DSGVO-Konformitätserklärung

RIADVICE SUARL („RIADVICE“, „wir“, „uns“ oder „unser“) schützt personenbezogene Daten im Einklang mit der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) und dem tunesischen Organgesetz Nr. 2004-63 vom 27. Juli 2004 über den Schutz personenbezogener Daten. Diese Erklärung erläutert, wie wir die DSGVO einhalten, wenn wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten, wozu wir uns als Auftragsverarbeiter verpflichten und wie betroffene Personen ihre Rechte ausüben können. Sie verwendet die Begriffsbestimmungen unserer Nutzungsbedingungen und ergänzt unsere Datenschutzerklärung, die die Verarbeitung abdeckt, für die RIADVICE Verantwortlicher ist.

1. Geltungsbereich

Diese Erklärung gilt für die Hosting-Leistungen und für Projektleistungen, bei denen RIADVICE personenbezogene Daten im Auftrag eines Kunden verarbeitet. Hat ein Kunde mit RIADVICE einen Auftragsverarbeitungsvertrag unterzeichnet, hat dieser Vertrag Vorrang vor dieser Erklärung. Andernfalls gelten die Verpflichtungen in Ziffer 4 als die nach Art. 28 DSGVO erforderlichen Bedingungen der Auftragsverarbeitung, wie in Ziffer 5 unserer Nutzungsbedingungen vorgesehen.

2. Unsere Leistungen und die betroffenen Daten

RIADVICE erbringt Hosting- und Managed Services für BigBlueButton und für andere Anwendungen, die von Bildungseinrichtungen, öffentlichen Stellen und Unternehmen genutzt werden. BigBlueButton ermöglicht die Zusammenarbeit in Echtzeit über Audio, Video, Chat, Umfragen, gemeinsame Notizen, Whiteboards und Bildschirmfreigabe. Sitzungen können je nach den Richtlinien und Einstellungen des Kunden aufgezeichnet werden. Unsere Zusatzmodule wandeln Aufzeichnungen in Videos um, erstellen aus Sitzungsdaten Dashboards und Berichte zu Anwesenheit und Beteiligung und verteilen Besprechungen auf mehrere Server. Wir betreiben außerdem Anwendungen für Kunden, etwa für Dateisynchronisation und Dateifreigabe, Onlineshops und Mailing-Middleware. Der Schutz der Privatsphäre und die Sicherheit dieser Daten stehen im Mittelpunkt unserer Arbeit, und wir wenden die Grundsätze der DSGVO an: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht.

3. Rollen

• In den meisten Fällen ist der Kunde, zum Beispiel eine Bildungseinrichtung, ein Bildungsanbieter oder ein Unternehmen, der Verantwortliche. RIADVICE ist sein Auftragsverarbeiter.
• Handelt der Kunde selbst als Auftragsverarbeiter für eine andere Organisation, zum Beispiel ein Bildungsanbieter, der für einen Auftraggeber tätig ist, handelt RIADVICE als sein Unterauftragsverarbeiter.
• RIADVICE ist nur für die Daten Verantwortlicher, die RIADVICE für eigene Zwecke verarbeitet, wie die Verwaltung von Kundenkonten, die Abrechnung und den Support, wie in der Datenschutzerklärung beschrieben.

4. Unsere Verpflichtungen als Auftragsverarbeiter

Wenn RIADVICE personenbezogene Daten im Auftrag eines Kunden verarbeitet:

• verarbeitet RIADVICE die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf internationale Übermittlungen, sofern RIADVICE nicht durch das Recht, dem RIADVICE unterliegt, zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt RIADVICE dem Kunden dies vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Die Nutzungsbedingungen, das Auftragsdokument und die vom Kunden im Dienst gewählte Konfiguration bilden seine Weisungen;
• informiert RIADVICE den Kunden, wenn eine Weisung nach Auffassung von RIADVICE gegen die DSGVO oder andere Datenschutzvorschriften verstößt;
• gewährleistet RIADVICE, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben;
• ergreift RIADVICE die in Ziffer 8 beschriebenen Sicherheitsmaßnahmen gemäß Art. 32 DSGVO;
• nimmt RIADVICE Unterauftragsverarbeiter nur unter den Bedingungen von Ziffer 10 in Anspruch;
• unterstützt RIADVICE den Kunden angesichts der Art der Verarbeitung bei der Beantwortung von Anträgen betroffener Personen;
• unterstützt RIADVICE den Kunden unter Berücksichtigung der RIADVICE zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation;
• löscht RIADVICE nach Abschluss der Leistungen die personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück, wie in Ziffer 13 beschrieben, sofern das Gesetz keine Aufbewahrung vorschreibt;
• stellt RIADVICE dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, wie in Ziffer 14 beschrieben, und trägt zu ihnen bei.

