Datenschutz

Datenschutzerklärung und Auftragsverarbeitungsvertrag des Systems IRVYS. Dokumentation DSGVO & AVV, B2B / B2G (Europäische Union & EWR).

Dies ist eine informative Übersetzung. Bei Auslegungsabweichungen hat die slowakische Fassung Vorrang. Verbindliche slowakische Fassung

Artikel I. Angaben zum Verantwortlichen und einleitende Bestimmungen

Dieses Dokument regelt die Verarbeitung und den Schutz personenbezogener Daten im Zusammenhang mit dem Betrieb und der Nutzung des cloudbasierten Sende- und Informationssystems IRVYS gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr (im Folgenden „DSGVO“) sowie dem slowakischen Gesetz Nr. 18/2018 Slg. über den Schutz personenbezogener Daten in der geltenden Fassung.
Anbieter und Betreiber des Systems IRVYS ist die Gesellschaft:
Firma
Datawell s.r.o.
Sitz
Jeruzalemská 293/2, 917 01 Trnava, Slowakische Republik
Identifikationsnummer (IČO)
53983483
Steuernummer (DIČ)
2121540751
USt-IdNr.
SK2121540751
Registereintrag
Handelsregister des Bezirksgerichts Trnava, Abteilung: Sro, Einlage Nr. 49729/T
Kontakt-E-Mail für Datenschutzfragen
info@irvys.net
(im Folgenden der „Anbieter“).
Bei der Bereitstellung des Systems IRVYS im B2B- und B2G-Bereich (Unternehmen, Gemeinden, Schulen, Einrichtungen innerhalb der EU/des EWR) tritt der Anbieter nach der DSGVO in zwei unterschiedlichen rechtlichen Rollen auf:
- A) Der Anbieter als Verantwortlicher (Artikel II bis IV): in Bezug auf personenbezogene Daten von Vertretern, Organen, Kontaktpersonen und Administratoren des Kunden, die er zum Vertragsabschluss, zur Rechnungsstellung, zum Betrieb der Benutzerkonten und für den Kundensupport verarbeitet.
- B) Der Anbieter als Auftragsverarbeiter (Artikel V – Auftragsverarbeitungsvertrag / AVV): in Bezug auf personenbezogene Daten Dritter, die der Kunde selbst im Rahmen seiner gesendeten Inhalte in das System IRVYS hochlädt, dort speichert oder darüber sendet.

Artikel II. Umfang, Zwecke und Rechtsgrundlagen der Verarbeitung (Anbieter als Verantwortlicher)

Soweit der Anbieter als eigenständiger Verantwortlicher (Art. 4 Nr. 7 DSGVO) auftritt, verarbeitet er personenbezogene Daten von Vertretern und Nutzern auf Seiten des Kunden in folgendem Umfang, zu folgenden Zwecken und für die angegebene Speicherdauer:

Zweck der Verarbeitung	Rechtsgrundlage (DSGVO)	Kategorien personenbezogener Daten	Speicherdauer
Vertragserfüllung und Kontoverwaltung im System IRVYS (Einrichtung des Zugangs, technischer Support, Betriebsbenachrichtigungen)	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vertragserfüllung durch Mitarbeiter des Kunden)	Vorname, Nachname, Position, E-Mail-Adresse, Telefonnummer, Benutzername, verschlüsseltes Passwort	Für die Vertragslaufzeit und 30 Tage nach deren Ende (bis zur Löschung des Benutzerkontos)
Buchhaltung und Steuerunterlagen (Rechnungsstellung, USt-Aufzeichnungen und VIES-Meldungen in der EU)	Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer gesetzlichen Pflicht nach dem Rechnungslegungs- und dem Umsatzsteuergesetz)	Rechnungsdaten, Vor- und Nachname der Kontaktperson auf der Rechnung, IČO, DIČ, USt-IdNr., Zahlungsdaten, Zahlungshistorie	10 Jahre nach Ablauf des Jahres, auf das sich die Buchungsbelege und Rechnungen beziehen
Netzwerksicherheit, Betrugsprävention und Protokollierung (Serverschutz, Bearbeitung von Vorfällen und Meldungen nach dem DSA)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Anbieters an Cybersicherheit und Funktionsfähigkeit des Systems)	IP-Adresse, Zeitstempel der Anmeldung (Logs), Kennung des Endgeräts/Bildschirms, Aktivitätsprotokolle in der Administration	12 Monate ab Erstellung des Eintrags (Logs), sofern ein Vorfall keine längere Aufbewahrung erfordert
Geltendmachung von Rechtsansprüchen und geschäftliche Kommunikation (Forderungseinzug, Informationen über Systemaktualisierungen)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Anbieters am Schutz seiner Rechte und an der B2B-Direktwerbung für eigene Leistungen)	Kontaktdaten des Kundenvertreters, Verlauf der vertraglichen und E-Mail-Kommunikation, Informationen über genutzte Leistungen	Für die Vertragslaufzeit und bis zum Ablauf der Verjährungsfristen nach dem slowakischen Handelsgesetzbuch (in der Regel 4 Jahre)

