Datenverarbeitungsvertrag (DPA)

Zuletzt aktualisiert: 2026-10-23

Seite der Unterauftragsverarbeiter zuletzt aktualisiert: 2026-10-23

Diese DPA legt die Bedingungen fest, unter denen wir personenbezogene Daten in Ihrem Auftrag verarbeiten.

Diese Vereinbarung zur Auftragsdatenverarbeitung (Vereinbarung) legt die Verpflichtungen und Bedingungen fest, unter denen Petitions.com Group Oy (Dienstanbieter) personenbezogene Daten im Namen des Petitionsautors (Petitionsautor oder Datenverantwortlicher) im Rahmen der Bereitstellung von Hosting-Diensten für Online-Petitionen (Dienste) verarbeitet.

Änderung der Bedingungen

Wir behalten uns das Recht vor, diese Bedingungen jederzeit ohne vorherige Ankündigung zu ändern oder zu modifizieren.

Definitionen und Rollen

• Dienstanbieter: Petitionen.com (Petitions.com Group Oy), handelt als Auftragsverarbeiter und verarbeitet personenbezogene Daten im Auftrag des Datenverantwortlichen, soweit dies zur Erbringung der Dienstleistungen erforderlich ist.
• Verantwortlicher: Der Petitionsautor, der die Zwecke und Mittel der Verarbeitung der von den Unterzeichnern seiner Petition erhobenen personenbezogenen Daten bestimmt. Als Verfasser einer Petition, die auf Petitionen.com gehostet wird, gelten Sie als der Datenverantwortliche. Sie entscheiden über den Inhalt der Petition, was von den Unterzeichnern gefragt wird, die Zwecke der Verarbeitung ihrer personenbezogenen Daten und die Dauer, für die die personenbezogenen Daten gespeichert werden. Petitionen.com bietet eine Online-Plattform zur Erstellung und Bereitstellung von Petitionen und erleichtert Ihre Rolle als Verantwortlicher mit der Autonomie, die Datenerhebung und -nutzung der Petition nach Ihren Zielen und rechtlichen Verpflichtungen zu gestalten.

Verarbeitungsumfang

Der Dienstleister verarbeitet personenbezogene Daten ausschließlich auf Grundlage der Anweisungen des Verantwortlichen und nur soweit dies zur Erbringung der Dienste erforderlich ist, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Dienstleister unterliegt, dazu verpflichtet. In einem solchen Fall informiert der Dienstleister den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Der Umfang der Verarbeitungstätigkeiten beschränkt sich auf das Hosting, die Verwaltung und die Unterstützung von Online-Petitionen.

Als Auftragsverarbeiter löscht der Dienstleister Signaturdaten nicht von sich aus. Jede Löschung von Unterschriftsdaten erfolgt auf dokumentierte Weisung des Verantwortlichen, sei es im Einzelfall oder vorab durch diesen Vertrag erteilt.

Die Annahme dieser Vereinbarung durch den Verantwortlichen stellt die dokumentierte Anweisung des Verantwortlichen an den Dienstleister dar, einschließlich der unten beschriebenen Verfahren für den Umgang mit Löschanträgen von Unterzeichnern und aller Self-Service-Tools, die der Dienstleister im Namen des Verantwortlichen den Unterzeichnern zur Verfügung stellt.

Signaturzähler und Listen

Um die Petition zu hosten und bekannt zu machen, zählt der Diensteanbieter ihre Unterschriften und zeigt die Zahlen auf den Diensten an: die Gesamtzahl der Unterschriften, die Zahl der Unterschriften in einem bestimmten Zeitraum und die Zahl der auf jeder Website der Dienste gesammelten Unterschriften. Die Zählungen werden auch verwendet, um öffentliche Petitionen zu sortieren und aufzulisten, zum Beispiel die meistunterzeichneten Petitionen auf einer Website oder in dem vom Petitionsautor angegebenen Land. In Ranglisten nach Unterschriftenzahl werden nur Petitionen mit mindestens fünf Unterschriften berücksichtigt.

Diese Zählungen sind anonyme Statistiken, die keinen Unterzeichner identifizieren. Sie basieren nicht auf dem Land, dem Ort oder anderen Angaben, die Unterzeichner im Unterschriftenformular machen. Solche Angaben werden nur aggregiert veröffentlicht, wenn der Petitionsautor sich dafür entscheidet, die Verteilung der Unterschriften nach Ort auf der Statistikseite der Petition zu veröffentlichen, wobei Orte mit weniger als fünf Unterschriften zusammengefasst werden.

