Bedingungen zur Auftragsverarbeitung

1. Wer Verantwortlicher und wer Auftragsverarbeiter ist

Sie entscheiden, welche personenbezogenen Daten in Ihre Inhalte aufgenommen werden, was Sie in Ihren Pässen veröffentlichen und wem Sie Zugriff gewähren. Sie sind daher Verantwortlicher für die personenbezogenen Daten in Ihren Inhalten, und wir sind Ihr Auftragsverarbeiter.

Schließen Sie den Vertrag mit ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., verarbeitet diese Gesellschaft Ihre Inhalte unmittelbar für Sie. Schließen Sie den Vertrag mit ZincirX Inc., wird die Plattform von ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. betrieben; diese Gesellschaft verarbeitet Ihre Inhalte als Unterauftragsverarbeiter von ZincirX Inc. auf Grundlage einer schriftlichen Vereinbarung, die sie auf dieselben Pflichten verpflichtet, die diese Bedingungen zur Auftragsverarbeitung vorsehen. ZincirX Inc. bleibt Ihnen gegenüber für diese Verarbeitung verantwortlich.

Unsere Gesellschaften verarbeiten einige personenbezogene Daten auch für eigene Zwecke als Verantwortliche, etwa im Zusammenhang mit den Anmeldedaten und Profilen von Kontoinhabern, deren Nachrichten an den KI-Assistenten, Abrechnung und Zahlungen, Nachweisen über die Annahme unserer Bedingungen, der Sicherheit des Dienstes, Supportanfragen, unserem Marketing gegenüber Geschäftskontakten und der Analyse unserer Website. Für diese Daten gelten nicht diese Bedingungen zur Auftragsverarbeitung, sondern die Datenschutzerklärung (https://zincirx.com/privacy); sie gibt auch an, welche unserer Gesellschaften jeweils dafür verantwortlich ist. Abschnitt 7 nennt die einzigen Verwendungen von Passdaten über den Dienst hinaus, denen Sie zustimmen.

2. Gegenstand und Dauer

Gegenstand der Verarbeitung sind die personenbezogenen Daten in Ihren Inhalten, die wir verarbeiten, um Ihnen ZincirX nach Maßgabe der Nutzungsbedingungen bereitzustellen.

Die Verarbeitung beginnt, wenn Sie erstmals Inhalte in ZincirX einstellen, und dauert so lange an, wie wir Ihre Inhalte speichern: während der Laufzeit Ihres Vertrags mit uns und danach, bis die Inhalte wie in Abschnitt 14 beschrieben zurückgegeben oder gelöscht werden.

Von Ihnen ausgestellte Pässe bleiben für ihre Verfügbarkeitsdauer online: 10 Jahre, gerechnet ab dem Tag, an dem der jeweilige Pass ausgestellt wird, sofern die Bestellung, aus der er stammt, keine andere Dauer angibt; ist in dieser Bestellung ein späteres Enddatum erfasst, gilt das spätere Datum. Sofern nicht für ihre Bestellung im Checkout die Löschung gewählt wurde oder Sie diese bei Ende Ihres Vertrags wählen (Abschnitt 14), dauert die Verarbeitung ihrer Inhalte bis zum Ablauf dieser Dauer an, auch wenn Ihr Vertrag mit uns bereits vorher geendet hat.

Aufzeichnungen über Scans Ihrer QR-Codes werden nach 12 Monaten gelöscht, Aufzeichnungen über Abrufe zugangsbeschränkter Passinhalte nach 36 Monaten.

3. Art und Zweck der Verarbeitung

Wir verarbeiten die personenbezogenen Daten in Ihren Inhalten nur, um Ihnen den Dienst zu erbringen, und verwenden Ihre Passdaten darüber hinaus nur, soweit Abschnitt 7 es zulässt. Die Erbringung des Dienstes umfasst Folgendes.

• Wir speichern Ihre Inhalte und bewahren Datensicherungen der Datenbank auf, in der sie gespeichert sind.
• Wir zeigen Ihre Inhalte Ihren Kontoinhabern entsprechend ihren Rollen in Ihrem Unternehmen an.
• Wir erfassen jeden Produktionsschritt mit dem Zeitpunkt und mit dem Standort, den das Gerät ermittelt, mit dem der Schritt erfasst wird. Wird ein Schritt in der mobilen App erfasst, ermittelt die App außerdem die Adresse dieses Standorts, wie in Abschnitt 10 beschrieben.
• Wir veröffentlichen die öffentlichen Inhalte jedes ausgestellten Passes auf seiner öffentlichen Seite und in den maschinenlesbaren Fassungen dieser Seite. Jede Person kann sie aufrufen, indem sie den QR-Code des Passes scannt, seiner Adresse folgt oder, sofern eine GTIN und eine Losnummer hinterlegt sind, die daraus gebildete GS1-Digital-Link-Adresse verwendet.
• Zugangsbeschränkte Passinhalte zeigen wir nur den Personen an, denen Sie Zugriff gewähren, und wir erfassen jeden ihrer Abrufe.
• Wir erzeugen QR-Codes, Etiketten und Exporte Ihrer Inhalte.
• Wir erfassen Scans Ihrer QR-Codes, damit Sie sehen können, wie oft und wann sie gescannt werden.
• Wir versenden die E-Mails des Dienstes, die Ihr Unternehmen betreffen, etwa die Mitteilung, dass jemand beantragt hat, ihm beizutreten.
• Wir unterstützen Sie, wenn Sie Support anfordern, und halten den Dienst sicher und funktionsfähig.

Über die Verwendungen in Abschnitt 7 hinaus nutzen wir Ihre Inhalte für keine eigenen Zwecke, etwa für Marketing oder zum Training von KI-Modellen.

4. Arten personenbezogener Daten und betroffene Personen

Sie entscheiden, welche personenbezogenen Daten Ihre Inhalte enthalten. Typischerweise gehören dazu die folgenden Daten.