Artikel III. Empfänger personenbezogener Daten und Übermittlung in Drittländer

Der Anbieter legt personenbezogene Daten nur im erforderlichen Umfang geprüften Kategorien von Empfängern und Auftragsverarbeitern offen, mit denen er einen Vertrag nach Art. 28 DSGVO geschlossen hat:
- Anbieter zertifizierter Cloud-, Server- und Hosting-Infrastruktur mit Standort in der Europäischen Union,
- extern zusammenarbeitende Buchhaltungs-, Steuer- und Rechtsanwaltskanzleien, die zur Verschwiegenheit verpflichtet sind,
- externe IT-Spezialisten und Entwickler, die die technische Wartung und Weiterentwicklung des Systems IRVYS sicherstellen,
- Behörden (z. B. Finanzamt, Gerichte, Strafverfolgungsbehörden) ausschließlich in Fällen, in denen dies geltendes slowakisches Recht oder EU-Recht verlangt.
Datenspeicherung in der EU/im EWR: Der Anbieter speichert und verarbeitet personenbezogene Daten vorrangig in Rechenzentren in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums (EWR). Eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR findet nicht statt; sollte es ausnahmsweise bei der Nutzung globaler Kommunikationswerkzeuge dazu kommen, erfolgt sie ausschließlich auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (z. B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln (SCC) nach Art. 46 DSGVO.
Der Anbieter führt bei der Verarbeitung personenbezogener Daten keine automatisierte Entscheidungsfindung im Einzelfall und kein Profiling nach Art. 22 DSGVO durch.

Artikel IV. Rechte der betroffenen Personen in der EU

Eine natürliche Person, deren personenbezogene Daten der Anbieter verarbeitet (im Folgenden die „betroffene Person“), hat gemäß Art. 15 bis 21 DSGVO folgende Rechte:
- Auskunftsrecht (Art. 15 DSGVO): das Recht, eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden, und eine Kopie dieser Daten zu erhalten.
- Recht auf Berichtigung (Art. 16 DSGVO): das Recht auf unverzügliche Berichtigung unrichtiger oder Vervollständigung unvollständiger personenbezogener Daten.
- Recht auf Löschung – „Recht auf Vergessenwerden“ (Art. 17 DSGVO): das Recht, die Löschung personenbezogener Daten zu verlangen, wenn der Zweck der Verarbeitung entfallen ist und kein anderer gesetzlicher Grund für ihre Aufbewahrung besteht (z. B. Aufbewahrungsfrist für Rechnungen).
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und Recht auf Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, maschinenlesbaren Format.
- Widerspruchsrecht (Art. 21 DSGVO): das Recht, jederzeit der Verarbeitung personenbezogener Daten zu widersprechen, die auf Grundlage des berechtigten Interesses des Anbieters erfolgt (einschließlich des Widerspruchs gegen die Zusendung geschäftlicher Neuigkeiten).
Die betroffene Person kann ihre Rechte schriftlich an der Sitzadresse des Anbieters oder elektronisch an info@irvys.net geltend machen. Der Anbieter bearbeitet den Antrag unverzüglich, spätestens innerhalb eines Monats nach dessen Eingang.
Recht auf Beschwerde bei einer Aufsichtsbehörde: Ist die betroffene Person der Ansicht, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt, hat sie das Recht, sich bei der Aufsichtsbehörde in der Slowakischen Republik, dem Amt für den Schutz personenbezogener Daten der Slowakischen Republik (Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, www.dataprotection.gov.sk), oder bei der zuständigen Datenschutzaufsichtsbehörde des EU-Mitgliedstaats ihres gewöhnlichen Aufenthalts oder Arbeitsplatzes zu beschweren.

