Anvendelsesbetingelser DENIOS IoT-services

Disse anvendelsesbetingelser finder anvendelse på alle aftaler om anvendelsen af DENIOS IoT-services bestående af webbaserede og mobile anvendelser (efterfølgende: "app") og en eventuelt tilhørende hardware (efterfølgende: "hardware", "enhed" eller "device"), som brugeren ("du", "din", "dig") får stillet til rådighed af DENIOS SE, Dehmer Straße 54–66, 32549 Bad Oeynhausen, Tyskland ("DENIOS", "vi", "vores", "os").

1. Begrænsning til virksomheder

DENIOS stiller udelukkende sin DENIOS IoT-service til rådighed for virksomheder efter § 14 i den tyske civillovbog (BGB). DENIOS IoT-servicerne henvender sig ikke til forbrugere og er heller ikke egnet til anvendelsen af disse.

2. Omfanget af DENIOS IoT-services

DENIOS IoT-service er opdelt i en hardwaredel, en applikationsdel og et herpå baseret application programming interface ("API"), som stilles til rådighed af DENIOS. For så vidt du anvender IoT-servicen gælder disse bestemmelser for ydelsens respektive bestanddele.

2.1 Omfanget og bestanddelene af de til dig af DENIOS leverede ydelser retter sig i alle deres enkeltheder efter den på tidspunktet for kontraktindgåelsen gyldige ydelsesbeskrivelse.

2.2 Nøjagtigheden, fuldstændigheden og rigtigheden etc. af de fra hardwaren via API'en overførte data er kun garanteret ved korrekt anvendelse.

2.3 DENIOS forbeholder sig retten til at ændre de tilbudte ydelser i af sin IoT-service og dermed også ydelsesbeskrivelsen for så vidt dette er rimeligt over for dig. DENIOS har særligt ret til at tilføje, tilpasse eller fjerne funktioner eller begrænse antallet af de via API'en afviklede transaktioner med henblik på at forhindre en overbelastning (rate limit). Omfanget og arten af IoT-servicernes funktioner bliver derved ikke mindre gode end de i henhold til ydelsesbeskrivelsen ved kontraktindgåelsen tilgængelige funktioner.

2.4 DENIOS forbeholder sig retten til med en varslingsfrist på fire uger at indstille IoT-servicens funktioner helt eller delvist. Hvis du har købt hardware af os, der indeholder aftalemæssige IoT-services, indstilles IoT-servicernes funktioner ikke før udløbet af aftalens løbetid eller af garantiperioden, alt efter hvad der indtræder senest.

3. Anvendelse af IoT-servicen

Alt efter arten af IoT-servicerne kan disse enten benyttes via en webbaseret eller en mobil anvendelse (app), eller i givet fald parallelt via begge varianter i forbindelse med bestemte services.

3.1 Anvendelse af appen

3.1.1 Appen kan enten downloades i Apple App Store til iOS-enheder eller i Google Play Store til Android-enheder (tilsammen: "app-butikker"). Downloadningen foretages ved brug af den respektive download-knap eller en lignende funktionalitet i app-butikken. 

3.1.2 Downloadningen og brugen af denne app er gratis og ikke begrænset til et bestemt antal personlige enheder.

3.1.3 Appens funktioner kan dog ikke benyttes uden en aktiv internetforbindelse. I forbindelse med brugen af appens funktioner via internettet kan der påløbe omkostninger, der afhænger af din aftale med din kommunikationsudbyder.

3.2 Anvendelse af den webbaserede løsning

Den webbaserede version kan åbnes i en browser via et tilgængeligt link.

3.3 Anvendelse af hardwaren

Brugen af hardwaren er beskrevet og reguleret i de respektive hardwareenheders gældende betjeningsvejledning og generelle forretningsbetingelser. Disse berøres ikke af nærværende anvendelsesbetingelser.

3.4 Adgang til IoT-servicerne

3.4.1 For at kunne benytte IoT-servicens funktioner permanent skal du oprette en brugerkonto ("konto"). Registreringen kan foretages via appen. Vi kan bede dig om at bekræfte din e-mailadresse og oprettelsen af din konto ved klik på et bekræftelseslink, som er blevet sendt til dig af DENIOS; i så fald er registreringen først gennemført, når du har klikket på linket og DENIOS har bekræftet, at registreringsproceduren er afsluttet.

3.4.2 Adgangsdataene for anvendelsen af IoT-servicen skal behandles fortroligt og er udelukkende beregnet til at blive benyttet af brugeren. Adgangsdataene må frem for alt ikke videregives til tredjemand. Du er selv ansvarlig for at hemmeligholde adgangsdataene til din konto, især adgangskoden. Hvis du har grund til at antage, at din konto ikke længere er sikker (f.eks. hvis tredjemand kender din adgangskode), er du forpligtet til omgående at informere DENIOS herom.

3.4.3 Med oprettelsen af din konto forsikrer du, at de af dig oplyste og for registeringen nødvendige informationer er korrekte, aktuelle og fuldstændige. I tilfælde af ændringer ændrer du omgående dine oplysninger i appen.