Die Annahme dieser Vereinbarung durch den Verantwortlichen stellt die dokumentierte Anweisung für diese Verarbeitung dar.

Datenschutz

Der Dienstleister verpflichtet sich, technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit personenbezogener Daten gegen unbefugten Zugriff, Verlust oder Beschädigung zu gewährleisten.

Verbotene Datenerfassung

Es ist untersagt, persönliche Identifikationsnummern (wie nationale Ausweisnummern) von Unterzeichnern zu erfragen.

Unterauftragsverarbeiter

Der Dienstanbieter kann Unterauftragsverarbeiter einsetzen, um bei der Bereitstellung der Dienste zu unterstützen. Der Dienstanbieter stellt sicher, dass Unterauftragsverarbeiter den Datenschutzverpflichtungen entsprechend dieser DPA nachkommen. Sie erkennen an und stimmen zu, dass der Diensteanbieter nach eigenem Ermessen Unterauftragsverarbeiter auswählen und ersetzen kann, soweit dies für die effiziente Erbringung der Dienste erforderlich ist.

Liste der Unterauftragsverarbeiter. (Letzte Aktualisierung: 2026-10-23)

Verantwortlichkeiten des Datenverantwortlichen

Der Verantwortliche ist dafür verantwortlich, dass die Erhebung, Verarbeitung und Behandlung personenbezogener Daten in Übereinstimmung mit allen geltenden Gesetzen und Vorschriften erfolgt.

Verantwortlicher für die Datenverarbeitung Identifikation

Gemäß der Datenschutz-Grundverordnung (DSGVO) ist es erforderlich, dass die Identität des Datenverantwortlichen eindeutig angegeben wird. Die folgenden Bestimmungen gelten für Petitionsautoren, die unsere Website nutzen:

Einzelne Petitionsautoren

Wenn Sie als Einzelperson eine Petition erstellen, sind Sie verpflichtet, Ihren vollständigen gesetzlichen Namen anzugeben. Dies dient als Ihre Identifizierung als Datenverantwortlicher im Sinne der DSGVO.

Organisatorische Petitionsverfasser

Wenn eine Petition im Namen einer Organisation erstellt wird, muss der vollständige rechtliche Name der Organisation angegeben werden. Zusätzlich sollte die Organisation einen Vertreter benennen und dessen Kontaktdaten angeben, der für die Datenverarbeitungsaktivitäten verantwortlich ist, wie zum Beispiel einen Datenschutzbeauftragten (DSB) oder eine ähnliche Person.

Betroffenenrechte

Der für die Verarbeitung Verantwortliche muss sicherstellen, dass die betroffenen Personen (Unterzeichner der Petition) ihre Rechte gemäß der DSGVO ausüben können, wie z.B. das Recht auf Zugang, Berichtigung oder Löschung ihrer Daten oder die Einreichung einer Beschwerde bei einer Aufsichtsbehörde.

Umgang mit Löschanfragen von betroffenen Personen durch Unterzeichner

Die Rollen unterscheiden sich je nach den betreffenden Daten. Bei personenbezogenen Daten, die über Unterschriften erhoben werden, handelt der Dienstleister als Auftragsverarbeiter und der Petitionsautor als Verantwortlicher. Für die eigenen Betriebsdaten des Diensteanbieters, etwa Kontoinformationen, technische Protokolle und Nachrichten über das Kontaktformular, handelt der Diensteanbieter als eigenständiger Verantwortlicher.

Da der Diensteanbieter ausschließlich auf dokumentierte Weisung des Verantwortlichen handelt, stellt das nachstehende Verfahren die Dauerweisung des Verantwortlichen für die Bearbeitung solcher Anfragen dar. Damit wird der Diensteanbieter ermächtigt, ohne gesonderte Genehmigung für jede einzelne Anfrage zu handeln.

