Auftragsverarbeitungsvertrag
1. Parteien, Geltungsbereich und Status
Dieser Vertrag legt die Bedingungen der Datenverarbeitung zwischen dem in einem OrsunPay-Dienstleistungsvertrag benannten Geschäftskunden (dem „Kunden“) und Orsun Tech OÜ, Registernummer 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia („OrsunPay“) fest. Er wird erst verbindlich, wenn er mit vollständig ausgefüllten Verarbeitungs- und Sicherheitsanlagen in eine von beiden Parteien angenommene Vereinbarung aufgenommen wird.
Für die hier erfasste Verarbeitung bestimmt der Kunde die Zwecke und wesentlichen Mittel, und OrsunPay verarbeitet personenbezogene Daten im Auftrag des Kunden. Ist der Kunde selbst Auftragsverarbeiter, benötigt er die Ermächtigung seines Verantwortlichen zur Beauftragung von OrsunPay. Die Verarbeitung für eigene Zwecke von OrsunPay im Zusammenhang mit Website, Geschäftskontakten und Kontoverwaltung wird beschrieben in den Datenschutzhinweise.
„Personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“ und verwandte Begriffe haben die Bedeutung des anwendbaren Datenschutzrechts, einschließlich der DSGVO, soweit sie anwendbar ist. Dieser Auftragsverarbeitungsvertrag hat für die von ihm erfasste Verarbeitung Vorrang vor widersprechenden Dienstleistungsbedingungen; zwingende Übermittlungsklauseln gehen gegebenenfalls vor.
2. Beschreibung der Verarbeitung
| Punkt | Verarbeitungsumfang |
|---|---|
| Gegenstand | Personenbezogene Daten, die über die vereinbarten Zahlungsorchestrierungsdienste des Kunden und die zugehörige Unterstützung verarbeitet werden. |
| Art der Vorgänge | Empfangen, Erfassen, Organisieren, Abrufen, Übermitteln und Anzeigen von Datensätzen; Ausführen von Routing- und Betriebsanweisungen; Fehlerbehebung; sowie Rückgabe oder Löschung von Daten. |
| Zwecke | Betrieb konfigurierter Zahlungsabläufe, Informationsaustausch mit ausgewählten Anbietern, Führung von Transaktions- und Webhook-Datensätzen, Bereitstellung autorisierten Zugriffs und Untersuchung von Dienstproblemen. |
| Betroffene Personen | Käufer des Kunden und weitere Zahlungsbeteiligte sowie autorisierte Nutzer oder Vertreter des Kunden, soweit deren Daten auf seine Weisung verarbeitet werden. |
| Datenkategorien | Kunden- und Transaktionsreferenzen, bereitgestellte Kontaktdaten, Beträge und Währungen, Zahlungs- und Erstattungsstatus, Anbieterreferenzen, tokenisierte oder maskierte Zahlungsmittelinformationen, technische Verbindungsdaten und relevante Supportunterlagen. Die endgültige Anlage muss die tatsächliche Integration abbilden. |
| Dauer und Häufigkeit | Während der Dienstnutzung und des vereinbarten Rückgabe- oder Löschzeitraums; kontinuierliche oder ereignisgesteuerte Verarbeitung entsprechend den genutzten Funktionen. |
| Sensible Daten | Besondere Datenkategorien, Daten über Straftaten und vollständige Zahlungszugangsdaten sind von dieser allgemeinen Beschreibung ausgeschlossen, sofern sie nicht ausdrücklich durch einen gesonderten schriftlichen Umfang und geeignete Kontrollen erfasst werden. |
3. Weisungen und Verantwortlichkeiten des Kunden
Der Dienstleistungsvertrag, vollständig ausgefüllte Anlagen, autorisierte Einstellungen und dokumentierte API-Anfragen bilden die Weisungen des Kunden. OrsunPay verarbeitet erfasste Daten ausschließlich nach diesen Weisungen, einschließlich Weisungen zu Übermittlungen, sofern das anwendbare Recht nichts anderes verlangt. OrsunPay informiert den Kunden vor der Verarbeitung über eine gesetzliche Verpflichtung, sofern das Gesetz diese Mitteilung nicht verbietet.
Der Kunde muss rechtmäßige Weisungen, notwendige Datenschutzinformationen und eine gültige Grundlage für die angeforderte Erhebung und Verarbeitung bereitstellen. Er muss übermittelte Daten auf das für den Dienst erforderliche Maß beschränken und geeignete Kontoberechtigungen aufrechterhalten. OrsunPay informiert den Kunden, wenn eine Weisung nach ihrer Auffassung gegen geltendes Datenschutzrecht verstößt, und kann die betroffene Verarbeitung bis zur Klärung aussetzen.
4. Vertraulichkeit und Sicherheit
OrsunPay beschränkt den Zugriff auf autorisierte Personen, die ihn zur Diensterbringung benötigen, und stellt deren Vertraulichkeitsverpflichtung sicher. OrsunPay unterhält technische und organisatorische Maßnahmen, die der Art der Daten und den Verarbeitungsrisiken angemessen sind.
Die Sicherheitsanlage muss Zugriffskontrolle, Authentifizierung, Verschlüsselung, Trennung von Kundenumgebungen, Protokollierung, Vorfallbearbeitung, Sicherung und Wiederherstellung, Löschung sowie das Verfahren zur Bewertung dieser Maßnahmen dokumentieren. Sie muss eingesetzte von geplanten Kontrollen unterscheiden und den geltenden Dienstumfang benennen. Allein durch die Veröffentlichung dieses Vertrags wird keine Audit-Zertifizierung oder Sicherheitsbescheinigung Bestandteil der Vereinbarung.
