‍1. Begriffsbestimmungen

1.1. „Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche bzw. können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden (Artikel 4, Abs. 7 DSGVO).

1.2. „Betroffene Person“ hat die in Abschnitt 1.3 festgelegte Bedeutung.

1.3. „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (Art. 4 Abs. 1 DSGVO).

1.4. „Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Abs. 2 DSGVO).

1.5. „Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO).

2. Gegenstand und Laufzeit der Auftragsverarbeitungsvereinbarung

2.1. Gegenstand. Der Gegenstand der vorliegenden Auftragsverarbeitungsvereinbarung („AVV“) ergibt sich aus dem Vertrag von Tokenize.it über Startup-Tools-as-a-Service (Dienstleistungsvertrag), zu dem die vorliegende Auftragsverarbeitungsvereinbarung einen Anhang bildet, und die vorliegende Vereinbarung betrifft keine Verarbeitung personenbezogener Daten durch Tokenize.it als eigenständigen Verantwortlichen (wie jeweils zutreffend) aufgrund einer geeigneten Rechtsgrundlage.

2.2. Laufzeit. Die Laufzeit der vorliegenden AVV entspricht der Laufzeit des Dienstleistungsvertrags.

3. Auftrags- oder Vertragsdetails

3.1. Art und Zweck der beabsichtigten Datenverarbeitung. Die Art und der Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Kunden sind im Dienstleistungsvertrag genau festgelegt. Gemäß Abschnitt 11.2 der Allgemeinen Geschäftsbedingungen für Startup-Tools verfügbar auf https://www.tokenize.it/saas-terms bleibt der Kunde der Verantwortliche für jegliche Verarbeitung personenbezogener Daten durch Tokenize.it im Zusammenhang mit der Bereitstellung der Dienste. In Bezug auf die Bereitstellung der Dienste ist Tokenize.it Auftragsverarbeiter.

3.2. Die Verpflichtung der vertraglich vereinbarten Auftragsverarbeitung personenbezogener Daten ist ausschließlich innerhalb eines Mitgliedstaates der Europäischen Union (EU) oder innerhalb eines Mitgliedstaates des Europäischen Wirtschaftsraums (EWR) zu erfüllen. Jede Datenübermittlung in ein Land, das weder der EU noch dem EWR angehört, bedarf der vorherigen Zustimmung des Kunden und darf nur erfolgen, wenn die besonderen Bedingungen der Artikel 44 ff. DSGVO erfüllt sind.

3.3. Kategorien personenbezogener Daten. Der Gegenstand der Auftragsverarbeitung personenbezogener Daten im Rahmen der vorliegenden AVV umfasst die folgenden Datenarten/-kategorien:
▪ Personenstammdaten (grundlegende personenbezogene Daten)
▪ Kontaktdaten
▪ grundlegende Transaktionsdaten (Vertrags-/Rechtsbeziehungen, Investition oder Beteiligung am Produkt)

3.4. Kategorien betroffener Personen. Die Kategorien betroffener Personen umfassen:
▪ administrative Benutzer
▪ Investoren

4. Technische und organisatorische Maßnahmen (TOM)

4.1. Wesentliche Anforderungen für TOM. Tokenize.it setzt zur Herstellung der Sicherheit der Verarbeitung gemäß Art. 28 Abs. 3 lit. c) und Art. 32 DSGVO technische und organisatorische Maßnahmen („TOM“) um. Bei den zu ergreifenden Maßnahmen handelt es sich um Datensicherheitsmaßnahmen und Maßnahmen, die ein Schutzniveau gewährleisten, das dem Risiko hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme angemessen ist. Zu berücksichtigen sind der Stand der Technik, die Umsetzungskosten, die Art, der Umfang und die Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne des Art. 32 Abs. 1 DSGVO. Die TOM werden in Anlage 1 zur vorliegenden AVV näher beschrieben.

4.2. Weiterentwicklung der TOM. Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. In diesem Zusammenhang darf Tokenize.it alternative geeignete Maßnahmen umsetzen. Dabei darf das Sicherheitsniveau der definierten Maßnahmen nicht gesenkt werden. Wesentliche Änderungen müssen dokumentiert werden.