• Namen und andere Angaben zu Personen, die Kontoinhaber in Vorlagen, Chargen, Schritte, Passattribute oder Zertifizierungen eingeben, etwa zu einem Erzeuger, Lieferanten, Prüfer oder einer Ansprechperson.
• Welcher Kontoinhaber eine Vorlage oder Charge angelegt, einen Schritt erfasst, eine Datei hochgeladen oder eine in einer Passrevision erfasste Änderung vorgenommen hat, und wann.
• Der Standort, der zu Beginn und am Ende jedes Schritts von dem Gerät ermittelt wird, mit dem der Schritt erfasst wird, zusammen mit dem Zeitpunkt der Ermittlung und, sofern eine Adresse abgerufen wurde, der Adresse dieses Standorts.
• Als Nachweis hochgeladene Fotos und Dokumente sowie alles, was sie zeigen oder enthalten, etwa das Gesicht, den Namen oder die Unterschrift einer Person.
• Name, Anschrift und Kontaktdaten eines in einem Pass genannten Herstellers, Lieferanten oder anderen Unternehmens, wenn dieses Unternehmen eine natürliche Person ist, etwa ein Einzelunternehmer, oder wenn eine Ansprechperson genannt wird.
• Namen, E-Mail-Adressen und Organisationen der Personen, denen Sie Zugriff auf zugangsbeschränkte Passinhalte gewähren, sowie eine Aufzeichnung jedes ihrer Abrufe, in der ihre IP-Adresse nur als schlüsselbasierter Hashwert gespeichert wird.
• Aufzeichnungen über Scans Ihrer QR-Codes: wann jeder Scan erfolgte, die Browser- und Gerätebeschreibung, die das scannende Gerät übermittelt hat, und statt seiner IP-Adresse ein schlüsselbasierter Hashwert.

Betroffene Personen sind hauptsächlich Ihre Kontoinhaber und Ihre sonstigen Beschäftigten; Personen in Ihrer Lieferkette, etwa Erzeuger, Lieferanten, Auftragnehmer, Prüfer und Transportunternehmen, sowie deren Beschäftigte; Ansprechpersonen von Unternehmen, die in Ihren Pässen genannt werden; Personen, denen Sie Zugriff auf zugangsbeschränkte Passinhalte gewähren; Personen, die Ihre QR-Codes scannen; sowie alle anderen Personen, die auf den von Ihnen hochgeladenen Fotos und Dokumenten erscheinen.

Der Dienst ist weder für besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, noch für Daten über strafrechtliche Verurteilungen bestimmt. Abschnitt 6 fordert Sie auf, solche Daten aus Ihren Inhalten herauszuhalten.

5. Ihre Weisungen

Wir verarbeiten die personenbezogenen Daten in Ihren Inhalten nur auf Ihre dokumentierte Weisung, auch in Bezug auf ihre Übermittlung in andere Länder.

Ihre Weisungen sind: die Nutzungsbedingungen einschließlich dieser Bedingungen zur Auftragsverarbeitung; das, was Ihre Kontoinhaber im Dienst im Rahmen der ihnen von Ihrem Unternehmen zugewiesenen Rollen tun, etwa was sie eingeben, was sie veröffentlichen, welche Pässe sie ausstellen und wem sie Zugriff gewähren; sowie jede weitere Weisung, die ein Inhaber oder Administrator Ihres Unternehmens uns schriftlich erteilt, etwa per E-Mail an info@zincirx.com, und die mit den Nutzungsbedingungen vereinbar ist.

Handlungen, die mit den Zugangsdaten eines Kontoinhabers vorgenommen werden, behandeln wir als Handlungen dieses Kontoinhabers. Das gilt nicht, wenn wir wussten oder vernünftigerweise hätten bemerken müssen, dass eine andere Person die Zugangsdaten nutzte, oder wenn diese Nutzung durch ein Versagen unserer eigenen Sicherheitsmaßnahmen ermöglicht wurde.

Mit der Ausstellung eines Passes weisen Sie uns an, seine öffentlichen Inhalte zu veröffentlichen und ihn für seine Verfügbarkeitsdauer online zu halten, auch nach dem Ende Ihres Vertrags mit uns, weil sein QR-Code bereits auf Produkten im Umlauf aufgedruckt sein kann. Sie können diese Weisung ändern: Sie können personenbezogene Daten in einem ausgestellten Pass berichtigen oder sie entfernen lassen (Abschnitt 11), und bei Ende Ihres Vertrags können Sie Ihre ausgestellten Pässe löschen lassen (Abschnitt 14).

Die Kennung eines ausgestellten Passes wird niemals einem anderen Produkt neu zugeordnet oder wiederverwendet, auch nicht auf Ihre Weisung. Fehler werden in den Aufzeichnungen des Passes berichtigt, wobei Berichtigungen seiner Attribute und Zertifizierungen als Revisionen hinzugefügt werden, und ein Pass kann als zurückgerufen gekennzeichnet werden.

Wird das eigene Konto eines Kontoinhabers geschlossen, weisen Sie uns an, die E-Mail-Adresse, die diese Person als Ersteller einer Vorlage oder Charge, als für einen Produktionsschritt zuständige Person oder als Person nennt, die eine Datei hochgeladen hat, durch eine Adresse zu ersetzen, die niemanden identifiziert, wie auf der Seite „Kontoschließung und Kündigung“ (https://zincirx.com/cancellation-policy) beschrieben. Was diese Person erfasst hat, bleibt in Ihren Aufzeichnungen erhalten. Die Revisionen eines Passes behalten die E-Mail-Adresse der Person, die die jeweilige Änderung vorgenommen hat, so, wie sie zu diesem Zeitpunkt lautete; Sie können sie wie in Abschnitt 11 beschrieben entfernen lassen.

