ALLGEMEINE GESCHÄFTSBEDINGUNGEN
Elfsquad, Version 2022
Dies sind die allgemeinen Geschäftsbedingungen von Elfsquad, mit Sitz in Dopheide 12, (9202 PB) Drachten, eingetragen im Handelsregister der Handelskammer unter der Nummer 64311775.

1. Definitionen

1.1 In diesen allgemeinen Geschäftsbedingungen werden die folgenden Begriffe in der nachstehend beschriebenen Bedeutung verwendet, sofern nicht ausdrücklich anders angegeben:
Dienst: Die Bereitstellung von Software durch Elfsquad auf der Basis von „Software-as-a-Service“, die es dem Auftraggeber ermöglicht, personalisierte Angebote für seine Kunden und Interessenten zu erstellen, wobei das zu entwerfende Produkt vollständig kundenspezifisch konfiguriert und visuell (2D oder 3D) dargestellt wird.
Auftraggeber: Die Gegenpartei von Elfsquad bzw. deren Rechtsnachfolger.
Vereinbarung: Jede Vereinbarung, bei der sich Elfsquad verpflichtet, Arbeiten für den Auftraggeber auszuführen.
Schriftlich: Der Begriff „schriftlich“ umfasst auch per E-Mail oder andere elektronische Medien, sofern diese für eine langfristige Speicherung geeignet sind.
Elfsquad: Der Nutzer dieser allgemeinen Geschäftsbedingungen.

2. Anwendbarkeit und Änderung

2.1 Auf alle Angebote und Vereinbarungen von Elfsquad sind diese allgemeinen Geschäftsbedingungen anwendbar. Eventuelle Bedingungen des Auftraggebers werden ausdrücklich abgelehnt.
2.2 Elfsquad behält sich das Recht vor, diese allgemeinen Geschäftsbedingungen von Zeit zu Zeit zu ändern. Anwendbar ist stets die letzte Version der allgemeinen Geschäftsbedingungen. Änderungen werden mindestens dreißig (30) Kalendertage vor Inkrafttreten durch persönliche Benachrichtigung oder Veröffentlichung auf der Website von Elfsquad bekannt gegeben.
2.3 Im Falle von Unstimmigkeiten bei der Auslegung dieser allgemeinen Geschäftsbedingungen hat die niederländische Sprachversion Vorrang.

3. Angebot und Vereinbarung

3.1 Alle Angebote sind völlig unverbindlich und unter Vorbehalt von Druck- und Setzfehlern. Bis zum Zeitpunkt der Annahme des Angebots ist Elfsquad berechtigt, das Angebot zu widerrufen.
3.2 Hat ein Angebot eine begrenzte Gültigkeitsdauer oder gilt es unter bestimmten Bedingungen, wird dies im Angebot angegeben. Ohne Angabe einer Gültigkeitsdauer im Angebot beträgt die Gültigkeitsdauer einen (1) Monat.
3.3 Die Vereinbarung zwischen den Parteien kommt zustande, sobald Elfsquad die Vereinbarung schriftlich bestätigt hat oder indem Elfsquad die Vereinbarung ausführt.

4. Ausführung der Vereinbarung

4.1 Elfsquad verpflichtet sich, die Vereinbarung nach bestem Wissen und Gewissen und in Übereinstimmung mit den Anforderungen der fachlichen Sorgfalt auszuführen. Elfsquad bemüht sich um eine optimale Verfügbarkeit und einwandfreie Funktion seines Dienstes, garantiert jedoch kein konkretes Ergebnis, es sei denn, dies wurde in einer ergänzenden Service-Level-Vereinbarung vereinbart.
4.2 Der Auftraggeber wird Elfsquad stets die volle Unterstützung gewähren, alle nützlichen und notwendigen Informationen rechtzeitig zur Verfügung stellen bzw. den Zugang dazu ermöglichen und für die im Rahmen der Angemessenheit erforderlichen Einrichtungen sorgen. Werden die für die Ausführung der Vereinbarung benötigten Informationen, die Zusammenarbeit und/oder Einrichtungen nicht rechtzeitig bereitgestellt, hat Elfsquad das Recht, die Ausführung der Vereinbarung auszusetzen und/oder die aus der Verzögerung entstehenden zusätzlichen Kosten dem Auftraggeber in Rechnung zu stellen.
4.3 Soweit eine ordnungsgemäße Ausführung der Vereinbarung dies erfordert, ist Elfsquad berechtigt, bestimmte Arbeiten von Dritten ausführen zu lassen. Elfsquad haftet nicht für Fehler oder Mängel von Dritten, die vom Auftraggeber oder auf dessen Wunsch eingeführt wurden.
4.4 Beschwerden über die Ausführung der Vereinbarung müssen vom Auftraggeber innerhalb von sieben (7) Werktagen nach Entdeckung, spätestens jedoch innerhalb von vierzehn (14) Tagen nach Abschluss der entsprechenden Arbeiten oder Lieferung der abgenommenen Waren schriftlich an Elfsquad gemeldet werden.

