Auftragsverarbeitungsvertrag

Geschlossen nach Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“).

1. Parteien

1. Verantwortlicher: die Organisation, die Juryline zur Durchführung von Programmen nutzt, wie in ihren Organisationseinstellungen in Juryline angegeben (der „Veranstalter“).
2. Auftragsverarbeiter: Everlong s.r.o., Zámocká 8, 811 01 Bratislava, Slowakei, Identifikationsnummer (IČO) 55 271 987, eingetragen im Handelsregister des Stadtgerichts Bratislava III, Abteilung: Sro, Einlage Nr. 167806/B, E-Mail hello@juryline.com („wir“).
3. Die Person, die diesen Vertrag für den Veranstalter annimmt, bestätigt, dass sie für ihn handeln darf.

2. Gegenstand und Dauer

1. Wir verarbeiten personenbezogene Daten für den Veranstalter, wenn er Programme in Juryline durchführt: Erhebung und Speicherung von Bewerbungen, Vorprüfung, Bewertung durch Jurymitglieder, Ergebnisse, Nachrichten und ein Live-Finale.
2. Zweck: Durchführung der Ausschreibung und des Auswahlverfahrens des Veranstalters.
3. Art der Verarbeitung: Erhebung über Formulare, Speicherung, Anzeige für berechtigte Personen, Zuteilung an Jurymitglieder, Berechnung von Ranglisten, Versand von E-Mails, Exporte, Löschung und die zugehörigen Sicherheitsaufzeichnungen.
4. Betroffene Personen: Bewerbende und die in Bewerbungen genannten Personen (zum Beispiel Teammitglieder), Jurymitglieder, die Beschäftigten des Veranstalters sowie Personen aus dem Publikum, die bei einem Live-Finale abstimmen.
5. Kategorien von Daten: Kontaktdaten; Antworten auf die vom Veranstalter festgelegten Felder; hochgeladene Dateien (jeweils bis zu 25 MB); Namen von Teammitgliedern; Status von Bewerbungen, Notizen, Vorprüfung und Entscheidungen; Namen, E-Mail-Adressen, Zugehörigkeiten, Konflikterklärungen, Bewertungen und Kommentare der Jurymitglieder; Nachrichtenprotokolle; bei Publikumsabstimmungen schlüsselbasierte Hashwerte einer Gerätekennung und optional einer E-Mail-Adresse.
6. Juryline fragt keine besonderen Kategorien von Daten ab. Fragt der Veranstalter sie in seinem Formular ab, ist der Veranstalter dafür verantwortlich, über eine Rechtsgrundlage zu verfügen.
7. Dieser Vertrag gilt, solange der Veranstalter Juryline nutzt.

3. Weisungen

1. Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Veranstalters, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht das Recht der EU oder der Slowakei etwas anderes verlangt.
2. Die Weisungen bestehen aus diesem Vertrag und den Handlungen des Veranstalters in Juryline, etwa dem Veröffentlichen einer Ausschreibung, dem Festlegen von Feldern und ihrer Sichtbarkeit für Jurymitglieder, dem Einladen von Jurymitgliedern, dem Zuteilen von Bewerbungen, dem Versenden von Nachrichten, dem Exportieren, dem Festlegen der Aufbewahrungsfrist und dem Löschen von Daten. Weitere Weisungen können per E-Mail erteilt werden.
3. Der Veranstalter weist uns an,
   • Bewerbenden die Ausschreibung, die Datenschutzerklärung des Veranstalters und das Formular anzuzeigen,
   • Bestätigungen, Erinnerungen und Ergebnis-E-Mails zu senden, die der Veranstalter auslöst,
   • Felder, die der Veranstalter als verborgen markiert, vor den Jurymitgliedern zu verbergen,
   • ein Programm mit allen Bewerbungen, Dateien und Bewertungen nach der festgelegten Anzahl von Monaten (standardmäßig 24) nach Veröffentlichung der Ergebnisse zu löschen, oder nach Ende der Ausschreibung, wenn nie Ergebnisse veröffentlicht werden, nachdem die Inhaber einen Monat vorher daran erinnert wurden.
4. Wir informieren den Veranstalter, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt.

