Parteien

Dieser Auftragsverarbeitungsvertrag (der "DPA"), geschlossen gemäß Artikel 28 der Verordnung (EU) 2016/679 (die "DSGVO"), bildet einen integralen Anhang zum Master Services and Subscription Agreement (der "MSA") zwischen: Dem Verantwortlichen: dem Unternehmen, das den MSA im Rahmen des Onboardings angenommen hat, identifiziert durch die umsatzsteuerlich registrierte juristische Person, die über das Onboarding-Formular erfasst und über den VIES-Dienst überprüft wurde (nachfolgend der "Verantwortliche" oder "Sie"); und dem Auftragsverarbeiter: Forge Digital EOOD, handelnd unter Cars by Forge Digital, mit Sitz in ul. Aleksandar Stamboliiski N 5-B, flr. 8, office 60, 6000 Stara Zagora, Bulgarien, USt-IdNr. BG208556549, EIK/UIC 208556549. Datenschutzkontakt: Jonas Van Gavere, Geschäftsführer, info@forgedigital.io (nachfolgend der "Auftragsverarbeiter" oder "Forge Digital"). Der Verantwortliche und der Auftragsverarbeiter sind jeweils eine "Partei" und gemeinsam die "Parteien".

1 Begriffsbestimmungen und Rollen

Begriffe wie "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde" haben die ihnen in der DSGVO zugewiesene Bedeutung. Die DSGVO bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. Groß geschriebene Begriffe, die in diesem DPA verwendet und hier nicht definiert werden, haben die ihnen im MSA zugewiesene Bedeutung. Für die Zwecke des MSA und dieses DPA handelt der Verantwortliche als Verantwortlicher und Forge Digital handelt als Auftragsverarbeiter in Bezug auf die personenbezogenen Daten, die Forge Digital im Auftrag des Verantwortlichen im Zusammenhang mit der Website und den damit verbundenen Leistungen verarbeitet (die "personenbezogenen Daten des Verantwortlichen"). Personenbezogene Daten, die Forge Digital über den Verantwortlichen selbst, seine Administrator-Nutzer und seine Abrechnung verarbeitet (beispielsweise die Administrator-E-Mail-Adresse und die Abrechnungsdaten des Verantwortlichen), werden von Forge Digital als eigenständigem Verantwortlichen verarbeitet und unterliegen der eigenen Datenschutzerklärung von Forge Digital, nicht diesem DPA.

2 Gegenstand, Dauer, Art und Zweck

Dieser DPA regelt die Verarbeitung der personenbezogenen Daten des Verantwortlichen, die Forge Digital im Auftrag des Verantwortlichen im Zusammenhang mit dem MSA durchführt. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die betroffenen Arten personenbezogener Daten des Verantwortlichen und die Kategorien betroffener Personen sind in Annex 1 festgelegt. Dieser DPA tritt an dem Tag in Kraft, an dem der Verantwortliche ihn annimmt, und bleibt so lange in Kraft, wie Forge Digital personenbezogene Daten des Verantwortlichen in dessen Auftrag verarbeitet. Dieser Zeitraum entspricht der Laufzeit des MSA, verlängert um die Karenzzeit und um jeden weiteren Zeitraum, der für die Rückgabe oder Löschung der personenbezogenen Daten des Verantwortlichen gemäß Abschnitt 10 vernünftigerweise erforderlich ist.

