Vertragsparteien
Diese Vereinbarung nach Art. 28 DSGVO ist Bestandteil der MyDiagnostics-Bedingungen. Der im Geschäftskonto genannte Kunde ist Verantwortlicher für Daten getesteter Personen; myrepair s.r.o., Unternehmensnummer 23521414, ist Auftragsverarbeiter. Für eigene Konto- und Zahlungsdaten des Anbieters gelten die Datenschutzhinweise.
Gegenstand und Datenkategorien
Verarbeitet werden Diagnosedaten durch Empfang, Speicherung, Organisation, Bereitstellung an Berechtigte, Export und Löschung während des Vertrags und der Abwicklung von Rückgabe oder Löschung. Betroffene sind insbesondere Werkstattkunden, Geräteeigentümer, Gerätenutzer und Beschäftigte des Kunden. Daten umfassen Gerätekennungen, technische Werte, Batterie, Teile, Ergebnisse, Zeiten und erforderliche Notizen. Besondere Datenkategorien und strafrechtliche Daten sind nicht bestimmungsgemäßer Inhalt.
Weisungen
Dokumentierte Weisungen ergeben sich aus Nutzung, Einstellungen und verifizierten Anfragen einschließlich Export und Löschung. Der Kunde verantwortet rechtmäßigen Zweck, Minimierung, Information und Berechtigungen. Der Auftragsverarbeiter nutzt Daten nicht für eigene Werbung, Verkauf oder eigenes Modelltraining. Rechtswidrige Weisungen beanstandet er und darf sie angemessen aussetzen. Gesetzlich verpflichtende Offenlegung kündigt er an, soweit erlaubt.
Vertraulichkeit und Sicherheit
Zugriff erhalten nur zur Vertraulichkeit verpflichtete Personen. Risikogerechte Maßnahmen nach Art. 32 DSGVO umfassen HTTPS, Zugriffskontrolle, Kundentrennung, Authentifizierungsschutz und Begrenzung überflüssiger Aufzeichnungen. Die Wirksamkeit wird laufend bewertet. Sicherheitsgeheimnisse und Daten anderer Kunden werden nicht offengelegt.
Unterauftragsverarbeiter
Der Kunde genehmigt allgemein schriftlich Váš Hosting s.r.o., Unternehmensnummer 24742252, für Server und Datenbanken in Tschechien. In den Datenschutzhinweisen genannte Anbieter eigener Konto- oder Zahlungsdienste erhalten dadurch kein Recht zur Diagnosedatennutzung. Unterauftragsverarbeiter werden entsprechend vertraglich verpflichtet; die Verantwortung richtet sich nach DSGVO.
Ergänzungen oder Ersetzungen werden mindestens 30 Tage vorher angekündigt. Begründete Datenschutzwidersprüche werden gemeinsam geklärt. Ohne Abhilfe kann die betroffene Verarbeitung vor der Änderung beendet und der ungenutzte vorausbezahlte Anteil abgerechnet werden. Übermittlung außerhalb des EWR erfordert dokumentierte Weisung und Garantien nach Kapitel V DSGVO.
Unterstützung und Vorfälle
Der Auftragsverarbeiter unterstützt angemessen bei Betroffenenrechten, Sicherheit, Folgenabschätzungen, Behördenkonsultation und Nachweisen. Kundenbezogene Anfragen leitet er weiter und handelt ohne Weisung nur aufgrund gesetzlicher Verpflichtung. Datenschutzverletzungen meldet er nach Bekanntwerden unverzüglich mit verfügbaren Angaben zu Umfang, Folgen und Maßnahmen und ergänzt Informationen fortlaufend. Pflichten des Verantwortlichen bleiben bestehen.
Nachweise und Prüfungen
Notwendige Informationen werden bereitgestellt; Audits einschließlich Inspektionen durch den Kunden oder beauftragte Prüfer werden ermöglicht und unterstützt. Angemessene Termin-, Vertraulichkeits- und Drittschutzregeln dürfen Prüfungen nicht faktisch verhindern. Kosten außergewöhnlicher Zusatzhilfe bedürfen vorheriger Vereinbarung und dürfen zwingende Pflichten nicht einschränken.
Rückgabe und Löschung
Nach Ende der betroffenen Leistung werden Daten nach Wahl des Kunden in einem verfügbaren üblichen Export zurückgegeben oder einschließlich Kopien gelöscht, soweit keine gesetzliche Aufbewahrung besteht. Sicherungskopien entfallen im entsprechenden Zyklus ohne aktive Nutzung. Auf Anfrage werden Ausführung und relevante Ausnahmen bestätigt. Schutzpflichten bestehen bis zum Verarbeitungsende; für Auftragsverarbeiterpflichten hat diese Vereinbarung Vorrang vor allgemeinen Bedingungen.