Auftragsverarbeitungsvertrag

Gültig ab 25. Mai 2018

Mit dieser Vereinbarung sollen die Bedingungen festgelegt werden, unter denen sich Mailify (im Folgenden „Sarbacane Software“ oder der „Auftragsverarbeiter“) verpflichtet, für den Nutzer (im Folgenden „Nutzer“ oder „Datenverantwortlicher“) die nachfolgend definierten Verarbeitungen personenbezogener Daten durchzuführen. Sarbacane Software und der Nutzer werden zusammen als „Parteien“ und einzeln als „Partei“ bezeichnet. Alle Bedingungen und vorherigen Vereinbarungen zwischen den Parteien, die auf den gleichen Zweck abzielen, werden durch dieses Abkommen aufgeboben und ersetzt.

Im Rahmen dieser Vereinbarung handelt der Nutzer als Datenverantwortlicher und Sarbacane Software als Auftragsverarbeiter im Sinne der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016, anwendbar seit dem 25. Mai 2018 (im Folgenden „Europäische Datenschutz-Grundverordnung (DSGVO“).

Sarbacane Software fungiert als Datenverantwortlicher, wenn sie die Zwecke und Mittel für die Verarbeitung personenbezogener Daten festlegt. Dies ist insbesondere der Fall, wenn es die Kontaktdaten einer natürlichen Person (Ansprechpartner des Nutzerunternehmens) im Rahmen eines Hilfeersuchens verarbeitet. Die von Sarbacane Software in diesem Zusammenhang ergriffenen Maßnahmen sind in einer Charta auf der Internetseite von Mailify ausführlich beschrieben.

Die Parteien verpflichten sich, die geltenden und für die Verarbeitung personenbezogener Daten geltenden Vorschriften und insbesondere die Datenschutz-Grundverordnung einzuhalten.

1. Begriffsbestimmungen

Personenbezogene Daten: bezieht sich auf alle Informationen über eine identifizierte oder identifizierbare natürliche Person im Sinne der Europäischen Datenschutz-Grundverordnung, die der Auftragsverarbeiter im Auftrag des Datenverantwortlichen verarbeitet.

Verletzung des Schutzes personenbezogener Daten: bezeichnet eine Sicherheitsverletzung, die zu versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Änderung, Offenlegung oder unberechtigtem Zugriff auf personenbezogene Daten führt, die übertragen, gespeichert oder anderweitig verarbeitet werden.

Verarbeitung: bezeichnet jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, wie der/die Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Anpassung oder Änderung, Wiederherstellung, Auslesen, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder Kombination, Einschränkung oder Löschung personenbezogener Daten.

2. Verarbeitungsdetails

a. Arten von personenbezogenen Daten: Kontaktinformationen, einschließlich E-Mail-Adressen, Telefonnummern, Nachname, Vorname, Beruf, Geschlecht, demografische Daten, Präferenzen, Standortdaten, Zugangsdaten und alle anderen Arten von Daten, die vom Nutzer nach eigenem Ermessen im Rahmen der Verwendung und Einrichtung von Diensten von Sarbacane Software festgelegt und kontrolliert werden.

b. Kategorien von Betroffenen: Alle Kategorien von Betroffenen (natürliche Personen), die vom Nutzer nach eigenem Ermessen bestimmt und kontrolliert werden, darunter:

- Jede Person (Kunden, Interessenten, Mitarbeiter, Subunternehmer, Lieferanten usw.), deren E-Mail-Adresse und/oder Telefonnummer in der Verteilerliste des Benutzers aufgenommen wurden; oder Empfänger einer E-Mail-/SMS-Kommunikation; oder deren Informationen über die Services gespeichert oder erfasst werden.

c. Zweck und Art der Verarbeitung: Der Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter ist es, dem Datenverantwortlichen Dienstleistungen zu erbringen, die die Verarbeitung personenbezogener Daten und die Erfüllung der Verpflichtungen des Auftragsverarbeiters im Rahmen der Vereinbarung und aller zwischen den Parteien vereinbarten Bedingungen umfassen. Der Auftragsverarbeiter stellt die Software für die Erstellung, den Versand, die Automatisierung und Analyse von E-Mail- und/oder SMS-Kampagnen sowie zugehörige Dienstleistungen zur Verfügung. Die Dienstleistungen können Folgendes umfassen: die Verarbeitung von Empfängerdatenbanken für das Versenden von elektronischen Kampagnen (E-Mail und/oder SMS), die Analyse des Verhaltens der Empfänger, die Gestaltung und Umsetzung einer Marketing-Kommunikationsstrategie usw. Personenbezogene Daten unterliegen den Verarbeitungstätigkeiten, die in den Allgemeinen Geschäftsbedingungen, den zum Zeitpunkt der Bestellung vereinbarten Informationen und gegebenenfalls in etwaigen gesonderten Bedingungen festgelegt sind

d. Dauer der Verarbeitung: Personenbezogene Daten werden für die Dauer des Vertragsverhältnisses zwischen den Parteien verarbeitet

3. Pflichten der Parteien

3.1. Pflichten des Nutzers

Der Nutzer ist für die im Rahmen der abonnierten Dienste durchgeführten Verarbeitungen verantwortlich.