3.4.4 På baggrund af vores egen vurdering forbeholder vi os retten til at stille din adgang og din anvendelse af en tjeneste midlertidigt i bero, hvis vi i forbindelse med din konto eller anvendelsen af en tjeneste af dig, repræsentanter eller slutbrugere erfarer, formoder eller opdager farer for DENIOS IoT-services. 

3.5 Varighed af muligheden for at forvalte hardwarekomponenter

3.5.1 Enkelte hardwarekomponenter, der integreres i IoT-servicerne, kan forvaltes via IoT-servicerne, indtil hardwarekomponentens levetid er slut som fastlagt i de respektive, gældende betjeningsvejledninger og aftalebetingelser. Når levetiden er slut, ophører forvaltningsmuligheden.

3.5.2 Du har i en periode på fire uger efter at levetiden af den senest forvaltede enhed er slut fortsat adgang til IoT-servicens webgrænseflade eller app for at kunne hente dataene i dine hardwarekomponenter. Efterfølgende har DENIOS ret til at slette dataene og deaktivere dine adgangsdata.

4. Inddragelse af anvendelsesbetingelserne

4.1 Nærværende anvendelsesbetingelser bliver en del af aftaleforholdet mellem dig og os, når du afslutter registreringen for anvendelse af vores IoT-services eller derudover indgår en IoT-servicekontrakt med os. Afvigende forretningsbetingelser fra din side bliver ikke en del af aftalen, medmindre vi udtrykkeligt anerkender disse skriftligt. Gennemførelsen af ydelser af os uden indsigelse betyder ikke, at vi anerkender dine forretningsbetingelser.

4.2 Vi opbevarer en kopi af nærværende anvendelsesbetingelser. Du kan hente en kopi af nærværende anvendelsesbetingelser via vores website www.denios.dk.

4.3 Du sikrer, at enhver yderligere oprettet bruger af IoT-servicerne ligeledes overholder anvendelsesbetingelserne uden yderligere bekræftelse.

5. Ændringer i anvendelsesbetingelserne

5.1 DENIOS forbeholder sig retten til at ændre nærværende anvendelsesbetingelser med en frist på fire (4) uger, hvis dette forekommer nødvendigt, for eksempel på grund af videreudviklingen af appen, tilføjelsen af nye funktioner, tekniske eller driftsrelaterede spørgsmål eller som følge af lovændringer. Væsentlige ændringer af grundfunktionerne er ikke omfattet heraf. DENIOS bekendtgør den respektive ændring via e-mail. Samtidig gøres du udtrykkeligt opmærksom på, at den respektive ændring bliver genstand for den mellem DENIOS og dig bestående kontrakt på grundlag af nærværende anvendelsesbetingelser, hvis du ikke inden for en frist på fire (4) uger regnet fra bekendtgørelsen af ændringen gør indsigelse mod denne. Gør du indsigelse, har hver part ret til inden for en frist på fire (4) uger at opsige kontrakten skriftligt eller pr. e-mail.

5.2 Automatiske updates og opgraderinger stilles til rådighed af DENIOS, enten via app-butikken eller via automatiske opdateringer af webapplikationen, og kan, alt efter enhedsindstillingerne, installeres uden dit særskilte samtykke.

6. Tilgængelighed af IoT-servicerne

6.1 DENIOS bestræber sig på at sikre en gennemgående tilgængelighed af de påkrævede tjenester, men kan ikke garantere, at der ikke vil ske afbrydelser.

6.2 Især er midlertidige afbrydelser i tilgængeligheden på grund af vedligeholdelsesarbejder, forstyrrelser af internettet hos eksterne netværksoperatører, yderligere tekniske grunde samt i tilfælde af force majeure mulige.

6.3 Den konkrete tilgængelighed er afhængig af den tilhørende hardware eller servicemodellen.

7. Databeskyttelse

7.1 Får DENIOS ved levering af ydelserne adgang til personoplysninger af dig, overholder DENIOS de gældende databeskyttelsesbestemmelser, frem for alt ved udelukkende at behandle personoplysninger med henblik på at levere ydelserne, ved at sikre, at medarbejderne kun gives adgang til dataene, hvis det er tvingende nødvendigt, og ved at sikre, at de medarbejdere, der som led i IoT-servicen gives adgang til dine personoplysninger, skriftligt forpligter sig til at være underlagt tavshedspligt og vejlede disse om de databeskyttelsesbestemmelser, der skal overholdes, samt at forelægge ordregiveren dette på forlangende. DENIOS beskytter de personoplysninger, der skal behandles som led i IoT-servicen, under hensyntagen til det aktuelle tekniske niveau.

7.2 I tilfælde af en behandling af personoplysninger foretaget af DENIOS på dine vegne finder databehandleraftalens bestemmelser i bilag 1 automatisk anvendelse. Bilag 1 bliver ved din registrering af en brugerkonto automatisk en del af denne aftale.

