Cloud-Anwendungen für die Zutrittskontrolle

Diese Vereinbarung zur Datenverarbeitung (Data Processing Agreement, („DPA“) ergänzt Saltos Nutzungsbedingungen für Cloud-Anwendungen für die Zutrittskontrolle, die Salto Space Software-Lizenzvereinbarung oder die Salto XS4 Face Nutzungsbedingungen, wie jeweils anwendbar, in der jeweils gültigen Fassung zwischen dem Kunden und Salto in Bezug auf die Verarbeitung personenbezogener Daten. Dieser DPA ist eine Vereinbarung zwischen Ihnen und der von Ihnen vertretenen Einheit („Kunde“, „Sie“ oder „Ihr“) und Salto Systems, S.L. (nachfolgend „Salto“).

1. Definitionen

1.1. Für die Zwecke dieser Datenverarbeitungsvereinbarung haben die hier aufgeführten Begriffe folgende Bedeutung:

• Anwendbares Datenschutzrecht: Bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten durch Salto im Rahmen dieser Vereinbarung anwendbar sind.
• Kunde: Eine juristische oder natürliche Person, die als Selbstständiger oder Unternehmen (nicht als Verbraucher) tätig ist und die die Vereinbarung mit Salto abschließt, um die Dienste zu nutzen und Zugang zu ihnen zu erhalten.
• Kundenkontodaten: Personenbezogene Daten, die mit der Beziehung des Kunden zu Salto in Zusammenhang stehen, einschließlich der Namen oder Kontaktdaten von Mitarbeitern, Vertretern oder Kontaktpersonen des Kunden.
• Datenverantwortlicher: Die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
• Datenverarbeitungsvereinbarung (auch als DPA bezeichnet): Bezeichnet diese zusätzliche Vereinbarung zwischen Salto und dem Kunden (falls dies nach der jeweils geltenden Gesetzgebung erforderlich ist), auf deren Grundlage Salto personenbezogene Daten verarbeitet.
• Betroffene Person: Eine identifizierte oder identifizierbare natürliche Person.
• Internationale Datenübermittlung: Verarbeitung, die die Übermittlung der personenbezogenen Daten außerhalb des Europäischen Wirtschaftsraums beinhaltet, entweder durch Datenweitergabe oder -übermittlung oder durch die Verarbeitung der personenbezogenen Daten durch einen außerhalb des EWR ansässigen Auftragsverarbeiter im Auftrag eines im EWR ansässigen Datenverantwortlichen.
• Personenbezogene Daten: Bezeichnet alle personenbezogenen Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und die über die Plattform eingegeben, gesammelt oder erfasst werden.
• Datenschutzrichtlinie: Bezeichnet die Datenschutzrichtlinie von Salto.
• Verarbeitung: Bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Reihe von Vorgängen im Zusammenhang mit personenbezogenen Daten oder einer Reihe personenbezogener Daten, wie beispielsweise das Erfassen, das Aufzeichnen, die Organisation, die Strukturierung, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Kombination, die Einschränkung, das Löschen oder die Vernichtung.
• Verarbeiter (auch „Auftragsverarbeiter“): Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Datenverantwortlichen verarbeitet.
• Sicherheitsvorfall: Unbefugter oder unrechtmäßiger Zugriff auf oder Erwerb, Änderung, Verwendung, Offenlegung oder Zerstörung von Benutzerdaten.
• Standardvertragsklauseln (Standard Contractual Clauses, SCC): Bezeichnet den Übermittlungsmechanismus, den die Europäische Kommission mit ihrem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genehmigt hat.
• Laufzeit: Bezeichnet den Zeitraum, in dem die DPA gültig, durchsetzbar und in Kraft ist, wie in Abschnitt 3 dargelegt.
• Benutzer: Natürliche Person(en), die vom Kunden ermächtigt wurde(n), Zugang zu den Diensten zu erhalten und diese zu nutzen.
• Benutzerdaten: Personenbezogene Daten der Benutzer.

1.2. Jeder in dieser Datenverarbeitungsvereinbarung verwendete und nicht in der obigen Liste aufgeführte Begriff in Großbuchstaben hat die ihm in den Nutzungsbedingungen zugewiesene Bedeutung, und wenn er dort nicht definiert ist, hat er die in Artikel 4 DSGVO festgelegte Bedeutung.

