Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Unverbindliche Übersetzung. Bei Abweichungen ist der italienische Text maßgeblich.

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die die Business Gates S.r.l. im Auftrag des Kunden bei der Erbringung des BGates-Dienstes durchführt, gemäß Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (im Folgenden „DSGVO“).

Er ist die Anlage zu den Besonderen Bedingungen für Kunden und Verwalter (/condizioni-amministratori) und wird mit ihnen angenommen: Er erfordert keinen eigenen Haken. Er ersetzt und wiederholt nicht die Datenschutzerklärung (/privacy), die eine Maßnahme der Transparenz gegenüber den betroffenen Personen und kein Vertrag ist.

Anwendungsbereich. Er betrifft den GT PRO 4G, also das mit dem Mobilfunknetz verbundene Gerät, das einen Durchgang steuert, und den Dienst, der es verwaltet. Er betrifft nicht das Basismodell, das nur mit SMS funktioniert, und auch nicht die Kopplung per Bluetooth.

Definierte Begriffe. Die definierten Begriffe – Kunde, Verwalter, BGates-Mitarbeiter, Zutrittsberechtigter, Gerät, Durchgang, Dienst, Plattform, Abonnement, freigeschaltete Nummer, Einladung, dauerhafter QR-Code, Einmal-QR-Code, Aktivierungs-QR-Code, Öffnungsprotokoll, persönliches Adressbuch, geräteinterne Nummernliste, Konto, persönlicher Bereich, Dienstleister, betroffene Person, Verantwortlicher, Händler, Installateur – haben die in den Dokumenten des Dienstes festgelegte Bedeutung, auf die hier, wo nötig, verwiesen wird.

1. Die Parteien

BGates hat keinen Vertreter nach Art. 27 DSGVO benannt, weil sie in der Europäischen Union niedergelassen ist.

2. Wie dieser Vertrag angenommen wird, und ab wann er gilt

Dieser Vertrag kommt zustande, wenn der Kunde den Besonderen Bedingungen für Kunden und Verwalter im persönlichen Bereich oder in der BGates-App zustimmt. Zur Zustimmung speichert BGates: den Slug des Dokuments, die Version, Datum und Uhrzeit, die IP-Adresse, den Browsertyp, die Bildschirmseite und den Kanal. Die Aufzeichnung wird als Nachweis für die Dauer des Vertragsverhältnisses und für die zehn darauffolgenden Jahre aufbewahrt.

Benötigt ein Kunde, der Unternehmer ist, ein unterzeichnetes Exemplar, stellt BGates es auf schriftliche Anfrage an info@bgates.it zur Verfügung, mit demselben Inhalt wie dieser Text.

3. Was dieser Vertrag regelt, und was nicht

Er regelt die Verarbeitungen, die BGates im Auftrag des Kunden durchführt: die Verwaltung der freigeschalteten Nummern, die Zustellung der Einladungen, die geräteinterne Nummernliste des Geräts für die Nummern, die über den Dienst laufen, die QR-Codes des Durchgangs und die daraus entstehenden Zutrittsanfragen, das Öffnungsprotokoll des Durchgangs des Kunden, das persönliche Adressbuch der Nutzer des Kunden, die Umgebungsdaten des Durchgangs, soweit sie andere Personen als den Kunden betreffen, die an dem Ort wohnen oder arbeiten, und das geräteinterne Protokoll (Log) des Geräts, wenn es für einen Supporteinsatz heruntergeladen wird.

Er regelt nicht:

• die Verarbeitungen, bei denen BGates eigenständiger Verantwortlicher ist, abschließend aufgezählt in Abschnitt 4.3 (für sie gelten die Nutzungsbedingungen und die Datenschutzerklärung, nicht dieser Vertrag);
• die Beziehungen zwischen dem Kunden und den betroffenen Personen, denen der Kunde seine eigenen Datenschutzhinweise geben muss: BGates stellt denen, die von einer Einladung, einem dauerhaften QR-Code oder einem Einmal-QR-Code erreicht werden, die Hinweise für Zutrittsberechtigte (/informativa-utilizzatori) zur Verfügung, aber diese Hinweise ersetzen nicht die des Kunden, wenn der Kunde dieselben Daten auch außerhalb des Dienstes verarbeitet;
• die Lieferung des Geräts und das Abonnement, die in den Verkaufsbedingungen geregelt sind.

Die betroffenen Personen sind nicht Partei dieses Vertrags und erwerben aus ihm keine vertraglichen Rechte; die Rechte, die ihnen die DSGVO unmittelbar zuerkennt, bleiben unberührt.

4. Die Rollen

4.1 Der Kunde ist Verantwortlicher

Der Kunde entscheidet, wer seinen Durchgang öffnen darf, ab wann, an welchen Tagen und in welchen Zeitfenstern, bis wann, und wann die Freischaltung aufgehoben wird. Er entscheidet, ob ein QR-Code erzeugt, ob eine Zutrittsanfrage genehmigt, ob das Öffnungsprotokoll eingesehen und exportiert wird und zu welchem Zweck. Das sind seine Entscheidungen: Sie bestimmen den Zweck der Verarbeitung und machen ihn daher zum Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO.

Rechtsgrundlage dieser Verarbeitungen ist das berechtigte Interesse des Kunden (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherheit und der Verwaltung der Zutritte zu seinem Durchgang. Es ist nicht die Einwilligung: Die Einwilligung ist die der betroffenen Person (Art. 4 Nr. 11) und niemand kann sie für einen anderen erteilen. Der Kunde nimmt die Abwägung zwischen seinem eigenen Interesse und den Rechten der betroffenen Personen vor und bewahrt sie auf; BGates stellt auf Anfrage an info@bgates.it (Betreff „Datenschutz“) eine verwendbare Vorlage für die Abwägung zur Verfügung.

