Auftragsverarbeitungsvertrag (DPA)

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Nutzungsbedingungen und des Dienstleistungsvertrags zwischen:

1.1 Dieser DPA regelt die Verarbeitung personenbezogener Daten durch QLIO im Auftrag des Kunden im Zusammenhang mit der Bereitstellung des QLIO-Reservierungssystems.

1.2 Dieser DPA gilt ausschließlich für personenbezogene Daten der Endkunden des Kunden (Gäste des Veranstaltungsortes), die über das Buchungssystem verarbeitet werden.

1.3 Dieser DPA unterliegt Artikel 28 der Datenschutz-Grundverordnung (DSGVO) der EU (Verordnung 2016/679) und gegebenenfalls der britischen UK GDPR.

QLIO verpflichtet sich zu:

Personenbezogene Daten ausschließlich auf dokumentierte Anweisung des Kunden zu verarbeiten, wie in diesem DPA und dem Dienstleistungsvertrag festgelegt.

Sicherzustellen, dass alle zur Verarbeitung personenbezogener Daten befugten Mitarbeiter zur Vertraulichkeit verpflichtet sind.

Geeignete technische und organisatorische Maßnahmen umzusetzen, einschließlich:

• Verschlüsselung personenbezogener Daten während der Übertragung (TLS/HTTPS) und im Ruhezustand
• Zugriffskontrollen, die den Zugriff von Mitarbeitern auf personenbezogene Daten auf das erforderliche Maß beschränken
• Regelmäßige Prüfung und Bewertung der Sicherheitsmaßnahmen
• Verfahren zur Erkennung, Meldung und Untersuchung von Sicherheitsvorfällen

Keine neuen Unterauftragsverarbeiter ohne vorherige Information des Kunden einzusetzen (14 Tage Vorankündigung). Siehe Abschnitt 6 für die aktuelle Liste der Unterauftragsverarbeiter.

Den Kunden bei der Beantwortung von Anfragen betroffener Personen zu unterstützen, die ihre Rechte gemäß der DSGVO ausüben. QLIO leitet alle direkt erhaltenen Anfragen unverzüglich an den Kunden weiter.

Den Kunden bei der Einhaltung der DSGVO-Pflichten in Bezug auf Sicherheit, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen zu unterstützen.

Nach Beendigung des Vertrags sind alle personenbezogenen Daten zu löschen oder an den Kunden zurückzugeben. Die Daten stehen für einen Zeitraum von 30 Tagen nach Vertragsende zum Export zur Verfügung.

Alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung dieses DPA nachzuweisen, und Audits nach angemessener Vorankündigung zu ermöglichen.

Der Kunde verpflichtet sich zu:

• Sicherzustellen, dass eine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten besteht, bevor QLIO mit der Verarbeitung beauftragt wird
• Bereitstellung klarer und ausreichender Datenschutzhinweise für betroffene Personen darüber, wie ihre Daten verarbeitet werden, einschließlich der Rolle von QLIO als Auftragsverarbeiter
• Sicherzustellen, dass alle an QLIO erteilten Anweisungen den geltenden Datenschutzgesetzen entsprechen

6.1 Der Kunde erteilt QLIO eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern, vorbehaltlich der Bedingungen dieses Abschnitts.

6.2 Aktuelle Unterauftragsverarbeiter:

6.3 QLIO informiert den Kunden über geplante Änderungen (Hinzufügungen oder Ersetzungen) mit einer Frist von mindestens 14 Tagen. Der Kunde kann innerhalb dieser Frist aus berechtigten Gründen Widerspruch einlegen.

6.4 Alle Unterauftragsverarbeiter sind durch Datenverarbeitungsverträge gebunden, die gleichwertige Verpflichtungen wie dieser DPA auferlegen.

7.1 Personenbezogene Daten von Gästen des Veranstaltungsortes werden so lange gespeichert, wie es zur Durchführung der Buchung erforderlich ist, sowie für weitere 12 Monate danach.

7.2 Der Kunde kann eine frühere Löschung beantragen, indem er sich an support@qliopanel.com wendet.

7.3 Nach Ablauf der Aufbewahrungsfrist werden personenbezogene Daten sicher und endgültig gelöscht.

8.1 QLIO benachrichtigt den Kunden unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem es von einem Sicherheitsvorfall Kenntnis erlangt hat.

8.2 Die Benachrichtigung umfasst: Art des Vorfalls, Kategorien und Anzahl der betroffenen Personen, wahrscheinliche Folgen sowie ergriffene Maßnahmen.

8.3 Der Kunde ist verantwortlich für die Meldung an die zuständige Aufsichtsbehörde sowie die Information der betroffenen Personen, sofern dies nach der DSGVO erforderlich ist.

9.1 EU-/UK-Kunden: Personenbezogene Daten werden auf Servern in der EU (Polen) verarbeitet. Jede Übermittlung außerhalb des EWR/UK erfolgt auf Grundlage der EU-Standardvertragsklauseln (SCCs) oder der UK IDTA.

9.2 US-Kunden: Personenbezogene Daten werden auf Servern in den Vereinigten Staaten verarbeitet. Übermittlungen aus der EU in die USA unterliegen den EU-Standardvertragsklauseln.

Dieser DPA unterliegt dem Recht der Republik Polen und ist in Übereinstimmung mit der DSGVO auszulegen.

Dieser DPA tritt mit dem Datum der Annahme des Dienstleistungsvertrags in Kraft und endet automatisch mit der Beendigung des Dienstleistungsvertrags, vorbehaltlich der in Abschnitt 7 festgelegten Löschpflichten.