2. Anwendbarkeit und Änderungen

2.1 Diese Datenverarbeitungsvereinbarung gilt, wenn Salto Benutzerdaten im Auftrag des Kunden verarbeitet. In diesem Zusammenhang agiert Salto als Verarbeiter dieser Daten, während der Kunde als Datenverantwortlicher oder Verarbeiter der Benutzerdaten auftreten kann. Wenn der Kunde als Verarbeiter auftritt, ist Salto der Unterauftragsverarbeiter. 

2.2. Diese Datenverarbeitungsvereinbarung ist Teil der Vereinbarung, in die sie durch Verweis aufgenommen wird.

3. Laufzeit

Diese DPA gilt für den Zeitraum, der für die Erbringung der Dienste an den Kunden gemäß der Vereinbarung erforderlich ist. Nichtsdestotrotz vereinbaren die Parteien, dass alle Klauseln der vorliegenden DPA, die ausdrücklich oder stillschweigend vorgesehen sind, auch nach ihrer Beendigung in Kraft bleiben und die Parteien gemäß der jeweiligen Klausel binden.

4. Haftungsbeschränkung

Die Haftung jeder Partei unterliegt dem Abschnitt Haftung in den Nutzungsbedingungen von Salto, soweit dies nach geltendem Recht zulässig ist.

5. Beziehung zwischen den Parteien

5.1. Soweit Salto Zugang zu Benutzerdaten hat, verarbeitet Salto diese als Auftragsverarbeiter, während der Kunde als Datenverantwortlicher oder Auftragsverarbeiter der Benutzerdaten auftreten kann. Wenn der Kunde als Verarbeiter auftritt, ist Salto der Unterauftragsverarbeiter. 

5.2. Ungeachtet des Vorstehenden handelt Salto als Datenverantwortlicher in Bezug auf die Kundenkontodaten und andere spezifische Daten, die für die einzelnen Arten von Diensten in der Datenschutzrichtlinie aufgeführt sind. Diese Datenverarbeitung erfolgt in Übereinstimmung mit der Datenschutzrichtlinie und wie in dieser beschrieben.

6. Salto als Auftragsverarbeiter

6.1. Zweck der Datenverarbeitung: Die von Salto im Auftrag des Kunden verarbeiteten personenbezogenen Daten werden ausschließlich zur Erbringung der Dienste gemäß der Vereinbarung verarbeitet, was, sofern vom Kunden gemäß den Nutzungsbedingungen gewünscht, auch technische Supportaktivitäten beinhalten kann. Hält der Auftragsverarbeiter die Verarbeitung personenbezogener Daten für einen anderen Zweck für erforderlich, muss er die vorherige schriftliche Genehmigung des Kunden einholen. Liegt eine solche Genehmigung nicht vor, darf die Verarbeitung nicht stattfinden.

6.2. Beschreibung der Datenverarbeitung: Salto verarbeitet personenbezogene Daten gemäß den Spezifikationen in Anhang 1, einschließlich der Art und des Zwecks der Verarbeitung, der Verarbeitungstätigkeiten, der Dauer der Verarbeitung, der Arten der personenbezogenen Daten und der Kategorien der betroffenen Personen.

6.3. Pflichten des Kunden: Der Kunde ist dafür verantwortlich, dass er bei der Nutzung der Dienste und der eigenen Verarbeitung personenbezogener Daten die geltenden Datenschutzgesetze einhält und dass er berechtigt ist, Salto Zugang zu personenbezogenen Daten zu gewähren, damit diese in Übereinstimmung mit der Vereinbarung und dieser DPA verarbeitet werden können. Der Kunde ist für die Richtigkeit der an Salto übermittelten personenbezogenen Daten verantwortlich.

6.4. Anweisungen des Kunden: Der Auftragsverarbeiter verpflichtet sich, die Datenverarbeitung der Benutzerdaten gemäß den Anweisungen des Kunden, wie in der Vereinbarung dargelegt, und soweit dies für die Erbringung der Dienste für den Kunden erforderlich ist, sowie in Fällen, in denen dies zur Einhaltung des geltenden Rechts erforderlich ist, durchzuführen. Zusätzliche Anweisungen, die über das oben Genannte hinausgehen, müssen von den Parteien schriftlich vereinbart werden. Der Kunde stellt sicher, dass Salto bei jeder Datenverarbeitung, die nach seinen Anweisungen durchgeführt wird, die geltenden Gesetze und Vorschriften einhält. Salto verpflichtet sich, den Kunden zu informieren, wenn das Unternehmen feststellt oder begründeterweise davon ausgeht, dass die vom Kunden erteilten Anweisungen gegen geltendes Recht verstoßen. 