4.2 BGates ist Auftragsverarbeiter

Für die Verarbeitungen aus Abschnitt 3 verarbeitet BGates die Daten nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO), in den Grenzen und auf die Weise dieses Vertrags.

4.3 Die Verarbeitungen, bei denen BGates eigenständiger Verantwortlicher ist, obwohl sie Daten des Kunden berühren

Die Liste ist abschließend: Außerhalb davon ist BGates für die Daten aus Abschnitt 3 Auftragsverarbeiter.

1. Sicherheit des Dienstes, Betrugsprävention, Erkennung und Bekämpfung von Missbrauch.
2. Technische Aufzeichnungen der Infrastruktur (Webserver, Nachrichtenbroker, Authentifizierungsdienst der Geräte, Anwendungsprozesse) und deren Speicherung.
3. Netzwerkdiagnose, einschließlich der aus der Funkzelle abgeleiteten Position des Geräts.
4. Support durch BGates-Mitarbeiter, einschließlich der Korrespondenz über den geschäftlichen WhatsApp-Kanal.
5. Gesetzliche, buchhalterische und steuerliche Pflichten.
6. Technischer Nachweis der Zustellung der Einladungen (vom SMS-Gateway zurückgemeldetes Ergebnis, vom Nachrichtendienstleister zurückgemeldete Kennung der Nachricht).
7. Verbesserung des Dienstes anhand pseudonymisierter Daten.
8. Protokoll der Verwaltungsaktionen der BGates-Mitarbeiter.

Für diese Verarbeitungen bestimmt BGates Zwecke und Mittel und haftet dafür unmittelbar, wie in Art. 28 Abs. 10 DSGVO vorgesehen. Die IP-Adresse dessen, der das mit einem dauerhaften QR-Code verknüpfte öffentliche Formular ausfüllt, fällt unter Punkt 1: Sie dient BGates dazu, ein öffentlich zugängliches Formular zu schützen; der Kunde sieht sie nicht und verfügt nicht über sie.

4.4 Warum keine gemeinsame Verantwortlichkeit besteht

Die Festlegungen der beiden Parteien sind getrennt und aufeinanderfolgend, nicht gemeinsam: BGates entscheidet über Zwecke und Mittel der Plattform, der Kunde entscheidet innerhalb der Plattform, wer wann durch seinen Durchgang hineinkommt. Es fehlt das Erfordernis der notwendigen Komplementarität, das die Leitlinien 07/2020 des EDSA zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ verlangen. Art. 26 DSGVO findet keine Anwendung, und die Parteien schließen keine Vereinbarung über eine gemeinsame Verantwortlichkeit.

4.5 Händler und Installateure

Wenn ein Händler oder Installateur im Auftrag eines Kunden freigeschaltete Nummern einträgt, QR-Codes erzeugt oder Konten anlegt, handelt er im Auftrag dieses Kunden und unter dessen Verantwortung: Der Kunde haftet für sein Handeln wie für eigenes. Wenn er die Daten seiner eigenen Geschäftskunden für eigene Zwecke verarbeitet, ist er eigenständiger Verantwortlicher, und dieser Vertrag betrifft ihn nicht.

4.6 Der Kunde als natürliche Person und die häusliche Nutzung

Ist der Kunde eine natürliche Person, die das Gerät zu ausschließlich persönlichen oder familiären Zwecken nutzt, findet die DSGVO auf seine Verarbeitung möglicherweise keine Anwendung (Art. 2 Abs. 2 lit. c DSGVO). BGates kann das nicht im Voraus feststellen und wendet diesen Vertrag trotzdem an: Seine Anwendung erlegt dem häuslichen Kunden keine Pflichten auf, die ihm die Ausnahme ersparen würde, während sein Fehlen die betroffenen Personen ungeschützt ließe.

Greift die Ausnahme, ist der Kunde nicht Verantwortlicher im Sinne der Verordnung, und BGates verarbeitet diese Daten als Verantwortlicher, auf der Grundlage ihres eigenen berechtigten Interesses (Art. 6 Abs. 1 lit. f) daran, den vom Kunden angeforderten Dienst zu erbringen und seine Sicherheit zu gewährleisten, mit der in der internen Datenschutz-Folgenabschätzung dokumentierten Abwägung. In diesem Fall gibt BGates den betroffenen Personen die Informationen nach Art. 14 unmittelbar und entscheidet selbst über ihre Anträge, einschließlich Widerspruch und Löschung, ohne sie an den Kunden weiterzugeben. Dieselbe Regel steht, mit denselben Worten, in der Datenschutzerklärung (/privacy) und in den Hinweisen für Zutrittsberechtigte (/informativa-utilizzatori): Eine betroffene Person darf nie an einen Verantwortlichen verwiesen werden, der kein Verantwortlicher ist.

5. Laufzeit

Dieser Vertrag gilt für die gesamte Dauer des Vertragsverhältnisses zwischen den Parteien – von der Zustimmung bis zur Beendigung des letzten Abonnements oder, wenn diese später erfolgt, bis zur Schließung des Kontos des Kunden – und jedenfalls, solange BGates auch nur ein einziges personenbezogenes Datum im Auftrag des Kunden verarbeitet.

Über die Beendigung hinaus fort, bis sie erledigt sind, bestehen: die Pflichten aus Abschnitt 22 (Rückgabe und Löschung), die Vertraulichkeitspflicht aus Abschnitt 12, die gesetzlich vorgeschriebene Aufbewahrungspflicht und die Haftung für frühere Vorgänge.

6. Art und Zweck der Verarbeitung

Dieselben Umgebungsdaten verarbeitet BGates, soweit sie sich auf den Kunden als natürliche Person beziehen, als Verantwortlicher zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Dieser Aspekt ist in der Datenschutzerklärung beschrieben und nicht in diesem Vertrag. Hier kommt es nur auf den Aspekt an, der die anderen Personen betrifft, die an dem Ort wohnen oder arbeiten.

