Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

1. Vertragsparteien und Abgrenzung der Rollen

1.1 Der Kunde ist bei der Verarbeitung der personenbezogenen Daten seiner Beschäftigten und Fahrer, die er in die Plattform WeDriver eingibt oder die dort auf seine Weisung über sie erzeugt werden (Fahrerliste, Bestellungen, Rechnungsstellung), Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der Auftragsverarbeiter handelt bei dieser Verarbeitung als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

1.2 Für eigene Zwecke, die der Auftragsverarbeiter selbst festlegt, ist der Auftragsverarbeiter eigenständiger Verantwortlicher. Dies betrifft insbesondere die Erfüllung des mit dem Vermieter geschlossenen Fahrzeugmietvertrags, die Sicherheit der Plattform und der Fahrzeuge, die Erfüllung gesetzlicher Pflichten (zum Beispiel buchhalterischer und steuerlicher Pflichten) sowie den Schutz vor Missbrauch und Betrug. Auf diese Verarbeitung findet dieser Vertrag keine Anwendung, und der Auftragsverarbeiter erfüllt gegenüber den betroffenen Personen eigene Informationspflichten gemäß Art. 13 und 14 DSGVO.

1.3 Die Vertragsparteien erklären, dass jede von ihnen bei der Verarbeitung personenbezogener Daten die DSGVO, das Gesetz über den Schutz personenbezogener Daten und die weiteren verbindlichen Vorschriften über den Schutz personenbezogener Daten einhalten wird.

2. Gegenstand und Dauer des Vertrags

2.1 Gegenstand dieses Vertrags ist die Regelung der Rechte und Pflichten der Vertragsparteien bei der Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Kunden im Zusammenhang mit der Erbringung der Dienste der Plattform WeDriver nach dem zwischen den Vertragsparteien geschlossenen Vertrag über die Nutzung der Plattform (nachfolgend „Hauptvertrag“) verarbeitet.

2.2 Der Vertrag kommt mit dem Tag seiner Unterzeichnung durch beide Vertragsparteien zustande und gilt für die Dauer des Hauptvertrags sowie für den Zeitraum, in dem der Auftragsverarbeiter personenbezogene Daten des Kunden nach dem Artikel über die Löschung oder Rückgabe der Daten weiterhin speichert.

2.3 Untrennbare Bestandteile des Vertrags sind Anlage 1 (Beschreibung der Verarbeitung), Anlage 2 (technische und organisatorische Maßnahmen) und Anlage 3 (Liste der Unterauftragsverarbeiter).

3. Art und Zweck der Verarbeitung

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der Dienste der Plattform WeDriver für den Kunden, insbesondere zur Führung der Fahrerliste des Kunden, zur Erstellung und Verwaltung von Bestellungen und Fahrzeugreservierungen, zur Überprüfung der Berechtigung des Fahrers zum Führen des Fahrzeugs, zur Rechnungsstellung und zur Kommunikation mit den Fahrern im Zusammenhang mit Reservierungen.

3.2 Die Art der Verarbeitung umfasst insbesondere das Erheben, das Erfassen, die Organisation, die Speicherung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, die Einschränkung, das Löschen und die Vernichtung personenbezogener Daten, und zwar mit automatisierten Mitteln.

3.3 Der Auftragsverarbeiter verarbeitet personenbezogene Daten zu keinem anderen Zweck als demjenigen, der sich aus diesem Vertrag und aus den Weisungen des Kunden ergibt, es sei denn, er ist nach dem Recht der Europäischen Union oder dem Recht der Slowakischen Republik zur Verarbeitung verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Kunden diese Verpflichtung vorab mit, sofern das betreffende Recht dies nicht verbietet.

4. Kategorien personenbezogener Daten und betroffener Personen

4.1 Betroffene Personen sind die Beschäftigten und Fahrer des Kunden, die der Kunde in die Plattform WeDriver aufgenommen hat oder für die auf seine Weisung in der Plattform ein Benutzerkonto oder eine Reservierung angelegt wird.

4.2 Kategorien der verarbeiteten personenbezogenen Daten:

• Identifikationsdaten: Vor- und Nachname, Geburtsdatum,
• Kontaktdaten: E-Mail-Adresse, Telefonnummer,
• Angaben zum Führerschein und zu dessen Überprüfung: Nummer und Gültigkeit des Führerscheins, Fahrerlaubnisklassen, Ergebnis und Datum der Überprüfung,
• Angaben zum Ort der Übernahme und der Rückgabe des Fahrzeugs,
• Angaben zu Reservierungen und Bestellungen: Fahrzeug, Termin, Dauer, Preis, Status und Verlauf der Reservierungen,
• Rechnungsdaten, die an die Person des Fahrers oder an die Bestellung gebunden sind,
• technische Daten über die Nutzung der Plattform, die für ihren sicheren Betrieb erforderlich sind (zum Beispiel Anmeldeprotokolle).