5. Berichtigung, Einschränkung und Löschung personenbezogener Daten

5.1. Tokenize.it darf keine personenbezogenen Daten, die im Auftrag des Kunden verarbeitet werden, eigenmächtig berichtigen, löschen oder deren Verarbeitung einschränken, sondern ausschließlich nach dokumentierter Anweisung des Kunden.

5.2. Soweit sich eine betroffene Person wegen einer Berichtigung, Löschung oder Einschränkung der Verarbeitung direkt an Tokenize.it wendet, leitet Tokenize.it die Anfrage der betroffenen Person unverzüglich an den Kunden weiter.

6. Qualitätssicherung und sonstige Pflichten von Tokenize.it
Zusätzlich zur Einhaltung der in der vorliegenden AVV festgelegten Regelungen hält Tokenize.it die gesetzlichen Anforderungen ein, die in den Artikeln 28 bis 33 DSGVO enthalten sind. Dementsprechend stellt Tokenize.it insbesondere die Einhaltung folgender Anforderungen sicher:

6.1. Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b), Art. 29 und Art. 32 Abs. 4 DSGVO. Tokenize.it betraut nur solche Mitarbeiter mit der in der vorliegenden AVV beschriebenen Verarbeitung, die zur Vertraulichkeit verpflichtet und zuvor mit den für ihre Arbeit maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden. Ist die Verarbeitung nicht durch Unionsrecht oder das Recht der Mitgliedstaaten vorgeschrieben, dem der Auftragsverarbeiter unterliegt, darf Tokenize.it bzw. jede Person, die mit Ermächtigung durch Tokenize.it handelt und Zugang zu personenbezogenen Daten hat, jene personenbezogenen Daten ausschließlich auf Anweisung des Kunden verarbeiten (dazu zählen auch die in der vorliegenden Vereinbarung gewährten Befugnisse). Ist die Verarbeitung durch Unionsrecht oder das Recht der Mitgliedstaaten vorgeschrieben, benachrichtigt der Auftragsverarbeiter den Verantwortlichen in jenem Fall vor der Verarbeitung über die betreffende Rechtsvorschrift, sofern das betreffende Recht eine derartige Benachrichtigung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

6.2. Umsetzung und Einhaltung der TOM. Tokenize.it hält sämtliche für die vorliegende AVV erforderlichen TOM gemäß Art. 28 Abs. 3 S. 2 lit. c) und Art. 32 DSGVO ein (Einzelheiten dazu in Abschnitt 4 und Anlage 1).

6.3. Zusammenarbeit mit Aufsichtsbehörden. Der Kunde und Tokenize.it arbeiten bei der Erfüllung ihrer Aufgaben auf Verlangen mit der Aufsichtsbehörde zusammen.

6.4. Informationen über Untersuchungen. Der Kunde ist unverzüglich über sämtliche durch die Aufsichtsbehörde durchgeführten Überprüfungen und Maßnahmen zu informieren, sofern diese mit der vorliegenden AVV zusammenhängen. Dies gilt auch, soweit Tokenize.it Gegenstand einer Untersuchung durch ist oder Beteiligte einer Untersuchung durch eine zuständige Behörde im Zusammenhang mit Verstößen gegen zivil- oder strafrechtliche Bestimmungen oder eine Verwaltungsanordnung oder -vorschrift in Bezug auf die Verarbeitung personenbezogener Daten im Zusammenhang mit der Erfüllung der vorliegenden AVV.

6.5. Unterstützung des Kunden. Soweit der Kunde Gegenstand einer Überprüfung durch die Aufsichtsbehörde oder an einer Ordnungswidrigkeit oder einem Strafverfahren beteiligt ist, einem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem sonstigen Anspruch im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der vorliegenden AVV durch Tokenize.it ausgesetzt ist, wird Tokenize.it sämtliche zumutbaren Anstrengungen unternehmen, um den Kunden zu unterstützen.

6.6. Fortlaufende Überwachung der Prozesse. Tokenize.it überwacht regelmäßig die internen Prozesse und die TOM, um sicherzustellen, dass die Verarbeitung innerhalb des Verantwortungsbereichs von Tokenize.it den Anforderungen des geltenden Datenschutzrechts und dem Schutz der Betroffenenrechte entspricht.