Die Nutzungsbedingungen erlauben uns, den Zugang zu bestimmten Inhalten zu sperren, die rechtswidrig sind oder gegen die Nutzungsbedingungen verstoßen, auch zu Inhalten in einer früheren Revision eines Passes. In diesem Fall senden wir eine Begründung, wie in den Nutzungsbedingungen beschrieben.

Darüber hinaus verarbeiten wir Ihre Inhalte ohne Ihre Weisung nur, wenn eine für uns geltende Rechtsvorschrift dies verlangt: etwa um der Anordnung eines Gerichts oder einer Behörde nachzukommen oder um die zuständigen Behörden über Informationen zu unterrichten, die den Verdacht einer Straftat begründen, die das Leben oder die Sicherheit einer Person bedroht. Bevor wir tätig werden, teilen wir Ihnen diese rechtliche Anforderung mit, sofern uns das Gesetz oder die Behörde dies nicht untersagt.

Sind wir der Auffassung, dass eine Ihrer Weisungen gegen Datenschutzrecht verstößt, informieren wir Sie unverzüglich.

6. Ihre Pflichten als Verantwortlicher

Als Verantwortlicher sind Sie für die personenbezogenen Daten verantwortlich, die Sie in ZincirX einstellen, und dafür, dass Ihre Weisungen an uns dem Datenschutzrecht entsprechen. Insbesondere gilt:

• Sie benötigen eine Rechtsgrundlage für die personenbezogenen Daten in Ihren Inhalten und für alles, was Sie im öffentlichen Teil eines Passes veröffentlichen.
• Sie informieren die betroffenen Personen über die Verarbeitung, wie es das Datenschutzrecht verlangt. Stellen Sie sicher, dass die Personen, die Schritte erfassen, wissen, dass beim Erfassen eines Schritts der Standort ihres Geräts ermittelt wird und dass die Standorte der Schritte auf der öffentlichen Passseite angezeigt werden.
• Behandeln Sie alles im öffentlichen Teil eines Passes als für jedermann veröffentlicht. Nehmen Sie dort keine personenbezogenen Daten auf, es sei denn, sie müssen dort stehen und Sie haben eine Rechtsgrundlage für ihre Veröffentlichung. Namen, Gesichter auf Fotos und die mit Schritten erfassten Standorte können die Personen identifizieren, die für Sie arbeiten.
• Soweit die EU-Ökodesign-Verordnung (ESPR, Verordnung (EU) 2024/1781) auf ein Produkt anwendbar ist, erlaubt sie nicht, personenbezogene Daten über die Kunden des Produkts ohne deren ausdrückliche Einwilligung in seinem digitalen Produktpass zu speichern. Speichern Sie keine personenbezogenen Daten über die Käufer oder Nutzer Ihrer Produkte in einem Pass, es sei denn, diese haben ausdrücklich eingewilligt.
• Nehmen Sie keine besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, und keine Daten über strafrechtliche Verurteilungen in Ihre Inhalte auf.
• Sie beantworten die Anträge von Personen, die ihre Rechte in Bezug auf personenbezogene Daten in Ihren Inhalten ausüben. Abschnitt 11 beschreibt die Unterstützung, die wir dabei leisten.

7. Grenzen der Verwendung von Passdaten

Die EU-Ökodesign-Verordnung (ESPR, Verordnung (EU) 2024/1781) erlaubt es einem Digitalproduktpass-Dienstleister nicht, Passdaten zu verkaufen, weiterzuverwenden oder über das für seinen Speicher- oder Verarbeitungsdienst erforderliche Maß hinaus zu verarbeiten, sofern dies nicht ausdrücklich mit dem Wirtschaftsteilnehmer vereinbart ist, der das Produkt in Verkehr bringt.

Wir wenden diese Regel auf jeden Pass an, den wir hosten, unabhängig davon, ob die Verordnung bereits auf das Produkt anwendbar ist und ob der Pass personenbezogene Daten enthält. Wir verkaufen Passdaten nicht, verwenden sie für keine eigenen Zwecke weiter und verarbeiten sie weder ganz noch teilweise über das hinaus, was erforderlich ist, um Ihnen den Dienst zu erbringen.

Mit der Annahme dieser Bedingungen zur Auftragsverarbeitung stimmen Sie ausdrücklich zwei darüber hinausgehenden Verwendungen zu und keinen anderen.

• Wir zählen die Vorlagen und Chargen aller unserer Kunden zusammen, einschließlich der Zahl der Chargen in jedem Status, und veröffentlichen diese Gesamtzahlen über ZincirX. Die Gesamtzahlen identifizieren kein Unternehmen, kein Produkt und keine Person.
• Wenn ein Kontoinhaber sich entscheidet, Passdaten in den KI-Assistenten einzugeben, senden wir diese Nachricht an Google, das sie für uns verarbeitet, um die Antwort zu erzeugen. Der Assistent ist unsere eigene Funktion und keine Verarbeitung, die wir in Ihrem Auftrag vornehmen: Er liest Ihre Inhalte nie von sich aus, die Gesellschaft, mit der Sie den Vertrag schließen, ist Verantwortlicher für das, was in ZincirX in ihn eingegeben wird, und wir speichern nichts davon, wie in der Datenschutzerklärung (https://zincirx.com/privacy) beschrieben. Personenbezogene Daten sollten nicht in ihn eingegeben werden.

Die EU-Batterieverordnung (Verordnung (EU) 2023/1542) lässt für Batteriepässe keine solche Vereinbarung zu. Jeder ZincirX-Pass deckt eine Produktionscharge ab, und ZincirX-Pässe sind keine Batteriepässe im Sinne dieser Verordnung, wie in den Nutzungsbedingungen festgehalten.

8. Vertraulichkeit

Innerhalb unserer Gesellschaften erhalten nur Personen Zugriff auf Ihre Inhalte, die ihn benötigen, um den Dienst zu betreiben, Support dafür zu leisten oder ihn abzusichern, und nur in dem Umfang, in dem sie ihn benötigen.

