WHATSWHAT PRIME

Datenverarbeitungsvertrag (DVV)

Gemäß Artikel 28 DSGVO

Dieser Datenverarbeitungsvertrag („DVV") ist Bestandteil der Lizenzvereinbarung zwischen:

WhatsWhat Global Ltd, eingetragen in Irland („Verantwortlicher"),
und
[Licensed Partner Legal Name], („Auftragsverarbeiter").

Gültigkeitsdatum: 2026-03-08

Dieser DVV gilt, wenn der Auftragsverarbeiter im Auftrag des Verantwortlichen personenbezogene Daten im Zusammenhang mit dem Visibility Assessment™, Visibility Ladder™, Visibility Index™ oder verwandten Prime Ökosystem-Diensten verarbeitet.

1. Rollen der Parteien

Für die Zwecke der DSGVO:

• WhatsWhat Global Ltd handelt als Verantwortlicher.
• Der Lizenzpartner handelt als Auftragsverarbeiter.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen.

2. Gegenstand der Verarbeitung

Der Auftragsverarbeiter darf personenbezogene Daten ausschließlich verarbeiten für:

• Die Durchführung von Visibility Assessments
• Die Erstellung von Bewertungsberichten
• Die Verwaltung des Kunden-Onboardings
• Den Betrieb autorisierter Prime Dienste
• Die Kommunikation mit Kunden in Bezug auf lizenzierte Dienste

Keine andere Verarbeitung ist gestattet.

3. Kategorien betroffener Personen

Betroffene Personen können sein:

• Unternehmenseigentümer
• Geschäftsführer
• Mitarbeiter
• Kontonutzer
• Marktplatz-Teilnehmer
• Berufliche Vertreter

4. Kategorien personenbezogener Daten

Die Verarbeitung kann umfassen:

• Name
• E-Mail-Adresse
• Telefonnummer
• Unternehmensdetails
• Berufsbezeichnung
• Assessment-Eingaben
• Profilinformationen
• Technische Nutzungsdaten

Der Auftragsverarbeiter darf keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) verarbeiten, es sei denn, dies ist schriftlich ausdrücklich genehmigt.

5. Dauer der Verarbeitung

Die Verarbeitung dauert an:

• Für die Dauer der Lizenzvereinbarung
• Bis zur Beendigung der Lizenz
• Oder bis zu einer schriftlichen Weisung des Verantwortlichen

Nach Beendigung müssen personenbezogene Daten gemäß Klausel 11 gelöscht oder zurückgegeben werden.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter muss:

• Daten nur auf dokumentierte Weisung verarbeiten
• Sicherstellen, dass das Personal Vertraulichkeitspflichten unterliegt
• Geeignete technische und organisatorische Sicherheitsmaßnahmen implementieren
• Keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung beauftragen
• Den Verantwortlichen bei der Beantwortung von Betroffenenanfragen unterstützen
• Die Compliance mit den Artikeln 32–36 DSGVO unterstützen (Sicherheit, Meldung von Verletzungen, DSFAs)
• Aufzeichnungen über Verarbeitungstätigkeiten führen
• Informationen für Audits bereitstellen

7. Sicherheitsmaßnahmen

Der Auftragsverarbeiter muss implementieren:

• Zugriffskontrollen
• Sichere Passwortrichtlinien
• Verschlüsselte Übertragung (HTTPS)
• Sichere Speicherung
• Rollenbasierter Datenzugriff
• Gerätesicherheitskontrollen

Sicherheit muss das Risikoniveau widerspiegeln.

8. Unterauftragsverarbeiter

Der Auftragsverarbeiter darf keine Unterauftragsverarbeiter beauftragen ohne:

• Vorherige schriftliche Genehmigung des Verantwortlichen
• Bindende vertragliche Schutzmaßnahmen
• Gleichwertige DSGVO-Compliance

Der Auftragsverarbeiter bleibt vollständig haftbar für Handlungen der Unterauftragsverarbeiter.

9. Internationale Übermittlungen

Der Auftragsverarbeiter darf personenbezogene Daten nicht außerhalb des EWR übermitteln, es sei denn:

• Geeignete Schutzmaßnahmen sind vorhanden
• Standard Contractual Clauses sind implementiert
• Eine schriftliche Genehmigung liegt vor

10. Betroffenenrechte

Wenn der Auftragsverarbeiter eine Betroffenenanfrage erhält (z. B. Auskunft, Löschung), muss er:

• Den Verantwortlichen unverzüglich benachrichtigen
• Nicht direkt antworten, es sei denn, dies ist genehmigt
• Unterstützung leisten, sofern erforderlich

11. Datenlöschung oder -rückgabe

Bei Beendigung der Lizenzvereinbarung:

• Muss der Auftragsverarbeiter alle personenbezogenen Daten löschen oder zurückgeben
• Die Löschung schriftlich bestätigen
• Nur gesetzlich vorgeschriebene Daten aufbewahren

12. Meldung von Datenpannen

Der Auftragsverarbeiter muss:

• Den Verantwortlichen innerhalb von 48 Stunden nach Entdeckung einer Verletzung des Schutzes personenbezogener Daten benachrichtigen
• Details der Verletzung bereitstellen
• Bei der Behebung kooperieren

Der Auftragsverarbeiter darf Aufsichtsbehörden ohne Abstimmung nicht benachrichtigen.

13. Prüfungsrechte

Der Verantwortliche kann:

• Dokumentation anfordern
• Ferngestützte Compliance-Audits durchführen
• Nachweise über Sicherheitsmaßnahmen verlangen

Die Prüfungshäufigkeit muss angemessen sein.

14. Haftung

Jede Partei haftet in Übereinstimmung mit der DSGVO und der Lizenzvereinbarung.

Der Auftragsverarbeiter stellt den Verantwortlichen von Verlusten frei, die verursacht werden durch:

• Nichteinhaltung der DSGVO
• Verstoß gegen diesen DVV
• Unbefugte Verarbeitung

15. Anwendbares Recht

Dieser DVV unterliegt dem irischen Recht. Streitigkeiten unterliegen irischen Gerichten.

16. Rangfolge

Im Falle eines Konflikts zwischen diesem DVV und der Lizenzvereinbarung hat dieser DVV in Bezug auf Datenschutzangelegenheiten Vorrang.