Auftragsverarbeitungsvertrag (AVV)

1.Zweck und Geltung dieses Vertrags

1.1  Der Kunde nutzt die Online-Dienste von Quiz Maker für Quizze, Umfragen, Prüfungen und Kurse (die „Dienste“) auf Grundlage der Nutzungsbedingungen von Quiz Maker (die „Nutzungsbedingungen“). Wenn Personen die Quizze des Kunden öffnen oder beantworten, verarbeitet Quiz Maker deren personenbezogene Daten im Auftrag des Kunden.

1.2  Dieser Auftragsverarbeitungsvertrag („AVV“) legt die Bedingungen dieser Verarbeitung fest, wie es Artikel 28 der GDPR (Datenschutz-Grundverordnung, DSGVO) verlangt, und bildet eine Rechtsgrundlage für die Übermittlung dieser personenbezogenen Daten aus dem Europäischen Wirtschaftsraum.

1.3  Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen der My Plaza Pty Ltd (ABN 58 110 054 245), handelnd als Quiz Maker („Quiz Maker“), und dem Kunden, der ein Konto bei Quiz Maker führt (der „Kunde“). Er ist Bestandteil der Nutzungsbedingungen und gilt automatisch und ohne Unterschrift, sobald Quiz Maker Personenbezogene Daten des Kunden verarbeitet, die den Datenschutzgesetzen unterliegen. Der Kunde nimmt ihn mit der Annahme der Nutzungsbedingungen an.

1.4  Ein Kunde, der ein unterzeichnetes Exemplar benötigt, kann es über das Kontaktformular von Quiz Maker anfordern. Ein unterzeichnetes Exemplar enthält dieselben Bestimmungen wie dieser Auftragsverarbeitungsvertrag.

1.5  Im Fall eines Widerspruchs gilt folgende Rangfolge: zuerst die Standardvertragsklauseln (soweit sie gelten), dann dieser Auftragsverarbeitungsvertrag, dann die Nutzungsbedingungen. Im Übrigen gelten die Nutzungsbedingungen fort.

2.Begriffsbestimmungen

In diesem Auftragsverarbeitungsvertrag verwendete, hier aber nicht definierte Begriffe (etwa Verantwortlicher, Auftragsverarbeiter, betroffene Person, personenbezogene Daten, Verarbeitung und Aufsichtsbehörde) haben die Bedeutung, die ihnen die GDPR gibt. Zusätzlich gilt:

3.Rollen und Anwendungsbereich

3.1  Der Kunde ist der Verantwortliche für die Personenbezogenen Daten des Kunden, und Quiz Maker ist sein Auftragsverarbeiter.

3.2  Quiz Maker ist der Verantwortliche für die eigenen Konto-, Anmelde- und Abrechnungsdaten des Kunden, die Quiz Maker nach seiner Datenschutzerklärung verarbeitet. Diese Daten sind keine Personenbezogenen Daten des Kunden, und dieser Auftragsverarbeitungsvertrag gilt nicht für sie.

3.3  Der Kunde ist dafür verantwortlich, über eine Rechtsgrundlage für die Erhebung von Personenbezogenen Daten des Kunden über seine Quizze zu verfügen, für die Informationen, die er betroffenen Personen gibt, und die Einwilligungen, die er von ihnen einholt (einschließlich jeder Einwilligung, die für Cookies oder ähnliche Technologien in seinen Quizzen und auf Websites, in die er sie einbettet, erforderlich ist), sowie dafür, keine besonderen Kategorien personenbezogener Daten oder andere nach den Nutzungsbedingungen verbotene Daten zu erheben, sofern Quiz Maker nicht schriftlich zugestimmt hat.

4.Verarbeitung nach Weisung des Kunden

4.1  Quiz Maker verarbeitet Personenbezogene Daten des Kunden nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland. Die Weisungen des Kunden sind dieser Auftragsverarbeitungsvertrag, die Nutzungsbedingungen sowie die Nutzung und Konfiguration der Dienste durch den Kunden (zum Beispiel das Veröffentlichen eines Quiz, die Wahl der Fragen, das Aktivieren von Ergebnis-E-Mails oder KI-Funktionen und das Exportieren oder Löschen von Beantwortungen).

4.2  Anderweitig darf Quiz Maker Personenbezogene Daten des Kunden nur verarbeiten, wenn es nach dem Recht der Union oder der Mitgliedstaaten, dem Quiz Maker unterliegt, dazu verpflichtet ist. In diesem Fall teilt Quiz Maker dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.3  Quiz Maker informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Quiz Maker gegen Datenschutzgesetze verstößt.

