VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG

Letzte Aktualisierung: 11. Oktober 2026

Diese Datenverarbeitungsvereinbarung („DPA“) legt fest, wie DALIBOR GOGIC PR DLBR („DLBR“) personenbezogene Daten für einen Geschäftskunden („Kunden“) verarbeitet, wenn er DLBR-EID-Verifizierungsdienste bereitstellt. Die registrierte Adresse von DLBR ist Laze Kostića 16, 22320 Inđija, Serbien (Registrierungsnummer 66796060; Steueridentifikationsnummer 113398540). Datenschutzkontakt: privacy@dlbr.app. Ziel ist es, die Anforderungen an Auftragsverarbeiterverträge des geltenden Datenschutzrechts zu erfüllen, einschließlich Artikel 28 DSGVO, sofern dieser anwendbar ist.

1. Wann dieses DPA gilt

Diese DPA gilt nur für personenbezogene Daten, die DLBR auf dokumentierte Anweisung des Kunden verarbeitet, um DLBR EID bereitzustellen („Kundendaten“). Bei Verifizierungstransaktionen entscheidet der Kunde, warum und wie eine Person verifiziert wird und ist der Verantwortliche; DLBR verarbeitet die Verifizierungsdaten als Auftragsverarbeiter. Wenn der Kunde selbst Auftragsverarbeiter ist, muss der Kunde über die Befugnis des zuständigen Verantwortlichen verfügen, DLBR als Unterauftragsverarbeiter zu benennen, und die entsprechenden Anweisungen weitergeben.

DLBR fungiert als unabhängiger Verantwortlicher für seine eigene Website, Geschäftskontakte, Kontoverwaltung, Abrechnung und Servicesicherheit, wie in der Datenschutzerklärung beschrieben. Diese Aktivitäten liegen außerhalb dieser DPA.

Diese DPA wird verbindlich, wenn sie ausdrücklich in eine unterzeichnete Vereinbarung, ein Bestellformular oder eine andere rechtsverbindliche schriftliche Aufzeichnung zwischen dem Kunden und DLBR aufgenommen wird. Durch den bloßen Besuch dieser Seite wird DLBR nicht als Auftragsverarbeiter benannt. Die gültige DPA-Version ist die in diesem Datensatz angegebene Version; spätere Änderungen gelten, soweit dies in der Kundenvereinbarung zulässig ist oder wenn beide Parteien ihnen zustimmen.

„Datenschutzgesetze“ bezeichnet die Datenschutzgesetze, die für die Verarbeitung gelten, einschließlich der DSGVO, der britischen DSGVO und des serbischen Gesetzes zum Schutz personenbezogener Daten, soweit anwendbar. Die Kundenvereinbarung regelt den kaufmännischen Bereich und die Haftung. Werden eine Übertragungsvereinbarung oder Standardvertragsklauseln gesondert abgeschlossen, so sind diese im Umfang eines Konflikts über diese Übertragung maßgebend.

2. Anweisungen und Verantwortlichkeiten des Kunden

Der Kunde weist DLBR an, Kundendaten nach Bedarf zu verarbeiten, um den Service bereitzustellen, wie in der Kundenvereinbarung, der Servicekonfiguration des Kunden und weiteren dokumentierten Anweisungen, die von den Parteien vereinbart wurden, beschrieben. DLBR verarbeitet Kundendaten nur auf diese Anweisung hin, auch bei internationalen Übermittlungen, es sei denn, ein für DLBR verbindliches Gesetz schreibt eine andere Verarbeitung vor. Sofern zulässig, wird DLBR den Kunden vor der Verarbeitung über diese rechtliche Anforderung informieren.