5. Bereitstellung des Dienstes

5.1 Für die Bereitstellung des Dienstes werden Netzwerkverbindungen, einschließlich des Internets, verwendet, die nicht unter der Kontrolle von Elfsquad stehen. Elfsquad haftet daher nicht für das Zustandekommen der erforderlichen Verbindungen oder deren Verarbeitung oder das ansonsten ordnungsgemäße Funktionieren ihres Dienstes, wenn dies auf Faktoren zurückzuführen ist, die außerhalb ihrer Kontrolle liegen.
5.2 Der Auftraggeber ist selbst verantwortlich für die regelmäßige Datensicherung und eine angemessene Informationssicherheit seiner Daten.

5.3 Elfsquad ist niemals verpflichtet, eine Datenkonvertierung durchzuführen, es sei denn, dies wurde ausdrücklich schriftlich mit dem Auftraggeber vereinbart.

5.4 Elfsquad ist berechtigt, seine Dienste ganz oder teilweise vorübergehend für präventive, korrektive oder adaptive Wartungsarbeiten oder andere Serviceleistungen außer Betrieb zu nehmen, ohne dafür schadensersatzpflichtig zu werden. Elfsquad wird diese Außerbetriebnahme nicht länger als notwendig dauern lassen und nach Möglichkeit außerhalb der Bürozeiten durchführen, es sei denn, die Parteien haben im Rahmen einer SLA (Service Level Agreement) abweichende Vereinbarungen getroffen.

6. Preis und Zahlung

6.1 Sofern nicht anders angegeben, sind alle Preise freibleibend und verstehen sich exklusive MwSt. und anderer gesetzlich auferlegter Abgaben. Elfsquad akzeptiert keine Zahlungen in anderen Währungen als der angegebenen. Wenn keine Währung angegeben ist, gelten alle Preise in Euro.

6.2 Der Auftraggeber ist verpflichtet, die ihm geschuldeten Beträge innerhalb von vierzehn (14) Tagen nach Rechnungsdatum zu begleichen.

6.3 Erweiterungen des Vertrags, zum Beispiel wenn der Auftraggeber zusätzliche Module aktiviert, können zu einer Erweiterung der Dienste und einer Erhöhung des Preises führen, solange diese Module vom Auftraggeber aktiviert bleiben.

6.4 Der Auftraggeber ist nicht berechtigt, Zahlungen auszusetzen oder fällige Beträge zu verrechnen. Die Vergütung bleibt auch dann geschuldet, wenn der Auftraggeber den Dienst nicht nutzt oder Störungen erfährt.

6.5 Sollte der Auftraggeber seinen Zahlungsverpflichtungen nicht (rechtzeitig) nachkommen, wird Elfsquad den Auftraggeber schriftlich benachrichtigen und ihm eine angemessene Frist von vierzehn (14) Tagen – ab dem Zeitpunkt der Benachrichtigung – zur Erfüllung seiner Zahlungsverpflichtungen einräumen. Bleibt die Zahlung auch nach Ablauf dieser Frist aus, ist Elfsquad berechtigt, gesetzliche Handelszinsen und außergerichtliche Inkassokosten in Rechnung zu stellen. Die Höhe der außergerichtlichen Inkassokosten richtet sich nach der Inkassokostenvergütungsverordnung. Elfsquad kann von dieser gesetzlichen Regelung nur zugunsten des Auftraggebers abweichen.

6.6 Wenn der Auftraggeber seine Zahlungsverpflichtungen nicht (rechtzeitig) erfüllt und die Zahlung auch nach Ablauf der angemessenen Frist gemäß dem vorherigen Absatz ausbleibt, ist Elfsquad berechtigt, seine Verpflichtungen auszusetzen und/oder den Vertrag ohne gerichtliche Intervention aufzulösen. In einem solchen Fall ist Elfsquad niemals für Schäden des Auftraggebers haftbar.

6.7 Elfsquad ist berechtigt, die Preise für seine Dienstleistungen einseitig von Zeit zu Zeit zu erhöhen, vorausgesetzt, diese Preiserhöhung wird mindestens zwei (2) Monate im Voraus auf der Website von Elfsquad oder direkt beim Auftraggeber angekündigt. Preiserhöhungen aufgrund von Änderungen gesetzlicher Bestimmungen müssen von Elfsquad nicht im Voraus angekündigt werden.