BGates verwendet die Daten aus Abschnitt 3 nicht für eigene Zwecke außer denen aus Abschnitt 4.3, gibt sie nicht an Dritte weiter, verwendet sie nicht für Marketing und verwendet sie nicht für das Training von Systemen künstlicher Intelligenz.

7. Arten personenbezogener Daten

Die Verarbeitung erfordert weder besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO noch Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10.

8. Kategorien betroffener Personen

• Die Zutrittsberechtigten: die Personen, deren Nummer zum Öffnen eines Durchgangs des Kunden freigeschaltet wurde, mit oder ohne Konto. Je nach Kontext des Kunden sind das Mitarbeiter, Beschäftigte, Familienangehörige, Mitbewohner, Miteigentümer der Wohnanlage, Mieter, Gäste, Lieferanten, Kuriere, Wartungstechniker.
• Die Gäste: wer einen dauerhaften QR-Code scannt oder einen Einmal-QR-Code erhält und um Freischaltung bittet.
• Jeder, der den Durchgang anruft, auch wenn er nicht freigeschaltet ist und auch wenn er sich verwählt hat. Das Gerät nimmt den Anruf nicht an – es legt sofort auf, und den Anrufer kostet der Anruf nichts –, aber die Nummer wird vor dem Auflegen erfasst.
• Die Personen, die im persönlichen Adressbuch gespeichert sind, das die Nutzer des Kunden führen, und möglicherweise weder mit dem Kunden noch mit BGates in irgendeiner Beziehung stehen.
• Die natürlichen Personen, die für den Kunden handeln: Verwalter des Durchgangs, Kontaktpersonen, beauftragte Händler und Installateure.

9. Daten, die nicht in den Dienst gelangen dürfen

Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt. Der Kunde verpflichtet sich, in die Freitextfelder – Bezeichnung der freigeschalteten Nummer, Notizen des persönlichen Adressbuchs, Beschreibung des Geräts, Notizen der Stammdaten – keine Daten einzutragen, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, keine genetischen oder biometrischen Daten, keine Gesundheitsdaten, keine Daten zum Sexualleben oder zur sexuellen Orientierung und keine Daten über strafrechtliche Verurteilungen und Straftaten. Stellt BGates solche Daten fest, weist sie den Kunden darauf hin und kann sie entfernen, worüber sie ihn unterrichtet.

10. Dokumentierte Weisungen

10.1 Was die Weisungen sind

Die dokumentierten Weisungen des Kunden im Sinne von Art. 28 Abs. 3 lit. a DSGVO sind, in dieser Reihenfolge:

1. die Nutzung der Plattform gemäß den Dokumenten des Dienstes: die Nutzungsbedingungen, die Besonderen Bedingungen für Kunden und Verwalter, die Nutzungsrichtlinie, die Regeln zur Sicherheit von Konto, Nummern, QR-Codes und Telefonen, die Richtlinie zur Datenaufbewahrung, dieser Vertrag und die technische Dokumentation des Geräts. Jeder Vorgang, den der Kunde oder wer für ihn handelt, im persönlichen Bereich, in der BGates-App oder am Gerät ausführt, ist eine Weisung von ihm und wird vom Dienst aufgezeichnet;
2. die Einstellungen, die der Kunde konfiguriert: Nummern, Tage, Zeitfenster, Ablaufdaten, QR-Codes, Benachrichtigungen, Berechtigungen der mit seinem Durchgang verbundenen Nutzer;
3. die schriftlichen Anfragen, die an info@bgates.it gesendet oder über den Support gestellt werden, wenn der Kunde einen Vorgang verlangt, den die Plattform nicht selbst ausführen lässt (zum Beispiel einen Auszug, eine Massenberichtigung oder eine vorzeitige Löschung).

BGates verarbeitet die Daten aus Abschnitt 3 nicht zu anderen Zwecken, auch nicht für Übermittlungen in Drittländer, es sei denn, sie ist nach dem Recht der Union oder des Mitgliedstaats dazu verpflichtet: In diesem Fall teilt sie dies dem Kunden vorab mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Anfragen, die eine Tätigkeit erfordern, die nicht im Entgelt des Abonnements enthalten ist, werden vor der Ausführung angeboten; Anfragen, die zur Erfüllung einer gesetzlichen Pflicht oder zur Umsetzung eines Rechts einer betroffenen Person nötig sind, werden nie von einer Zahlung abhängig gemacht.

10.2 Wenn eine Weisung gegen das Gesetz verstößt

Verstößt eine Weisung nach Auffassung von BGates gegen die DSGVO oder andere Datenschutzvorschriften, informiert BGates den Kunden unverzüglich (Art. 28 Abs. 3 Unterabsatz 2) und setzt die Ausführung nur des beanstandeten Teils aus, bis der Kunde sie schriftlich bestätigt oder ändert. Bestätigt der Kunde eine Weisung, die BGates für offensichtlich rechtswidrig hält, kann BGates ihre Ausführung verweigern und in schweren Fällen den Dienst gemäß den Nutzungsbedingungen sperren.

10.3 Was die Weisungen nicht verlagern

Die Weisungen des Kunden übertragen nicht auf den Kunden die Verantwortung von BGates für die Gestaltung und die Sicherheit der Plattform (Art. 25 und 32 DSGVO). Insbesondere haftet BGates dafür, dass der Dienst es ermöglicht, die Nummer einer Person ohne jede Prüfung, ob sie ihr gehört, freizuschalten, sowie für die Voreinstellungen des Dienstes; der Kunde haftet für die Wahl der Person, für die Information dieser Person und für die Aufhebung der Freischaltung. Die Erklärung, mit der der Verwalter bestätigt, die Person informiert zu haben, verlagert eine Pflicht des Kunden, hebt aber keine Pflicht von BGates auf.

