Auftragsverarbeitungsvereinbarung

1. Rollen und Geltungsbereich

Diese Vereinbarung ist Bestandteil der Leistungsbedingungen. Der Kunde ist Verantwortlicher und THEFOCUS LTD ist Auftragsverarbeiter für personenbezogene Daten, die im Kunden-Arbeitsbereich, in den Werbekonten, Tag-Managern und Analysetools des Kunden sowie in uns übergebenen CRM-Exporten verarbeitet werden („personenbezogene Kundendaten“). Anhang 1 beschreibt die Verarbeitung. Ist der Kunde selbst Auftragsverarbeiter eines anderen Verantwortlichen, handeln wir zu denselben Bedingungen als sein Unterauftragsverarbeiter.

Diese Vereinbarung erfüllt Artikel 28 der UK-DSGVO und, soweit anwendbar, Artikel 28 der EU-DSGVO sowie die Bestimmungen zur Auftragsverarbeitung anderer Datenschutzgesetze in den Märkten, die wir bedienen.

2. Unsere Pflichten als Auftragsverarbeiter

• Personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden zu verarbeiten, einschließlich des Vertrags und der Nutzung der Anwendung durch den Kunden, sofern das Gesetz nichts anderes verlangt. In diesem Fall informieren wir den Kunden vor der Verarbeitung, sofern das Gesetz dies nicht verbietet. Wir teilen dem Kunden mit, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt.
• Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
• Die technischen und organisatorischen Maßnahmen in Anhang 2 anzuwenden.
• Unterauftragsverarbeiter nur wie in Abschnitt 3 festgelegt einzusetzen.
• Den Kunden unter Berücksichtigung der Art der Verarbeitung bei Anfragen betroffener Personen sowie bei seinen Pflichten zu Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörden zu unterstützen.
• Den Kunden unverzüglich, spätestens innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist, zu benachrichtigen, mit den Informationen, die der Kunde zur Erfüllung seiner eigenen Meldepflichten benötigt.
• Nach Ende der Leistungen personenbezogene Kundendaten nach Wahl des Kunden innerhalb von 30 Tagen zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, sofern das Gesetz uns nicht zur Aufbewahrung verpflichtet.
• Die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und Audits durch den Kunden oder einen von ihm beauftragten Prüfer mit einer Frist von 30 Tagen, unter Vertraulichkeit und höchstens einmal pro Jahr zu ermöglichen, sofern nicht eine Verletzung oder eine Aufsichtsbehörde dies erfordert.

3. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die auf unserer Seite „Unterauftragsverarbeiter“ beschriebenen Unterauftragsverarbeiter; die aktuelle namentliche Liste ist im Kunden-Dashboard und auf Anfrage verfügbar. Einen neuen Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus über die Anwendung an. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; können wir den Widerspruch nicht ausräumen, kann der Kunde die betroffene Leistung ohne Vertragsstrafe beenden. Wir verpflichten jeden Unterauftragsverarbeiter auf Datenschutzbedingungen, die nicht weniger schützend sind als diese Vereinbarung, und bleiben für seine Leistung verantwortlich.

4. Internationale Übermittlungen

Wir übermitteln personenbezogene Kundendaten nur auf Grundlage britischer Angemessenheitsregelungen, der UK Extension zum EU-US Data Privacy Framework, des International Data Transfer Agreement des ICO oder des UK Addendum zu den EU-Standardvertragsklauseln aus dem Vereinigten Königreich.

Hat der Kunde seinen Sitz im EWR, stützen sich Übermittlungen an uns auf den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich; endet die Geltung dieses Beschlusses, werden die EU-Standardvertragsklauseln (Modul zwei bzw. Modul drei, wenn der Kunde Auftragsverarbeiter ist) durch Verweis einbezogen, wobei ausschließlich für diese Klauseln irisches Recht und irischer Gerichtsstand gelten. Hat der Kunde seinen Sitz in der Schweiz, gelten dieselben Klauseln mit den schweizerischen Anpassungen. Für andere Märkte unterzeichnen wir auf Anfrage die Übermittlungsbedingungen, die das Recht des Kunden verlangt, etwa Standardverträge nach dem KVKK der Türkei oder dem PIPL Chinas.

5. Besondere Kategorien von Daten und sensibles Targeting

Der Kunde darf keine besonderen Kategorien personenbezogener Daten (zum Beispiel Gesundheitsdaten), Daten über Straftaten oder Daten von Kindern in die Anwendung hochladen und kein Targeting auf Grundlage sensibler Merkmale anweisen.

6. Haftung und Laufzeit

Die Haftung nach dieser Vereinbarung unterliegt den Begrenzungen der Leistungsbedingungen. Diese Vereinbarung gilt, solange wir personenbezogene Kundendaten verarbeiten.

Anhang 1: Beschreibung der Verarbeitung

• Gegenstand und Dauer: Erbringung der Leistungen während der Vertragslaufzeit und des 30-tägigen Ausstiegszeitraums.
• Art und Zweck: Planung und Durchführung von Kampagnen, Optimierungssignale in Echtzeit an die Kampagnen des Kunden, Einrichtung von Messung und Tracking, Reporting und Support.
• Betroffene Personen: die Mitarbeitenden des Kunden als Nutzer sowie seine Interessenten und Kunden, wie sie in Werbe-, Analyse- und CRM-Daten erfasst sind.
• Datenkategorien: Namen und geschäftliche Kontaktdaten der Nutzer des Kunden; Online-Kennungen, gehashte Kontaktdaten für den Conversion-Abgleich auf Plattformen, aggregierte Kampagnenkennzahlen und Lead-Phasen aus dem CRM.
• Aufbewahrung: wie in der Datenschutzerklärung und in Abschnitt 2 festgelegt.

Anhang 2: Technische und organisatorische Maßnahmen

• Verpflichtende Multi-Faktor-Authentifizierung für alle Konten, mit Einmal-Wiederherstellungscodes, die nur als Hashes gespeichert werden.
• Rollenbasierter Zugriff nach dem Prinzip der geringsten Rechte für Mitarbeitende, überprüft bei Rollenänderungen.
• Trennung der Kunden-Arbeitsbereiche, durchgesetzt in der Anwendung und auf Datenbankebene.
• Verschlüsselung bei der Übertragung mit aktuellem TLS und Verschlüsselung ruhender Daten für Datenbanken, Dateien und Backups.
• Verteilte, verschlüsselte Bereitstellung des Dienstes in mehr als 125 Ländern.
• Nur erweiterbare Audit-Logs für sicherheitsrelevante Aktionen.
• Keine Speicherung von Passwörtern für Werbekonten; Zugriff nur über Nutzer- oder Partnerberechtigungen der Plattformen.
• Signierte und gegen Replay-Angriffe geschützte Webhooks und Datenübernahme.
• Automatisierte Prüfung auf offengelegte Geheimnisse und Tests vor jedem Release.
• Verfahren zur Reaktion auf Sicherheitsvorfälle mit festgelegter Eskalation und Benachrichtigung der Kunden.