4.4  Quiz Maker verkauft Personenbezogene Daten des Kunden nicht, verwendet sie nicht für Werbung oder zum Training von Modellen künstlicher Intelligenz und verwendet sie auch nicht anderweitig für eigene Zwecke, ausgenommen zur Erstellung aggregierter Statistiken, die weder den Kunden noch eine betroffene Person erkennen lassen, wie in den Nutzungsbedingungen beschrieben.

5.Vertraulichkeit

5.1  Quiz Maker stellt sicher, dass alle Personen, die Quiz Maker zur Verarbeitung von Personenbezogenen Daten des Kunden befugt, einer angemessenen Verschwiegenheitspflicht unterliegen und dass der Zugriff auf die Mitarbeitenden beschränkt ist, die ihn zur Erbringung, Absicherung und Unterstützung der Dienste benötigen.

6.Sicherheit

6.1  Quiz Maker setzt die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der Personenbezogenen Daten des Kunden um und erhält sie aufrecht, wie es Artikel 32 der GDPR verlangt.

6.2  Quiz Maker darf diese Maßnahmen an technische Entwicklungen und veränderte Bedrohungen anpassen, sofern das Schutzniveau insgesamt nicht wesentlich sinkt.

7.Unterauftragsverarbeiter

7.1  Der Kunde erteilt Quiz Maker eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die in Anhang III aufgeführten Unterauftragsverarbeiter sind genehmigt.

7.2  Quiz Maker veröffentlicht die aktuelle Liste der Unterauftragsverarbeiter als Anhang III dieses Auftragsverarbeitungsvertrags unter quiz-maker.com/Data-Processing-Agreement und aktualisiert sie mindestens 30 Tage, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird. Quiz Maker sendet diese Mitteilung außerdem per E-Mail an jeden Kunden, der sie über das Kontaktformular angefordert hat.

7.3  Der Kunde darf einem neuen Unterauftragsverarbeiter innerhalb dieser 30 Tage aus berechtigten datenschutzrechtlichen Gründen widersprechen, und die Parteien erörtern den Widerspruch nach Treu und Glauben. Lässt er sich nicht ausräumen, darf der Kunde die betroffenen Dienste kündigen, und Quiz Maker erstattet im Voraus bezahlte Gebühren für den ungenutzten Zeitraum zurück.

7.4  Quiz Maker beauftragt jeden Unterauftragsverarbeiter auf Grundlage eines schriftlichen Vertrags, der Datenschutzpflichten auferlegt, die nicht weniger schützen als die dieses Auftragsverarbeitungsvertrags, und haftet dem Kunden gegenüber in vollem Umfang dafür, dass jeder Unterauftragsverarbeiter diese Pflichten erfüllt.

8.Anfragen betroffener Personen

8.1  Erhält Quiz Maker eine Anfrage einer betroffenen Person zu Personenbezogenen Daten des Kunden, leitet Quiz Maker die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, außer um die betroffene Person an den Kunden zu verweisen, sofern der Kunde nichts anderes gestattet.

8.2  Mit den Diensten kann der Kunde Personenbezogene Daten des Kunden selbst einsehen, exportieren, berichtigen und löschen. Soweit der Kunde dies über die Dienste nicht kann, leistet Quiz Maker unter Berücksichtigung der Art der Verarbeitung angemessene Unterstützung, damit der Kunde Anträge auf Wahrnehmung der Rechte betroffener Personen beantworten kann.

9.Verletzungen des Schutzes personenbezogener Daten

9.1  Quiz Maker benachrichtigt den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und nach Möglichkeit innerhalb von 48 Stunden.

9.2  Die Benachrichtigung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Ist nicht alles sofort bekannt, stellt Quiz Maker die Informationen schrittweise bereit, sobald sie vorliegen.

9.3  Quiz Maker ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und zu beheben, und stellt dem Kunden die Informationen zur Verfügung, die dieser zur Erfüllung seiner eigenen Pflichten zur Meldung an Aufsichtsbehörden und betroffene Personen vernünftigerweise benötigt. Die Meldung einer Verletzung ist kein Eingeständnis von Verschulden oder Haftung.

10.Unterstützung bei der Einhaltung

10.1  Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt Quiz Maker den Kunden in angemessenem Umfang bei der Erfüllung seiner Pflichten nach den Artikeln 32 bis 36 der GDPR, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultation einer Aufsichtsbehörde.