11. Pflichten des Kunden als Verantwortlicher

Der Kunde:

1. informiert die Personen, deren Nummer er freischaltet, mit den Informationen nach Art. 14 DSGVO, vor oder spätestens bei der ersten Nutzung des Durchgangs. BGates stellt mit der Einladung einen Link zu den Hinweisen für Zutrittsberechtigte zu: Das ist eine Hilfe, keine Erfüllung der Pflicht des Kunden;
2. prüft, dass er berechtigt ist, diese Nummer freizuschalten, und schaltet keine fremden Nummern ohne Wissen der Person frei;
3. hebt die Freischaltung der Nummer am selben Tag auf, an dem die Person nicht mehr hineinkommen soll. Eine Mobilfunknummer kann vom Mobilfunkanbieter einer anderen Person neu zugeteilt werden: Bleibt sie freigeschaltet, öffnet diese Person;
4. entscheidet, wo der dauerhafte QR-Code angebracht und wem die Einmal-QR-Codes übergeben werden, und sperrt sie, wenn sie nicht mehr gebraucht werden;
5. verwendet das Öffnungsprotokoll nicht zur Fernkontrolle der Tätigkeit der Arbeitnehmer. Wenn der Durchgang den Zutritt zu einer Arbeitsstätte ermöglicht, erfüllt der Kunde selbst die Anforderungen aus Art. 4 der Legge 20 maggio 1970, n. 300 (italienisches Arbeitnehmerstatut), einschließlich der Information der Arbeitnehmer und, wo erforderlich, des Vereinbarungs- oder Genehmigungsverfahrens;
6. verpflichtet seine eigenen Nutzer – Verwalter, Kontaktpersonen, Händler und Installateure, die für ihn tätig sind – zur Vertraulichkeit und unterweist sie in der Nutzung;
7. hält die Kontaktdaten aktuell, die für die in diesem Vertrag vorgesehenen Mitteilungen nötig sind, einschließlich der Mitteilung über Verletzungen;
8. nimmt seine eigene Bewertung vor des berechtigten Interesses und, wenn erforderlich, die Datenschutz-Folgenabschätzung für seine eigene Anlage.

Der Kunde gewährleistet BGates, dass die Daten, die er ihr übermittelt oder von ihr verarbeiten lässt, rechtmäßig erhoben wurden und dass die Weisungen, die er erteilt, gesetzeskonform sind.

12. Vertraulichkeit und befugte Personen

BGates gewährleistet, dass die Personen, die befugt sind, die Daten im Auftrag des Kunden zu verarbeiten:

• schriftlich benannt sind als befugte Personen im Sinne von Art. 2-quaterdecies des Codice in materia di protezione dei dati personali (Codice privacy, italienisches Datenschutzgesetzbuch, D.Lgs. 196/2003), mit einer genauen Liste der zulässigen Vorgänge. So ist es vorgesehen, ist aber zum 22. September 2026 noch nicht umgesetzt: Zum Datum dieser Version arbeiten die BGates-Mitarbeiter ohne individuelle schriftliche Benennung, und die Schreiben sind in Vorbereitung.
• sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen oder vertraglichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und dass diese Verpflichtung über das Ende des Arbeits- oder Mitarbeitsverhältnisses hinaus fortbesteht;
• nur auf Weisung des Verantwortlichen handeln (Art. 29 DSGVO);
• auf die Daten des Kunden nur zugreifen, wenn es nötig ist, um den Dienst zu erbringen oder einer Supportanfrage nachzukommen, und nicht aus Neugier oder für eigene Zwecke.

Was aufgezeichnet wird. Die Zugriffe der BGates-Mitarbeiter auf die sensibelsten Informationen – Auslesen der persönlichen Adressbücher, Auslesen der geräteinternen Nummernliste, Export des Öffnungsprotokolls, Herunterladen der Logs des Geräts, Druck der QR-Codes, Lesen der Support-Korrespondenz, Änderung von Rollen, Löschung von Nutzern, Export der Daten – werden in einem Protokoll der Verwaltungsaktionen aufgezeichnet, das 24 Monate aufbewahrt wird. Auf schriftliche Anfrage erhält der Kunde innerhalb von 30 Tagen einen Auszug der Zeilen, die seine Daten betreffen.

13. Sicherheitsmaßnahmen

BGates trifft die in Art. 32 DSGVO vorgesehenen technischen und organisatorischen Maßnahmen, die in Anlage B beschrieben sind. Anlage B unterscheidet, ohne etwas zu beschönigen, was heute in Betrieb ist, was gerade eingeführt wird und was es heute nicht gibt: Sie ist für den geschrieben, der ein Risiko bewerten muss, nicht zur Beruhigung.

Kein Teil dieses Vertrags behauptet, dass die Daten absolut sicher sind: Keine Maßnahme gewährleistet das. BGates verpflichtet sich, das Gesamtniveau der Maßnahmen während der gesamten Laufzeit des Vertrags nicht zu senken und Anlage B zu aktualisieren, wenn sie sich ändert.

14. Unterauftragsverarbeiter

Allgemeine Genehmigung. Der Kunde genehmigt BGates gemäß Art. 28 Abs. 2 DSGVO, die Unterauftragsverarbeiter in Anspruch zu nehmen, die im Dokument Dienstleister (/fornitori) aufgeführt sind, das durch Verweisung Bestandteil dieses Vertrags ist. Die Liste gibt für jeden den vollständigen Namen des vertragschließenden Unternehmens, die erbrachte Leistung, die Kategorien der verarbeiteten Daten, das Land und die Grundlage der Übermittlung aus dem Europäischen Wirtschaftsraum an. Anlage C führt die Unterauftragsverarbeiter auf, die zum Datum dieser Version Daten des Kunden verarbeiten.