8. Intellektuel ejendom

8.1 Appen samt billederne og yderligere indhold, der stilles til rådighed via appen (tilsammen "indhold"), er i Tyskland og andre lande beskyttet af ophavsretten og beslægtede rettigheder. DENIOS giver dig ret til at benytte appen og indholdene, dog er retten begrænset og ikke eksklusiv og kan ikke overdrages og ikke licenseres ud til andre.

8.2 I øvrigt gælder ophavsrettens lovbestemmelser for software og for øvrige værker samt beslægtede rettigheder. For så vidt DENIOS ikke udtrykkeligt har samtykket heri eller ufravigelige retsforskrifter ikke tillægger dig en ret hertil, må du særligt ikke: 

8.2.1 Mangfoldiggøre appen eller indholdene, medmindre dette sker (i) i et omfang, der er nødvendigt for at downloade appen og installere og anvende appen på dine enheder, for at lave et passende antal backups, eller (ii) i det omfang dette er tilladt i andre sammenhænge i medfør af nærværende anvendelsesbetingelser;

8.2.2 Sælge, udleje appen til tredjemand eller på anden måde distribuere appen.

8.2.3 Bearbejde eller på anden måde ændre appen.

8.2.4 Demontere, dekompilere appen eller på anden vis foretage reverse engineering af appen, medmindre forudsætningerne efter § 69e i den tyske ophavsretslov (UrhG) er til stede.

8.2.5 Forsøge en af handlingerne efter punkt 7.2 til 7.3.

9. Misbrug

Du må ikke benytte appen og databehandlingsudstyret fra DENIOS til strafbare handlinger, begå øvrige strafbare handlinger til skade for DENIOS eller foretage øvrige handlinger med det formål ulovligt at skade DENIOS. Du må især ikke:

9.1 Hacke, sabotere eller på anden måde påvirke og derved uanvendeliggøre databehandlingsudstyret fra DENIOS, hvis formål er at stille appen og indholdene til rådighed, eller øvrige databehandlingsanlæg fra DENIOS.

9.2 Benytte appen på overdreven vis eller på anden vis betjene dig af databehandlingsudstyret i et overdrevet omfang, dvs. i et omfang, der langt overstiger den almindelige brug og hvis formål er at overbelaste systemerne fra DENIOS (såkaldt denial-of-service-angreb).

9.3 Omgå appens tekniske begrænsninger for at få adgang til indhold eller funktioner, som ikke er licenseret til dig.

9.4 Forsøge at foretage en af handlingerne efter punkt 8.1 til 8.3.

10. Opsigelse

10.1 Hvis der ikke foreligger andre kontraktmæssige forpligtelser, har DENIOS ret til at opsige kontrakten om anvendelse af IoT-servicerne i henhold til nærværende anvendelsesbetingelser med en frist på fire (4) uger.

10.2 DENIOS har derudover ret til at afgive en opsigelse af vægtig grund, især, hvis du:

10.2.1 Ved registreringen i strid med punkt 3.5 har givet falske eller ufuldstændige oplysninger eller du ikke har aktualiseret dine oplysninger, og du (i) ikke inden for en af os i tekstform givet frist på mindst 30 dage har korrigeret eller suppleret dine oplysninger, eller (ii) vi ikke har kunnet få fat i dig, fordi den af dig oplyste e-mailadresse var ugyldig.

10.2.2 I strid med punkt 7.2 krænker DENIOS' eller tredjemands rettigheder.

10.2.3 I strid med punkt 8 misbruger appen eller skader DENIOS.

10.2.4 På anden vis begår en væsentlig overtrædelse af nærværende anvendelsesbetingelser.

10.3 Du kan til enhver tid opsige din konto og dermed nærværende anvendelsesbetingelser ved at sende dit opsigelsesønske til e-mailadressen sales@denios.com. Vi gør opmærksom på, at en fuldstændig sletning først finder sted efter udløbet af lovbestemte opbevaringspligter og – når der ikke er tale om et databehandlerforhold efter punkt 7.2 – også efter udløbet af en opbevaring af andre retlige hensyn; detaljerede oplysninger herom finder du i vores databeskyttelseserklæring.

11. DENIOS' erstatningsansvar

11.1 DENIOS er i ubegrænset omfang erstatningsansvarlig for alle forårsagede skader ved forsætlighed og grov uagtsomhed, ved fare for liv, legeme eller helbred, ved misligholdelse af en garanti, ved krav i medfør af den tyske produktansvarslov samt i tilfælde af et ufravigeligt lovbestemt erstatningsansvar (f.eks. den tyske produktsikkerhedslov).

11.2 Ved simpel uagtsomhed er DENIOS kun erstatningsansvarlig ved misligholdelse af væsentlige aftaleforpligtelser. I disse tilfælde er erstatningsansvaret begrænset til størrelsen af den hændelige skade, hvis indtrædelse der typisk måtte regnes med ved aftaler af den foreliggende type. Ved en væsentlig aftaleforpligtelse i førnævnte forstand forstås en sådan forpligtelse, der er væsentlig for opnåelsen af aftaleformålet eller hvis opfyldelse er en forudsætning for en korrekt gennemførelse af aftalen og hvis overholdelse brugeren må kunne have regelmæssig tillid til. Den hændelige, for aftalen typiske skade er en sådan skade, der typisk må forventes ved et almindeligt skadesforløb.