7. Haftung

7.1 Die Haftung von Elfsquad für direkte Schäden aufgrund eines zurechenbaren Versäumnisses von Elfsquad bei der Erfüllung ihrer vertraglichen Verpflichtungen, einschließlich jeglicher rechtswidrigen Handlungen von Elfsquad, ihres Personals und/oder von ihr beauftragter Dritter, ist in jedem Fall pro Ereignis oder eine Reihe zusammenhängender Ereignisse auf den Betrag beschränkt, den der Auftraggeber Elfsquad auf Grundlage des Vertrags schuldet. In keinem Fall jedoch übersteigt die Haftung von Elfsquad für direkte Schäden den Betrag, den der Versicherer von Elfsquad im jeweiligen Fall auszahlt, abzüglich des von Elfsquad zu zahlenden Selbstbehalts.

7.2 Jegliche Haftung von Elfsquad für indirekte Schäden ist ausgeschlossen. Indirekte Schäden umfassen in jedem Fall Folgeschäden, entgangenen Gewinn, entgangene Einsparungen, Reputationsschäden, Ansprüche Dritter und Betriebsunterbrechungen.

7.3 Die in diesem Vertrag enthaltenen Haftungsbeschränkungen und -ausschlüsse gelten auch zugunsten des Personals von Elfsquad und beauftragter Dritter und entfallen, soweit die verursachten Schäden auf Vorsatz oder grober Fahrlässigkeit der Geschäftsleitung von Elfsquad beruhen.

8. Höhere Gewalt

8.1 Wenn Elfsquad durch höhere Gewalt daran gehindert wird, eine oder mehrere Verpflichtungen aus dem Vertrag zu erfüllen, wird die Erfüllung der betreffenden und damit zusammenhängenden Verpflichtungen für die Dauer der höheren Gewalt ganz oder teilweise ausgesetzt, ohne dass Elfsquad zur Zahlung einer Entschädigung verpflichtet ist.

8.2 Höhere Gewalt bei Elfsquad liegt vor, wenn Elfsquad nach Abschluss des Vertrags daran gehindert wird, die Vorbereitung oder Ausführung dieses Vertrags aufgrund von Brand, Betriebsbesetzung, Streik, Überschwemmung, Wasserschäden, Krieg, Kriegsgefahr, Bürgerkrieg, Aufruhr, Terrorismus, Epidemien, staatlichen Maßnahmen, Cyberangriffen, Import- und Exportbeschränkungen, Störungen der Energieversorgung oder ähnlichen Ursachen im Unternehmen von Elfsquad oder bei Dritten, von denen Elfsquad für ihre Dienstleistungen abhängig ist, zu erfüllen, sowie durch alle anderen Ursachen, die außerhalb des Verschuldens oder des Risikobereichs von Elfsquad liegen.

8.3 Wenn die Dauer der höheren Gewalt mehr als sechzig (60) Tage beträgt, sind sowohl Elfsquad als auch der Auftraggeber berechtigt, den Vertrag mit sofortiger Wirkung schriftlich zu kündigen. Eine Kündigung in diesem Fall berechtigt keine der Parteien zu einer Entschädigung. Elfsquad behält in diesem Fall jedoch Anspruch auf den Teil des Honorars für die von ihr erbrachten Leistungen und auf Erstattung der bereits entstandenen oder unvermeidbaren Kosten.

8.4 Wenn Elfsquad absehen kann, dass sie in höhere Gewalt gerät, wird sie den Auftraggeber so bald wie möglich darüber informieren.

9. Geistiges Eigentum und Arbeitsmittel

9.1 Alle Rechte des geistigen Eigentums

9.1 Alle geistigen Eigentumsrechte an den von Elfsquad im Rahmen des Vertrags entwickelten, zu entwickelnden und/oder bereitgestellten Analysen, Entwürfen, Dokumentationen, Berichten, Software, Beratungen, Angeboten und anderem Material liegen ausschließlich bei Elfsquad und/oder ihren Lizenzgebern.

9.2 Der Auftraggeber erwirbt ausschließlich die Nutzungsrechte und Befugnisse, die aus dem Zweck des Vertrags zwischen den Parteien, diesen allgemeinen Geschäftsbedingungen oder anderweitig schriftlich gewährten Rechten hervorgehen. Das Nutzungsrecht ist ausschließlich, es sei denn, aus der Natur des Vertrags ergibt sich etwas anderes oder die Parteien haben schriftlich etwas anderes vereinbart. Ferner ist das Nutzungsrecht, sofern die Parteien nichts anderes schriftlich vereinbart haben, weder übertragbar noch unterlizenzierbar.

9.3 Stellt der Auftraggeber Elfsquad Materialien zur Verfügung, gewährt der Auftraggeber Elfsquad eine nicht ausschließliche Lizenz zur Nutzung, Veröffentlichung und/oder Vervielfältigung dieser Materialien im Rahmen und für die Dauer des Vertrags, beispielsweise im Zusammenhang mit dem Online-Konfigurator. Der Auftraggeber stellt Elfsquad von Ansprüchen Dritter aufgrund von Verletzungen geistiger Eigentumsrechte dieser Dritten frei. Der Auftraggeber garantiert zudem, dass die von ihm Elfsquad zur Verfügung gestellten Materialien nicht gegen gesetzliche Bestimmungen verstoßen.