Hinzufügungen und Ersetzungen. BGates teilt dem Kunden die Absicht, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, mit einer Vorankündigung von mindestens 15 Tagen mit, per E-Mail an die Adresse des Kontos und durch Aktualisierung des Dokuments Dienstleister. Das ist dieselbe Frist wie in Abschnitt 10 des Dokuments Dienstleister (/fornitori) und in Abschnitt 22 der Besonderen Bedingungen für Kunden und Verwalter.

Einspruch. Innerhalb der Ankündigungsfrist kann der Kunde schriftlich und mit Gründen, die den Datenschutz betreffen, Einspruch erheben. In diesem Fall suchen die Parteien in gutem Glauben innerhalb von 30 Tagen nach einer alternativen Lösung; finden sie keine, kann der Kunde den betroffenen Teil des Dienstes oder das Abonnement ohne Vertragsstrafe kündigen, mit Erstattung des gezahlten und nicht genutzten Anteils. Bis zum Ablauf der Ankündigungsfrist und, im Fall eines Einspruchs, bis zur Beilegung der Meinungsverschiedenheit vertraut BGates diesem Unterauftragsverarbeiter die Daten des Kunden nicht an. Ist die Inanspruchnahme dieses Unterauftragsverarbeiters für die Erbringung des Dienstes unerlässlich, erklärt BGates dies in der Vorankündigung: In diesem Fall wählt der Kunde innerhalb von dreißig Tagen zwischen der Annahme des Unterauftragsverarbeiters und der Kündigung des Abonnements ohne Vertragsstrafe, mit Erstattung des gezahlten und nicht genutzten Anteils, und bis zu seiner Wahl wird der Dienst fortgesetzt, ohne dass seine Daten dem neuen Unterauftragsverarbeiter anvertraut werden.

Dringende Ersetzung. Stellt ein Unterauftragsverarbeiter seine Leistung ein oder entfällt seine Zuverlässigkeit, kann BGates ihn mit einer kürzeren Vorankündigung ersetzen; sie informiert den Kunden innerhalb von 5 Tagen nach der Ersetzung und nennt den Grund; das Einspruchsrecht bleibt mit denselben Wirkungen bestehen.

Bedingungen. Jedem Unterauftragsverarbeiter erlegt BGates vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag vorgesehen sind (Art. 28 Abs. 4 DSGVO). BGates haftet gegenüber dem Kunden für die Pflichtverletzungen ihrer Unterauftragsverarbeiter wie für eigene.

15. Unterstützung bei den Rechten der betroffenen Personen

BGates unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, den Anträgen der betroffenen Personen nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

Wenn der Antrag bei BGates eingeht. BGates antwortet nicht in der Sache für den Kunden. Sie nimmt den Antrag innerhalb von 24 Stunden an, leitet ihn innerhalb von 5 Arbeitstagen an den Kunden weiter, mit allem, was er für die Antwort braucht, sagt der betroffenen Person, an wen sie ihn weitergeleitet hat, und steht dem Kunden für die Extraktion der Daten zur Verfügung. Wenn die betroffene Person es verlangt, kann BGates die Freischaltung der Nummer bis zur Entscheidung des Kunden sofort aussetzen: Das ist eine technische Vorsichtsmaßnahme, keine Entscheidung in der Sache über den Antrag.

Wenn der Antrag beim Kunden eingeht. BGates stellt innerhalb von 10 Arbeitstagen nach der schriftlichen Anfrage die Daten und Informationen zur Verfügung, die der Kunde nicht selbst aus dem persönlichen Bereich entnehmen kann.

Was der Kunde selbst tun kann. Im persönlichen Bereich sieht der Kunde die freigeschalteten Nummern und das Öffnungsprotokoll seines Durchgangs ein und exportiert sie, hebt die Freischaltung einer Nummer auf, sperrt einen QR-Code, berichtigt die einer Nummer zugeordnete Bezeichnung und löscht eine Zeile des persönlichen Adressbuchs.

Widerspruchsrecht. Da die Grundlage der Verarbeitung das berechtigte Interesse des Kunden ist, kann die betroffene Person nach Art. 21 DSGVO widersprechen. Die Entscheidung obliegt dem Kunden, der sie schriftlich treffen und begründen muss; liegen keine überwiegenden zwingenden schutzwürdigen Gründe vor, ist die Nummer zu entfernen. BGates führt die Entscheidung aus und bewahrt einen Nachweis darüber auf.

16. Unterstützung bei Sicherheit, Verletzungen und Datenschutz-Folgenabschätzungen

BGates unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Art. 28 Abs. 3 lit. f) unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen. Konkret stellt sie die Beschreibung der Sicherheitsmaßnahmen (Anlage B), die Informationen über die Datenflüsse und die Unterauftragsverarbeiter, die für eine Datenschutz-Folgenabschätzung nötigen Angaben sowie die in den Abschnitten 17 und 18 vorgesehene Unterstützung zur Verfügung.

BGates stellt dem Kunden außerdem auf Anfrage einen Auszug ihres Verzeichnisses der in seinem Auftrag durchgeführten Kategorien von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) zur Verfügung.

17. Verletzungen des Schutzes personenbezogener Daten

Wer meldet. Betrifft die Verletzung Daten, die im Auftrag des Kunden verarbeitet werden, ist der Kunde der Verantwortliche: Die Meldung an den Garante und die etwaige Benachrichtigung der betroffenen Personen obliegen ihm. BGates meldet nicht an seiner Stelle und ersetzt nicht seine Bewertung.