11.3 Et eventuelt objektivt erstatningsansvar hos DENIOS ved mangler i begyndelsen er udelukket. DENIOS er for så vidt kun ansvarlig ved grov uagtsomhed eller forsætlighed.

11.4 Derudover påhviler erstatningsansvaret ikke DENIOS.

11.5 DENIOS er ikke erstatningsansvarlig i tilfælde af force majeure. Force majeure er alle omstændigheder og begivenheder, der ligger uden for DENIOS' ansvarsområde som f.eks. strejker, lockout, naturfænomener, katastrofer, lovbestemte forbud, epidemier eller andre begivenheder på grund af hvilke DENIOS uforskyldt hindres i at levere sine ydelser.

12. Operatørens forpligtelser

12.1 Du er ved anvendelsen af DENIOS IoT-servicerne ansvarlig for overholdelsen af retsforskrifter og skal også sikre overholdelsen af nærværende anvendelsesbetingelser ved anvendelse af services fra andre udbydere (f.eks. connectorer).

12.2 Ved anvendelse af DENIOS' IoT-services er du fortsat lovmæssigt forpligtet til overholdelse af dine operatørforpligtelser. DENIOS overtager intet ansvar for overholdelsen af operatørens forpligtelser. For præciseringens skyld fastholdes det, at DENIOS ikke er erstatningsansvarlig for skade, der forvoldes ved:

• En utilgængelig internetforbindelse.

• En ikke modtaget alarmmeddelelse ved tekniske forstyrrelser.

• En forkert anvendelse af hardwaren.

• Betjeningsfejl begået af brugeren af IoT-servicen.

13. Slutbestemmelser

13.1 Hvis enkelte bestemmelser i nærværende anvendelsesbetingelser er eller bliver ugyldige eller ikke kan eller vil kunne gennemføres helt eller delvist, berøres gyldigheden af de øvrige bestemmelser ikke heraf.

13.2 Nærværende anvendelsesbetingelser er underlagt Forbundsrepublikken Tysklands ret. De Forenede Nationers konvention fra 1980 om aftaler om internationale køb finder ikke anvendelse.

13.3 Hvis du er handlende, en offentligretlig juridisk person eller et særligt offentligretligt forvaltningssubjekt, er værnetinget Bad Oeynhausen. Vi bevarer dog retten til som et alternativ at anlægge sag ved din almindelige værneting.

Databehandleraftalens bestemmelser regulerer parternes rettigheder og forpligtelser i forbindelse med behandlingen af personoplysninger ved DENIOS på dine, "kundens", vegne efter anvendelsesbetingelserne for DENIOS IoT-services ("kontrakt"). Databehandleraftalens bestemmelser er en bindende del af kontrakten.

§ 1 Aftalens genstand, art, omfang og formål

1.1. Databehandlingens genstand, art, omfang og formål er fastlagt i kontrakten.

1.2. Enhver overførsel af personoplysninger til et tredjeland som led i kontrakten er bundet til at overholde de særlige krav i artiklerne 44 til 49 i GDPR. I ethvert tilfælde, hvor parterne anvender standardkontraktbestemmelserne til overførslen af personoplysninger til databehandlere med sæde i tredjelande i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF (EUT L 39 af 22.12.2010, s. 5 ff.) eller i henhold til en anden affattelse, der erstatter denne affattelse (efterfølgende: standardkontraktbestemmelser), går bestemmelserne i standardkontraktbestemmelserne i tilfælde af uoverensstemmelser forud for bestemmelserne i nærværende databehandleraftale.

§ 2 Databehandleraftalens løbetid

2.1 Databehandleraftalens løbetid retter sig efter kontraktens løbetid og ophører med sletningen af alle data.

2.2 Kunden kan til enhver tid opsige nærværende databehandleraftale, hvis der foreligger en vigtig grund, særligt hvis DENIOS misligholder væsentlige forpligtelser i nærværende databehandleraftale eller hvis DENIOS begår en alvorlig overtrædelse af den gældende databeskyttelseslovgivning.

§ 3 Arten af oplysninger, der skal behandles

Dataene, som DENIOS får stillet til rådighed eller har adgang til, omfatter personoplysninger som omhandlet i GDPR. Særligt sker en behandling af de følgende datakategorier:

• Internetbrugsdata (informationer om browseren, operativsystemet, angesteuerte Funktionen, dato og klokkeslæt for adgangen, brugernavne, IP-adresser, transaktionsprotokoller, login-informationer)

• Kontaktoplysninger (navne, (mobil-)telefonnumre, e-mailadresser, adresser)

§ 4 Registrerede personer

De persongrupper, der er omfattet af databehandlingen foretaget af DENIOS som led i denne databehandleraftale, er:

• Nuværende/tidligere brugere af IoT-servicerne

• Nuværende/tidligere medarbejdere af den virksomhed, der anvender IoT-servicerne

• Eventuelt nuværende/tidligere medarbejdere af tilknyttede virksomheder, hvis deres personoplysninger behandles af den virksomhed, der anvender IoT-servicerne

§ 5 DENIOS' forpligtelser

5.1. DENIOS forpligter sig over for kunden til at overholde den gældende databeskyttelseslovgivning og bestemmelserne i nærværende databehandleraftale med største omhu.