11.Löschung und Rückgabe von Daten

11.1  Solange der Kunde die Dienste nutzt, kann er Personenbezogene Daten des Kunden jederzeit exportieren oder löschen.

11.2  Nach dem Ende der Dienste hat der Kunde mindestens 30 Tage Zeit, seine Daten zu exportieren. Nach Ablauf dieser Frist löscht Quiz Maker die Personenbezogenen Daten des Kunden, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zu ihrer Aufbewahrung besteht.

11.3  Kopien in verschlüsselten Backups werden im normalen Backup-Turnus überschrieben und bleiben bis dahin nach diesem Auftragsverarbeitungsvertrag geschützt. Auf Anfrage bestätigt Quiz Maker die erfolgte Löschung schriftlich.

12.Informationen und Audits

12.1  Quiz Maker stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 der GDPR erforderlich sind, einschließlich schriftlicher Angaben zu seinen Sicherheitsmaßnahmen und Antworten auf angemessene Sicherheitsfragebögen.

12.2  Audits erfolgen dadurch, dass Quiz Maker diese Informationen bereitstellt und angemessene schriftliche Rückfragen des Kunden dazu beantwortet.

12.3  Eine Inspektion der Räumlichkeiten oder Systeme von Quiz Maker darf nur stattfinden, wenn eine zuständige Aufsichtsbehörde sie verlangt, oder nach einer Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Daten des Kunden betrifft. Sie ist von einem unabhängigen, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von Quiz Maker ist, nach schriftlicher Ankündigung mit einer Frist von mindestens 30 Tagen (oder der kürzeren Frist, die die Behörde verlangt), während der üblichen Geschäftszeiten, auf Kosten des Kunden und beschränkt auf die Verarbeitung von Personenbezogenen Daten des Kunden durchzuführen. Sie umfasst keinen Zugang zu Daten anderer Kunden oder zu Informationen, die die Sicherheit der Dienste gefährden würden.

12.4  Diese Ziffer regelt, wie der Kunde seine Rechte nach Klausel 8.9 der Standardvertragsklauseln ausübt, und schränkt die Befugnisse einer Aufsichtsbehörde nicht ein.

13.Internationale Übermittlung

13.1  Der Kunde nimmt zur Kenntnis, dass Quiz Maker in Australien niedergelassen ist, dass Personenbezogene Daten des Kunden auf Servern in den Vereinigten Staaten gehostet werden, dass sie das weltweite Netzwerk von Cloudflare durchlaufen und dass die Unterauftragsverarbeiter in Anhang III sie an den dort genannten Standorten verarbeiten.

13.2  Soweit die Übermittlung von Personenbezogenen Daten des Kunden durch den Kunden an Quiz Maker eine Übermittlung in ein Drittland nach Kapitel V der GDPR ist, werden die Standardvertragsklauseln durch Verweis in diesen Auftragsverarbeitungsvertrag einbezogen, mit dem Kunden als Datenexporteur und Quiz Maker als Datenimporteur und mit folgenden Festlegungen:

1. Klausel 7 (Kopplungsklausel) findet Anwendung.
2. Klausel 9(a): Option 2 (allgemeine schriftliche Genehmigung) findet Anwendung, die Frist beträgt 30 Tage, und die Mitteilung erfolgt wie in Ziffer 7.2 dieses Auftragsverarbeitungsvertrags beschrieben.
3. Klausel 11(a): Die fakultative Formulierung findet keine Anwendung.
4. Klausel 13: Zuständige Aufsichtsbehörde ist die in Anhang I Abschnitt C bestimmte.
5. Klausel 17: Option 1 findet Anwendung; anwendbares Recht ist das Recht Irlands.
6. Klausel 18(b): Streitigkeiten werden von den Gerichten Irlands entschieden.
7. Die Anhänge I, II und III der Standardvertragsklauseln werden durch die Anhänge I, II und III dieses Auftragsverarbeitungsvertrags ausgefüllt.

13.3  Übermittelt Quiz Maker Personenbezogene Daten des Kunden an einen Unterauftragsverarbeiter in einem Drittland, stellt Quiz Maker sicher, dass die Übermittlung durch eine geeignete Garantie nach Kapitel V der GDPR abgedeckt ist, etwa durch die Standardvertragsklauseln oder einen Angemessenheitsbeschluss (einschließlich des EU-U.S. Data Privacy Framework (EU-US-Datenschutzrahmen), sofern der Unterauftragsverarbeiter danach zertifiziert ist).

13.4  Quiz Maker stellt angemessene Informationen bereit, die dem Kunden helfen, die Übermittlung nach Klausel 14 der Standardvertragsklauseln zu beurteilen, und behandelt jedes Ersuchen einer Behörde um Personenbezogene Daten des Kunden wie in Klausel 15 der Standardvertragsklauseln festgelegt.