3 Pflichten des Auftragsverarbeiters

Forge Digital wird in Bezug auf die personenbezogenen Daten des Verantwortlichen:

• die personenbezogenen Daten des Verantwortlichen ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, es sei denn, Forge Digital ist hierzu nach dem Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet, dem Forge Digital unterliegt; in diesem Fall teilt Forge Digital dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet;
• anerkennen, dass der MSA und dieser DPA (einschließlich seiner Anhänge) zusammen mit der Nutzung der Konsole durch den Verantwortlichen die dokumentierten Weisungen des Verantwortlichen an Forge Digital darstellen;
• sicherstellen, dass sich die zur Verarbeitung der personenbezogenen Daten des Verantwortlichen befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, im Einklang mit Artikel 32 DSGVO und wie in Annex 3 näher beschrieben;
• die in Abschnitt 5 festgelegten Bedingungen für die Inanspruchnahme eines weiteren Auftragsverarbeiters (eines Unterauftragsverarbeiters) einhalten;
• den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer in Kapitel III DSGVO genannten Rechte nachzukommen;
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der Forge Digital zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten unterstützen;
• nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten des Verantwortlichen nach Abschluss der Erbringung der mit der Verarbeitung verbundenen Leistungen löschen oder an den Verantwortlichen zurückgeben und vorhandene Kopien löschen, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung der personenbezogenen Daten des Verantwortlichen besteht, gemäß Abschnitt 10;
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten zur Verfügung stellen sowie Überprüfungen, einschließlich Inspektionen, gemäß Abschnitt 9 ermöglichen und dazu beitragen.

4 Sicherheit der Verarbeitung

Forge Digital ergreift die in Annex 3 festgelegten technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten, die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. Forge Digital kann die Maßnahmen von Zeit zu Zeit aktualisieren, sofern das Gesamtniveau der Sicherheit dadurch nicht verringert wird.

5 Unterauftragsverarbeitung

5.1 Allgemeine schriftliche Genehmigung

Der Verantwortliche erteilt Forge Digital eine allgemeine schriftliche Genehmigung im Sinne von Artikel 28 Absatz 2 DSGVO, die in Annex 2 beschriebenen Unterauftragsverarbeiter für die in jenem Anhang beschriebenen Verarbeitungstätigkeiten in Anspruch zu nehmen. Annex 2 beschreibt jeden Unterauftragsverarbeiter anhand seiner Funktion und seiner Verarbeitungsregion; die vollständige Liste, die jeden Unterauftragsverarbeiter und dessen juristische Person benennt, wird dem Verantwortlichen jederzeit auf Anfrage an support@forgedigital.io zur Verfügung gestellt.

5.2 Mitteilung neuer Unterauftragsverarbeiter

Beabsichtigt Forge Digital, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, so teilt Forge Digital dem Verantwortlichen die beabsichtigte Änderung vorab unter Angabe der Funktion, der juristischen Person und der Verarbeitungsregion des neuen Unterauftragsverarbeiters mit und gibt ihm Gelegenheit, innerhalb von dreißig (30) Tagen nach der Mitteilung aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben. Erhebt der Verantwortliche innerhalb dieser Frist keinen Einspruch, gilt die Änderung als angenommen. Die aktuelle vollständige Liste der Unterauftragsverarbeiter, die jeden von ihnen benennt, wird dem Verantwortlichen jederzeit auf Anfrage an support@forgedigital.io zur Verfügung gestellt.

5.3 Einspruch

Erhebt der Verantwortliche aus datenschutzrechtlichen Gründen berechtigten Einspruch gegen einen neuen oder ersetzenden Unterauftragsverarbeiter, so erörtern die Parteien den Einspruch nach Treu und Glauben. Können die Parteien den Einspruch nicht ausräumen, kann der Verantwortliche die betroffenen Leistungen mit Wirkung zu einem von ihm bestimmten Zeitpunkt kündigen; in diesem Fall erstattet Forge Digital bereits im Voraus gezahlte Gebühren für den Zeitraum nach der Kündigung. Dies ist der einzige und ausschließliche Rechtsbehelf des Verantwortlichen im Fall eines nicht ausgeräumten Einspruchs.

