Dies ist eine Übersetzung zu Ihrer Information. Bei Abweichungen von der englischen Fassung ist die englische Fassung maßgeblich.
Auftragsverarbeitungsvertrag (AVV)
Dieser Vertrag gilt zwischen jeder Organisation, die Petdocus nutzt (einer Tierschutzorganisation oder einer Tierarztpraxis — dem Verantwortlichen), und dem Betreiber von Petdocus (dem Auftragsverarbeiter) für die personenbezogenen Daten, die die Organisation über andere Personen eingibt. Der Admin einer Organisation akzeptiert ihn in der App.
1. Parteien
Auftragsverarbeiter: Condria Eduard-Dragos, Rumänien, Betreiber von Petdocus während der kostenlosen Pilotphase (Kontakt: condriaeduarddragos@gmail.com). Verantwortlicher: die Organisation, deren Admin diesen Vertrag in Petdocus akzeptiert hat.
2. Gegenstand, Dauer, Art und Zweck
Der Auftragsverarbeiter speichert und verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um Petdocus bereitzustellen: Führen von Tierakten, Verwaltung der Mitglieder der Organisation, Vermittlungsübergaben, Teilen mit Partnerorganisationen und Tierarztpraxen sowie der Änderungsverlauf. Der Vertrag gilt, solange die Organisation Petdocus nutzt.
3. Art der Daten und Kategorien betroffener Personen
- Mitglieder der Organisation: Name, E-Mail-Adresse, Rolle, Berechtigungen; bei Praxen die Approbationsnummern der Tierärzte.
- Adoptanten und Halter: Name und E-Mail-Adresse; alle Kontaktdaten, die die Organisation erfasst.
- Pflegestellen und andere Personen, die in Akten oder Dokumenten genannt werden (zum Beispiel in Heimtierausweisen).
- Einträge im Änderungsverlauf, die sich auf diese Personen beziehen.
Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen; der Verantwortliche gibt solche Daten nicht ein.
4. Pflichten des Auftragsverarbeiters
- Die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten — die Nutzung der Funktionen von Petdocus ist die Weisung —, sofern das Recht nichts anderes vorschreibt.
- Sicherzustellen, dass sich alle zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
- Geeignete technische und organisatorische Maßnahmen (Art. 32) umzusetzen: Verschlüsselung bei der Übertragung, sicheres Passwort-Hashing, Zwei-Schritt-Verifizierung für Admins, serverseitige Berechtigungsprüfung bei jeder Anfrage, private Dateispeicherung mit protokollierten Aufrufen, nur ergänzbares, per Hash verkettetes Aktivitätsprotokoll, Speicherung unter EU-Jurisdiktion, Point-in-Time-Wiederherstellung.
- Unterauftragsverarbeiter nur gemäß der Seite der Unterauftragsverarbeiter in Anspruch zu nehmen; die Verantwortlichen über beabsichtigte Änderungen zu informieren, damit sie Einspruch erheben können; diesen dieselben Datenschutzpflichten aufzuerlegen.
- Den Verantwortlichen bei Anträgen betroffener Personen (Export und Löschung in Eigenregie in der App; weitere Unterstützung auf Anfrage) sowie bei der Einhaltung der Artikel 32–36 zu unterstützen.
- Den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, mit den verfügbaren Informationen zu benachrichtigen.
- Nach Ende des Dienstes die Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (der Export der Organisation unter Einstellungen liefert eine vollständige Kopie), sofern nicht eine gesetzliche Pflicht zur Speicherung besteht.
- Alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen und Überprüfungen in angemessener Weise zu ermöglichen.
5. Pflichten des Verantwortlichen
- Über eine Rechtsgrundlage für die von ihm erfassten Daten zu verfügen und die betroffenen Personen (zum Beispiel Adoptanten) zu informieren.
- Nur das Nötige zu erfassen; Notizen frei von unnötigen persönlichen Angaben zu halten.
- Mitgliedern nur die Berechtigungen zu geben, die sie benötigen; die Zwei-Schritt-Verifizierung für Admins aktiviert zu lassen.
6. Internationale Übermittlungen
Die Daten werden unter EU-Jurisdiktion gespeichert. Unterauftragsverarbeiter in den USA sind durch das EU-US Data Privacy Framework und/oder Standardvertragsklauseln abgedeckt. Übermittlungen in das Vereinigte Königreich stützen sich auf den Angemessenheitsbeschluss der EU für das Vereinigte Königreich.
7. Haftung und anwendbares Recht
Die Haftung richtet sich nach Art. 82 DSGVO. Es gilt rumänisches Recht. Diese Vorlage wird vor Beginn kostenpflichtiger Tarife anwaltlich geprüft; die Verantwortlichen werden gebeten, die geprüfte Fassung zu akzeptieren.