Der Kunde ist für die Rechtmäßigkeit seiner Anweisungen, deren Rechtsgrundlage, Datenschutzhinweise für Einzelpersonen, die von ihm angeforderten Daten sowie die Richtigkeit und den Umfang der konfigurierten Überprüfung verantwortlich. Der Kunde darf DLBR nicht anweisen, Daten in einer Weise zu verarbeiten, die gegen Datenschutzgesetze verstößt. DLBR wird den Kunden informieren, wenn eine Anweisung nach vernünftigem Ermessen gegen diese Gesetze verstößt.

3. Pflichten des DLBR als Auftragsverarbeiter

DLBR wird:

• Kundendaten nur auf dokumentierte Anweisung und für die in dieser DPA genannten Zwecke verarbeiten;
• sicherstellen, dass zur Verarbeitung von Kundendaten berechtigte Personen an die Vertraulichkeitspflicht gebunden sind und nur dann Zugriff erhalten, wenn dies für ihre Arbeit erforderlich ist;
• die Sicherheitsmaßnahmen gemäß Anhang 2 unter Berücksichtigung der Art der Verarbeitung und der Risiken für den Einzelnen umsetzen und aufrechterhalten;
• den Kunden unter Berücksichtigung der DLBR zur Verfügung stehenden Verarbeitungen und Informationen bei Anfragen von Einzelpersonen und bei den Pflichten des Kunden in Bezug auf Sicherheit, Verstöße gegen den Schutz personenbezogener Daten, Folgenabschätzungen und Beratung mit einer Regulierungsbehörde zu unterstützen;
• den Kunden unverzüglich zu benachrichtigen, nachdem er von einem Verstoß gegen den Schutz personenbezogener Daten erfahren hat, der sich auf Kundendaten auswirkt, DLBR vernünftigerweise verfügbare Informationen zur Verfügung zu stellen und bei der Reaktion des Kunden zu kooperieren;
• Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA nachzuweisen und Audits wie unten beschrieben zu unterstützen; und
• am Ende der Dienstleistungen Kundendaten löschen oder zurückgeben, wie in Abschnitt 7 beschrieben.

DLBR wird Kundendaten nicht für Werbung verwenden, daraus keine Werbeprofile erstellen oder entscheiden, ob eine Person für das Produkt oder die Dienstleistung des Kunden qualifiziert ist. DLBR kann Informationen verwenden, die unwiderruflich anonymisiert wurden, sodass sie sich nicht mehr auf eine identifizierbare Person beziehen.

4. Unterauftragsverarbeiter

Der Kunde erteilt DLBR eine allgemeine schriftliche Genehmigung zur Nutzung des in Anhang 3 aufgeführten Unterauftragsverarbeiters. DLBR wird jedem Unterauftragsverarbeiter Datenschutzverpflichtungen auferlegen, die Kundendaten gemäß dem in dieser DPA geforderten Standard schützen, und bleibt gegenüber dem Kunden für die Erfüllung dieser Verpflichtungen durch den Unterauftragsverarbeiter verantwortlich.

DLBR benachrichtigt den Kunden mindestens 30 Tage im Voraus per E-Mail oder über eine andere vereinbarte Servicemitteilung, bevor er einen Unterauftragsverarbeiter hinzufügt oder ersetzt. Der Kunde kann innerhalb dieser Frist aus begründeten, datenschutzrechtlichen Gründen schriftlich Widerspruch einlegen. Die Parteien werden nach Treu und Glauben daran arbeiten, den Einspruch zu klären. Wenn er das Problem nicht lösen kann, bevor die Änderung in Kraft tritt, kann der Kunde den betroffenen Dienst kündigen, bevor der neue Unterauftragsverarbeiter Kundendaten verarbeitet.

5. Individuelle Anfragen und Compliance-Unterstützung

Wenn DLBR von einer Einzelperson eine Anfrage zu Kundendaten erhält, wird DLBR die Einzelperson gegebenenfalls an den Kunden weiterleiten und den Kunden unverzüglich benachrichtigen, es sei denn, das Gesetz verbietet diese Benachrichtigung. DLBR wird nicht im Namen des Kunden antworten oder Kundendaten offenlegen, außer auf Anweisung des Kunden oder wenn dies gesetzlich vorgeschrieben ist.