5.4 Weitergabe der Pflichten

Forge Digital erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrages oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht eines Mitgliedstaats dieselben datenschutzrechtlichen Pflichten auf, wie sie in diesem DPA festgelegt sind, insbesondere die Pflicht, hinreichende Garantien für die Durchführung geeigneter technischer und organisatorischer Maßnahmen zu bieten. Kommt ein Unterauftragsverarbeiter seinen datenschutzrechtlichen Pflichten nicht nach, so haftet Forge Digital gegenüber dem Verantwortlichen weiterhin in vollem Umfang für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters.

6 Internationale Übermittlungen

6.1 Primärer Verarbeitungsort

Die personenbezogenen Daten des Verantwortlichen werden innerhalb der Europäischen Union / des Europäischen Wirtschaftsraums (EU/EWR) verarbeitet. Der Anbieter der Datenbank und der Dateispeicherung hostet die Daten in Frankfurt, Deutschland, und der Anbieter des Anwendungshostings liefert die Website aus seiner Frankfurter Region aus.

6.2 Übermittlungen an Unterauftragsverarbeiter

Ist ein gemäß Abschnitt 5 in Anspruch genommener Unterauftragsverarbeiter außerhalb des EWR niedergelassen oder werden personenbezogene Daten des Verantwortlichen anderweitig außerhalb des EWR übermittelt, so erfolgt eine solche Übermittlung nur vorbehaltlich der nach Kapitel V DSGVO erforderlichen Garantien, und zwar (je nach Anwendbarkeit):

• eines Angemessenheitsbeschlusses der Europäischen Kommission (einschließlich der Berufung auf das EU-US Data Privacy Framework, sofern der Empfänger eine zertifizierte US-Organisation ist);
• der Standardvertragsklauseln der Europäischen Kommission für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679, zusammen mit denjenigen ergänzenden Maßnahmen, die im Anschluss an eine Folgenabschätzung zur Übermittlung angemessen sind; oder
• einer anderen nach der DSGVO anerkannten geeigneten Garantie.

6.3 Folgenabschätzungen zur Übermittlung

Forge Digital dokumentiert für jeden Unterauftragsverarbeiter, an den personenbezogene Daten des Verantwortlichen außerhalb des EWR übermittelt werden können, den herangezogenen Übermittlungsmechanismus und, soweit einschlägig, eine kurze Folgenabschätzung zur Übermittlung. Diese Aufzeichnungen werden dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

7 Verletzung des Schutzes personenbezogener Daten

Forge Digital benachrichtigt den Verantwortlichen unverzüglich, in jedem Fall jedoch spätestens innerhalb von zweiundsiebzig (72) Stunden, nachdem Forge Digital Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die personenbezogene Daten des Verantwortlichen betrifft. Die Benachrichtigung enthält, soweit Forge Digital die Informationen zu diesem Zeitpunkt vorliegen, die in Artikel 33 Absatz 3 DSGVO genannten Angaben, nämlich:

• eine Beschreibung der Art der Verletzung, soweit möglich einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen personenbezogenen Datensätze;
• den Namen und die Kontaktdaten des Datenschutzkontakts von Forge Digital;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, werden sie ohne unangemessene weitere Verzögerung schrittweise bereitgestellt. Forge Digital leistet dem Verantwortlichen angemessene weitere Unterstützung bei der Erfüllung seiner eigenen Pflichten nach den Artikeln 33 und 34 DSGVO.

8 Rechte der betroffenen Personen

Erhält Forge Digital einen Antrag einer betroffenen Person, die ihre Rechte nach der DSGVO (etwa auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch) in Bezug auf personenbezogene Daten des Verantwortlichen geltend macht, so leitet Forge Digital diesen Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, sofern dies nicht untersagt ist. Forge Digital unterstützt den Verantwortlichen bei der Beantwortung solcher Anträge wie in Abschnitt 3 beschrieben.