9.4 Sofern nicht schriftlich anders vereinbart, ist es dem Auftraggeber nicht gestattet, Hinweise auf Urheberrechte, Markenrechte, Handelsnamen oder andere geistige Eigentumsrechte aus den dem Auftraggeber zur Verfügung gestellten Materialien zu entfernen oder zu ändern.

10. Laufzeit und Beendigung

10.1 Sofern nicht anders vereinbart, wird der Vertrag zwischen den Parteien auf unbestimmte Zeit geschlossen. Wenn der Vertrag für eine bestimmte Laufzeit geschlossen wurde, beträgt die Laufzeit grundsätzlich zwölf (12) Monate, und der Vertrag wird stillschweigend um dieselbe Laufzeit verlängert, es sei denn, es erfolgt eine rechtsgültige Kündigung.

10.2 Es gilt eine Kündigungsfrist von zwei (2) Monaten. Bei Verträgen mit einer bestimmten Laufzeit kann die Kündigung nur zum Ende der Laufzeit unter Einhaltung der Kündigungsfrist erfolgen.

10.3 Elfsquad ist berechtigt, den Vertrag mit sofortiger Wirkung schriftlich auszusetzen und/oder zu kündigen, wenn:

• dem Auftraggeber vorläufig oder endgültig Zahlungsaufschub gewährt wird;
• über das Vermögen des Auftraggebers das Insolvenzverfahren eröffnet wird oder das Unternehmen des Auftraggebers – außer zu Reorganisations- oder Fusionszwecken – liquidiert wird;
• der Auftraggeber verstirbt; oder
• Elfsquad nach Vertragsabschluss begründeten Anlass hat, zu befürchten, dass der Auftraggeber den Vertrag nicht erfüllen wird.

11. Schutz personenbezogener Daten

11.1 Elfsquad hält sich an die geltenden Gesetze und Vorschriften zum Schutz personenbezogener Daten, einschließlich der Datenschutz-Grundverordnung (DSGVO).

11.2 Personenbezogene Daten des Auftraggebers werden nicht länger aufbewahrt, als zur Durchführung der Vereinbarung erforderlich ist, es sei denn, aufgrund der geltenden Gesetze und Vorschriften gilt eine andere Aufbewahrungsfrist.

11.3 Elfsquad gilt als „Auftragsverarbeiter“ im Sinne von Artikel 4 Absatz 8 der DSGVO und ist bereit, eine für sie passende Auftragsverarbeitungsvereinbarung mit dem Auftraggeber zu schließen.

12. Schlussbestimmungen

12.1 Auf die Vereinbarung und diese allgemeinen Geschäftsbedingungen findet niederländisches Recht Anwendung.

12.2 Alle Streitigkeiten, die sich aus dieser Vereinbarung und/oder diesen allgemeinen Geschäftsbedingungen ergeben, werden dem zuständigen Gericht im Bezirk vorgelegt, in dem Elfsquad ansässig ist.

12.3 Der Auftraggeber ist nicht berechtigt, seine Rechte und Pflichten aus dem zwischen den Parteien geltenden Vertrag an Dritte zu übertragen, es sei denn, Elfsquad hat zuvor ausdrücklich schriftlich zugestimmt. Diese Zustimmung ist jedoch nicht erforderlich im Falle einer Unternehmensübernahme oder einer Übernahme der Mehrheit der Anteile des Auftraggebers.

12.4 Sollte eine Bestimmung dieser allgemeinen Geschäftsbedingungen ungültig sein oder für nichtig erklärt werden, bleiben die übrigen Bestimmungen in vollem Umfang gültig. Die Parteien werden in einem solchen Fall in Verhandlungen treten, um eine neue Bestimmung zu vereinbaren, die die ungültige oder nichtige Bestimmung ersetzt.

12.5 Die Logdateien, von Elfsquad gespeicherten Versionen der Kommunikation zwischen den Parteien und andere Formen der Verwaltung von Elfsquad gelten als authentisch und bilden den vollständigen Nachweis der Ansprüche von Elfsquad. Dem Auftraggeber steht es frei, Gegenbeweise vorzubringen.

1. Einleitung
1.1 Da die Dienstleistungen, die sich aus der Vereinbarung ergeben, auch die Verarbeitung personenbezogener Daten beinhalten, schließen die Parteien hiermit eine Auftragsverarbeitungsvereinbarung.
1.2 Der Begriff „Vereinbarung“ bezieht sich auf die zwischen den Parteien geschlossene Vereinbarung, einschließlich Anhänge, die sich aus dem vom Auftraggeber (im Folgenden: „Auftraggeber“) angenommenen Angebot ergibt.

