Auftragsverarbeitungsvertrag

Dieser Vertrag ist Teil der Nutzungsbedingungen zwischen der Blok Consulting BV, Boomlaarstraat 75B, 2500 Lier, Belgien, Unternehmens- und Umsatzsteuernummer BE 0767.642.063 („wir“, der Auftragsverarbeiter) und der Organisation, die BlokCms nutzt („Sie“, der Verantwortliche). Er gilt immer dann, wenn wir personenbezogene Daten in Ihrem Auftrag verarbeiten, und tritt in Kraft, wenn Sie die Nutzungsbedingungen akzeptieren. Wenn Sie ein unterzeichnetes Exemplar benötigen, schreiben Sie an privacy@blokcms.app.

1. Begriffsbestimmungen

Begriffe wie personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung, die sie in der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) haben. „Ihre Daten“ sind die personenbezogenen Daten in allem, was Ihre Organisation in BlokCms speichert, einschließlich der Einsendungen Ihrer Formulare.

2. Rollen und Weisungen

• Sie sind der Verantwortliche für Ihre Daten, und wir verarbeiten sie als Ihr Auftragsverarbeiter, nur auf Ihre dokumentierten Weisungen hin. Diese Weisungen sind die Nutzungsbedingungen, dieser Vertrag und die Art, wie Sie BlokCms einrichten und nutzen: die Formulare, die Sie erstellen, und deren Aufbewahrungsfristen, die Personen, die Sie einladen, die Integrationen und KI-Funktionen, die Sie einschalten.
• Wir informieren Sie, wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzrecht verstößt.
• Sie stellen sicher, dass Sie Ihre Daten erheben und nutzen dürfen, etwa indem Sie die Besucher Ihrer Website in Ihrer eigenen Datenschutzerklärung über Ihre Formulare informieren. BlokCms ist nicht für besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten) ausgelegt; wenn Ihre Formulare solche Daten erheben, müssen Sie selbst für die Rechtsgrundlage sorgen.

3. Was wir verarbeiten

Gegenstand, Zweck, Datenarten und betroffene Personen sind in Anhang 1 beschrieben.

4. Vertraulichkeit

Alle Personen, denen wir die Verarbeitung Ihrer Daten erlauben, sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Wir schützen Ihre Daten mit den technischen und organisatorischen Maßnahmen in Anhang 2 und halten sie dem Risiko angemessen, während sich BlokCms weiterentwickelt.

6. Unterauftragsverarbeiter

• Sie genehmigen die Unterauftragsverarbeiter in Anhang 3.
• Wir informieren die Admins Ihrer Organisation per E-Mail mindestens 30 Tage, bevor wir einen hinzufügen oder ersetzen. Wenn Sie aus nachvollziehbaren Datenschutzgründen widersprechen und wir keine Lösung finden, können Sie die Nutzungsbedingungen vor der Änderung kündigen.
• Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, wie sie dieser Vertrag vorsieht, und wir bleiben Ihnen gegenüber für seine Arbeit verantwortlich.

7. Wo Ihre Daten liegen

Ihre Daten werden in der EU-Jurisdiktion von Cloudflare gespeichert. Veröffentlichte, öffentlich zugängliche Inhalte werden außerdem weltweit im Netzwerk von Cloudflare zwischengespeichert, damit Websites schnell laden. KI-Funktionen, die Sie pro Space einschalten, können Inhalte außerhalb der EU verarbeiten. Wenn Ihre Daten den Europäischen Wirtschaftsraum verlassen, sind sie durch die EU-Standardvertragsklauseln oder das EU-U.S. Data Privacy Framework geschützt.

8. Anfragen betroffener Personen

Mit BlokCms können Sie diese selbst beantworten: Sie können alles finden und löschen, was unter einer E-Mail-Adresse über Ihre Formulare gesendet wurde, die Inhalte eines Space exportieren und Inhalte löschen. Wenn sich eine betroffene Person wegen Ihrer Daten an uns wendet, leiten wir die Anfrage an Sie weiter und beantworten sie nicht selbst. Darüber hinaus unterstützen wir Sie, soweit Sie dies vernünftigerweise benötigen.

9. Verletzungen des Schutzes personenbezogener Daten

Wir informieren Sie unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem uns eine Verletzung bekannt geworden ist, die Ihre Daten betrifft. Wir teilen Ihnen mit, was Sie für die Meldung an die Behörden und die betroffenen Personen benötigen (was passiert ist, welche Daten und wie viele Personen betroffen sind, die wahrscheinlichen Folgen und was wir dagegen tun), und reichen nach, was wir noch nicht wissen, sobald wir es wissen.

10. Weitere Unterstützung

Wir unterstützen Sie, soweit vernünftigerweise erforderlich, bei Datenschutz-Folgenabschätzungen und bei der Konsultation einer Aufsichtsbehörde, wenn es dabei um BlokCms geht.

11. Löschung und Rückgabe

• Sie können Ihre Inhalte jederzeit exportieren.
• Ein Space oder eine Organisation, die Sie löschen, geht sofort offline, und Inhalte, Dateien und Backups werden innerhalb eines Tages gelöscht. Wiederherstellungskopien, die unser Hosting-Anbieter vorhält, laufen innerhalb von 30 weiteren Tagen ab.
• Wenn die Nutzungsbedingungen enden, exportieren Sie, was Sie behalten möchten, und löschen Ihre Organisation. Was übrig bleibt, löschen wir auf dieselbe Weise, sofern wir es nicht gesetzlich aufbewahren müssen.

