bildir365.com

Abschluss und Wirksamkeit. Die Vereinbarung kommt auf elektronischem Weg zustande und wird wirksam, sobald der Verantwortliche ein Konto bei Bildir365 anlegt oder den Dienst zu nutzen beginnt; eine Unterschrift ist nicht erforderlich. Die Person, die das Konto anlegt, erklärt, berechtigt zu sein, diese Vereinbarung im Namen des Verantwortlichen anzunehmen.

Die Vereinbarung ist Bestandteil der Nutzungsbedingungen. Der Verantwortliche kann unter info@bildir365.com ein von beiden Parteien unterzeichnetes Exemplar anfordern.

KVKK. Für Verantwortliche, die dem KVKK unterliegen, stellt diese Vereinbarung zugleich die Regelung zwischen Verantwortlichem und Auftragsverarbeiter zu den Datensicherheitspflichten nach Art. 12 KVKK dar.

Anlagen. Bestandteile der Vereinbarung sind: Anlage 1 (Einzelheiten der Verarbeitung), Anlage 2 (Technische und organisatorische Maßnahmen) und Anlage 3 (Unterauftragsverarbeiter).

§ 1 Gegenstand und Dauer

1.1 Gegenstand. Der Auftragsverarbeiter verarbeitet im Zusammenhang mit der Nutzung des Dienstes Bildir365 (der „Dienst“) durch den Verantwortlichen personenbezogene Daten in dessen Auftrag und nach dessen Weisungen. Der Dienst dient der Erfassung und Verwaltung von Feedback per QR-Code (Website, Web-Dashboard und iOS-App).

1.2 Umfang. Diese Vereinbarung erfasst ausschließlich Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet:

• Daten, die über die Feedback-Formulare des Verantwortlichen erhoben werden;
• Kontodaten der Mitarbeiter des Verantwortlichen (zur Teamverwaltung und zur Zustellung von Benachrichtigungen).

Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist – Website-Besucher, Kontaktformular, Kontoregistrierung, Authentifizierung und Abonnementverwaltung, Support-Anfragen sowie Sicherheit und Missbrauchsprävention (siehe Ziff. 2.4) –, sind nicht Gegenstand dieser Vereinbarung und werden in der Datenschutzerklärung beschrieben.

1.3 Dauer. Die Vereinbarung gilt nach Maßgabe von § 9, solange der Auftragsverarbeiter im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet.

1.4 Begriffe. Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen in Art. 4 DSGVO und Art. 3 KVKK zukommt.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

2.1 Art und Zweck. Der Auftragsverarbeiter erhebt, erfasst, ordnet und speichert personenbezogene Daten über die vom Verantwortlichen festgelegten Formulare; übermittelt und zeigt sie den berechtigten Nutzern des Verantwortlichen über das Dashboard, die App, E-Mail und Push-Benachrichtigungen an; maskiert in Formulare eingegebene unangemessene Wörter automatisch und löscht Daten, wenn dies erforderlich ist. Zwecke sind die Zustellung und Verwaltung von Feedback für den Verantwortlichen, die Verwaltung des Teams des Verantwortlichen, der Versand von Benachrichtigungen sowie die Gewährleistung der Sicherheit des Dienstes.

2.2 Datenarten und betroffene Personen. Die Kategorien personenbezogener Daten und betroffener Personen sind in Anlage 1 im Einzelnen aufgeführt. Zusammengefasst: die Angaben, die Feedback-Absender im Formular des Verantwortlichen machen, Formularantworten, Anhänge und technische Daten (IP-Adresse, Browserinformationen) sowie die Kontodaten der Mitarbeiter des Verantwortlichen.

2.3 Besondere Kategorien. Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO und Art. 6 KVKK ausgelegt; der Auftragsverarbeiter erhebt solche Daten nicht wissentlich. Die Pflichten des Verantwortlichen hierzu sind in Ziff. 6.3 geregelt.

2.4 Missbrauchsprävention. Zur Verhinderung von Missbrauch des Dienstes (Ratenbegrenzung, Sperrung anhand von IP-Adresse und Browserinformationen, Prüfung von Inhaltsmeldungen) handelt der Auftragsverarbeiter, soweit erforderlich und in seinem eigenen berechtigten Interesse, zusätzlich als Verantwortlicher; diese Verarbeitung wird in der Datenschutzerklärung beschrieben. Darüber hinaus verarbeitet der Auftragsverarbeiter die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten nicht für eigene Zwecke, verkauft sie nicht, gibt sie nicht zu Marketingzwecken weiter und erstellt daraus keine Profile.

