Rechtszentrum

Choco bietet eine mobile Anwendung und ein webbasiertes Tool (zusammen „die App") an, die die Kommunikation und das Auftragsmanagement zwischen

gewerbliche Kunden aus dem Gastronomie-, Getränke- und Lebensmittelbereich, wie z. B. Restaurants, (im Folgenden "Käufer") und ihren Lieferanten („Lieferanten") erleichtern sollen. Diese Datenschutzerklärung beschreibt, wie Choco Communications DACH GmbH, Wrangelstraße 100, 10997 Berlin, Deutschland und Choco Communications GmbH, mit Sitz in der Wrangelstraße 100, 10997 Berlin, Deutschland, die beide per E-Mail unter legal@choco.com kontaktiert werden können (zusammen „Choco", „wir", „uns"), personenbezogene Daten im Zusammenhang mit der Nutzung der App als gemeinsam Verantwortliche erheben, nutzen, verarbeiten und weitergeben.

Die auf die Verarbeitung personenbezogener Daten anwendbaren Gesetze sind (i) die EU-Verordnung 2016/679 (nachfolgend „DSGVO"), (ii) alle Gesetze oder Verordnungen, mit denen die DSGVO ratifiziert, umgesetzt, angenommen, ergänzt oder ersetzt wird, (iii) alle Gesetze und Verordnungen, die zur Umsetzung der EU-Richtlinie 2002/58/EG (in der Fassung von 2009/136/EG) erlassen wurden, und (iv) in Deutschland das Telekommunikations- Telemedien-Datenschutz-Gesetz (nachfolgend "TTDSG"); und zwar jeweils in ihrer von Zeit zu Zeit aktualisierten, geänderten oder ersetzten Fassung. Die Begriffe „betroffene Person", „personenbezogene Daten", „Verarbeitung", „Auftragsverarbeiter", „gemeinsamer Verantwortlicher" und „Verantwortlicher" haben die in der DSGVO festgelegte Bedeutungen.

Anwendungsbereich

Choco stellt die App und die damit verbundenen Dienste für seine Käufer- und Lieferantenkunden (zusammenfassend „Kunden") bereit. Die betroffenen Personen im Sinne der DSGVO können nur als Endnutzer dieser Kunden („Nutzer" oder “Sie, Ihr”) die App nutzen oder von den Diensten von Choco profitieren. Bei der Bereitstellung der App und der Dienste für unsere Kunden verarbeitet Choco Ihre personenbezogenen Daten als Auftragsverarbeiter im Namen des jeweiligen Kunden gemäß dessen Anweisungen. Wenn Sie beispielsweise im Namen eines Käufers eine Bestellung an einen Lieferanten senden, verarbeiten wir Ihre Daten im Auftrag des betreffenden Käufers. Unsere Kunden sind für die Einhaltung der Datenschutzverpflichtungen verantwortlich, z.B. dafür, Sie über die Verwendung Ihrer personenbezogenen Daten im Zusammenhang mit den von uns in ihrem Auftrag durchgeführten Verarbeitungstätigkeiten zu informieren. Weitere Informationen finden Sie in den Datenschutzrichtlinien der jeweiligen Kunden. Diese Datenschutzrichtlinie gilt ausschließlich für Fälle, in denen wir bei der Verarbeitung der personenbezogenen Daten der Nutzer als Verantwortlicher auftreten.

A. Informationen, die wir sammeln

1. Von Ihnen bereitgestellte Informationen

Informationen zum Konto

Bei der Erstellung eines Kontos werden Sie aufgefordert, obligatorische Informationen anzugeben, z. B. Ihren Vor- und Nachnamen, Ihre E-Mail-Adresse, Ihre Telefonnummer und den Namen des Unternehmens, für das Sie arbeiten oder das Sie vertreten. Wenn Sie diese Informationen nicht angeben, können Sie kein Konto zur Nutzung der App erstellen. Sie können in Ihrem Profil zusätzliche Informationen angeben, z. B. ein Profilbild und Ihren Titel im Unternehmen.

Kommunikation mit Choco

Sie können aus verschiedenen Gründen mit uns kommunizieren. Sie können ein Kontaktformular ausfüllen, unseren Kundendienst kontaktieren, eine Umfrage ausfüllen, an einem Nutzerinterview teilnehmen oder auf andere Weise mit uns interagieren. Wir können diese Kommunikation aufzeichnen, einschließlich aller Informationen, die Sie uns während solcher Interaktionen zur Verfügung stellen. Diese Mitteilungen können zu verschiedenen Zwecken verarbeitet werden, wie in Abschnitt B "Wie verwenden wir Ihre Daten" näher beschrieben.

Transaktionsdaten

Wir erhalten Transaktionsdaten, wenn Sie Aktionen in unserer App durchführen, wie z. B. das Datum und die Uhrzeit der Bestellungen, die Sie im Namen eines Kunden aufgeben, Artikel, die Sie zu Teambestellungen hinzugefügt haben oder Lieferprüfungen, die Sie durchführen. Wir verwenden Transaktionsdaten, um unseren Kunden die Funktionalitäten unserer App zur Verfügung zu stellen.

Andere von Ihnen übermittelte Informationen

Wenn Sie die App nutzen, können Sie verschiedene Informationen eingeben, verwalten und bearbeiten. Zu diesen Informationen gehören insbesondere Ihre Kommunikation mit anderen Benutzern, aber auch andere Informationen, die Sie hochladen, wie z. B. Bilder und Kontakten. Wir verwenden diese Informationen, um unseren Kunden als Auftragsverarbeiter die Funktionen unserer App zur Verfügung zu stellen.

In einigen Fällen werden Sie möglicherweise um Ihre ausdrückliche Erlaubnis gebeten, bevor wir auf Ihre Informationen zugreifen.