12. Informationen und Prüfungen

Wir stellen Ihnen die Informationen zur Verfügung, die Sie benötigen, um die Einhaltung dieses Vertrags nachzuweisen. Sie können die Einhaltung einmal jährlich mit einer Frist von 30 Tagen auf eigene Kosten durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer prüfen lassen, und zwar so, dass dabei kein Zugriff auf Daten anderer Kunden entsteht. Soweit möglich, stützt sich eine Prüfung auf die Berichte unseres Hosting-Anbieters Cloudflare, der über ISO/IEC 27001 und SOC 2 Type II verfügt.

13. Laufzeit, Haftung und Vorrang

Dieser Vertrag gilt, solange wir Ihre Daten verarbeiten. Die Haftung ist wie in den Nutzungsbedingungen beschränkt. Widersprechen sich dieser Vertrag und die Nutzungsbedingungen in Fragen des Datenschutzes, gilt dieser Vertrag. Er unterliegt belgischem Recht, und für Streitigkeiten sind die Gerichte von Antwerpen, Abteilung Mechelen, zuständig. Diesen Vertrag gibt es auf Englisch, Niederländisch, Französisch, Deutsch und Spanisch; weicht eine Übersetzung von der englischen Fassung ab, gilt die englische Fassung.

Anhang 1: Einzelheiten der Verarbeitung

• Gegenstand und Zweck: Hosting, Bearbeitung, Veröffentlichung und Auslieferung der Inhalte Ihrer Websites; Empfang und Speicherung der Einsendungen Ihrer Formulare und Ihre Benachrichtigung darüber; die KI-Funktionen, die Sie einschalten.
• Dauer: solange die Nutzungsbedingungen gelten, danach bis zur Löschung gemäß Abschnitt 11.
• Art der Verarbeitung: Speicherung, Organisation, Abruf, Auslieferung über unsere APIs, E-Mail-Benachrichtigungen, Webhooks und Integrationen, die Sie einrichten, sowie Löschung.
• Betroffene Personen: Besucher, die Ihre Formulare absenden; Personen, die in Ihren Inhalten erwähnt oder gezeigt werden; Ihre Teammitglieder als Verfasser von Inhalten und Kommentaren.
• Datenarten: was Ihre Formulare abfragen (zum Beispiel Namen, E-Mail-Adressen, Telefonnummern, Nachrichten und hochgeladene Dateien), zusammen mit der Seite, von der aus ein Formular gesendet wurde, und deren Sprache, dem User-Agent des Browsers und dem Einwilligungstext, dem ein Besucher zugestimmt hat; IP-Adressen werden nicht gespeichert. Inhalte über Personen, etwa Namen, Fotos und Biografien. Kommentare und Erwähnungen.
• Aufbewahrung: Formular-Einsendungen so lange, wie Sie es pro Formular festlegen (ein Jahr, sofern Sie nichts anderes wählen), Spam 30 Tage; Inhalte, bis Sie sie löschen; Backups bis zu 30 Tage.

Anhang 2: Technische und organisatorische Maßnahmen

• Speicherort und Trennung: Datenbanken und Dateien in der EU-Jurisdiktion von Cloudflare; jeder Space in seiner eigenen Datenbank.
• Verschlüsselung: TLS für den gesamten Datenverkehr, Verschlüsselung aller gespeicherten Daten.
• Zugriffskontrolle: Rollen pro Organisation und Space (Admin, Redakteur, Autor, Betrachter und eigene Rollen, beschränkbar auf Ordner oder Inhaltstypen); Formular-Einsendungen nur für Personen, die sie lesen dürfen; Zugriffstoken nur als Hash gespeichert; Vorschau-Token getrennt von öffentlichen Token.
• Authentifizierung: Anmeldung über einen spezialisierten Anbieter (Clerk); Sitzungstoken werden bei jeder Anfrage geprüft.
• Nachvollziehbarkeit: ein Verlauf der Änderungen und Aktivitäten pro Space; Betriebslogs ohne E-Mail-Adressen oder Inhalte, bis zu 30 Tage aufbewahrt.
• Verfügbarkeit: nächtliche Backups (die letzten 14 werden aufbewahrt) und Wiederherstellung auf einen beliebigen Zeitpunkt der letzten 30 Tage; veröffentlichte Inhalte werden aus Caches weltweit ausgeliefert.
• Schutz vor Missbrauch: Anfragelimits pro Person, Token und Formularbesucher; Spamschutz für Formulare (Cloudflare Turnstile, ein verstecktes Fallenfeld und Limits gegen massenhafte Einsendungen).
• Löschung: Aufbewahrungsfristen pro Formular, Löschung nach E-Mail-Adresse und das Entfernen gelöschter Spaces und Organisationen gemäß Abschnitt 11.
• Entwicklung und Betrieb: Änderungen werden geprüft und getestet, bevor sie ausgerollt werden; der Zugang zur Produktionsumgebung ist auf unsere Administratoren beschränkt.

Anhang 3: Unterauftragsverarbeiter

• Cloudflare, Inc. (Vereinigte Staaten): Hosting, Datenbanken, Dateispeicher, Auslieferung von Inhalten, E-Mail-Versand (Formularbenachrichtigungen) und Logs; Workers AI für die KI-Funktionen, die Sie einschalten. Gespeicherte Daten liegen in der EU-Jurisdiktion.
• Microsoft Ireland Operations Ltd (Microsoft 365): Support-E-Mail, nur für personenbezogene Daten, die Sie uns in einer Supportanfrage senden.

Clerk, Inc. verwaltet die Konten und die Anmeldung bei BlokCms. Für diese Kontodaten sind wir der Verantwortliche (siehe unsere Datenschutzerklärung); Clerk erhält Ihre Daten nicht.