6.5. Vertraulichkeit: Salto stellt sicher, dass seine Mitarbeiter, die im Rahmen der Vereinbarung mit der Datenverarbeitung von Benutzerdaten befasst sind, darüber informiert werden und zur Vertraulichkeit verpflichtet sind. 

6.6. Sicherheitsmaßnahmen: Salto garantiert die Umsetzung geeigneter technischer und organisatorischer Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu erzielen, wobei der Stand der Technik, die Kosten der Umsetzung und die Art, der Umfang, der Kontext und die Zwecke der Datenverarbeitung sowie die Risiken unterschiedlicher Eintrittswahrscheinlichkeit und Tragweite für die Rechte und Freiheiten natürlicher Personen, die von der Verarbeitung ausgehen, berücksichtigt werden.

Bei der Beurteilung des angemessenen Sicherheitsniveaus berücksichtigt Salto die Risiken, die sich aus der Datenverarbeitung ergeben, insbesondere aus der versehentlichen oder unrechtmäßigen Zerstörung, dem Verlust, der Veränderung, der unbefugten Weitergabe von oder dem unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten sowie der unbefugten Weitergabe von oder dem unbefugten Zugriff auf diese Daten.

Anhang 2 enthält zusätzliche Informationen über die technischen und organisatorischen Sicherheitsmaßnahmen von Salto zum Schutz der Benutzerdaten.

6.7. Unterauftragsvergabe: Der Kunde ermächtigt Salto ausdrücklich, Unternehmen, die zur Salto Gruppe gehören, als Unterauftragnehmer zu beauftragen und ihnen in diesem Zusammenhang Zugang zu den personenbezogenen Daten zu gewähren, soweit dies für die Erbringung aller oder eines Teils der Dienste erforderlich ist, einschließlich Wartungs- und technischer Supportdienste im Auftrag des Kunden. 

Darüber hinaus ermächtigt der Kunde den Auftragsverarbeiter ausdrücklich, Unterauftragsverarbeiter (im Folgenden „Unterauftragsverarbeiter“) zu beauftragen, vorbehaltlich der folgenden Bestimmungen:

1. Salto verfügt über eine Liste seiner Unterauftragsverarbeiter und stellt sie hier bereit. Salto hält diese Liste auf dem neuesten Stand und nimmt jeden neuen Unterauftragsverarbeiter mindestens dreißig (30) Tage vor der Beauftragung auf. Salto stellt dem Kunden eventuell einen Mechanismus zur Verfügung, um Benachrichtigungen über neue Unterauftragsverarbeiter zu abonnieren. Der Kunde kann gegen jeden neuen Unterauftragsverarbeiter innerhalb von dreißig (30) Tagen nach der Aktualisierung der Liste einen angemessenen Einspruch erheben. Falls der Kunde einem neuen Unterauftragsverarbeiter in angemessener Weise widerspricht, können entweder der Kunde oder Salto den Teil der Vereinbarung kündigen, der sich auf die Dienste bezieht, die ohne den beanstandeten neuen Unterauftragsverarbeiter nicht erbracht werden können.
2. Salto verpflichtet sich, dass alle Unterauftragsverarbeiter vertraglich an die gleichen oder gleichwertige Datenschutzverpflichtungen gebunden sind, wie sie in dieser DPA für den Auftragsverarbeiter festgelegt sind.
3. Salto bleibt gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters haftbar.

6.8. Rechte der betroffenen Personen: Unter Berücksichtigung der Art der Datenverarbeitung unterstützt Salto den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Verpflichtung des Kunden, auf Anfragen zur Ausübung der Datenschutzrechte der betroffenen Person zu reagieren. Falls eine betroffene Person eine Anfrage in Bezug auf Benutzerdaten direkt an Salto stellt, wird Salto diese über die in der Plattform registrierte E-Mail Adresse unverzüglich an den Kunden weiterleiten. 

6.9. Unterstützung: Unter Berücksichtigung der Art der Datenverarbeitung und der Salto zur Verfügung stehenden Informationen leistet Salto dem Kunden angemessene Unterstützung bei der Durchführung von Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, die zur Einhaltung der Datenschutzbestimmungen erforderlich sind. 