§ 3 Weisungen

3.1 Weisungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in Drittländer (siehe § 7). Weisungen sind:

• diese Vereinbarung und die Nutzungsbedingungen;
• die Konfiguration und Nutzung des Dienstes durch den Verantwortlichen (z. B. Definition von Formularen und Feldern, Benutzer- und Berechtigungsverwaltung, Benachrichtigungseinstellungen, Löschen von Feedback, Löschen des Kontos);
• zusätzliche schriftliche Weisungen, die der Verantwortliche per E-Mail an info@bildir365.com übermittelt.

3.2 Verifizierung und Umsetzbarkeit. Der Auftragsverarbeiter kann mit angemessenen Mitteln prüfen, ob eine per E-Mail erteilte Weisung vom Verantwortlichen stammt. Weisungen, die über die Funktionen des Dienstes hinausgehen, wird er im zumutbaren Rahmen umzusetzen versuchen; ist ihm dies nicht möglich, informiert er den Verantwortlichen unverzüglich.

3.3 Rechtswidrige Weisungen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO, das KVKK oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich und kann die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert. Der Auftragsverarbeiter ist nicht verpflichtet, die Rechtmäßigkeit von Weisungen zu prüfen oder Rechtsberatung zu erbringen.

3.4 Gesetzliche Verpflichtungen. Ist der Auftragsverarbeiter nach dem für ihn geltenden Recht verpflichtet, Daten abweichend von den Weisungen zu verarbeiten, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

§ 4 Pflichten des Auftragsverarbeiters

4.1 Vertraulichkeit. Der Auftragsverarbeiter beschränkt den Zugriff auf personenbezogene Daten auf die Personen, die für den Betrieb des Dienstes erforderlich sind; derzeit ist dies ausschließlich der Auftragsverarbeiter selbst. Alle Personen mit Zugriff auf personenbezogene Daten sind zur Vertraulichkeit verpflichtet; diese Pflicht besteht auch nach Beendigung der Verarbeitung fort (Art. 28 Abs. 3 Buchst. b DSGVO; Art. 12 Abs. 4 KVKK). Personen, die er künftig ermächtigt, verpflichtet der Auftragsverarbeiter in gleicher Weise.

4.2 Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter setzt nach Art. 32 DSGVO und Art. 12 Abs. 1 KVKK die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOM) um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Er kann diese Maßnahmen entsprechend dem technischen Fortschritt aktualisieren, wird das Schutzniveau dabei aber nicht wesentlich absenken.

4.3 Anfragen betroffener Personen. Die Beantwortung von Anfragen zu den Rechten betroffener Personen (Art. 12–22 DSGVO; Art. 11 KVKK) obliegt dem Verantwortlichen. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen hierbei im zumutbaren Rahmen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter und ist erkennbar, dass sich die Anfrage auf Daten des Verantwortlichen bezieht, leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht inhaltlich ohne Weisung des Verantwortlichen; er kann den Anfragenden an den Verantwortlichen verweisen. Der Verantwortliche kann über die Dashboard- und App-Funktionen des Dienstes auf seine Daten zugreifen und Feedback löschen; reicht dies nicht aus, unterstützt der Auftragsverarbeiter auf per E-Mail gestellte Anfrage des Verantwortlichen innerhalb angemessener Frist.

4.4 Unterstützung nach Art. 32–36 DSGVO. Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen im zumutbaren Rahmen bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) und stellt hierfür die erforderlichen Informationen bereit.

4.5 Verletzung des Schutzes personenbezogener Daten. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die personenbezogene Daten betrifft, die er im Auftrag des Verantwortlichen verarbeitet, meldet er dies dem Verantwortlichen unverzüglich und nach Möglichkeit innerhalb von 48 Stunden nach Kenntniserlangung per E-Mail. Die Meldung enthält, soweit verfügbar: die Art der Verletzung (nach Möglichkeit die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze), die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Können nicht alle Informationen gleichzeitig bereitgestellt werden, kann dies schrittweise erfolgen. Der Auftragsverarbeiter ergreift angemessene Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer nachteiligen Auswirkungen und arbeitet mit dem Verantwortlichen zusammen. Die Entscheidung, ob die zuständige Behörde (Art. 33 DSGVO; Art. 12 Abs. 5 KVKK und die einschlägigen Beschlüsse des Kişisel Verileri Koruma Kurulu, des türkischen Datenschutzrats) und die betroffenen Personen zu benachrichtigen sind, obliegt dem Verantwortlichen. Eine Meldung ist kein Eingeständnis eines Verschuldens oder einer Haftung des Auftragsverarbeiters.