13.5  Soweit die UK GDPR gilt, findet das vom UK Information Commissioner (britische Datenschutzaufsichtsbehörde) herausgegebene International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (britischer Zusatz zu den Standardvertragsklauseln der EU-Kommission, Version B1.0) Anwendung, wobei seine Tabellen 1 bis 3 durch die Angaben in diesem Auftragsverarbeitungsvertrag und seinen Anhängen ausgefüllt werden; jede Partei kann es nach Maßgabe seiner Tabelle 4 beenden. Soweit der Swiss Federal Act on Data Protection gilt, finden die Standardvertragsklauseln mit dem Swiss Federal Data Protection and Information Commissioner (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, EDÖB) als zuständiger Aufsichtsbehörde Anwendung, und Verweise auf die GDPR gelten als Verweise auf dieses Gesetz.

14.Haftung

14.1  Die Gesamthaftung jeder Partei gegenüber der anderen aus oder im Zusammenhang mit diesem Auftragsverarbeitungsvertrag und den Standardvertragsklauseln unterliegt, zusammen mit allen Ansprüchen aus den Nutzungsbedingungen, soweit gesetzlich zulässig, den Haftungsbeschränkungen und -ausschlüssen der Nutzungsbedingungen, einschließlich des Ausschlusses indirekter Schäden und Folgeschäden und der Gesamthaftungsobergrenze.

14.2  Nichts in diesem Auftragsverarbeitungsvertrag beschränkt die Haftung einer Partei gegenüber betroffenen Personen nach den Standardvertragsklauseln oder eine Haftung, die gesetzlich nicht beschränkt oder ausgeschlossen werden kann.

15.Laufzeit, Änderungen und Allgemeines

15.1  Dieser Auftragsverarbeitungsvertrag tritt am 25. August 2026 in Kraft oder, falls dies später ist, mit der Annahme der Nutzungsbedingungen durch den Kunden, und gilt, solange Quiz Maker Personenbezogene Daten des Kunden verarbeitet. Bestimmungen, die ihrem Wesen nach über die Beendigung hinaus fortgelten sollen, gelten fort.

15.2  Dieser Auftragsverarbeitungsvertrag unterliegt dem Recht, dem die Nutzungsbedingungen unterliegen; die Standardvertragsklauseln unterliegen jedoch dem in Ziffer 13.2 gewählten Recht. Nichts in diesem Auftragsverarbeitungsvertrag schmälert die Rechte betroffener Personen nach den Standardvertragsklauseln.

15.3  Quiz Maker darf diesen Auftragsverarbeitungsvertrag in der Weise aktualisieren, in der die Nutzungsbedingungen eine Aktualisierung der Nutzungsbedingungen erlauben. Eine Aktualisierung verringert den Schutz, den dieser Auftragsverarbeitungsvertrag den Personenbezogenen Daten des Kunden gewährt, nicht wesentlich, es sei denn, eine Änderung der Datenschutzgesetze oder neue, von der Europäischen Kommission erlassene Standardvertragsklauseln erfordern dies.

15.4  Ist eine Bestimmung dieses Auftragsverarbeitungsvertrags unwirksam oder nicht durchsetzbar, bleibt der übrige Vertrag wirksam.

15.5  Unterzeichnen die Parteien ein Exemplar dieses Auftragsverarbeitungsvertrags, kann dies elektronisch und in mehreren Ausfertigungen geschehen, von denen jede ein Original ist.

Anhang I: Beschreibung der Verarbeitung

A. Liste der Parteien

B. Beschreibung der Übermittlung

C. Zuständige Aufsichtsbehörde

Ist der Kunde in der Europäischen Union niedergelassen, die Aufsichtsbehörde des Mitgliedstaats seiner Niederlassung (oder seine federführende Aufsichtsbehörde, wenn er mehr als eine Niederlassung hat). Ist der Kunde nicht in der Europäischen Union niedergelassen, unterliegt er aber der GDPR, die Aufsichtsbehörde des Mitgliedstaats, in dem sein Vertreter nach Artikel 27 der GDPR niedergelassen ist, oder, wenn er keinen benennen muss, des Mitgliedstaats, in dem sich die betroffenen Teilnehmer befinden.

Anhang II: Technische und organisatorische Maßnahmen

Anhang III: Genehmigte Unterauftragsverarbeiter

Stripe, Inc. verarbeitet die eigenen Abrechnungsdaten des Kunden, für die Quiz Maker der Verantwortliche ist. Stripe erhält keine Personenbezogenen Daten des Kunden und ist kein Unterauftragsverarbeiter im Sinne dieses Auftragsverarbeitungsvertrags.