Довіреність на обробку запитів GDPR

(1) Ця довіреність доповнює укладений між сторонами договір доручення обробки даних (AVV) згідно зі ст. 28 GDPR. (2) Контролер уповноважує BauFin — згідно зі ст. 28(3) реч. 2 п. e GDPR у поєднанні з письмовим врегулюванням — на операційну обробку та надання відповідей від імені та за задокументованими вказівками Контролера на запити суб’єктів даних щодо прав: ст. 15 (доступ), ст. 16 (виправлення), ст. 17 (видалення), ст. 18 (обмеження), ст. 20 (перенесення), ст. 21 (заперечення), ст. 22 (право не підпадати під рішення, що ґрунтується виключно на автоматизованій обробці). (3) Обробка здійснюється від імені, за дорученням і за задокументованими вказівками Контролера навченим персоналом. Довіреність охоплює пошук у даних Контролера в межах платформи BauFin, підготовку та надсилання відповіді, а також документування в журналі аудиту (ст. 5(2), ст. 12(3) GDPR). Реєстр за ст. 30 GDPR залишається незмінним.

(1) BauFin має право: a) приймати запити, перевіряти особу (ст. 12(6) GDPR) та оцінювати обґрунтованість; b) шукати, виправляти, видаляти, обмежувати або експортувати дані в просторі (тенанті) Контролера — якщо запит обґрунтований; c) відповідати в законний строк один місяць (ст. 12(3) GDPR, з можливістю продовження на два місяці); d) підписувати відповідь «за дорученням і з довіреності Контролера, представленого BauFin / Krone Baustein e.K.»; e) документувати надходження, обробку, рішення та відповідь у журналі аудиту. (2) НЕ охоплено: a) рішення поза самою обробкою запиту (напр., розірвання договору із суб’єктом даних); b) реакції на скарги до наглядових органів (ст. 77 GDPR) — негайна передача Контролеру; c) відомості про дані поза платформою BauFin (папір, інші системи, локальні дані); d) запити із сумнівами щодо особи — передаються Контролеру для з’ясування.

(1) BauFin обробляє кожен запит ретельно та законно згідно з розділом III GDPR (ст. 12–23). (2) BauFin перевіряє, чи не перешкоджають видаленню законодавчі обов’язки зберігання (зокрема § 147 AO — 10 років для рахунків, § 257 HGB — 6 років для ділового листування); суб’єкта даних інформують (ст. 17(3)(b) GDPR). (3) BauFin негайно інформує Контролера про: a) запити поза стандартними рамками; b) порушення захисту даних (ст. 33 GDPR) — протягом 48 годин; c) запити, які технічно чи організаційно неможливо виконати. (4) BauFin надає щомісячні звіти про всі оброблені запити (кількість, вид, статус, тривалість). (5) Персонал навчений і зобов’язаний зберігати конфіденційність (ст. 28(3)(b) GDPR).

(1) Контролер залишається — згідно зі ст. 4 п. 7 і ст. 5(2) GDPR — юридично відповідальним за обробку даних у своєму просторі. (2) Він забезпечує повноту й актуальність даних, збережених на платформі. (3) У своїй політиці конфіденційності він інформує суб’єктів даних, що запити GDPR обробляє BauFin як уповноважений постачальник послуг. (4) Запити, отримані безпосередньо (напр., поштою), він може внести в BauFin або обробити сам; довіреність не діє автоматично поза платформою.

(1) Відповідальність BauFin регулюється ст. 82 GDPR та загальними положеннями AVV. (2) BauFin відповідає за умисел і грубу недбалість; відповідальність за легку недбалість обмежена типовою та передбачуваною шкодою. (2a) Вимоги суб’єктів даних за ст. 82 GDPR та імперативні норми відповідальності перед третіми особами залишаються незмінними. (3) BauFin підтримує професійне страхування IT-відповідальності з достатнім покриттям. (4) У внутрішніх відносинах: взаємне інформування про загрозу штрафів (ст. 83 GDPR) та узгоджений захист перед наглядовими органами.

(1) Контролер може відкликати довіреність у будь-який час, без пояснення причин, у текстовій формі — зокрема електронним листом на [email protected]. (2) Відкликання діє негайно для нових запитів; запити в процесі — за вибором Контролера — BauFin завершує або передає з поточним станом. (3) Після відкликання нові запити автоматично передаються Контролеру.

(1) Довіреність набирає чинності з прийняттям Контролером (електронний клік із записом дати та IP-адреси) і діє до відкликання або припинення договору SaaS. (2) Зміни потребують текстової форми (§ 126b BGB); оновлення анонсуються за 30 днів і вважаються прийнятими за відсутності заперечення (opt-out). (3) Салваторське застереження: недійсність окремих положень не впливає на решту. (4) Застосовується німецьке право. Підсудність — Гамбург.