Was BGates tut. Sie informiert den Kunden unverzüglich und jedenfalls innerhalb von 24 Stunden nach Bekanntwerden der Verletzung (Art. 33 Abs. 2 DSGVO). Die Frist beträgt 24 Stunden, weil dem Kunden mindestens 48 der 72 Stunden bleiben müssen, die ihm Art. 33 Abs. 1 für die Entscheidung und die Meldung einräumt.

Zeitpunkt des Bekanntwerdens. Das ist der Zeitpunkt, zu dem BGates mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat. Datum und Uhrzeit werden vor jeder anderen Tätigkeit im internen Verzeichnis der Verletzungen vermerkt.

Inhalt der Mitteilung an den Kunden, soweit zum jeweiligen Zeitpunkt bekannt, mit späteren Ergänzungen, ohne das vollständige Bild abzuwarten:

Unterstützung. Auf Anfrage des Kunden unterstützt BGates ihn bei der Meldung an den Garante und bei der Benachrichtigung der betroffenen Personen und stellt ihm die Angaben zur Verfügung, über die sie verfügt. Ist die einzige verfügbare Kontaktmöglichkeit einer betroffenen Person die Telefonnummer, verwendet BGates sie im Auftrag des Kunden, mit einer kurzen Nachricht ohne Werbung.

Verzeichnis der Verletzungen. BGates dokumentiert jede Verletzung, die sie betrifft, auch die nicht gemeldeten, wie in Art. 33 Abs. 5 DSGVO verlangt.

Eine zweite Uhr, die nicht die der DSGVO ist. Betrifft der Vorfall eine Schwachstelle des Geräts oder des Dienstes, unterliegt BGates auch den Meldepflichten der Verordnung (EU) 2024/2847 über Cybersicherheitsanforderungen für Produkte mit digitalen Elementen: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht und Information der Nutzer. Das sind andere Fristen und andere Empfänger als die aus Art. 33 DSGVO, und sie laufen parallel. Das Verfahren ist im Dokument Umgang mit Datenschutzverletzungen und Sicherheitsvorfällen (/incidenti) beschrieben.

18. Datenschutz-Folgenabschätzung und vorherige Konsultation

BGates hat für die Verarbeitungen der Plattform eine eigene Datenschutz-Folgenabschätzung durchgeführt und hält sie aktuell.

Der Kunde beurteilt selbst, ob seine Nutzung des Dienstes eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordert. Das ist insbesondere der Fall, wenn der Durchgang den Zutritt zu einer Arbeitsstätte ermöglicht oder wenn das Öffnungsprotokoll eine große Zahl von Personen betrifft. BGates stellt auf schriftliche Anfrage und ohne zusätzliche Kosten innerhalb von 20 Arbeitstagen die Informationen über die Funktionsweise des Dienstes, die Datenflüsse, die Unterauftragsverarbeiter und die Sicherheitsmaßnahmen zur Verfügung, die zu ihrer Durchführung nötig sind.

Muss der Kunde nach Art. 36 DSGVO vorab den Garante konsultieren, stellt BGates ihm die nützlichen Informationen innerhalb derselben Frist zur Verfügung.

19. Überprüfungen und Inspektionen

BGates stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, und trägt zu ihnen bei (Art. 28 Abs. 3 lit. h).

Dokumentenprüfung. Einmal im Jahr kann der Kunde verlangen: die aktuelle Beschreibung der Sicherheitsmaßnahmen, die Liste der Unterauftragsverarbeiter, den Auszug aus dem Verzeichnis der in seinem Auftrag durchgeführten Verarbeitungen, den Auszug aus dem Protokoll der Verwaltungsaktionen, die seine Daten betreffen, und die Beantwortung eines Prüffragebogens. BGates antwortet innerhalb von 30 Tagen nach der Anfrage.

Inspektion vor Ort. Der Kunde kann bei BGates eine Inspektion durchführen, selbst oder durch einen unabhängigen Prüfer, der kein Wettbewerber von BGates ist und zur Vertraulichkeit verpflichtet ist, unter folgenden Bedingungen:

1. schriftliche Vorankündigung von mindestens 30 Tagen, mit Angabe des Umfangs und der Namen;
2. einmal im Jahr, es sei denn, die Inspektion wird von der Aufsichtsbehörde verlangt oder folgt auf eine Verletzung des Schutzes personenbezogener Daten, die den Kunden betroffen hat: In diesen Fällen gilt die Häufigkeitsgrenze nicht, und die Vorankündigung verkürzt sich auf 5 Arbeitstage;
3. während der Geschäftszeiten, ohne die Erbringung des Dienstes zu unterbrechen;
4. ohne Zugang zu den Daten anderer Kunden, zu Geschäftsgeheimnissen und zu Zugangsdaten, und ohne Kopie von Material, das Daten Dritter enthält;
5. auf Kosten des Kunden, einschließlich der Kosten eines etwaigen Prüfers. Die eigenen gewöhnlichen Tätigkeiten zur Beantwortung trägt BGates; stellt die Inspektion eine schwere Pflichtverletzung von BGates fest, trägt BGates die angemessenen Kosten.

Der Inspektionsbericht ist zwischen den Parteien vertraulich, vorbehaltlich der Pflicht, ihn der Aufsichtsbehörde auszuhändigen, die ihn anfordert.

Keine Klausel dieses Abschnitts schließt die Befugnisse des Garante und der anderen Aufsichtsbehörden aus oder beschränkt sie.

20. Ort der Verarbeitung und Übermittlungen aus dem Europäischen Wirtschaftsraum

Die Daten aus Abschnitt 3 werden auf Servern in Nürnberg, Deutschland, bei der netcup GmbH gespeichert.

Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums; sie sind in Anlage C und im Dokument Dienstleister als solche gekennzeichnet. Für die im Data Privacy Framework zertifizierten Dienstleister beruht die Übermittlung auf dem Angemessenheitsbeschluss (EU) 2023/1795 (Art. 45 DSGVO); der Beschluss ist in Kraft, wurde in erster Instanz vom Gericht der Europäischen Union (EuG) am 3. September 2025 bestätigt (Rechtssache T-553/23), und das Rechtsmittel ist anhängig. Für die nicht zertifizierten Dienstleister beruht die Übermittlung auf den von der Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), begleitet von einer Bewertung der Übermittlung. Die Klauseln bleiben auch mit den zertifizierten Dienstleistern in Kraft.

Der Kunde kann eine Kopie der für eine bestimmte Übermittlung geltenden Garantien anfordern, indem er an info@bgates.it schreibt.

BGates übermittelt Daten des Kunden nicht zu anderen Zwecken als der Erbringung des Dienstes aus dem Europäischen Wirtschaftsraum und tut dies nicht aus eigener Initiative, ohne den Kunden zu informieren.

21. Speicherung

Während der Dauer des Vertragsverhältnisses speichert BGates die im Auftrag des Kunden verarbeiteten Daten gemäß den Fristen der Richtlinie zur Datenaufbewahrung (/conservazione), dem Dokument, in dem diese Fristen festgelegt sind. Sie sind zur Erleichterung des Lesens in Anlage A wiedergegeben: Sollten die beiden Texte voneinander abweichen, gilt die Richtlinie zur Datenaufbewahrung.

Die Fristen gelten auch während des laufenden Vertragsverhältnisses: Sie sind keine Folge der Beendigung. Der Kunde kann für seinen Durchgang kürzere Fristen verlangen; er kann keine längeren Fristen als die angegebenen verlangen.

22. Ende des Vertragsverhältnisses: Rückgabe und Löschung

Bei Beendigung des Vertragsverhältnisses gibt BGates nach Wahl des Kunden alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten zurück oder löscht sie (Art. 28 Abs. 3 lit. g DSGVO).

Was bleibt, und warum. Es bleiben nur: die Daten, die BGates aufgrund einer gesetzlichen Pflicht aufbewahren muss – insbesondere die Buchhaltungs- und Steuerdaten, 10 Jahre lang nach Art. 2220 des Codice civile (italienisches Zivilgesetzbuch) –, und die Aufzeichnungen der Zustimmungen zu den Dokumenten, die nach dem Ende des Vertragsverhältnisses 10 Jahre lang als Nachweis dafür aufbewahrt werden, was wann angenommen wurde. Diese Daten werden nicht mehr im Auftrag des Kunden verarbeitet: BGates bewahrt sie als Verantwortlicher in gesperrter Form auf und verwendet sie nur für die Pflicht, der sie dienen.

Außerdem bleiben die anonymen Daten und die aggregierten Statistiken, die keinen Rückschluss auf eine natürliche Person zulassen.

23. Außerbetriebnahme des Geräts

Bei Beendigung, Austausch oder Weiterverkauf des Geräts löschen sich die personenbezogenen Daten, die sich im Gerät befinden – die geräteinterne Nummernliste und die Logs des Geräts –, nicht von selbst, und der Befehl zum Neustart der Konfiguration löscht die geräteinterne Nummernliste nicht. Der Kunde und BGates führen das in der Dokumentation des Dienstes beschriebene Verfahren zur Außerbetriebnahme durch: Zurücksetzen auf die Werkseinstellungen, Überprüfung, dass die geräteinterne Nummernliste leer ist, Löschung der etwa auf den Wartungsserver hochgeladenen Konfigurations- und Log-Dateien, Löschung der Zeilen des Öffnungsprotokolls gemäß Abschnitt 22. Die Außerbetriebnahme wird dokumentiert.

24. Haftung

Jede Partei haftet für die Einhaltung der Pflichten, die ihr die DSGVO auferlegt. Gegenüber den betroffenen Personen und gegenüber der Aufsichtsbehörde gelten Art. 82 und 83 DSGVO: Insbesondere haftet der Auftragsverarbeiter für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen oder gegen diese Anweisungen gehandelt hat (Art. 82 Abs. 2).

Hat eine Partei einer betroffenen Person vollständigen Schadenersatz geleistet, kann sie von der anderen den Teil des Schadenersatzes verlangen, der deren Anteil an der Verantwortung entspricht (Art. 82 Abs. 5).

Was nicht beschränkt wird. Die in den Nutzungsbedingungen vorgesehenen Haftungsbeschränkungen gelten nicht für die Pflichten aus diesem Vertrag: Der Schutz personenbezogener Daten gehört zur öffentlichen Ordnung, und Art. 1229 Abs. 2 des Codice civile erklärt eine Vereinbarung für nichtig, die die Haftung dafür im Voraus beschränkt. In keinem Fall beschränkt ist die Haftung für Vorsatz oder grobe Fahrlässigkeit (Art. 1229 Abs. 1).

Keine Freistellung bei personenbezogenen Daten. Die Parteien gewähren sich gegenseitig keine Freistellungen für Verstöße gegen das Datenschutzrecht: Jede haftet für ihre eigene Pflichtverletzung. Unberührt bleiben die Gewährleistungen, die der Kunde BGates zur Rechtmäßigkeit seiner Weisungen gibt (Abschnitt 11), und die vertraglichen Folgen ihrer Verletzung.

25. Verhältnis zu den anderen Dokumenten, anwendbares Recht, Gerichtsstand

Bei Widersprüchen zwischen diesem Vertrag und den anderen Dokumenten des Dienstes in Fragen des Schutzes personenbezogener Daten hat dieser Vertrag Vorrang. In allen anderen Fragen haben die Nutzungsbedingungen und die anwendbaren Bedingungen Vorrang.