6.10. Rückgabe oder Löschung von Benutzerdaten: Salto wird nach Beendigung der Erbringung der Dienstleistungen nach Wahl des Kunden alle in seinem Auftrag verarbeiteten personenbezogenen Daten löschen oder an den Kunden zurückgeben und alle vorhandenen Kopien löschen, es sei denn, die Aufbewahrung der personenbezogenen Daten ist gesetzlich vorgeschrieben. Im Rahmen der Dienste wird Salto nach Ablauf der Erbringung der Dienste, die aus der Bereitstellung von elektronischen Schließanlagen für Türen und Zugangskontrollen bestehen, die personenbezogenen Daten für einen Zeitraum von einem (1) Monat unter Verschluss halten, um eine Reaktivierung der genannten Dienste zu ermöglichen.

6.11. Audits: Salto stellt auf Anfrage des Kunden und auf dessen Kosten in angemessenen Abständen, jedoch nicht öfter als einmal (1) pro Jahr, die Informationen zur Verfügung, die für den Nachweis der Einhaltung der geltenden Datenschutzverpflichtungen erforderlich sind, und gestattet Audits. Der Kunde informiert Salto mindestens zwei (2) Monate im Voraus schriftlich über ein beabsichtigtes Audit. Dieses Audit kann entweder vom Kunden selbst oder von einem vom Kunden beauftragten unabhängigen Prüfer durchgeführt werden, der an angemessene Vertraulichkeitsbeschränkungen gebunden ist und auf keinen Fall ein Konkurrent von Salto sein oder für diesen tätig sein darf. Der Umfang der Prüfung ist auf die Systeme, Prozesse und Unterlagen von Salto beschränkt, die für die Datenverarbeitung im Auftrag des Kunden relevant sind, und die Berichte und Ergebnisse der Prüfung stellen vertrauliche Informationen von Salto dar. Nach Abschluss der Prüfung informiert der Kunde Salto über alle festgestellten Verstöße oder Sicherheitsbedenken, die bei der Prüfung aufgedeckt wurden. 

6.12. Sicherheitsvorfall: Salto verpflichtet sich, den Kunden per E-Mail an die vom Kunden in der Plattform registrierte E-Mail-Adresse unverzüglich zu benachrichtigen, nachdem er von einem unbefugten oder unrechtmäßigen Zugang zu Benutzerdaten oder deren Erwerb, Veränderung, Verwendung, Offenlegung oder Vernichtung Kenntnis erlangt hat (im Folgenden „Sicherheitsvorfall“). Salto wird den Kunden in angemessener Weise unterstützen, wenn der Kunde nach geltendem Datenschutzrecht verpflichtet ist, eine Aufsichtsbehörde oder von einem Sicherheitsvorfall betroffene Personen zu benachrichtigen.

6.13. Übermittlung personenbezogener Daten: In bestimmten Fällen kann die Datenverarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) erfolgen, insbesondere:

1. wenn der Kunde von einem Land außerhalb des EWR auf die Plattform zugreift; 
2. wenn der Kunde einen rund um die Uhr verfügbaren technischen Supportdienst abonniert hat, was bedeutet, dass Techniker in einigen Ländern außerhalb des EWR an der Lösung von Problemen beteiligt sind; und
3. in Bezug auf die Datenverarbeitung durch die unten genannten Unterauftragsverarbeiter. 

In den oben genannten Fällen erfolgt die Übertragung von Benutzerdaten aus dem EWR in Länder außerhalb des EWR (entweder direkt oder durch Weiterübermittlung) auf der Grundlage von Angemessenheitsentscheidungen der Europäischen Kommission. Soweit die Gebiete, in die die Benutzerdaten übertragen werden, nicht über die von der Europäischen Kommission festgelegten angemessenen Datenschutzstandards verfügen, vereinbaren die Parteien, dass die Standardvertragsklauseln Anwendung finden und als vereinbart gelten (und durch diesen Verweis in diese DPA aufgenommen werden) und wie nachstehend angegeben ergänzt werden:

(i) Modul Drei (Datenverarbeiter an Datenverarbeiter) der SCC findet Anwendung, wenn der Kunde ein Verarbeiter von Benutzerdaten außerhalb des EWR ist und Salto als Unterauftragsverarbeiter Benutzerdaten im EWR verarbeitet.