Unter Berücksichtigung der DLBR zur Verfügung stehenden Verarbeitungen und Informationen leistet DLBR angemessene Unterstützung, damit der Kunde auf Anfragen reagieren und seinen Pflichten gemäß den Datenschutzgesetzen nachkommen kann, einschließlich Pflichten in Bezug auf Sicherheit, Meldung von Verstößen, Folgenabschätzungen zum Datenschutz und vorherige Konsultation. Der Kunde bleibt dafür verantwortlich, zu entscheiden, wie er reagiert, und bei Bedarf Aufsichtsbehörden oder Einzelpersonen zu benachrichtigen.

6. Sicherheitsvorfälle

DLBR wird den Kunden unverzüglich benachrichtigen, wenn ihm ein Verstoß gegen den Schutz personenbezogener Daten bekannt wird, der Kundendaten betrifft. In der Mitteilung werden, soweit bekannt, die Art des Verstoßes, die betroffenen Daten und Personen, die wahrscheinlichen Folgen, eingeleitete oder geplante Eindämmungs- oder Schadensbegrenzungsmaßnahmen sowie ein Ansprechpartner für Folgemaßnahmen beschrieben. DLBR stellt zusätzliche Informationen zur Verfügung, sobald diese verfügbar sind, und unterstützt den Kunden angemessen bei seiner Untersuchung und den erforderlichen Benachrichtigungen. Eine Mitteilung stellt kein Eingeständnis von Verschulden oder Haftung dar.

7. Aufbewahrung, Rückgabe und Löschung

Kundendaten werden für die Laufzeit der Kundenvereinbarung und gemäß den dokumentierten Aufbewahrungsanweisungen des Kunden verarbeitet. In der aktuellen Servicekonfiguration werden ausgewählte Anspruchswerte und Verifizierungsdetails zur Ergebnisübermittlung im temporären Sitzungsspeicher gehalten und innerhalb von 30 Sekunden nach dem Ergebnis gelöscht. Nach dem Entfernen von Ansprüchen und Verifizierungsdetails kann ein minimaler Terminalsitzungsstatus und ein reiner Status-Ereignisverlauf verbleiben. Verifizierungs-Audit-Datensätze werden in der Gateway-Laufzeit-D1-Datenbank gespeichert, die für die EU-Gerichtsbarkeit von Cloudflare konfiguriert ist; Sie enthalten niemals Anspruchswerte, können aber Sitzungs- und Client-IDs, Status, Anmeldeinformationen und Ausstellerdetails, Diagnosekategorien und Zeitinformationen enthalten. Für einige Idempotenz-, Audit- und Webhook-Fehler-Metadaten ist keine automatische altersbasierte Löschung konfiguriert. Die geltenden Aufbewahrungs- und Löschbedingungen für diese Aufzeichnungen müssen vor der Produktionsverarbeitung in der Vereinbarung oder im Aufbewahrungsplan jedes Pilotkunden dokumentiert werden.

Bei Beendigung des Dienstes kann der Kunde DLBR anweisen, exportierbare Kundendaten zurückzugeben oder zu löschen. Wenn der Kunde keine Entscheidung trifft, löscht DLBR die Kundendaten vorbehaltlich der in der Kundenvereinbarung oder im pilotspezifischen Aufbewahrungsplan dokumentierten Aufzeichnungen und Aufbewahrungsfristen. DLBR löscht Kundendaten auch, wenn der Kunde dies anweist, es sei denn, das Gesetz schreibt eine Aufbewahrung vor. Daten in Backups bleiben möglicherweise erhalten, bis sie durch den normalen Backup-Zyklus ersetzt werden. Der Zugriff bleibt eingeschränkt und für wiederhergestellte Daten gelten dieselben Löschanweisungen. DLBR kann Aufzeichnungen aufbewahren, die gesetzlich vorgeschrieben sind, und wird diese weiterhin schützen und ihre Verwendung auf die gesetzlichen Anforderungen beschränken.

