Vereinbarung zum Schutz
personenbezogener Daten

Im Rahmen dieser Vereinbarung hat der Auftragsverarbeiter, Nemorius, Zugriff auf personenbezogene Daten und verarbeitet diese im Auftrag des Auftraggebers, der als „Verantwortlicher“ gilt. In dieser Funktion verpflichtet sich der Auftragsverarbeiter, die geltenden Gesetze und Vorschriften zum Schutz personenbezogener Daten einzuhalten, insbesondere die EU-Verordnung Nr. 2016/679 vom 27. April 2016, bekannt als „DSGVO“, sowie das Gesetz Nr. 78-17 vom 6. Januar 1978, bekannt als „Datenschutzgesetz“, in seiner jeweils gültigen Fassung, gemäß den nachstehend aufgeführten Bestimmungen einzuhalten.

Artikel 1. Spezifische Begriffsbestimmungen

„Personenbezogene Daten“: bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden als „betroffene Person“ bezeichnet) beziehen; als „identifizierbare natürliche Person“ gilt eine natürliche Person, die direkt oder indirekt identifiziert werden kann, insbesondere durch Bezugnahme auf einen Identifikator wie einen Namen, einer Identifikationsnummer, Standortdaten, eines Online-Identifikators oder anhand eines oder mehrerer spezifischer Faktoren, die für die physische, physiologische, genetische, mentale, wirtschaftliche, kulturelle oder soziale Identität der natürlichen Person charakteristisch sind. 

„Verarbeitung“ bezeichnet jeden Vorgang oder jede Reihe von Vorgängen im Zusammenhang mit personenbezogenen Daten oder Datensätzen, unabhängig davon, ob diese automatisiert erfolgen oder nicht, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Abrufen, das Abfragen, die Nutzung, die Offenlegung durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. 

„Verantwortlicher“: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet; werden die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht eines Mitgliedstaats festgelegt, kann der Verantwortliche durch das Unionsrecht oder das Recht eines Mitgliedstaats benannt werden oder können die spezifischen Kriterien für seine Benennung durch das Unionsrecht oder das Recht eines Mitgliedstaats festgelegt werden. 

„Auftragsverarbeiter“: eine natürliche oder juristische Person, eine Behörde, eine Einrichtung oder eine andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. 

„Verletzung des Schutzes personenbezogener Daten“: eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt. 

„Anwendbare Gesetze und Vorschriften“: bezieht sich auf alle Gesetze und Vorschriften zum Schutz personenbezogener Daten und der Privatsphäre, einschließlich des Gesetzes Nr. 78-17 über Informationstechnologie, Datendateien und bürgerlichen Freiheiten vom 6. Januar 1978 in seiner geänderten Fassung sowie die Europäische Verordnung Nr. 2016/679 vom 27. April 2016, bekannt als „Datenschutz-Grundverordnung“ (DSGVO), die ab ihrem Inkrafttreten gilt. Im Rahmen ihres Vertragsverhältnisses verpflichten sich die Parteien, die für die Verarbeitung personenbezogener Daten geltenden Vorschriften einzuhalten, insbesondere die Verordnung (EU) 2016/679 vom 27. April 2016 (im Folgenden: „DSGVO“) sowie das geänderte französische Datenschutzgesetz vom 6. Januar 1978 einzuhalten.

Artikel 2. Allgemeine Grundsätze

Im Rahmen ihres Vertragsverhältnisses verpflichten sich die Parteien, die geltenden Gesetze und Vorschriften zum Schutz personenbezogener Daten einzuhalten.

Der Auftragsverarbeiter handelt ausschließlich auf Anweisung des Verantwortlichen zum Zweck der Verarbeitung personenbezogener Daten in dessen Auftrag. In diesem Sinne verpflichtet sich der Auftragsverarbeiter, die in die Zuständigkeit des Verantwortlichen fallenden personenbezogenen Daten ausschließlich zum Zweck der Erbringung der Leistungen zu verarbeiten, die sich aus den Bestimmungen des Hauptvertrags ergeben, auf den sich diese Klausel bezieht.