4.4 Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist nicht erforderlich, und der Kunde gibt solche Daten nicht in die Plattform ein. Einzelheiten sind in Anlage 1 aufgeführt.

5. Weisungen des Verantwortlichen

5.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, der Hauptvertrag sowie die Einstellungen und Handlungen des Kunden in der Plattform WeDriver. Weitere Weisungen erteilt der Kunde schriftlich, auch per E-Mail, an die Adresse info@wedriver.cz.

5.2 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder eine andere Vorschrift über den Schutz personenbezogener Daten verstößt, informiert er den Kunden hierüber unverzüglich und ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert.

5.3 Der Kunde ist dafür verantwortlich, dass er für die Verarbeitung der personenbezogenen Daten seiner Beschäftigten und Fahrer über eine gültige Rechtsgrundlage verfügt, dass er die betroffenen Personen gemäß Art. 13 und 14 DSGVO informiert hat und dass seine Weisungen mit den Rechtsvorschriften im Einklang stehen.

6. Vertraulichkeit

6.1 Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und zwar auch nach Beendigung ihres Arbeits- oder sonstigen Verhältnisses mit dem Auftragsverarbeiter.

6.2 Zugang zu den personenbezogenen Daten haben nur diejenigen Personen des Auftragsverarbeiters, die ihn zur Erfüllung dieses Vertrags benötigen, und zwar in dem für ihre Tätigkeit erforderlichen Umfang und auf der Grundlage der Weisungen des Auftragsverarbeiters.

7. Sicherheit der Verarbeitung

7.1 Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen und erhält sie während der gesamten Vertragsdauer aufrecht, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten; dabei berücksichtigt er den Stand der Technik, die Kosten, die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die Risiken für die Rechte und Freiheiten natürlicher Personen.

7.2 Der Mindestumfang der Maßnahmen ist in Anlage 2 aufgeführt. Der Auftragsverarbeiter ist berechtigt, die Maßnahmen laufend anzupassen, sofern das Schutzniveau dadurch nicht herabgesetzt wird.

7.3 Der Kunde ist verantwortlich für die Sicherheit der Zugangsdaten seiner Nutzer in der Plattform, für die richtige Einstellung der Berechtigungen seiner Beschäftigten und dafür, dass er nicht mehr Daten in die Plattform eingibt, als erforderlich ist.

8. Unterauftragsverarbeiter

8.1 Der Kunde erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) im Sinne von Art. 28 Abs. 2 DSGVO in die Verarbeitung einzubeziehen. Die Kategorien der Unterauftragsverarbeiter sind die folgenden:

• Hosting und Datenbank,
• Versand von E-Mails,
• Zahlungsgateway,
• SMS- und Push-Benachrichtigungen,
• Überprüfung der Identität und der Fahrerlaubnis.

8.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag vereinbart sind, insbesondere Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Kunden für deren Einhaltung.

8.4 Über eine beabsichtigte Änderung (Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters) informiert der Auftragsverarbeiter den Kunden vorab, in der Regel mindestens 30 Tage vor ihrem Wirksamwerden, per E-Mail an die Adresse ……………………… oder über die Plattform. Der Kunde kann innerhalb dieser Frist aus objektiven, den Schutz personenbezogener Daten betreffenden Gründen schriftlich Einspruch gegen die Änderung erheben. Einigen sich die Vertragsparteien nicht auf eine andere Lösung, kann der Kunde den Hauptvertrag in dem von der Änderung betroffenen Umfang kündigen.

8.5 Die aktuelle Liste der Unterauftragsverarbeiter stellt der Auftragsverarbeiter auf Anfrage unter der Adresse gdpr@wedriver.cz zur Verfügung. Eine Übersicht der Kategorien enthält Anlage 3.

9. Übermittlungen in Drittländer

9.1 Der Auftragsverarbeiter übermittelt personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (Drittland) oder an eine internationale Organisation nur auf Weisung des Kunden oder wenn dies für die Inanspruchnahme eines Unterauftragsverarbeiters nach dem vorstehenden Artikel erforderlich ist, und zwar stets nur bei Erfüllung der Bedingungen des Kapitels V DSGVO.

9.2 Die Übermittlung erfolgt nur, wenn ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt oder wenn geeignete Garantien bestehen, insbesondere von der Europäischen Kommission genehmigte Standardvertragsklauseln, die bei Bedarf durch weitere Maßnahmen ergänzt werden.