8. Aufzeichnungen und Audits

Auf Anfrage stellt DLBR dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA zu überprüfen, einschließlich relevanter Sicherheitsinformationen und verfügbarer unabhängiger Prüfberichte. Wenn diese Informationen die Einhaltung nicht hinreichend belegen, kann der Kunde oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer die Verarbeitung mit einer Frist von mindestens 30 Tagen schriftlich während der normalen Geschäftszeiten und höchstens einmal in einem Zeitraum von 12 Monaten prüfen, es sei denn, eine Verletzung des Schutzes personenbezogener Daten oder eine Aufsichtsbehörde erfordert eine zusätzliche Prüfung. Audits müssen verhältnismäßig sein, die Informationen anderer Kunden schützen, unangemessene Störungen vermeiden und angemessene Sicherheitsanforderungen erfüllen. Der Kunde trägt seine Prüfungskosten. DLBR wird kooperieren und wesentliche Erkenntnisse umgehend bearbeiten.

9. Internationale Überweisungen

DLBR wird in Serbien gegründet. Die Produktionskonfiguration wählt einen Cloudflare-Durable-Object-Namespace in der EU-Jurisdiktion von Cloudflare für Verifizierungssitzungen aus und konfiguriert die Gateway-Laufzeit-D1-Datenbank für Verifizierungs-Audit-Datensätze in dieser Jurisdiktion. Diese Speichereinstellungen garantieren nicht, dass die Ausführung von Worker-Anfragen oder alle damit verbundenen Verarbeitungen, Protokolle, Ablaufverfolgungen, Warteschlangen, Analysen, Sicherungen oder Anbietervorgänge in der EU bleiben. Bei anderen für den Betrieb von DLBR EID genutzten Leistungskomponenten kann es zu einer Verarbeitung außerhalb des Europäischen Wirtschaftsraums kommen. Die eigenen Controller-Aktivitäten des DLBR bleiben, wie in Abschnitt 1 beschrieben, außerhalb dieser DPA.

Vor jeder Übertragung von Kundendaten, die gemäß den Datenschutzgesetzen einen Übertragungsmechanismus erfordert, müssen der Kunde und DLBR den anwendbaren Mechanismus und alle erforderlichen ergänzenden Maßnahmen in einem Übertragungsnachtrag oder einem anderen verbindlichen Übertragungsprotokoll identifizieren und dokumentieren. Bei Verwendung der EU-Standardvertragsklauseln müssen für die konkreten Parteien, Verarbeitung, Empfänger und Übermittlung das richtige Modul und ausgefüllte Anhänge vereinbart werden. Diese DPA-Seite selbst führt oder vervollständigt diese Klauseln, eine Folgenabschätzung für die Übertragung oder andere Sicherheitsvorkehrungen für die Übertragung nicht. Der Kunde darf keine eingeschränkte Übertragung anordnen und DLBR darf eine solche nicht durchführen, bis der erforderliche Übertragungsdatensatz vorliegt.

DLBR stellt dem Kunden angemessenerweise verfügbare Informationen zur Verfügung, um dem Kunden bei der Beurteilung der Übertragung und der geltenden Sicherheitsmaßnahmen zu helfen. Der Kunde kann sich an privacy@dlbr.app wenden, um die für seinen Dienst geltenden Übertragungsdokumente anzufordern.

10. Dauer und Kontakt

Diese DPA bleibt in Kraft, solange DLBR Kundendaten im Rahmen der Kundenvereinbarung verarbeitet, einschließlich aller eingeschränkten Verarbeitungen, die zur Rückgabe oder Löschung dieser Daten erforderlich sind. Kontaktieren Sie privacy@dlbr.app bezüglich dieser DPA oder einer Datenschutzanfrage.