Artikel 3. Allgemeine Pflichten des Auftragsverarbeiters

Bei der Erfüllung seiner Pflichten verpflichtet sich der Auftragsverarbeiter:

1. Personenbezogene Daten ausschließlich für die im Rahmen der nachstehend beschriebenen Unterauftragsvereinbarung vorgesehenen Zwecke zu verarbeiten;
2. den Verantwortlichen unverzüglich zu informieren, wenn er der Ansicht ist, dass eine Anweisung einen Verstoß gegen geltende Gesetze und Vorschriften oder gegen sonstige Bestimmungen des Rechts der Europäischen Union oder des Rechts der Mitgliedstaaten zum Schutz personenbezogener Daten darstellt;
3. die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten personenbezogenen Daten zu gewährleisten;
4. sicherzustellen, dass das zur Verarbeitung personenbezogener Daten befugte Personal einer angemessenen Geheimhaltungspflicht unterliegt und die erforderliche Schulung zum Schutz personenbezogener Daten erhält;
5. in Bezug auf seine Dienstleistungen die Grundsätze des „eingebauten Datenschutzes“ und des „Datenschutzes durch Voreinstellungen“ zu berücksichtigen;
6. keine personenbezogenen Daten ohne die vorherige und ausdrückliche Zustimmung des Verantwortlichen außerhalb der Europäischen Union zu übermitteln und im Zusammenhang mit einer solchen Übermittlung angemessene Garantien zu bieten, einschließlich einer Standardmitteilung, die den von der Verarbeitung betroffenen Personen zur Verfügung zu stellen ist. Ist der Auftragsverarbeiter gemäß dem Recht der Europäischen Union oder dem Recht des Mitgliedstaats, dem er unterliegt, verpflichtet, personenbezogene Daten in ein Drittland oder an eine internationale Organisation zu übermitteln, so hat er den Verantwortlichen vor Beginn der Verarbeitung über diese gesetzliche Verpflichtung zu informieren, es sei denn, das anwendbare Recht verbietet eine solche Benachrichtigung aus zwingenden Gründen des öffentlichen Interesses;
7. den Verantwortlichen bei der Erfüllung seiner Datensicherheitspflichten zu unterstützen, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen;
8. Er ergreift alle geeigneten technischen und organisatorischen Maßnahmen, um ein den Risiken angemessenes Sicherheitsniveau zu gewährleisten, um jegliche – sei es versehentliche oder vorsätzliche – Vernichtung, den Verlust, die Veränderung, die Offenlegung oder den unbefugten Zugriff sowie jede andere Form der unrechtmäßigen Verarbeitung personenbezogener Daten zu verhindern. Der Auftragsverarbeiter verpflichtet sich insbesondere, alle nachstehend beschriebenen Sicherheitsmaßnahmen umzusetzen;
   1. Zugriffsverwaltung 
   2. Benutzerauthentifizierung 
   3. Protokollierung von Verbindungen
   4. Nachvollziehbarkeit der Protokolle 
   5. Maßnahmen zur physischen und Hardwaresicherheit 
   6. Sicherheit des physischen Zugriffs auf Server 
   7. Sicherheit des logischen Zugriffs auf Server und Anwendungen 
   8. Sicherheit des internen Computernetzwerks
   9. Datenverschlüsselung/Pseudonymisierung
   10. Schwachstellenmanagement und Datensicherung
   11. Umsetzung physischer, technischer und organisatorischer Sicherheitsmaßnahmen gemäß der Norm ISO 27001 – Nemorius ist zertifiziert. 
9. Führung schriftlicher Aufzeichnungen über alle im Auftrag des Verantwortlichen durchgeführten Verarbeitungsvorgänge gemäß den geltenden Gesetzen und Vorschriften;
10. dem Verantwortlichen die Unterlagen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung aller seiner Verpflichtungen nachzuweisen und die Durchführung von Audits, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm benannten Prüfer zu ermöglichen, sowie bei solchen Audits mitzuwirken. Der Auftragsverarbeiter verpflichtet sich ferner, vollständige Transparenz hinsichtlich der Sicherheitsrichtlinie und/oder der organisatorischen und technischen Maßnahmen zu gewährleisten, die zum Schutz der im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten umgesetzt wurden. Insbesondere verpflichtet sich der Auftragsverarbeiter, auf Anfrage des Verantwortlichen so schnell wie möglich alle Informationen zu dieser Richtlinie und diesen Maßnahmen zur Verfügung zu stellen.
     