4. Unsere Pflichten

1. Alle Personen bei Everlong mit Zugang zu personenbezogenen Daten sind zur Vertraulichkeit verpflichtet. Der Zugang ist auf Personen beschränkt, die ihn für Betrieb und Support von Juryline benötigen. Unser Support öffnet eine Organisation nur in einer protokollierten Support-Sitzung für 2 Stunden, nur lesend, mit einem Grund, den der Veranstalter in seinen Einstellungen sehen kann.
2. Wir treffen die Maßnahmen in Anhang 1 (Art. 32 DSGVO) und überprüfen sie regelmäßig.
3. Wir beauftragen Unterauftragsverarbeiter nur nach Abschnitt 5.
4. Wir unterstützen den Veranstalter bei der Beantwortung von Anträgen betroffener Personen und leiten Anträge, die uns erreichen, unverzüglich weiter.
5. Wir unterstützen den Veranstalter bei der Einhaltung der Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung.
6. Wir verwenden die Daten des Veranstalters nicht für eigene Zwecke, verkaufen sie nicht und senden keine Bewerbungen, Bewertungen oder anderen Programmdaten an KI-Dienste. Anonyme Gesamtzahlen (etwa die Anzahl der Bewerbungen) dürfen für den Betrieb und die Verbesserung von Juryline verwendet werden.
7. Wir führen ein Verzeichnis der für Veranstalter durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO).

5. Unterauftragsverarbeiter

1. Der Veranstalter erteilt eine allgemeine schriftliche Genehmigung zur Beauftragung der Unterauftragsverarbeiter in Anhang 2.
2. Beabsichtigte Änderungen kündigen wir mindestens 30 Tage im Voraus per E-Mail an die Inhaber der Organisation an. Der Veranstalter kann widersprechen; wenn wir uns nicht einigen können, kann er den Vertrag kündigen, bevor die Änderung wirksam wird.
3. Wir verpflichten jeden Unterauftragsverarbeiter zu denselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

6. Übermittlungen außerhalb der EU

1. Die Datenbank und die Dateien werden in der EU gespeichert (Frankfurt, Deutschland), und die App läuft in der EU.
2. Soweit ein Unterauftragsverarbeiter von außerhalb der EU auf Daten zugreifen kann, stützt sich die Übermittlung auf Kapitel V DSGVO, insbesondere auf das EU-US Data Privacy Framework oder auf Standardvertragsklauseln.

7. Verletzungen des Schutzes personenbezogener Daten

1. Wir melden dem Veranstalter eine Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden, nachdem wir davon Kenntnis erlangt haben, per E-Mail an die Inhaber der Organisation, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
2. Wir unterstützen den Veranstalter bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der betroffenen Personen. Über Meldungen und Benachrichtigungen entscheidet der Veranstalter.

8. Informationen und Audits

1. Auf Anfrage stellen wir die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind.
2. Der Veranstalter oder ein zur Vertraulichkeit verpflichteter Prüfer kann ein Audit durchführen, das mindestens 30 Tage im Voraus angekündigt wird, höchstens einmal pro Jahr und auf Kosten des Veranstalters, außer nach einer Verletzung des Schutzes personenbezogener Daten oder wenn eine Aufsichtsbehörde es verlangt.

9. Pflichten des Veranstalters

1. Der Veranstalter ist verantwortlich für die Rechtmäßigkeit der Verarbeitung, für seine Datenschutzhinweise an Bewerbende und Jurymitglieder und für die von ihm festgelegte Aufbewahrungsfrist.
2. Der Veranstalter gewährt Zugang zu seiner Organisation nur Personen, die ihn benötigen, und entzieht ihn, sobald sie ihn nicht mehr benötigen.
3. Der Veranstalter ist verantwortlich für Daten, die er exportiert, herunterlädt oder außerhalb von Juryline versendet.