7. Unterauftragsverarbeitung

7.1. Unter „Unterauftragsverarbeitung“ im Sinne der vorliegenden AVV sind Dienstleistungen zu verstehen, die direkt mit der Bereitstellung des Hauptdienstes verbunden sind. Hiervon ausgenommen sind Nebenleistungen wie Telekommunikationsdienstleistungen, Post-/Transportdienstleistungen, Wartungsleistungen und Supportleistungen für Nutzer oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Gewährleistung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen.

7.2. Vertragliche Absicherungen. Tokenize.it ist jedoch verpflichtet, auch bei ausgelagerten Nebenleistungen angemessene und rechtsverbindliche vertragliche Vereinbarungen zu treffen und geeignete Prüfmaßnahmen zu ergreifen, um den Datenschutz und die Datensicherheit von Kundendaten sicherzustellen.

7.3. Zustimmung des Kunden. Tokenize.it darf Unterauftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher oder dokumentierter Zustimmung des Kunden beauftragen.

7.3.1. Der Kunde stimmt der Beauftragung der in Anlage 2 zur vorliegenden AVV genannten Unterauftragsverarbeiter unter der Bedingung einer vertraglichen Vereinbarung gemäß Artikel 28 Abs. 2 bis 4 DSGVO zu. Tokenize.it wird jene Liste aktuell halten und sicherstellen, dass die Liste dem Kunden zugänglich ist. Der Kunde hat das Recht, die Liste per E-Mail oder Post von Tokenize.it anzufordern.

7.3.2. Der Kunde erteilt Tokenize.it hiermit die grundsätzliche schriftliche Bevollmächtigung, unter der Bedingung einer vertraglichen Vereinbarung gemäß Art. 28 Abs. 2-4 DSGVO weitere als die in Anlage 2 genannten Unterauftragsverarbeiter zu beauftragen. Tokenize.it wird den Kunden unter Einhaltung einer Frist von 14 Tagen über beabsichtigte Änderungen bezüglich des Hinzunehmens oder Ersetzens von Unterauftragsverarbeitern informieren und dem Kunden dabei die Möglichkeit geben, jenen Änderungen zu widersprechen.

7.4. Die Übermittlung personenbezogener Daten vom Kunden an den Unterauftragsverarbeiter und der Beginn der Datenverarbeitung durch den Unterauftragsverarbeiter erfolgen erst, wenn sämtliche Anforderungen erfüllt sind.

7.5. Erbringt der Unterauftragsverarbeiter die vereinbarte Leistung außerhalb der EU/des EWR, stellt Tokenize.it durch geeignete Maßnahmen die Einhaltung der EU-Datenschutzbestimmungen sicher. Entsprechendes gilt, wenn Dienstleister im Sinne der vorstehenden Ziffer 7.1 S. 2 eingesetzt werden sollen.

8. Aufsichtsbefugnisse des Kunden

8.1. Überprüfungen. Der Kunde hat das Recht, nach Rücksprache mit Tokenize.it Überprüfungen durchzuführen oder Überprüfungen durch einen im Einzelfall zu bestimmenden Wirtschaftsprüfer durchführen zu lassen. Er hat das Recht, sich von der Einhaltung des vorliegenden Vertrags seitens Tokenize.it im Geschäftsbetrieb von Tokenize.it mittels Stichprobenkontrollen zu überzeugen. Überprüfungen und Stichprobenkontrollen sind (i) grundsätzlich unter Einhaltung einer Frist von zwei Wochen schriftlich anzukündigen und (ii) auf Antrag von Tokenize.it in Anwesenheit eines Vertreters von Tokenize.it durchzuführen.

8.2. Informationen. Tokenize.it stellt sicher, dass der Kunde in der Lage ist, die Einhaltung der Verpflichtungen von Tokenize.it gemäß Art. 28 DSGVO zu überprüfen. Tokenize.it verpflichtet sich, dem Kunden auf Anfrage die erforderlichen Informationen zu übermitteln und insbesondere die Umsetzung der TOM nachzuweisen.

8.3. Vergütung. Tokenize.it hat das Recht, für die Ermöglichung von Überprüfungen durch den Kunden eine Vergütung zu verlangen.