9 Überprüfungen

Forge Digital stellt dem Verantwortlichen alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses DPA und des Artikels 28 DSGVO nachzuweisen, und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten unabhängigen Prüfer durchgeführt werden, und trägt dazu bei. Der Verantwortliche kann dieses Prüfrecht einmal pro Kalenderjahr nach angemessener vorheriger schriftlicher Ankündigung von mindestens dreißig (30) Tagen ausüben sowie zusätzlich ohne Einhaltung dieser Ankündigungsfrist nach einer bestätigten Verletzung des Schutzes personenbezogener Daten, die personenbezogene Daten des Verantwortlichen betrifft. Überprüfungen werden während der üblichen Geschäftszeiten und in einer Weise durchgeführt, die Störungen des Betriebs von Forge Digital möglichst gering hält, und stehen unter dem Vorbehalt angemessener Vertraulichkeitsverpflichtungen des Verantwortlichen und seines Prüfers in Bezug auf Geschäftsinformationen von Forge Digital und personenbezogene Daten der übrigen Kunden von Forge Digital. Verfügt Forge Digital über aktuelle Zertifizierungen Dritter, Prüfberichte oder Sicherheitsbewertungen, die für die von diesem DPA erfasste Verarbeitung relevant sind, so kann Forge Digital dem Prüfverlangen des Verantwortlichen ganz oder teilweise durch Vorlage dieser Unterlagen nachkommen. Jede Partei trägt ihre eigenen Kosten einer Überprüfung; ergibt eine Überprüfung jedoch einen wesentlichen Verstoß von Forge Digital gegen diesen DPA, so erstattet Forge Digital dem Verantwortlichen die angemessenen Prüferhonorare.

10 Rückgabe und Löschung

10.1 Bei Beendigung

Nach Beendigung oder Ablauf des MSA oder auf früheres schriftliches Verlangen des Verantwortlichen löscht Forge Digital nach Wahl des Verantwortlichen sämtliche in dessen Auftrag verarbeiteten personenbezogenen Daten des Verantwortlichen oder gibt sie an den Verantwortlichen zurück und löscht vorhandene bei Forge Digital verwahrte Kopien, vorbehaltlich der Abschnitte 10.2 und 10.3.

10.2 90-tägiges Wiederherstellungsfenster

Die Parteien erkennen an, dass die Plattform personenbezogene Daten des Verantwortlichen während einer neunzig (90) Tage währenden Karenzzeit nach Beendigung aufbewahrt, um es dem Verantwortlichen zu ermöglichen, das Abonnement wiederherzustellen und seine Daten zurückzuerlangen. Während der Karenzzeit werden die personenbezogenen Daten des Verantwortlichen in einem stillgelegten Zustand vorgehalten, nicht aktiv verarbeitet und sind für niemanden außer dem befugten Personal von Forge Digital zugänglich, und zwar ausschließlich zu dem Zweck, die Wiederherstellbarkeit aufrechtzuerhalten. Diese Aufbewahrung stellt eine dokumentierte Weisung des Verantwortlichen für die Zwecke von Artikel 28 Absatz 3 Buchstabe g DSGVO dar: Mit der Annahme dieses DPA weist der Verantwortliche Forge Digital an, die personenbezogenen Daten des Verantwortlichen für die Dauer der Karenzzeit aufzubewahren und sie anschließend zu löschen.

10.3 Nach Ablauf der Karenzzeit

Nach Ablauf der Karenzzeit löscht Forge Digital die personenbezogenen Daten des Verantwortlichen endgültig von der Plattform, mit Ausnahme der in Abschnitt 14.4 des MSA bezeichneten begrenzten Aufzeichnungen (Rechnungen und Buchhaltungsunterlagen, Protokoll der Annahme von Vertragsfassungen, geschwärztes Versandprotokoll mit den Empfänger-E-Mail-Adressen ausschließlich des Postfachs und der Administratoren des Verantwortlichen sowie Historie der Bindungsangebote). Forge Digital schützt diese Aufzeichnungen im Einklang mit diesem DPA weiterhin, solange sie aufbewahrt werden.