9.3 Der Kunde erteilt hiermit die Weisung für Übermittlungen, die unter diesen Bedingungen erfolgen. Der Auftragsverarbeiter erteilt dem Kunden auf Anfrage Auskunft über die verwendeten Garantien.

10. Unterstützung bei den Rechten der betroffenen Personen

10.1 Der Auftragsverarbeiter unterstützt den Kunden angesichts der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten.

10.2 Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragsverarbeiter und ist aus dessen Inhalt ersichtlich, dass er die Verarbeitung im Auftrag des Kunden betrifft, leitet der Auftragsverarbeiter ihn unverzüglich an den Kunden weiter und beantwortet ihn ohne Weisung des Kunden nicht inhaltlich, sofern ihn das Recht nicht dazu verpflichtet.

10.3 Anträge, die eine Verarbeitung betreffen, bei der der Auftragsverarbeiter eigenständiger Verantwortlicher ist, bearbeitet der Auftragsverarbeiter im eigenen Namen.

11. Unterstützung bei Sicherheitsvorfällen

11.1 Der Auftragsverarbeiter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die in seinem Auftrag verarbeitete Daten betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist, spätestens jedoch innerhalb von 48 Stunden, an die E-Mail-Adresse ……………………….

11.2 Die Meldung enthält, soweit die Informationen verfügbar sind: eine Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, eine Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung der Auswirkungen. Die Informationen können schrittweise bereitgestellt werden.

11.3 Der Auftragsverarbeiter leistet dem Kunden die Mitwirkung, die zur Erfüllung seiner Pflichten gemäß Art. 33 und 34 DSGVO erforderlich ist, insbesondere bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der betroffenen Personen. Die Entscheidung über die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegt dem Kunden als Verantwortlichem.

12. Datenschutz-Folgenabschätzung und vorherige Konsultation

12.1 Der Auftragsverarbeiter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung der Pflichten gemäß Art. 32 bis 36 DSGVO, insbesondere bei der Datenschutz-Folgenabschätzung und bei der vorherigen Konsultation der Aufsichtsbehörde.

12.2 Die Mitwirkung nach diesem Artikel leistet der Auftragsverarbeiter auf begründeten Antrag des Kunden, insbesondere durch Bereitstellung einer Beschreibung der Verarbeitungstätigkeiten und der getroffenen Sicherheitsmaßnahmen.

13. Löschung oder Rückgabe der Daten nach Beendigung

13.1 Nach Beendigung der Erbringung der Dienste der Plattform WeDriver nach dem Hauptvertrag löscht der Auftragsverarbeiter nach Wahl des Kunden die in dessen Auftrag verarbeiteten personenbezogenen Daten oder gibt sie ihm in einem gängigen maschinenlesbaren Format zurück und löscht anschließend die vorhandenen Kopien. Der Kunde teilt seine Entscheidung schriftlich spätestens am Tag der Beendigung des Hauptvertrags mit; andernfalls werden die Daten gelöscht.

13.2 Die Löschung erfolgt in der Regel innerhalb von 30 Tagen nach Beendigung des Hauptvertrags; Kopien in Datensicherungen werden im Rahmen ihres üblichen Zyklus gelöscht. Auf Verlangen des Kunden bestätigt der Auftragsverarbeiter die Löschung schriftlich.

13.3 Die Pflicht zur Löschung gilt nicht für Daten, die der Auftragsverarbeiter nach dem Recht der Europäischen Union oder dem Recht der Slowakischen Republik aufbewahren muss oder die er als eigenständiger Verantwortlicher zu den Zwecken nach dem zweiten Absatz des ersten Artikels dieses Vertrags verarbeitet.

14. Audit und Kontrolle

14.1 Der Auftragsverarbeiter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten gemäß Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei.

14.2 Der Kunde kündigt die Überprüfung mindestens 30 Tage im Voraus schriftlich an und führt sie während der üblichen Geschäftszeiten, ohne unangemessene Beeinträchtigung der Tätigkeit des Auftragsverarbeiters und höchstens einmal je Kalenderjahr durch, sofern es sich nicht um eine Überprüfung nach einem Sicherheitsvorfall oder um eine von der Aufsichtsbehörde angeordnete Überprüfung handelt. Der beauftragte Prüfer muss zur Verschwiegenheit verpflichtet sein.

14.3 Der Auftragsverarbeiter kann die Überprüfung durch die Vorlage aktueller Berichte oder Zertifikate unabhängiger Prüfer ersetzen, sofern diese zum Nachweis der Einhaltung der Pflichten ausreichen. Bei der Überprüfung dürfen weder vertrauliche Informationen anderer Kunden des Auftragsverarbeiters noch Geschäftsgeheimnisse über das erforderliche Maß hinaus zugänglich gemacht werden. Jede Partei trägt ihre eigenen Kosten der Überprüfung.