• Kamera-Zugang: Sie können den Kamerazugriff aktivieren, um Bilder direkt von Ihrem Telefon in die App hochladen zu können. Hierfür benötigen wir Ihre Erlaubnis, auf Ihre Kamera und die in Ihrem Kameraalbum gespeicherten Medieninhalte zuzugreifen. Dieser Zugriff ist für die Nutzung der App nicht zwingend erforderlich, kann aber Ihre Kommunikation und den Bestellvorgang erleichtern. Dieser Zugriff basiert auf Ihrer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Einwilligung ist freiwillig und kann gemäß Artikel 7 Absatz 3 der DSGVO jederzeit widerrufen werden.
• Zugang zur Kontaktliste: Sie haben auch die Möglichkeit, Teammitglieder zu Ihrem Konto hinzuzufügen, indem Sie deren Kontaktinformationen manuell oder direkt aus der Kontaktliste auf Ihrem Telefon hinzufügen. Für die zweite Option benötigen wir Ihre Erlaubnis, auf Ihre Kontaktliste zuzugreifen. Dieser Zugriff ist für die Nutzung der App nicht zwingend erforderlich. Wenn Sie uns die Erlaubnis erteilen, werden wir auf die Namen und Telefonnummern in Ihrer Kontaktliste zugreifen und sie Ihnen anzeigen. Wir überprüfen auch, ob einer Ihrer Kontakte bereits Choco nutzt und zeigen Ihnen auch diese Informationen an. Wir werden weiterhin auf Ihre Kontaktliste zugreifen, bis Sie Ihre Erlaubnis widerrufen. Wir speichern Ihre Kontaktlisten nicht auf unseren Servern. Wir speichern nur die Informationen (Name und Telefonnummer) Ihrer Kontakte, die bereits Choco-Nutzer sind, und derer, die Sie zur Nutzung von Choco eingeladen haben. Wenn Sie Nutzer einen Käufers sind, können Sie auch die Kontaktdaten des Handelsvertreters Ihres Lieferanten hinzufügen. In diesem Fall gelten die gleichen Bedingungen wie oben. Der Zugang und die beschriebene Verarbeitung beruhen auf Ihrer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Einwilligung ist freiwillig und kann gemäß Artikel 7 Absatz 3 DSGVO jederzeit widerrufen werden.
• Zugang zum Mikrofon: Mit der Sprachbestellfunktion können Sie Bestellungen aufgeben, indem Sie sie direkt auf Ihrem Telefon aufzeichnen. Um diese Funktion zu aktivieren, benötigen wir Ihre Erlaubnis, auf das Mikrofon Ihres Telefons zuzugreifen. Dieser Zugriff ist optional und für die Nutzung der App nicht erforderlich. Wenn Sie Ihre Erlaubnis erteilen, greifen wir nur dann auf das Mikrofon zu, wenn Sie gerade aktiv eine Bestellung aufnehmen. Der Zugang und die beschriebene Verarbeitung beruhen auf Ihrer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Einwilligung ist freiwillig und kann gemäß Artikel 7 Absatz 3 DSGVO jederzeit widerrufen werden.
• Standortzugriff: Wenn Sie die App als Lieferantenmitarbeiter verwenden, können Sie Ihre Leads und Kunden auf einer Karte in der App anzeigen. Die Karte wird über Google Maps API bereitgestellt und die Google-Datenschutzrichtlinie gilt für die Nutzung der Kartenfunktion. Um die relevanten Ergebnisse in Ihrer Nähe anzeigen zu können, benötigen wir Zugriff auf Ihren Standort. Dieser Zugriff ist optional und für die Nutzung der App nicht erforderlich. Wenn Sie Ihre Zustimmung erteilen, greifen wir nur dann auf Ihren Standort zu, wenn Sie die App verwenden. Der Zugang und die beschriebene Verarbeitung beruhen auf Ihrer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Einwilligung ist freiwillig und kann gemäß Artikel 7 Absatz 3 DSGVO jederzeit widerrufen werden.

   2. Automatisch erfasste Informationen

Geräte- und Verbindungsdaten

Wenn Sie unsere App besuchen, sammelt die App automatisch bestimmte Informationen von Ihrem Gerät, wie z. B. die Version des Betriebssystems, Gerätetyp und -hersteller, Zugriffszeiten, Ihre IP-Adresse, Ihren Mobilfunkanbieter, Konfigurationen, Browsertyp, Informationen über die Internetverbindung und auch den allgemeinen Standort auf der Grundlage Ihrer IP-Adresse.

Nutzungsdaten

Wir verwenden automatische Datenerfassungstools wie Cookies, Trackingpixel und ähnliche Technologien, um Informationen darüber zu sammeln, wie Sie mit unserer App und unseren Mitteilungen/E-Mails interagieren. Dazu gehören Informationen wie die Benutzer-ID, die IP-Adresse, die von Ihnen besuchten Seiten und die auf diesen Seiten verbrachte Zeit, die von Ihnen verwendeten Funktionen, Ihre Befehle und andere statistische Informationen in Bezug auf Ihre Nutzung der App.

   3. Informationen, die wir aus anderen Quellen sammeln

Informationen, die von anderen Benutzern und/oder Kunden bereitgestellt werden

Wir können Ihre Kontaktinformationen (wie Name, geschäftliche E-Mail-Adresse, geschäftliche Telefonnummer, Ihr Unternehmen und Titel) von anderen Kunden erhalten, die mit der Organisation, der Sie angehören, kommunizieren möchten. Wir können Ihre Kontaktinformationen auch von Nutzern erhalten, die derselben Organisation angehören wie Sie und die Sie einladen, die App zu nutzen. Wir verwenden diese Informationen in unserer Eigenschaft als Auftragsverarbeiter für unsere Kunden, um Ihnen Mitteilungen zu senden und Sie in deren Namen in die App einzubinden. Der jeweilige Kunde ist jedoch dafür verantwortlich, Sie als Verantwortlicher über diese Aktivitäten zu informieren. Wenn Sie ein Konto erstellen, beginnen wir als Anbieter der App mit der Verarbeitung Ihrer Daten als für die Verarbeitung Verantwortlicher im Einklang mit dieser Datenschutzrichtlinie.

B. Wie verwenden wir Ihre Informationen
 

   1. Zur Bedienung der App

Wir verarbeiten Ihre personenbezogenen Daten für die folgenden Zwecke:

• Betrieb, Hosting und Wartung der App, einschließlich der Überwachung der Leistung des Dienstes, der Fehlersuche und -behebung bei etwaigen Fehlfunktionen,
• Authentifizierung von Benutzern bei der Anmeldung,
• Erkennen, Vorbeugen und Reagieren auf Sicherheitsvorfälle sowie auf böswillige, betrügerische oder illegale Aktivitäten,
• Gewährleistung von Sicherheit, Integrität und Schutz unserer App, unserer Nutzer, Kunden, Mitarbeiter und Dritter.

Die Rechtsgrundlage für die oben aufgeführten Verarbeitungen ist unser berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Buchstabe f DSGVO, die Funktionalität und den fehlerfreien Betrieb der App sicherzustellen und die Nutzung unserer App zu verwalten.

Kategorien personenbezogener Daten: Accountinformationen, Kommunikation mit Choco, Transaktionsdaten, andere von Ihnen übermittelte Informationen, Geräte- und Verbindungsdaten, Nutzungsdaten
 

   2. Um die Beziehung zu unseren Kunden zu verwalten

Wir verarbeiten Ihre personenbezogenen Daten, um die Beziehungen zu unseren Kunden zu verwalten, z. B. für die Rechnungsstellung, die Kontoverwaltung und die Durchsetzung der Bedingungen der Vereinbarung zwischen den Kunden und Choco.

Die Rechtsgrundlage für diese Verarbeitung ist unser berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Buchstabe f DSGVO an der Verwaltung und Pflege der Beziehung zu unseren Kunden.

Kategorien personenbezogener Daten: Accountinformationen, Kommunikation mit Choco, Transaktionsdaten, andere von Ihnen übermittelte Informationen, Geräte- und Verbindungsdaten, Nutzungsdaten

   3. Um Ihre Nutzung der App zu unterstützen und um mit Ihnen zu kommunizieren

Wir verwenden Ihre personenbezogenen Daten, um Ihre Fragen und Anfragen zu beantworten und Sie zu unterstützen. Wir können diese Kommunikation aufzeichnen, einschließlich aller Informationen, die Sie uns während solcher Interaktionen zur Verfügung stellen. Wir können diese Informationen verwenden, um unsere Kundensupportprozesse zu verbessern.