(ii) Modul Vier (Datenverarbeiter an Datenverantwortlichen) der SCC findet Anwendung, wenn der Kunde als Datenverantwortlicher Benutzerdaten außerhalb des EWR verarbeitet und Salto ein Datenverarbeiter ist, der Benutzerdaten im EWR verarbeitet.

In Bezug auf die einzelnen Module der Standardvertragsklauseln, sofern anwendbar:

1. Klausel 7: Die optionale Kopplungsklausel wird nicht angewendet.
2. Klausel 9: Es gilt die Option 2 mit der in Klausel 6.7 dieser DPA festgelegten Kündigungsfrist.
3. Klausel 11: Der optionale Abschnitt über die Einreichung von Beschwerden bei unabhängigen Beschwerdestellen durch betroffene Personen findet keine Anwendung;
4. Klausel 17: Es gilt Option 1, und die Standardvertragsklauseln unterliegen spanischem Recht;
5. Klausel 18 (b): Alle Streitigkeiten, die sich aus den Standardvertragsklauseln ergeben, sind vor den spanischen Gerichten zu klären;
6. Anhang I, Teil A:

• Datenexporteur: Salto.
• Kontaktinformationen: privacy@saltosystems.com 
• Rolle des Datenexporteurs: Die Rolle des Datenexporteurs ist in Abschnitt 4 (Beziehung zwischen den Parteien) dieser DPA festgelegt.
• Unterschrift und Datum: Durch den Abschluss der Vereinbarung wird davon ausgegangen, dass der Datenexporteur diese hierin enthaltenen SCC, einschließlich ihrer Anhänge, zum Zeitpunkt der Annahme der Vereinbarung unterzeichnet hat.
• Datenimporteur: Kunde
• Kontaktinformationen: Die E-Mail-Adresse, die der Kunde bei der Anmeldung zum Dienst angegeben hat, gilt als Kontakt-E-Mail in diesem Sinne. 
• Rolle des Datenimporteurs: Die Rolle des Datenimporteurs ist in Abschnitt 2 der vorliegenden DPA festgelegt.
• Unterschrift und Datum: Durch den Abschluss der Vereinbarung wird davon ausgegangen, dass der Datenimporteur diese hierin enthaltenen SCC einschließlich ihrer Anhänge zum Datum des Inkrafttretens der Vereinbarung unterzeichnet hat.

7. Anhang I, Teil B:

• Die Kategorien der betroffenen Personen, die übermittelten sensiblen Daten, die Art der Datenverarbeitung, der Zweck der Verarbeitung und der Zeitraum, für den die personenbezogenen Daten aufbewahrt werden, sind in Anhang 1 dieser DPA beschrieben.
• Die Häufigkeit der Übermittlung erfolgt fortlaufend für die Dauer der Vereinbarung für die Erbringung der Dienste, die aus elektronischen Schließanlagen für Türen und Zugangskontrollen bestehen, und für die Wartung und die technischen Supportdienste erfolgt die Übermittlung auf einmaliger Basis.
• Übermittlungen an Unterauftragsverarbeiter, der Gegenstand, die Art und die Dauer der Datenverarbeitung sind unter https://saltosystems.com/en/legal-data/software-terms/access-control-cloud-applications/list-of-sub-pocessors/ aufgeführt.

8. Anhang I, Teil C: Die spanische Datenschutzbehörde (Agencia Española de Protección de Datos) ist die zuständige Aufsichtsbehörde.
9. Anhang II: Anhang 2 dieser DPA.

Der Kunde verpflichtet sich, Salto zu benachrichtigen, wenn er ein rechtsverbindliches Ersuchen einer Behörde, einschließlich der Justizbehörden, gemäß den Gesetzen des Empfängerlandes über die Offenlegung personenbezogener Daten erhält, die gemäß der SCC übermittelt wurden. Eine solche Benachrichtigung muss mindestens 48 Stunden im Voraus und in jedem Fall vor der Weitergabe erfolgen und muss Informationen über die angeforderten personenbezogenen Daten, die anfragende Behörde, die Rechtsgrundlage für die Anfrage und die erteilte Antwort enthalten. 

Im Falle eines Widerspruchs zwischen den Standardvertragsklauseln und anderen Bestimmungen der Vereinbarung oder der Datenschutzrichtlinie haben die Bestimmungen der Standardvertragsklauseln Vorrang.