5. Unterauftragsverarbeiter
OrsunPay darf Unterauftragsverarbeiter nur mit vorheriger besonderer oder allgemeiner schriftlicher Genehmigung des Kunden beauftragen. Die endgültige genehmigte Anlage benennt die juristische Person, Funktion und relevanten Verarbeitungsorte. Das Lieferantenverzeichnis ist ergänzende Information und umfasst Website-Anbieter sowie Vereinbarungen in Prüfung; die Aufnahme allein stellt keine Kundengenehmigung dar.
Bei allgemeiner Genehmigung informiert OrsunPay vorab schriftlich über beabsichtigte Ergänzungen oder Ersetzungen und räumt dem Kunden vor Beginn der neuen Verarbeitung eine wirksame Möglichkeit zum Widerspruch aus Datenschutzgründen ein. Die unterzeichnete Anlage muss Ankündigungsfrist, Übermittlungskanal und Lösungsverfahren festlegen. Kann ein Widerspruch nicht ausgeräumt werden, vereinbaren die Parteien eine rechtmäßige Alternative oder beenden den betroffenen Dienst gemäß ihrem Vertrag.
OrsunPay verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die geltenden Datenschutzpflichten und bleibt im gesetzlich vorgeschriebenen Umfang für deren Erfüllung durch den Unterauftragsverarbeiter verantwortlich.
6. Unterstützung und Verletzungen des Schutzes personenbezogener Daten
Unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen unterstützt OrsunPay den Kunden bei Betroffenenanfragen, Sicherheitspflichten, Folgenabschätzungen und Konsultationen zuständiger Behörden. Erhält OrsunPay eine Anfrage zu Kundendaten, informiert sie den Kunden und antwortet inhaltlich nur auf Weisung oder bei gesetzlicher Verpflichtung.
OrsunPay benachrichtigt den Kunden unverzüglich, nachdem sie von einer Verletzung des Schutzes erfasster personenbezogener Daten Kenntnis erlangt. Verfügbare Informationen beschreiben den Vorfall, betroffene Daten und Personen, voraussichtliche Folgen, Abhilfemaßnahmen und einen Kontakt für Rückfragen. Informationen können mit fortschreitender Untersuchung schrittweise bereitgestellt werden. OrsunPay wirkt an der Reaktion des Kunden mit; der Kunde bleibt für die ihm gesetzlich obliegenden Meldungen verantwortlich.
7. Internationale Übermittlungen
Bevor eine Verarbeitung eine beschränkte Übermittlung umfasst, müssen die Parteien Exporteur, Importeur, Ziele und einen geeigneten Übermittlungsmechanismus bestimmen. Gegebenenfalls gehören dazu ein anwendbarer Angemessenheitsbeschluss oder ausgefüllte Standardvertragsklauseln mit dem richtigen Modul, den Anlagen und ergänzenden Maßnahmen. Britische oder schweizerische Anforderungen sind gegebenenfalls zu berücksichtigen.
Ein Link zum Auftragsverarbeitungsvertrag eines Anbieters vervollständigt nicht von selbst die Übermittlungsdokumentation des Kunden. Die unterzeichnete Anlage muss die tatsächlichen Regelungen einschließlich Fernzugriff und Weiterübermittlungen enthalten.
8. Rückgabe, Löschung und Aufbewahrung
Nach Ende der Verarbeitung gibt OrsunPay nach Wahl des Kunden die erfassten personenbezogenen Daten zurück oder löscht sie und löscht verbleibende Kopien, sofern das anwendbare Recht keine Aufbewahrung verlangt. Die Parteien müssen Exportformat, Antragsverfahren, Abschlussfrist und Ablauf von Sicherungskopien in der Verarbeitungsanlage vereinbaren.
Ist eine Aufbewahrung gesetzlich vorgeschrieben, benennt OrsunPay die Anforderung, soweit zulässig, beschränkt die aufbewahrten Daten auf diesen Zweck und löscht sie nach Ende der Verpflichtung. Sicherungskopien, deren planmäßiger Ablauf noch aussteht, müssen geschützt und für die gewöhnliche Nutzung unzugänglich bleiben. OrsunPay bestätigt den Abschluss auf Anfrage.
9. Informationen und Prüfungen
OrsunPay stellt die Informationen bereit, die zum Nachweis der Erfüllung ihrer Auftragsverarbeiterpflichten erforderlich sind, und ermöglicht und unterstützt Prüfungen einschließlich Inspektionen durch den Kunden oder dessen beauftragten Prüfer. Die Parteien stimmen eine angemessene Ankündigung, Vertraulichkeit und Maßnahmen zum Schutz der Daten anderer Kunden ab. Praktische Regelungen dürfen eine gesetzlich oder behördlich vorgeschriebene Prüfung nicht verhindern.
10. Vervollständigung des Vertrags
Vor Unterzeichnung müssen die Parteien die dienstspezifischen Datenkategorien, Verarbeitungsorte, genehmigten Unterauftragsverarbeiter, Übermittlungsdokumente, Sicherheitsmaßnahmen, Aufbewahrungs- und Rückgaberegelungen, Benachrichtigungskontakte und das Verfahren zum Anbieterwechsel vervollständigen. Haftung und anwendbares Recht richten sich im rechtlich zulässigen Umfang nach dem unterzeichneten Dienstleistungsvertrag; gesetzliche Rechte betroffener Personen werden hierdurch nicht aufgehoben. Fragen zum Vertrag und zur Auftragsverarbeitung können gestellt werden über Kontakt.