Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Dieser Vertrag wird zwischen der Tierarztpraxis oder dem Tierschutzverein, der Mizuu nutzt (der „Verantwortliche“), und Mizuu (der „Auftragsverarbeiter“) geschlossen. Er wird mit der Anmeldung der Praxis oder des Tierschutzvereins akzeptiert und ist Teil ihrer Nutzungsbedingungen.

Gegenstand: Mizuu verarbeitet im Auftrag des Verantwortlichen die personenbezogenen Daten, die dieser auf der Plattform speichert, ausschließlich um den gebuchten Dienst zu erbringen (Terminkalender und Termine, Krankenakte, Kunden, Rechnungen, Benachrichtigungen und Erinnerungen, Datenimport aus einem anderen Programm, Tierverwaltung, Bewerbungen, Pflegestellen und Freiwilligenarbeit sowie Adoptionsverträge).

2. Daten und betroffene Personen

• Betroffene: Kunden und Halter der Tiere, Adoptionsbewerber, Pflegepersonen, Freiwillige und Teammitglieder des Verantwortlichen.
• Daten: Identifikations- und Kontaktdaten, Adresse, Daten der Tiere und ihr Verlauf, Termine, Rechnungen und Zahlungen, Nachrichten, Ausweisdokumente von Adoptierenden (verschlüsselt) und Vertragsunterschriften.
• Es werden keine besonderen Datenkategorien nach Art. 9 DSGVO verarbeitet, außer der Verantwortliche gibt sie selbst in Freitextfeldern ein, was er vermeiden muss.

3. Laufzeit

Er gilt, solange der Verantwortliche ein Konto bei Mizuu hat. Bei Beendigung gilt Punkt 11 (Rückgabe und Löschung).

4. Weisungen des Verantwortlichen

Mizuu verarbeitet die Daten nur nach den dokumentierten Weisungen des Verantwortlichen: diese Bedingungen, die Einstellungen, die der Verantwortliche in seinem Bereich wählt, und die Anfragen, die er schriftlich an [email protected] richtet. Wenn Mizuu glaubt, dass eine Weisung gegen das Datenschutzrecht verstößt, sagt es dies dem Verantwortlichen sofort.

Mizuu verwendet diese Daten nicht für eigene Zwecke, verkauft sie nicht und gibt sie nicht weiter, außer bei gesetzlicher Verpflichtung. Familien, die ein eigenes Konto bei Mizuu haben, sind für die Daten dieses Kontos Nutzer von Mizuu, und dort ist Mizuu für seine eigene Verarbeitung verantwortlich.

5. Vertraulichkeit

Die Personen bei Mizuu, die auf die Daten zugreifen, sind zur Verschwiegenheit verpflichtet, auch nachdem sie aufgehört haben, für Mizuu zu arbeiten, und sie greifen nur zu, wenn sie es brauchen, um den Dienst zu erbringen oder einen Vorfall oder eine Meldung zu bearbeiten.

6. Sicherheitsmaßnahmen (Art. 32 DSGVO)

• Verschlüsselung bei der Übertragung (TLS) und Verschlüsselung der sensibelsten Daten im Ruhezustand (Ausweisdokumente, IBAN, Telefonnummern und Adressen) mit AES-256-GCM.
• Passwörter mit Argon2id gespeichert, Zwei-Faktor-Authentifizierung für Konten von Tierschutzvereinen und die Administration, Sperre nach fehlgeschlagenen Versuchen und Anfragelimits.
• Berechtigungen nach Rolle innerhalb des Teams des Verantwortlichen und Prüfprotokoll sensibler Aktionen.
• Verschlüsselte Backups und ein Verfahren zur Behandlung von Vorfällen.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt Mizuu eine allgemeine Genehmigung, diese Unterauftragsverarbeiter einzusetzen, die die Daten mit Garantien verarbeiten, die denen dieses Vertrags gleichwertig sind:

• Cloudflare (Netzwerk, Schutz und Dateispeicherung).
• Resend (Versand von E-Mails).
• Google Firebase (Push-Benachrichtigungen).
• Stripe (Zahlungen).
• Google Play (Zahlung des Abos über die Android-App).
• Anthropic (nur wenn der KI-Scan von Impfpässen genutzt wird).
• OpenAI (nur um Sprachnotizen in Text umzuwandeln).

Mizuu informiert den Verantwortlichen mindestens 15 Tage im Voraus, bevor ein Unterauftragsverarbeiter hinzugefügt oder gewechselt wird, und der Verantwortliche kann widersprechen. Wenn der Widerspruch die Erbringung des Dienstes verhindert, kann der Verantwortliche kostenlos kündigen. Übermittlungen außerhalb des Europäischen Wirtschaftsraums stützen sich auf den EU-US-Datenschutzrahmen oder auf Standardvertragsklauseln.

8. Unterstützung bei den Rechten der betroffenen Personen

Wenn eine betroffene Person Mizuu gegenüber ihre Rechte an Daten des Verantwortlichen ausübt, leitet Mizuu dies innerhalb von höchstens 5 Werktagen an den Verantwortlichen weiter. Mizuu unterstützt den Verantwortlichen mit den Werkzeugen der Plattform (Daten exportieren, korrigieren und löschen), damit er fristgerecht antworten kann.

9. Sicherheitsverletzungen

Mizuu informiert den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem es von einer Verletzung erfahren hat, die seine Daten betrifft, mit den verfügbaren Informationen: was passiert ist, welche Daten und wie viele Personen betroffen sind, wahrscheinliche Folgen und ergriffene Maßnahmen. So kann der Verantwortliche die Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen (Art. 33 DSGVO) und, bei hohem Risiko, die betroffenen Personen (Art. 34 DSGVO).

10. Weitere Unterstützung des Verantwortlichen

Mizuu gibt dem Verantwortlichen die angemessenen Informationen, die er für Folgenabschätzungen oder vorherige Konsultationen braucht, wenn diese erforderlich sind.

11. Rückgabe und Löschung bei Beendigung

Vor der Kündigung kann der Verantwortliche seine Daten aus seinem Bereich herunterladen (Export von Kunden, Verlauf und Rechnungen). Nach der Kündigung löscht Mizuu die Daten des Verantwortlichen innerhalb von höchstens 90 Tagen, außer dem, was das Gesetz aufzubewahren vorschreibt (zum Beispiel Rechnungen), das während der gesetzlichen Frist gesperrt aufbewahrt wird. Die Krankengeschichte, die Teil des Passes eines Tieres mit Halter bei Mizuu ist, bleibt in diesem Pass erhalten, als Information über das Tier.

12. Informationen und Audits

Mizuu stellt dem Verantwortlichen die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen, und erlaubt angemessene Audits mit 30 Tagen Vorankündigung, höchstens einmal im Jahr, außer bei einer Verletzung, auf Kosten des Verantwortlichen und ohne Zugriff auf Daten anderer Kunden.

13. Pflichten des Verantwortlichen

Der Verantwortliche garantiert, dass er eine Rechtsgrundlage hat, die Daten zu verarbeiten, die er bei Mizuu hochlädt (auch die, die er aus einem anderen Programm importiert), und dass er seine Kunden, Bewerber und Freiwilligen informiert hat. Wenn die Vorschriften es verlangen, ist er derjenige, der die Rechte der betroffenen Personen bearbeitet und die Verletzungen der Behörde meldet.