1. Parteien und Gegenstand
Dieser Vertrag wird geschlossen zwischen der Ei3 Software Solution shpk, NIPT L62221018T, mit Sitz in Tirana, die den Dienst Fature.al anbietet (nachfolgend "Auftragsverarbeiter"), und dem Unternehmen, das ein Konto bei Fature.al eröffnet hat (nachfolgend "Verantwortlicher").
Der Vertrag ist untrennbarer Bestandteil der Nutzungsbedingungen. Mit der Eröffnung eines Kontos oder der weiteren Nutzung des Dienstes nimmt der Verantwortliche ihn an. Auf Anfrage an [email protected] senden wir eine vom Auftragsverarbeiter unterzeichnete Ausfertigung.
Er setzt die Pflichten für das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter nach Artikel 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) und des Gesetzes Nr. 124/2024 "Über den Schutz personenbezogener Daten" um. Fature.al verarbeitet die Daten im Einklang mit der DSGVO.
2. Begriffsbestimmungen
- Dienst: die Plattform Fature.al, ihre Anwendungen, die APIs und das POS.
- Daten des Verantwortlichen: die personenbezogenen Daten, die der Verantwortliche, seine Mitarbeiter oder die von ihm angebundenen Systeme in den Dienst eingeben.
- Unterauftragsverarbeiter: ein Dritter, den der Auftragsverarbeiter beauftragt und der Daten des Verantwortlichen in dessen Auftrag verarbeitet.
- Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur Offenlegung oder zum unbefugten Zugang zu Daten des Verantwortlichen führt.
Andere Begriffe haben die Bedeutung, die ihnen das Gesetz Nr. 124/2024 gibt.
3. Rollen der Parteien
Für die Daten, die der Verantwortliche in den Dienst eingibt (seine Käufer, Lieferanten, Mitarbeiter und Benutzer), ist der Verantwortliche Verantwortlicher und Fature.al Auftragsverarbeiter.
Für die Daten, die Fature.al zur Verwaltung der Beziehung mit dem Verantwortlichen benötigt (Konto, Abonnement, Zahlungen, Kommunikation), handelt Fature.al als eigenständiger Verantwortlicher, gemäß der Datenschutzerklärung.
Der Verantwortliche gewährleistet, dass er über eine Rechtsgrundlage für die Eingabe der Daten in den Dienst und für die von ihm erteilten Weisungen verfügt.
4. Beschreibung der Verarbeitung
| Gegenstand | Ausstellung, Fiskalisierung, Speicherung und Auswertung von Rechnungen und anderen Handelsdokumenten, Verwaltung von Kunden, Produkten, Lager und Kasse. |
|---|---|
| Art | Erhebung, Erfassung, Speicherung, Abfrage, Verwendung, Übermittlung an die Steuerbehörde, Export und Löschung. |
| Zweck | Erbringung des Dienstes gemäß den Nutzungsbedingungen und Erfüllung der Fiskalisierungspflichten des Verantwortlichen. |
| Dauer | Solange der Verantwortliche ein aktives Konto hat, zuzüglich der Fristen nach Abschnitt 14. |
| Betroffene Personen | Käufer und Lieferanten des Verantwortlichen, seine Mitarbeiter und Benutzer, Kontaktpersonen der Geschäftspartner. |
| Datenkategorien | Vor- und Nachname, NIPT oder persönliche Identifikationsnummer, Adresse, E-Mail, Telefon, IBAN, Rechnungs- und Zahlungsdaten, Identifikationsdaten, wenn der Verantwortliche sie eingibt (z. B. für den Devisenwechsel), Zugangsdaten der Benutzer. |
| Besondere Kategorien | Der Dienst ist dafür nicht ausgelegt, und der Verantwortliche darf sie nicht eingeben. |
5. Weisungen des Verantwortlichen
Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen nur auf dessen dokumentierte Weisung. Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Handlungen, die der Verantwortliche im Dienst vornimmt (zum Beispiel die Ausstellung einer Rechnung, der Export eines Berichts oder die Anbindung einer Integration).
Der Auftragsverarbeiter verwendet die Daten des Verantwortlichen nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht für Marketing. Ist er gesetzlich verpflichtet, die Daten anders zu verarbeiten, teilt er dies dem Verantwortlichen vorher mit, es sei denn, das Gesetz verbietet diese Mitteilung. Erscheint ihm eine Weisung als rechtswidrig, informiert er den Verantwortlichen unverzüglich.
6. Vertraulichkeit
Zugang zu den Daten des Verantwortlichen erhalten nur Personen, die ihn zur Erbringung, Wartung oder Unterstützung des Dienstes benötigen. Sie sind gesetzlich oder vertraglich zur Wahrung der Vertraulichkeit verpflichtet, auch nach Beendigung des Arbeitsverhältnisses.
Das Support-Team greift auf das Konto des Verantwortlichen nur auf dessen Anfrage zu oder wenn dies zur Lösung eines technischen Problems erforderlich ist, und jeder solche Zugriff wird protokolliert.
7. Sicherheit
Der Auftragsverarbeiter setzt dem Risiko angemessene technische und organisatorische Maßnahmen um, die auf der Seite Sicherheit beschrieben sind, die eine Anlage zu diesem Vertrag ist. Der Auftragsverarbeiter kann diese Maßnahmen aktualisieren, sofern das Schutzniveau nicht sinkt.
