Datenverarbeitungsvertrag.

Einleitung

Dieser Datenverarbeitungsvertrag («DPA») ist Bestandteil der Nutzungsbedingungen zwischen Hangar.Media Ltd, einem in England und Wales eingetragenen Unternehmen («Hangar.Media», «Auftragsverarbeiter»), und dem Kunden, der im jeweiligen Hangar.Media-Konto angegeben ist («Kunde», «Verantwortlicher»).

Er legt die Bedingungen fest, unter denen Hangar.Media personenbezogene Daten im Auftrag des Kunden im Zusammenhang mit der Hangar.Media Digital Signage-Plattform (der «Dienst») verarbeitet, in Übereinstimmung mit Artikel 28 der UK General Data Protection Regulation («UK GDPR») und dem Data Protection Act 2018.

Dieser DPA gilt automatisch für alle Kunden des Dienstes. Eine gesonderte Unterzeichnung ist nicht erforderlich; der DPA tritt in Kraft, wenn der Kunde die Nutzungsbedingungen akzeptiert. Eine gegengezeichnete Version ist auf Anfrage über das Kontaktformular für Kunden erhältlich, deren interne Prozesse dies erfordern.

Definitionen

Im DPA verwendete, aber nicht definierte Begriffe haben die Bedeutung, die ihnen in den Nutzungsbedingungen oder in der UK GDPR zugewiesen wird. Zur Klarstellung:

• «Verantwortlicher», «Auftragsverarbeiter», «Betroffene Person», «Personenbezogene Daten», «Verarbeitung» und «Verletzung des Schutzes personenbezogener Daten» haben die Bedeutungen, die ihnen in der UK GDPR zugewiesen werden.
• «Kundenpersonendaten» bezeichnet personenbezogene Daten, die Hangar.Media im Auftrag des Kunden im Rahmen der Erbringung des Dienstes verarbeitet.
• «Unterauftragsverarbeiter» bezeichnet jeden Dritten, den Hangar.Media mit der Verarbeitung von Kundenpersonendaten beauftragt.
• «Aufsichtsbehörde» bezeichnet das Information Commissioner's Office (ICO) im Vereinigten Königreich.

Rollen der Parteien

In Bezug auf Kundenpersonendaten, die im Rahmen dieses DPA verarbeitet werden:

• Der Kunde ist der Verantwortliche.
• Hangar.Media ist der Auftragsverarbeiterund handelt ausschliesslich auf der Grundlage dokumentierter Weisungen des Kunden.

Die Nutzung des Dienstes durch den Kunden, einschliesslich der Konfiguration von Inhalten, Bildschirmen, Benutzern und optionalen Funktionen zur Publikumsmessung, stellt dokumentierte Weisungen an Hangar.Media im Sinne von Artikel 28(3)(a) UK GDPR dar.

Zur Klarstellung: In Bezug auf die eigenen Konto- und Abrechnungsdaten von Hangar.Media (einschliesslich der Registrierungsdaten, Zahlungsdaten und der Kommunikation mit dem Support des Kunden) handelt Hangar.Media als Verantwortlicher; diese Verarbeitung unterliegt der Datenschutzrichtlinieund nicht diesem DPA.

Gegenstand, Dauer, Art und Zweck

Pflichten als Auftragsverarbeiter

Hangar.Media verpflichtet sich:

