Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen von Adapty (wie nachstehend definiert) zwischen dem Kunden und Adapty, die die Nutzung und Bereitstellung der Dienste von Adapty durch den Kunden regeln.
Der Kunde und Adapty werden nachfolgend gemeinsam als „Parteien“ und einzeln als „Partei“ bezeichnet. Die Angaben zu den Parteien sind in Anhang 1 aufgeführt.
Im Falle eines Widerspruchs oder einer Unstimmigkeit mit den Bestimmungen der Nutzungsbedingungen von Adapty hat dieser AVV im Umfang dieses Widerspruchs bzw. dieser Unstimmigkeit Vorrang vor den übrigen Bestimmungen der Nutzungsbedingungen von Adapty.
Großgeschriebene Begriffe, die hierin nicht anderweitig definiert sind, haben die ihnen in den Nutzungsbedingungen von Adapty zugewiesene Bedeutung.
Dieser AVV einschließlich aller Anhänge legt die Datenschutzpflichten der Parteien in Bezug auf Personenbezogene Daten fest, die von Adapty im Auftrag des Kunden verarbeitet werden, wie in Anhang 1 zu diesem AVV beschrieben, in Übereinstimmung mit dem Anwendbaren Datenschutzrecht.
1. Begriffsbestimmungen
1.1. Nutzungsbedingungen von Adapty bezeichnet die unter https://adapty.io/terms/ abrufbaren Nutzungsbedingungen oder eine andere schriftliche oder elektronische Vereinbarung zwischen dem Kunden und Adapty.
1.2. Anwendbares Datenschutzrecht bezeichnet alle Gesetze, Rechtsvorschriften, Verordnungen, Satzungen, Kodizes, Regeln, Leitlinien, Anordnungen oder sonstigen rechtlichen Verpflichtungen, die von einer staatlichen Behörde erlassen wurden und die Erhebung, Verwendung, Übermittlung und Offenlegung Personenbezogener Daten regeln.
1.3. Verantwortlicher bezeichnet die natürliche Person oder Organisation, die über die Zwecke und Mittel der Verarbeitung Personenbezogener Daten entscheidet oder anderweitig für Entscheidungen über die Verarbeitung Personenbezogener Daten verantwortlich ist.
1.4. Auftragsverarbeiter bezeichnet eine natürliche oder juristische Person oder sonstige Stelle, die Personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
1.5. Anfrage einer Betroffenen Person hat die in Absatz 3.2 dieses AVV festgelegte Bedeutung.
1.6. Betroffene Person bezeichnet eine direkt oder indirekt identifizierte oder identifizierbare natürliche Person, auf die sich Personenbezogene Daten beziehen.
1.7. DSGVO bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG.
1.8. UK GDPR bezeichnet die fortgeltende Fassung der EU-Datenschutz-Grundverordnung ((EU) 2016/679) (EU-DSGVO), wie sie kraft Section 3 des European Union (Withdrawal) Act 2018 Bestandteil des Rechts von England und Wales, Schottland und Nordirland ist und durch Schedule 1 der Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419) geändert wurde.
1.9. Personenbezogene Daten bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, dem Anwendbaren Datenschutzrecht unterliegen und vom Kunden zur Verarbeitung bereitgestellt werden, einschließlich Informationen, die sich auf eine identifizierte oder identifizierbare Einzelperson beziehen.
1.10. Verletzung des Schutzes personenbezogener Daten bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu Personenbezogenen Daten führt.
1.11. Verarbeitung, verarbeitet und verarbeiten bezeichnen jede Tätigkeit, die die Verwendung Personenbezogener Daten umfasst oder die durch das Anwendbare Datenschutzrecht in Bezug auf Verarbeitung, verarbeitet oder verarbeiten festgelegt sein kann. Dies umfasst jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit Personenbezogenen Daten oder Sätzen Personenbezogener Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Die Verarbeitung umfasst auch die Übermittlung Personenbezogener Daten an Dritte.
1.12. Standardvertragsklauseln (SCC) bezeichnet die von der Europäischen Kommission erlassenen Standardvertragsklauseln (in der jeweils von der Europäischen Kommission aktualisierten, geänderten, ersetzten oder aufgehobenen Fassung). Ersetzt die Europäische Kommission die Standardvertragsklauseln durch geänderte oder neue Standardvertragsklauseln, so sind Verweise auf die „Standardvertragsklauseln“ in diesem AVV, soweit die zuständige Aufsichtsbehörde die Verwendung dieser geänderten oder neuen Standardvertragsklauseln genehmigt, als Verweise auf diese geänderten oder neuen Standardvertragsklauseln zu verstehen.
1.13. Unterauftragsverarbeiter bezeichnet einen von Adapty beauftragten dritten Auftragsverarbeiter, dem Zugang zu Personenbezogenen Daten gewährt wurde oder der möglicherweise Zugang zu ihnen hat oder der Personenbezogene Daten verarbeitet.
1.14. Mitteilung über Änderungen von Unterauftragsverarbeitern hat die in Ziffer 4.1 dieses AVV festgelegte Bedeutung.
2. Verarbeitung personenbezogener Daten
2.1. Rollen der Parteien
Die Parteien erkennen an und vereinbaren, dass in Bezug auf die Verarbeitung personenbezogener Daten der Kunde der Verantwortliche und Adapty der Auftragsverarbeiter ist.