2. Gegenstand
2.1 Bestandteil der Vereinbarung mit Elfsquad ist die in diesem Anhang enthaltene Auftragsverarbeitungsvereinbarung gemäß Artikel 28 Absatz 3 der Datenschutz-Grundverordnung (DSGVO). Der Auftraggeber ist der „Verantwortliche“ und Elfsquad der „Auftragsverarbeiter“ im Sinne von Artikel 4 Nr. 7 bzw. Artikel 4 Nr. 8 DSGVO. Für die übrigen Begriffe mit Großbuchstaben wird auf die Definitionen in Artikel 4 DSGVO Bezug genommen.
2.2 Gegenstand, Art und Zweck der Verarbeitung bestehen in der Erfüllung der Verpflichtungen aus der Vereinbarung. Zusammengefasst bedeutet dies die Bereitstellung eines Online-Konfigurators für den Verkauf konfigurierbarer Produkte für die verarbeitende Industrie, wobei sowohl personenbezogene Daten von (potenziellen) Kunden als auch von Mitarbeitern des Auftraggebers verarbeitet werden.
2.3 Die Dauer der Verarbeitung entspricht der Laufzeit der Vereinbarung zwischen den Parteien. Nach Beendigung der Vereinbarung werden die Verarbeitungsdienste von Elfsquad für maximal drei (3) Kalendermonate fortgesetzt, um die letzte Verarbeitung personenbezogener Daten abzuschließen, beispielsweise die Beendigung der vorübergehenden Speicherung in Backups. In diesem Fall verlängert sich die Dauer der Verarbeitung entsprechend. Nach Abschluss der Verarbeitungsdienste oder auf Wunsch des Auftraggebers wird Elfsquad die personenbezogenen Daten löschen, ohne eine Kopie davon aufzubewahren, es sei denn, niederländisches oder europäisches Recht verpflichtet Elfsquad zur Aufbewahrung der personenbezogenen Daten.
2.4 Die zu verarbeitenden personenbezogenen Daten umfassen folgende Arten: E-Mail-Adresse, Vorname, Nachname, Adresse, Postleitzahl, Wohnort, Telefonnummer, Handelsregisternummer, Kundennummer, Login-Name, Passwörter sowie Unternehmensdaten/-namen und alle weiteren vom Auftraggeber in die SaaS-Anwendung von Elfsquad eingegebenen personenbezogenen Daten. Die Kategorien der personenbezogenen Daten beziehen sich auf Mitarbeiter, Kunden und sonstige Geschäftskontakte.

3. Pflichten von Elfsquad
3.1 Elfsquad verarbeitet personenbezogene Daten ausschließlich auf Grundlage schriftlicher Anweisungen des Auftraggebers und wird diese streng vertraulich behandeln, wobei mindestens dieselben Sorgfaltspflichten und Garantien wie bei den eigenen vertraulichen Informationen von Elfsquad gelten. Elfsquad wird auch mit Daten, die keine personenbezogenen Daten sind, sorgfältig und angemessen umgehen. Der Auftragsverarbeiter garantiert, dass diese Geheimhaltung auch für die zur Verarbeitung der personenbezogenen Daten befugten Personen gilt. Diese Regel findet nur dann keine Anwendung, wenn Elfsquad auf Basis einer Genehmigung oder Anweisung des Auftraggebers oder aufgrund einer gesetzlichen Pflicht oder eines amtlichen Beschlusses verpflichtet ist, die personenbezogenen Daten offenzulegen.
3.2 Elfsquad wird den Auftraggeber soweit möglich bei der Erfüllung seiner Verpflichtung unterstützen, Anfragen von betroffenen Personen gemäß Artikel 12 bis 22 DSGVO zu bearbeiten, die – kurz gesagt – darauf abzielen, Transparenz und Zugang zu erhalten, die Berichtigung und Löschung personenbezogener Daten oder die Einschränkung der Verarbeitung zu bewirken und die Übertragung der personenbezogenen Daten zu ermöglichen. In diesem Zusammenhang wird Elfsquad den Auftraggeber auch bei seiner Benachrichtigungspflicht im Zusammenhang mit solchen Anfragen und der Bearbeitung etwaiger Einwände der betroffenen Personen unterstützen und geeignete Maßnahmen bei etwaiger automatisierter Entscheidungsfindung und/oder Profilierung ergreifen.

Betroffenen.

3.3 Elfsquad wird dem Auftraggeber nach Möglichkeit Unterstützung leisten bei der Erfüllung seiner Pflicht, in Fällen, in denen die Verarbeitung wahrscheinlich ein hohes Risiko für die Privatsphäre der Betroffenen darstellt, insbesondere wenn neue Technologien verwendet werden, eine Datenschutz-Folgenabschätzung (DPIA) durchzuführen und eine vorherige Konsultation mit der Datenschutzbehörde durchzuführen.