Alle Personen, die wir zur Verarbeitung Ihrer Inhalte befugen, sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet.

Wir legen Ihre Inhalte nur offen, soweit diese Bedingungen zur Auftragsverarbeitung es erlauben: gegenüber unseren Unterauftragsverarbeitern und, bei Standorten von Schritten, die in der mobilen App erfasst werden, gegenüber der Adresssuche des Telefons (Abschnitt 10); gegenüber den Personen, denen Sie Zugriff gewähren; gegenüber der Öffentlichkeit im öffentlichen Teil Ihrer Pässe, wie Sie es anweisen; und wenn das Gesetz es verlangt (Abschnitt 5).

9. Sicherheitsmaßnahmen

Wir treffen zum Schutz Ihrer Inhalte technische und organisatorische Maßnahmen, die den Risiken der Verarbeitung angemessen sind. Dazu gehört Folgendes.

• Daten werden zwischen Browsern oder den mobilen Apps und unseren Servern über verschlüsselte Verbindungen (HTTPS) übertragen.
• Der Zugriff auf die Inhalte eines Unternehmens hängt von der Mitgliedschaft in diesem Unternehmen und von der Rolle des Mitglieds darin ab. Nur die Inhaber und Administratoren des Unternehmens und, bei einer Charge, die Person, die sie angelegt hat, können die Attribute und Zertifizierungen eines Passes ändern.
• Passwörter werden nur als Hashwerte gespeichert, niemals in lesbarer Form. Kontoinhaber können die Zwei-Faktor-Anmeldung mit einem Einmalcode aktivieren, und die mobilen Apps melden sich mit Zugriffstokens an, die ungültig gemacht werden können.
• Nicht öffentliche Passattribute werden nicht in öffentliche Passseiten und nicht in die öffentlichen maschinenlesbaren Formate aufgenommen. Zugangsbeschränkte Attribute werden nur Personen angezeigt, denen Sie Zugriff gewährt haben, jeder Abruf wird erfasst, und ein Attribut, dessen Zugriffsstufe unbekannt ist, wird so behandelt, als hätte es die am stärksten beschränkte Zugriffsstufe.
• Jede hochgeladene Datei erhält einen SHA-256-Fingerabdruck, sodass sich später zeigen lässt, dass die Datei nicht verändert wurde.
• Änderungen an den Attributen, Zertifizierungen und der Produktgruppe eines Passes werden als Revisionen erfasst, die nur fortlaufend ergänzt werden: Jede Änderung wird als neue Revision hinzugefügt, und frühere Revisionen bleiben erhalten, abgesehen von Inhalten, die wie in den Abschnitten 5 und 11 beschrieben entfernt oder gesperrt werden. Änderungen an den Angaben zu Schritten und entfernte Dateien werden nicht als Revisionen aufbewahrt.
• Öffentliche Passseiten enthalten keine Analyse- oder Tracking-Werkzeuge. IP-Adressen in den Aufzeichnungen über Scans von QR-Codes und über Abrufe zugangsbeschränkter Inhalte werden nur als schlüsselbasierte Hashwerte gespeichert, und diese Aufzeichnungen werden nach 12 bzw. 36 Monaten gelöscht.
• QR-Codes werden auf unseren eigenen Servern erzeugt, sodass Passadressen dafür nicht an externe Dienste gesendet werden.
• Wir bewahren Datensicherungen der Datenbank auf.
• Wir können ein Konto sofort sperren, wenn es den Anschein hat, dass es übernommen oder missbraucht wurde. Eine Sperrung hindert Sie nie daran, eine Kopie Ihrer Inhalte zu erhalten: Wenn Sie sich nicht anmelden können, bitten Sie uns unter info@zincirx.com um einen Export.

Wir dürfen diese Maßnahmen entsprechend der Weiterentwicklung des Dienstes und der Technik ändern, jedoch nicht so, dass der Schutz, den sie insgesamt bieten, verringert wird.

Auch Ihre eigenen Maßnahmen sind wichtig. Sie entscheiden, wer in Ihrem Unternehmen ein Konto hat und mit welcher Rolle; entziehen Sie daher Personen, die den Zugriff nicht mehr benötigen, diesen Zugriff.

10. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter hinzuzuziehen, die uns bei der Erbringung des Dienstes unterstützen. Wir setzen die folgenden Unterauftragsverarbeiter ein.

• ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., die die Plattform für unsere beiden Gesellschaften betreibt, sofern Sie den Vertrag mit ZincirX Inc. schließen.
• Hostinger, das die Server und den Speicherplatz bereitstellt, auf denen die Plattform läuft und Ihre Inhalte gespeichert sind, sowie den E-Mail-Dienst, über den ZincirX seine E-Mails versendet. Das Land, in dem sich die Server befinden, ist auf der Seite „Datenformate und Infrastruktur“ (https://zincirx.com/data-formats) angegeben.
• MailChannels, über das dieser E-Mail-Dienst die von ZincirX versendeten E-Mails weiterleitet. MailChannels verarbeitet die Adressen der Empfänger und den Inhalt dieser E-Mails.

Google, das für uns die Antworten des KI-Assistenten erzeugt, ist kein Unterauftragsverarbeiter für Ihre Inhalte. Der Assistent liest Ihre Inhalte nie von sich aus, und was ein Kontoinhaber in ZincirX in ihn eingibt, verarbeitet die Gesellschaft, mit der Sie den Vertrag schließen, als Verantwortlicher (Abschnitt 7).

Wird ein Schritt in der mobilen App erfasst, lässt die App den ermittelten Standort von der in das Telefon integrierten Adresssuche in eine Adresse umwandeln, die mit dem Schritt gespeichert wird. Die Abfrage beantwortet der Anbieter des Betriebssystems des Telefons: auf einem iPhone Apple und auf den meisten Android-Telefonen Google. Er erhält die Koordinaten des Standorts.

