Veri İşleme Sözleşmesi (AVV)

• İşleyen, kişisel verileri sorumlu adına yalnızca ana sözleşmedeki hizmetleri sunmak için işler (belge yönetimi, otomatik okuma, kayıt önerileri, mandant portalı, DATEV ya da Lexware Office'e aktarım). İşlemenin türü ve amacı, veri türleri ve ilgili kişi grupları Ek 1'de yer alır.
• AVV ana sözleşme süresince ve işleyen sorumlunun kişisel verilerini işlediği sürece geçerlidir.
• AVV, müşterinin kayıt sırasında ya da platformda açıkça kabul etmesiyle elektronik olarak kurulur (DSGVO Madde 28 Fıkra 9). Sağlayıcı sürümü, zamanı ve kabul eden kişiyi kaydeder. Müşteri metni her zaman bu adresten açıp saklayabilir.
• Çelişki hâlinde bu AVV, ana sözleşmenin veri korumaya ilişkin hükümlerinden önce gelir.

• İşleyen verileri, üçüncü ülkelere aktarım dahil, yalnızca sorumlunun belgelenmiş talimatıyla işler; Birlik hukuku ya da bir üye devlet hukuku başka bir işlemeyi zorunlu kılıyorsa bunu, ilgili hukuk yasaklamadıkça, işlemeden önce sorumluya bildirir.
• Talimatlar ana sözleşme, bu AVV ve müşterinin ve kullanıcılarının platform işlevlerini kullanmasıyla (yükleme, onaylama, aktarma, silme gibi) verilir. Bunun ötesindeki talimatları sorumlu metin biçiminde info@myrobotax.de adresine iletir.
• İşleyen bir talimatın veri koruma hükümlerine aykırı olduğu kanısındaysa sorumluyu derhâl bilgilendirir. Talimat sorumlu tarafından teyit edilene ya da değiştirilene kadar uygulanmasını durdurabilir.

• İşleyen, verileri işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmasını ya da uygun bir yasal sır saklama yükümlülüğüne tabi olmasını sağlar.
• Sorumlu meslek sırrı sahibi olduğundan (§ 57 Abs. 1 StBerG, § 203 StGB) işleyen ayrıca Ek 4 uyarınca taahhütte bulunur (§ 62a StBerG).

• İşleyen, DSGVO Madde 32'nin gerektirdiği teknik ve organizasyonel önlemleri alır (Ek 2).
• Önlemler teknik gelişmeye tabidir. İşleyen bunları eşdeğer ya da daha iyi önlemlerle değiştirebilir; sözleşmeyle taahhüt edilen koruma düzeyinin altına düşülemez. Önemli değişiklikler Ek 2'de belgelenir.

• Sorumlu, başka işleyenlerin görevlendirilmesine genel izin verir. Sözleşme kurulurken görevli alt işleyenler Ek 3'te sayılmıştır ve onaylanmış sayılır.
• İşleyen, bir alt işleyenin eklenmesini ya da değiştirilmesini önceden metin biçiminde bildirir (hesap sahibinin adresine e-posta ya da platformda duyuru). Sorumlu, bildirimin ulaşmasından itibaren 14 gün içinde veri korumaya ilişkin önemli bir gerekçeyle itiraz edebilir. Taraflar anlaşamazsa sorumlu, ana sözleşmeyi yeni alt işleyenin görevlendirildiği tarih itibarıyla feshedebilir.
• İşleyen her alt işleyene sözleşmeyle bu AVV'deki veri koruma yükümlülüklerinin esasen aynısını yükler (DSGVO Madde 28 Fıkra 4). Alt işleyenin bu yükümlülüklere uymasından sorumluya karşı sorumludur.
• Müşterinin kendisinin başlattığı ve üçüncü bir tarafın kendi sorumluluğunda sunduğu hizmetler alt işleme sayılmaz; özellikle müşterinin kurduğu bağlantılar üzerinden DATEV ya da Lexware Office'e aktarım.

Veritabanı ve dosya deposu Avrupa Birliği'ndedir (Frankfurt am Main). Bir alt işleyenin verileri üçüncü bir ülkede işlemesi ya da üçüncü bir ülkeden erişim mümkün olması yalnızca DSGVO Madde 44 vd. koşulları sağlandığında olur; özellikle bir yeterlilik kararı (örneğin EU-US Data Privacy Framework) ya da Avrupa Komisyonu'nun standart sözleşme maddeleri temelinde. Her birinin dayanağı Ek 3'te belirtilmiştir.

• İşleyen, ilgili kişilerin haklarının yerine getirilmesinde (DSGVO Madde 12–23) sorumluyu uygun teknik ve organizasyonel önlemlerle destekler. Platform bunun için verileri bulma, dışa aktarma, düzeltme ve silme işlevleri sunar. İlgili kişi doğrudan işleyene başvurursa işleyen talebi derhâl sorumluya iletir.
• Elindeki bilgiler ölçüsünde sorumluyu DSGVO Madde 32–36'daki yükümlülüklerde (güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi, ön danışma) destekler.