4.6 Löschung und Rückgabe. Nach Beendigung der Dienstbeziehung werden die personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben:

• Löschung des Kontos: Folgt die berechtigte Person des Verantwortlichen in der App dem Pfad Einstellungen › Abonnement › Mein Konto löschen und bestätigt dies mit dem per E-Mail zugesandten Code, werden das Unternehmen und sämtliche damit verbundenen Daten und Anhänge sofort und dauerhaft gelöscht. Dies kann nicht rückgängig gemacht werden.
• Sonstige Beendigungsfälle: Endet die Dienstbeziehung auf andere Weise (z. B. durch Ablauf der Lizenz oder Kündigung), werden die personenbezogenen Daten auf Anfrage des Verantwortlichen spätestens innerhalb von 30 Tagen nach der Anfrage gelöscht.
• Rückgabe: Auf Anfrage des Verantwortlichen stellt der Auftragsverarbeiter ihm vor der Löschung einen maschinenlesbaren Export der Daten zur Verfügung. Da die Kontolöschung nicht rückgängig gemacht werden kann, muss ein Verantwortlicher, der einen Export wünscht, diesen vor der Löschung seines Kontos anfordern.
• Aufbewahrungsfristen: Die für gelöschtes Feedback und weitere Datenarten geltenden Aufbewahrungsfristen sind in Anlage 1 aufgeführt.
• Ausnahmen: Kopien in den Backups des Hosting-Anbieters (siehe Anlage 3) können bis zum Ablauf des Backup-Zyklus, der nicht im Einflussbereich des Auftragsverarbeiters liegt, aufbewahrt werden; diese Kopien werden nicht zu anderen Zwecken verwendet und nach Abschluss des Backup-Zyklus gelöscht. Aufzeichnungen, die gesetzlich aufbewahrt werden müssen, werden nur für den Zeitraum und Zweck aufbewahrt, den diese Verpflichtung verlangt.
• Bestätigung: Auf Anfrage des Verantwortlichen bestätigt der Auftragsverarbeiter per E-Mail, dass die Löschung durchgeführt wurde.

4.7 Nachweise und Überprüfungen. Der Auftragsverarbeiter stellt dem Verantwortlichen auf schriftliche Anfrage innerhalb angemessener Frist die erforderlichen Informationen zum Nachweis der Einhaltung der in dieser Vereinbarung festgelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Für Überprüfungen gelten folgende Bedingungen:

• höchstens einmal pro Jahr;
• nach mindestens 30 Tagen vorheriger schriftlicher Ankündigung und während der üblichen Geschäftszeiten des Auftragsverarbeiters in der Türkei;
• vorrangig anhand schriftlicher Informationen und Unterlagen sowie durch Fernprüfung, ohne den Betrieb des Auftragsverarbeiters unverhältnismäßig zu beeinträchtigen;
• beschränkt auf Verarbeitungen im Anwendungsbereich dieser Vereinbarung (Daten anderer Kunden und Geschäftsgeheimnisse des Auftragsverarbeiters sind ausgenommen);
• beauftragt der Verantwortliche einen Dritten, muss dieser zur Verschwiegenheit verpflichtet sein und darf kein Wettbewerber des Auftragsverarbeiters sein; der Verantwortliche und der Prüfer behandeln die bei der Überprüfung erlangten Informationen vertraulich.

Bei einer Verletzung des Schutzes personenbezogener Daten, bei konkreten Anhaltspunkten für einen Verstoß gegen diese Vereinbarung oder auf Verlangen einer zuständigen Aufsichtsbehörde gelten die Begrenzung auf einmal jährlich und die Ankündigungsfrist von 30 Tagen nicht; die Ankündigung erfolgt dann mit angemessen kurzer Vorlaufzeit. Der Auftragsverarbeiter arbeitet bei der Erfüllung ihrer Aufgaben zudem mit den zuständigen Aufsichtsbehörden (einschließlich des Kişisel Verileri Koruma Kurulu) zusammen.

4.8 Verzeichnis und Kontakt. Soweit gesetzlich erforderlich, führt der Auftragsverarbeiter ein Verzeichnis der im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO). Ansprechpartner in Datenschutzfragen: info@bildir365.com.

§ 5 Unterauftragsverarbeiter

5.1 Allgemeine Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter für die dort genannten Leistungen und Verarbeitungsorte einzusetzen (Art. 28 Abs. 2 DSGVO).

5.2 Mitteilung von Änderungen. Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, teilt er dies dem Verantwortlichen mindestens 14 Tage im Voraus per E-Mail an die im Konto des Verantwortlichen hinterlegte E-Mail-Adresse mit und aktualisiert Anlage 3. Die Mitteilung enthält Name, Sitz, Leistung und Verarbeitungsort des Unterauftragsverarbeiters.