2.2. Einzelheiten der Datenverarbeitung
Gegenstand, Dauer, Art und Zweck(e) der Verarbeitung personenbezogener Daten sowie die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt.
2.3. Umfang der Verarbeitung
Adapty wird personenbezogene Daten nicht über die vom Kunden festgelegten angemessenen und üblichen Vorgaben hinaus verarbeiten, wie in den Nutzungsbedingungen von Adapty oder in diesem AVV bestimmt, es sei denn, eine solche Verarbeitung ist nach anwendbarem Recht, dem Adapty unterliegt, erforderlich.
2.4. Weisungen des Kunden
Die Weisungen des Kunden zur Verarbeitung personenbezogener Daten müssen dem anwendbaren Datenschutzrecht entsprechen. Der Kunde ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten sowie für die Methoden, mit denen der Kunde personenbezogene Daten erlangt. Ohne Einschränkung des Vorstehenden ist der Kunde allein dafür verantwortlich sicherzustellen, dass eine geeignete Rechtsgrundlage und das Recht zur Verarbeitung personenbezogener Daten gemäß den Bestimmungen der Nutzungsbedingungen von Adapty und dieses AVV bestehen. Der Kunde erkennt ausdrücklich an und vereinbart, dass seine Nutzung der Dienste die Rechte betroffener Personen nicht verletzen wird.
2.5. Rechtsgrundlage der Verarbeitung
Der Kunde erkennt an und vereinbart, dass die Dienste von Adapty von einer nachgewiesenen Rechtsgrundlage abhängen und auf dieser beruhen, die der Kunde einholen muss und auf die sich Adapty verlässt. Der Kunde sichert zu, dass eine solche Rechtsgrundlage besteht.
2.6. Schutz der Privatsphäre von Kindern
Bei der Verarbeitung personenbezogener Daten von Kindern (im Sinne des anwendbaren Datenschutzrechts) ist der Kunde verpflichtet, zusätzliche Anforderungen einzuhalten, die durch Plattformrichtlinien, Vorschriften und das anwendbare Datenschutzrecht zum Schutz von Kindern festgelegt sind. Einige dieser Gesetze sind speziell auf Kinder ausgerichtet (wie COPPA), während andere weiter gefasst sind, aber besondere Schutzvorkehrungen für Kinder enthalten (wie die DSGVO und vergleichbare regionale Gesetze).
3. Anfragen Betroffener Personen
3.1. Beantwortung von Anfragen Betroffener Personen
Der Kunde ist allein dafür verantwortlich, alle rechtlichen Verpflichtungen in Bezug auf Anfragen zur Ausübung der Rechte betroffener Personen nach dem anwendbaren Datenschutzrecht zu erfüllen. Die Parteien vereinbaren und erkennen an, dass Adapty nicht in der Lage ist, Anfragen betroffener Personen zu beantworten.
3.2. Anfragen Betroffener Personen
Verantwortung des Kunden und Bearbeitung von Anfragen Betroffener Personen. Der Kunde bleibt allein verantwortlich für die Einhaltung aller gesetzlichen Pflichten in Bezug auf Anfragen Betroffener Personen nach dem Anwendbaren Datenschutzrecht. Der Kunde ermächtigt Adapty, ausschließlich auf dokumentierte Weisung des Kunden und als Auftragsverarbeiter des Kunden, Abmeldeanfragen und Widersprüche gegen Direktwerbung, die über die in Nachrichten bereitgestellten Abmeldemechanismen unmittelbar von Empfängern eingehen, automatisch zu bearbeiten und umzusetzen, einschließlich durch Aufnahme des betreffenden Empfängers in die Sperrliste des Kunden.
Soweit in dieser Ziffer nicht ausdrücklich etwas anderes festgelegt ist, wird Adapty Anfragen Betroffener Personen nicht inhaltlich im Namen des Kunden beantworten und wird, soweit rechtlich zulässig, die Betroffene Person an den Kunden verweisen und/oder den Kunden gemäß dieser Ziffer benachrichtigen.
3.3. Anfrage einer Betroffenen Person
Ersucht der Kunde Adapty um Unterstützung bei der Beantwortung einer Anfrage, wird Adapty, soweit möglich, wirtschaftlich angemessene Anstrengungen unternehmen, um den Kunden bei der Beantwortung dieser Anfrage zu unterstützen, soweit Adapty hierzu rechtlich befugt ist und die Beantwortung dieser Anfrage nach dem anwendbaren Datenschutzrecht erforderlich ist.
3.4. Kosten
Soweit gesetzlich zulässig, trägt der Kunde sämtliche Kosten, die dadurch entstehen, dass Adapty eine solche Unterstützung leistet, einschließlich etwaiger Gebühren im Zusammenhang mit der Bereitstellung zusätzlicher Funktionen. In solchen Fällen wird Adapty den Kunden im Voraus über diese Kosten informieren.