Der Verantwortliche ist für die Sicherheit auf seiner Seite verantwortlich: die Aufbewahrung von Passwörtern und API-Token, die Vergabe angemessener Berechtigungen an seine Benutzer und die Schließung der Konten ausscheidender Mitarbeiter.
8. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung, dass der Auftragsverarbeiter die auf der Seite Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter beauftragt.
Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag mit Datenschutzpflichten, die nicht weniger schützend sind als diese, und bleibt gegenüber dem Verantwortlichen für deren Handlungen verantwortlich.
Bei jedem neuen Unterauftragsverarbeiter oder jeder Ersetzung aktualisiert der Auftragsverarbeiter die Liste und benachrichtigt die Administratoren des Kontos mindestens 30 Tage im Voraus per E-Mail. Der Verantwortliche kann innerhalb dieser Frist begründet widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche das Abonnement ohne Vertragsstrafe kündigen und erhält den bezahlten Anteil für den nicht genutzten Zeitraum zurück.
9. Standort und Übermittlungen
Die Daten des Verantwortlichen werden in der Europäischen Union gespeichert, auf Servern in den Niederlanden (Amsterdam). Die Sicherungskopien werden ebenfalls in der EU gespeichert.
Wenn ein Unterauftragsverarbeiter die Daten außerhalb Albaniens und der EU verarbeitet, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder auf die EU-Standardvertragsklauseln, gemäß dem Gesetz Nr. 124/2024. Die Seite Unterauftragsverarbeiter zeigt den Standort und die Schutzmaßnahme für jeden Einzelnen.
10. Rechte der betroffenen Personen
Der Dienst ermöglicht es dem Verantwortlichen, die Daten seiner Kunden zu finden, zu berichtigen, zu exportieren und zu löschen. Reichen diese Werkzeuge nicht aus, unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen.
Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter wegen Daten, die dem Verantwortlichen zuzuordnen sind, leitet der Auftragsverarbeiter den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an.
11. Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen ohne unangemessene Verzögerung, und spätestens 48 Stunden, nachdem ihm eine Verletzung bekannt wurde, die Daten des Verantwortlichen betrifft. Die Meldung enthält, soweit möglich, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.
So kann der Verantwortliche den Kommissar innerhalb von 72 Stunden benachrichtigen, wie es das Gesetz verlangt. Informationen, die noch nicht bekannt sind, werden nachgereicht, sobald sie verfügbar sind.
12. Unterstützung des Verantwortlichen
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit den Informationen, die dieser für Datenschutz-Folgenabschätzungen und für Konsultationen mit dem Kommissar benötigt.
13. Information und Kontrolle
Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um nachzuweisen, dass er diesen Vertrag einhält. Der Verantwortliche kann dies durch einen schriftlichen Fragebogen überprüfen oder, wenn dies nicht ausreicht, durch eine mindestens 30 Tage im Voraus angekündigte Prüfung, während der Geschäftszeiten, einmal im Jahr, durch ihn selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer.
Die Prüfung umfasst keinen Zugang zu den Daten anderer Unternehmen oder zu den Systemen der Unterauftragsverarbeiter. Für diese stellt der Auftragsverarbeiter die Berichte ihrer Zertifizierungen bereit, soweit vorhanden.
14. Beendigung und Löschung
Während der gesamten Laufzeit des Abonnements kann der Verantwortliche seine Rechnungen, Kunden, Produkte und Berichte exportieren. Nach Schließung des Kontos bewahrt der Auftragsverarbeiter die Daten noch 90 Tage auf, damit der Verantwortliche sie exportieren oder das Konto reaktivieren kann.
Nach Ablauf dieser Frist löscht oder anonymisiert der Auftragsverarbeiter die Daten des Verantwortlichen, mit Ausnahme derjenigen, die er gesetzlich aufbewahren muss. Der Verantwortliche kann schriftlich verlangen, dass sein Fiskalarchiv für die gesetzliche Aufbewahrungsfrist steuerlicher Unterlagen gespeichert wird; in diesem Fall werden die Daten nur zu diesem Zweck aufbewahrt.
Sicherungskopien werden gemäß ihrem regulären Zyklus gelöscht und bleiben bis dahin durch diesen Vertrag geschützt.
15. Anfragen von Behörden
Die Rechnungen werden der Generaldirektion der Steuern zur Fiskalisierung übermittelt, weil das Gesetz dies verlangt und der Verantwortliche selbst es verlangt, wenn er die Rechnung ausstellt. Dies ist keine Weitergabe an Dritte.
Verlangt eine andere Behörde die Daten des Verantwortlichen, fordert der Auftragsverarbeiter sie auf, sich an den Verantwortlichen zu wenden, benachrichtigt diesen, es sei denn, das Gesetz verbietet es, und gibt nur heraus, was gesetzlich verlangt wird.
16. Schlussbestimmungen
Dieser Vertrag gilt, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet. Steht er in Fragen des Datenschutzes im Widerspruch zu den Nutzungsbedingungen, hat dieser Vertrag Vorrang.
Der Auftragsverarbeiter kann diesen Vertrag aktualisieren, um ihn an rechtliche Änderungen oder Änderungen des Dienstes anzupassen, wobei er den Verantwortlichen mindestens 30 Tage im Voraus benachrichtigt, sofern der Datenschutz nicht verringert wird.
Der Vertrag unterliegt albanischem Recht. Streitigkeiten werden einvernehmlich beigelegt und, wenn dies nicht gelingt, von den zuständigen Gerichten in Tirana entschieden.