5.3 Einspruch. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen per E-Mail Einspruch gegen die Änderung erheben. Die Parteien bemühen sich nach Treu und Glauben um eine Lösung. Erfolgt innerhalb der Frist kein Einspruch, gilt die Änderung als genehmigt.

5.4 Sonderkündigungsrecht. Können die Parteien den Einspruch nicht innerhalb angemessener Zeit klären, kann der Verantwortliche die Vereinbarung beenden, indem er sein Konto löscht oder den Dienst kündigt (Ziff. 4.6 gilt entsprechend). Dieses Recht kann auch noch für einen angemessenen Zeitraum nach Umsetzung der Änderung ausgeübt werden.

5.5 Weitergabe der Pflichten. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter unter denjenigen aus, die hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bieten, und erlegt jedem Unterauftragsverarbeiter vertraglich (einschließlich der der Art seiner Leistung entsprechenden Standard-Datenverarbeitungsbedingungen des Unterauftragsverarbeiters) Datenschutzpflichten auf, die dem Niveau dieser Vereinbarung entsprechen (Art. 28 Abs. 4 DSGVO).

5.6 Haftung. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO); § 8 bleibt unberührt.

§ 6 Pflichten des Verantwortlichen

6.1 Rechtmäßigkeit. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten (Art. 5 und 6 DSGVO; Art. 4 und 5 KVKK) verantwortlich, insbesondere dafür, dass für die Erhebung von Feedback eine wirksame Rechtsgrundlage besteht.

6.2 Information und Betroffenenrechte. Der Verantwortliche ist dafür verantwortlich, die betroffenen Personen (insbesondere Feedback-Absender) nach Art. 13 und 14 DSGVO sowie Art. 10 KVKK über sein Formular oder auf andere geeignete Weise zu informieren und Anfragen betroffener Personen zu beantworten.

6.3 Besondere Kategorien und Daten von Kindern. Der Verantwortliche erhebt in seinen Formularen keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO; Art. 6 KVKK – z. B. Gesundheit, Religion, ethnische Herkunft, politische Meinungen, biometrische Daten); er erhebt nicht wissentlich personenbezogene Daten von Personen unter 18 Jahren und gestaltet seine Formulare nicht für diese Personen. Der Verantwortliche gestaltet seine Formulare und Freitextfelder so, dass sie solche Angaben nicht abfragen, und löscht entsprechende Daten unverzüglich, sofern er bemerkt, dass sie ihn erreicht haben.

6.4 Mitarbeiterkonten. Der Verantwortliche verwaltet seine Benutzer (Mitarbeiter) im Dienst selbst: Er legt Benutzer an und entfernt sie, bestimmt Rollen und Formularberechtigungen, wahrt die Vertraulichkeit der Zugangsdaten und entzieht ausgeschiedenen Personen den Zugang. Der Verantwortliche ist dafür verantwortlich, seine Mitarbeiter darüber zu informieren, dass deren Daten im Rahmen des Dienstes verarbeitet werden.

6.5 Weisungen. Der Verantwortliche ist für die Rechtmäßigkeit der von ihm erteilten Weisungen verantwortlich.

6.6 Weitere Pflichten. Pflichten, die dem Verantwortlichen als solchem obliegen (z. B. die Registrierung im Register der Verantwortlichen (VERBİS), soweit erforderlich, ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, eine Datenschutz-Folgenabschätzung, soweit erforderlich, die Meldung von Verletzungen an die zuständigen Behörden), liegen in seiner Verantwortung. Der Verantwortliche beurteilt zudem in eigener Verantwortung, ob die Maßnahmen in Anlage 2 dem Risiko seiner eigenen Verarbeitungstätigkeiten angemessen sind.

6.7 Kontaktdaten. Der Verantwortliche hält die Kontaktdaten in seinem Konto (insbesondere seine E-Mail-Adresse) aktuell; Mitteilungen nach dieser Vereinbarung (Ziff. 4.5 und 5.2) werden an diese Adresse gesendet.

§ 7 Übermittlungen in Drittländer

7.1 Verarbeitungsort. Die Server des Auftragsverarbeiters und der E-Mail-Versand befinden sich in der Türkei (Anlage 3). Push-Benachrichtigungen auf iOS werden über Google (Firebase Cloud Messaging; EU/USA) und Apple (APNs; USA) übermittelt; eine Push-Benachrichtigung wird nur gesendet, wenn der Nutzer auf seinem iOS-Gerät die Benachrichtigungsberechtigung erteilt hat, und die Berechtigung kann jederzeit deaktiviert werden. Der Verantwortliche weist an, den Dienst mit dieser Struktur bereitzustellen.

