Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen NoxVerify Ltd. („Auftragsverarbeiter“ oder „NoxVerify“) und dem Tenant („Verantwortlicher“) und regelt die Verarbeitung personenbezogener Daten durch NoxVerify im Auftrag des Verantwortlichen im Rahmen der Bereitstellung von Identitätsprüfungsdiensten.

1. Definitionen

Für diesen AVV gelten die folgenden Definitionen:

• „Verantwortlicher“ bezeichnet den Tenant, der über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet und in dessen Auftrag NoxVerify personenbezogene Daten verarbeitet.
• „Auftragsverarbeiter“ bezeichnet NoxVerify Ltd., das personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• „Unterauftragsverarbeiter“ bezeichnet jede dritte Partei, die von NoxVerify zur Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen eingesetzt wird.
• „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und die nach diesem AVV von NoxVerify im Auftrag des Verantwortlichen verarbeitet werden.
• „Betroffene Person“ bezeichnet die Person, auf die sich die personenbezogenen Daten beziehen, einschließlich Antragsteller, deren Identität geprüft wird.
• „Datenschutzverletzung“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt.
• „Anwendbares Datenschutzrecht“ bezeichnet alle für die Verarbeitung personenbezogener Daten unter diesem AVV geltenden Gesetze und Vorschriften, einschließlich GDPR, KVKK, CCPA und sonstiger einschlägiger Vorschriften.

2. Umfang und Zweck

NoxVerify verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zum Zweck der Erbringung der in den Nutzungsbedingungen beschriebenen Identitätsprüfungsdienste. Der Umfang der Verarbeitung umfasst:

• KYC-Identitätsprüfung von Einzelpersonen, einschließlich Dokumentenverarbeitung, OCR-Extraktion, biometrischem Abgleich und Lebenderkennung.
• KYB-Geschäftsprüfung, einschließlich Registerabfragen, Analyse von Unternehmensdokumenten und Identifizierung wirtschaftlich Berechtigter.
• KYM-Händlerüberwachung, einschließlich Website-Scans, Risikosignalerkennung und Compliance-Prüfungen.
• Anti-Geldwäsche-Screening (AML) gegen Sanktionslisten, PEP-Datenbanken und Adverse-Media-Quellen.
• Laufende Überwachung und periodisches Rescreening zuvor verifizierter Subjekte.

Kategorien betroffener Personen umfassen: Personen, die einer KYC-Verifizierung unterzogen werden; Direktoren und wirtschaftlich Berechtigte von Unternehmen, die einer KYB-Verifizierung unterzogen werden; Händler, die einem KYM-Onboarding unterzogen werden; sowie Vertreter des Verantwortlichen, die auf die Plattform zugreifen.

3. Pflichten des Auftragsverarbeiters

NoxVerify als Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, dies ist nach geltendem Recht erforderlich. Ist die Verarbeitung gesetzlich vorgeschrieben, wird NoxVerify den Verantwortlichen vor der Verarbeitung über die rechtliche Anforderung informieren (sofern nicht gesetzlich untersagt).
• sicherzustellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.
• geeignete technische und organisatorische Sicherheitsmaßnahmen gemäß Abschnitt 5 zu implementieren und aufrechtzuerhalten.
• die Bedingungen für die Beauftragung von Unterauftragsverarbeitern gemäß Abschnitt 4 einzuhalten.
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen gemäß Abschnitt 7 zu unterstützen.
• den Verantwortlichen bei der Erfüllung seiner Pflichten in Bezug auf Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörden zu unterstützen.
• nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Diensterbringung zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern keine Speicherpflicht nach geltendem Recht besteht.
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung zu stellen und Audits gemäß Abschnitt 9 zu ermöglichen und zu unterstützen.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt NoxVerify eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern zur Unterstützung der Diensterbringung. NoxVerify führt eine aktuelle Liste der Unterauftragsverarbeiter und informiert den Verantwortlichen über beabsichtigte Änderungen mindestens dreißig (30) Tage im Voraus.