• Personenbezogene Daten des Kunden ausschliesslich auf der Grundlage dokumentierter Weisungen des Kunden zu verarbeiten, einschliesslich in Bezug auf die Übermittlung personenbezogener Daten ausserhalb des Vereinigten Königreichs, sofern keine gesetzliche Verpflichtung zur abweichenden Verarbeitung besteht (in diesem Fall wird Hangar.Media den Kunden vor der Verarbeitung über diese gesetzliche Anforderung informieren, sofern das Gesetz eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt).
• Sicherzustellen, dass Personen, die zur Verarbeitung personenbezogener Daten des Kunden befugt sind, angemessenen vertraglichen oder gesetzlichen Vertraulichkeitspflichten unterliegen.
• Alle gemäss Artikel 32 UK DSGVO erforderlichen Massnahmen zu ergreifen, wie im Abschnitt Sicherheit unten beschrieben.
• Den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Massnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anfragen betroffener Personen, die ihre Rechte gemäss UK DSGVO ausüben, nachzukommen.
• Den Kunden dabei zu unterstützen, die Einhaltung seiner Pflichten gemäss Artikel 32 bis 36 UK DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) zu gewährleisten, unter Berücksichtigung der Art der Verarbeitung und der Hangar.Media zur Verfügung stehenden Informationen.
• Nach Wahl des Kunden alle personenbezogenen Daten des Kunden nach Beendigung der Leistungserbringung zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht, wie im Abschnitt Löschung und Rückgabe von Daten unten näher beschrieben.
• Dem Kunden alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der in dieser DPA und in Artikel 28 UK DSGVO festgelegten Pflichten nachzuweisen.

Unterauftragsverarbeiter

Der Kunde erteilt Hangar.Media eine allgemeine Genehmigung, Unterauftragsverarbeiter zur Unterstützung bei der Erbringung des Dienstes einzusetzen, vorbehaltlich der in diesem Abschnitt festgelegten Bedingungen.

Aktuelle Unterauftragsverarbeiter

Änderungen bei Unterauftragsverarbeitern

Hangar.Media wird den Kunden im Voraus über beabsichtigte Änderungen an der Liste der Unterauftragsverarbeiter informieren (z. B. durch Hinzufügen eines neuen oder Ersetzen eines bestehenden Unterauftragsverarbeiters) und dem Kunden die Möglichkeit einräumen, gegen solche Änderungen Einspruch zu erheben. Die Benachrichtigung erfolgt durch Aktualisierung dieser DPA und, sofern eine E-Mail-Adresse für Benachrichtigungen hinterlegt wurde, per E-Mail an den registrierten Ansprechpartner des Kunden, mindestens 30 Tage vor Inkrafttreten der Änderung.

Erhebt der Kunde aus datenschutzrechtlichen Gründen einen begründeten Einwand gegen einen vorgeschlagenen neuen Unterauftragsverarbeiter, muss er Hangar.Media innerhalb von 14 Tagen nach Erhalt der Benachrichtigung schriftlich informieren. Die Parteien werden in gutem Glauben daran arbeiten, den Einwand auszuräumen. Kann keine akzeptable Lösung gefunden werden, kann jede Partei das Abonnement des Kunden ohne Vertragsstrafe kündigen, und Hangar.Media erstattet anteilig alle nicht genutzten vorausbezahlten Gebühren.

Pflichten der Unterauftragsverarbeiter

Setzt Hangar.Media einen Unterauftragsverarbeiter ein, legt es diesem durch einen schriftlichen Vertrag Datenschutzpflichten auf, die mindestens ebenso streng sind wie die in dieser DPA festgelegten. Hangar.Media bleibt dem Kunden gegenüber vollumfänglich für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters haftbar.

Rechte betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Hangar.Media den Kunden durch geeignete technische und organisatorische Massnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht, auf Anfragen zur Ausübung der Rechte betroffener Personen gemäss Kapitel III der UK DSGVO zu reagieren, einschliesslich:

• Auskunftsrecht (Artikel 15)
• Recht auf Berichtigung (Artikel 16)
• Recht auf Löschung (Artikel 17)
• Recht auf Einschränkung der Verarbeitung (Artikel 18)
• Recht auf Datenübertragbarkeit (Artikel 20)
• Widerspruchsrecht (Artikel 21)

Erhält Hangar.Media eine Anfrage direkt von einer betroffenen Person bezüglich personenbezogener Daten des Kunden, wird Hangar.Media diese Anfrage nicht direkt beantworten (ausser zur Bestätigung des Eingangs) und die Anfrage unverzüglich an den Kunden weiterleiten.