Wir halten diese Liste mit den Angaben zu jedem Unterauftragsverarbeiter und dazu, wo er Ihre Inhalte verarbeitet, auf dem neuesten Stand und senden sie Ihnen auf Anfrage zu: Schreiben Sie an info@zincirx.com.

Wir verpflichten jeden Unterauftragsverarbeiter schriftlich auf Datenschutzpflichten, die inhaltlich dieselben sind wie unsere Pflichten nach diesen Bedingungen zur Auftragsverarbeitung. Wir haften Ihnen gegenüber in vollem Umfang für die Einhaltung dieser Pflichten durch jeden Unterauftragsverarbeiter.

Bevor wir einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informieren wir die Inhaber und Administratoren Ihres Unternehmens per E-Mail, und zwar so rechtzeitig, dass Sie vor dem Wirksamwerden der Änderung Einspruch erheben können.

Sie können aus sachlichen Gründen, die den Datenschutz betreffen, Einspruch erheben, indem Sie an info@zincirx.com schreiben. Wir bemühen uns dann, Ihrem Einspruch abzuhelfen, etwa indem wir den neuen Unterauftragsverarbeiter nicht für Ihre Inhalte einsetzen.

Können wir ihm nicht abhelfen, können Sie Ihren Vertrag kündigen, ohne dass für den Ausstieg Entgelte anfallen, wie im Abschnitt der Nutzungsbedingungen über Anbieterwechsel, Ausstieg und Löschung beschrieben. Von Ihnen bereits ausgestellte Pässe bleiben für ihre Verfügbarkeitsdauer online, sofern nicht für ihre Bestellung im Checkout die Löschung gewählt wurde oder Sie diese bei Ihrem Ausstieg wählen (Abschnitt 14), und Sie können personenbezogene Daten aus ihnen entfernen lassen, wie in Abschnitt 11 beschrieben.

11. Anträge betroffener Personen

Personen, deren personenbezogene Daten in Ihren Inhalten enthalten sind, können sich an Sie als Verantwortlichen wenden, um ihre Rechte auszuüben, etwa auf Auskunft, Berichtigung oder Löschung. Richtet eine dieser Personen einen solchen Antrag an uns, leiten wir ihn unverzüglich an Sie weiter und beantworten ihn nicht selbst, außer mit dem Hinweis, dass wir ihn weitergeleitet haben.

Die meisten Ihrer Inhalte können Sie selbst kostenlos einsehen, berichtigen und exportieren. Inhaber und Administratoren können alle von Ihrem Unternehmen ausgestellten Pässe in einer einzigen Datei im offenen Format zincirx.dpp herunterladen, auf jeder Zugriffsstufe, mit ihrer vollständigen Revisionshistorie und einem Manifest mit SHA-256-Fingerabdrücken. Chargenlisten und die Einzelheiten einer einzelnen Charge können als CSV oder PDF exportiert werden, der öffentliche Teil jedes Passes ist als JSON-LD und als Ereignisse nach GS1 EPCIS 2.0 verfügbar, jede hochgeladene Datei kann in ihrer ursprünglichen Form heruntergeladen werden, und jeder Kontoinhaber kann seine eigenen Daten als JSON herunterladen. Die Seite „Datenformate und Infrastruktur“ (https://zincirx.com/data-formats) beschreibt diese Formate. Alles, was Sie nicht selbst exportieren können, etwa alle Originaldateien in einem einzigen Download, senden wir Ihnen auf Anfrage zu: Schreiben Sie an info@zincirx.com.

Bei den Attributen, Zertifizierungen und der Produktgruppe eines Passes werden Änderungen bewusst nur fortlaufend ergänzt: Eine Berichtigung wird als neue Revision hinzugefügt, und frühere Revisionen bleiben erhalten. Das ist eine Entscheidung darüber, wie die Aufzeichnungen geführt werden, und bedeutet nicht, dass sich nichts löschen ließe. Angaben zu Schritten, etwa Notizen und Standorte, können von den Personen, die zur Verwaltung der Charge berechtigt sind, bearbeitet und hochgeladene Dateien von ihnen entfernt werden; diese Änderungen werden nicht als Revisionen aufbewahrt.

Müssen personenbezogene Daten in Ihren Inhalten berichtigt, gelöscht oder in ihrer Verarbeitung eingeschränkt werden, etwa weil die betroffene Person ein Recht ausgeübt hat, dem Sie nachkommen müssen, nehmen Sie die Korrektur selbst vor, soweit der Dienst dies ermöglicht: Bearbeiten Sie den Schritt, entfernen Sie die Datei oder fügen Sie eine Revision hinzu, die die Attribute oder Zertifizierungen eines Passes berichtigt. Müssen die Daten auch aus früheren Revisionen oder aus sonstigen Inhalten entfernt werden, die Sie nicht selbst ändern können, schreiben Sie an info@zincirx.com. Auf Ihre Weisung entfernt unser Team sie oder sperrt den Zugang zu ihnen, und der Pass selbst bleibt online.

Darüber hinaus unterstützen wir Sie, soweit wir können, mit den uns zur Verfügung stehenden Informationen und Werkzeugen dabei, Anträge innerhalb der Fristen zu beantworten, die das Datenschutzrecht vorsieht: nach der DSGVO innerhalb eines Monats, wobei diese Frist erforderlichenfalls um weitere zwei Monate verlängert werden kann, und nach dem KVKK innerhalb von 30 Tagen. Weisungen, die Sie uns nach diesem Abschnitt erteilen, führen wir unverzüglich aus, damit Sie diese Fristen einhalten können.