Aktuelle Unterauftragsverarbeiter

Widerspricht der Verantwortliche einem neuen Unterauftragsverarbeiter aus sachlich gerechtfertigten datenschutzrechtlichen Gründen, wird NoxVerify wirtschaftlich angemessene Anstrengungen unternehmen, eine Alternative bereitzustellen oder dem Verantwortlichen die Kündigung der betroffenen Dienste ohne Strafe zu ermöglichen.

NoxVerify erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens denselben Schutz wie dieser AVV bieten. NoxVerify haftet gegenüber dem Verantwortlichen weiterhin vollumfänglich für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter.

5. Sicherheitsmaßnahmen

NoxVerify implementiert die folgenden technischen und organisatorischen Sicherheitsmaßnahmen:

• Verschlüsselung im Ruhezustand: AES-256-Verschlüsselung für alle gespeicherten personenbezogenen Daten, einschließlich Beweissicherungsdateien, Datenbankeinträgen und Backups.
• Verschlüsselung bei der Übertragung: TLS 1.3 für alle Daten, die zwischen Clients, Diensten und Unterauftragsverarbeitern übertragen werden.
• Zugriffskontrollen: rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der minimalen Berechtigung. Mehrfaktor-Authentifizierung für alle administrativen Zugriffe.
• Audit-Protokollierung: umfassende Protokollierung aller Zugriffe auf und Verarbeitungen von personenbezogenen Daten mit manipulationssicherer Speicherung und 10-jähriger Aufbewahrung.
• Vorfallreaktion: dokumentierter Notfallplan mit definierten Schweregraden, Eskalationswegen und Kommunikationsvorlagen.
• Schwachstellenmanagement: regelmäßige automatisierte Schwachstellenscans und jährliche Penetrationstests durch qualifizierte unabhängige Prüfer.
• Geschäftskontinuität: redundante Infrastruktur über mehrere Verfügbarkeitszonen mit definierten Wiederherstellungszeit- und Wiederherstellungspunktzielen.
• Personalsicherheit: Background-Checks für Mitarbeitende mit Zugriff auf personenbezogene Daten. Verpflichtende Sicherheitsschulungen.

6. Meldung von Datenschutzverletzungen

NoxVerify meldet dem Verantwortlichen jede Datenschutzverletzung unverzüglich und spätestens innerhalb von zweiundsiebzig (72) Stunden nach Kenntnisnahme. Die Meldung enthält:

• eine Beschreibung der Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze.
• den Namen und die Kontaktdaten des Datenschutzbeauftragten von NoxVerify oder einer anderen Anlaufstelle für weitere Informationen.
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung.
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behandlung der Verletzung, einschließlich Maßnahmen zur Minderung möglicher negativer Auswirkungen.

NoxVerify arbeitet mit dem Verantwortlichen zusammen und ergreift wirtschaftlich angemessene Schritte zur Unterstützung der Untersuchung, Schadensminderung und Abhilfe. NoxVerify dokumentiert alle Datenschutzverletzungen einschließlich Sachverhalt, Auswirkungen und ergriffenen Abhilfemaßnahmen.

7. Rechte betroffener Personen

NoxVerify unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte nach anwendbarem Datenschutzrecht, einschließlich Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Portabilitäts- und Widerspruchsrechten.

Erhält NoxVerify eine Anfrage direkt von einer betroffenen Person, leitet NoxVerify die Anfrage unverzüglich an den Verantwortlichen weiter und antwortet nicht direkt an die betroffene Person, sofern nicht vom Verantwortlichen autorisiert oder gesetzlich vorgeschrieben.

NoxVerify stellt dem Verantwortlichen die technische Möglichkeit zur Verfügung, personenbezogene Daten in Reaktion auf Anfragen betroffener Personen zu exportieren, zu korrigieren oder zu löschen. Angemessene Unterstützung wird ohne Zusatzkosten erbracht; Anfragen, die erheblichen individuellen Aufwand erfordern, können vorab vereinbarten Gebühren unterliegen.

