1. Gegenstand und Qualifikation der Parteien
Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten, die der Ersteller (der „Verantwortliche“) von seinen Befragten über die Formulare sammelt, die er auf Meliform veröffentlicht und die Kassim MONDOHA (der „Auftragsverarbeiter“) in seinem Auftrag verarbeitet.
Sie gilt nicht für die Kontodaten des Erstellers selbst, für die der Auftragsverarbeiter als Verantwortlicher handelt: diese fallen unter die Datenschutzerklärung.
2. Beschreibung der Verarbeitung (Art. 28 Abs. 3 DSGVO)
| Element | Beschreibung |
|---|---|
| Gegenstand | Hosting und Bereitstellung eines Dienstes zur Erstellung, Verbreitung und Analyse von Online-Formularen |
| Art der Vorgänge | Erhebung, Speicherung, Organisation, Strukturierung, Aufbewahrung, Bereitstellung, Löschung |
| Zweck | Dem Verantwortlichen die Erhebung und Nutzung der Antworten auf seine Formulare zu ermöglichen |
| Dauer | Dauer des Kontos des Verantwortlichen oder bis zur Löschung der betroffenen Formulare und Antworten |
| Datenarten | Antworten auf gestellte Fragen, Bewertung und Fortschritt, Zeitstempel, Teilnahmezeit, Identität und E-Mail-Adresse des Befragten, wenn das Formular sie erfragt oder der Befragte eingeloggt ist |
| Kategorien von Personen | Befragte der Formulare des Verantwortlichen (Schüler, Bewerber, Kunden, Mitglieder, Besucher…) |
Der Verantwortliche bestimmt allein die gestellten Fragen und damit die tatsächlich erhobenen Datenkategorien.
3. Ihre Verpflichtungen als Verantwortlicher
Sie verpflichten sich zu:
- einer gültigen Rechtsgrundlage für jede Erhebung, die Sie durchführen (Einwilligung, Vertrag, gesetzliche Verpflichtung, berechtigtes Interesse…) ;
- Information Ihrer Befragten, bevor sie antworten, über die Identität des Verantwortlichen, die Zwecke, die Empfänger, die Aufbewahrungsfristen und ihre Rechte — die Beschreibung oder die Einführungsseite Ihres Formulars ist der geeignete Ort dafür ;
- der Erhebung nur der Daten, die für Ihren Zweck unbedingt notwendig sind (Prinzip der Datenminimierung) ;
- der Nicht-Erhebung sensibler Daten (Artikel 9 der DSGVO) oder von Straftaten (Artikel 10), ohne die spezifischen Bedingungen dafür einzuhalten ;
- der Beantwortung von Anfragen zur Ausübung der Rechte Ihrer Befragten innerhalb der gesetzlichen Fristen ;
- der Dokumentation Ihrer Anweisungen und der Nutzung des Dienstes nur entsprechend der Nutzungsbedingungen ;
- der Führung Ihres Verzeichnisses von Verarbeitungstätigkeiten, wenn Sie dazu verpflichtet sind ;
- der Löschung von Antworten, die Sie nicht mehr benötigen.
4. Unsere Verpflichtungen als Auftragsverarbeiter
Wir verpflichten uns zu:
- der Verarbeitung der Daten nur auf Ihre dokumentierten Anweisungen hin — Ihre Nutzung des Dienstes und diese Vereinbarung gelten als Anweisungen — es sei denn, es besteht eine gesetzliche Verpflichtung, in diesem Fall informieren wir Sie vorab, außer bei gesetzlichem Verbot ;
- der Benachrichtigung, wenn eine Anweisung uns als Verstoß gegen die DSGVO erscheint ;
- der Nichtnutzung der erfassten Antworten zu unseren eigenen Zwecken: sie werden weder kommerziell genutzt, noch weitergegeben noch für das Training von KI-Modellen verwendet ;
- der Sicherstellung, dass Personen, die zur Datenverarbeitung befugt sind, der Vertraulichkeitspflicht unterliegen ;
- der Umsetzung der in Artikel 5 beschriebenen Sicherheitsmaßnahmen ;
- der Einhaltung der Bedingungen für die Beauftragung eines nachfolgenden Auftragsverarbeiters (Artikel 6) ;
- der Unterstützung bei der Erfüllung Ihrer Verpflichtungen (Artikel 7) ;
- der Rückgabe oder Löschung der Daten am Ende des Dienstes (Artikel 9) ;
- der Bereitstellung der notwendigen Informationen zur Demonstration der Einhaltung von Artikel 28 (Artikel 10).
5. Technische und organisatorische Maßnahmen (Art. 32)
- Verschlüsselung der Kommunikation in Transit (HTTPS/TLS) ;
- Trennung der Daten nach Konto und Organisation, mit systematischer Zugriffskontrolle bei jeder Konsultation oder Änderung ;
- Authentifizierung durch Passwort, das als einseitiges Hash gespeichert wird, Begrenzung der Anmeldeversuche ;
- Feingranulare Rechteverwaltung innerhalb einer Organisation (Rollen, Berechtigungen pro Ressource) ;
- Protokollierung sensibler Aktionen ;
- Hosting in Rechenzentren innerhalb der Europäischen Union, regelmäßige Backups ;
- Aktualisierung der Softwarekomponenten und Implementierung von Sicherheits-Patches.