Artikel 4. Pflichten des Auftragsverarbeiters im Falle der Weitervergabe der Auftragsverarbeitung

Im Falle der Beauftragung weiterer Unterauftragsverarbeiter erlegt der Auftragsverarbeiter diesen die gleichen Verpflichtungen auf, wie sie in dieser Klausel beschrieben sind, und stellt sicher, dass sie alle nach den geltenden Gesetzen und Vorschriften erforderlichen Schutzmaßnahmen gewährleisten.

Der Auftragsverarbeiter hat den Verantwortlichen vorab über den Einsatz eines neuen Unterauftragsverarbeiters zu informieren. Der Verantwortliche hat 14 Werktage Zeit, um Widerspruch einzulegen.

Der Auftragsverarbeiter stellt dem Verantwortlichen eine umfassende und aktuelle Liste seiner Unterauftragsverarbeiter zur Verfügung. Diese Liste ist in Anhang 2 dieser Vereinbarung enthalten.  

Artikel 5. Unterstützungs- und Kooperationspflichten

1. Verletzung des Schutzes personenbezogener
   
   Daten Der Auftragsverarbeiter hat den Auftragsgeber über jede Verletzung des Schutzes personenbezogener Daten innerhalb von höchstens 24 Stunden nach Bekanntwerden unter Verwendung der dem Auftragsgeber im Hauptvertrag mitgeteilten E-Mail-Adresse zu benachrichtigen.
   
   Die Benachrichtigung muss die Art der Verletzung des Schutzes personenbezogener Daten beschreiben, einschließlich der Kategorien und der Anzahl der betroffenen Personen, des Namens der für die betreffende Verarbeitung verantwortlichen Person, der Folgen der Verletzung für die betroffenen Personen, der zur Behebung ergriffenen Maßnahmen sowie des voraussichtlichen Zeitrahmens für die Umsetzung dieser Maßnahmen, um die Auswirkungen auf die betroffenen Personen zu begrenzen und eine Wiederholung zu verhindern. Dieser Meldung sind alle relevanten Unterlagen beizufügen, damit der Verantwortliche diese Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde und gegebenenfalls den betroffenen Personen melden kann.
   
   Der Auftragsverarbeiter verpflichtet sich ferner, die Ursache der Verletzung des Schutzes personenbezogener Daten zu untersuchen und alle erforderlichen Abhilfemaßnahmen zu ergreifen, um diese zu beheben, ihre Folgen zu begrenzen und eine Wiederholung zu verhindern.
   
   Der Auftragsverarbeiter verpflichtet sich zudem, den Verantwortlichen bei der Vornahme aller erforderlichen Meldungen an die zuständigen Behörden und/oder die betroffenen Personen zu unterstützen.
    
2. Information und Bearbeitung von Anträgen betroffener
   
   Personen zur Ausübung ihrer Rechte Der Verantwortliche hat den betroffenen Personen zum Zeitpunkt der Erhebung Informationen über die Zwecke und Merkmale der Verarbeitung der unter diese Vereinbarung fallenden personenbezogenen Daten zur Verfügung zu stellen.
   
   Auf ausdrückliche schriftliche Anweisung des Verantwortlichen kann jedoch dem Auftragsverarbeiter die Verantwortung für die Bereitstellung dieser Informationen übertragen werden. In diesem Fall werden der Inhalt der Informationen und die Art und Weise ihrer Bereitstellung vom Verantwortlichen festgelegt. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf beliebige Weise einen Nachweis über die Bereitstellung der Informationen zu erbringen.
   
