1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Kunden („Verantwortlicher“) und Armin Zaribaf, Libero professionista, USt-IdNr. IT16634531004, Viale Giacomo Aicardi 8, 00177 Roma (RM), Italia („Auftragsverarbeiter“) geschlossen und ist Bestandteil der Nutzungsbedingungen. Er regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Artikel 28 der Verordnung (EU) 2016/679 („DSGVO“). Im Falle von Widersprüchen zwischen dem Verantwortlichen und dem Auftragsverarbeiter hat dieser AVV in Bezug auf personenbezogene Daten Vorrang.

2. Gegenstand, Dauer, Art und Zweck

Der Auftragsverarbeiter stellt eine Consent-Management-Plattform bereit: Er stellt ein Consent-Banner auf den Websites des Verantwortlichen bereit, erfasst die Einwilligungsentscheidungen der Website-Besucher des Verantwortlichen und stellt diese Nachweise dem Verantwortlichen als Einwilligungsnachweis zur Verfügung. Die Verarbeitung dauert für die Laufzeit des Abonnements des Verantwortlichen und die in Ziffer 8 beschriebene Aufbewahrungsfrist an.

3. Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen sind Besucher der Websites des Verantwortlichen. Für jedes Einwilligungsereignis erfasst der Auftragsverarbeiter: eine pseudonyme Einwilligungskennung, die Einwilligungsentscheidung je Zweck, das aus der IP-Adresse des Besuchers abgeleitete Land und die Region, die Website-Domain, einen gekürzten Referrer, etwaige IAB-TCF-Strings sowie den Zeitpunkt des Ereignisses.

Einwilligungsdatensätze enthalten weder IP-Adressen noch User-Agent-Strings von Besuchern. IP-Adressen werden für Rate-Limiting und Geolokalisierung verwendet, einschließlich eines unter /subprocessors aufgeführten externen Fallbacks. Die Infrastruktur- und Unterauftragsverarbeiter-Diagnose kann Anfragemetadaten im Rahmen der jeweiligen Aufbewahrungsbestimmungen verarbeiten. Das Schema für Einwilligungsdatensätze erfasst keine besonderen Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO.

4. Pflichten des Auftragsverarbeiters

Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, einschließlich in Bezug auf internationale Datenübermittlungen, es sei denn, das Recht der Union oder der Mitgliedstaaten verlangt etwas anderes.
Sicherzustellen, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
Die in Ziffer 6 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen.
Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen betroffener Personen sowie bei der Erfüllung seiner Pflichten gemäß den Artikeln 32 bis 36 DSGVO zu unterstützen. Der Verantwortliche kann die meisten dieser Anfragen selbst über die Export- und Löschwerkzeuge im Dashboard bearbeiten; geht die Unterstützung über diese Werkzeuge hinaus, kann der Auftragsverarbeiter seine jeweils aktuellen Stundensätze für Professional Services berechnen.
Alle erforderlichen Informationen zum Nachweis der Einhaltung bereitzustellen und Überprüfungen gemäß Ziffer 9 zu ermöglichen.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung, dass der Auftragsverarbeiter Unterauftragsverarbeiter hinzuzieht. Die aktuelle Liste ist veröffentlicht unter /subprocessors. Der Auftragsverarbeiter aktualisiert diese Seite mindestens dreißig (30) Tage, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung beginnt. Benachrichtigungen über Änderungen sind auf Anfrage über den Datenschutzkontakt in Ziffer 13 erhältlich; automatisierte Benachrichtigungsabonnements sind geplant und derzeit nicht verfügbar. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten, dokumentierten Datenschutzgründen Widerspruch einlegen. Können die Parteien den Widerspruch nicht beilegen, besteht das einzige und ausschließliche Rechtsmittel des Verantwortlichen darin, den betroffenen Dienst durch schriftliche Mitteilung zu kündigen, mit einer anteiligen Rückerstattung im Voraus bezahlter Gebühren für die ungenutzte Laufzeit. Erfolgt innerhalb der Frist kein Widerspruch, gilt dies als Genehmigung. Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, die nicht weniger streng sind als die in diesem AVV festgelegten.

6. Sicherheitsmaßnahmen

TLS schützt Verbindungen zu öffentlichen Diensten. Die Überprüfung interner Datenbank-TLS-Zertifikate, authentifiziertes Redis-TLS und At-Rest-Konfigurationen des Anbieters sind geplant; diese Kontrollen werden durch diese Vereinbarung nicht bestätigt.
Rollenbasierte Zugriffskontrolle mit Berechtigungen pro Team und pro Banner sowie Least-Privilege-Trennung zwischen Support- und Operator-Rollen.
Datenminimierung bei Einwilligungsdatensätzen: IP-Adressen und User-Agent-Strings von Besuchern werden in diesen Datensätzen nicht gespeichert; die Infrastruktur- und Unterauftragsverarbeiter-Diagnose erfolgt getrennt.
Audit-Protokollierung ausgewählter Team- und Abrechnungsaktionen gemäß einer festgelegten Aufbewahrungsrichtlinie; eine umfassende Protokollierung für Plattform-Administratoren ist geplant.
Datenbank-Backup- und Wiederherstellungsüberprüfungstools sowie überwachte Fehlerberichterstattung. Vierteljährlich protokollierte Wiederherstellungstests und die Verschlüsselung von Backup-Artefakten sind geplant; eine aktuell erfolgreiche Wiederherstellung wird durch diese Vereinbarung nicht bestätigt.