4. Einschaltung anderer Verarbeiter und Übermittlung durch Elfsquad

4.1 Elfsquad ist berechtigt, für die Verarbeitung andere Verarbeiter („Unterverarbeiter“) einzusetzen. Elfsquad wird den Auftraggeber über geplante Änderungen in Bezug auf die Hinzufügung oder den Austausch anderer Verarbeiter informieren. Der Auftraggeber kann aus berechtigten Gründen Einspruch gegen solche Änderungen erheben.

4.2 Elfsquad wird Microsoft Azure als Unterverarbeiter einsetzen.

4.3 Wenn Elfsquad einen anderen Verarbeiter einsetzt, werden diesem anderen Verarbeiter durch Vertrag dieselben Verpflichtungen auferlegt, die auch aus diesem Vertrag hervorgehen, um ausreichende Garantien in Bezug auf die Anwendung geeigneter technischer und organisatorischer Maßnahmen sicherzustellen.

4.4 Elfsquad wird personenbezogene Daten niemals ohne schriftliche Anweisung des Auftraggebers an Länder außerhalb der Europäischen Union oder an eine internationale Organisation weitergeben, es sei denn, niederländisches oder europäisches Recht verpflichtet Elfsquad dazu. In einem solchen Fall wird Elfsquad den Auftraggeber vor der Übermittlung darüber informieren, es sei denn, das entsprechende Gesetz oder die Verordnung verbietet diese Mitteilung.

5. Sicherheit

5.1 Elfsquad wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts, des Zwecks der Verarbeitung und der Wahrscheinlichkeit und Schwere der unterschiedlichen Risiken für die Rechte und Freiheiten der Betroffenen geeignete technische und organisatorische Maßnahmen ergreifen, um die Verarbeitung im Einklang mit der DSGVO zu gewährleisten und ein angemessenes Sicherheitsniveau zu gewährleisten.

5.2 Elfsquad stellt sicher, dass jede Person (z. B. ein Mitarbeiter), die unter ihrer Autorität handelt und Zugang zu den personenbezogenen Daten hat, diese nur im Auftrag des Auftraggebers verarbeitet, es sei denn, Unionsrecht oder nationales Recht der Mitgliedstaaten verpflichtet Elfsquad dazu, und dass diese Personen angemessen unterwiesen werden.

5.3 Elfsquad setzt mindestens folgende Maßnahmen um:

• Physischer Zugangskontrolle: Alarmanlage, Gebäudesicherheit, manuelle Schlösser, Videoüberwachung der Eingänge, Bewegungserkennung, Sicherheitsschlösser, kontrollierte Schlüsselverteilung;
• Digitaler Zugangskontrolle: Benutzerautorisierung, Nutzung von Benutzerprofilen, Passwortschutz (Länge, Markierung, Rotation), Verwendung von Wiederherstellungspasswörtern, Authentifizierung von Benutzernamen/Passwörtern, Mehrfaktorauthentifizierung (2FA), Einsatz einer Software-Firewall;
• Zugangskontrolle personenbezogener Daten: Einsatz eines Autorisierungssystems, Rechteverwaltung durch Systemadministration, Registrierung der Zugriffsrechte auf Anwendungen;
• Eingangskontrolle: Rückverfolgbarkeit der Eingabe, Änderung oder Löschung von Daten durch einzelne Benutzernamen, Einsatz von Benutzerrechten für die Verarbeitung von Daten basierend auf Autorisierung, Berichterstellung, welche Anwendungen welche Daten eingeben, ändern oder löschen können, Speicherung von Formularen und Quellen, aus denen die gespeicherten Daten abgeleitet werden;
• Auftragskontrolle: sorgfältige Auswahl von Auftragnehmern, Verpflichtung zur Datenvertraulichkeit für Mitarbeiter, Verpflichtung zur Datenvertraulichkeit für Auftragnehmer, Löschung der Daten nach Beendigung der Dienstleistung;
• Verfügbarkeitskontrolle: Backup-Plan und Wiederherstellungsplan;
• Trennung von Daten: Trennung von Produktionssystem und Testsystem.

6. Kontrolle

6.1 Elfsquad und gegebenenfalls der Vertreter von Elfsquad führen ein Register über alle Kategorien der Verarbeitungsaktivitäten, die sie im Auftrag des Auftraggebers durchführen, schriftlich oder elektronisch. Dieses Register enthält die folgenden Informationen:

a. den Namen und die Kontaktdaten etwaiger weiterer Verarbeiter und des Auftraggebers sowie gegebenenfalls des Vertreters des Auftraggebers oder anderer Verarbeiter und des Datenschutzbeauftragten;

b. die Kategorien von Verarbeitungen im Auftrag des Auftraggebers;

c. gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder eine internationale Organisation, unter Angabe des Drittlands oder der internationalen Organisation sowie gegebenenfalls die Dokumente über angemessene Garantien gemäß Artikel 49 Absatz 1 Unterabsatz 2 DSGVO;

d. eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß Artikel 5 dieser Vereinbarung.