Wenn ein Unterzeichner den Dienstleister auffordert, mit einer Unterschrift verbundene personenbezogene Daten zu löschen, wird der Dienstleister die Unterschrift unverzüglich aus der öffentlichen Ansicht ausblenden und dem Petitionsautor Informationen über die Löschung in den Diensten zur Verfügung stellen, zum Beispiel auf einer Datenschutz-Übersichtsseite und über eine Kennzeichnung im Konto. Der Dienstleister ist nicht verpflichtet, für jede Löschung eine separate E-Mail zu senden. Dem Petitionsautor werden 14 Tage eingeräumt, um die Anfrage zu prüfen und alle Kopien der personenbezogenen Daten des Unterzeichners zu löschen, die er heruntergeladen, exportiert, ausgedruckt oder anderweitig außerhalb der Dienste gespeichert hat. Der Petitionsautor kann der Löschung nur widersprechen, wenn ein rechtmäßiger Grund für die weitere Verarbeitung der Daten besteht (zum Beispiel die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen). Der bloße Wunsch, die Unterschrift zu behalten, ist kein gültiger Grund. Ein solcher Widerspruch muss innerhalb dieses Zeitraums durch Kontaktaufnahme mit dem Dienstleister unter Angabe des rechtmäßigen Grundes erfolgen; der Dienstleister stellt kein automatisches Verfahren zur Verfügung, mit dem der Petitionsautor eine Löschung rückgängig machen kann. Wenn der Petitionsautor innerhalb dieses Zeitraums nicht aus solchen Gründen widerspricht, wird der Dienstleister die Signaturdaten endgültig aus der aktiven Datenbank löschen. Der Dienstleister ist bestrebt, den Vorgang innerhalb der in der DSGVO vorgesehenen Einmonatsfrist abzuschließen.

Der Diensteanbieter kann zudem ein Self-Service-Tool bereitstellen, etwa einen Link zum Entfernen in Bestätigungsnachrichten zur Unterschrift oder auf der Petitionsseite, mit dem Unterzeichner ihre eigene Unterschrift direkt entfernen können. Wird ein solches Tool verwendet, handelt der Dienstleister im Auftrag des Verantwortlichen auf Grundlage der in dieser Vereinbarung festgelegten dokumentierten Anweisungen.

Personenbezogene Daten können nach der Löschung aus der aktiven Datenbank noch für einen begrenzten Zeitraum in regulären Sicherungskopien verbleiben. Solche Sicherungskopien werden nicht für die tägliche Verarbeitung verwendet und in einem fortlaufenden Zyklus überschrieben, danach werden die Daten endgültig entfernt.

Technische Protokolle können personenbezogene Daten enthalten, etwa IP-Adressen oder Metadaten zur E-Mail-Zustellung. Diese Protokolle werden innerhalb von 30 Tagen gelöscht. Nachrichten über das Kontaktformular können zu Prüfungs-, Sicherheits- und Streitbeilegungszwecken bis zu 5 Jahre aufbewahrt werden.

Der Dienstleister führt einen minimalen Nachweis darüber, dass eine Löschung durchgeführt wurde, ohne die gelöschten personenbezogenen Daten aufzubewahren, um die Einhaltung der Vorgaben nachweisen zu können. This record contains the number of the signature, the petition, who removed it (the signatory, the Petition Author or the Service Provider), a reason chosen from a fixed list and the time, but no name or email address.

In addition, the Service Provider keeps, as an independent Data Controller, a record of each removal containing a code computed from the signatory's email address (not the address itself), the day of the removal and who removed it, but not the petition. It is used only to answer the signatory's later questions about their data and to demonstrate compliance. It is deleted after 14 days, and from backups at most 30 days later.

If a signatory reports that someone else signed with their email address and asks for it, the Service Provider may, as an independent Data Controller, keep the technical details of that signature (such as the IP address, device details and times) for 30 days to 2 years, only for disclosure to the police or another authority on their official request. These details are not made available to the Petition Author.

Bearbeitung von Berichtigungsanträgen von Unterzeichnern

Das Recht auf Berichtigung wird nach denselben Grundsätzen wie die Löschung behandelt: Als Auftragsverarbeiter ändert der Dienstleister Signaturdaten nicht von sich aus, sondern nur auf dokumentierte Anweisung des Verantwortlichen, einschließlich aller Self-Service-Tools, die der Dienstleister den Unterzeichnern im Namen des Verantwortlichen zur Korrektur ihrer eigenen Daten zur Verfügung stellt.

Sobald eine Korrektur vorgenommen wurde, wird der korrigierte Wert in der innerhalb der Dienste gepflegten Live-Unterschriftenliste angezeigt. In Übereinstimmung mit der Verpflichtung, aktuelle Signaturdaten zu verwenden, muss sich der Verantwortliche ausschließlich auf eine frisch abgerufene Kopie stützen und veraltete Kopien entsprechend aktualisieren oder verwerfen; der Dienstleister ist nicht verpflichtet, dem Verantwortlichen den früheren, falschen Wert offenzulegen.

Der Dienstleister kann für Zwecke der Betrugsprävention, Sicherheit und Streitbeilegung einen internen Nachweis der Änderung führen, zum Beispiel den vorherigen und den neuen Wert sowie den Zeitpunkt der Änderung. Dieser Nachweis wird dem Verantwortlichen standardmäßig nicht zur Verfügung gestellt und nur so lange aufbewahrt, wie es für diese Zwecke erforderlich ist.

