Dieser Auftragsverarbeitungsvertrag ist eine Vereinbarung zwischen der Tanzschule, die DanceAdmin nutzt (der Kunde, Verantwortlicher), und EXCITED software, Inhaber Ed de Heus, Kamgrasstraat 30, 2288 HE Rijswijk, Niederlande, eingetragen bei der niederländischen Handelskammer (KvK) unter der Nummer 27144483 (wir, Auftragsverarbeiter). Er ist Bestandteil des Vertrags über DanceAdmin und der Allgemeinen Geschäftsbedingungen und gilt, solange wir personenbezogene Daten für den Kunden verarbeiten.
1. Wofür wir die Daten verarbeiten
Wir verarbeiten personenbezogene Daten nur, um dem Kunden DanceAdmin bereitzustellen: die Verwaltung der Tanzschule, die Online-Anmeldung und -Zahlung, den Kursplan und die Veranstaltungen auf der Website der Schule, das Teilnehmerportal, die E-Mails, die DanceAdmin im Namen der Schule versendet, und den Support. Wir verwenden die Daten niemals für eigene Zwecke.
2. Welche Daten und von wem
- Betroffene Personen: Kursteilnehmer (bei Minderjährigen auch Eltern oder Erziehungsberechtigte), Personen, die sich anmelden oder ein Ticket kaufen, Tanzpartner, die bei einer Anmeldung angegeben werden, Lehrer und die Nutzer des Kunden.
- Daten: Name, Adresse, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Geschlecht, Teilnehmernummer, Kontonummer und Lastschriftmandat, Einschreibungen, Anmeldungen, Tickets, Zahlungen und Rabatte, Anwesenheit und Nachholstunden, Labels und Notizen, bei Nutzern und Lehrern außerdem Rolle, Rechte und Unterrichtsstunden.
- DanceAdmin ist nicht für besondere Kategorien personenbezogener Daten gedacht, etwa Gesundheitsdaten. Trägt der Kunde solche Daten dennoch in eine Notiz ein, ist er selbst dafür verantwortlich.
3. Nur auf Weisung des Kunden
Wir verarbeiten die Daten nur so, wie der Kunde es über DanceAdmin und seine Einstellungen festlegt oder uns schriftlich (auch per E-Mail) bittet. Halten wir eine Weisung für unvereinbar mit dem Datenschutzrecht, teilen wir das sofort mit. Müssen wir Daten gesetzlich an eine Behörde herausgeben, informieren wir den Kunden vorher, sofern das nicht untersagt ist.
4. Vertraulichkeit
Alle, die bei uns Zugang zu den Daten haben, sind zur Verschwiegenheit verpflichtet. Zugriff nehmen wir nur, wenn es nötig ist, etwa für Support auf Wunsch des Kunden, für die Übernahme von Daten oder zur Behebung einer Störung.
5. Sicherheit
Wir treffen geeignete Maßnahmen zum Schutz der Daten, darunter:
- alle Verbindungen sind verschlüsselt (https), und der Datenverkehr läuft über Cloudflare, das Angriffe abwehrt;
- die Daten jeder Schule sind von denen anderer Schulen getrennt; innerhalb einer Schule legt der Administrator pro Nutzer fest, was dieser sehen und tun darf;
- Passwörter und sensible Schlüssel (etwa für Mollie und die E-Mail) speichern wir nur verschlüsselt;
- Nutzer werden nach einer halben Stunde ohne Aktivität automatisch abgemeldet, und Formulare sind gegen Missbrauch geschützt;
- Anmeldungen, fehlgeschlagene Versuche und wichtige Änderungen werden protokolliert;
- der Server steht in einem Rechenzentrum in den Niederlanden und wird nur von uns verwaltet; wir erstellen regelmäßig Backups und halten die Software mit Updates aktuell.
Der Kunde sorgt selbst für gute Passwörter, gibt nur den richtigen Personen Zugang und beschränkt ihre Rechte auf das Nötige.
6. Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz dieser Unterauftragsverarbeiter zu:
| Unterauftragsverarbeiter | Wofür | Wo |
|---|---|---|
| Cloudflare, Inc. | Der gesamte Datenverkehr zu DanceAdmin läuft über Cloudflare, für Geschwindigkeit und Schutz vor Angriffen | Weltweites Netzwerk; EU-US Data Privacy Framework und Standardvertragsklauseln |
| Microsoft (Microsoft 365) | Versand der E-Mails von DanceAdmin, etwa Bestätigungen, Anmeldecodes und Zahlungsaufforderungen | Europäische Union; EU-US Data Privacy Framework und Standardvertragsklauseln |
Die Datenbank und die Anwendung laufen auf unserem eigenen Server in den Niederlanden. Nutzt der Kunde sein eigenes Microsoft 365 für die E-Mail oder sein eigenes Mollie-Konto für Zahlungen von Kursteilnehmern, hat der Kunde dafür einen eigenen Vertrag mit diesem Anbieter; dieser ist dann kein Unterauftragsverarbeiter von uns.
Möchten wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilen wir das mindestens einen Monat im Voraus per E-Mail mit. Hat der Kunde einen berechtigten Einwand, suchen wir gemeinsam eine Lösung; gelingt das nicht, kann der Kunde kündigen, bevor die Änderung wirksam wird. Unseren Unterauftragsverarbeitern legen wir dieselben Pflichten auf wie in diesem Vertrag.
7. Rechte der betroffenen Personen
Möchte ein Kursteilnehmer oder eine andere betroffene Person seine Daten einsehen, berichtigen, löschen oder mitnehmen, kümmert sich der Kunde darum. Mit DanceAdmin kann der Kunde Daten selbst suchen, ändern, löschen und exportieren. Klappt etwas nicht, helfen wir. Erhalten wir eine solche Anfrage direkt, leiten wir sie so schnell wie möglich an den Kunden weiter.
8. Datenpannen
Entdecken wir einen Sicherheitsvorfall, bei dem Daten des Kunden (möglicherweise) offengelegt, verloren oder beeinträchtigt wurden, melden wir das dem Kunden unverzüglich und spätestens 48 Stunden nach der Entdeckung. Wir teilen dabei mit, was wir wissen: was passiert ist, welche Daten und betroffenen Personen es betrifft, welche Folgen es haben kann und was wir dagegen tun. Der Kunde entscheidet, ob er die Panne der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) und den betroffenen Personen meldet; wir helfen dabei.
9. Unterstützung und Kontrolle
Wir geben dem Kunden die Informationen, die er braucht, um nachzuweisen, dass die Verarbeitung dem Gesetz entspricht, und helfen in angemessenem Umfang bei einer Datenschutz-Folgenabschätzung (DSFA) oder bei Fragen der Aufsichtsbehörde. Möchte der Kunde ein Audit durchführen lassen, ist das höchstens einmal im Jahr möglich, mit einer Ankündigung von mindestens 30 Tagen, durch einen unabhängigen, zur Verschwiegenheit verpflichteten Sachverständigen und auf Kosten des Kunden.
10. Nach Ende des Vertrags
Nach Ende des Vertrags bewahren wir die Daten noch 6 Monate auf, damit der Kunde sie exportieren lassen oder zurückkommen kann. Danach löschen wir sie endgültig, auch aus den Backups, sobald diese im normalen Zyklus ersetzt werden. Auf Wunsch des Kunden löschen wir früher oder stellen zuerst einen Export bereit.
11. Haftung und Laufzeit
Für die Haftung gilt Artikel 11 der Allgemeinen Geschäftsbedingungen. Dieser Auftragsverarbeitungsvertrag läuft, solange der Vertrag über DanceAdmin läuft, und danach, solange wir noch Daten des Kunden haben. Bei Widersprüchen hat dieser Auftragsverarbeitungsvertrag Vorrang vor den Allgemeinen Geschäftsbedingungen, soweit es um personenbezogene Daten geht.