9. Supportdienstleistungen seitens Tokenize.it

9.1. Tokenize.it unterstützt den Kunden bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO aufgeführten Verpflichtungen in Bezug auf die Sicherheit personenbezogener Daten, Meldepflichten bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen. Dazu gehört:

9.1.1. die Sicherstellung eines angemessenen Schutzniveaus durch TOM, die die Umstände und Zwecke der Verarbeitung sowie die voraussichtliche Wahrscheinlichkeit und Schwere eines möglichen Rechtsverstoßes infolge von Sicherheitslücken berücksichtigen und eine unverzügliche Feststellung relevanter Verstöße ermöglichen;

9.1.2. die Verpflichtung, eine Verletzung des Schutzes personenbezogener Daten unverzüglich dem Kunden zu melden;

9.1.3. die Pflicht, den Kunden in Bezug auf dessen Verpflichtung zu unterstützen, der betroffenen Person Informationen bereitzustellen und dem Kunden unverzüglich sämtliche diesbezüglich relevanten Informationen bereitzustellen;

9.1.4. Unterstützung des Kunden bei dessen Datenschutz-Folgenabschätzung;

9.1.5. Unterstützung des Kunden im Hinblick auf die vorherige Konsultation der Aufsichtsbehörde.

9.2. Tokenize.it darf eine Entschädigung für Supportdienstleistungen verlangen, die nicht im Dienstleistungsplan in Anhang 1 enthalten sind und nicht auf Versäumnisse aufseiten von Tokenize.it zurückzuführen sind.

10. Weisungsbefugnis des Kunden

10.1. Der Kunde hat mündliche Weisungen unverzüglich zu bestätigen (mindestens in Textform).

10.2. Tokenize.it informiert den Kunden unverzüglich, wenn Tokenize.it der Ansicht ist, dass eine Weisung gegen geltende Datenschutzbestimmungen verstößt. Tokenize.it ist dann berechtigt, die Ausführung der betreffenden Weisungen auszusetzen, bis der Kunde sie bestätigt oder ändert.

11. Löschung und Rückgabe personenbezogener Daten

11.1. Kopien oder Duplikate personenbezogener Daten dürfen niemals ohne Wissen des Kunden erstellt werden; davon ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung notwendig sind sowie Daten, die zur Erfüllung behördlicher Anforderungen an die Datenaufbewahrung erforderlich sind.

11.2. Nach Beendigung der beauftragten Arbeiten – oder auf Verlangen des Kunden auch früher (spätestens bei Beendigung des Dienstleistungsvertrags) – hat Tokenize.it sämtliche Dokumente, Verarbeitungs- und Nutzungsergebnisse sowie in ihren Besitz gelangte Datensätze im Zusammenhang mit dem Vertrag datenschutzkonform an den Kunden auszuhändigen oder – unter dem Vorberhalt der vorherigen Zustimmung – zu vernichten. Entsprechendes gilt für sämtliche zugehörigen Test- und Abfallmaterialien sowie überflüssigen und ausgesonderten Materialien. Auf Verlangen ist ein Nachweis der Vernichtung oder Löschung vorzulegen.

11.3. Der Kunde versteht und nimmt zur Kenntnis, dass der Hauptvorteil der Blockchain-Technologie darin besteht, dass Daten nicht mehr geändert oder gelöscht werden können, sobald sie in der Blockchain gespeichert wurden. Dies ist das wichtigste technische Merkmal, das die Blockchain zuverlässig macht und wodurch die Integrität der in die Blockchain eingegebenen Daten gewährleistet wird. Daher erklärt sich der Kunde damit einverstanden, sämtliche autorisierten Benutzer, administrativen Benutzer, Investoren und/oder sonstige betroffene Personen, deren personenbezogene Daten in Zusammenhang mit der Nutzung der Startup-Tools durch den Kunden in der Blockchain gespeichert werden, entsprechend zu informieren. Der Kunde bleibt dafür verantwortlich, bei Bedarf die Zustimmung von betroffenen Personen einzuholen, deren personenbezogene Daten über die Startup-Tools verarbeitet werden.