Wir verwenden Ihre personenbezogenen Daten auch, um Ihnen technische oder rechtliche Hinweise, Aktualisierungen, Sicherheitsmitteilungen oder andere Nachrichten zu senden, die den Betrieb der App oder die Verwaltung Ihres oder des Kundenkontos betreffen. Wir verwenden automatisch erfasste Informationen über Ihre Interaktionen mit unseren Mitteilungen, um unsere Mitteilungen an Sie zu verbessern. Einige dieser Mitteilungen können in Form von Push-Benachrichtigungen gesendet werden. Sie können Push-Benachrichtigungen in den Einstellungen Ihres Mobilgeräts deaktivieren.

Die Rechtsgrundlage für diese Verarbeitung ist unser berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Buchstabe f DSGVO, auf Ihre Anfragen zu antworten und Sie über die Funktionsweise der App zu informieren.

Kategorien personenbezogener Daten: Accountinformationen, Kommunikation mit Choco, Transaktionsdaten, andere von Ihnen übermittelte Informationen, Geräte- und Verbindungsdaten, Nutzungsdaten

   4. Um unsere Dienstleistungen zu verbessern

Um unsere App und Ihr Nutzererlebnis zu verbessern, verwenden wir Tools zur statistischen Erfassung und Analyse des allgemeinen Nutzungsverhaltens. Wir sammeln Informationen über Ihre In-App-Aktivitäten und Ihre Beteiligung an den über unsere App gesendeten Mitteilungen. Wir erstellen und analysieren statistische Informationen darüber, wie unsere App genutzt wird. Wir können Nutzertrends und Nutzerverhalten analysieren und überwachen, Tests für neue Funktionen durchführen und Fehlerbehebungen vornehmen. Wo es angemessen ist, aggregieren wir die Informationen oder anonymisieren sie.

Rechtsgrundlage ist unser berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Buchstabe f DSGVO an der Verbesserung der Funktionen und Leistung unserer App und der Sicherstellung ihrer Funktionalität.

Wir können Sie kontaktieren, um Sie nach Ihrer Meinung zu unserer App zu fragen oder um Sie zu bitten, an einer Nutzerumfrage teilzunehmen. Rechtsgrundlage für die Kontaktaufnahme zu diesem Zweck ist unser berechtigtes Interesse an der Verbesserung der Funktionen unserer App. Ihre Teilnahme an einer Nutzerumfragebasiert auf Ihrer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO. Wir können auch Ihre Kommunikation mit uns nutzen, wie z. B. Ihr Feedback zur Verbesserung unserer App.

Kategorien personenbezogener Daten: Accountinformationen, Kommunikation mit Choco, Transaktionsdaten, andere von Ihnen übermittelte Informationen, Geräte- und Verbindungsdaten, Nutzungsdaten
 

   5. Zur Erfüllung gesetzlicher Verpflichtungen und zur Verteidigung unserer Rechte

Wir können Ihre personenbezogenen Daten verwenden, um unsere gesetzlichen Anforderungen zu erfüllen, z.B. um Aufzeichnungen über Zahlungen zu Buchhaltungszwecken zu führen. Die Rechtsgrundlage für diese Verarbeitung ist Artikel 6 Absatz 1 Buchstabe c DSGVO. Wir können Ihre Daten auch auf der Grundlage unseres berechtigten Interesses im Sinne von Artikel 6 Absatz 1 Buchstabe f DSGVO verarbeiten, um unsere Rechte im Falle von Rechtsstreitigkeiten zu verteidigen.

Kategorien personenbezogener Daten: Accountinformationen, Kommunikation mit Choco, Transaktionsdaten, andere von Ihnen übermittelte Informationen, Geräte- und Verbindungsdaten, Nutzungsdaten, Kontaktdaten

6. Um Werbungen zu zeigen

Wir können Ihnen in unserer App Werbung von Lebensmittelherstellern und anderen Drittanbietern anzeigen, die für Kunden relevant sein können, in deren Auftrag Sie die App nutzen. Diese Werbungen sind nicht personalisiert – als B2B-App betreiben wir keine personalisierte oder verhaltensbasierte Werbung.

Wir können Ihre personenbezogenen Daten (z. B. Klicks) erfassen und verwenden, um die Werbungen anzuzeigen und Werbeleistung zu messen. Wir können Berichte über die Werbeleistung an die Werbetreibenden weitergeben. Diese Berichte enthalten jedoch nur aggregierte und nicht identifizierbare Daten und keine personenbezogenen Daten.

Wir geben Ihre personenbezogenen Daten unter keinen Umständen an Dritte wie Werbenetzwerke, Social-Media-Plattformen, Ad-Serving-Unternehmen oder Datenbroker weiter. Wir verfolgen Sie auch nicht über Websites oder Apps von Drittanbietern.

Die rechtliche Grundlage für diese Verarbeitung ist unser berechtigtes Interesse an der Monetarisierung der App und der Verbesserung der Benutzererfahrung sowie das berechtigte Interesse unserer Kunden, relevante Produkte und Angebote zu entdecken. Sie können jederzeit von Ihrem Recht Gebrauch machen, dieser Verarbeitung zu widersprechen.

Einige Anzeigen können Links zu Websites Dritter enthalten. Wir sind nicht für die Datenschutzpraktiken dieser Websites verantwortlich.

Kategorien personenbezogener Daten: Accountinformationen, Geräte- und Verbindungsdaten, Nutzungsdaten.

C. Bereitstellung von Dienstleistungen für unsere Kunden

Wir verarbeiten Ihre personenbezogenen Daten, um unseren Kunden als Auftragsverarbeiter Dienstleistungen und Funktionen unserer App zur Verfügung zu stellen. Wir haben keine Kontrolle darüber, wie die Nutzer die App nutzen. Wir verarbeiten personenbezogene Daten nur in ihrem Namen, um ihre Anweisungen auszuführen. So können wir beispielsweise Ihre Kontaktinformationen verarbeiten, um Ihnen eine Nachricht von einem Anbieter zukommen zu lassen oder Sie einzuladen, die App im Namen eines Anbieters zu nutzen. Kundenadministratoren sind für die Verwaltung des Zugriffs auf das Konto ihrer Organisation verantwortlich, einschließlich der Änderung der Zugriffsrechte von Benutzern, falls erforderlich. Weitere Informationen finden Sie in den Datenschutzrichtlinien unserer Kunden.

Kategorien personenbezogener Daten: Accountinformationen, Transaktionsdaten, andere von Ihnen übermittelte Informationen, Nutzungsdaten

D. Cookies und andere Tracking-Technologien

Wir verwenden Tracking-Technologien wie Cookies, Pixel und andere ähnliche Technologien, um automatisch Informationen zu sammeln, wenn Sie die App nutzen oder wenn Sie mit Mitteilungen interagieren, die wir Ihnen senden oder die von anderen Nutzern über die App gesendet werden. Die mit diesen Tools erfassten Daten werden in Abschnitt A. 2 über automatisch erfasste Informationen beschrieben.