Benachrichtigung von Empfängern

Hat der Verantwortliche Signaturdaten an einen Empfänger offen gelegt, etwa an einen Entscheidungsträger oder einen anderen Dritten, ist der Verantwortliche nach Artikel 19 der DSGVO dafür verantwortlich, jede spätere Löschung oder Berichtigung dieser Daten an jeden solchen Empfänger mitzuteilen, sofern sich dies nicht als unmöglich erweist oder mit einem unverhältnismäßigen Aufwand verbunden ist. Die Entfernung oder Berichtigung von Daten durch den Dienstleister innerhalb der Dienste entbindet nicht von dieser Verpflichtung in Bezug auf Kopien, die der Verantwortliche außerhalb der Dienste weitergegeben hat.

Rechenschaftspflicht und Einhaltung

Der Datenschutzverantwortliche muss die Einhaltung der DSGVO nachweisen können, einschließlich der Beantwortung von Anfragen der betroffenen Personen bezüglich ihrer personenbezogenen Daten.

Datenschutzerklärung oder Hinweis

Eine klare und zugängliche Datenschutzrichtlinie oder -mitteilung muss bereitgestellt werden, die darlegt, wie personenbezogene Daten verarbeitet werden, die Zwecke der Verarbeitung und wie betroffene Personen ihre Rechte ausüben können.

Benachrichtigung über Änderungen

Petitionsautoren sind verpflichtet, Petitionen.com (Petitions.com Group Oy) über jede Änderung ihres Status als Datenverantwortlicher oder der Kontaktdaten ihres Vertreters zu informieren.

Jährliche Überprüfung der Datenverarbeitung

Der Petitionsautor ist verpflichtet, eine jährliche Überprüfung durchzuführen, um festzustellen, ob weiterhin ein legitimer Grund für die fortgesetzte Verarbeitung der personenbezogenen Daten der Unterzeichner besteht. Diese Überprüfung sollte die Notwendigkeit und Relevanz der Daten im Hinblick auf den Zweck der Petition beurteilen. Falls der Petitionsautor feststellt, dass kein gültiger Grund mehr für die Weiterverarbeitung der Daten besteht, muss er geeignete Maßnahmen ergreifen, um die Verarbeitung einzustellen und die Löschung der Daten gemäß den geltenden Datenschutzgesetzen einzuleiten.

Verwendung aktueller Signaturdaten

Bevor der Verantwortliche Unterschriftsdaten an Dritte weitergibt (etwa an einen Entscheidungsträger oder einen anderen Empfänger der Petition) oder die Daten anderweitig außerhalb der Dienste verarbeitet (einschließlich der Kontaktaufnahme mit Unterzeichnern per E-Mail), muss der Verantwortliche eine aktuelle Kopie der Unterschriftenliste aus den Diensten abrufen und ausschließlich diese aktuelle Version verwenden. Unterzeichner können ihr Recht auf Löschung jederzeit ausüben, und nur die innerhalb der Dienste gepflegte Live-Liste bildet solche Löschungen ab. Der Verantwortliche darf sich für diese Zwecke nicht auf zuvor heruntergeladene, exportierte oder ausgedruckte Kopien verlassen und muss veraltete Kopien sicher vernichten.

Datenaufbewahrung und -löschung

Sollte der Verantwortliche (der Autor der Petition) gegen eine der Bestimmungen der Vereinbarung zur Auftragsverarbeitung (DPA) verstoßen, einschließlich, aber nicht beschränkt auf das Versäumnis, eine jährliche Überprüfung der Datenverarbeitungsaktivitäten durchzuführen oder eine gültige Begründung für die fortlaufende Verarbeitung der personenbezogenen Daten der Unterzeichner zu liefern, behält sich der Dienstanbieter das Recht vor, die mit ihrer Petition verbundenen personenbezogenen Daten zu entfernen oder zu löschen.

Haftungsbeschränkung

In keinem Fall darf die Gesamthaftung des Auftragsverarbeiters gegenüber dem Verantwortlichen für alle Schäden, Verluste und Klagegründe, sei es vertraglich, außervertraglich (einschließlich Fahrlässigkeit) oder anderweitig, den Gesamtbetrag überschreiten, den der Verantwortliche dem Auftragsverarbeiter im Rahmen dieser Vereinbarung gezahlt hat.

Anwendbares Recht

Diese Vereinbarung unterliegt den Gesetzen Finnlands.