Auftragsverarbeitungsvertrag

1. Parteien

• Verantwortlicher: die in Sourevo registrierte Kundenorganisation (Importeur, Marktteilnehmer, Händler oder Spediteur / bevollmächtigter Vertreter). Sie entscheidet, welche Daten sie hochlädt und wozu.
• Auftragsverarbeiter: Juan Cantón Rodríguez (NIF 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, tätig unter der Marke «Francodesystems».

Dieser Vertrag umfasst die Daten, die Ihre Organisation für ihre Sorgfaltspflicht in das Tool eingibt, importiert oder dort erhält, einschließlich der Daten des Marktteilnehmers für TRACES NT und des Inhalts der Erklärungen. Die Daten der Benutzerkonten und die Daten, die Lieferanten in ihrem eigenen Portal verwalten, verarbeiten wir als Verantwortlicher gemäß der Datenschutzerklärung. Wenn ein Lieferant eine Parzelle mit Ihnen teilt, fällt die Nutzung, die Sie im Rahmen Ihrer Sorgfaltspflicht davon machen, unter diesen Vertrag.

Verarbeitet Ihre Organisation diese Daten ihrerseits im Auftrag eines anderen Unternehmens (zum Beispiel ein Spediteur oder bevollmächtigter Vertreter, der für einen Marktteilnehmer arbeitet), gilt dieser Vertrag als Unterauftragsverarbeitung: Sie sichern zu, dass dieser Verantwortliche Ihnen gestattet, uns hinzuzuziehen, und Sie geben ihm die Informationen aus diesem Dokument weiter, die er benötigt.

2. Gegenstand, Daten und Dauer

• Kategorien betroffener Personen: Lieferanten und Erzeuger, die natürliche Personen sind (einschließlich Kleinerzeuger), Kontaktpersonen von Lieferanten und Marktteilnehmern sowie Personen, die in den von Ihnen hochgeladenen Nachweisen erscheinen.
• Kategorien von Daten: Name, E-Mail-Adresse, Telefon, Land, Steuer-Identifikation, Geolokalisierung und Fläche der Parzellen (Punkt oder Polygon), Nachweisdokumente, Daten des Marktteilnehmers und seiner Kontaktperson sowie der Inhalt der Erklärungen (DDS). Die Webdienst-Zugangsdaten für TRACES NT werden ausschließlich für die von Ihnen angewiesenen Vorgänge verwendet und verschlüsselt gespeichert.
• Art der Verarbeitung: Hosting, Erfassung, Organisation, Abfrage, Validierung, Übermittlung an TRACES NT auf Ihre Weisung, Abfrage von Steuer-Identifikationen in öffentlichen Registern, Aufbewahrung und Löschung.
• Zweck: Erbringung des in den Bedingungen beschriebenen Dienstes, damit Sie Ihre Sorgfaltspflicht gemäß der Verordnung (EU) 2023/1115 vorbereiten, erfüllen und dokumentieren können.
• Dauer: solange Ihr Konto besteht, zuzüglich der Aufbewahrungsfrist nach Punkt 8.

Es werden keine besonderen Kategorien von Daten nach Art. 9 DSGVO verarbeitet. Laden Sie Daten hoch, die für die Sorgfaltspflicht nicht erforderlich sind, liegen Entscheidung und Verantwortung bei Ihnen.

3. Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung, nämlich diese Bedingungen und die Aktionen, die Sie in der Anwendung oder über die Integration ausführen: Beispielsweise ist die Anweisung, eine DDS an TRACES NT zu übermitteln, eine Weisung, diese Daten an die Europäische Kommission zu übermitteln. Halten wir eine Weisung für einen Verstoß gegen die DSGVO oder andere Vorschriften, teilen wir Ihnen dies unverzüglich mit.

Wir würden die Daten nur dann anders verarbeiten, wenn uns das Recht der Union oder Spaniens dazu verpflichtet. In diesem Fall informieren wir Sie vorab, sofern diese Vorschrift dies nicht verbietet.

Wir verwenden die Daten nicht für eigene Zwecke: weder für Profiling noch zum Trainieren von Modellen, noch zum Verkauf, noch um sie anderen Kunden anzubieten.

4. Unsere Pflichten

• Vertraulichkeit wahren und diese von allen verlangen, die Zugang zu den Daten haben, auch nach Ende des Auftrags.
• Die Sicherheitsmaßnahmen nach Art. 32 DSGVO anwenden (siehe Punkt 6).
• Sie bei der Erfüllung der Rechte der betroffenen Personen unterstützen. Erreicht uns ein Antrag einer Ihrer betroffenen Personen, leiten wir ihn an Sie weiter, ohne selbst zu antworten.
• Sie über eine Verletzung des Schutzes personenbezogener Daten unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem sie uns bekannt geworden ist, mit dem zu diesem Zeitpunkt vorhandenen Kenntnisstand informieren (was geschehen ist, welche Daten und betroffenen Personen betroffen sein können, wahrscheinliche Folgen und ergriffene Maßnahmen) und die Informationen später vervollständigen, damit Sie die Behörde innerhalb Ihrer 72 Stunden benachrichtigen können (Art. 33 DSGVO).
• Sie, soweit es von uns abhängt, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen unterstützen.
• Ein Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter führen (Art. 30 Abs. 2 DSGVO).
• Ihnen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung stellen und angemessene Überprüfungen ermöglichen, nach Vorankündigung und ohne die Sicherheit oder die Daten anderer Kunden zu gefährden.
• Keine Daten außerhalb des Europäischen Wirtschaftsraums übermitteln, außer an die Unterauftragsverarbeiter nach Punkt 5 und mit den dort genannten Garantien.

5. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, folgende Unterauftragsverarbeiter hinzuzuziehen, mit denen wir Verträge geschlossen haben, die ihnen gleichwertige Pflichten wie in diesem Vertrag auferlegen:

Keine Unterauftragsverarbeiter, sondern Empfänger auf Ihre Weisung sind: die Europäische Kommission (TRACES NT), die die von Ihnen eingereichten Erklärungen erhält und als Verantwortlicher verarbeitet, und die öffentlichen Steuerregister (VIES der Europäischen Kommission, CNPJ-Register Brasiliens), die wir zur Validierung von Steuer-Identifikationen abfragen.

Wenn wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir Sie mindestens 30 Tage im Voraus. Sie können aus vernünftigen Gründen widersprechen; finden wir keine Alternative, können Sie den Vertrag ohne Vertragsstrafe kündigen.

Wir haften Ihnen gegenüber dafür, dass unsere Unterauftragsverarbeiter ihre Datenschutzpflichten erfüllen (Art. 28 Abs. 4 DSGVO).

6. Sicherheitsmaßnahmen

• Verschlüsselung bei der Übertragung (HTTPS) und im Ruhezustand mit AES-256-GCM verschlüsselte TRACES-NT-Zugangsdaten.
• Passwörter mit argon2id-Hash und signierte Sitzungen in Cookies mit HttpOnly und Secure.
• Trennung nach Organisation bei jeder Abfrage und vom Lieferanten gesteuerte Sichtbarkeit jeder Parzelle.
• Audit-Protokoll und nur erweiterbarer Erklärungsverlauf.
• Begrenzung der Anmeldeversuche und Zugriff des Personals auf das notwendige Minimum beschränkt.
• Sicherungskopien der Datenbank, aufbewahrt innerhalb der Europäischen Union.

Wir überprüfen diese Maßnahmen, wenn sich der Dienst oder das Risiko ändert. Ändert sich eine davon, halten wir mindestens das gleiche Schutzniveau aufrecht.

7. Was Ihrer Organisation obliegt

• Über eine Rechtsgrundlage für die hochgeladenen Daten verfügen und die betroffenen Personen informieren (Art. 14 DSGVO), insbesondere die Erzeuger, deren Geolokalisierung Sie in eine DDS aufnehmen, die bei der Europäischen Kommission eingereicht wird.
• Auf die Richtigkeit der Daten achten und jede Erklärung vor der Übermittlung prüfen.
• Verwalten, wer in Ihrer Organisation Zugang hat und mit welcher Rolle.
• Uns als Auftragsverarbeiter in Ihr Verzeichnis von Verarbeitungstätigkeiten aufnehmen.

8. Bei Beendigung des Auftrags

Nach Beendigung der Geschäftsbeziehung haben Sie mindestens 30 Tage Zeit, die Rückgabe der Daten in einem strukturierten Format zu verlangen (GeoJSON, CSV oder JSON sowie die Nachweisdateien). Danach löschen wir sie, mit zwei Ausnahmen:

• Das Archiv der eingereichten Erklärungen und ihre Dokumentation. Sofern Sie nichts anderes bestimmen, weisen Sie uns mit der Annahme dieses Vertrags an, es bis zum Ablauf von 5 Jahren ab jeder Übermittlung gesperrt aufzubewahren, damit Sie es vorlegen können, wenn eine Behörde es während der Aufbewahrungsfrist verlangt, die die EUDR Ihnen auferlegt (Art. 4 Abs. 3 und Art. 12 Abs. 5). Sie können uns schriftlich anweisen, es früher zu löschen, sobald Sie Ihre Kopie haben.
• Was wir nach dem Recht der Union oder Spaniens aufbewahren müssen, ebenfalls gesperrt.

Während der Sperrung werden die Daten für nichts verwendet, außer zur Erfüllung Ihres Antrags oder einer Anforderung einer Behörde oder eines Gerichts.

9. Haftung und Kontakt

Jede Partei haftet für ihre Pflichten nach Art. 82 DSGVO, mit den Beschränkungen der Nutzungs- und Vertragsbedingungen, soweit gesetzlich zulässig.

Für Fragen zu diesem Vertrag, eine Überprüfung oder die Unterzeichnung eines gesonderten Vertrags, falls Ihre Rechtsabteilung dies bevorzugt: juan.canton@sourevo.com.