10. Ende des Vertrags

1. Der Vertrag endet, wenn die Organisation des Veranstalters gelöscht wird oder wenn der Dienst nach den Nutzungsbedingungen endet.
2. Vor dem Ende kann der Veranstalter seine Daten exportieren. Innerhalb von 30 Tagen nach dem Ende löschen wir die personenbezogenen Daten des Veranstalters, sofern nicht das Recht der EU oder der Slowakei uns zur Aufbewahrung verpflichtet. Backups werden im Rahmen ihres regulären Zyklus überschrieben.

11. Schlussbestimmungen

1. Die Verarbeitung nach diesem Vertrag ist Teil des Dienstes Juryline und wird nicht gesondert vergütet.
2. Die Parteien haften nach Art. 82 DSGVO und nach slowakischem Recht.
3. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), wenn der Veranstalter ein Programm veröffentlicht und bestätigt, dass er die Nutzungsbedingungen und diesen Vertrag annimmt. Wir protokollieren die Fassung, den Zeitpunkt und das Konto, das die Bestätigung abgegeben hat.
4. Ist der Veranstalter eine öffentliche Stelle, die Verträge veröffentlichen muss, veröffentlicht er diesen Vertrag selbst.
5. In Fragen des Datenschutzes hat dieser Vertrag Vorrang vor den Nutzungsbedingungen. Die Anhänge 1 und 2 sind Bestandteil dieses Vertrags.

Anhang 1. Technische und organisatorische Maßnahmen

• Standort: Datenbank, Dateien und App in der EU (Frankfurt, Deutschland).
• Verschlüsselung: bei der Übertragung mit TLS und HSTS; im Ruhezustand durch unsere Hosting-Anbieter.
• Zugriffskontrolle: Row Level Security in der Datenbank legt fest, was jede Person lesen und ändern kann. Veranstalter sehen ihre eigenen Programme; Jurymitglieder sehen nur die ihnen zugeteilten Bewerbungen und nie verborgene Felder; Bewerbende sehen nur ihre eigenen Bewerbungen. Diese Regeln werden für jede Rolle automatisch getestet.
• Anmeldung: keine Passwörter; Einmalcodes und persönliche Links per E-Mail; Sitzungen enden nach 30 Tagen ohne Nutzung.
• Dateien: privater Speicher, Downloads über Links, die nach einer Berechtigungsprüfung 5 Minuten gültig sind, Dateityp anhand des Inhalts geprüft, Größenlimit 25 MB.
• Integrität: Bewertungen, Entscheidungen der Vorprüfung, Konflikterklärungen und Ergebnisentscheidungen können nicht überschrieben werden; Änderungen werden als neue Einträge hinzugefügt. Protokolle werden mit einem SHA-256-Hash und einem Prüfcode versiegelt.
• Support-Zugriff: nur in protokollierten, zeitlich begrenzten Support-Sitzungen mit reinem Lesezugriff, die für den Veranstalter sichtbar sind.
• Audit-Protokoll: Exporte, Downloads von Jury-Protokollen, Rollenänderungen, Support-Sitzungen und Abrechnungsvorgänge, aufbewahrt 24 Monate.
• Löschung: automatisch, täglich, gemäß der Aufbewahrungsfrist des jeweiligen Programms.
• Backups: tägliche Datenbank-Backups durch unseren Hosting-Anbieter, aufbewahrt 7 Tage.
• Missbrauchsschutz: Anfragelimits mit pseudonymen Schlüsseln, die höchstens 2 Tage gespeichert werden.
• KI: Programmdaten werden nie an KI-Dienste gesendet.

Anhang 2. Unterauftragsverarbeiter

Fassung vom 27. Oktober 2026.