11 Haftung und anwendbares Recht

Für jede Partei gilt hinsichtlich ihrer Verarbeitung personenbezogener Daten die gesetzliche Haftungsregelung der DSGVO. Vorbehaltlich des Vorstehenden unterliegt dieser DPA bulgarischem Recht, und für alle sich aus ihm oder im Zusammenhang mit ihm ergebenden Streitigkeiten sind ausschließlich die Gerichte von Stara Zagora, Bulgarien, zuständig, im Einklang mit Abschnitt 22 des MSA (der die einseitige Ausnahmeregelung zugunsten von Forge Digital enthält). Im Fall eines Widerspruchs zwischen diesem DPA und dem MSA in Datenschutzfragen geht dieser DPA vor. Dieser DPA bildet einen integralen Anhang zum MSA; die übrigen Bestimmungen des MSA bleiben unberührt.

12 Annahme

Dieser DPA wird auf elektronischem Weg geschlossen. Mit dem Klick auf "Annehmen" im Rahmen des Onboardings erklärt sich der Verantwortliche mit der Bindung an diesen DPA einverstanden; eine handschriftliche Unterschrift ist nicht erforderlich. Forge Digital zeichnet die Annahme, die Kennung und die Fassung dieses DPA, das genaue Datum und die genaue Uhrzeit, eine gehashte IP-Adresse sowie die Sprache auf, in der dieser DPA angezeigt wurde.

Annex 1 Einzelheiten der Verarbeitung

Gegenstand

Das Hosting der Website des Verantwortlichen und die Übermittlung von Website-Anfragen, die von Besuchern an den Verantwortlichen gerichtet werden, wie im MSA näher beschrieben.

Dauer

Für die Laufzeit des MSA zwischen den Parteien, verlängert um die Karenzzeit und danach um jeden Zeitraum, der für die Rückgabe oder Löschung der personenbezogenen Daten des Verantwortlichen gemäß Abschnitt 10 dieses DPA erforderlich ist.

Art und Zweck der Verarbeitung

• Hosting und Speicherung von Website-Inhalten und übermittelten Daten;
• Entgegennahme und Weiterleitung von Anfragen und Kontaktformular-Einsendungen per E-Mail an den Verantwortlichen, die nicht auf der Plattform gespeichert werden;
• Speicherung von Fahrzeugangeboten, die von privaten Verkäufern über das Formular "Bieten Sie Ihr Auto an" eingereicht werden und die gelöscht werden, sobald das Fahrzeug verkauft ist, oder andernfalls vierundzwanzig (24) Monate nach dem letzten Kontakt;
• Bereitstellung und Betrieb der Konsole, die von den befugten Nutzern des Verantwortlichen zur Verwaltung von Fahrzeugen, Angeboten und Einstellungen genutzt wird;
• Erstellung aggregierter, nicht identifizierender Webanalyse-Statistiken;
• maschinelle Übersetzung der vom Verantwortlichen verfassten Fahrzeugtexte in die übrigen öffentlichen Sprachen der Website;
• optionale KI-gestützte Bildbearbeitung (Startseiten-Bildmaterial, Ersetzung des Hintergrunds von Fahrzeugfotos) nach Beauftragung durch den Verantwortlichen;
• optionale VIN-Abfrage, die der Verantwortliche zur Vorbefüllung eines Inserats nutzt.

Arten personenbezogener Daten

• Identifikations- und Kontaktdaten von Besuchern, die über die Website übermittelt werden: Name, E-Mail-Adresse, Telefonnummer, Inhalt der Nachricht sowie Sprach- bzw. Locale-Präferenz.
• Kontaktdaten und Fahrzeugfotos, die von privaten Verkäufern über das Formular "Bieten Sie Ihr Auto an" übermittelt werden, einschließlich aller personenbezogenen Daten, die beiläufig auf einem Foto erfasst werden (beispielsweise ein Gesicht oder ein im Hintergrund sichtbares Kennzeichen).
• Technische Daten: ein gesalzener Hash der IP-Adresse des Besuchers (zur Spam-Einstufung und Missbrauchsprävention), die User-Agent-Kennung des Browsers und Zeitstempel der Anfrage.
• Die E-Mail-Adresse der Administrator-Nutzer des Verantwortlichen, die für den Zugang zur Konsole verwendet wird, zusammen mit den an diese Adresse ausgegebenen passwortlosen achtstelligen Anmeldecodes.