6.2 Elfsquad wird dem Auftraggeber alle Informationen zur Verfügung stellen, die notwendig sind, um die Einhaltung der Verpflichtungen aus dieser Vereinbarung nachzuweisen und um Audits, einschließlich Inspektionen, zu ermöglichen. Elfsquad wird den Auftraggeber unverzüglich informieren, wenn nach Ansicht von Elfsquad eine Anweisung des Auftraggebers gegen die DSGVO oder andere niederländische oder europäische Datenschutzgesetze verstößt.

6.3 Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung alle zwei (2) Jahre durch eine Überprüfung oder Inspektion zu kontrollieren, die von einem zertifizierten Prüfer durchgeführt wird. Eine Überprüfung darf die Geschäftstätigkeit von Elfsquad nicht unnötig beeinträchtigen. Der Auftraggeber wird die Überprüfung mindestens dreißig (30) Tage vor Beginn schriftlich bei Elfsquad ankündigen und den Namen und die Zertifikate des Prüfers angeben. Elfsquad kann in Absprache mit dem Auftraggeber eine Audit-Anfrage mit Anfragen anderer Verantwortlicher kombinieren, sodass nur eine gemeinsame Überprüfung erfolgt und die Dienstleistung des betreffenden Verarbeiters nicht unnötig belastet wird.

6.4 Der Auftraggeber trägt die Kosten der Überprüfungen mit Ausnahme der Kosten des Personals von Elfsquad, das die Überprüfung begleitet. Diese Kosten trägt Elfsquad. Falls die Überprüfung ergibt, dass Elfsquad seinen Pflichten aus dieser Vereinbarung oder der DSGVO nicht nachkommt, trägt Elfsquad die Kosten der Überprüfung und wird unverzüglich die festgestellten Mängel beheben.

7. Meldung von Datenlecks

7.1 Sollte es zu einer Verletzung im Zusammenhang mit personenbezogenen Daten (nachfolgend: „Datenleck“) kommen, meldet Elfsquad dies unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, an den Auftraggeber, es sei denn, es ist unwahrscheinlich, dass das Datenleck ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Wenn es nicht möglich ist, alle Informationen gleichzeitig bereitzustellen, kann Elfsquad die Informationen in Stufen liefern, solange dies ohne unangemessene Verzögerung erfolgt.

7.2 Die Meldung enthält mindestens:

a. die Art des Datenlecks, nach Möglichkeit unter Angabe der betroffenen Kategorien der betroffenen Personen und personenbezogenen Datenregister sowie die ungefähre Anzahl der betroffenen Personen und personenbezogenen Datenregister;

b. den Namen und die Kontaktdaten des Datenschutzbeauftragten oder eine andere Kontaktperson, bei der der Auftraggeber weitere Informationen erhalten kann;

c. die wahrscheinlichen Folgen des Datenlecks;

d. die von Elfsquad vorgeschlagenen oder bereits ergriffenen Maßnahmen zur Behebung des Datenlecks, einschließlich gegebenenfalls Maßnahmen zur Eindämmung der potenziellen nachteiligen Folgen.

7.3 Elfsquad wird den Auftraggeber bei der Dokumentation aller Datenlecks unterstützen.

7.4 Elfsquad wird den Auftraggeber bei möglichen Benachrichtigungen der betroffenen Personen unterstützen, wenn das Datenleck voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt.

8. Schlussbestimmungen

8.1 Beide Parteien sind jeweils für ihr eigenes Handeln verantwortlich und haftbar. Sollte Elfsquad seine Pflichten aus dieser Vereinbarung schuldhaft nicht erfüllen oder gegen die Bestimmungen der DSGVO schuldhaft verstoßen, stellt Elfsquad den Auftraggeber von etwaigen daraus resultierenden Ansprüchen Dritter, einschließlich der betroffenen Personen, sowie allen damit verbundenen Kosten und Schäden frei. Von der Haftung und Freistellung von Elfsquad sind ausdrücklich Bußgelder der Aufsichtsbehörde gegenüber dem Auftraggeber ausgeschlossen.

8.2 Sollte eine Haftung von Elfsquad gegenüber dem Auftraggeber infolge oder im Zusammenhang mit der Verarbeitung personenbezogener Daten bestehen, gelten die in der Vereinbarung festgelegten Haftungsbeschränkungen, unbeschadet der in dieser Vereinbarung enthaltenen Verpflichtungen. Derselbe schadensverursachende Vorfall kann nicht zu mehreren Schadensersatzforderungen führen, ungeachtet der unterschiedlichen Verträge zwischen den Parteien.

8.3 Im Hinblick auf die Verarbeitung personenbezogener Daten gehen im Falle eines Widerspruchs mit anderen vertraglichen Bestimmungen zwischen den Parteien die Bestimmungen dieser Anlage vor, es sei denn, die Parteien weichen in einer weiteren schriftlichen Vereinbarung ausdrücklich von den Bestimmungen dieser Vereinbarung ab. Diese Datenverarbeitungsvereinbarung ersetzt etwaige frühere zwischen den Parteien geltende Verarbeitungs- oder Auftragsverarbeitungsvereinbarungen.