   Betroffene Personen müssen ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch sowie das Recht auf Datenübertragbarkeit direkt bei den Stellen des Verantwortlichen geltend machen.
   
   Soweit möglich, muss der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung seiner Verpflichtung unterstützen, auf Anträge betroffener Personen zur Ausübung ihrer Rechte zu reagieren, insbesondere durch die Umsetzung aller relevanten technischen und organisatorischen Maßnahmen, um die wirksame Umsetzung solcher Anträge sicherzustellen.
   
   Wenn betroffene Personen Anträge zur Ausübung ihrer Rechte an den Auftragsverarbeiter richten, muss dieser die Anträge nach Erhalt per E-Mail an die im Hauptvertrag angegebene Adresse oder an gdpr@nemorius.com weiterleiten.
    

3. Folgenabschätzungen und Beziehungen zur Aufsichtsbehörde
   
   Der Auftragsverarbeiter verpflichtet sich, mit dem Verantwortlichen zusammenzuarbeiten und ihn bei der Erfüllung seiner Verpflichtungen zu unterstützen. Insbesondere unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Durchführung von Datenschutz-Folgenabschätzungen, entweder vor oder nach der Durchführung eines Verarbeitungsvorgangs, indem er alle erforderlichen Informationen bezüglich der Verarbeitung bereitstellt. Der Auftragsverarbeiter leistet dieselbe Unterstützung im Zusammenhang mit der vorgeschriebenen vorherigen Konsultation der CNIL in Fällen, in denen die Folgenabschätzung hohe Restrisiken aufzeigt.

   Im Falle einer Überprüfung und/oder einer Anfrage einer Aufsichtsbehörde arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn, indem er alle Unterlagen bereitstellt, die zum Nachweis der Einhaltung der geltenden Gesetze und Vorschriften erforderlich sind.
    

Artikel 6. Übertragbarkeit personenbezogener Daten

Bei Beendigung des Vertrags muss der Auftragsverarbeiter dem Verantwortlichen alle verarbeiteten personenbezogenen Daten auf sicherem Wege in einem nutzbaren Format zurückgeben. Nach Erhalt der Empfangsbestätigung muss der Auftragsverarbeiter alle vorhandenen Kopien der personenbezogenen Daten aus seinem Informationssystem und, soweit zutreffend, aus den Systemen seiner nachgelagerten Unterauftragsverarbeiter vernichten. Der Auftragsverarbeiter bestätigt schriftlich, dass die personenbezogenen Daten vernichtet wurden, vorbehaltlich etwaiger gesetzlicher und behördlicher Aufbewahrungspflichten, denen er unterliegt.

Artikel 7. Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

1. dem Auftragsverarbeiter Zugang zu den unter diese Vereinbarung fallenden personenbezogenen Daten zu gewähren;
2. alle Anweisungen bezüglich der Verarbeitung personenbezogener Daten, an der der Auftragsverarbeiter beteiligt ist, schriftlich zu dokumentieren;
3. im Voraus und während der gesamten Dauer der Verarbeitung sicherzustellen, dass der Auftragsverarbeiter die in der DSGVO festgelegten Verpflichtungen einhält;
4. die Verarbeitung zu überwachen, einschließlich der Durchführung von Audits und Kontrollen beim Auftragsverarbeiter.
    

Artikel 8. Gerichtliche oder behördliche Anordnungen

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen innerhalb von 24 Stunden nach Erhalt einer von einer gerichtlichen oder behördlichen Stelle erlassenen Aufforderung zur Offenlegung oder Einsichtnahme in personenbezogene Daten zu benachrichtigen, bevor er darauf reagiert.

Artikel 9. Beziehungen zu den Aufsichtsbehörden 

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen unverzüglich über jede Anfrage oder Prüfung durch eine Aufsichtsbehörde zu informieren.