Einige dieser Tools sammeln Informationen vom Endgerät, um die Grundfunktionen unserer App zu ermöglichen. Diese werden als wesentliche Tools bezeichnet und dienen dazu, die Sicherheit und Stabilität unserer App zu gewährleisten, Missbrauch zu verhindern und böswillige Aktivitäten zu erkennen. Ohne diese Tools könnten wir unsere App nicht anbieten. Einige dieser Tools werden für die statistische Erfassung und Analyse des allgemeinen Nutzerverhaltens auf der Grundlage von Zugriffsdaten verwendet, um zu verstehen und zu untersuchen, wie unsere Nutzer mit unserer App interagieren, um unsere App bereitzustellen, zu aktualisieren und zu verbessern.

E. Wie wir Ihre Informationen weitergeben

Wir können Ihre personenbezogenen Daten an die folgenden Kategorien von Empfängern weitergeben.

1. Choco-Gruppe

Choco teilt Infrastruktur, Systeme und Technologie mit anderen Unternehmen, die der Choco Communications GmbH ("Choco Gruppe") gehören oder von ihr betrieben werden. Wir können personenbezogene Daten innerhalb der Choco-Gruppe weitergeben, um unsere Dienste bereitstellen und verbessern zu können und unser Geschäft zu betreiben. Andere Unternehmen innerhalb der Choco Gruppe fungieren in diesem Fall als unsere Dienstleister (Auftragsverarbeiter) und werden Ihre personenbezogenen Daten gemäß unseren Anweisungen verarbeiten. 

2. Unsere Dienstleistungsanbieter

Wir teilen Ihre personenbezogenen Daten mit unseren beauftragten Dienstleistern, die uns bei der Bereitstellung, Unterstützung und Verbesserung unserer Dienste und der App unterstützen und Ihre personenbezogenen Daten in unserem Namen verarbeiten. Zu diesen Drittanbietern gehören Hosting-Provider, IT-Tools und -Dienste, operative Dienste, CRM- und Kommunikations-Tools, Cybersecurity-Dienste und die Tools, die wir für die statistische Erfassung und Analyse des allgemeinen Nutzungsverhaltens auf unserer App und unseren Diensten verwenden - eine vollständige Liste finden Sie hier.

Diese Dienstleister sind (gesetzlich und vertraglich) in ihren Möglichkeiten, Ihre personenbezogenen Daten zu nutzen, eingeschränkt. Durch den Abschluss von Auftragsverarbeitungsverträgen mit diesen Dienstleistern stellen wir sicher, dass sie Datenschutz- und Sicherheitsverpflichtungen unterliegen, die mit dieser Datenschutzerklärung und den geltenden Gesetzen im Einklang stehen.

3. Zuständige Behörden und berechtigte Dritte

Wir sind verpflichtet, Ihre personenbezogenen Daten offenzulegen, um einer gesetzlichen Verpflichtung oder einem rechtmäßigen Ersuchen einer Regierung oder einer Strafverfolgungsbehörde nachzukommen. Eine Offenlegung der personenbezogenen Daten ist dadurch gerechtfertigt, dass die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der wir gemäß Artikel 6 Absatz 1 Buchstabe c DSGVO in Verbindung mit den nationalen Rechtsvorschriften über die Weitergabe von Daten an Strafverfolgungsbehörden und andere Aufsichtsbehörden unterliegen.

Wir können Ihre personenbezogenen Daten an Dritte weitergeben, um die Nutzungsbedingungen der App oder andere Vereinbarungen, die wir mit Ihnen oder unseren Kunden getroffen haben, durchzusetzen; um unsere Rechte oder die Rechte Dritter zu schützen oder zu verteidigen; um illegale Aktivitäten zu verhindern oder auf Rechtsansprüche zu reagieren. Jegliche Offenlegung der personenbezogenen Daten ist durch die Tatsache gerechtfertigt, dass wir ein berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Buchstabe f DSGVO haben, die Rechte, das Eigentum und die Sicherheit von Choco, unseren Kunden und Dritten zu schützen oder zu verteidigen.

4. Umstrukturierung des Unternehmens

Im Rahmen der Weiterentwicklung unseres Geschäfts kann sich die Struktur unseres Unternehmens durch Änderung der Rechtsform, Gründung, Erwerb oder Übertragung von Tochtergesellschaften, Unternehmensteilen oder Komponenten ändern. Wir können Ihre personenbezogenen Daten an Dritte weitergeben, wenn wir an einer tatsächlichen oder geplanten Fusion, Übernahme, Finanzierung, einem Konkurs, dem Verkauf aller oder eines Teils unserer Vermögenswerte oder einer Umstrukturierung beteiligt sind. Eine angemessene und verhältnismäßige Weitergabe personenbezogener Daten im zulässigen Umfang ist dadurch gerechtfertigt, dass wir ein berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Buchstabe f DSGVO daran haben, unsere Unternehmensform gegebenenfalls an die wirtschaftlichen und rechtlichen Gegebenheiten anzupassen.
 

5. Informationen, die Sie mit anderen Nutzern teilen

Sie können Ihre persönlichen Daten (wie z. B. Ihren Vor- und Nachnamen und Ihre Kontaktinformationen) mit anderen Nutzern teilen, mit denen Sie sich aus freien Stücken entschieden haben, über die App zu kommunizieren und/oder Ihre Bestellungen aufzugeben. Wie bei jeder anderen Kommunikationsplattform können Nutzer, die sich im selben Chat wie Sie befinden, Ihre Kontaktinformationen sehen, einschließlich der Nutzer des anderen Unternehmens in Ihrem Chat. Die Verarbeitung im Rahmen dieses Kapitels erfolgt in unserer Eigenschaft als Auftragsverarbeiter auf der Grundlage der Anweisungen des Kunden als Verantwortlicher.

F. Datenübermittlung an Drittländer

Einige der Empfänger können sich in Ländern außerhalb des Europäischen Wirtschaftsraums befinden, die nach Ansicht der zuständigen Aufsichtsbehörde in Ihrem Wohnsitzland keinen angemessenen Schutz bieten.

Wann immer wir personenbezogene Daten in diese Länder übermitteln, ergreifen wir geeignete Maßnahmen, die durch die Datenschutzgesetze vorgeschrieben sind. Zu diesen Maßnahmen gehört der Abschluss von Standardvertragsklauseln mit internationalem Datenübertragungszusatz oder internationalen Datenübertragungsvereinbarungen, die vom europäischen Parlament gebilligt wurden und den Empfängern höhere Standards für den Schutz personenbezogener Daten auferlegen. Erforderlichenfalls führen wir auch eine Folgenabschätzung für die Übermittlung durch, um sicherzustellen, dass die Rechte der betroffenen Personen nicht beeinträchtigt werden.