5.2. DENIOS gennemfører passende tekniske og organisatoriske foranstaltninger i henhold til GDPR artikel 24 for at overholde den gældende databeskyttelseslovgivning, særligt for at garantere behandlingssikkerheden i henhold til GDPR artikel 32.

5.3. DENIOS overvåger og dokumenterer opfyldelsen af sine forpligtelser efter de kontraktlige bestemmelser og efter databeskyttelseslovgivningen og stiller efter anmodning de nødvendige informationer og den egnede dokumentation til rådighed for kunden. Dette omfatter også overvågningen af gennemførelsen af databehandlingen som led i kontrakten og gennemførelsen af de tekniske og organisatoriske foranstaltninger.

5.4. DENIOS sikrer, at fortroligheden af oplysningerne forbliver beskyttet. Til dette formål gør DENIOS alle sine medarbejdere, der som led i databehandleraftalen har adgang til kundens personoplysninger, fortrolig med den gældende databeskyttelseslovgivning og forpligter dem skriftligt til ikke at behandle disse personoplysninger uden autorisation. På kundens forlangende forelægger DENIOS disse erklæringer for kunden.

5.5. DENIOS anvender udelukkende de data, som de har fået stillet til rådighed, på grundlag af kontrakten og i henhold til nærværende databehandleraftale. Enhver behandling eller anvendelse af dataene derudover og til et andet end det i kontrakten omhandlede formål (f.eks. til DENIOS' egne formål eller til tredjemands formål) samt overførslen af dataene til tredjemand er, hvis ikke andet er aftalt skriftligt, udtrykkeligt udelukket, medmindre dataene er blevet anonymiseret forud for en sådan behandling.

5.6. Derudover må DENIOS ikke kopiere de data, som de har fået overdraget, over på datamedier eller lave kopier i andre sammenhænge eller gøre dem tilgængelig for tredjemand, medmindre kunden udtrykkeligt har samtykket heri skriftligt.

5.7. Kræver tilsynsmyndigheder informationer fra kunden, eller iværksætter de foranstaltninger over for vedkommende, understøtter DENIOS på kundens forlangende vedkommende i det omfang det er nødvendigt for at kunne bilægge sagen.

5.8. DENIOS understøtter på passende vis også kunden i overholdelsen af de i GDPR artikel 32 til 36 nævnte forpligtelser for så vidt der ved databehandlingen efter kontrakten er tale om en databehandleraftale og stiller særligt alle nødvendige informationer til rådighed for kunden.

§ 6 Behandlingssikkerhed

6.1 DENIOS beskytter de tilgængelige data mod uautoriseret videregivelse og manipulation ved hjælp af passende tekniske og organisatoriske foranstaltninger som omhandlet i GDPR artikel 32. Data og systemer skal blandt andet beskyttes mod uautoriseret og utilsigtet beskadigelse, utilsigtet sletning, tekniske defekter, forfalskninger, tyveri, illegal anvendelse, uautoriseret adgang samt mod uautoriseret ændring og uautoriseret kopiering, sletning, videregivelse, adgang og enhver anden form for uautoriseret behandling. Desuden skal DENIOS sikre, at der gennemføres passende foranstaltninger for at tilgængeligheden af personoplysninger og adgangen hertil i tilfælde af tekniske forstyrrelser omgående genetableres og skal muliggøre en kontrol af effektiviteten af de gennemførte tekniske og organisatoriske foranstaltninger.

6.2 DENIOS sikrer, at de data, der stilles til rådighed til behandling, er klart adskilt fra alle andre datasæt. Datamedier, som kunden stiller til rådighed for DENIOS, skal mærkes tilsvarende. Modtagelsen samt tilbageleveringen af sådanne datamedier skal dokumenteres.

6.3 DENIOS udarbejder et sikkerhedskoncept med de trufne foranstaltninger og overdrager disse til kunden før databehandlingen påbegyndes. En dokumentation over foranstaltningerne skal vedføjes databehandleraftalen som bilag 1.

6.4 De tekniske og organisatoriske foranstaltninger, som DENIOS skal gennemføre, skal hele tiden ajourføres og tilpasse til det aktuelle tekniske niveau. Kunden skal informeres om væsentlige ændringer i de tekniske og organisatoriske foranstaltninger.

§ 7 Anmodninger fra registrerede personer

7.1 DENIOS kan kun efter anvisning fra kunden berigtige, slette, spærre eller overføre data, der behandles som led i kontrakten.

7.2 Henvender en registreret person sig direkte til DENIOS for at gøre sine rettigheder gældende i forbindelse med databehandleraftalen, særligt de i GDPR artikel 12 til 23 nævnte rettigheder, videresender DENIOS omgående disse anmodninger til kunden. DENIOS må kun videregive informationer til tredjemand eller den registrerede person efter forudgående skriftligt samtykke fra kunden, medmindre DENIOS er forpligtet hertil i henhold til loven.