15. Haftung

15.1 Jede Vertragspartei ist für die Erfüllung ihrer Pflichten nach der DSGVO und diesem Vertrag verantwortlich. Der Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er den Pflichten, die die DSGVO speziell den Auftragsverarbeitern auferlegt, nicht nachgekommen ist oder wenn er unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Kunden oder gegen diese Weisungen gehandelt hat (Art. 82 DSGVO).

15.2 Entsteht einer betroffenen Person ein Schaden, dessen Ursache eine Verarbeitung ist, an der beide Vertragsparteien beteiligt waren, und ersetzt eine von ihnen den Schaden in einem Umfang, der ihren Anteil an der Verantwortung übersteigt, hat sie gegenüber der anderen Partei Anspruch auf Erstattung des entsprechenden Teils gemäß Art. 82 Abs. 5 DSGVO.

15.3 Die Haftung des Auftragsverarbeiters für Schäden sowie etwaige Vertragsstrafen richten sich nach dem Hauptvertrag, soweit zwingende Rechtsvorschriften dies zulassen. Die Haftung für vorsätzlich oder grob fahrlässig verursachte Schäden kann weder ausgeschlossen noch beschränkt werden.

16. Laufzeit und Beendigung

16.1 Dieser Vertrag wird für die Dauer des Hauptvertrags geschlossen und endet mit dessen Beendigung; Pflichten, die ihrer Natur nach auch nach Beendigung des Vertrags fortbestehen sollen (insbesondere Vertraulichkeit, Löschung oder Rückgabe der Daten, Haftung), bestehen fort.

16.2 Der Kunde kann vom Vertrag zurücktreten oder ihn mit sofortiger Wirkung kündigen, wenn der Auftragsverarbeiter die Pflichten aus diesem Vertrag oder der DSGVO schwerwiegend oder wiederholt verletzt und auch innerhalb einer vom Kunden in einer schriftlichen Aufforderung gesetzten angemessenen Frist keine Abhilfe schafft.

16.3 Das Erlöschen des Hauptvertrags, gleich aus welchem Grund, bewirkt das Erlöschen dieses Vertrags nach dem vorstehenden Artikel. Speichert der Auftragsverarbeiter nach Beendigung des Hauptvertrags weiterhin personenbezogene Daten, gelten für sie die Bestimmungen dieses Vertrags bis zu ihrer Löschung.

17. Anwendbares Recht und Schlussbestimmungen

17.1 Dieser Vertrag unterliegt dem Recht der Slowakischen Republik und der DSGVO. Über Streitigkeiten aus diesem Vertrag entscheiden die zuständigen ordentlichen Gerichte der Slowakischen Republik, sofern die Vertragsparteien im Hauptvertrag nichts anderes vereinbart haben.

17.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag haben im Bereich des Schutzes personenbezogener Daten die Bestimmungen dieses Vertrags Vorrang. Weder der Vertrag noch eine seiner Anlagen darf zum Nachteil der Rechte und Freiheiten der betroffenen Personen ausgelegt werden.

17.3 Änderungen und Ergänzungen dieses Vertrags einschließlich der Anlagen bedürfen zu ihrer Wirksamkeit der Schriftform; die Schriftform ist auch bei elektronischer Signatur oder beim Austausch von E-Mails gewahrt, wenn es sich um eine Aktualisierung der Anlage 3 nach dem Artikel über Unterauftragsverarbeiter handelt.

17.4 Sollte eine Bestimmung dieses Vertrags unwirksam oder undurchführbar werden, bleiben die übrigen Bestimmungen wirksam. Die Vertragsparteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem Zweck am nächsten kommt.

17.5 Der Vertrag ist in zwei gleichlautenden Ausfertigungen oder in elektronischer Form ausgefertigt, wobei jede Vertragspartei eine Ausfertigung erhält. Kontakt des Auftragsverarbeiters in Angelegenheiten des Schutzes personenbezogener Daten: gdpr@wedriver.cz.

18. Anlage 1 – Beschreibung der Verarbeitung

18.1 Zweck der Verarbeitung:

• Verwaltung der Fahrerliste des Kunden in der Plattform WeDriver,
• Erstellung, Verwaltung und Verlauf der Bestellungen und Fahrzeugreservierungen für die Fahrer des Kunden,
• Überprüfung der Gültigkeit der Fahrerlaubnis des Fahrers,
• Rechnungsstellung und Abrechnung der Dienste gegenüber dem Kunden,
• Kommunikation mit den Fahrern im Zusammenhang mit Reservierungen (Bestätigungen, Änderungen, Hinweise).