Wo dies nicht möglich ist, stützen wir die Datenübermittlung auf Ausnahmen nach Art. 49 DSGVO, insbesondere Ihre ausdrückliche Einwilligung oder die Erforderlichkeit der Übermittlung für die Erfüllung des Vertrages oder für die Durchführung vorvertraglicher Maßnahmen. Ist eine Übermittlung in ein Drittland geplant und liegen kein Angemessenheitsbeschluss oder geeignete Garantien vor, besteht die Möglichkeit und das Risiko, dass Behörden des jeweiligen Drittlandes (z.B. Geheimdienste) Zugriff auf die übermittelten Daten erhalten, um diese zu erheben und auszuwerten, und dass die Durchsetzbarkeit Ihrer Rechte als Betroffener nicht gewährleistet ist. Bei der Einholung Ihrer Einwilligung über das Einwilligungsbanner werden Sie auch hierüber informiert.

G. Ihre Rechte als betroffene Person

Als betroffene Person haben Sie die folgenden Rechte:

• Recht auf Zugang zu den personenbezogenen Daten, die wir über Sie gespeichert haben,
• Recht auf Berichtigung der personenbezogenen Daten, die wir über Sie gespeichert haben,
• Recht auf Löschung Ihrer personenbezogenen Daten unter bestimmten, in den Datenschutzgesetzen (Art. 17 DSGVO) festgelegten Umständen,
• Recht auf Einschränkung der Verarbeitung Ihrer personenbezogenen Daten unter bestimmten, in Artikel 18 DSGVO genannten Umständen,
• Recht auf Widerspruch gegen die Verarbeitung, wenn die Verarbeitung auf unseren berechtigten Interessen beruht,
• Recht auf Übermittlung Ihrer Daten an einen Dritten (Recht auf Datenübertragbarkeit);
• das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht, und
• Recht auf Widerruf Ihrer Einwilligung, wenn die Datenverarbeitung auf Ihrer Einwilligung beruht.

Bitte beachten Sie, dass das Recht, Ihre Einwilligung zu widerrufen, die Rechtmäßigkeit der Verarbeitung vor Ihrem Widerruf nicht berührt.

Ihre Anfragen zur Geltendmachung von Betroffenenrechten und unsere Antworten darauf werden zu Dokumentationszwecken für einen Zeitraum von bis zu drei (3) Jahren und in Einzelfällen für längere Zeiträume zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO aufbewahrt, was auf unserem berechtigten Interesse an der Abwehr von Ansprüchen und der Vermeidung von Bußgeldern beruht.

Wenn Sie Fragen, Kommentare oder Beschwerden über unseren Umgang mit Ihren personenbezogenen Daten haben oder wenn Sie Ihre Rechte als Betroffener ausüben möchten, wenden Sie sich bitte an das Choco Legal Team unter folgenden Kontaktdaten: legal@choco.com.

Sie können den Datenschutzbeauftragten auch unter der unten angegebenen Postadresse erreichen (Stichwort: "Zu Händen des Datenschutzbeauftragten von Choco"):

ISiCO Datenschutz GmbH, Am Hamburger Bahnhof 4, 10557 Berlin

Als betroffene Person haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung verstößt. Die für die Verarbeitung personenbezogener Daten durch Choco in Deutschland zuständige Datenschutzbehörde ist die Bundesbeauftragte für Datenschutz, siehe diesen Link und die Berliner Beauftragte für Datenschutz und Informationsfreiheit, siehe diesen Link.

Wenn Sie Ihre Rechte in Bezug auf personenbezogene Daten ausüben möchten, die Choco als Auftragsverarbeiter im Namen seiner Kunden verarbeitet, richten Sie Ihre Anfrage bitte an den betreffenden Kunden.

H. Datenschutzbeauftragter und Kontaktangaben

Sie können Ihre Datenschutzanliegen gerne an unseren Datenschutzbeauftragten richten, indem Sie eine E-Mail an die oben genannte E-Mail-Adresse senden. Bitte beachten Sie, dass E-Mails an die oben genannte E-Mail-Adresse nicht ausschließlich von unserem Datenschutzbeauftragten empfangen werden, da dies eine allgemeine E-Mail für das Choco Legal Team ist. Wenn Sie sich ausschließlich an unseren Datenschutzbeauftragten wenden und/oder vertrauliche Informationen übermitteln möchten, verweisen Sie bitte in der Betreffzeile oder im Text Ihrer E-Mail auf den Datenschutzbeauftragten und bitten Sie ihn, sich direkt mit Ihnen in Verbindung zu setzen, um Ihre Datenschutzanliegen weiter zu besprechen. Sie können sich auch an den Datenschutzbeauftragten wenden, indem Sie die oben genannte Postanschrift der für die Verarbeitung Verantwortlichen verwenden (Stichwort: "Zu Händen des Datenschutzbeauftragten").

I. Informationen über die gemeinsame Verantwortlichkeit

Die Choco Communications GmbH und die Choco Communications DACH GmbH bestimmen gemeinsam die Zwecke und Mittel der Verarbeitung. Die Choco Communications GmbH ist Ihr Ansprechpartner, wenn Sie Ihre unter Abschnitt E beschriebenen Rechte ausüben möchten. Bitte wenden Sie sich an legal@choco.com, wenn Sie weitere Informationen über den Inhalt einer solchen Vereinbarung zwischen den Parteien wünschen.

J. Dauer der Speicherung

Wir bewahren die personenbezogenen Daten, die wir als für die Verarbeitung Verantwortlicher verarbeiten, so lange auf, wie es zur Erfüllung der Zwecke, für die wir sie verarbeitet haben, erforderlich ist. Danach löschen oder anonymisieren wir Ihre Daten, es sei denn, wir sind gesetzlich verpflichtet, sie länger aufzubewahren, oder sie sind für die Begründung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich. In diesen Fällen werden wir die personenbezogenen Daten nach Ablauf der gesetzlichen Fristen löschen.

K. Sicherheit

Wir setzen verschiedene technische, administrative und organisatorische Maßnahmen ein, um Ihre personenbezogenen Daten vor unbefugtem Zugriff und unrechtmäßiger Verarbeitung, Veränderung oder Zerstörung zu schützen.

L. Hyperlink

Unsere App kann Hyperlinks zu Websites Dritter enthalten. Wenn diese Hyperlinks aktiviert sind, werden Sie von unserer App direkt auf die Webseiten der Drittanbieter weitergeleitet. Dies erkennen Sie u.a. an der sich ändernden URL. Wir können keine Verantwortung für den vertraulichen Umgang mit Ihren Daten auf diesen Drittanbieter-Websites übernehmen und auch nicht dafür, dass diese die Datenschutzgrundverordnung (DSGVO) einhalten, was außerhalb unserer Kontrolle liegt. Bitte informieren Sie sich direkt auf diesen Websites über den dortigen Umgang mit Ihren personenbezogenen Daten.