7.3 Henvender en registreret person sig til kunden, understøtter DENIOS kunden på passende vis af hensyn til en besvarelse af anmodningen fra den registrerede person. Til dette formål skal DENIOS gennemføre passende tekniske og organisatoriske foranstaltninger. 

§ 8 Brug af underleverandør

8.1 DENIOS har ret til at bemyndige tredjemand til at behandle personoplysninger. Den på tidspunktet for indgåelsen af nærværende databehandleraftale bemyndigede underleverandør er:

ROBIOTIC GmbH

Oberes Feld 6

33106 Paderborn, Tyskland

8.2 DENIOS informerer kunden om enhver ændring i sammenhæng med optagelsen af nye underleverandører eller udskiftningen af den bestående underleverandør ved brug af "notification bell" i webgrænsefladen. Kunden har ret til at gøre indsigelse mod disse ændringer inden for et tidsrum på 10 dage efter modtagelsen af meddelelsen om ændringen. Gør kunden ikke indsigelse mod ændringen, betragtes denne som godkendt. Kunden kan kun gøre indsigelse af vigtige grunde, som skal dokumenteres over for DENIOS. Gør kunden indsigelse, har DENIOS ret til at opsige kontrakten og denne databehandleraftale med en frist på én måned regnet fra modtagelsen af indsigelsen.

8.3 I aftalen mellem DENIOS og underleverandøren skal sidstnævnte i alt væsentligt være pålagt de samme forpligtelser, som DENIOS har indgået som led i nærværende databehandleraftale. Parterne aftaler, at disse krav er opfyldt, hvis kontrakten har et beskyttelsesniveau svarende til det, der opnås ved nærværende databehandleraftale, eller hvis underleverandøren opfylder kravene i GDPR artikel 28, stk. 3.

8.4 Tjenesteydelser af tredjemand, som DENIOS gør brug af som accessoriske ydelser til understøttelse af gennemførelsen af behandlingen, er ingen underleverandørydelser i den i de ovenstående bestemmelser anvendte betydning. Dertil hører f.eks. telekommunikationsydelser, rengøringsydelser, kontroltjenester eller under visse omstændigheder også vedligeholdelsestjenester. For at garantere beskyttelsen og sikkerheden af kundens data og også fortroligheden forpligter DENIOS sig til at indgå retlige og passende kontraktmæssige aftaler med eksternt bemyndigede leverandører af accessoriske ydelser og gennemføre kontrolforanstaltninger.

8.5 En overførsel af personoplysninger til tredjemand er ikke tilsigtet af os. Som led i vores samarbejde med ROBIOTIC GmbH kan der eventuelt ske en overførsel af dine personoplysninger til UK og USA. Overførslen sker altid på grundlag af EU-Kommissionens Standardkontraktbestemmelser. Du giver os derfor fuldmagt til på dine vegne at bemyndige ROBIOTIC GmbH til at indgå de respektive standardkontraktbestemmelser til din fordel.

§ 9 Kundens kontrolrettigheder

9.1 Kunden har i det omfang, der er nødvendigt, ret til at kontrollere, om de kontraktmæssige bestemmelser samt den gældende databeskyttelseslovgivning, særligt også de af DENIOS i henhold til nærværende databehandleraftale trufne tekniske og organisatoriske foranstaltninger, overholdes. Hvis de informationer, som DENIOS stiller til rådighed som led i denne kontrol, giver anledning til bekymringen om, hvorvidt DENIOS opfylder en væsentlig kontraktmæssig eller databeskyttelsesretlige forpligtelse eller ej, omfatter kontrolrettighederne også retten til når som helst at lade sig overbevise in situ om, at dataene behandles databeskyttelsesretligt og kontraktmæssigt korrekt og at de tekniske og organisatoriske foranstaltninger omsættes og overholdes. Kunden har efter aftale med DENIOS ret til selv at gennemføre denne kontrol eller i enkeltstående tilfælde at få den foretaget af tredjemand, der er forpligtet til fortrolighed.

9.2 DENIOS understøtter kunden på passende vis i en sådan kontrol, særligt ved at give adgang til de rum, hvor den respektive databehandling finder sted, samt til de respektive systemer og dokumenter. Kunden skal sende en skriftlig anmodning herom mindst to uger i forvejen.

9.3 Omkostningerne til en kontrol, der gennemføres in situ, bæres af kunden (inklusive samtlige rejseomkostninger og omkostningerne til kontrolledsagelse af DENIOS' databeskyttelsesrådgiver, for så vidt det ikke fastslås, at DENIOS har begået en væsentlig overtrædelse af nærværende bilag 1.

§ 10 Meddelelser fra DENIOS

10.1 DENIOS informerer omgående kunden om alle anmodninger fra tilsynsmyndigheder, særligt om anmeldte kontroller af databeskyttelse, hvis der er tale om en databehandling som led i nærværende databehandleraftale.