Dieser Vertrag unterliegt italienischem Recht. Für Streitigkeiten ist der in den Nutzungsbedingungen vereinbarte Gerichtsstand zuständig; ist der Kunde Verbraucher, bleibt das Gericht seines Wohnsitzes oder gewählten Domizils zuständig. Unberührt bleiben die Befugnisse des Garante per la protezione dei dati personali (italienische Datenschutzaufsichtsbehörde) und das Recht der betroffenen Personen, nach Art. 77 DSGVO Beschwerde einzulegen.

Ist eine Klausel nichtig oder unwirksam, bleiben die übrigen gültig, und die Klausel wird durch die rechtmäßige Klausel ersetzt, die der Absicht der Parteien am nächsten kommt.

Anlage A – Verarbeitungen, Daten, betroffene Personen und Dauer

Anlage B – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt den tatsächlichen Stand der Maßnahmen zum Datum der Version. Sie wird bei jeder wesentlichen Änderung aktualisiert.

B.1 Was heute in Betrieb ist

B.2 Was gerade eingeführt wird

B.3 Was es heute nicht gibt, und was man wissen muss

Dieser Teil wird nicht weggelassen. Ein Kunde, der ein Risiko bewerten muss, hat ein Recht darauf, ihn zu kennen, und ein Dokument, das ihn verschwiege, wäre eine falsche Erklärung.

1. Die Verbindung zwischen dem Gerät und dem Dienst ist nicht verschlüsselt, bei den installierten Geräten: Über den Nachrichtenkanal laufen die Telefonnummern und die Befehle im Klartext. Der Kanal ist aus dem Internet erreichbar.
2. Der Wartungskanal des Geräts ist nicht verschlüsselt: Die Konfigurations- und Log-Dateien, die das Gerät hochlädt – und die die gesamte geräteinterne Nummernliste enthalten –, werden im Klartext übertragen.
3. Es gibt keine Verschlüsselung der Daten im Ruhezustand: weder auf Spalten- noch auf Volume- noch auf Festplattenebene. Die Sicherungskopien sind dagegen verschlüsselt.
4. Es gibt keine Zwei-Faktor-Verifizierung, auch nicht für Verwaltungskonten, und keine Sperrung des Kontos nach einer Anzahl fehlgeschlagener Versuche: Der Schutz ist die Häufigkeitsbegrenzung je Adresse.
5. Es gibt keine Trennung der Daten auf Datenbankebene: Die Trennung zwischen Kunden wird vom Dienst angewandt, nicht von der Datenbank-Engine.
6. Es gibt keine externe Sicherungskopie: Der Verlust des Rechners würde auch den Verlust der Kopien bedeuten.
7. Die Freischaltung einer Nummer prüft nicht, ob diese Nummer der freigeschalteten Person gehört. Das ist eine bekannte Gestaltungsgrenze, für die BGates haftet (Abschnitt 10.3) und deren Behebung geplant ist.
8. Das Passwort des Geräts hat vier Ziffern, und für das Produkt gibt es einen voreingestellten Wert: Die Änderung bei der Übergabe ist eine Pflicht des Kunden, die in den Regeln zur Sicherheit von Konto, Nummern, QR-Codes und Telefonen genannt ist.

Anlage C – Unterauftragsverarbeiter, die Daten des Kunden verarbeiten

Zum Datum dieser Version. Die vollständige und aktuelle Liste, mit dem Datum der letzten Überprüfung, steht im Dokument Dienstleister (/fornitori), das dieser Anlage vorgeht.

Zwei Klarstellungen, die ein Missverständnis vermeiden. Der Zahlungsdienstleister und der Betreiber der SIM-Karten verarbeiten Daten zu Zwecken, für die BGates Verantwortlicher ist (Rechnungsstellung, Konnektivität): Sie sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags und sind in der Datenschutzerklärung aufgeführt. Die Dienste, die die Funkzellenkennung in eine ungefähre Position umwandeln, betreffen die Netzwerkdiagnose des Geräts, für die ebenfalls BGates Verantwortlicher ist.

Änderungen dieses Vertrags

BGates kann diesen Vertrag ändern, um ihn an eine Gesetzesänderung, an eine Maßnahme der Aufsichtsbehörde, an eine Änderung des Dienstes oder an die Hinzunahme eines Unterauftragsverarbeiters anzupassen. Die Änderung wird dem Kunden an die E-Mail-Adresse des Kontos mit einer Vorankündigung von mindestens 30 Tagen mitgeteilt, unter Angabe dessen, was sich ändert; nur für Unterauftragsverarbeiter gilt die kürzere Vorankündigung aus Abschnitt 14, die 15 Tage beträgt, mit dem dort vorgesehenen Einspruchsrecht.

Verringert die Änderung den Schutz des Kunden oder der betroffenen Personen, kann der Kunde das Abonnement innerhalb von 30 Tagen nach der Mitteilung ohne Vertragsstrafe kündigen, mit Erstattung des gezahlten und nicht genutzten Anteils. Änderungen, die lediglich eine gesetzliche Pflicht umsetzen oder eine Garantie hinzufügen, treten zum angegebenen Datum in Kraft, ohne Kündigungsrecht.

Frühere Versionen sind auf Anfrage erhältlich.

Version 2026.09.22-1 – gültig ab 22. September 2026. Wenn wir etwas Wesentliches ändern – einen neuen Zweck, einen neuen Dienstleister, eine längere Speicherdauer –, veröffentlichen wir hier die neue Version mit ihrem Datum, und wenn du ein Konto hast, teilen wir dir das per E-Mail mit. Diesem Dokument stimmst du nicht zu: Du liest es, und wir verlangen von dir keinen Haken. Redaktionelle Korrekturen ändern die Version nicht. Frühere Versionen erhältst du auf Anfrage unter info@bgates.it.