12. Unterstützung bei Ihren weiteren Pflichten

Unter Berücksichtigung der Funktionsweise des Dienstes und der uns zur Verfügung stehenden Informationen unterstützen wir Sie bei der Erfüllung Ihrer Pflichten nach Art. 32 bis 36 DSGVO: zur Sicherheit der Verarbeitung, zu Verletzungen des Schutzes personenbezogener Daten (Abschnitt 13), zu Datenschutz-Folgenabschätzungen und zur Konsultation einer Aufsichtsbehörde vor einer Verarbeitung, die ein hohes Risiko birgt.

In der Praxis stellen wir Ihnen Informationen darüber zur Verfügung, wie der Dienst personenbezogene Daten verarbeitet, sowie über die Maßnahmen in Abschnitt 9, und wir beantworten Ihre angemessenen Fragen dazu unter info@zincirx.com.

13. Verletzungen des Schutzes personenbezogener Daten

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust oder zur Veränderung personenbezogener Daten in Ihren Inhalten oder zu ihrer unbefugten Offenlegung oder zum unbefugten Zugang zu ihnen führt.

Wird uns eine solche Verletzung bekannt, informieren wir Sie unverzüglich per E-Mail an die Inhaber und Administratoren Ihres Unternehmens, damit Sie Ihre eigenen Pflichten zur Meldung an die Aufsichtsbehörden und zur Benachrichtigung der betroffenen Personen erfüllen können.

Wir teilen Ihnen mit, was wir wissen: was geschehen ist, welche Arten personenbezogener Daten und ungefähr wie viele Personen und Datensätze betroffen sind, welche Folgen wahrscheinlich sind, was wir dagegen unternommen haben oder zu unternehmen vorschlagen und an wen Sie sich für weitere Informationen wenden können. Können wir Ihnen nicht alles auf einmal mitteilen, teilen wir Ihnen mit, was uns vorliegt, und reichen weitere Informationen nach, sobald wir mehr erfahren.

Wir ergreifen die Maßnahmen, die uns vernünftigerweise möglich sind, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen, und unterstützen Sie bei den Meldungen und Benachrichtigungen, die Ihnen obliegen.

14. Rückgabe und Löschung bei Beendigung des Dienstes

Wenn der Dienst endet, können Sie Ihre Inhalte zurückerhalten, indem Sie sie exportieren oder zu einem anderen Anbieter oder in Ihre eigenen Systeme übertragen lassen; anschließend löschen wir sie. Bei Pässen, die Sie ausgestellt haben, entscheidet die im Checkout für jede Bestellung getroffene Wahl, ob sie zusammen mit den übrigen Inhalten gelöscht werden oder bis zum Ende ihrer Verfügbarkeitsdauer online bleiben, und Sie können diese Wahl bei Ihrem Ausstieg ändern. Der Abschnitt der Nutzungsbedingungen (https://zincirx.com/terms) zu Anbieterwechsel, Ausstieg und Löschung legt den zeitlichen Ablauf entsprechend der EU-Datenverordnung (Data Act, Verordnung (EU) 2023/2854) fest. Zusammengefasst:

• Rückgabe: Sie können Ihre Inhalte während der Laufzeit Ihres Vertrags jederzeit exportieren, auch während der Kündigungsfrist von 30 Kalendertagen ab dem Tag, an dem Ihre Kündigung bei uns eingeht, und, wenn Sie zu einem anderen Anbieter oder in Ihre eigenen Systeme wechseln, während des sich daran anschließenden Übergangszeitraums von 30 Kalendertagen, den Sie einmal verlängern können. Der Export ist kostenlos.
• Abrufzeitraum: Anschließend haben Sie 30 Kalendertage Zeit, Ihre Inhalte abzurufen, gerechnet ab dem Ende des Übergangszeitraums, wenn Sie wechseln, oder, wenn Sie die Löschung ohne Übertragung gewählt haben, ab dem Ende Ihres Vertrags mit Ablauf der Kündigungsfrist.
• Löschung: Mit Ablauf des Abrufzeitraums löschen wir Ihre Inhalte einschließlich der darin enthaltenen personenbezogenen Daten, soweit die nachstehenden Punkte nichts anderes vorsehen.
• Ausgestellte Pässe: Pässe, die Sie ausgestellt haben, bleiben bis zum Ende ihrer Verfügbarkeitsdauer online, auch nachdem Ihr Vertrag geendet hat, es sei denn, für ihre Bestellung wurde im Checkout die Löschung gewählt oder Sie fordern uns in Ihrer Kündigung oder bis zum Ablauf der Kündigungsfrist auf, sie zusammen mit Ihren übrigen Inhalten zu löschen; diese Pässe werden mit Ablauf des Abrufzeitraums gelöscht. Die QR-Codes dieser Pässe führen dann zu keinem Datensatz mehr; prüfen Sie daher vorher, ob die für Ihre Produkte geltenden Vorschriften verlangen, dass deren Pässe verfügbar bleiben.
• Ende der Verfügbarkeitsdauer: Endet die Verfügbarkeitsdauer eines Passes nach dem Ende Ihres Vertrags, löschen wir die Inhalte dieses Passes, ausgenommen Inhalte, die ein noch online verfügbarer Pass ebenfalls nutzt, etwa seine Vorlage.
• Personenbezogene Daten in ausgestellten Pässen: Sie können uns jederzeit, auch nach dem Ende Ihres Vertrags, anweisen, personenbezogene Daten aus einem ausgestellten Pass zu entfernen, wie in Abschnitt 11 beschrieben.
• Datensicherungen: Eine Kopie gelöschter Inhalte, die in einer Datensicherung verbleibt, wird sicher verwahrt, zu keinem anderen Zweck verwendet und gelöscht, sobald diese Datensicherung gelöscht wird.
• Gesetzliche Pflichten: Über diese Zeitpunkte hinaus bewahren wir Ihre Inhalte nur auf, soweit uns das Unionsrecht oder das Recht der Mitgliedstaaten oder, für Kunden von ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., das türkische Recht dazu verpflichtet, und nur so lange, wie diese Pflicht besteht.