Kategorien betroffener Personen

• Besucher der Website des Verantwortlichen und potenzielle Kunden des Verantwortlichen, die eine Anfrage oder eine Kontaktformular-Einsendung übermitteln.
• Private Verkäufer, die dem Verantwortlichen über das Formular "Bieten Sie Ihr Auto an" ein Fahrzeug anbieten, sowie alle natürlichen Personen, die auf den mit einer solchen Einsendung übermittelten Fotos beiläufig identifizierbar sind.
• Die zum Zugang zur Konsole befugten Administrator-Nutzer des Verantwortlichen.

Besondere Kategorien personenbezogener Daten

Keine. Die Verarbeitung umfasst keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO und keine personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Artikel 10 DSGVO. Der Verantwortliche wird keine Daten besonderer Kategorien über die Anfrage- oder Kontaktformulare der Website übermitteln und sicherstellen, dass Website-Besucher nicht zur Übermittlung solcher Daten aufgefordert werden.

Annex 2 Unterauftragsverarbeiter

Der Verantwortliche ermächtigt Forge Digital, im Zusammenhang mit der in Annex 1 beschriebenen Verarbeitung die folgenden Unterauftragsverarbeiter in Anspruch zu nehmen. Jeder Unterauftragsverarbeiter wird hier anhand seiner Funktion und seiner Verarbeitungsregion beschrieben; die vollständige Liste, die jeden Unterauftragsverarbeiter und dessen juristische Person benennt, wird dem Verantwortlichen jederzeit auf Anfrage an support@forgedigital.io zur Verfügung gestellt. Forge Digital teilt dem Verantwortlichen jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters vorab mit, damit der Verantwortliche Einspruch erheben kann, und kann diese Liste von Zeit zu Zeit gemäß Abschnitt 5 dieses DPA aktualisieren.

Hinweis zum Zahlungsdienstleister

Der Zahlungsdienstleister erbringt über seine US-Gesellschaft und seine irische Gesellschaft Kartenzahlungs- und Rechnungsstellungsdienste im Zusammenhang mit der Abrechnung von Forge Digital gegenüber dem Verantwortlichen. In Bezug auf diese Verarbeitung ist Forge Digital der Verantwortliche und der Zahlungsdienstleister ein gesonderter Verantwortlicher nach seiner eigenen Datenschutzerklärung. Diese Verarbeitung erfolgt nicht im Auftrag des Verantwortlichen und liegt daher außerhalb des Anwendungsbereichs dieses DPA. Sie ist in der eigenen Datenschutzerklärung von Forge Digital beschrieben, und die Identität des Zahlungsdienstleisters wird auf Anfrage an support@forgedigital.io mitgeteilt.

Hinweis zu API-Aufrufen an Dritte

API-Aufrufe an Dritte, die im Zusammenhang mit einer Website erfolgen, werden über die eigene Steuerungsebene von Forge Digital geleitet und nicht unmittelbar von der Website des Verantwortlichen aus vorgenommen. Folglich hält die Website des Verantwortlichen keine API-Zugangsdaten Dritter vor. Rechtlich bleibt jeder dieser Anbieter ein Unterauftragsverarbeiter von Forge Digital und ist vorstehend aufgeführt.