Unterstützung, die über das hinausgeht, was RIADVICE im Rahmen der Standardleistung erbringt, kann zu den jeweils geltenden Sätzen berechnet werden, es sei denn, der Bedarf beruht auf einem Verstoß von RIADVICE.

5. Rechtsgrundlage und Einwilligung

Als Verantwortlicher bestimmt der Kunde die Rechtsgrundlage der Verarbeitung nach Art. 6 DSGVO, zum Beispiel die Erfüllung eines Vertrags, eine rechtliche Verpflichtung, die Wahrnehmung einer Aufgabe im öffentlichen Interesse, berechtigte Interessen oder eine Einwilligung, sowie gegebenenfalls eine Bedingung nach Art. 9 DSGVO. Ist eine Einwilligung erforderlich, zum Beispiel für bestimmte Aufzeichnungen, holt der Kunde sie ein, in der Regel über sein Lernmanagementsystem oder eine andere Frontend-Plattform. Der Kunde informiert die Teilnehmenden außerdem, bevor eine Sitzung aufgezeichnet wird. BigBlueButton zeigt den Teilnehmenden an, wenn eine Sitzung aufgezeichnet wird.

6. Kategorien von Daten und betroffenen Personen

Je nach Leistung und Nutzung durch den Kunden gehören zu den betroffenen Personen die Beschäftigten, Lehrkräfte, Studierenden, Auszubildenden, Teilnehmenden, Gäste und Kontakte des Kunden. Die Daten können umfassen:

• Identifikationsdaten, wie Namen, Benutzernamen, E-Mail-Adressen und von der Plattform des Kunden übergebene Benutzerkennungen;
• Teilnahmedaten, wie Beitritts- und Austrittszeiten, Sprechzeit, Webcam- und Bildschirmfreigabezeit, Chat-Aktivität, Umfrageantworten und Reaktionen;
• während der Sitzungen geteilte Inhalte, wie Audio, Video, Chatnachrichten, Präsentationen, Notizen, Whiteboard-Anmerkungen und Aufzeichnungen;
• Dateien, Dokumente und Nachrichten, die in für den Kunden betriebenen Anwendungen gespeichert sind;
• technische Daten, wie IP-Adressen, Browser- und Betriebssystemtypen sowie Verbindungsprotokolle.

Der Kunde darf die Leistungen nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten oder personenbezogener Daten über strafrechtliche Verurteilungen nutzen, es sei denn, er verfügt dafür über eine Rechtsgrundlage und hat RIADVICE, wenn besondere Maßnahmen erforderlich sind, vorab informiert.

7. Aufbewahrung

Über die Aufbewahrungsfristen entscheidet der Kunde als Verantwortlicher. Aufzeichnungen und Besprechungsdaten werden nach Ablauf der für die Plattform des Kunden konfigurierten oder im Auftragsdokument angegebenen Aufbewahrungsfristen automatisch gelöscht, es sei denn, der Kunde verlangt etwas anderes oder das Gesetz schreibt ihre Aufbewahrung vor. Technische Protokolle werden nur so lange aufbewahrt, wie es für den Betrieb und die Absicherung des Dienstes erforderlich ist.

8. Sicherheitsmaßnahmen

RIADVICE wendet dem Risiko angemessene technische und organisatorische Maßnahmen an, darunter:

• Verschlüsselung von Daten bei der Übertragung und Verschlüsselung vertraulicher Daten;
• Zugriffskontrollen, Authentifizierungsmechanismen und auf befugte Mitarbeitende nach dem Need-to-know-Prinzip beschränkte Zugriffe;
• Trennung der Umgebungen und Daten der Kunden, soweit die Gestaltung des Dienstes dies vorsieht;
• regelmäßige Updates und Sicherheitspatches;
• Überwachung von Systemen und Diensten;
• Datensicherungen und Wiederherstellungsverfahren;
• Vertraulichkeitsverpflichtungen und Schulung der Mitarbeitenden zu Datenschutz und DSGVO.

9. Verletzungen des Schutzes personenbezogener Daten

RIADVICE meldet dem Kunden unverzüglich, nachdem RIADVICE eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, welche die Daten des Kunden betrifft. Die Meldung beschreibt, soweit die Informationen vorliegen, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. RIADVICE stellt anschließend weitere Informationen bereit, sobald sie vorliegen, und unterstützt den Kunden bei der Erfüllung seiner eigenen Pflicht, die Aufsichtsbehörde und, soweit erforderlich, die betroffenen Personen zu benachrichtigen.