10.2 DENIOS informerer omgående kunden, hvis behandlingen har været ramt af alvorlige forstyrrelser, hvis der er mistanke om brud på datasikkerheden, hvis bestemmelserne i nærværende databehandleraftale er blevet overtrådt eller hvis der har været andre uregelmæssigheder i behandlingen af personoplysninger. Dette omhandler særligt tabet af de af DENIOS behandlede personoplysninger, tredjemands uautoriserede eller utilsigtede adgang og/eller den uautoriserede videregivelse af personoplysninger. Informationspligten indtræder allerede ved mistanken om, at der er en vis sandsynlighed for, at mulige forstyrrelser, brud eller uregelmæssigheder kan have fundet sted.

10.3 DENIOS gennemfører efter aftale med kunden omgående passende foranstaltninger for at beskytte dataene og reducere mulige negative følger for de registrerede personer. Hvis kunden er underlagt forpligtelser efter GDPR artikel 33 og/eller artikel 34, skal DENIOS understøtte vedkommende på passende vis.

§ 11 Instruksbeføjelse

11.1 Behandlingen af personoplysninger af DENIOS, DENIOS' medarbejdere og de bemyndighede underleverandører, der har adgang til dataene, sker udelukkende som led i kontrakten og på grundlag af den dokumenterede instruks fra kunden (se GDPR artikel 29). Kunden har en omfattende instruksbeføjelse med hensyn til databehandlingens art, omfang og metode, hvilket kan specificeres i enkeltstående instrukser. For så vidt DENIOS er underlagt en lovbestemt forpligtelse, der også tillader en anden behandling, informerer DENIOS kunden om de respektive lovbestemte krav, medmindre en sådan meddelelse er forbudt i henhold til loven.

11.2 DENIOS dokumenterer på passende vis de instrukser, som kunden giver. Mundtligt meddelte instrukser skal omgående bekræftes skriftligt af kunden.

11.3 DENIOS informerer omgående kunden, hvis DENIOS er af den opfattelse, at en instruks strider mod kontraktmæssige bestemmelser eller lovbestemte databeskyttelsesregler. DENIOS er ikke pålagt en materielretlig kontrolforpligtelse med henblik på kundens instrukser. Hvis kunden bekræfter instruksen og fritstiller DENIOS fra følgerne, følger DENIOS instruksen.

§ 12 Sletning eller tilbagelevering af data

12.1 Efter løbetidens udløb, efter anmodning fra kunden også tidligere, dog senest på tidspunktet for databehandleraftalens ophør, skal DENIOS efter kundens valg enten i en almindelig læselig form tilbagelevere eller efter forudgående samtykke i overensstemmelse med de databeskyttelsesretlige bestemmelser tilintetgøre eller slette alle med databehandleraftalen forbundne personoplysninger, som de er i besiddelse af – både i dokumenter, i generede behandlings- eller anvendelsesresultater eller i datasæt –, medmindre disse personoplysninger skal gemmes som følge af en retlig forpligtelse. Tilintetgørelsen og sletningen skal bekræftes skriftligt over for kunden. Ved elektroniske data overdrages behandlings- og anvendelsesresultaterne eller datasættene i et af parterne aftalt format eller – hvis ingen aftale er blevet truffet – på gængse datamedier i et konventionelt format, som muliggør en struktureret genfinding.

12.2 Der foreligger ingen ret til at opbevare personoplysninger, der er blevet stillet til rådighed, indsamlet eller behandlet af DENIOS som led i nærværende aftaleforhold. Det samme gør sig gældende for de respektive datamedier.

§ 13 Øvrigt

13.1 Dokumentation, der godtgør en aftalemæssig og regelret databehandling, skal også gemmes af DENIOS efter kontraktens ophør, indtil den respektive opbevaringsfrist udløber.

13.2 Er kundens data hos DENIOS truet af foranstaltninger gennemført af tredjemand, for eksempel på grund af et udlæg, en konkursbehandling, en forligsforhandling eller en lignende hændelse, skal DENIOS omgående informere kunden.

13.3 I tilfælde af uoverensstemmelser mellem kontrakten og nærværende databehandleraftale går databehandleraftalen forud for kontrakten i spørgsmål om databeskyttelse.

13.5 I tvivlstilfælde er den tyske ordlyd i nærværende databehandleraftale gældende.

13.6 Nærværende databehandleraftale er underlagt tysk ret. Værneting følger kontrakten.

jf. GDPR artikel 28, stk. 3, litra c), 32 i forbindelse med GDPR artikel 5, stk. 1, stk. 2

1. Fortrolighed

1.1 Fysisk adgangskontrol

Uvedkommende skal nægtes adgang til databehandlingsudstyr, der benyttes til behandling og anvendelse af personoplysninger.

Hos ordretageren gennemførte foranstaltninger:

• Nøglehåndtering / dokumentation for nøgledistribution

• Dørsikringer (elektriske døråbnere) i forbindelse med adgangskontrolsystemet

• Hegnanlæg

• Sikkerhedsdøre og -vinduer

• Alarmanlæg

• Videoovervågning

• Visuelle kontroller og en besøgsprotokol i receptionen

1.2 Systemadgangskontrol

Det skal forhindres, at databehandlingssystemer kan benyttes af uvedkommende.