Der Dienst stellt dem Kunden Self-Service-Tools über das Dashboard und die API zur Verfügung, um den meisten Anfragen betroffener Personen nachzukommen (z. B. Exportieren, Korrigieren oder Löschen von Benutzerkonten und Inhalten).

Sicherheit

Hangar.Media implementiert geeignete technische und organisatorische Massnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, wie von Artikel 32 UK DSGVO gefordert. Diese Massnahmen umfassen mindestens:

• Verschlüsselung bei der Übertragung: Alle Daten, die zwischen Endgeräten und Hangar.Media-Servern übertragen werden, sind mit TLS 1.3 oder einem gleichwertigen Verfahren verschlüsselt.
• Verschlüsselung im Ruhezustand: In Datenbanken und Objektspeichern gespeicherte personenbezogene Daten des Kunden werden mit AES-256 verschlüsselt.
• Zugriffskontrolle: Der Zugriff auf personenbezogene Daten des Kunden ist auf autorisiertes Personal auf «Need-to-know»-Basis beschränkt, unter Verwendung rollenbasierter Zugriffskontrollen und starker Authentifizierung. Administrativer Zugriff wird protokolliert.
• Netzwerksicherheit: Die Produktionsinfrastruktur ist durch Firewalls, Angriffserkennung und automatisiertes Schwachstellen-Scanning geschützt.
• Datensicherungen: Verschlüsselte Sicherungen werden in einem rollierenden 30-Tage-Zyklus vorgehalten und an einem geografisch getrennten Standort im Vereinigten Königreich gespeichert.
• Schwachstellenmanagement: Sicherheits-Patches werden gemäss einer dokumentierten Patch-Management-Richtlinie auf Produktionssysteme eingespielt, wobei kritische Patches unverzüglich angewendet werden.
• Incident Response: Hangar.Media unterhält einen dokumentierten Incident-Response-Prozess, der Erkennung, Eindämmung, Benachrichtigung und Behebung umfasst.
• Mitarbeiterschulung: Personal mit Zugang zu personenbezogenen Kundendaten erhält Schulungen zum Datenschutz und zur Informationssicherheit.
• Sichere Entwicklung: Änderungen am Service werden im Rahmen eines kontrollierten Release-Prozesses geprüft, getestet und bereitgestellt.

Hangar.Media behält sich das Recht vor, diese Massnahmen im Laufe der Zeit zu aktualisieren, um ein angemessenes Sicherheitsniveau aufrechtzuerhalten, sofern die aktualisierten Massnahmen nicht weniger schützend sind als die hier beschriebenen.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Hangar.Media benachrichtigt den Kunden unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft. Die Benachrichtigung enthält, soweit zum Zeitpunkt der Meldung bekannt:

• Die Art der Verletzung des Schutzes personenbezogener Daten, einschliesslich der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze
• Die voraussichtlichen Folgen der Verletzung des Schutzes personenbezogener Daten
• Die ergriffenen oder geplanten Massnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und zur Minderung ihrer möglichen nachteiligen Auswirkungen
• Die Kontaktdaten einer Anlaufstelle, bei der weitere Informationen eingeholt werden können

Sofern es nicht möglich ist, alle diese Informationen auf einmal bereitzustellen, werden sie schrittweise ohne weitere ungebührliche Verzögerung zur Verfügung gestellt. Hangar.Media wird ausserdem in angemessener Weise mit dem Kunden bei dessen Untersuchungs- und Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen zusammenarbeiten.

Internationale Datenübermittlungen

Personenbezogene Kundendaten werden im Vereinigten Königreich gespeichert und verarbeitet. Wenn ein Unterauftragsverarbeiter innerhalb der Europäischen Union ansässig ist (beispielsweise Stripe in Irland), stützt sich Hangar.Media auf die britische Angemessenheitsregelung für die EU, gemäss der die EU-Datenschutzstandards für die Zwecke der UK GDPR als angemessen anerkannt werden.