6.14. Gerichtsbarkeitspezifische Bestimmungen: Soweit Salto personenbezogene Daten verarbeitet, die aus einer der in Anlage 3 dieser DPA aufgeführten Gerichtsbarkeiten stammen und durch das anwendbare Datenschutzrecht geschützt sind, gelten zusätzlich zu den Bestimmungen dieser DPA die in dieser Anlage 3 aufgeführten Bestimmungen in Bezug auf die anwendbare(n) Gerichtsbarkeit(en). 

ANHANG 1 | Einzelheiten zur Datenverarbeitung

A. Cloud-Anwendungen für die Zutrittskontrolle 

1. Art und Zweck der Datenverarbeitung

Salto wird personenbezogene Daten verarbeiten, soweit dies für die Erbringung der Dienste im Rahmen der Vereinbarung erforderlich ist. In diesem Sinne wird Salto als Auftragsverarbeiter gemäß den Anweisungen des Kunden die Datenverarbeitung vornehmen, wie in Abschnitt 6.4 dieser DPA vorgesehen. 

Insbesondere verarbeitet Salto personenbezogene Daten mit den folgenden Zwecken, wenn der Kunde Cloud-Anwendungen für die Zutrittskontrolle beauftragt: 

• Für die Aufnahme des Endbenutzers in die Anwendung. 
• Durchführung der Zutrittskontrolldienste (auch mittels Gesichtserkennungstechnologien, wenn die Funktionalitäten von Salto XS4 Face beauftragt wurden). Bereitstellung der erforderlichen Wartungs- und technischen Supportleistungen.
• Wenn der Kunde die Dienste über die Plattform eines Dritten nutzt und/oder die Integration zwischen der Plattform und der Plattform des Dritten für den Empfang und die Übertragung der Benutzerdaten von und an die Plattform des Dritten aktiviert hat.  
• Wenn der Kunde die Dienste über die Plattform eines Dritten nutzt und/oder die Integration zwischen der Plattform und der Plattform des Dritten aktiviert hat, um die Benutzerdaten zu empfangen und von der Plattform des Dritten zu übertragen. 

2. Datenverarbeitungstätigkeiten

Erhebung, Speicherung, Aufbewahrung, Übermittlung an den Kunden und Löschung oder Vernichtung personenbezogener Daten, soweit dies für die ordnungsgemäße Erbringung der Dienste erforderlich ist. 

Wenn der Kunde die Dienste über die Plattform eines Dritten nutzt und/oder die Integration zwischen der Plattform und der Plattform des Dritten aktiviert hat, umfassen die Verarbeitungsaktivitäten auch die Übertragung und Erfassung der Benutzerdaten auf und von der Plattform des Dritten. In diesem Fall erkennt der Kunde an, dass der Anbieter der Plattform des Dritten als nicht verbundener, unabhängiger Dienstleister und Datenverarbeiter fungiert, der die Benutzerdaten im Auftrag des Kunden verarbeitet und seine Anweisungen befolgt. Zur Klarstellung sei angemerkt, dass Salto nicht für die Privatsphäre, Sicherheit oder Integrität solcher Daten verantwortlich ist, die innerhalb der Plattform des Dritten verarbeitet werden. Diese Datenkommunikation erfolgt durch Salto im Auftrag des Auftraggebers, der für die Einhaltung der geltenden gesetzlichen Anforderungen der Verarbeitung als Verantwortlicher oder Auftragsverarbeiter verantwortlich ist. 

3. Dauer der Datenverarbeitung

Salto verarbeitet die Datenverarbeitung im Auftrag des Kunden für die Dauer der in der Vereinbarung festgelegten Dienste. Im Rahmen der Dienste wird Salto nach Ablauf der Erbringung der Dienste, die aus elektronischen Schließanlagen für Türen und Zugangskontrollen bestehen, die personenbezogenen Daten für einen Zeitraum von einem (1) Monat unter Verschluss halten, um eine Reaktivierung der genannten Dienste zu ermöglichen.

Im Zusammenhang mit der Erbringung von Diensten für Wartung und technischen Support werden die Benutzerdaten, auf die Salto Zugriff hat, nur so lange verarbeitet, wie es für die Lösung des Problems erforderlich ist.