M. Änderungen an dieser Datenschutzerklärung

Wir halten diese Datenschutzerklärung immer auf dem neuesten Stand. Daher behalten wir uns das Recht vor, sie von Zeit zu Zeit zu aktualisieren oder zu ändern und diese Änderungen bei der Verarbeitung Ihrer personenbezogenen Daten zu berücksichtigen. Wir werden das Datum der letzten Aktualisierung am Anfang der Datenschutzerklärung angeben.

Choco Communications DACH GmbH

Präambel

Diese Auftragsverarbeitungsvereinbarung ("AVV") legt die Datenschutzpflichten und -rechte der Parteien im Zusammenhang mit den personenbezogenen Daten fest, die von Choco als Auftragsverarbeiter im Auftrag des Käufers bei der Erbringung der Dienste gemäß dem Hauptvertrag verarbeitet werden.

Für die Zwecke dieser AVV bedeutet "Datenschutzgesetze" alle anwendbaren Gesetze und Vorschriften in allen relevanten Rechtsordnungen, die sich auf die Verwendung oder Verarbeitung personenbezogener Daten beziehen, einschließlich der EU-Verordnung 2016/679 ("DSGVO"); (ii) alle Gesetze und Verordnungen, die zur Umsetzung der EU-Richtlinie 2002/58/EG (in der durch 2009/136/EG geänderten Fassung) erlassen wurden; und zwar jeweils in der von Zeit zu Zeit aktualisierten, geänderten oder ersetzten Fassung; und die Begriffe "betroffene Person", "Verarbeitung", "Auftragsverarbeiter" und "Verantwortlicher" haben die in den Datenschutzgesetzen festgelegten Bedeutungen. "Personenbezogene Daten" hat die in den Datenschutzgesetzen festgelegte Bedeutung, beschränkt sich jedoch auf personenbezogene Daten, die von Choco als Auftragsverarbeiter im Auftrag des Käufers im Rahmen des Hauptvertrages verarbeitet werden, wie in Anlage 1 dieser AVV weiter unten beschrieben.

1. Gegenstand und Umfang der Beauftragung

1.1 Choco verarbeitet die personenbezogenen Daten, die der Käufer direkt oder indirekt für die Erbringung der Dienste zur Verfügung gestellt hat, ausschließlich im Auftrag und nach den Weisungen des Käufers, es sei denn, das geltende Recht schreibt etwas anderes vor. In einem solchen Fall wird Choco den Käufer vor der Verarbeitung auf diese gesetzlichen Anforderungen hinweisen, es sei denn, das einschlägige Recht verbietet einen solchen Hinweis.

1.2 Die Verarbeitung personenbezogener Daten durch Choco im Auftrag des Käufers ist in Anlage 1 zu dieser AVV spezifiziert.

1.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

1.4 Der Käufer gewährleistet, dass er alle ggf. erforderlichen Einwilligungen eingeholt hat und allen Verpflichtungen nachgekommen ist, die sich aus den Datenschutzgesetzen ergeben, um Choco personenbezogene Daten zur Verfügung zu stellen und die Erhebung personenbezogener Daten durch Choco im Auftrag des Käufers im Rahmen dieser Vereinbarung zu gestatten.

1.5 Der Käufer kann weitere Weisungen über den Umfang der Verarbeitung personenbezogener Daten erteilen. Ist Choco der Ansicht, dass eine Weisung des Käufers gegen diese AVV oder gegen Datenschutzgesetze verstößt, wird Choco den Käufer unverzüglich schriftlich darauf hinweisen. Choco ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Käufer sie schriftlich bestätigt. Besteht der Käufer trotz der von Choco geäußerten Bedenken auf der Ausführung einer Weisung, hat der Käufer Choco von allen Schäden und Kosten freizustellen, die Choco durch die Ausführung der Weisung des Käufers entstehen. Choco wird den Käufer über die gegen Choco geltend gemachten Schäden und die Choco entstandenen Kosten informieren und ohne Zustimmung des Käufers Ansprüche Dritter nicht anerkennen und die Verteidigung nach Wahl von Choco in Abstimmung mit dem Käufer vornehmen oder dem Käufer überlassen.

2. Anforderungen an das Personal

2.1 Choco stellt sicher, dass alle Personen, die durch Choco zum Zugriff auf personenbezogene Daten berechtigt sind, entweder vertraglich zur Vertraulichkeit verpflichtet sind oder bei der Verarbeitung der personenbezogenen Daten einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3. Sicherheit der Verarbeitung

3.1 Choco wird während der gesamten Laufzeit des Hauptvertrages die in Anlage 2 zu dieser AVV aufgeführten technischen und organisatorischen Maßnahmen ("TOM") umsetzen und aufrechterhalten, um ein dem Risiko angemessenes Schutzniveau für die personenbezogenen Daten zu gewährleisten, wobei der Stand der Technik, die Kosten der Umsetzung und, soweit Choco bekannt, die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung der personenbezogenen Daten sowie die unterschiedliche Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen berücksichtigt werden. Choco bewertet regelmäßig die Wirksamkeit der TOM und ergreift gegebenenfalls alternative Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus.

3.2 Es obliegt dem Käufer, die von Choco getroffenen TOM zu überprüfen, insbesondere, ob diese Maßnahmen auch im Hinblick auf Umstände der Datenverarbeitung, die Choco nicht bekannt sind, ausreichend sind.

4. Einsatz von Unterauftragsverarbeitern und Datenübermittlung

4.1 Der Käufer erteilt Choco eine generelle Ermächtigung, bei der Verarbeitung der personenbezogenen Daten die Dienste seiner verbundenen Unternehmen und Unterauftragsverarbeiter in Anspruch zu nehmen.

4.2 Die derzeit von Choco eingesetzten Unterauftragsverarbeiter sind in Anlage 3 zu dieser AVV aufgeführt. Choco erlegt seinen Unterauftragsverarbeitern im Wesentlichen ähnliche Datenschutzverpflichtungen auf, die mindestens das gleiche Schutzniveau bieten als in dieser AVV festgelegt, und bleibt gegenüber dem Käufer für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter im Rahmen dieser AVV verantwortlich.

4.3 Choco aktualisiert die Liste der Unterauftragsverarbeiter in Anlage 3 dieser AVV vor der Inanspruchnahme eines weiteren Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten im Auftrag des Käufers. Wenn der Käufer eine individuelle Benachrichtigung über eine Aktualisierung der Liste der Unterauftragsverarbeiter erhalten möchte, muss er sich zu dem in Anlange 3 zu dieser AVV aufgeführten Benachrichtigungsmechanismus anmelden. Wenn der Käufer nicht innerhalb von 14 Tagen nach der Benachrichtigung durch Choco per E-Mail an legal@choco.com widerspricht, gilt die Inanspruchnahme als genehmigt. Widerspricht der Käufer, ist Choco berechtigt, die Dienste nach seiner Wahl entweder ohne den abgelehnten weiteren Unterauftragsverarbeiter zu erbringen oder den Hauptvertrag zu kündigen.

