Auftragsverarbeitungsvereinbarung

1. Rollen, Gegenstand und Dauer

Der Verantwortliche beauftragt Lizensa als Auftragsverarbeiter, und Lizensa nimmt diese Bestellung für die in Abschnitt 2 beschriebene Verarbeitung an.

• Gegenstand: Betrieb des B2B-Großhandelsshops von Lizensa, des Kundenkontos und der zugehörigen Unterlizenzen.
• Dauer: für die Laufzeit des Kontos und bis zur vollständigen Rückgabe oder Löschung nach Abschnitt 9.
• Art und Zweck: Auftrags- und Lizenzabwicklung, Rechnungsstellung und Buchhaltung, Konto- und Zugriffsverwaltung, Kundenservice, Betrugsprävention und Plattformsicherheit.

2. Datenkategorien und betroffene Personen

Die Verarbeitung umfasst:

• Betroffene Personen: eigene Mitarbeitende, Kunden, Endnutzer und Wiederverkäufer des Verantwortlichen, deren Daten er in ein Konto oder eine Bestellung einträgt;
• Kategorien personenbezogener Daten: Name, geschäftliche E-Mail-Adresse, Telefonnummer, Rechnungs- und Lieferadresse, USt-IdNr., Bestell- und Lizenzdaten, Zahlungsmetadaten, Rechnungs- und Buchhaltungsunterlagen, Konto- und Anmeldedaten, Supportkorrespondenz sowie die in der Datenschutzerklärung beschriebenen Einwilligungs- und Analysedaten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden im Auftrag des Verantwortlichen nicht verarbeitet.

3. Dokumentierte Weisungen

Lizensa verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen, auch im Hinblick auf internationale Übermittlungen, es sei denn, EU- oder Mitgliedstaatenrecht verlangt dies – dann informiert Lizensa den Verantwortlichen vor der Verarbeitung, sofern das Gesetz dies nicht verbietet.

Die Weisungen ergeben sich aus dem Kontovertrag, dem Auftragsformular, der vom Verantwortlichen im Backoffice gewählten Konfiguration und jeder schriftlichen Weisung an privacy@lizensa.de.

4. Vertraulichkeit

Alle Personen, die Lizensa mit der Verarbeitung personenbezogener Daten beauftragt, sind zur Vertraulichkeit verpflichtet und greifen nur auf die für ihre Rolle erforderlichen Daten zu.

5. Sicherheit der Verarbeitung

Lizensa setzt die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um, wie in Abschnitt 9 der Datenschutzerklärung beschrieben – TLS 1.3 bei der Übertragung, AES-256-Verschlüsselung ruhender Daten, Zugriffskontrolle mit Zwei-Faktor-Authentifizierung für Mitarbeitende, Protokollierung privilegierter Vorgänge und regelmäßige Datensicherung. Hosting und CDN-Verarbeitung finden in der Europäischen Union statt.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt Lizensa die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen; Lizensa führt die aktuelle Liste der Empfängerkategorien in Abschnitt 3 der Datenschutzerklärung.

• Lizensa kündigt die Aufnahme oder den Austausch eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an.
• Der Verantwortliche kann binnen dieser Frist schriftlich Widerspruch einlegen; lässt sich der Widerspruch nicht klären, kann der Verantwortliche das betroffene Konto fristlos beenden.
• Lizensa auferlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten, die denjenigen dieser AVV nicht nachstehen.

7. Internationale Übermittlungen

Lizensa übermittelt personenbezogene Daten nur unter den in Abschnitt 4 der Datenschutzerklärung genannten Garantien außerhalb des EWR – einem Angemessenheitsbeschluss, dem EU-US Data Privacy Framework, den Standardvertragsklauseln der Europäischen Kommission oder ergänzenden technischen Maßnahmen. Stützt sich eine Übermittlung auf die Standardvertragsklauseln, werden diese mit dem jeweiligen Unterauftragsverarbeiter geschlossen.

8. Unterstützung des Verantwortlichen

Lizensa unterstützt den Verantwortlichen – unter Berücksichtigung der Art der Verarbeitung und soweit möglich – durch angemessene technische und organisatorische Maßnahmen bei der Beantwortung von Betroffenenrechten nach Art. 12–22, bei der Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35, bei der Konsultation der Aufsichtsbehörde nach Art. 36 sowie bei der Meldung und Dokumentation einer Verletzung des Schutzes personenbezogener Daten nach Art. 33.

Lizensa leitet Betroffenenanfragen, die es im Auftrag des Verantwortlichen erhält, ohne unangemessene Verzögerung an diesen weiter.

9. Audit und Inspektion

Lizensa stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung Art. 28 DSGVO nachzuweisen, und gestattet Audits einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, unter folgenden Bedingungen:

• mindestens 14 Tage vorherige schriftliche Ankündigung;
• höchstens ein Audit pro Jahr zum selben Gegenstand;
• angemessene Vertraulichkeits- und Betriebsbedingungen;
• Kosten trägt der Verantwortliche, es sei denn, das Audit legt eine wesentliche Vertragsverletzung durch Lizensa offen.

10. Rückgabe und Löschung

Nach Beendigung des Kontos gibt Lizensa die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen zurück oder löscht sie, sofern nicht EU- oder Mitgliedstaatenrecht ihre Aufbewahrung verlangt. Auf Anfrage löscht oder anonymisiert Lizensa die Daten einer betroffenen Person nach Art. 17 DSGVO, vorbehaltlich der gesetzlichen Aufbewahrungspflichten für Rechnungen und Buchhaltungsunterlagen.

11. Haftung

Die Haftung von Lizensa aus dieser AVV ist auf die in den zwölf Monaten vor dem schädigenden Ereignis gezahlten Vergütungen beschränkt. Diese Beschränkung gilt nicht, soweit gesetzlich ausgeschlossen, und nicht für Vorsatz oder grobe Fahrlässigkeit.

12. Kontakte

Vertragliche Mitteilungen und datenschutzrechtliche Angelegenheiten zu dieser AVV:

• Auftragsverarbeiter: Digital Soft Distribution Sp. z o.o., ul. Hoża 86/410, 00-682 Warszawa, PL · privacy@lizensa.de · support@lizensa.de
• Aufsichtsbehörde: BfDI bzw. die zuständige Landesdatenschutzbehörde

Diese AVV richtet sich nach der Verordnung (EU) 2016/679 und dem polnischen Recht, unbeschadet der zwingenden Vorschriften zum Schutz der betroffenen Personen in ihrem Wohnsitzland.