7.2 Standardvertragsklauseln. Für die Türkei besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Daher wird für Verantwortliche mit Sitz im Europäischen Wirtschaftsraum (EWR), in der Schweiz oder im Vereinigten Königreich Modul Zwei (Übermittlung von Verantwortlichen an Auftragsverarbeiter) der Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021 (die „SCC“) durch Verweis in diese Vereinbarung einbezogen. Im Rahmen der SCC ist der Verantwortliche Datenexporteur und der Auftragsverarbeiter Datenimporteur. Die SCC werden mit der Annahme dieser Vereinbarung zwischen den Parteien wirksam; eine gesonderte Unterschrift ist nicht erforderlich.

7.3 Auswahl innerhalb der SCC. Für die Zwecke der SCC haben die Parteien Folgendes vereinbart:

• SCC-Klausel 7 (Kopplungsklausel): aufgenommen (eine dritte Stelle kann den SCC mit Zustimmung der Parteien beitreten).
• SCC-Klausel 9 Buchst. a (Unterauftragsverarbeiter): Option 2 – allgemeine schriftliche Genehmigung; die Frist für die Mitteilung beträgt mindestens 14 Tage (Ziff. 5.2).
• SCC-Klausel 11 Buchst. a (Rechtsbehelf): die fakultative unabhängige Streitbeilegungsstelle ist nicht vorgesehen.
• SCC-Klausel 13 Buchst. a (Aufsicht): zuständige Aufsichtsbehörde ist die Aufsichtsbehörde des Landes, in dem der Verantwortliche als Datenexporteur niedergelassen ist.
• SCC-Klausel 17 (anwendbares Recht): Option 1 – das Recht Deutschlands.
• SCC-Klausel 18 Buchst. b (Gerichtsstand und Zuständigkeit): die Gerichte Deutschlands.
• SCC-Anhänge: SCC-Anhang I.A (Parteien) = Anlage 1 Teil A; SCC-Anhang I.B (Beschreibung der Übermittlung) = Anlage 1 Teil B; SCC-Anhang I.C (zuständige Aufsichtsbehörde) = Anlage 1 Teil C; SCC-Anhang II (technische und organisatorische Maßnahmen) = Anlage 2; SCC-Anhang III (Unterauftragsverarbeiter) = Anlage 3.

7.4 Schweiz und Vereinigtes Königreich. Für Verantwortliche mit Sitz in der Schweiz gelten die SCC mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB; englisch FDPIC) veröffentlichten Anpassungen: Verweise auf die DSGVO gelten als Verweise auf das Schweizer Bundesgesetz über den Datenschutz (DSG), zuständige Aufsichtsbehörde ist der EDÖB, und betroffene Personen behalten die Möglichkeit, ihre Rechte in der Schweiz als ihrem gewöhnlichen Aufenthaltsort geltend zu machen. Für Verantwortliche mit Sitz im Vereinigten Königreich gelten die SCC zusammen mit dem vom Information Commissioner’s Office (ICO) veröffentlichten International Data Transfer Addendum; zuständige Aufsichtsbehörde ist das ICO.

7.5 Vorrang. Bei Widersprüchen zwischen dieser Vereinbarung und den SCC haben die SCC Vorrang.

7.6 KVKK. Für Verantwortliche, die dem KVKK unterliegen, stellt die Verarbeitung des Auftragsverarbeiters in der Türkei keine Übermittlung ins Ausland dar. Für die Übermittlung an die für Push-Benachrichtigungen eingesetzten Unterauftragsverarbeiter im Ausland (Anlage 3) gilt der Rahmen des Art. 9 KVKK: Die Übermittlung erfolgt nur, wenn der Nutzer auf seinem Gerät die Benachrichtigungsberechtigung erteilt hat, die Berechtigung kann jederzeit deaktiviert werden, und der übermittelte Inhalt ist auf die in Anlage 1 genannten Angaben beschränkt (Nachrichtentext und Identität des Absenders werden nicht übermittelt). Auf Verlangen des Verantwortlichen vereinbaren die Parteien gesondert zusätzliche Garantien, die nach Art. 9 KVKK für erforderlich gehalten werden.

§ 8 Haftung

8.1 Zwischen den Parteien. Die Haftung zwischen den Parteien unterliegt den Haftungsbeschränkungen der Nutzungsbedingungen, soweit das anwendbare Recht dies zulässt.

8.2 Gegenüber betroffenen Personen. Diese Beschränkungen berühren weder die Haftung gegenüber betroffenen Personen noch Rechte aus Art. 82 DSGVO und SCC-Klausel 12; der Rückgriff zwischen den Parteien nach Art. 82 Abs. 5 DSGVO bleibt unberührt.