Unabhängig davon, wie Ihr Vertrag endet, behalten Sie das Recht, Ihre Inhalte nach diesem Zeitplan abzurufen.

Aufzeichnungen, die wir als Verantwortliche führen, etwa Zahlungs- und Rechnungsunterlagen sowie Aufzeichnungen über Ihre Annahme unserer Bedingungen, gehören nicht zu Ihren Inhalten. Wie lange wir sie aufbewahren, ist in der Datenschutzerklärung (https://zincirx.com/privacy) angegeben.

15. Informationen und Überprüfungen

Wir stellen Ihnen alle Informationen zur Verfügung, die erforderlich sind, um nachzuweisen, dass wir unsere Pflichten aus diesen Bedingungen zur Auftragsverarbeitung erfüllen.

Sie oder ein von Ihnen beauftragter unabhängiger Prüfer, der zur Vertraulichkeit verpflichtet ist, können überprüfen, ob wir diese Bedingungen einhalten, einschließlich im Wege von Inspektionen. Teilen Sie uns schriftlich und mit angemessenem Vorlauf mit, was Sie prüfen möchten. Wir antworten zunächst mit Unterlagen und schriftlichen Auskünften; wünschen Sie danach weiterhin eine Überprüfung, vereinbaren wir mit Ihnen einen Termin dafür.

Eine Überprüfung darf weder Zugang zu Daten anderer Kunden verschaffen noch die Sicherheit des Dienstes beeinträchtigen.

16. Internationale Datenübermittlungen

Die Plattform wird von ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. betrieben, einer in der Türkei niedergelassenen Gesellschaft, und ZincirX Inc. ist eine in den Vereinigten Staaten gegründete Gesellschaft. In welchem Land sich die Server befinden, auf denen Ihre Inhalte gespeichert sind, ist auf der Seite „Datenformate und Infrastruktur“ (https://zincirx.com/data-formats) angegeben; andere Unterauftragsverarbeiter können Daten in anderen Ländern verarbeiten. Keine unserer beiden Gesellschaften ist in der Europäischen Union niedergelassen. Die Europäische Kommission hat für die Türkei keinen Angemessenheitsbeschluss erlassen, und ihr Angemessenheitsbeschluss für die Vereinigten Staaten gilt nur für Organisationen, die nach dem Datenschutzrahmen EU-USA (EU-U.S. Data Privacy Framework) zertifiziert sind.

Gilt die DSGVO für Ihre Verarbeitung der personenbezogenen Daten in Ihren Inhalten und sind Sie in der Europäischen Union niedergelassen, gelten für deren Übermittlung an uns und für ihre Weiterübermittlung die folgenden Garantien.

• Es gelten die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, die die Europäische Kommission mit dem Durchführungsbeschluss (EU) 2021/914 erlassen hat, und zwar in ihrem Modul Zwei (Übermittlung von Verantwortlichen an Auftragsverarbeiter), mit Ihnen als Datenexporteur und der Gesellschaft, mit der Sie den Vertrag schließen, als Datenimporteur; für einen in der Europäischen Union niedergelassenen Kunden ist dies ZincirX Inc. Die Klauseln werden durch diese Bezugnahme Bestandteil dieser Bedingungen zur Auftragsverarbeitung.
• Für die Anhänge der Klauseln sind die Parteien Sie und diese Gesellschaft, mit den Angaben in Ihrem Konto und im Impressum (https://zincirx.com/legal-notice). Die Abschnitte 2 bis 4, 10 und 14 dieser Bedingungen zur Auftragsverarbeitung beschreiben die Übermittlung, die fortlaufend erfolgt, solange Sie den Dienst nutzen, und Abschnitt 9 legt die technischen und organisatorischen Maßnahmen fest.
• Es gilt die in den Klauseln vorgesehene Option der allgemeinen schriftlichen Genehmigung für Unterauftragsverarbeiter, mit der Mitteilung und dem Einspruchsrecht nach Abschnitt 10.
• Die Klauseln unterliegen dem Recht des EU-Mitgliedstaats, in dem Sie niedergelassen sind; für Streitigkeiten aus den Klauseln sind die Gerichte dieses Mitgliedstaats zuständig, und zuständige Aufsichtsbehörde ist diejenige, die für Sie als Datenexporteur zuständig ist.
• Schließen Sie den Vertrag mit ZincirX Inc., ist ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. durch die schriftliche Vereinbarung, nach der diese Gesellschaft Ihre Inhalte verarbeitet, an dieselben Datenschutzpflichten gebunden, die die Klauseln ZincirX Inc. auferlegen, einschließlich der Rechte, die die Klauseln den betroffenen Personen einräumen.
• An jeden anderen Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums übermitteln wir Ihre Inhalte nur, wenn die Europäische Kommission beschlossen hat, dass das Land des Empfängers ein angemessenes Schutzniveau bietet, oder mit einer von der DSGVO anerkannten Garantie: denselben Standardvertragsklauseln im jeweils passenden Modul oder, bei einem nach dem Datenschutzrahmen EU-USA zertifizierten Empfänger in den Vereinigten Staaten, dem Angemessenheitsbeschluss der Europäischen Kommission für diesen Rahmen (Durchführungsbeschluss (EU) 2023/1795). Gilt dieser Beschluss nicht mehr, stützen wir uns stattdessen auf die Standardvertragsklauseln.
• Wir stellen Ihnen die Informationen zur Verfügung, die Sie vernünftigerweise benötigen, um, wie es Klausel 14 der Klauseln verlangt, die Rechtsvorschriften und Gepflogenheiten der Länder zu beurteilen, in die Ihre Inhalte gelangen.

Die Klauseln sind im Amtsblatt der Europäischen Union veröffentlicht. Eine Ausfertigung mit ausgefüllten Anhängen können Sie unter info@zincirx.com bei uns anfordern.

Abschnitt 17 behandelt Übermittlungen aus der Türkei für Kunden von ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş.

17. Kunden in der Türkei

Für Kunden von ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. gilt für die personenbezogenen Daten in Ihren Inhalten das Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK). Nach diesem Gesetz sind Sie der Verantwortliche (veri sorumlusu) und ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. ist Ihr Auftragsverarbeiter (veri işleyen). Diese Bedingungen zur Auftragsverarbeitung sind die Vereinbarung zwischen uns über diese Verarbeitung; ergänzend gelten die folgenden Punkte.

Nach Art. 12 Abs. 2 KVKK sind Sie und wir gemeinsam dafür verantwortlich, die technischen und organisatorischen Maßnahmen zu treffen, die die Sicherheit der personenbezogenen Daten gewährleisten. Wir treffen die in Abschnitt 9 beschriebenen Maßnahmen.

Wir legen die personenbezogenen Daten, die wir für Sie verarbeiten, nicht unter Verstoß gegen das KVKK offen und verwenden sie zu keinem anderen Zweck als dem, sie gemäß diesen Bedingungen zur Auftragsverarbeitung für Sie zu verarbeiten. Diese Pflicht besteht auch nach dem Ende Ihres Vertrags fort.

Abgesehen von der in Abschnitt 10 beschriebenen Adresssuche des Telefons gelangen die personenbezogenen Daten nur an diejenigen in Abschnitt 10 genannten Unterauftragsverarbeiter ins Ausland, die sie außerhalb der Türkei verarbeiten, und nur für die Tätigkeit, die dieser Abschnitt für jeden von ihnen angibt: die Zustellung von E-Mails und, soweit sich die Server außerhalb der Türkei befinden, das Hosting. Diese Übermittlungen nehmen wir nur auf einer Grundlage vor, die Art. 9 KVKK zulässt, etwa auf der Grundlage eines vom Ausschuss für den Schutz personenbezogener Daten bekannt gemachten Standardvertrags, der der Behörde für den Schutz personenbezogener Daten innerhalb von fünf Arbeitstagen nach seiner Unterzeichnung gemeldet wird. Auf eine Einwilligung stützen wir diese Übermittlungen nicht.

Stellt jemand bei Ihnen einen Antrag nach Art. 11 KVKK zu personenbezogenen Daten in Ihren Inhalten, unterstützen wir Sie dabei, den Antrag innerhalb der nach Art. 13 KVKK zulässigen Frist von 30 Tagen abzuschließen. Stellt die Person den Antrag stattdessen bei uns, leiten wir ihn unverzüglich an Sie weiter.

Werden personenbezogene Daten, die wir für Sie verarbeiten, von Dritten unrechtmäßig erlangt, informieren wir Sie unverzüglich, wie in Abschnitt 13 beschrieben, damit Sie die betroffenen Personen und den Ausschuss für den Schutz personenbezogener Daten benachrichtigen können.

Bei Beendigung werden die personenbezogenen Daten gelöscht, vernichtet oder anonymisiert, wie in Abschnitt 14 beschrieben.

18. Haftung, Änderungen und Vorrang

Die Haftungsbeschränkungen der Nutzungsbedingungen gelten für diese Bedingungen zur Auftragsverarbeitung, außer soweit das Gesetz eine Beschränkung der Haftung nicht zulässt; dazu gehört die Haftung für Vorsatz oder grobe Fahrlässigkeit. Nichts in den Nutzungsbedingungen beschränkt die Rechte, die das Datenschutzrecht oder die Standardvertragsklauseln den Personen einräumen, deren personenbezogene Daten in Ihren Inhalten enthalten sind.

Über jede Änderung dieser Bedingungen zur Auftragsverarbeitung informieren wir Sie per E-Mail und im Dienst, nicht nur durch die Veröffentlichung einer neuen Fassung auf dieser Seite. Eine neue Fassung gilt für Sie, sobald sie im Namen Ihres Unternehmens akzeptiert wurde. Darum werden Sie gebeten, bevor Sie die Web-App weiter nutzen, und die Annahme wird erfasst. Bis dahin gilt die zuletzt für Ihr Unternehmen akzeptierte Fassung.

Akzeptieren Sie eine neue Fassung nicht, gilt weiterhin die zuletzt für Ihr Unternehmen akzeptierte Fassung, und Sie können weiterhin einen Export Ihrer Inhalte erhalten und Ihren Vertrag kündigen, wie in Abschnitt 14 beschrieben.

Weichen diese Bedingungen zur Auftragsverarbeitung und die übrigen Nutzungsbedingungen darin voneinander ab, wie wir personenbezogene Daten in Ihrem Auftrag verarbeiten, gehen diese Bedingungen zur Auftragsverarbeitung vor. Soweit die Standardvertragsklauseln gelten, gehen sie beiden vor.

Diese Bedingungen zur Auftragsverarbeitung unterliegen demselben Recht, und für Streitigkeiten über sie sind dieselben Gerichte zuständig, wie in den Nutzungsbedingungen vorgesehen; abweichend davon regelt Abschnitt 16, welchem Recht die Standardvertragsklauseln unterliegen.

19. Kontakt

Für alle Anliegen zu diesen Bedingungen zur Auftragsverarbeitung, einschließlich Weisungen, Einsprüchen gegen einen Unterauftragsverarbeiter, Anfragen zu Überprüfungen und Anfragen zur Entfernung personenbezogener Daten aus einem Pass, schreiben Sie an info@zincirx.com oder rufen Sie uns unter +90 536 587 41 81 an. Beides ist auch auf unserer Kontaktseite (https://zincirx.com/contact) aufgeführt.

Die Angaben zu unseren Gesellschaften, einschließlich unserer Vertreter und ihrer Kontaktdaten, finden Sie im Impressum (https://zincirx.com/legal-notice), und die Adresse info@zincirx.com steht Ihnen jederzeit zur Verfügung.