Zeitplan 1 – Verarbeitungsdetails

• Gegenstand: Bereitstellung des vom Kunden konfigurierten Identitätsüberprüfungsdienstes durch DLBR.
• Dauer: Die Laufzeit der Kundenvereinbarung und der begrenzte Zeitraum, der für die anschließende Rückgabe oder Löschung von Kundendaten erforderlich ist.
• Art und Zweck: Entgegennahme und Verarbeitung von Verifizierungsanfragen, Durchführung des konfigurierten wallet- oder credential-verification flows, Übermittlung der Verifizierungsergebnisse, Zustellung konfigurierter Events oder Webhooks sowie Schutz und Unterstützung des Dienstes.
• Betroffene Personen: Personen, deren Identität oder Berechtigung der Kunde von DLBR EID überprüfen lässt.
• Persönliche Daten: Sitzungs- und Transaktionskennungen; ausgewählte Identitäts- oder Legitimationsattribute und Nachweise, die bei einer Verifizierung vorgelegt werden; Verifizierungsstatus und Ergebnisse; Zeitstempel; und mit der Transaktion verbundene Zustellungs-, Diagnose- und Sicherheitsmetadaten. Die genauen Felder hängen von der Konfiguration und den Anweisungen des Kunden ab.
• Sensible Daten: Der Kunde muss besondere Kategorien personenbezogener Daten und Daten zu strafrechtlichen Verurteilungen in seinen dokumentierten Anweisungen benennen. Er darf solche Daten nur übermitteln, soweit dies gesetzlich zulässig ist und die vereinbarten Schutzmaßnahmen dies abdecken.
• Verarbeitungsvorgänge: Erhebung, Entgegennahme, Prüfung, Übermittlung, vorübergehende Speicherung, Abruf und Verwendung zur Erstellung eines Verifizierungsergebnisses sowie Offenlegung gegenüber dem Kunden oder seinem konfigurierten Endpunkt und Löschung.
• Aufbewahrung: Ausgewählte Ansprüche und Verifizierungsdetails werden innerhalb von 30 Sekunden nach dem Ergebnis in der aktuellen Dienstkonfiguration gelöscht. Möglicherweise bleiben ein minimaler Terminalstatus und ein Nur-Status-Ereignisverlauf bestehen. Audit- und Sicherheitsmetadaten folgen dem geltenden dokumentierten Aufbewahrungsplan.

Anhang 2 – Sicherheitsmaßnahmen

Das DLBR unterhält leistungs- und risikogerechte technische und organisatorische Maßnahmen, darunter:

• Zugangskontrollen und Authentifizierung für Systeme und Verwaltungsfunktionen;
• Mietertrennung und Zugriffsbeschränkungen, die verhindern sollen, dass ein Kunde auf die Daten eines anderen Kunden zugreifen kann;
• Verschlüsselung während der Übertragung für Dienstkommunikation;
• betriebliche Auditkontrollen und Sicherheitsüberwachung;
• kurzlebige Speicherung und Löschung oder Ablauf der Verifizierungssitzung nach Übermittlung der Ergebnisse; und
• Vertraulichkeitsverpflichtungen für das Personal, das zum Zugriff auf Kundendaten berechtigt ist.

DLBR kann diese Maßnahmen aktualisieren, wenn sich Technologie und Risiken ändern, sofern das Gesamtschutzniveau nicht wesentlich verringert wird.

Anhang 3 – Autorisierter Unterauftragsverarbeiter

• Cloudflare, Inc. und die jeweils zuständigen Cloudflare-Konzerngesellschaften: Cloudflare-Plattforminfrastruktur einschließlich Compute, Storage, Networking, Datenbanken, Queues, Analytics und Transaktions-E-Mail-Diensten für den Betrieb von DLBR EID. Die Verarbeitungsorte hängen von der jeweiligen Servicekomponente ab; einige Komponenten nutzen das globale Netzwerk von Cloudflare.