10. Unterauftragsverarbeiter

Der Kunde erteilt RIADVICE eine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. RIADVICE erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die denen in dieser Erklärung gleichwertig sind, und bleibt gegenüber dem Kunden für seine Unterauftragsverarbeiter verantwortlich. RIADVICE kündigt jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail oder durch Aktualisierung dieser Liste an, soweit vernünftigerweise möglich, bevor die Änderung wirksam wird. Ein Kunde kann aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können die Parteien den Einspruch nicht ausräumen, kann der Kunde die betroffene Leistung kündigen.

Für die gehosteten und verwalteten Dienste werden folgende Unterauftragsverarbeiter eingesetzt:

Nicht jeder Unterauftragsverarbeiter wird für jede Leistung eingesetzt. Das Auftragsdokument oder die Plattformkonfiguration des Kunden gibt an, wo die Leistung des Kunden gehostet wird. Die an einer bestimmten Leistung beteiligten Unterauftragsverarbeiter werden auf Anfrage mitgeteilt.

11. Internationale Übermittlungen

RIADVICE ist in Tunesien niedergelassen, für das kein Angemessenheitsbeschluss der Europäischen Kommission besteht. Personenbezogene Daten, die ein Kunde in der Europäischen Union oder im Europäischen Wirtschaftsraum an RIADVICE übermittelt, sind durch die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln geschützt (Modul zwei, Übermittlung von Verantwortlichen an Auftragsverarbeiter, oder Modul drei, Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter), ergänzt durch die Maßnahmen in Ziffer 8. Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, stützt sich RIADVICE auf einen Angemessenheitsbeschluss oder auf die Standardvertragsklauseln. Übermittlungen aus Tunesien erfolgen unter den Bedingungen des Organgesetzes Nr. 2004-63, einschließlich der Genehmigung der INPDP, soweit diese erforderlich ist.

12. Anträge betroffener Personen

Nach der DSGVO haben betroffene Personen das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten, auf Einschränkung der Verarbeitung, auf Widerspruch gegen die Verarbeitung sowie auf Datenübertragbarkeit. Nutzer eines gehosteten Dienstes sollten sich zunächst an ihre Organisation wenden, die der Verantwortliche ist. Erhält RIADVICE einen Antrag direkt, leitet RIADVICE ihn unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde ermächtigt RIADVICE dazu. RIADVICE unterstützt den Kunden bei der Beantwortung, zum Beispiel durch das Auffinden, Exportieren oder Löschen von Daten.

13. Rückgabe und Löschung

Nach Abschluss der Leistungen kann der Kunde seine Daten gemäß Ziffer 25 der Nutzungsbedingungen exportieren. RIADVICE löscht die personenbezogenen Daten anschließend aus seinen aktiven Systemen und aus den Datensicherungen, sobald diese im normalen Rotationszyklus überschrieben werden, sofern das Gesetz keine Aufbewahrung vorschreibt. Daten, die noch auf ihre Löschung aus den Datensicherungen warten, werden nicht weiter verarbeitet, außer zur Wiederherstellung eines Systems. Auf Anfrage bestätigt RIADVICE die Löschung schriftlich.

14. Überprüfungen und Informationen

RIADVICE beantwortet angemessene schriftliche Fragen und Sicherheitsfragebögen von Kunden zu seiner Verarbeitung. Reichen diese Informationen zum Nachweis der Einhaltung nicht aus, kann ein Kunde eine Überprüfung (Audit) selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen, höchstens einmal jährlich, sofern nicht eine Verletzung des Schutzes personenbezogener Daten oder ein Ersuchen einer Aufsichtsbehörde dies rechtfertigt, mit einer Vorankündigung von mindestens dreißig (30) Tagen, während der Geschäftszeiten und ohne die Leistungen zu stören oder die Sicherheit oder Vertraulichkeit der Daten anderer Kunden zu gefährden. Jede Partei trägt ihre eigenen Kosten, es sei denn, die Überprüfung deckt einen wesentlichen Verstoß von RIADVICE auf.

15. Datenschutzkontakt

Die Datenschutz-Ansprechperson von RIADVICE überwacht die Einhaltung der Vorschriften und beantwortet Fragen und Anträge zu personenbezogenen Daten unter privacy@riadvice.tn.

16. Kontakt

Für weitere Informationen über unsere DSGVO-Konformität oder unsere Datenschutzpraktiken wenden Sie sich an privacy@riadvice.tn oder contact@riadvice.com oder schreiben Sie an RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Tunesien.

Zuletzt aktualisiert: 9. Oktober 2026