Artikel V. Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO)

Gegenstand und Art der Verarbeitung: Dieser Artikel stellt einen verbindlichen Vertrag über die Auftragsverarbeitung (Data Processing Agreement – DPA) im Sinne von Art. 28 Abs. 3 DSGVO zwischen dem Kunden als Verantwortlichem und dem Anbieter als Auftragsverarbeiter dar. Er gilt, wenn der Kunde in das System IRVYS Audio-, Video-, Text- oder Grafikinhalte mit personenbezogenen Daten dritter natürlicher Personen hochlädt, im Cloud-Speicher ablegt oder über Endbildschirme sendet (z. B. Fotos und Videos von Mitarbeitern, Gemeindebürgern, Schülern, auftretenden Personen oder Kunden des Kunden).
Verantwortung des Kunden als Verantwortlicher: Der Kunde trägt die alleinige Verantwortung dafür, dass er für die Verarbeitung und öffentliche Verbreitung der in seinen Inhalten enthaltenen personenbezogenen Daten über eine gültige Rechtsgrundlage nach Art. 6 DSGVO verfügt (z. B. Einwilligung der betroffenen Person in die Veröffentlichung eines Fotos/Videos, Vertragserfüllung, Wahrnehmung einer Aufgabe im öffentlichen Interesse der Gemeinde/Schule oder berechtigtes Interesse) und dass er gegenüber den betroffenen Personen seine Informationspflichten nach Art. 13 und 14 DSGVO erfüllt hat.
Pflichten des Anbieters als Auftragsverarbeiter: Der Anbieter verpflichtet sich für die Laufzeit des Hauptvertrags über die Erbringung der Leistungen:
- personenbezogene Daten in den Inhalten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten; als Weisung gelten das Hochladen, Speichern, Planen der Sendung und Löschen einer Datei durch den Kunden in der Benutzeroberfläche des Systems IRVYS,
- sicherzustellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen auf Seiten des Anbieters (Mitarbeiter und Administratoren) zur Vertraulichkeit verpflichtet sind,
- den Kunden bei der Bearbeitung von Anträgen betroffener Personen und bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen (einschließlich der unverzüglichen Meldung einer etwaigen Verletzung des Schutzes personenbezogener Daten auf den Servern des Systems),
- dem Kunden auf schriftliche Anfrage die Überprüfung der Einhaltung der Pflichten aus diesem Artikel durch Bereitstellung der entsprechenden Sicherheitsdokumentation zu ermöglichen.
Technische und organisatorische Sicherheitsmaßnahmen (Art. 32 DSGVO): Der Anbieter hat zum Schutz der Daten im System IRVYS angemessene Sicherheitsmaßnahmen getroffen, insbesondere die Verschlüsselung der Datenübertragung (HTTPS / TLS), die Verschlüsselung der Anmeldepasswörter, die logische Trennung der Daten der einzelnen Kunden im Cloud-Speicher, die Verwaltung von Zugriffsrechten und die regelmäßige Aktualisierung der Serverinfrastruktur.
Einsatz weiterer Auftragsverarbeiter (Sub-processors): Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung zum Einsatz weiterer Auftragsverarbeiter, die Cloud-Hosting und Wartung des Systems innerhalb der EU/des EWR sicherstellen. Der Anbieter stellt sicher, dass jeder weitere Auftragsverarbeiter denselben Datenschutzpflichten unterliegt wie in diesem AVV.
Löschung der Daten nach Vertragsende: Nach Beendigung des Hauptvertrags über die Nutzung des Systems IRVYS kann der Kunde seine Daten innerhalb von 14 Tagen (bei sofortiger Beendigung) oder vor Ablauf der Kündigungsfrist aus dem System herunterladen. Spätestens 30 Tage nach Vertragsende löscht der Anbieter sämtliche Inhalte und personenbezogenen Daten des Kunden dauerhaft und unwiderruflich von allen Produktionsservern und Backups des Systems IRVYS, sofern keine besondere Vorschrift der EU oder der Slowakei deren Aufbewahrung verlangt.

Artikel VI. Schlussbestimmungen

Dieses Dokument bildet einen eigenständigen Bestandteil der Vertragsdokumentation zu den Allgemeinen Geschäftsbedingungen für die Nutzung des Systems IRVYS der Datawell s.r.o.
Der Anbieter ist berechtigt, diese Datenschutzerklärung bei Änderungen der EU- oder slowakischen Gesetzgebung oder bei technischen Änderungen des Systems IRVYS zu aktualisieren. Die aktuelle Fassung ist stets in der Oberfläche des Systems und auf der Website des Anbieters veröffentlicht.
Diese Datenschutzerklärung und der Auftragsverarbeitungsvertrag treten am 03.11.2026 in Kraft.