Benachrichtigungen an Betroffene, wenn die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen darstellt.

TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN
Elfsquad, Version 2022

Die in dieser Übersicht aufgeführten Beispiele dienen als Inspiration. Der Auftragsverarbeiter setzt die folgenden Maßnahmen bei der Verarbeitung für den Verantwortlichen um:

1. Physischer Zugangsschutz
   Geeignete Maßnahmen, um zu verhindern, dass Unbefugte Zugang zu den Datenverarbeitungssystemen erhalten, in denen personenbezogene Daten verarbeitet werden.

Alarmsystem
Alarmsystem mit Verbindung zur Überwachung oder Polizei
Gebäudeschutz
Automatisches Zugangskontrollsystem
Trennung von Arbeits- und Besuchsräumen
Schließsystem mit Code
Manuelles Abschließen
Videoüberwachung der Eingänge
Lichtschranken/Bewegungsmelder
Sicherheitsverschlüsse
Kontrollierte Schlüsselvergabe
Gesicherte Luft- und Lichtschächte
Besucherregistrierung
Identifizierung von Besuchern
Sorgfältige Auswahl des Reinigungspersonals

2. Digitaler Zugangsschutz
   Maßnahmen, um den Missbrauch eines Datenverarbeitungssystems durch Unbefugte zu verhindern.

Zuweisung von Benutzerrechten
Verwendung von Benutzerprofilen
Passwortrichtlinie (Länge, Format, Wechsel)
Verwendung von Notfallpasswörtern
Authentifizierung durch Benutzernamen/Passwörter
Zwei-Faktor-Authentifizierung (2FA)
Protokoll für das Arbeiten von zu Hause
Verwendung elektronischer Signaturen
Zuweisung von Benutzerprofilen
Verriegelung der Gehäuse
Sperrung externer Schnittstellen
Einsatz von Intrusion-Detection-Systemen
Verwendung einer Software-Firewall

3. Zugangskontrolle für personenbezogene Daten
   Maßnahmen, um sicherzustellen, dass autorisierte Nutzer nur auf die personenbezogenen Daten zugreifen können, für die sie autorisiert sind, und um eine unbefugte Verarbeitung zu verhindern.

Einsatz eines Autorisierungssystems
Rechteverwaltung durch einen Systemadministrator
Registrierung des Zugriffs auf Anwendungen
Registrierung des Zugriffs auf Daten

4. Übertragungskontrolle
   Maßnahmen, um sicherzustellen, dass personenbezogene Daten während der elektronischen Übertragung oder beim Transport oder bei der Speicherung auf Datenträgern nicht von Unbefugten gelesen, verarbeitet oder entfernt werden können und dass geprüft und nachgewiesen werden kann, an wen eine Übertragung personenbezogener Daten erfolgt ist.

Verwendung von SSL/TLS-Verbindungen
Offenlegung von Daten in anonymer Form
Offenlegung von Daten in pseudonymer Form
Dokumentation der Datenempfänger

5. Eingabekontrolle
   Maßnahmen, um sicherzustellen, dass rückwirkend nachgewiesen werden kann, ob, wann und von wem personenbezogene Daten in den Datenverarbeitungssystemen eingegeben, geändert oder gelöscht wurden.

Protokolle für die Eingabe, Änderung und Löschung von Daten
Protokolle zur Bearbeitung von Anfragen zur Änderung, Einschränkung oder Löschung von Daten
Nachvollziehbarkeit der Eingabe, Änderung oder Löschung von Daten durch einzelne Benutzernamen
Zeitstempelung von Prozessen
Einsatz von Nutzerrechten für die Datenverarbeitung auf Grundlage von Berechtigungen

6. Weisungskontrolle
   Maßnahmen, die sicherstellen, dass personenbezogene Daten nur nach den Anweisungen des Auftraggebers verarbeitet werden können.

Einsatz von Auftragsverarbeitungsverträgen
Schriftliche Anweisungen an die Auftragnehmer
Sorgfältige Auswahl der Auftragnehmer
Vertragliche Strafen bei Verstößen
Verpflichtung der Auftragnehmer zur Vertraulichkeit von Daten
Vernichtung der Daten nach Beendigung des Dienstes
Kontinuierliche Kontrolle der Auftragnehmer und ihrer Aktivitäten

7. Verfügbarkeitskontrolle
   Maßnahmen, die Verfügbarkeit und Kontinuität gewährleisten, wie beispielsweise:

Backup- und Wiederherstellungsplan
Speicherung von Backup-Daten auf einem sicheren, externen Server
Tests von Backups und Datenwiederherstellung
Verfügbarkeit eines Notfallplans
Archivierungssystem