6. Nachfolgende Unterauftragnehmer
Sie erteilen eine generelle Genehmigung zur Beauftragung der folgenden nachfolgenden Unterauftragnehmer, deren Liste auf dieser Seite aktuell gehalten wird:
| Dienstleister | Rolle | Datenstandort |
|---|---|---|
| OVH SAS | Hosting der Website und der Datenbank | Frankreich (Europäische Union) |
| OVH SAS | Versand der E-Mails des Dienstes | Frankreich (Europäische Union) |
| Mistral AI SAS | Funktionen der KI-gestützten Unterstützung | Frankreich (Europäische Union) |
| Umami | Anonyme Reichweitenmessung, ohne Cookie | Frankreich (Europäische Union) — selbstgehostet |
Im Fall der Hinzufügung oder des Austauschs eines nachfolgenden Unterauftragnehmers werden wir Sie mindestens dreißig Tage im Voraus per E-Mail oder durch eine Benachrichtigung im Dienst informieren. Sie haben diesen Zeitraum, um gegebenenfalls begründete Einwände zu formulieren; im Falle keiner Lösung können Sie durch Löschen der betroffenen Formulare oder Ihres Kontos kündigen. Jeder nachfolgende Unterauftragnehmer ist an Datensicherungs-Verpflichtungen gebunden, die denen dieser Vereinbarung entsprechen.
7. Unterstützung, Rechte der Personen und Datenverstöße
- Rechte der Befragten: Der Dienst bietet Ihnen Zugriff auf die Antworten und ermöglicht Ihnen die Einsichtnahme, den Export und die Löschung, damit Sie Anfragen nach Zugang, Berichtigung, Löschung oder Übertragbarkeit selbst beantworten können. Wenn eine Anfrage direkt an uns gerichtet wird, leiten wir sie ohne Beantwortung an Sie weiter.
- Datenverstoß: Wir werden Sie über jede Verletzung personenbezogener Daten betreffend Ihre Befragten innerhalb von achtundvierzig Stunden nach ihrer Feststellung informieren, indem wir Ihnen die uns vorliegenden Informationen (Art, Kategorien und ungefährer Umfang der betroffenen Daten, wahrscheinliche Folgen, ergriffene Maßnahmen) mitteilen. Es liegt in Ihrer Verantwortung, gegebenenfalls die Benachrichtigung bei der Aufsichtsbehörde (Artikel 33) und die Information der betroffenen Personen (Artikel 34) vorzunehmen.
- Auswirkungsanalyse: Wir stellen Ihnen auf Anfrage die technischen Informationen zur Verfügung, die für eine Datenschutz-Folgenabschätzung und eine eventuell erforderliche vorherige Konsultation der Aufsichtsbehörde notwendig sind.
8. Transfers außerhalb der Europäischen Union
Das Hosting und die Speicherung der Antworten erfolgen in der Europäischen Union. Es findet kein Transfer der Antworten außerhalb der Union statt, einschließlich der nachfolgenden Unterauftragnehmer, die in Artikel 6 aufgeführt sind.
9. Löschung der Daten am Ende des Dienstes
Bei der Löschung eines Formulars werden die zugehörigen Antworten gelöscht. Bei der Löschung Ihres Kontos werden alle Formulare und Antworten, für die Sie verantwortlich sind, gelöscht oder anonymisiert. Sie werden gebeten, die Daten, die Sie behalten möchten, vor jeder Löschung zu exportieren: diese ist endgültig und wir behalten keine Kopie, vorbehaltlich temporärer technischer Backups, deren Aufbewahrungsdauer dreißig Tage nicht überschreitet.
10. Dokumentation und Audit
Wir stellen Ihnen auf Anfrage, die an contact@meliform.com zu richten ist, die notwendigen Informationen zur Verfügung, um die Einhaltung der Verpflichtungen dieser Vereinbarung nachzuweisen. Sie können ein Audit durchführen, maximal einmal pro Jahr und vorbehaltlich einer Vorankündigungsfrist von dreißig Tagen, unter Bedingungen, die zwischen den Parteien vereinbart werden und die Sicherheit der anderen Nutzer des Dienstes nicht beeinträchtigen. Die Auditkosten trägt der Auftraggeber, da der Dienst kostenlos bereitgestellt wird.
11. Haftung
Jede Partei haftet für Schäden, die durch eine die DSGVO verletzende Verarbeitung verursacht werden, in den Bedingungen ihres Artikels 82. Der Auftragsverarbeiter ist insbesondere nicht verantwortlich für die Rechtmäßigkeit der durch den Verantwortlichen festgelegten Erhebung, den Inhalt der gestellten Fragen oder die Information der Befragten.