§ 9 Laufzeit und Beendigung

9.1 Laufzeit. Die Vereinbarung wird nach Ziff. 1.3 wirksam und gilt, solange die Dienstbeziehung besteht. Sie endet mit dem Ende der Dienstbeziehung (Löschung des Kontos, Ablauf der Lizenz oder Kündigung); ihre Bestimmungen gelten jedoch fort, solange der Auftragsverarbeiter weiterhin im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet (z. B. die Löschfrist nach Ziff. 4.6 und Backups).

9.2 Wesentlicher Verstoß. Der Verantwortliche kann den Dienst kündigen, wenn der Auftragsverarbeiter wesentlich gegen diese Vereinbarung oder die SCC verstößt und den Verstoß nicht innerhalb einer hierfür gesetzten angemessenen Frist behebt; die Kündigung kann fristlos erfolgen, wenn der Verstoß nicht behoben werden kann oder ein Abwarten dem Verantwortlichen nicht zugemutet werden kann. Der Auftragsverarbeiter kann ebenso die betreffende Verarbeitung einstellen oder den Dienst kündigen, wenn der Verantwortliche eine als rechtswidrig bezeichnete Weisung nicht ändert oder zurücknimmt (Ziff. 3.3).

9.3 Fortgeltende Bestimmungen. Vertraulichkeit, Löschung und Rückgabe (Ziff. 4.1 und 4.6), Haftung (§ 8) sowie diejenigen Bestimmungen der SCC, die nach Beendigung weiter gelten müssen, bleiben auch nach Ende der Vereinbarung in Kraft.

§ 10 Schlussbestimmungen

10.1 Sprachfassungen. Diese Vereinbarung wird auf Türkisch, Englisch und Deutsch veröffentlicht. Für Verantwortliche mit Sitz im EWR, in der Schweiz und im Vereinigten Königreich ist die deutsche Fassung maßgeblich; für alle übrigen Verantwortlichen ist die türkische Fassung maßgeblich; die englische Fassung dient lediglich der Orientierung.

10.2 Rangfolge. In Fragen des Schutzes personenbezogener Daten geht bei Widersprüchen zwischen dieser Vereinbarung und den Nutzungsbedingungen diese Vereinbarung vor; bei Widersprüchen zwischen dieser Vereinbarung und den SCC haben die SCC Vorrang.

10.3 Form und Änderungen. Die Vereinbarung kann elektronisch (auch per E-Mail) geschlossen werden, und Mitteilungen nach dieser Vereinbarung können elektronisch erfolgen; nach Art. 28 Abs. 9 DSGVO genügt die elektronische Form. Der Auftragsverarbeiter kann diese Vereinbarung wegen rechtlicher Entwicklungen, Entscheidungen von Behörden oder Änderungen des Dienstes aktualisieren; die jeweils aktuelle Fassung wird auf dieser Seite veröffentlicht. Wesentliche Änderungen zum Nachteil des Verantwortlichen werden an die im Konto hinterlegte E-Mail-Adresse mitgeteilt und treten frühestens 30 Tage nach der Mitteilung in Kraft; ein Verantwortlicher, der die Änderung nicht akzeptiert, kann die Vereinbarung innerhalb dieser Frist durch Löschung seines Kontos beenden. Für Änderungen bei Unterauftragsverarbeitern gilt § 5. Der Wortlaut der SCC kann auf diese Weise nicht geändert werden.

10.4 Salvatorische Klausel. Ist eine Bestimmung dieser Vereinbarung unwirksam oder undurchführbar, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. In diesem Fall gilt anstelle der unwirksamen Bestimmung diejenige wirksame Bestimmung, die deren wirtschaftlichem und rechtlichem Zweck am nächsten kommt.

Anlage 1 — Einzelheiten der Verarbeitung

Diese Anlage enthält die Einzelheiten der Verarbeitung nach Art. 28 Abs. 3 DSGVO und entspricht dem SCC-Anhang I.

A. Parteien (SCC-Anhang I.A)

• Datenexporteur (Verantwortlicher): Rolle: Verantwortlicher. Identität und Kontaktdaten: Unternehmensname, Name der berechtigten Person, E-Mail-Adresse und – sofern angegeben – Telefonnummer, die der Verantwortliche beim Anlegen seines Kontos angegeben hat. Kontaktperson: die im Konto genannte berechtigte Person.
• Datenimporteur (Auftragsverarbeiter): Rolle: Auftragsverarbeiter. Bekir UĞUR (handelnd unter der Bezeichnung „Konsol Dev“), Hürriyet Mahallesi, Numan Durak Aksoy Bulvarı No: 158/B, Kat: 2, No: 11, 27900 Oğuzeli / Gaziantep, Türkei; E-Mail: info@bildir365.com. Kontaktperson: der Auftragsverarbeiter selbst.
• Datum der Annahme: der Tag, an dem der Verantwortliche sein Konto anlegt oder den Dienst zu nutzen beginnt (siehe „Parteien und Wirksamkeit“).

B. Einzelheiten der Verarbeitung und Übermittlung (SCC-Anhang I.B)

• Gegenstand: Bereitstellung des Dienstes; Verarbeitung von Feedback-Daten und Mitarbeiter-Kontodaten im Auftrag des Verantwortlichen.
• Dauer: solange das Konto des Verantwortlichen besteht (§ 9); Aufbewahrungs- und Löschfristen siehe Tabelle unten.
• Art: Erheben, Erfassen, Ordnen, Speichern, Übermitteln (Dashboard, App, E-Mail, Push), Anzeigen, automatisches Maskieren unangemessener Wörter und Löschen.
• Zweck: Zustellung und Verwaltung von Feedback für den Verantwortlichen; Teamverwaltung; Versand von Benachrichtigungen; Gewährleistung der Sicherheit des Dienstes.
• Kategorien betroffener Personen:
  • Feedback-Absender (Personen, die das Formular des Verantwortlichen ausfüllen);
  • Mitarbeiter des Verantwortlichen (von der berechtigten Person im Dienst angelegte Benutzer).
• Kategorien personenbezogener Daten:
  • Feedback-Daten: Name, Telefonnummer und E-Mail-Adresse des Absenders (soweit im Formular vorgesehen und vom Absender eingegeben; welche Felder abgefragt werden und Pflichtfelder sind, bestimmt der Verantwortliche); in Formularfeldern eingegebener Freitext, Bewertungen und Auswahlantworten; hochgeladene Dateien (Foto, Video, PDF; bis zu 25 MB); IP-Adresse, Browserinformationen (User-Agent) und Zeitpunkt der Einreichung.
  • Mitarbeiter-Kontodaten: Name, E-Mail-Adresse, Rolle und die Formulare, für die die Person berechtigt ist; Passwort (ausschließlich als bcrypt-Hash); Spracheinstellung; E-Mail-Verifizierungs- und optionale Zwei-Schritt-Verifizierungscodes (kurzlebig); in der iOS-App das Sitzungstoken (auf dem Server nur als SHA-256-Hash), der Gerätename (der von iOS vergebene allgemeine Name) und die Plattform sowie das Push-Registrierungstoken.
  • Benachrichtigungsdaten: Push-Titel „Neues Feedback · {Formularname}“; Text: Art/Kategorie der Meldung (z. B. „Beschwerde“) oder „Sie haben neues Feedback erhalten.“; der Nachrichtentext und die Identität des Absenders werden nicht in die Push-Benachrichtigung aufgenommen. E-Mail: wenn vom Nutzer aktiviert, eine Zusammenfassung des neuen Feedbacks und ein Link zum Dashboard.
  • Moderationsdaten: Eintrag zu einem blockierten Absender (SHA-256-Hash von IP-Adresse und Browserinformationen, letzte 10 Ziffern der Telefonnummer, E-Mail-Adresse, Bezeichnung); Inhaltsmeldung (Nummer des meldenden Nutzers, Grund, Textauszug des Inhalts, Datum). Für diese Daten handelt der Auftragsverarbeiter nach Ziff. 2.4 zusätzlich als Verantwortlicher.
• Besondere Kategorien personenbezogener Daten: nicht vorgesehen; sie werden nicht wissentlich erhoben oder abgefragt (Ziff. 2.3 und 6.3).
• Häufigkeit: kontinuierlich (im Rahmen der Nutzung des Dienstes).
• Übermittlung und Verarbeitungsort: Die Verarbeitung findet in der Türkei statt; für Push-Benachrichtigungen zusätzlich bei Google (EU/USA) und Apple (USA) (Anlage 3).
• Übermittlung an Unterauftragsverarbeiter: erfolgt an die Unterauftragsverarbeiter in Anlage 3, im Rahmen der dort genannten Leistungen (Hosting und E-Mail-Versand; Push-Zustellung) und für die Dauer des Dienstes.
• Aufbewahrungsfristen: siehe Tabelle unten.

Aufbewahrungsfristen für Aufzeichnungen, die der Auftragsverarbeiter in eigener Verantwortung führt (z. B. Kontaktformular-Nachrichten, Ratenbegrenzungsdaten, Aktivitätsprotokolle), sind in der Datenschutzerklärung beschrieben.