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die personenbezogene Daten des Verantwortlichen betrifft, und stellt die zu diesem Zeitpunkt vernünftigerweise verfügbaren Informationen bereit, damit der Verantwortliche seinen eigenen Pflichten gemäß den Artikeln 33 und 34 DSGVO nachkommen kann. Informationen können stufenweise im Zuge des Untersuchungsfortschritts bereitgestellt werden. Eine Benachrichtigung stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

8. Aufbewahrung, Rückgabe und Löschung

Einwilligungsdatensätze werden für den tariflich definierten Zeitraum aufbewahrt, vorbehaltlich einer genehmigten administrativen Überschreibung und eines aktuellen Mindestzeitraums von zwölf Monaten, um als Einwilligungsnachweis gemäß Artikel 7 Absatz 1 DSGVO zu dienen. Änderungen der Aufbewahrungsdauer können über den Datenschutzkontakt zur Machbarkeits- und Rechtsprüfung angefordert werden; Self-Service-Aufbewahrungseinstellungen für Kunden sind geplant und derzeit nicht verfügbar. Verantwortliche können ihre Einwilligungsdatensätze jederzeit über das Dashboard exportieren und sind dafür verantwortlich, dies vor Vertragsbeendigung zu tun. Bei Vertragsbeendigung wird der Auftragsverarbeiter auf schriftliche Anfrage des Verantwortlichen innerhalb von dreißig (30) Tagen die personenbezogenen Daten zurückgeben oder löschen und kann diese mangels einer solchen Anfrage löschen. Kopien in Routine-Backups werden über den jeweiligen Backup-Rotationsprozess verwaltet und nicht sofort auf Abruf gelöscht; sie unterliegen bis zur Löschung diesem AVV. Die Verschlüsselung von Backup-Artefakten ist geplant und wird derzeit vom Backup-Skript nicht bereitgestellt; die Aufbewahrung und der Ablauf entfernter Kopien erfordern eine betriebliche Überprüfung. Der Auftragsverarbeiter kann Daten aufbewahren, soweit das Recht der Union oder der Mitgliedstaaten dies erfordert.

9. Audits

Der Auftragsverarbeiter stellt die Informationen bereit, die erforderlich sind, um die Einhaltung dieses AVV nachzuweisen. Das Prüfungsrecht des Verantwortlichen wird in erster Linie durch schriftliche Antworten des Auftragsverarbeiters auf einen angemessenen Sicherheitsfragebogen sowie durch etwaige Berichte oder Zertifizierungen Dritter erfüllt, über die der Auftragsverarbeiter verfügt. Ein Vor-Ort- oder praktisches Audit darf nur durchgeführt werden, wenn diese Unterlagen nachweislich unzureichend sind oder wenn eine Aufsichtsbehörde dies verlangt, mit einer Frist von mindestens dreißig (30) Tagen im Voraus schriftlich angekündigt, höchstens einmal innerhalb eines Zwölfmonatszeitraums, während der üblichen Geschäftszeiten, ohne den Betrieb des Auftragsverarbeiters zu beeinträchtigen, durch den Verantwortlichen oder einen unabhängigen Prüfer, der kein Mitbewerber des Auftragsverarbeiters ist und zur Vertraulichkeit verpflichtet ist. Der Verantwortliche trägt seine eigenen sowie die angemessenen Kosten des Auftragsverarbeiters für ein solches Audit.

10. Internationale Datenübermittlungen

Personenbezogene Daten werden in der Europäischen Union gehostet. Sofern ein unter /subprocessors aufgeführter Unterauftragsverarbeiter Daten außerhalb des EWR verarbeitet, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission oder eines anderen gültigen Übermittlungsmechanismus zusammen mit allen erforderlichen zusätzlichen Maßnahmen.

11. Pflichten des Verantwortlichen

Der Verantwortliche entscheidet, welche personenbezogenen Daten über den Dienst erhoben werden und zu welchem Zweck. Der Verantwortliche sichert zu, dass er über eine gültige Rechtsgrundlage für diese Verarbeitung verfügt, dass seine Weisungen – einschließlich seiner Banner-, Kategorie- und Regionalkonfiguration – dem geltenden Datenschutzrecht entsprechen und dass er alle erforderlichen Hinweise bereitgestellt sowie alle für seine Nutzung erforderlichen Einwilligungen eingeholt hat.

Der Dienst ist ein Werkzeug zur Erfassung und Übermittlung von Einwilligungen. Er stellt keine Rechtsberatung dar, und der Auftragsverarbeiter garantiert nicht, dass eine bestimmte Konfiguration die Konformität des Verantwortlichen mit der DSGVO, der ePrivacy-Richtlinie oder anderen Gesetzen gewährleistet. Der Verantwortliche ist dafür verantwortlich zu prüfen, ob seine Konfiguration seinen eigenen Verpflichtungen entspricht.

Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen, Bußgeldern und Kosten frei, die sich aus den Weisungen des Verantwortlichen, seiner Konfiguration des Dienstes oder dem Fehlen einer gültigen Rechtsgrundlage ergeben.

12. Haftung

Die Gesamthaftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den Ausschlüssen und der Gesamthaftungsbeschränkung gemäß den Nutzungsbedingungen, und die Haftung der Parteien im Rahmen dieses AVV und der Nutzungsbedingungen wird gemeinsam auf diese einheitliche Haftungsgrenze angerechnet und nicht separat gezählt. Keine Bestimmung dieser Klausel beschränkt die Haftung, die gesetzlich nicht beschränkt werden kann, einschließlich der Rechte einer betroffenen Person gemäß Artikel 82 DSGVO.

Siehe die Nutzungsbedingungen für die geltende Haftungsgrenze.

13. Kontakt

Datenschutzanfragen: [email protected] · Rechtliches: [email protected]