Hos ordretageren gennemførte foranstaltninger:

• Personligt og individuelt bruger-login for at logge på systemet og virksomhedsnetværket

• Adgangskodeprocedure (angivelse af adgangskodeparametre med hensyn til kompleksitet og opdateringsinterval)

• Spærring af brugeren efter et vist tidsrum uden brugeraktivitet (også pauseskærme beskyttet med adgangskode eller automatisk timeout)

1.3 Adgangsbegrænsende kontrol

Det skal sikres, at autoriserede brugere af et databehandlingssystem udelukkende får adgang til de oplysninger, som henhører under deres adgangsautorisation og at personoplysninger ikke læses, kopieres eller ændres under behandlingen, anvendelsen og efter lagring.

Hos ordretageren gennemførte foranstaltninger:

• Forvaltning af autorisationer

• Differentierede autorisationer

• Profil- og rollekoncept

• Dokumentation over autorisationer

1.4 Kontrol med videregivelse

Det skal sikres, at personoplysninger i forbindelse med en elektronisk overførsel eller under deres transport eller deres lagring på datamedier ikke risikerer uautoriseret læsning, kopiering, ændring eller sletning og at det er muligt at undersøge og fastslå, til hvilke organer der kan overføres personoplysninger via datatransmissionsudstyr.

Hos ordretageren gennemførte foranstaltninger:

• VPN-tunnel (VPN = virtual private network)

• Sikker dataoverførsel via internet ved brug af SSL-kryptering (https)

1.5 Separationskontrol

Det skal sikres, at data, der er indsamlet til forskellige formål, kan behandles separat.

Hos ordretageren gennemførte foranstaltninger:

• Separate systemer (logisk kundeopdeling)

• Adgangsautorisationer

• Separation af test- og udviklingssystemer

1.6 Kryptering

Behandlingen af personoplysninger skal ske på en måde, der forhindrer en utilsigtet eller uretmæssig eller uautoriseret videregivelse af disse. Hertil anvendes krypteringsmekanismer, der er i overensstemmelse med den tilgængelige teknologi og anses for at være sikre.

Af ordretageren gennemførte foranstaltninger:

• Krypteret dataoverførsel (f.eks. e-mailkryptering, VPN, krypterede internetforbindelser)

2. Integritet

2.1 Indlæsningskontrol

Det skal kunne efterprøves og fastslås, hvilke personoplysninger der er blevet indlæst i databehandlingssystemer, og hvem der har indlæst, ændret eller slettet oplysningerne.

Hos ordretageren gennemførte foranstaltninger:

• Adgangsrettigheder

• Systemlogning

• Mulighed for at fastslå med hvilke individuelle brugernavne data er blevet indlæst, ændret og slettet

2.2 Kontrol med videregivelse

Foranstaltningerne til kontrollen med videregivelse jf. 1.4 har også til hensigt at sikre integriteten.

3. Tilgængelighed og robusthed

3.1 Tilgængelighedskontrol

Det skal sikres, at personoplysninger er beskyttet mod hændelig tilintetgørelse eller tab.

Hos ordretageren gennemførte foranstaltninger:

• Backup-procedure

• Kopiering af harddiske

• Virusbeskyttelse / firewall

• Opbevaring af datasikkerhedskopi på et sikkert, separat sted

• Brandalarm

3.2 Rettidig genopretning

Der skal gennemføres foranstaltninger til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse.

Af ordretageren gennemførte foranstaltninger:

• IT-nødplaner og genstartsplaner

• Regelmæssige og dokumenterede datagenopretninger

4. Andre foranstaltningsområder

4.1 Datasikkerhedsstyringssystem

Der skal være implementeret en procedure til at kunne foretage en regelmæssig kontrol, vurdering og evaluering af databeskyttelsen og effektiviteten af de trufne tekniske og organisatoriske foranstaltninger.

Hos ordretageren gennemførte foranstaltninger:

• Incident-response-system til at kunne fastslå sikkerhedsbrud og problemer

• Regelmæssig gennemførelse af IT-svaghedsanalyse (f.eks. penetrationstest)

• Regelmæssig gennemførelse af interne revisioner

4.2 Databehandlingskontrol

Det skal sikres, at personoplysninger, der behandles som led i databehandleraftale, kun kan behandles i overensstemmelse med ordregiverens anvisninger.

Hos ordretageren gennemførte foranstaltninger:

• Skriftlig databehandleraftale jf. GDPR artikel 28 med regulering af ordretagerens rettigheder og forpligtelser

• Uddannelse af alle adgangsberettigede medarbejdere. Regelmæssig efteruddannelse.

• Fortrolighedsforpligtelse jf. GDPR artikel 28, stk. 3, 2. pkt., litra b), 29, 32, stk. 4

• Regelmæssig databeskyttelsesrevision af virksomhedens databeskyttelsesrådgiver

Udpegning af en databeskyttelsesrådgiver