4. Unterauftragsverarbeitung
4.1. Beauftragung von Unterauftragsverarbeitern
Der Kunde ermächtigt Adapty, Unterauftragsverarbeiter gemäß diesem Abschnitt und etwaigen Beschränkungen in dem AVV zu beauftragen. Der Kunde erkennt an und vereinbart, dass Adapty Unterauftragsverarbeiter ohne vorherige Zustimmung des Kunden beauftragen kann. Voraussetzung dafür, dass ein dritter Unterauftragsverarbeiter personenbezogene Daten verarbeiten darf, ist, dass Adapty mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung mit Datenschutzverpflichtungen schließt, die für personenbezogene Daten mindestens das gleiche Schutzniveau wie dieser AVV gewährleisten. Adapty wird den Kunden über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern vor deren Umsetzung schriftlich informieren (nachfolgend „Mitteilung über Änderungen von Unterauftragsverarbeitern“ genannt). Der Kunde kann solchen Änderungen von Unterauftragsverarbeitern gemäß Abschnitt 4.2 dieses AVV widersprechen.
4.2. Aktuelle Liste der Unterauftragsverarbeiter
Die aktuelle Liste der von Adapty für die Verarbeitung beauftragten Unterauftragsverarbeiter ist in Anlage 3 dieses AVV enthalten. Adapty wird die Liste der Unterauftragsverarbeiter in diesem AVV innerhalb von dreißig (30) Tagen nach jeder Änderung, die die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters betrifft, aktualisieren.
4.3. Haftung
In Bezug auf jeden Unterauftragsverarbeiter wird Adapty: (i) angemessene Maßnahmen ergreifen, um sicherzustellen, dass der Unterauftragsverarbeiter verpflichtet ist, das nach dem AVV erforderliche Schutzniveau für personenbezogene Daten zu gewährleisten, und (ii) gegenüber dem Kunden in vollem Umfang für die Einhaltung der Datenschutzpflichten durch den Unterauftragsverarbeiter verantwortlich bleiben, falls der Unterauftragsverarbeiter diesen Pflichten nicht nachkommt.
4.4. Widerspruchsrecht gegen Unterauftragsverarbeiter
Der Kunde kann jeder beabsichtigten Änderung, die die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters betrifft, aus angemessenen Gründen widersprechen (zum Beispiel, wenn die Bereitstellung personenbezogener Daten an einen Unterauftragsverarbeiter gegen anwendbare Datenschutzgesetze verstoßen oder den Schutz dieser personenbezogenen Daten schwächen könnte), indem er Adapty umgehend schriftlich innerhalb von dreißig (30) Tagen nach Erhalt der Mitteilung über die Änderung des Unterauftragsverarbeiters benachrichtigt. Eine solche Mitteilung des Kunden muss die angemessenen Gründe für den Widerspruch darlegen.
Teilt der Kunde Adapty einen solchen Widerspruch mit, werden die Parteien die Angelegenheit nach Treu und Glauben verhandeln, um eine wirtschaftlich angemessene Lösung zu finden. Können solche Widersprüche nicht innerhalb von fünfzehn (15) Tagen ausgeräumt werden, weil die Verarbeitung ohne die Beteiligung dieses Unterauftragsverarbeiters nicht ordnungsgemäß fortgesetzt werden kann, ist Adapty berechtigt, die weitere Verarbeitung gemäß diesem AVV abzulehnen und die Nutzungsbedingungen von Adapty zu kündigen, ohne für eine solche Kündigung zu haften.
5. Grenzüberschreitende Übermittlung personenbezogener Daten
5.1. Übermittlungen aus der EU
Soweit die Verarbeitung Personenbezogener Daten durch die DSGVO geschützt ist, vereinbaren die Parteien hiermit, dass solche Übermittlungen den SCC unterliegen, die durch Verweis in diesen AVV einbezogen werden und einen integralen Bestandteil dieses AVV bilden. Die Optionen und Anhänge der SCC gelten als auf Grundlage von Anlage 4 zu diesem AVV ausgefüllt.
5.2. Übermittlungen aus der Schweiz
Soweit die Verarbeitung Personenbezogener Daten durch das Schweizer Bundesgesetz vom 19. Juni 1992 über den Datenschutz („DSG“) geschützt ist, vereinbaren die Parteien hiermit, dass solche Übermittlungen den SCC mit den erforderlichen Anpassungen unterliegen, sodass die SCC dem Schweizer Recht entsprechen und somit geeignet sind, ein angemessenes Schutzniveau für die Übermittlung von Daten aus der Schweiz in ein Drittland gemäß Artikel 6 Absatz 2 Buchstabe a DSG zu gewährleisten. Eine Liste der Anpassungen ist in Punkt 4.3. für die Übermittlung personenbezogener Daten in ein Land ohne angemessenes Datenschutzniveau auf der Grundlage der Standardvertragsklauseln und Musterverträge vom 27. August 2021 des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten enthalten (abrufbar unter https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). Es gilt Beispiel 2 von Fall 2.
5.3. Übermittlungen aus dem Vereinigten Königreich
Soweit die Verarbeitung Personenbezogener Daten durch die UK GDPR geschützt ist, vereinbaren die Parteien hiermit, dass eine solche Übermittlung dem Internationalen Addendum zu den Standardvertragsklauseln der Europäischen Kommission für internationale Datenübermittlungen unterliegt, abrufbar unter https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, in der jeweils vom britischen Information Commissioner’s Office, vom Parlament oder vom Secretary of State angenommenen, geänderten oder aktualisierten Fassung.