4.4 Der Käufer ermächtigt Choco, seine verbundenen Unternehmen und seine Unterauftragsverarbeiter, personenbezogene Daten außerhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums ("EWR") zu übermitteln, auf sie zuzugreifen oder sie zu verarbeiten, sofern die Anforderungen für eine solche Übermittlung, einen solchen Zugriff oder eine solche Verarbeitung gemäß den Datenschutzgesetzen eingehalten werden.

5. Rechte der betroffenen Personen

5.1 Unter Berücksichtigung der Art der Verarbeitung der personenbezogenen Daten unterstützt Choco der Käufer mit angemessenen technischen und organisatorischen Maßnahmen, soweit dies möglich ist, um die Verpflichtung des Käufers zu erfüllen, auf Anfragen zur Ausübung der in den Datenschutzgesetzen festgelegten Rechte der betroffenen Person zu reagieren.

5.2 Choco soll insbesondere:

• den Käufer unverzüglich informieren, wenn sich eine betroffene Person direkt an Choco wendet, um ihre Rechte geltend zu machen;
• den Käufer auf dessen Anfrage hin alle Choco zur Verfügung stehenden Informationen über die Verarbeitung der personenbezogenen Daten zur Verfügung stellen, die der Käufer benötigt, um auf die Anfrage einer betroffenen Person zu antworten, und über die er selbst nicht verfügt;
• auf Anweisung des Käufers die personenbezogenen Daten unverzüglich berichtigen, zu löschen oder deren Verarbeitung einschränken, es sei denn, der Käufer ist selbst dazu in der Lage und vorausgesetzt, es ist Choco technisch möglich, dies zu tun;
• den Käufer unterstützen, soweit dies erforderlich ist, um die im Verantwortungsbereich von Choco verarbeiteten personenbezogenen Daten - soweit dies für Choco technisch möglich ist - in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung zu stellen, sofern eine betroffene Person ein Recht auf Datenübertragbarkeit geltend macht.

6. Unterstützungspflichten

6.1 Choco benachrichtigt den Käufer unverzüglich, nachdem von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt wird. Die Benachrichtigung enthält, soweit möglich, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Anzahl der von der Verletzung betroffenen Personen, die wahrscheinlichen Folgen der Verletzung, die von Choco ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes der personenbezogenen Daten und, soweit anwendbar, Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen.

6.2 Choco untersucht die Ursache des Verstoßes und ergreift gegebenenfalls angemessene Maßnahmen, um die möglichen nachteiligen Auswirkungen zu mindern.

6.3 Ist der Käufer verpflichtet, die Aufsichtsbehörden und/oder die betroffenen Personen über die Verletzung des Schutzes personenbezogener Daten zu informieren, so unterstützt Choco den Käufer bei der Erfüllung dieser Verpflichtung unter Berücksichtigung der Art der Verarbeitung und der Choco zur Verfügung stehenden Informationen. Alle zusätzlichen Kosten, die Choco in diesem Zusammenhang entstehen und die über die gesetzlichen Verpflichtungen des Auftragsverarbeiters nach dem anwendbaren Recht hinausgehen, gehen zu Lasten des Käufers.

6.4 Choco benachrichtigt den Käufer von gerichtlichen oder behördlichen Anordnungen, Prozessen oder Verfahren, die den Zugang zu oder die Offenlegung von personenbezogenen Daten verlangen, soweit eine solche Benachrichtigung nicht gesetzlich verboten ist. Ist der Käufer verpflichtet, einer Aufsichtsbehörde Auskunft über die Verarbeitung der personenbezogenen Daten zu erteilen oder anderweitig mit solchen Behörden zusammenzuarbeiten, unterstützt Choco den Käufer bei der Erteilung dieser Auskunft, soweit der Käufer nicht selbst über die Informationen verfügt, und arbeitet in angemessener Weise mit dem Käufer und den Aufsichtsbehörden zusammen, einschließlich der Gewährung der erforderlichen Zugangs-, Informations- und Kontrollrechte an die zuständige Aufsichtsbehörde.

6.5 Choco unterstützt den Käufer in angemessener Weise bei der Erfüllung seiner Pflichten in Bezug auf die Sicherheit der Verarbeitung, die Datenschutz-Folgenabschätzung und die vorherige Konsultation der Aufsichtsbehörden, jeweils unter Berücksichtigung der Art der Verarbeitung und der Choco vorliegenden Informationen. Alle zusätzlichen Kosten, die Choco in diesem Zusammenhang entstehen und die über die nach geltendem Recht vorgesehenen Verpflichtungen des Auftragsverarbeiters hinausgehen, sind vom Käufer zu tragen.

7. Löschung und Rückgabe von Daten

7.1 Nach Beendigung des Hauptvertrages und schriftlicher Aufforderung durch den Käufer wird Choco die personenbezogenen Daten, es sei denn, Choco ist nach geltendem Recht verpflichtet, die personenbezogenen Daten weiterhin zu speichern.

7.2 Einige personenbezogene Daten können in Chocos Backup-Systemen archiviert werden, und solche archivierten personenbezogenen Daten werden in Übereinstimmung mit Chocos Aufbewahrungsrichtlinien gelöscht. Alle in Backups archivierten personenbezogenen Daten werden isoliert und vor jeglicher weiteren Verarbeitung geschützt. Für den Zeitraum, in dem die Daten nach Beendigung des Hauptvertrages gespeichert werden, gelten die Rechte und Pflichten der Parteien im Rahmen dieser AVV weiter.

8. Überprüfungen und Audits

8.1 Choco führt Aufzeichnungen über seine im Auftrag des Käufers durchgeführten Verarbeitungstätigkeiten und stellt dem Käufer auf Anfrage diese Aufzeichnungen oder andere Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der gesetzlichen Verpflichtungen des Auftragsverarbeiters gemäß den Datenschutzgesetzen nachzuweisen.

8.2 Choco wird Audits, einschließlich Vor-Ort-Inspektionen, durch den Käufer oder einen von ihm beauftragten Auditor in Bezug auf die Verarbeitung der personenbezogenen Daten zulassen und dazu beitragen. Die Audits und Vor-Ort-Kontrollen dürfen Choco im normalen Geschäftsbetrieb nicht behindern und keine unangemessene Belastung für Choco darstellen. Insbesondere sollen Vor-Ort-Kontrollen bei Choco ohne besonderen Anlass nicht öfter als einmal pro Kalenderjahr und nur während der üblichen Geschäftszeiten von Choco stattfinden. Der Käufer wird Choco mindestens 30 (dreißig) Tage im Voraus schriftlich oder in Textform über Inspektionen benachrichtigen und Choco in angemessener Weise über den Umfang, die Dauer und den Prüfplan informieren. Der Käufer und Choco werden nach Treu und Glauben zusammenarbeiten und den Umfang, die Dauer und den Beginn der Prüfung einvernehmlich festlegen. Kosten, die Choco für eine Vor-Ort-Prüfung entstehen und die nicht offensichtlich unverhältnismäßig sind, trägt den Käufer. Ein vom Käufer beauftragter Auditor ist ein unabhängiger Auftragnehmer, der nicht in Konkurrenz zu Choco steht und seine Arbeit erst nach Abschluss einer Vertraulichkeitsvereinbarung mit Choco aufnehmen darf.