11.4. Unterlagen, die zum Nachweis einer ordnungsgemäßen Datenverarbeitung gemäß der AVV verwendet werden, werden durch Tokenize.it gemäß den jeweiligen Aufbewahrungsfristen über die Vertragslaufzeit hinaus aufbewahrt. Tokenize.it darf dem Kunden diese Unterlagen am Ende der Vertragslaufzeit aushändigen, um Tokenize.it von dieser vertraglichen Verpflichtung zu befreien.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b) DSGVO)

1.1. Zutrittskontrolle. Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z. B.: Zutrittskontrollkonzept, Magnet- oder Chipkarten, Schlüssel, elektronische Türöffner, Gebäudesicherheitsdienste und/oder Haussicherheitspersonal, Alarmanlagen, Video-/CCTV-Systeme;

1.2. Elektronische Zutrittskontrolle. Keine unbefugte Nutzung der Datenverarbeitungs- und Datenspeichersysteme, z. B.: (sichere) Passwörter, automatische Sperr- und Schließmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern/Speichermedien;

1.3. Interne Zugriffskontrolle (Berechtigungen für Benutzerrechte zum Zugriff auf Daten und zu Datenänderungen). Kein unbefugtes Lesen, Kopieren, Ändern oder Löschen von Daten innerhalb des Systems, z. B. Berechtigungskonzept für Rechte, bedarfsbasierte Zugriffsrechte, Protokollierung von Systemzugriffsereignissen;

1.4. Pseudonymisierung (Art. 32 Abs. 1 lit. a) DSGVO; Art. 25 Abs. 1 DSGVO). Die Verarbeitung personenbezogener Daten in einer Art/Weise, dass – sofern möglich – die Daten ohne die Hilfe zusätzlicher Informationen keiner bestimmten betroffenen Person zugeordnet werden können, mit der Maßgabe, dass jene zusätzlichen Informationen separat gespeichert werden und geeigneten technischen und organisatorischen Maßnahmen unterliegen.

2. Integrität (Art. 32 Abs. 1 lit. b) DSGVO)

2.1. Datenweitergabekontrolle. Kein unbefugtes Lesen, Kopieren, Ändern oder Löschen von Daten bei elektronischer Übertragung oder Übermittlung, z. B.: durch Unternehmen bereitgestelltes Gerät mit vollständig verschlüsselter Festplatte, Umsetzung von Regeln für die Behandlung von Daten;

2.2. Dateneingabekontrolle. Überprüfung, ob und durch wen personenbezogene Daten in ein Datenverarbeitungssystem eingegeben, geändert oder gelöscht werden, z. B.: Protokollierung, Dokumentenmanagement.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b) DSGVO)

3.1. Verfügbarkeitskontrolle. Verhinderung von versehentlichen oder vorsätzlichen Vernichtungen bzw. Verlusten, z. B.: Backup-Strategie (online/offline, vor Ort/extern), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldeverfahren und Notfallplanung;

3.2. Schnelle Wiederherstellung (Art. 32 Abs. 1 lit. c), Art. 32 Abs. 1 lit. c) DSGVO), z. B.: Aufbewahrung von Daten an einem sicheren, ausgelagerten Ort, Aufzeichnung und Speicherung von Transaktionsinformationen in anonymisierter Form in Blockchain-Netzwerken.

4. Verfahren zur regelmäßigen Prüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d) DSGVO; Art. 25 Abs. 1 DSGVO)

4.1. Datenschutzmanagement;

4.2. Vorfallsreaktions-Management;

4.3. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO).

4.4. Vertragskontrolle. Keine Datenverarbeitung durch Dritte gemäß Art. 28 DSGVO ohne entsprechende Weisungen des Kunden, z. B.: klare und eindeutige vertragliche Vereinbarungen, formalisiertes Auftragsmanagement, strenge Kontrollen bei der Auswahl des passenden Dienstleisters, Pflicht zur Vorabevaluierung, Nachkontrollen durch Aufsichtsbehörden.

Anlage 2 – Liste der Unterauftragsverarbeiter

Der Kunde hat Kenntnis von der Beauftragung der folgenden Unterauftragsverarbeiter unter der Bedingung einer vertraglichen Vereinbarung gemäß Art. 28 Abs. 2-4 DSGVO und stimmt dieser zu:

AWS - Amazon Web Services EMEA SARL (Niederlassung Deutschland), Regionalbüro Deutschland, Ankerstraße 110117 Berlin, Deutschland (Webhosting und Datenbank)

SendGrid - Twilio Ireland Limited, 70 Sir John Rogerson‘s Quay, Dublin 2, D02 R296 Irland (API-getriggerte E-Mail-Benachrichtigungen)

Cloudflare - Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (Spam-Schutz)