C. Zuständige Aufsichtsbehörde (SCC-Anhang I.C)

Nach SCC-Klausel 13 die zuständige Datenschutz-Aufsichtsbehörde des Landes, in dem der Verantwortliche als Datenexporteur niedergelassen ist. Die aktuelle Liste der Aufsichtsbehörden in Deutschland: BfDI – Anschriften der Aufsichtsbehörden. In der Schweiz ist der EDÖB zuständig, im Vereinigten Königreich das ICO (Ziff. 7.4). Für Verantwortliche, die dem KVKK unterliegen und für die die SCC nicht gelten, ist die zuständige Behörde der Kişisel Verileri Koruma Kurulu.

Anlage 2 — Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt die folgenden Maßnahmen entsprechend Art und Umfang des Dienstes um (Art. 32 DSGVO; Art. 12 KVKK). Diese Anlage entspricht dem SCC-Anhang II. Die Maßnahmen können entsprechend dem technischen Fortschritt aktualisiert werden; das Schutzniveau wird nicht wesentlich abgesenkt (Ziff. 4.2).

1. Vertraulichkeit – Zugangs- und Zugriffskontrolle

• Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
• App-Sitzungs-Token (API) werden auf dem Server ausschließlich als SHA-256-Hash gespeichert.
• Optionale Zwei-Schritt-Verifizierung per E-Mail; für das Admin-Konto des Auftragsverarbeiters verpflichtend.
• Ratenbegrenzung und Schutz vor Brute-Force-Angriffen bei Anmeldung, Registrierung, Passwort-Zurücksetzung und Zwei-Schritt-Verifizierung.
• Sitzungs-Cookies werden mit den Attributen HttpOnly, SameSite und (über HTTPS) Secure gesetzt.
• Rollenbasierter Zugriff: Mitarbeiter des Verantwortlichen können nur auf die Formulare zugreifen, für die sie berechtigt sind.
• Anhänge zu Feedback und Support sind nicht öffentlich zugänglich; sie werden nur an berechtigte Nutzer ausgeliefert (ausgenommen Logos).
• Auf Seiten des Auftragsverarbeiters ist der Zugriff auf die für den Betrieb des Dienstes erforderliche Person beschränkt (derzeit ausschließlich der Auftragsverarbeiter).
• Physischer Zutritt: Die Server befinden sich in der Infrastruktur des Hosting-Anbieters; für die physische Sicherheit dieser Infrastruktur ist der Hosting-Anbieter verantwortlich (Anlage 3).

2. Weitergabekontrolle

• Daten werden per HTTPS/TLS übertragen.

3. Integrität

• CSRF-Schutz.
• Eingabevalidierung und Ausgabe-Escaping.
• Filter für unangemessene Inhalte sowie Werkzeuge zum Melden von Inhalten und zum Blockieren von Absendern.

4. Verfügbarkeit

• Backups werden vom Hosting-Anbieter erstellt; Einzelheiten liegen nicht im Einflussbereich des Auftragsverarbeiters.

5. Trennung und Isolation

• Datenisolation zwischen Unternehmen: Jedes Unternehmen sieht nur seine eigenen Daten.
• Mitarbeiter des Verantwortlichen sehen nur die Daten der Formulare, für die sie berechtigt sind.

6. Löschung

• Automatische Bereinigung gelöschter und abgelaufener Daten (Aufbewahrungsfristen in Anlage 1).
• Wird ein Konto gelöscht, werden das Unternehmen und alle damit verbundenen Daten und Anhänge sofort dauerhaft gelöscht (Ziff. 4.6).

Anlage 3 — Unterauftragsverarbeiter

Der Verantwortliche hat nach Ziff. 5.1 die allgemeine schriftliche Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter erteilt. Diese Anlage entspricht dem SCC-Anhang III.

• Der App-Store-Vertrieb liegt in der eigenen Verantwortung von Apple; der Auftragsverarbeiter erhält keine Kauf- oder Downloaddaten aus dem App Store.
• Push-Benachrichtigungen werden nur gesendet, wenn der Nutzer auf seinem iOS-Gerät die Benachrichtigungsberechtigung erteilt hat; die Berechtigung kann jederzeit deaktiviert werden.
• Die eigenen berechtigten Nutzer des Verantwortlichen sind keine Unterauftragsverarbeiter.
• Änderungen bei Unterauftragsverarbeitern werden nach Ziff. 5.2 mitgeteilt; die aktuelle Liste befindet sich auf dieser Seite.
• Datenschutzerklärungen der Unterauftragsverarbeiter: Google · Apple.