8. Datenlöschung

Nach Beendigung des Dienstvertrags wird NoxVerify nach Wahl des Verantwortlichen:

• alle personenbezogenen Daten an den Verantwortlichen in einem strukturierten, gängigen und maschinenlesbaren Format zurückgeben; oder
• alle personenbezogenen Daten löschen und diese Löschung schriftlich bestätigen.

Der Datenexport oder die Datenlöschung wird innerhalb von dreißig (30) Tagen nach Beendigung abgeschlossen. NoxVerify darf personenbezogene Daten über diesen Zeitraum hinaus nur dann aufbewahren, wenn dies nach anwendbarem Datenschutzrecht erforderlich ist (z. B. AML/CTF-Aufbewahrungspflichten). Aufbewahrte Daten werden weiterhin gemäß diesem AVV geschützt.

9. Auditrechte

Der Verantwortliche kann die Einhaltung dieses AVV durch NoxVerify auditieren. Audits werden unter folgenden Bedingungen durchgeführt:

• Der Verantwortliche kann pro Jahr ein Audit durchführen oder in Auftrag geben, mit mindestens dreißig (30) Tagen schriftlicher Vorankündigung.
• Audits werden während normaler Geschäftszeiten und in einer Weise durchgeführt, die den Betrieb von NoxVerify möglichst wenig beeinträchtigt.
• Der Verantwortliche trägt die Kosten des Audits, es sei denn, das Audit deckt einen wesentlichen Verstoß von NoxVerify auf.
• Auditoren müssen vor dem Zugriff auf Systeme oder Einrichtungen von NoxVerify entsprechende Vertraulichkeitsvereinbarungen abschließen.
• NoxVerify kann Auditanfragen durch Bereitstellung einschlägiger Auditberichte Dritter (z. B. SOC 2 Type II) oder Zertifizierungsunterlagen erfüllen.

10. Internationale Datenübermittlungen

Werden personenbezogene Daten außerhalb der Rechtsordnung des Verantwortlichen übermittelt, stellt NoxVerify sicher, dass geeignete Garantien gemäß anwendbarem Datenschutzrecht vorhanden sind:

• Standardvertragsklauseln (SCCs) der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) werden für Übermittlungen aus dem EWR durch Verweis in diesen AVV einbezogen.
• Angemessenheitsbeschlüsse: Wenn die Europäische Kommission oder eine andere zuständige Behörde einen Angemessenheitsbeschluss für das Empfängerland erlassen hat, dient dieser Beschluss als Übermittlungsmechanismus.
• Ergänzende Maßnahmen: Sofern aufgrund einer Übermittlungsfolgenabschätzung erforderlich, implementiert NoxVerify zusätzliche technische und organisatorische Maßnahmen, um die Wirksamkeit des Übermittlungsmechanismus sicherzustellen.
• Datenresidenz: Enterprise-Tenants können jurisdiktionsgebundene Speicherung konfigurieren, um bestimmte Kategorien personenbezogener Daten auf festgelegte geografische Regionen zu beschränken.

11. Laufzeit

Dieser AVV tritt zu dem Zeitpunkt in Kraft, zu dem der Verantwortliche erstmals auf die NoxVerify-Plattform zugreift, und bleibt für die Dauer des Dienstvertrags zwischen den Parteien in Kraft. Bestimmungen dieses AVV, die ihrer Natur nach die Beendigung überdauern sollen (einschließlich der Abschnitte 6, 8, 9, 10 und 12), gelten auch nach Beendigung fort.

12. Haftung

Die Haftung unter diesem AVV unterliegt den Beschränkungen, die in den Nutzungsbedingungen festgelegt sind. Die Gesamthaftung jeder Partei unter diesem AVV überschreitet die in den Nutzungsbedingungen festgelegte Haftungsobergrenze nicht.

Bei Fragen zu diesem AVV wenden Sie sich an uns: