Auftragsverarbeitungsvertrag. Die Daten des Unternehmens unter Kontrolle des Unternehmens.

1. Parteien und Vertragsschluss

Verantwortlicher ist der Kunde des Dienstes Mivare Space, d. h. der Unternehmer, der ein Unternehmenskonto registriert hat, nachfolgend „Verantwortlicher“.

Auftragsverarbeiter ist MIVARE GROUP PROSTA SPÓŁKA AKCYJNA mit Sitz in Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, handelnd unter der Marke Mivare Space, nachfolgend „Auftragsverarbeiter“ oder „Mivare“.

Dieser Vertrag über die Auftragsverarbeitung personenbezogener Daten, nachfolgend „DPA“, ist ein Vertrag im Sinne von Art. 28 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO). Er wird in elektronischer Form mit der Annahme der Nutzungsbedingungen des Dienstes Mivare Space (MSP-LEG-001) bei der Registrierung des Unternehmenskontos geschlossen und gilt für die Dauer des Vertrags sowie bis zum Abschluss der in Abschnitt 12 beschriebenen Tätigkeiten.

Großgeschriebene Begriffe haben die ihnen in den Nutzungsbedingungen zugewiesene Bedeutung. In Angelegenheiten des Schutzes personenbezogener Daten hat das DPA Vorrang vor den Nutzungsbedingungen.

2. Gegenstand, Art und Zweck der Verarbeitung

Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten, die vom Verantwortlichen, von Nutzern und von Externen Personen, die öffentliche Funktionen der Anwendung nutzen (Kunden des Verantwortlichen, Architekten und Personen, die für die B2B-Partner handeln), in die Anwendung eingegeben werden, ausschließlich zum Zweck der Erbringung des Dienstes Mivare Space.

Die Verarbeitung umfasst die für die Erbringung des Dienstes erforderlichen Vorgänge: Speichern, Organisieren, Ordnen, Suchen, Einsehen, Ändern und Löschen von Daten auf Weisung des Verantwortlichen, ihre Anzeige für Nutzer und Externe Personen in dem vom Verantwortlichen eingestellten Umfang, Erzeugung von Dokumenten und Aufstellungen, Speicherung der Geräteposition bei der Anwesenheitserfassung, Entfernung von Metadaten aus hochgeladenen Fotos, Versand von E-Mails an Kunden des Verantwortlichen, der durch Nutzer oder Einstellungen der Anwendung ausgelöst wird, Betrieb der öffentlichen Funktionen der Anwendung, Erstellung von Zusammenfassungen durch die Assistentin Mivi, sofern der Kontoadministrator und der Nutzer sie aktiviert haben, Erstellung von Datensicherungen sowie Zugriff im Rahmen des technischen Supports und der Störungsbehebung.

Der Auftragsverarbeiter verarbeitet die ihm anvertrauten Daten nicht für eigene Zwecke, verknüpft sie nicht mit Daten anderer Kunden, verkauft sie nicht und verwendet sie weder für Profiling noch für das Training von Modellen künstlicher Intelligenz.

3. Kategorien betroffener Personen und Daten

Kategorien betroffener Personen:

• Kunden des Verantwortlichen: natürliche Personen, einschließlich solcher, die eine gewerbliche Tätigkeit ausüben, sowie Kontaktpersonen von Kunden, die Unternehmen sind;
• Mitarbeiter und Mitwirkende des Verantwortlichen, einschließlich der Nutzer der Anwendung;
• vom Verantwortlichen zu Projekten eingeladene Architekten und Planer;
• B2B-Partner des Verantwortlichen, deren Kontaktpersonen sowie Kunden, deren Daten der Partner in Meldungen übermittelt;
• Subunternehmer des Verantwortlichen und deren Kontaktpersonen;
• Kontaktpersonen von Lieferanten und anderen Geschäftspartnern des Verantwortlichen;
• sonstige Personen, deren Daten der Verantwortliche im Rahmen der Zweckbestimmung der Anwendung in diese eingibt.

Kategorien personenbezogener Daten:

• Identifikations- und Kontaktdaten: Vor- und Nachname, Firmenname, Anschrift, Korrespondenzanschrift, Telefonnummer, E-Mail-Adresse, bevorzugter Kontaktkanal und bevorzugte Sprache;
• Kennungen: NIP, REGON, KRS, EU-Umsatzsteuer-Identifikationsnummer und, sofern der Verantwortliche sie eingibt, PESEL-Nummer;
• Daten über Projekte und Immobilien: Anschriften und Lage der Projekte, Einheiten und Räume, Grundrisse mit Raumumrissen und Markierungen, Arbeitsumfang, Zeitpläne, Aufgaben, Notizen, Unterhaltungen, Kostenvoranschläge, Auswahl von Materialien und Ausstattung einschließlich der Preise, Änderungen des Leistungsumfangs, Abnahmeprotokolle, Mängel und Gewährleistungen;
• Innenraumfotos in den Arbeitsphasen, Fotos von Varianten und Inspirationen, von Kunden übermittelte Mängelfotos sowie andere von Nutzern und Externen Personen angehängte Dateien;
• in der Anwendung oder in ihren öffentlichen Funktionen getroffene Entscheidungen, abgegebene Annahmen und Kommentare;
• Daten der Zusammenarbeit mit B2B-Partnern: Meldungen, Entscheidungsbefugnisse, Provisionssätze und Provisionsabrechnungen;
• Einwilligungen und Kommunikationspräferenzen der Kunden des Verantwortlichen sowie Kontaktverlauf;
• Daten von Mitarbeitern und Mitwirkenden: Kontaktdaten, Notfallkontakt, Position, Fähigkeiten, Form und Dauer der Zusammenarbeit, Anwesenheitserfassung mit Geräteposition bei Arbeitsbeginn und Arbeitsende, Arbeitszeitnachweise, Kostensätze, ausgegebene Ausrüstung;
• technische Daten: IP-Adresse und Zeitstempel der in der Anwendung oder in ihren öffentlichen Funktionen ausgeführten Handlungen.

Die Anwendung ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) bestimmt, und der Verantwortliche überträgt solche Daten nicht zur Verarbeitung. Stellt der Auftragsverarbeiter fest, dass solche Daten eingegeben wurden, informiert er den Verantwortlichen darüber.

4. Pflichten des Verantwortlichen

Der Verantwortliche ist verantwortlich für das Vorliegen einer Rechtsgrundlage für die Verarbeitung, für die Richtigkeit der eingegebenen Daten, für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen sowie für die Einholung der für den Versand von Nachrichten über die Anwendung erforderlichen Einwilligungen.

Der Verantwortliche entscheidet, ob und gegenüber wem er die Anwesenheitserfassung mit Geräteposition einsetzt, und ist für die Vereinbarkeit dieser Verarbeitung mit dem Arbeitsrecht verantwortlich, einschließlich der Information der Mitarbeiter und Mitwirkenden über ihren Zweck und Umfang.

Der Verantwortliche entscheidet, welchen Externen Personen und in welchem Umfang er die öffentlichen Funktionen zugänglich macht, insbesondere darüber, dass ein zu einem Projekt eingeladener Architekt dessen Räume, Grundrisse und Fotos unabhängig von der Kennzeichnung „für den Kunden sichtbar“ sieht und dass ein B2B-Partner die Daten seiner Kunden übermittelt, nachdem er in der Anwendung bestätigt hat, dass er hierfür eine Grundlage hat; der Verantwortliche legt mit dem Partner die Grundsätze dieser Zusammenarbeit fest.

Der Verantwortliche konfiguriert die Anwendung, einschließlich der Berechtigungen der Nutzer, der Speicherdauer des Ereignisprotokolls, der Pflicht zur Zwei-Faktor-Authentifizierung und der öffentlichen Funktionen, in einer dem Risiko seiner Verarbeitung angemessenen Weise.

5. Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen sind: die Nutzungsbedingungen und das DPA, die vom Verantwortlichen vorgenommene Konfiguration der Anwendung und die Handlungen der Nutzer und der Externen Personen in der Anwendung sowie Weisungen, die von der E-Mail-Adresse des Kontoadministrators an support@mivarespace.com übermittelt werden.

Der Auftragsverarbeiter darf die Daten ohne Weisung des Verantwortlichen nur verarbeiten, wenn er nach dem Recht der Union oder eines Mitgliedstaats hierzu verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese Pflicht vor Beginn der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich darüber und kann ihre Ausführung bis zur Klärung aussetzen.

6. Vertraulichkeit

Der Auftragsverarbeiter gewährt Zugang zu den Daten ausschließlich befugten Personen, die den Zugang für die Erbringung des Dienstes, den technischen Support oder die Störungsbehebung benötigen und die sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Zugriff des Personals des Auftragsverarbeiters auf die Daten eines konkreten Unternehmenskontos erfolgt ausschließlich in dem Umfang, der zur Bearbeitung einer Meldung des Verantwortlichen, zur Behebung einer Störung oder zur Gewährleistung der Sicherheit erforderlich ist.

7. Sicherheit der Verarbeitung

Der Auftragsverarbeiter wendet die in Art. 32 DSGVO genannten, dem Risiko angemessenen technischen und organisatorischen Maßnahmen an. Stand ihrer Umsetzung zum Gültigkeitsdatum des DPA:

• Verschlüsselung der Datenübertragung mit dem TLS-Protokoll (Status: umgesetzt);
• Speicherung von Passwörtern ausschließlich als Hashwert mit dem Algorithmus Argon2id, Anforderungen an die Passwortstärke und Prüfung auf allgemein bekannte Passwörter (Status: umgesetzt);
• Zwei-Faktor-Authentifizierung (TOTP) für alle Nutzer verfügbar, mit der Möglichkeit, sie durch den Verantwortlichen verpflichtend vorzuschreiben; Zwei-Faktor-Authentifizierung für die administrativen Konten des Auftragsverarbeiters (Status: umgesetzt);
• Begrenzung der Anzahl der Anmeldeversuche, Sperrung des Kontos nach fehlgeschlagenen Versuchen und automatischer Ablauf inaktiver Sitzungen (Status: umgesetzt);
• logische Trennung der Daten jedes Unternehmenskontos auf Ebene der Anwendung und der Datenbank (Status: umgesetzt);
• öffentliche Funktionen der Anwendung ausschließlich über Links mit zufälligem Schlüssel und Ablaufdatum zugänglich, wobei der Schlüssel in der Datenbank ausschließlich als Hashwert gespeichert wird, mit zusätzlicher Verifizierung anhand von Daten, die der berechtigten Person bekannt sind, einer Begrenzung der Versuche und Protokollierung jedes Aufrufs (Status: umgesetzt);
• Entfernung von Metadaten, einschließlich der Position, aus hochgeladenen Fotos (Status: umgesetzt);
• Speicherung der Dateien in einem privaten Dateispeicher (Object Storage) in der Europäischen Union, Verschlüsselung durch die Anwendung vor der Übertragung in den Dateispeicher, getrennte Ablage für jedes Kundenkonto und Bereitstellung ausschließlich über die Anwendung nach Autorisierung, wobei die Anwendung die Datei im Moment des Herunterladens entschlüsselt (Status: umgesetzt);
• Prüfung jeder hochgeladenen Datei mit Antivirensoftware vor dem Speichern (Status: umgesetzt);
• Prinzip minimaler Berechtigungen für die Nutzer und das Personal des Auftragsverarbeiters, einschließlich einer gesonderten Berechtigung für Kosten und Margen (Status: umgesetzt);
• Ereignisprotokollierung in der Anwendung (Ereignisprotokoll; Status: umgesetzt);
• automatische Datensicherungen: stündlich eine Sicherung der Datenbank, 7 Tage lang aufbewahrt, sowie täglich eine vollständige Sicherung der Datenbank, 3 Tage lang aufbewahrt, und eine laufende Sicherung der Dateien, in der eine gelöschte Datei höchstens 30 Tage verbleibt; die Datensicherungen werden vor dem Speichern verschlüsselt, der zu ihrem Lesen erforderliche Schlüssel wird außerhalb des Servers und außerhalb des Speicherorts der Datensicherungen aufbewahrt, und die Datensicherungen selbst werden in der Europäischen Union in einem separaten Object-Storage-Container gespeichert, der vom Server der Anwendung und vom Dateispeicher getrennt ist; regelmäßiger Wiederherstellungstest (Status: umgesetzt);
• Einspielen von Updates und Sicherheitspatches (Status: umgesetzt);
• Verfahren zur Behandlung von Sicherheitsvorfällen (Status: umgesetzt);
• Verschlüsselung der Datenbank auf der Serverfestplatte (Status: nicht umgesetzt, geplant); bis zur Umsetzung wird der Schutz der Daten in der Datenbank durch Zugriffskontrolle, das Prinzip minimaler Berechtigungen und die Ereignisprotokollierung gewährleistet; Dateien und Datensicherungen werden gemäß den vorstehenden Punkten verschlüsselt.

Der Auftragsverarbeiter erklärt keine ISO- oder SOC-Zertifizierung. Der Auftragsverarbeiter kann die Sicherheitsmaßnahmen ändern, sofern die Änderung das allgemeine Schutzniveau nicht senkt.

8. Unterauftragsverarbeitung

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern mit der Verarbeitung der Daten. Zum Gültigkeitsdatum des DPA setzt der Auftragsverarbeiter folgende Unterauftragsverarbeiter ein:

• Contabo GmbH (Deutschland, München): Server, auf dem die Anwendung samt Datenbank betrieben wird, Dateispeicher und Speicher der Datensicherungen (Object Storage); Rechenzentren in der Europäischen Union; Zugriff auf alle Datenkategorien im Rahmen der Erbringung von Infrastrukturleistungen; Dateien im Dateispeicher und Datensicherungen werden vom Auftragsverarbeiter vor dem Speichern verschlüsselt; keine Übermittlung außerhalb des Europäischen Wirtschaftsraums.
• OVH Sp. z o.o. (Gruppe OVHcloud): Versand von E-Mails aus der Anwendung sowie Domains und Webseiten von Mivare; Rechenzentren in der Europäischen Union; Zugriff auf die in den aus der Anwendung versandten E-Mails enthaltenen Daten, ausschließlich im Umfang ihrer Zustellung; keine Übermittlung außerhalb des Europäischen Wirtschaftsraums.
• Mistral AI SAS (Frankreich, Paris): Erstellung der Zusammenfassungen, Antworten und Dokumententwürfe der Assistentin Mivi, ausschließlich in Unternehmenskonten, in denen der Kontoadministrator sie aktiviert hat, und für Nutzer, die sie aktiviert haben; Verarbeitung und Speicherung in der Europäischen Union, ohne Verwendung der Daten zum Training von Modellen; Anfragen und Antworten werden höchstens 30 Tage ausschließlich zur Missbrauchserkennung gespeichert und anschließend gelöscht; Zugriff auf die in der Anfrage übermittelten Daten; ohne Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums.

Die Assistentin Mivi ist standardmäßig deaktiviert. Mit ihrer Aktivierung für das Unternehmenskonto handelt der Kontoadministrator im Namen des Verantwortlichen und erteilt dessen Genehmigung zur Hinzuziehung von Mistral AI als Unterauftragsverarbeiter im Umfang dieser Funktion; anschließend aktiviert oder deaktiviert jeder Nutzer sie selbst für sein eigenes Konto. Der Auftragsverarbeiter übermittelt an Mistral AI ausschließlich die Daten, die für die Erstellung der Zusammenfassung oder Antwort für den Nutzer erforderlich sind, der die Assistentin aktiviert hat (Einträge des Ereignisprotokolls und Auszüge aus Datensätzen, auf die dieser Nutzer in der Anwendung Zugriff hat), und übermittelt keine Passwörter, Authentifizierungsdaten, Zahlungskartendaten, PESEL-Nummern oder Nummern von Ausweisdokumenten. Im Modul Mivi+ erstreckt sich dieser Umfang auch auf den Inhalt der Dokumente und Datensätze, mit denen der Nutzer mit der Assistentin arbeitet, sowie auf den Verlauf seiner Unterhaltungen mit der Assistentin, den der Auftragsverarbeiter 90 Tage lang in der Anwendung speichert, sofern der Nutzer ihn nicht früher löscht; die im vorstehenden Satz bestimmten Ausschlüsse gelten unverändert. Die Deaktivierung der Assistentin durch den Kontoadministrator oder durch den Nutzer beendet die Übermittlung von Daten in diesem Umfang sofort.

Über die geplante Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Kontoadministrator vorab per E-Mail und veröffentlicht die aktuelle Liste im DPA. Der Verantwortliche kann innerhalb von 14 Tagen nach Erhalt der Information einen begründeten Einspruch erheben. Einigen sich die Parteien nicht auf eine Lösung, kann der Verantwortliche den Vertrag mit Wirkung zu dem Tag kündigen, der der Änderung vorausgeht, und erhält eine Erstattung des Entgelts für den nicht genutzten, im Voraus bezahlten Zeitraum.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die sich aus dem DPA ergebenden, und haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten durch den Unterauftragsverarbeiter.

Der Zahlungsdienstleister Stripe (Stripe Payments Europe, Limited) ist kein Auftragsverarbeiter: Er wickelt ausschließlich die Zahlungen des Kunden für den Dienst ab und hat keinen Zugriff auf die im Auftrag verarbeiteten Daten. Auch Google ist kein Unterauftragsverarbeiter: Den Dienst Google Maps öffnet der Nutzer über die Schaltfläche „Navigieren“ mit der Adresse oder der Position des Projekts als Routenziel zu den Bedingungen von Google.

9. Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums

Der Auftragsverarbeiter verarbeitet die ihm anvertrauten Daten ausschließlich im Europäischen Wirtschaftsraum. Eine Übermittlung von Daten an ein Drittland oder eine internationale Organisation erfordert die vorherige Information des Verantwortlichen im Verfahren nach Abschnitt 8 und die Anwendung eines mit Kapitel V DSGVO vereinbaren Mechanismus.

10. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen. Die Anwendung ermöglicht es dem Verantwortlichen, selbstständig Einsicht in die Daten zu nehmen, sie zu berichtigen, zu exportieren, zu löschen sowie Kundendaten zu anonymisieren. Geht der Antrag einer Person unmittelbar beim Auftragsverarbeiter ein, leitet der Auftragsverarbeiter ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche ermächtigt ihn dazu.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO, einschließlich der Datenschutz-Folgenabschätzung und der vorherigen Konsultation, indem er die ihm vorliegenden Informationen über die Anwendung und die angewandten Maßnahmen übermittelt.

11. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach ihrer Feststellung, an die E-Mail-Adresse des Kontoadministrators.

Die Meldung enthält, soweit die Informationen verfügbar sind: eine Beschreibung der Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie die Kontaktdaten der Person, die Auskunft erteilt. Zum Zeitpunkt der Meldung nicht verfügbare Informationen übermittelt der Auftragsverarbeiter schrittweise.

Der Auftragsverarbeiter dokumentiert Verletzungen und ergreift Maßnahmen zur Begrenzung ihrer Folgen. Die Meldung der Verletzung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei.

12. Beendigung der Verarbeitung, Rückgabe und Löschung der Daten

Der Verantwortliche kann jederzeit mit der Exportfunktion der Anwendung eine Kopie der Daten herunterladen (ZIP-Archiv mit CSV-Dateien und angehängten Dateien). Nach Beendigung des Vertrags speichert der Auftragsverarbeiter die Daten 30 Tage lang, um ihren Export oder die Wiederaufnahme des Dienstes zu ermöglichen, und übermittelt in dieser Zeit auf Verlangen des Verantwortlichen den Export auf elektronischem Wege.

Anschließend löscht der Auftragsverarbeiter die ihm anvertrauten Daten, spätestens 60 Tage nach Beendigung des Vertrags. Kopien der Daten in den Datensicherungen werden im Rotationszyklus gelöscht, spätestens 30 Tage nach der Löschung der Daten aus der Anwendung. Auf Verlangen des Verantwortlichen bestätigt der Auftragsverarbeiter die Löschung auf elektronischem Wege.

Das Ereignisprotokoll wird für den vom Verantwortlichen eingestellten Zeitraum von 30 bis 180 Tagen gespeichert. Kopien gelöschter Datensätze, die zur Wiederherstellung versehentlich gelöschter Daten aufbewahrt werden, werden höchstens 180 Tage lang gespeichert und mit der Löschung des Unternehmenskontos gelöscht.

Der Auftragsverarbeiter darf die ihm anvertrauten Daten nur dann länger speichern, wenn das Recht der Union oder eines Mitgliedstaats dies verlangt, und nur in dem Umfang, der sich aus dieser Pflicht ergibt.

13. Informationen und Audit

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere Antworten auf Fragen zur Anwendung, zu den Sicherheitsmaßnahmen und zu den Unterauftragsverarbeitern, die an hello@mivaregroup.com gerichtet werden, innerhalb von 14 Tagen.

Sind die übermittelten Informationen nicht ausreichend, kann der Verantwortliche oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer ein Audit durchführen, höchstens einmal in 12 Monaten, ausgenommen ein Audit nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen der Aufsichtsbehörde. Das Audit erfordert eine Ankündigung mit einer Frist von mindestens 30 Tagen, findet an Werktagen statt, darf die Erbringung des Dienstes nicht stören und die Vertraulichkeit der Daten anderer Kunden nicht verletzen und wird auf Kosten des Verantwortlichen durchgeführt.

14. Haftung und Schlussbestimmungen

Die Haftung der Parteien aus dem DPA bestimmt sich nach Art. 82 DSGVO und den Nutzungsbedingungen, mit der Maßgabe, dass die Haftungsbeschränkungen nicht für Fälle gelten, in denen ein Ausschluss oder eine Beschränkung von Gesetzes wegen unzulässig ist.

Änderungen des DPA, einschließlich der Aktualisierung der Liste der Unterauftragsverarbeiter, erfolgen in dem in den Nutzungsbedingungen für Änderungen von Dokumenten vorgesehenen Verfahren, vorbehaltlich Abschnitt 8.

Das DPA unterliegt polnischem Recht. Es wird in sieben Sprachfassungen bereitgestellt; bei Abweichungen ist die polnische Fassung maßgeblich. Die aktuelle Fassung ist unter folgender Adresse verfügbar: https://mivaregroup.com/de/legal/space/dpa/

Das DPA gilt ab dem 30. Oktober 2026.