Hangar.Media wird personenbezogene Kundendaten nicht in ein Drittland ausserhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums übermitteln, ohne sicherzustellen, dass ein geeigneter Übermittlungsmechanismus vorhanden ist, wie etwa das UK International Data Transfer Agreement, Standardvertragsklauseln mit dem UK Addendum oder die Berufung auf eine Angemessenheitsregelung.

Prüfungsrechte

Hangar.Media stellt dem Kunden auf begründeten schriftlichen Antrag und höchstens einmal pro Zwölfmonatszeitraum Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA und von Artikel 28 UK GDPR nachzuweisen. Dies kann in folgender Form erfolgen:

• Schriftliche Antworten auf einen angemessenen Datenschutzfragebogen
• Kopien relevanter Richtlinien, Verfahren oder Zertifizierungen
• Zusammenfassende Berichte über Sicherheitsbewertungen des Service

Sofern der Kunde eine regulatorische Verpflichtung oder einen begründeten Anlass hat, eine Vor-Ort-Prüfung zu verlangen, vereinbaren die Parteien im Voraus Zeitpunkt, Umfang und Vertraulichkeitsbedingungen einer solchen Prüfung, die auf Kosten des Kunden und in einer Weise durchgeführt wird, die den Betrieb des Service nicht beeinträchtigt.

Löschung und Rückgabe von Daten

Bei Kündigung oder Ablauf des Abonnements des Kunden:

• Der Kunde hat nach der Kündigung ein 30-tägiges Zeitfenster, um Kundeninhalte und Kontodaten über das Service-Dashboard oder die API zu exportieren.
• Nach Ablauf des 30-tägigen Zeitfensters löscht Hangar.Media alle personenbezogenen Kundendaten aus den aktiven Produktionssystemen. Gelöschte Daten werden innerhalb des 30-tägigen Backup-Rotationsfensters aus den Sicherungskopien entfernt.
• Abrechnungs- und Rechnungsunterlagen werden gemäss den gesetzlichen Anforderungen der HMRC 7 Jahre lang aufbewahrt, wie in der Datenschutzrichtliniebeschrieben.
• Hangar.Media stellt auf Anfrage eine schriftliche Bestätigung aus, dass die Löschung erfolgt ist.

Haftung

Die Haftung jeder Partei im Rahmen dieser DPA oder in Verbindung damit unterliegt den Haftungsbeschränkungen und -ausschlüssen, die in den Nutzungsbedingungen festgelegt sind. Nichts in dieser DPA schliesst eine Haftung aus oder beschränkt sie, die nach geltendem Recht nicht ausgeschlossen oder beschränkt werden kann.

Vorrang

Im Falle eines Widerspruchs zwischen dieser DPA und den Nutzungsbedingungen hat diese DPA in Bezug auf die Verarbeitung personenbezogener Kundendaten Vorrang. Alle anderen Angelegenheiten werden durch die Nutzungsbedingungen geregelt.

Anwendbares Recht

Diese DPA unterliegt dem Recht von England und Wales und ist entsprechend auszulegen. Alle Streitigkeiten, die sich aus dieser DPA ergeben, unterliegen der ausschliesslichen Zuständigkeit der Gerichte von England und Wales.

Änderungen dieser DPA

Hangar.Media kann diese DPA von Zeit zu Zeit aktualisieren, um Änderungen der gesetzlichen Anforderungen, der Unterauftragsverarbeiter oder des Service widerzuspiegeln. Wesentliche Änderungen werden dem Kunden mindestens 30 Tage im Voraus mitgeteilt, auf dieselbe Weise wie Änderungen der Nutzungsbedingungen.

Kontakt

Wenn Sie Fragen zu dieser DPA haben oder Hangar.Media in Bezug auf eine davon erfasste Angelegenheit kontaktieren müssen, verwenden Sie bitte das Kontaktformular auf unserer Website.