6. Technische und organisatorische Maßnahmen
6.1. Technische und organisatorische Maßnahmen
Adapty wird geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, um ein angemessenes Maß an Sicherheit, Vertraulichkeit und Integrität Personenbezogener Daten zu gewährleisten, einschließlich, soweit relevant und anwendbar, der in Artikel 32 DSGVO vorgesehenen Maßnahmen, wie in Anlage 2 zu diesem AVV dargelegt, um Personenbezogene Daten zu schützen vor:
- unbeabsichtigter oder unrechtmäßiger Vernichtung und
- Verlust, Veränderung, unbefugter Offenlegung von oder unbefugtem Zugang zu Personenbezogenen Daten (jeweils eine „Verletzung des Schutzes personenbezogener Daten“).
6.2. Überwachung der Einhaltung
Adapty überwacht regelmäßig die Einhaltung der in Anlage 2 dieses AVV festgelegten Maßnahmen.
6.3. Unterstützung bei der Sicherstellung der Einhaltung
Unter Berücksichtigung der Art der Verarbeitung und der Adapty zur Verfügung stehenden Personenbezogenen Daten unterstützt Adapty den Kunden bei der Einhaltung der Pflichten aus Artikel 32 bis 36 DSGVO.
7. Verletzung des Schutzes personenbezogener Daten
7.1. Meldung von Verletzungen des Schutzes personenbezogener Daten
Erlangt Adapty Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, wird Adapty den Kunden, soweit gesetzlich zulässig, unverzüglich, nachdem Adapty oder ein Unterauftragsverarbeiter Kenntnis von der Verletzung des Schutzes personenbezogener Daten erlangt hat, die die personenbezogenen Daten des Kunden betrifft, per E-Mail benachrichtigen und angemessene Informationen bereitstellen (soweit diese nach vernünftigem Ermessen im Wissen und/oder in der Kontrolle von Adapty liegen).
7.2. Zusammenarbeit
Adapty wird unter Berücksichtigung der Art der Verarbeitung und der Adapty zur Verfügung stehenden Informationen mitwirken, um den Kunden bei der Erfüllung etwaiger Pflichten zur Benachrichtigung betroffener Personen oder Datenschutzbehörden über eine Verletzung des Schutzes personenbezogener Daten gemäß dem Anwendbaren Datenschutzrecht zu unterstützen. Adapty wird zudem alle Schritte und Maßnahmen ergreifen, die vernünftigerweise erforderlich sind, um die Folgen einer Verletzung des Schutzes personenbezogener Daten zu beseitigen oder abzumildern, und den Kunden über alle wesentlichen Entwicklungen im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten auf dem Laufenden halten.
8. Audit
8.1. Recht des Kunden auf Durchführung von Audits
Adapty stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der in diesem AVV festgelegten Pflichten nachzuweisen, und ermöglicht Audits, einschließlich Inspektionen, die vom Kunden oder einem anderen vom Kunden beauftragten Prüfer in Bezug auf die Einhaltung der Pflichten aus diesem AVV durchgeführt werden.
8.2. Mitwirkung von Adapty bei der Durchführung eines Audits
Adapty stellt dem Kunden alle Informationen, Systeme und Mitarbeiter zur Verfügung, die für den Kunden oder seine externen Prüfer vernünftigerweise erforderlich sind, um ein solches Audit durchzuführen, vorausgesetzt, dass der Kunde:
8.2.1. das Audit fünfundvierzig (45) Tage im Voraus ankündigt; und
8.2.2. das Audit während der üblichen Geschäftszeiten durchführt; und
8.2.3. alle angemessenen Maßnahmen ergreift, um unnötige Störungen des Geschäftsbetriebs von Adapty zu vermeiden. Solche Audits müssen sich streng auf Informationen im Zusammenhang mit der Verarbeitung personenbezogener Daten beschränken.
8.3. Parameter des Audits
Die Parteien vereinbaren einvernehmlich Umfang, Zeitpunkt und Dauer des Audits oder der Inspektion.
8.4. Vertraulichkeit
Alle Audits im Rahmen dieses AVV unterliegen Vertraulichkeitspflichten. Der Kunde muss den vollständigen Auditbericht an Adapty weitergeben und darf ihn nicht an Dritte weitergeben, mit Ausnahme seiner Buchhalter und Rechtsberater, die zur Vertraulichkeit verpflichtet sind. Der Kunde darf einen solchen Auditbericht ausschließlich zur Beurteilung der Einhaltung dieses AVV durch Adapty verwenden.
8.5. Kosten
Der Kunde trägt die Kosten eines solchen Audits, sofern die Parteien nichts anderes vereinbaren.
8.6. Häufigkeit von Audits
Der Kunde darf seine Auditrechte nicht öfter als einmal innerhalb von zwölf (12) Kalendermonaten ausüben, außer in den folgenden Fällen:
8.6.1. wenn und soweit dies von einer zuständigen Datenschutzbehörde verlangt wird; oder
8.6.2. wenn dies im Zusammenhang mit einer Verletzung des Schutzes personenbezogener Daten erforderlich ist, die bei Adapty und/oder Unterauftragsverarbeitern eingetreten ist.
9. Vertraulichkeit
9.1. Adapty wird alle angemessenen Maßnahmen ergreifen, um die Zuverlässigkeit sämtlicher zur Verarbeitung personenbezogener Daten befugten Mitarbeiter sicherzustellen, und gewährleisten, dass diese Mitarbeiter angemessenen Vertraulichkeitspflichten unterliegen und jederzeit im Einklang mit den anwendbaren Datenschutzvorschriften handeln.
10. Löschung oder Rückgabe personenbezogener Informationen
10.1 Bei (i) Beendigung dieses AVV oder (ii) schriftlichem Verlangen des Kunden oder (iii) wenn Adapty Personenbezogene Daten nicht mehr verarbeiten muss, um seine Pflichten aus den Nutzungsbedingungen von Adapty und diesem AVV zu erfüllen, oder (iv) wenn Adapty die Verarbeitung gemäß Abschnitt 4.4 dieses AVV ablehnt, wird Adapty nach Wahl des Kunden alle Personenbezogenen Daten löschen, vernichten oder an den Kunden zurückgeben und alle vorhandenen Kopien vernichten oder zurückgeben, es sei denn, Adapty ist nach dem Anwendbaren Datenschutzrecht verpflichtet, eine Kopie der Personenbezogenen Daten für eine bestimmte Aufbewahrungsfrist aufzubewahren. Nach Ablauf dieser Aufbewahrungsfrist wird Adapty alle verbleibenden Personenbezogenen Daten umgehend löschen oder vernichten.
Für Empfängerprofile in Adapty Mail erfolgt die Löschung, indem die Personenbezogenen Daten im Profil unumkehrbar de-identifiziert werden und das Profil als gelöscht gekennzeichnet wird. Der daraus resultierende Datensatz kann von Adapty weder allein noch in Kombination mit anderen Adapty zur Verfügung stehenden Informationen vernünftigerweise verwendet werden, um den betreffenden Empfänger zu identifizieren oder erneut zu identifizieren.
Sicherungskopien werden gemäß dem standardmäßigen Rotationszyklus für Sicherungskopien von Adapty aufbewahrt und überschrieben.
10.2. Wurden Personenbezogene Daten von Auftragnehmern verarbeitet, stellt Adapty sicher, dass in diesen Fällen auch diese Auftragnehmer alle Personenbezogenen Daten, die sie besitzen, gemäß den in diesem Abschnitt festgelegten Bestimmungen zurückgeben, löschen oder vernichten.
11. Datenschutzrechte von Verbrauchern in Kalifornien
11.1. „Personenbezogene Informationen“, „Verbraucher“ und andere großgeschriebene Begriffe in diesem Abschnitt 11 haben die Bedeutung, die ihnen im California Consumer Privacy Act of 2018, Cal. Civ. Code §§ 1798.100 et seq., in der jeweils geltenden Fassung („CCPA“) zugewiesen ist.
11.2. Es wird hiermit vereinbart, dass jeder Austausch personenbezogener Daten zwischen den Parteien ausschließlich zur Erfüllung eines Geschäftszwecks erfolgt und Adapty keine personenbezogenen Daten als Entgelt für die Dienste erhält oder verarbeitet.
11.3. Daher ist der Kunde in Bezug auf seine Nutzung der Dienste allein für die Einhaltung des CCPA verantwortlich. Der Kunde ist allein verantwortlich und haftbar dafür sicherzustellen, dass der Austausch oder die Übermittlung personenbezogener Daten Betroffener Personen im Rahmen der Erbringung der Dienste keinen Verkauf Personenbezogener Daten darstellt.
11.4. Adapty wird personenbezogene Daten nicht zu kommerziellen Zwecken speichern, verwenden oder übermitteln, außer zur Erbringung der in den Nutzungsbedingungen von Adapty festgelegten Dienste.
12. Laufzeit
12.1. Dieser AVV tritt zu dem in den Nutzungsbedingungen von Adapty festgelegten Datum in Kraft. Dieser AVV bleibt so lange in Kraft, wie die Nutzungsbedingungen von Adapty in Kraft bleiben.
13. Salvatorische Klausel
13.1. Ist oder erweist sich eine Bestimmung dieses AVV ganz oder teilweise als ungültig, unwirksam oder nicht durchsetzbar, so bleiben die Gültigkeit, Wirksamkeit und Durchsetzbarkeit der übrigen Bestimmungen dieses AVV unberührt.
13.2. Eine solche ungültige, unwirksame oder nicht durchsetzbare Bestimmung gilt, soweit gesetzlich zulässig, als durch diejenige gültige, wirksame und durchsetzbare Bestimmung ersetzt, die dem wirtschaftlichen Sinn und Zweck der ungültigen, unwirksamen oder nicht durchsetzbaren Bestimmung hinsichtlich Gegenstand, Zeit, Ort und Geltungsbereich am nächsten kommt.
13.3. Die vorstehende Regelung gilt entsprechend für die Schließung etwaiger Lücken in diesem AVV.
14. Vollständige Vereinbarung
14.1. Die Parteien erklären ausdrücklich, dass dieser AVV (einschließlich der darin genannten Anlagen) und die darin genannten Dokumente die gesamte Vereinbarung zwischen den Parteien darstellen und alle früheren Entwürfe, Vereinbarungen, Zusagen, Absprachen, Bedingungen und Regelungen jeglicher Art zwischen den Parteien, ob schriftlich oder nicht, in Bezug auf den Gegenstand dieses AVV ersetzen, ungeachtet einer etwaigen entgegenstehenden Rangfolge.
15. Anwendbares Recht und Gerichtsstand
15.1. Der AVV unterliegt dem Recht, das sich aus den in den Nutzungsbedingungen von Adapty festgelegten Bestimmungen ergibt.
15.2. Die Parteien unterwerfen sich hiermit der im AVV vorgesehenen Gerichtsstandswahl in Bezug auf alle Streitigkeiten oder Ansprüche, gleich aus welchem Rechtsgrund, die sich aus diesem AVV ergeben, einschließlich Streitigkeiten über sein Bestehen, seine Gültigkeit oder Beendigung sowie die Folgen seiner Ungültigkeit.
16. Sonstiges
16.1. Im Falle eines Widerspruchs oder einer Unklarheit zwischen:
16.1.1 einer Bestimmung des AVV und einer Bestimmung der Nutzungsbedingungen von Adapty haben die Bestimmungen des AVV Vorrang;
16.1.2. einer Bestimmung dieses AVV und unterzeichneten SCC haben die Bestimmungen der unterzeichneten SCC Vorrang.
Anlage 1. Parameter der Datenverarbeitung
Teil A. Liste der Parteien
Verantwortlicher
| Name | Die Identität des Kunden, wie im Vertrag, bei der Registrierung oder in einem gesonderten Bestellformular angegeben |
|---|---|
| Anschrift | Die Anschrift des Kunden, wie im Vertrag, bei der Registrierung oder in einem gesonderten Bestellformular angegeben |
| Amtliche Registernummer | Die Registernummer des Kunden, wie im Vertrag oder in einem gesonderten Bestellformular angegeben |
| Name, Funktion und Kontaktdaten der Kontaktperson | Der Vertreter des Kunden, wie im Vertrag oder in einem gesonderten Bestellformular angegeben |
| Rolle | Verantwortlicher |
Auftragsverarbeiter
| Name | Adapty Tech Inc. |
|---|---|
| Anschrift | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| Name, Funktion und Kontaktdaten der Kontaktperson | Kirill Potekhin, Chief Technical Officer, [email protected] |
| Rolle | Auftragsverarbeiter |
Teil B. Beschreibung der Verarbeitung
| Kategorien betroffener Personen | Endnutzer der mobilen Anwendung(en) des Kunden; Besucher und Nutzer der Websites, Web-Funnels und sonstigen digitalen Angebote des Kunden sowie über diese gewonnene Abonnenten; und andere natürliche Personen, deren Kontaktdaten der Kunde Adapty rechtmäßig zum Zweck des Versands von Nachrichten über Adapty Mail zur Verfügung stellt. |
|---|---|
| Kategorien übermittelter personenbezogener Daten | Die Kategorien personenbezogener Daten, die vom Auftragsverarbeiter im Rahmen der Erbringung der Dienste verarbeitet werden, können je nach Konfiguration und Weisungen des Kunden Folgendes umfassen: |
| i. Technische Informationen | Diese Kategorie umfasst technische Daten zu dem Gerät, das der Endnutzer für den Zugriff auf die digitalen Dienste des Kunden, wie mobile Spiele oder Anwendungen, verwendet. Zu diesen Informationen können beispielsweise die IP-Adresse, das Gerätemodell, das Betriebssystem und die Spracheinstellungen gehören. |
| ii. Kennungen | Diese Kategorie umfasst verschiedene Kennungen, die mit dem Gerät oder der Anwendungsinstanz des Endnutzers verknüpft sind. Zu diesen Kennungen können beispielsweise der Apple Identifier for Advertisers (IDFA), der Identifier for Vendors (IDFV), die Google Advertising ID und andere ähnliche Kennungen gehören. |
| iii. Nutzungsdaten | Diese Kategorie bezieht sich auf Informationen darüber, wie Endnutzer mit den Diensten des Kunden interagieren. Sie umfasst unter anderem In-App-Ereignisse; Aktionen von Endnutzern, wie Klicks auf Werbeanzeigen des Kunden; Aufrufe der Werbeanzeigen des Kunden; Zeitstempel des Downloads und der Installation der Anwendung; Starts der Anwendung; In-App-Käufe, einschließlich Kaufzeitpunkt und -betrag; sowie alle weiteren Ereignisse oder Interaktionsdaten, die der Kunde je nach den Merkmalen seiner Dienste erfassen und analysieren möchte. |
| iv. Kontaktinformationen | Diese Kategorie umfasst personenbezogene Daten, die einen einzelnen Endnutzer unmittelbar identifizieren oder sich auf ihn beziehen und für die Kommunikation oder nutzerspezifische Funktionen erforderlich sind. Zu diesen Daten können beispielsweise E-Mail-Adresse, Vorname, Nachname und andere Informationen gehören, die der Kunde dem Auftragsverarbeiter bewusst übermittelt. |
| v. E-Mail- und Nachrichtendaten | E-Mail-Adresse; Name; Absender- und Empfängerangaben; Nachrichteninhalt; Nachrichtenmetadaten; Abonnement- und Einwilligungsstatus; Informationen zu Abmeldungen, Beschwerden, Bounces und Sperrungen; Daten zu Zustellung, Öffnungen, Klicks und Interaktion; sowie andere Attribute, die der Kunde für die Segmentierung, Personalisierung und Zustellung von Nachrichten bereitstellt. |
| Übermittlung sensibler Daten (falls zutreffend) und angewandte Beschränkungen oder Garantien, die der Art der Daten und den damit verbundenen Risiken in vollem Umfang Rechnung tragen, wie z. B. strenge Zweckbindung, Zugangsbeschränkungen (einschließlich des Zugangs nur für Mitarbeiter, die eine spezielle Schulung absolviert haben), Führung von Aufzeichnungen über den Zugang zu den Daten, Beschränkungen für Weiterübermittlungen oder zusätzliche Sicherheitsmaßnahmen | Entfällt |
| Art der Verarbeitung (Umfang der Verarbeitung) | Empfang, Erhebung, Erfassung, Organisation, Speicherung, Auslesen, Abfragen, Verwendung, Segmentierung, Personalisierung, Sperrung, Einschränkung, Löschung sowie, auf dokumentierte Weisung des Kunden, Übermittlung von Nachrichten und zugehörigen Metadaten an Empfänger. |
| Zweck(e) der Datenverarbeitung | Personenbezogene Daten dürfen nur zu folgenden Zwecken verarbeitet werden: Erbringung der Dienste gemäß dem Vertrag. Der Auftragsverarbeiter wird die Personenbezogenen Daten des Kunden nicht verkaufen. |
| Dauer, für die die Personenbezogenen Daten verarbeitet werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer | Personenbezogene Daten werden für die Laufzeit der Nutzungsbedingungen von Adapty verarbeitet und danach nur für den Zeitraum, der erforderlich ist, um die Rückgabe oder Löschung gemäß Ziffer 10 dieses AVV abzuschließen, das Anwendbare Datenschutzrecht einzuhalten, geltende Zyklen zur Aufbewahrung von Sicherungskopien abzuschließen oder anonymisierte Informationen aufzubewahren, die eine Betroffene Person nicht identifizieren und deren erneute Identifizierung nach vernünftigem Ermessen nicht ermöglichen. |
Anlage 2. Technische und organisatorische Maßnahmen, einschließlich technischer und organisatorischer Maßnahmen zur Gewährleistung der Datensicherheit
| Maßnahmen für | Ergriffene Maßnahme (J/N) | Falls ja, bitte konkrete Angaben machen |
|---|---|---|
| Pseudonymisierung und Verschlüsselung personenbezogener Daten | J | Personenbezogene Daten werden während der Übertragung verschlüsselt. |
| Gewährleistung der dauerhaften Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung | J | Alle Daten werden in einem geschlossenen internen Netzwerk gespeichert und verarbeitet, das durch eine Firewall geschützt ist. Die Daten werden fortlaufend über mehrere Rechenzentren repliziert. Es werden inkrementelle Sicherungskopien vorgehalten. |
| Gewährleistung der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall innerhalb angemessener Zeit wiederherzustellen | J | Die Daten werden fortlaufend über mehrere Rechenzentren repliziert. Es werden inkrementelle Sicherungskopien vorgehalten. |
| Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung | J | Sämtlicher in der Produktionsumgebung bereitgestellte Code wird geprüft. Automatisierte Tests, einschließlich Sicherheitstests, sind Bestandteil des Bereitstellungsprozesses. Software von Drittanbietern wird regelmäßig auf die neueste stabile Version aktualisiert, einschließlich, aber nicht beschränkt auf Betriebssysteme, Datenbanken, Caches, IDEs und Orchestrierungsdienste. |
| Identifizierung und Autorisierung des Kunden | J | Der Kunde wird anhand einer E-Mail-Adresse und eines Passworts autorisiert. Alle Passwörter werden in verschlüsselter Form unter Verwendung eines zufälligen Salts gespeichert. |
| Datenschutz bei der Übertragung | J | Alle Daten werden in verschlüsselter Form mittels SSL/TLS-Zertifikaten übertragen. |
| Datenschutz bei der Speicherung | J | Alle Daten werden in einem geschlossenen internen Netzwerk gespeichert und verarbeitet, das durch eine Firewall geschützt ist. |
| Gewährleistung der physischen Sicherheit von Orten, an denen personenbezogene Daten verarbeitet werden | J | Für die Speicherung und Verarbeitung von Daten werden Tier-1-Rechenzentren genutzt. |
| Gewährleistung der Protokollierung von Ereignissen | J | Es wird ein verteiltes Protokollierungssystem eingesetzt, das die Daten hinter der Firewall speichert. |
| Gewährleistung der Systemkonfiguration, einschließlich der Standardkonfiguration | J | Die Systemkonfiguration, einschließlich der Standardkonfiguration, wird überprüft und fortlaufend überwacht. Standardports und -passwörter werden geändert. |
| IT-Management und -Governance sowie IT-Sicherheit | J | Der Auftragsverarbeiter setzt eine Vielzahl von Sicherheitsmaßnahmen für die Infrastruktur um, um Kundeninformationen vor unbefugtem Zugriff, Verlust, Veränderung, Viren, Trojanern und ähnlichem Schadcode zu schützen. Zu diesen Maßnahmen gehören: • Regelmäßige Aktualisierung von Betriebssystemen, Hardware und Software von Drittanbietern zur Behebung von Sicherheitslücken. • Einsatz von Firewalls und Intrusion-Prevention-Systemen (IPS), um den Zugang zu den Servern zu beschränken und diese zu schützen. • Gewährleistung sicherer Fernzugriffskommunikation durch Multi-Faktor-Authentifizierung. • Sicherung der Kundendaten nach einem täglichen Rotationsplan. |
| Zertifizierung/Gewährleistung von Prozessen und Produkten | J | Ja. Adapty verfügt über eine Bescheinigung nach SOC 2 Type II, die die operative Wirksamkeit seiner Kontrollen für Sicherheit, Verfügbarkeit und Vertraulichkeit abdeckt. Der aktuelle Bericht nach SOC 2 Type II wird Kunden und potenziellen Kunden auf Anfrage unter einer Geheimhaltungsvereinbarung zur Verfügung gestellt. |
| Gewährleistung der Datenminimierung | J | Die Datenerhebung ist auf die personenbezogenen Informationen beschränkt, die zur Erbringung der Dienste erforderlich sind. Personenbezogene Informationen werden nicht für Zwecke verwendet, die nicht im Auftragsverarbeitungsvertrag und im Vertrag festgelegt sind, und werden nur so lange gespeichert, wie es zur Erfüllung dieser Zwecke erforderlich ist. |
| Gewährleistung der Datenqualität | J | Der Kunde kann die Änderung oder Löschung von Endnutzerdaten verlangen. |
| Gewährleistung einer begrenzten Datenspeicherung | J | Personenbezogene Daten werden gemäß den mit dem Kunden vereinbarten vertraglichen Bestimmungen und nach Maßgabe des anwendbaren Rechts gespeichert. |
| Gewährleistung der Rechenschaftspflicht | J | Personenbezogene Daten sind logisch einem bestimmten Kunden zugeordnet und werden nicht zwischen nicht miteinander verbundenen Kunden geteilt. Ereignisse und Audit-Protokolle im Zusammenhang mit dem Zugriff auf Plattform und System werden aufgezeichnet, überwacht und regelmäßig überprüft. |
| Gewährleistung der Datenübertragbarkeit und Löschung | J | Der Auftragsverarbeiter unterstützt die Datenübertragbarkeit und Löschung auf schriftliches Verlangen des Kunden, vorbehaltlich der Bestimmungen des Vertrags und des anwendbaren Rechts. |
Anlage 3. Liste der Unterauftragsverarbeiter
Der Kunde hat die Erlaubnis zum Einsatz der folgenden weiteren Auftragsverarbeiter erteilt:
| Name | Anschrift | Beschreibung der Verarbeitung |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | Cloud-Hosting-Infrastruktur und Infrastruktur für den E-Mail-Versand, einschließlich der Übermittlung von E-Mail-Nachrichten und der Verarbeitung zustellungsbezogener Metadaten. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Cloud-Hosting-Infrastruktur |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Infrastruktur für Content Delivery und Caching |
Anlage 4. SCC-Bedingungen
Die Bestimmungen der EU-Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021 (die „EU-SCC“) werden wie folgt durch Verweis in den Auftragsverarbeitungsvertrag einbezogen:
1. Anwendbares Modul
Das auf die Übermittlung der aus der EU stammenden Personenbezogenen Daten des Verantwortlichen im Rahmen des Vertrags anwendbare Modul ist Modul 2 – „Verantwortlicher an Auftragsverarbeiter“.
2. Gewählte Optionen
Soweit der Durchführungsbeschluss (EU) 2021/914 der Kommission in den EU-SCC eine Wahl zwischen Optionen zulässt, werden die folgenden Optionen gewählt:
| SCC-Bestimmung | Gewählte Option / Spezifikation |
|---|---|
| Punkt 7: Kopplungsklausel | Die optionale Kopplungsklausel findet keine Anwendung. |
| Punkt 9: Einsatz von Unterauftragsverarbeitern | Option 2. Die Frist beträgt 30 Arbeitstage. |
| Punkt 11: Rechtsbehelf / Entschädigung | Die optionale Bestimmung findet keine Anwendung. |
| Klausel 17: Anwendbares Recht | Option 1. Das Recht Irlands. |
| Abschnitt 18: Gerichtsstand und Zuständigkeit | Die Gerichte Irlands. |
3. Anhang IA der SCC gilt als wie folgt ausgefüllt:
- Datenexporteur ist der Kunde, und die Angaben zum Datenexporteur entsprechen den in Anhang 1 (Teil A) des AVV aufgeführten Angaben.
Die Tätigkeiten im Zusammenhang mit den gemäß den SCC übermittelten Daten: die Übermittlung Personenbezogener Daten durch den Datenexporteur an den Datenimporteur, um dem Datenimporteur zu ermöglichen, diese Personenbezogenen Daten im Auftrag des Datenexporteurs zu verarbeiten und die Dienste gemäß den Nutzungsbedingungen von Adapty zu erbringen. - Datenimporteur ist Adapty, und die Angaben zu Adapty entsprechen den in Anhang 1 (Teil A) des AVV aufgeführten Angaben.
Die Tätigkeiten im Zusammenhang mit den gemäß den SCC übermittelten Daten sind: Empfang Personenbezogener Daten vom Datenexporteur zum Zweck der Erbringung der Dienste gemäß den Nutzungsbedingungen von Adapty.
4. Anhang IB der SCC entspricht Anlage 1 des AVV; zur Vervollständigung von Anhang IB werden zusätzlich folgende Angaben aufgenommen: Die Übermittlung erfolgt kontinuierlich.
5. Anhang IC wird wie folgt ausgefüllt: Aufsichtsbehörde der Republik Irland.
6. Anhang II der SCC entspricht Anhang 2 des AVV.
7. Anhang III der SCC entspricht Anhang 3 des AVV.
Zuletzt aktualisiert:
