Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Verantwortlicher: der Kunde, der MoveMyFile für geschäftliche, schulische, vereinsbezogene oder sonstige nicht ausschließlich private Zwecke nutzt (im Folgenden „Kunde“).

Auftragsverarbeiter: HSE Support Germany s.r.o., Nové sady 988/2, Staré Brno, 602 00 Brno, Tschechische Republik, Handelsregister C 152831, Kreisgericht Brno (Krajský soud v Brně), Id.-Nr. (IČO) 29772745, vertreten durch die Geschäftsführerin Renata Havlíková (im Folgenden „MoveMyFile“). Kontakt Datenschutz: support@movemyfile.eu.

§ 1 Gegenstand und Dauer

MoveMyFile verarbeitet personenbezogene Daten im Auftrag des Kunden, um den Dienst MoveMyFile nach den Nutzungsbedingungen bereitzustellen: Speichern, Senden und Freigeben von Dateien und Fotos, Listen von Empfängern, Upload-Anfragen, Übertragungen zwischen eigenen Geräten, Teams sowie die dazugehörigen Benachrichtigungen.

Dieser Vertrag gilt, solange der Kunde MoveMyFile nutzt, und endet mit der Löschung des Kontos bzw. des Teams. Pflichten zu Löschung, Vertraulichkeit und Nachweis gelten darüber hinaus.

§ 2 Art, Zweck, Daten und Betroffene

Art und Zweck: Hosting, Speicherung, Übermittlung an die vom Kunden gewählten Empfänger, Erzeugen von Vorschauen für Fotos, Protokollierung von Zugriffen, Versand von E-Mails und Benachrichtigungen.

Arten von Daten: Inhalte der hochgeladenen Dateien (sie können beliebige personenbezogene Daten enthalten, die der Kunde hochlädt), Dateinamen und Metadaten, Kontodaten (Name, E-Mail-Adresse), Daten von Empfängern und Listen (Name, E-Mail-Adresse), Kommentare und Notizen, Zugriffs- und Geräteprotokolle (Zeitpunkt, Gerätename, Land und Stadt der Verbindung).

Betroffene: Nutzer des Kunden (Beschäftigte, Mitglieder, Lehrkräfte), Empfänger von Dateien und Links, Personen, die über Upload-Anfragen oder QR-Codes Dateien senden oder sich eintragen, sowie Personen, die auf den Dateien abgebildet oder darin genannt sind.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet MoveMyFile nicht gezielt. Lädt der Kunde solche Daten hoch, verantwortet er die Zulässigkeit; die Schutzmaßnahmen nach Anlage 2 gelten für alle Inhalte gleich.

§ 3 Weisungen

MoveMyFile verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind in diesem Vertrag, den Nutzungsbedingungen und den Einstellungen festgelegt, die der Kunde in der Anwendung vornimmt (z. B. Freigaben, Ablaufdaten, Löschungen). Weitere Weisungen erteilt der Kunde in Textform an support@movemyfile.eu.

Ist MoveMyFile der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert MoveMyFile den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Eine Verarbeitung für eigene Zwecke findet nicht statt; MoveMyFile verkauft keine Daten, zeigt keine Werbung und nutzt Inhalte nicht zum Trainieren von KI-Modellen. Ausnahmen gelten nur, soweit MoveMyFile durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall informiert MoveMyFile den Kunden vorher, sofern das Recht dies nicht verbietet.

§ 4 Vertraulichkeit

MoveMyFile setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugang ist auf das für den Betrieb Notwendige beschränkt.

§ 5 Sicherheit der Verarbeitung

MoveMyFile trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und auf der Seite der Anlage 2 veröffentlicht.

§ 6 Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen. MoveMyFile schließt mit jedem einen Vertrag, der mindestens das Schutzniveau dieses Vertrags gewährleistet.

Über beabsichtigte Änderungen informiert MoveMyFile mindestens 30 Tage vorher per E-Mail an registrierte Kunden und auf der Seite der Anlage 3. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; findet sich keine Lösung, kann er den Vertrag vor Wirksamwerden der Änderung kündigen.

Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss, EU-US Data Privacy Framework, Standardvertragsklauseln). Dateien werden in einem Speicher mit EU-Jurisdiktion, die Datenbank in Frankfurt am Main gespeichert.

§ 7 Unterstützung des Kunden

MoveMyFile unterstützt den Kunden bei der Erfüllung der Rechte betroffener Personen (Art. 15–22 DSGVO). Vieles kann der Kunde selbst in der Anwendung erledigen: Dateien herunterladen und löschen, Freigaben beenden, Personen aus Listen entfernen, Konto löschen. Erreichen MoveMyFile Anfragen Betroffener, leitet MoveMyFile sie unverzüglich an den Kunden weiter.

MoveMyFile unterstützt den Kunden außerdem bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde mit den vorhandenen Informationen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

MoveMyFile meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen; fehlende Angaben werden nachgereicht.

MoveMyFile ergreift sofort die nötigen Maßnahmen, um die Daten zu sichern und mögliche Nachteile zu mindern, und unterstützt den Kunden bei seinen Pflichten nach Art. 33 und 34 DSGVO.

§ 9 Löschung und Rückgabe

Der Kunde kann seine Dateien jederzeit selbst herunterladen (einzeln oder als ZIP) und löschen. Mit dem Löschen des Kontos bzw. Teams werden Dateien und personenbezogene Daten sofort gelöscht; Datenbanksicherungen werden innerhalb von etwa 7 Tagen überschrieben.

Ausgenommen sind Daten, die MoveMyFile gesetzlich aufbewahren muss, sowie Nachweise, die zur Dokumentation der ordnungsgemäßen Verarbeitung erforderlich sind (z. B. Protokolle über Meldungen rechtswidriger Inhalte).

§ 10 Nachweise und Kontrollen

MoveMyFile stellt dem Kunden die zum Nachweis der Pflichten nötigen Informationen zur Verfügung: diesen Vertrag, Anlage 2 und 3, unabhängige Testergebnisse (Seite „Sicherheit“) sowie auf Anfrage ausgefüllte Sicherheitsfragebögen und Auskünfte.

Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann darüber hinaus Kontrollen durchführen, in der Regel einmal im Jahr, nach Ankündigung mit mindestens 30 Tagen Vorlauf, während der Geschäftszeiten und ohne Störung des Betriebs; bei einer Datenschutzverletzung auch kurzfristig. Da MoveMyFile keine eigenen Rechenzentren betreibt, erfolgen Kontrollen der Rechenzentren über die Zertifikate und Berichte der Anbieter (Anlage 3).

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen bzw. des Einzelvertrags.

§ 12 Schlussbestimmungen

Dieser Vertrag wird durch die Annahme der Nutzungsbedingungen bei geschäftlicher Nutzung geschlossen; die Textform genügt (Art. 28 Abs. 9 DSGVO). Auf Wunsch erhält der Kunde ein gegengezeichnetes Exemplar.

Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor. Änderungen werden mindestens 30 Tage vorher angekündigt. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Es gilt das Recht, das für die Nutzungsbedingungen gilt (tschechisches Recht), soweit die DSGVO nichts anderes bestimmt. Diese deutsche Fassung ist maßgeblich für Kunden in Deutschland und Österreich; Übersetzungen dienen der Information.

Anlagen

• Anlage 1 — Gegenstand, Art und Zweck, Daten und Betroffene: § 2 dieses Vertrags.
• Anlage 2 — Technische und organisatorische Maßnahmen (TOM).
• Anlage 3 — Unterauftragsverarbeiter.