• İşleyen bir kişisel veri ihlalini öğrendikten sonra derhâl, mümkünse 24 saat içinde, hesap sahibinin adresine metin biçiminde bildirir.
• Bildirim, bilindiği ölçüde DSGVO Madde 33 Fıkra 3'teki bilgileri içerir (ihlalin türü, ilgili kişi ve kayıtların kategorileri ve yaklaşık sayısı, irtibat noktası, olası sonuçlar, alınan ya da önerilen önlemler). Henüz bilinmeyen bilgiler gereksiz gecikme olmadan sonradan iletilir.
• İşleyen verileri korumak ve olası olumsuz sonuçları azaltmak için gereken önlemleri derhâl alır.

• Ana sözleşme sona erdikten sonra sorumlu, verilerini 30 gün içinde platformun dışa aktarma işlevleriyle ya da talep üzerine indirebilir. Ardından işleyen, Birlik hukuku ya da bir üye devlet hukuku saklamayı zorunlu kılmadıkça sorumlunun kişisel verilerini siler.
• Sözleşme süresince platform, onaylanmış ya da aktarılmış belgeleri müşteri silse de, müşterinin saklama yükümlülüklerini (§ 147 AO, § 257 HGB) yerine getirebilmesi için saklar; bu belgeler kullanıcılara artık görünmez. Sorumlunun talimatıyla erken silinir ya da teslim edilir.
• Yedekler olağan döngüleri içinde silinir. Silme işlemi talep üzerine metin biçiminde teyit edilir.

• İşleyen, DSGVO Madde 28'deki yükümlülüklere uyduğunu kanıtlamak için gereken bütün bilgileri sorumluya sunar; özellikle bu AVV'yi, eklerini ve alt işleyenlerin kanıtlarını (sağladıkları ölçüde sertifikalar ve denetim raporları).
• Sorumlu, yerinde incelemeler dahil denetimleri kendisi ya da gizlilik yükümlülüğü altındaki bir denetçi aracılığıyla yapabilir. Yerinde incelemeler makul bir süre önce, kural olarak dört hafta önceden bildirilir, olağan çalışma saatlerinde yapılır ve işletmeyi ölçüsüz biçimde aksatamaz. Alt işleyenlerdeki denetimler onların koşullarına tabidir.

İlgili kişilere karşı sorumlulukta DSGVO Madde 82 geçerlidir. Taraflar arasında, Madde 82 zorunlu olarak aksini öngörmedikçe ana sözleşmenin sorumluluk hükümleri uygulanır.

• Sağlayıcı bu AVV'deki değişiklikleri müşteriye metin biçiminde bildirir; değişen metin ancak müşterinin yeniden kabul etmesiyle yürürlüğe girer. Ek 2 ve Ek 3'teki değişiklikler § 4 ve § 5'e tabidir.
• Bu AVV'nin bir hükmü geçersiz olursa diğer hükümlerin geçerliliği etkilenmez.
• Federal Almanya Cumhuriyeti hukuku uygulanır. Yasanın izin verdiği ölçüde yetkili mahkeme Berlin mahkemeleridir.
• Bu AVV Almanca olarak yapılır. Çeviriler yalnızca bilgilendirme amaçlıdır.

• İşleyen, sorumluya hizmet sunarken öğrendiği bütün olgular hakkında sır saklamayı taahhüt eder. Başkalarına ait sırları yalnızca sözleşmenin ifası için gerektiği ölçüde öğrenir (§ 62a Abs. 3 StBerG).
• İşleyen, hizmeti sunarken öğrendiği başkasına ait bir sırrı yetkisiz olarak açıklarsa § 203 Abs. 4 StGB uyarınca cezalandırılabileceği konusunda bilgilendirilmiştir (§ 62a Abs. 3 StBerG).
• İşleyen sözleşmenin ifası için başka kişileri ancak onları metin biçiminde sır saklamaya yükümlü kılıp cezai sonuçlar hakkında bilgilendirdikten sonra görevlendirebilir; bu kendi çalışanları ve alt işleyenler için geçerlidir (§ 62a Abs. 3 StBerG).
• Hizmet yurt dışında sunuluyorsa, ancak orada sırların korunması yurt içindeki korumayla karşılaştırılabilir düzeydeyse caizdir; bu koruma sırlar için gerekli değilse istisna geçerlidir (§ 62a Abs. 4 StBerG). Sorumlu bunu Ek 3'teki bilgilerle değerlendirir; işleyen talep üzerine ek bilgi sunar.
• Hizmet doğrudan tek bir mandata hizmet ediyorsa sorumlu, başkasına ait sırlara erişimi işleyene ancak mandant rıza göstermişse açabilir (§ 62a Abs. 5 StBerG); rızanın alınması sorumluya aittir.