Nach Beendigung der Vereinbarung bewahrt Salto eine Kopie der ordnungsgemäß unter Verschluss gehaltenen personenbezogenen Daten für den Zeitraum der Verjährung der entsprechenden Verstöße auf. Nach Ablauf dieses Zeitraums wird Salto alle Kopien der personenbezogenen Daten löschen. 

4. Kategorien betroffener Personen

Benutzerdaten: Die Endbenutzer des Kunden. 

5. Kategorien von personenbezogenen Daten

• Identifikationsdaten 
• Kontaktinformationen
• Zutrittsberechtigungen 
• Aufzeichnung von Zutrittsereignissen
• Profilbild (optional)

6. Sensible Daten oder besondere Kategorien von Daten

Salto verarbeitet keine Daten besonderer Kategorien im Auftrag des Kunden, da die Verarbeitung im Zusammenhang mit Gesichtserkennung, falls vorhanden, lokal erfolgt (ohne Saltos Beteiligung an der Verarbeitung). 

B. Salto Space integriert mit Salto XS4 Face 

1. Art und Zweck der Datenverarbeitung

Salto wird personenbezogene Daten verarbeiten, soweit dies für die Erbringung der Dienste im Rahmen der Vereinbarung erforderlich ist. In diesem Sinne wird Salto als Auftragsverarbeiter gemäß den Anweisungen des Kunden die Datenverarbeitung vornehmen, wie in Abschnitt 6.4 dieser DPA vorgesehen.

Insbesondere verarbeitet Salto personenbezogene Daten zu folgenden Zwecken, wenn der Kunde Salto XS4 Face mit der Verwendung der in das Space System integrierten Gesichtserkennungstechnologie beauftragt:

• Für die Verwaltung von Kundenabonnements und Benutzern der Salto XS4 Face Console (d. h. Standort-Administratoren).  

• Für die Registrierung des Endbenutzers. 

• Bereitstellung der erforderlichen Wartungs- und technischen Supportleistungen. 

2. Datenverarbeitungstätigkeiten

Erhebung, Speicherung, Aufbewahrung, Übermittlung an den Kunden und Löschung oder Vernichtung personenbezogener Daten, soweit dies für die ordnungsgemäße Erbringung der Dienste erforderlich ist.

3. Dauer der Datenverarbeitung

Salto wird die Benutzerdaten im Auftrag des Kunden für die Dauer der in der Vereinbarung festgelegten Dienstleistungen verarbeiten. Im Rahmen der Dienstleistungen wird Salto nach Ablauf der Laufzeit der Bereitstellung der Dienstleistungen, die aus einer durch Gesichtserkennungstechnologie unterstützten Zutrittskontrolle bestehen, die personenbezogenen Daten für einen Zeitraum von drei (3) Monaten gesperrt halten, um eine Reaktivierung der genannten Dienstleistungen zu ermöglichen.

Im Zusammenhang mit der Erbringung von Diensten für Wartung und technischen Support werden die Benutzerdaten, auf die Salto Zugriff hat, nur so lange verarbeitet, wie es für die Lösung des Problems erforderlich ist.

Nach Beendigung der Vereinbarung bewahrt Salto eine Kopie der ordnungsgemäß unter Verschluss gehaltenen personenbezogenen Daten für den Zeitraum der Verjährung der entsprechenden Verstöße auf. Nach Ablauf dieses Zeitraums wird Salto alle Kopien der personenbezogenen Daten löschen.

4. Kategorien betroffener Personen

Benutzerdaten: Endbenutzer und Systemadministratoren des Kunden. 

5. Kategorien von personenbezogenen Daten

• Kontaktdaten: E-Mail-Adresse Systemadministratoren und Endbenutzer. 

• Name der Systemadministratoren. 

6. Sensible Daten oder besondere Kategorien von Daten

Salto verarbeitet keine Daten besonderer Kategorien im Auftrag des Kunden,da die Verarbeitung im Zusammenhang mit Gesichtserkennung, falls vorhanden, lokal erfolgt (ohne Saltos Beteiligung an der Verarbeitung). 

ANHANG 2 | Technische und organisatorische Sicherheitsmaßnahmen

Die anzuwendenden technischen und organisatorischen Maßnahmen sind in dem dafür vorgesehenen Abschnitt der Website beschrieben.

ANHANG 3 | Gerichtsstandsspezifische Bedingungen

Soweit Salto personenbezogene Daten verarbeitet, die aus einer der in Anhang 3 dieser DPA aufgeführten Gerichtsbarkeiten stammen und durch geltendes Datenschutzrecht geschützt sind, gelten zusätzlich zu den Bestimmungen dieser DPA die in diesem Anhang 3 aufgeführten Bestimmungen für die betreffende(n) Gerichtsbarkeit(en).

1. Kalifornien
   1. Die Definition des anwendbaren Datenschutzgesetzes umfasst das kalifornische Verbraucherschutzgesetz (California Consumer Privacy Act, CCPA).
   2. Die Definition von personenbezogenen Daten umfasst „Persönliche Informationen“ gemäß der Definition im anwendbaren Datenschutzgesetz.
   3. Die Definition der betroffenen Person umfasst den Begriff „Verbraucher“ gemäß der Definition im anwendbaren Datenschutzgesetz. Alle Rechte der betroffenen Person, wie in Abschnitt 6.8 (Rechte der betroffenen Person) dieser DPA beschrieben, gelten für die Rechte der Verbraucher. 
   4. Die Definition des Begriffs „Datenverantwortlicher“ umfasst „Unternehmen“ gemäß der Definition im geltenden Datenschutzrecht.
   5. Die Definition des Begriffs „Auftragsverarbeiter“ umfasst den Begriff „Dienstleister“ gemäß der Definition im geltenden Datenschutzrecht.
   6. Salto wird personenbezogene Daten nur dann verarbeiten, speichern, nutzen und weitergeben, wenn dies für die Erbringung der Dienste im Rahmen der Vereinbarung erforderlich ist, d. h. wenn es sich um einen Geschäftszweck handelt. 
   7. Salto wird Benutzerdaten nicht verkaufen. 
   8. Salto wird Benutzerdaten nicht für andere gewerbliche Zwecke als die Erbringung der Dienste aufbewahren, verwenden oder offenlegen. 
   9. Salto wird keine Benutzerdaten außerhalb des Geltungsbereichs der Vereinbarung aufbewahren, verwenden oder offenlegen.
   10. Salto bestätigt, dass seine Unterauftragsverarbeiter, wie in Abschnitt 6.7 dieser DPA beschrieben, Dienstleister im Sinne des anwendbaren Datenschutzrechts sind und dass sie vor der Beauftragung ordnungsgemäß geprüft wurden. 
2. Schweiz
   1. Die Definition von anwendbarem Datenschutzrecht umfasst das Bundesgesetz über den Datenschutz (DSG) von 1992.
   2. Die Definition von personenbezogenen Daten schließt personenbezogene Daten ein, die sich auf juristische Personen beziehen. 
3. Vereinigtes Königreich
   1. Die Definition des anwendbaren Datenschutzrechts umfasst die Datenschutz-Grundverordnung des Vereinigten Königreichs (UK General Data Protection Regulation, UK GDPR). 
   2. In Bezug auf Abschnitt 6.3 der DPA unterliegt eine solche Übertragung, wenn der Datenverantwortliche im Vereinigten Königreich ansässig ist und Salto Benutzerdaten aus dem Vereinigten Königreich in Länder außerhalb des Vereinigten Königreichs (entweder direkt oder im Wege der Weiterübermittlung) überträgt, in denen es keine Angemessenheitsbestimmungen gibt, den Bestimmungen der SCC zusammen mit dem Addendum für internationale Datenübermittlung (International Data Transfer Addendum, IDTA) oder dem genehmigten Addendum, d. h. der Vorlage Addendum B.1 .0, das von der ICO herausgegeben und dem Parlament gemäß s119A des Data Protection Act 2018 am 28. Januar 2022 vorgelegt wurde (im Folgenden das „IDTA“), das durch Verweis in diese DPA aufgenommen wird.
   3. In Bezug auf das IDTA: 
      1. Die Tabellen 1 und 2 werden durch Klausel 6.13 dieser DPA ergänzt. 
      2. In Bezug auf Tabelle 2 werden die vom Importeur erhaltenen personenbezogenen Daten nicht mit den vom Exporteur erhobenen personenbezogenen Daten kombiniert.
      3. Tabelle 4: Der Exporteur.
4. Australien
   1. Die Definition von anwendbarem Datenschutzrecht umfasst den Australian Federal Privacy Act 1988 und die Australian Privacy Principles.

Letzte Aktualisierung: Dezember 2024

© Salto Systems, S.L., 2024. Alle Rechte vorbehalten.