18.3 Kategorien der Daten:

• Vor- und Nachname, Geburtsdatum, E-Mail, Telefon,
• Nummer und Gültigkeit des Führerscheins, Fahrerlaubnisklassen, Ergebnis und Datum der Überprüfung,
• Ort der Übernahme und der Rückgabe des Fahrzeugs,
• Angaben zu Reservierungen, Bestellungen und Rechnungsstellung,
• technische Daten über die Nutzung der Plattform (Anmeldeprotokolle).

18.5 Kategorien betroffener Personen:

• Beschäftigte des Kunden,
• Fahrer des Kunden (auch externe), die der Kunde in die Plattform aufgenommen hat.

18.7 Speicherfristen:

• Daten über Fahrer und Reservierungen für die Dauer des Hauptvertrags; nach dessen Beendigung entsprechend der Entscheidung des Kunden über Löschung oder Rückgabe,
• Daten aus der Überprüfung des Führerscheins längstens für die Dauer, die für die Überprüfung und deren Nachweis erforderlich ist, höchstens jedoch für die Dauer des Vertragsverhältnisses mit dem Kunden,
• Anmeldeprotokolle und Audit-Protokoll für die zur Gewährleistung der Sicherheit erforderliche Dauer, in der Regel höchstens 12 Monate,
• Kopien in Datensicherungen für die Dauer des üblichen Sicherungszyklus, in der Regel höchstens 35 Tage.

18.9 Daten, die der Auftragsverarbeiter kraft Gesetzes aufbewahren muss (zum Beispiel Buchungsbelege), werden für die durch die Vorschrift bestimmte Dauer als eigenständige Pflicht des Auftragsverarbeiters aufbewahrt.

19. Anlage 2 – Technische und organisatorische Maßnahmen

19.1 Der Auftragsverarbeiter gewährleistet mindestens die folgenden Maßnahmen:

• Verschlüsselung der Datenübertragung (TLS) und Verschlüsselung gespeicherter sensibler Daten, insbesondere der Angaben zum Führerschein,
• rollenbasierte Zugriffs- und Berechtigungssteuerung nach dem Prinzip der minimalen Berechtigungen, regelmäßige Überprüfung der Berechtigungen und unverzüglicher Entzug des Zugriffs nach Wegfall des Bedarfs,
• Zwei-Faktor-Authentifizierung des Personals des Auftragsverarbeiters mit Zugriff auf die Administration und auf personenbezogene Daten,
• Audit-Protokoll über Zugriffe auf personenbezogene Daten und deren Änderungen sowie dessen Schutz vor unbefugter Änderung,
• regelmäßige Datensicherung und Überprüfung der Wiederherstellung der Daten,
• Trennung von Produktions-, Test- und Entwicklungsumgebung; in Testumgebungen werden keine echten personenbezogenen Daten verwendet,
• Aufbewahrungsfristen und sichere Löschung der Daten nach Ablauf der Frist oder auf Weisung des Kunden,
• regelmäßige Schulungen und Unterweisung der zur Verarbeitung personenbezogener Daten befugten Personen in Datenschutz und Sicherheit,
• Plan zur Reaktion auf Sicherheitsvorfälle einschließlich Erkennung, Eindämmung, Beseitigung, Wiederherstellung, Meldung an den Kunden und Auswertung,
• laufende Aktualisierung der Software, Schutz vor Schadcode und Überwachung von Schwachstellen,
• physischer Schutz der Räumlichkeiten und Geräte; beim Hosting durch den Hosting-Anbieter gewährleistet.

20. Anlage 3 – Liste der Unterauftragsverarbeiter

20.1 Der Auftragsverarbeiter setzt Unterauftragsverarbeiter in den folgenden Kategorien ein:

• Hosting und Datenbank – Betrieb der Infrastruktur und Speicherung der Daten,
• E-Mail – Versand von Transaktions-E-Mails und Bestätigungen,
• Zahlungsgateway – Zahlungsabwicklung und Autorisierung von Zahlungskarten,
• SMS- und Push-Benachrichtigungen – Zustellung von Hinweisen und Verifizierungscodes,
• Identitätsprüfung – Überprüfung der Identität und der Fahrerlaubnis.

20.3 Die aktuelle Liste der konkreten Unterauftragsverarbeiter einschließlich des Landes der Verarbeitung stellt WeDriver auf Anfrage unter der Adresse gdpr@wedriver.cz zur Verfügung.