Annex 3 Technische und organisatorische Maßnahmen (Artikel 32 DSGVO)

Forge Digital ergreift und unterhält die folgenden technischen und organisatorischen Maßnahmen in ihrer jeweils geltenden Fassung. Forge Digital kann diese Maßnahmen aktualisieren, sofern das Gesamtniveau der Sicherheit dadurch nicht verringert wird.

Verschlüsselung und Transportsicherheit

• TLS-Verschlüsselung der Daten bei der Übertragung über sämtliche öffentlich erreichbaren Endpunkte, wobei jede Website ausschließlich über HTTPS ausgeliefert wird.
• Verschlüsselung im Ruhezustand für die Datenbank und die Dateispeicherung.
• Automatische Bereitstellung und Erneuerung von Sicherheitszertifikaten.

Zugriffskontrolle

• Rollenbasierte Zugriffskontrolle und Grundsatz der geringstmöglichen Berechtigung für administrative und unterstützende Zugriffe.
• Starke Authentifizierung für die Konsole mittels passwortloser Anmeldung über einen per E-Mail versandten Einmalcode. Es werden keine Passwörter gespeichert.
• Zusätzlich erforderliche Mehrfaktor-Authentifizierung (Authenticator-App) für das Super-Admin-Konto von Forge Digital.

Datenschutz im Ruhezustand

• Dedizierte Single-Tenant-Datenbank je Verantwortlichem: keine Vermischung von Daten.
• Pseudonymisierung technischer Daten: IP-Adressen von Besuchern werden ausschließlich als gesalzener kryptografischer Hash gespeichert, niemals im Klartext.
• Datenhaltung ausschließlich in der EU (Frankfurt, Deutschland), vorbehaltlich Annex 2.

Sicherungen und Kontinuität

• Tägliche automatisierte Sicherungen der Datenbank, die sieben (7) Tage lang aufbewahrt werden.
• Bereitstellungen ohne Ausfallzeit, wobei jede Veröffentlichung automatisierte Prüfungen sowie eine ausdrückliche menschliche Freigabe durchläuft, bevor sie die Verantwortlichen erreicht.

Prüfung und Protokollierung

• Protokollierung und Überwachung von Infrastruktur- und Anwendungsaktivitäten.
• Ein ausschließlich anfügbares, unveränderliches Prüfprotokoll der über die Plattform versandten ausgehenden E-Mails. Das Protokoll enthält die Empfänger-E-Mail-Adresse (das Postfach des Verantwortlichen oder dessen Administrator-Nutzer, niemals die eines Website-Besuchers) zusammen mit einer Referenzkennung, der Art der Nachricht, dem betroffenen Fahrzeug (soweit einschlägig) und dem Zustellstatus. Der Name des Absenders, der Name des Besuchers und der Nachrichtentext gelangen niemals in das Protokoll.

Netzwerk und Infrastruktur

• Netzwerksicherheit und Firewalling der Hosting- und Datenbankinfrastruktur.
• DNSSEC für von Forge Digital verwaltete Domains.
• DDoS-Abwehr auf Netzwerk- und DNS-Ebene (wie von den zugrunde liegenden Infrastrukturanbietern bereitgestellt).

Entwicklung und Betrieb

• Sichere Softwareentwicklungspraktiken, einschließlich der Prüfung von Abhängigkeiten und Schwachstellen.
• Änderungsmanagementprozess mit menschlicher Freigabe vor der Bereitstellung in der Produktivumgebung.

Unterauftragsverarbeiter und Vertraulichkeit

• Schriftliche Auftragsverarbeitungsvereinbarungen mit allen in Annex 2 aufgeführten Unterauftragsverarbeitern.
• Physische Sicherheit und Rechenzentrumssicherheit, die von den in der EU ansässigen Unterauftragsverarbeitern von Forge Digital übernommen wird.
• Vertraulichkeitsverpflichtungen, die für sämtliche Mitarbeiter und Auftragnehmer mit Zugang zu personenbezogenen Daten verbindlich sind.

Ende des Auftragsverarbeitungsvertrags.