9. Sonstiges

9.1 Die Haftung der Vertragsparteien und der mit ihnen verbundenen Unternehmen insgesamt, die sich aus dieser AVV ergibt oder damit zusammenhängt, gleich ob aus Vertrag, unerlaubter Handlung oder anderem Grund, unterliegt den Haftungsbeschränkungsbestimmungen des Hauptvertrages.

9.2 Diese AVV, einschließlich ihrer Anlagen, stellt einen integralen Bestandteil des Hauptvertrages zwischen Choco und dem Käufer dar. Im Falle von Widersprüchen zwischen dieser AVV und den Bestimmungen des Hauptvertrages haben die Bestimmungen dieser AVV Vorrang.

9.3 Alle Änderungen und/oder Nebenabreden zu Teilen dieser AVV bedürfen der Schriftform oder Textform. Dies gilt auch für dieses Schriftformerfordernis selbst. Das anwendbare Recht und der Gerichtsstand des Hauptvertrages gelten entsprechend für alle Teile dieser AVV.

Anlage 1 - Beschreibung der Verarbeitung personenbezogener Daten

Anlage 2 - Technische und organisatorische Maßnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen trifft der Choco in seiner Funktion als Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein:

1. Vertraulichkeit

1.1 Zutrittskontrolle

Der Auftragnehmer wird angemessene Maßnahmen treffen, um das Risiko zu reduzieren, dass Unbefugte Zutritt zu Datenverarbeitungssystemen, mit denen die personenbezogenen Daten des Käufers verarbeitet und genutzt werden, erhalten.

Technische Maßnahmen:

• Automatisches Zugangskontrollsystem,
• Kontrolle des Zugangs durch Pförtnerdienste und Alarmsysteme
• Chipkarten / Transpondersysteme

Organisatorische Maßnahmen:

• Schlüsselregelung (Schlüsselabgabe etc.)
• Besucher in Begleitung durch Mitarbeiter
• Sorgfältige Auswahl von Reinigungspersonal

1.2 Zugangskontrolle

Auftragnehmer wird angemessene Maßnahmen treffen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können.Hierzu trifft der Auftragnehmer folgende Vorkehrungen:

Technische Maßnahmen:

• Login mit Benutzername + Passwort
• Verschlüsselung von Smartphones
• Verschlüsselung von Firmen Laptops
• Fernverwaltung von Laptop
• Einsatz von Anti-Viren-Software für Server
• Einsatz von Anti-Virus-Software für Laptops

Organisatorische Maßnahmen:

• Verwalten von Benutzerberechtigungen
• Erstellen von Benutzerprofilen
• Richtlinien für die Nutzung von Firmenhardware
• Allg. Richtlinie Datenschutz und / oder Sicherheit

1.3 Zugriffskontrolle

Der Auftragnehmer wird angemessene Maßnahmen treffen, um sicherzustellen, dass die zur Benutzung der Datenverarbeitungssysteme Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können, und dass personenbezogene Daten des Käufers bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft der Auftragnehmer folgende Vorkehrungen:

Technische Maßnahmen:

• Löschung von Datenträgern auf Notebooks vor Wiederverwendung
• Protokollierung von Zugriffen auf wichtige Dokumente, insbesondere bei der Eingabe, Änderung und Löschung von Daten
• Aktenschredder (mind. Stufe 3, cross cut)

Organisatorische Maßnahmen:

• Erstellen eines Berechtigungskonzepts
• Verwaltung der Rechte durch Systemadministrator
• Reduzierung der Anzahl an Administratoren
• Abgeschlossener Bereich für sensible Dokumente

1.4 Trennungskontrolle

Der Auftragnehmer wird angemessene Maßnahmen treffen, um sicherzustellen, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten des Käufers getrennt verarbeitet werden können. Hierzu trifft der Auftragnehmer folgende Vorkehrungen:

Technische Maßnahmen:

• Getrennte Speicherung auf unterschiedlicher Software

Organisatorische Maßnahmen:

• Erstellung eines Berechtigungskonzepts
• Festlegung von Datenbankrechten

2. Integrität

2.1 Weitergabekontrolle

Der Auftragnehmer wird angemessene Maßnahmen treffen, um das Risiko zu reduzieren, dass personenbezogene Daten des Käufers bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft der Auftragnehmer folgende Vorkehrungen:

Technische Maßnahmen:

• Email-Verschlüsselung
• Protokollierung der Zugriffe und Abrufe wichtiger Dokumente und Daten
• Bereitstellung über verschlüsselte Verbindungen wie sftp, https

2.2 Eingabekontrolle

Der Auftragnehmer wird angemessene Maßnahmen treffen, um sicherzustellen, dass nachträglich geprüft und festgestellt werden kann, ob und von wem personenbezogene Daten des Käufers in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Hierzu trifft der Auftragnehmer folgende Vorkehrungen:

Technische Maßnahmen:

• Möglichkeit der technischen Protokollierung der Eingabe, Änderung und Löschung personenbezogener Daten

Organisatorische Maßnahmen:

• Nachvollziehbarkeit von Eingabe, Änderung und Löschung personenbezogener Daten durch individuelle Benutzernamen
• Aufbewahrung von Formularen, von denen personenbezogene Daten in automatisierte Verarbeitungen übernommen worden sind
• Vergabe von Rechten zur Eingabe, Änderung und Löschung personenbezogener Daten auf Basis eines Berechtigungskonzepts

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

Der Auftragnehmer wird angemessene Maßnahmen treffen, um sicherzustellen, dass personenbezogene Daten des Käufers gegen zufällige Zerstörung oder Verlust geschützt sind. Hierzu trifft der Auftragnehmer folgende Vorkehrungen:

Technische Maßnahmen:

• Feuer- und Rauchmeldeanlagen
• Sorgfältige Auswahl des Hostingdienstleisters

Organisatorische Maßnahmen:

• Regelmäßige Kontrolle des Hostingdiensleisters

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Der Auftragnehmer implementiert Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

4.1 Datenschutz-Management

Organisatorische Maßnahmen:

• Zentrale Dokumentation aller Verfahrensweisen, Regelungen und Richtlinien zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung
• Eine Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird regelmäßig durchgeführt
• Mitarbeiter geschult und auf Vertraulichkeit verpflichtet
• Sensibilisierung der Mitarbeiter durch Schulungen

4.2 Incident-Response-ManagementOrganisatorische Maßnahmen:

• Dokumentation von Sicherheitsvorfällen und Datenpannen
• Regelung zu Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvor-fällen und Datenpannen
• Unterstützung bei der Reaktion auf Sicherheitsverletzungen.
• Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden

4.3 Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO); Privacy by design / Privacy by default

• Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind.

Anlage 3 - Weitere Auftragsverarbeiter

Die Liste der weiteren Auftragsverarbeiter und den Benachrichtigungsmechanismus für neue Auftragsverarbeiter finden Sie unterhttps://legal.choco.com/buyer-subprocessors.