Artikel 10. Automatische Kündigung bei Vertragsverletzung 

Der Verantwortliche erklärt, dass die Bestimmungen bezüglich personenbezogener Daten wesentliche Verpflichtungen dieser Vereinbarung darstellen, ohne die er diese Vereinbarung mit dem Auftragsverarbeiter nicht geschlossen hätte.

Folglich kann der Verantwortliche jeden festgestellten Verstoß gegen diese Bestimmungen oder jede Verletzung des Schutzes personenbezogener Daten geltend machen, was dann einen Grund für eine Kündigung von Rechts wegen darstellt.

Die sich aus dieser Vereinbarung ergebenden Verpflichtungen zum Schutz personenbezogener Daten bestehen auch nach Beendigung des Hauptvertrags, dem diese Klauseln beigefügt sind, fort.

Anhang 1. Tabelle der Verarbeitungsvorgänge

Dieser Vertrag, einschließlich der oben aufgeführten Klauseln, stellt die Anweisungen des Verantwortlichen hinsichtlich der Verarbeitungsvorgänge dar, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführen muss (bei Bedarf zu vervielfältigen).

A. Tabelle für die im Rahmen des Dienstes „Linkverkürzung und QR-Code“ durchgeführten Verarbeitungen

B. Tabelle für die im Rahmen des Dienstes „Formulare“ durchgeführte Datenverarbeitung

Anhang 2. Liste der nachgelagerten Auftragsverarbeiter

Für den URL-Kürzer und die QR-Codes:

• Matomo, herausgegeben von InnoCraft Limited (InnoCraft) mit Sitz unter folgender Adresse: HLB Mann Judd, Level 8, 57 Symonds Street, Grafton, Auckland 1010, Neuseeland. Neuseeland ist ein Land mit angemessenem Datenschutzniveau. Für die Übermittlung personenbezogener Daten in diese Länder ist kein Übermittlungsrahmen erforderlich.
   
• AMAZON WEB SERVICES EMEA SARL mit globalem Hauptsitz in 440 Terry Avenue North, WA 98109, Seattle, Vereinigte Staaten. Für die Vereinigten Staaten gilt eine teilweise Angemessenheitsentscheidung. Amazon Web Services ist im Rahmen des Datenschutz-Rahmenwerks zertifiziert. Zusätzlich zu dieser Zusicherung regeln Standardvertragsklauseln die Beziehung zwischen dem Verantwortlichen und dem Auftragsverarbeiter im Zusammenhang mit den Diensten von Amazon Web Services.
   
• Scaleway SAS mit Sitz in der 8 rue de la Ville-l’Évêque, 75008 Paris, Frankreich. Die Daten werden in Rechenzentren innerhalb der Europäischen Union gehostet. Die Datenverarbeitung unterliegt daher der Verordnung (EU) 2016/679 (DSGVO).

Keine weiteren Unterauftragsverarbeiter

Für Formulare:

• AMAZON WEB SERVICES EMEA SARL mit globalem Hauptsitz in 440 Terry Avenue North, WA 98109, Seattle, Vereinigte Staaten. Für die Vereinigten Staaten gilt eine teilweise Angemessenheitsentscheidung. Amazon Web Services ist im Rahmen des Data Privacy Framework zertifiziert. Zusätzlich zu dieser Zusicherung regeln Standardvertragsklauseln die Beziehung zwischen dem Verantwortlichen und dem Auftragsverarbeiter im Zusammenhang mit den Diensten von Amazon Web Services.
   
• Scaleway SAS mit Sitz in der 8 rue de la Ville-l’Évêque, 75008 Paris, Frankreich. Die Daten werden in Rechenzentren innerhalb der Europäischen Union gehostet. Die Datenverarbeitung unterliegt daher der Verordnung (EU) 2016/679 (DSGVO).

Es gibt keine weiteren Unterauftragsverarbeiter.

Zuletzt aktualisiert: 27. Juli 2026