Er ist daher allein verantwortlich für die personenbezogenen Daten, die er über die Dienste von Sarbacane Software nutzt, bereitstellt und speichert. Von daher trägt der Nutzer die alleinige Verantwortung für die Pflichten, denen er als Datenverantwortlicher bei der Verarbeitung personenbezogener Daten im Hinblick auf die geltenden Vorschriften und insbesondere die Europäische Datenschutz-Grundverordnung nachzukommen hat.

Der Nutzer verpflichtet sich dazu:

1. Sarbacane Software die personenbezogenen Daten zur Verfügung zu stellen, die für die Erbringung der abonnierten Dienste erforderlich sind. Er hat darauf zu achten, keine sogenannten sensiblen Daten im Sinne der Vorschriften über den Schutz personenbezogener Daten zu übermitteln;

2. alle Anweisungen bezüglich der Verarbeitung personenbezogener Daten durch die Sarbacane Software zu dokumentieren. Es versteht sich, dass die Nutzungsbedingungen der Dienste und diese Vereinbarung eine Anweisung an Sarbacane Software bezüglich der durchzuführenden Verarbeitung darstellen. Zusätzliche oder abweichende Anweisungen bedürfen einer schriftlichen Vereinbarung zwischen den Parteien. Sie müssen bei der Bestellung der Dienstleistungen zunächst schriftlich festgelegt werden und können jederzeit, mit vorheriger schriftlicher Zustimmung von Sarbacane Software, auf Wunsch des Benutzers in separaten schriftlichen Anweisungen geändert, ergänzt oder ersetzt werden;

3. im Vorfeld und während der gesamten Dauer der Verarbeitung sicherzustellen, dass Sarbacane Software die Anforderungen der Europäischen Datenschutz-Grundverordnung erfüllt;

4. die Verarbeitung zu überwachen, einschließlich der Durchführung von Audits und Inspektionen bei Sarbacane Software. Im Rahmen der Durchführung von Audits und Inspektionen verpflichtet sich der Nutzer, Sarbacane Software über seine Entscheidung, ein Audit oder eine Inspektion durchzuführen, mit einer Frist von mindestens 15 Tagen zu informieren;

Im Hinblick auf diese Audits und Inspektionen verpflichtet sie sich, (I) qualifiziertes Personal oder Dienstleister einzusetzen; (II) alle mit den Audits und Inspektionen verbundenen Kosten allein zu tragen; (III) die Audits und Inspektionen nur an Werktagen während der Arbeitzeiten von Sarbacane Software durchzuführen; (IV) sicherzustellen, dass der Zweck dieser Audits und Inspektionen darin besteht, die Einhaltung dieser Vereinbarung und der Vorschriften zum Schutz personenbezogener Daten zu überprüfen

5. die ihm in seiner Eigenschaft als Datenverantwortlicher obliegenden erforderlichen Sicherheitsmaßnahmen zum Schutz der personenbezogenen Daten zu ergreifen, und insbesondere die Vertraulichkeit des Benutzernamens und Kennworts für den Zugang zu den Diensten und die Verwendung von Kennwörtern nach den allgemein gültigen Sicherheitsregeln für Passwörter sicherzustellen; die Sicherheit der Arbeitsplätze und Geräten zu gewährleisten, von denen aus seine Mitarbeiter und jede von ihm bevollmächtigte Person auf die Dienste zugreifen, insbesondere durch namentliche Authentifizierung der Nutzer, durch regelmäßige Überprüfung der Berechtigungen, durch Sicherstellung der Anwendung von Patches und System-Aktualisierungen, mit regelmäßig aktualisiertem Virenschutz, Firewall oder dergleichen, durch bevorzugte Verwendung von WLAN-Netzwerke mit WPA2- und WPA2_PSK-Verschlüsselung oder ähnlichen Verschlüsselungen, durch Sicherstellung von Backups der Nutzerdaten an geeigneten Orten; durch den Schutz seiner Räumlichkeiten, insbesondere durch Einbruchschutzsysteme und regelmäßig geprüfte Zutrittskontrollen und die Unterscheidung der Räumlichkeiten nach Risiken (z.B. Serverraum), die dem Personal den Zugang nach den betrieblichen Erfordernissen nach dem Prinzip der geringsten notwendigen Berechtigungen gewährt; geschulte Fachkräfte einzusetzen, die mit dem Schutz personenbezogener Daten vertraut sind usw.

6. in Übereinstimmung mit der Europäischen Datenschutz-Grundverordnung und anderen geltenden Datenschutzvorschriften jede gegebenenfalls erforderliche Zustimmung der von den geplanten Verarbeitungen betroffenen Personen einzuholen und auf jeden Fall sicherzustellen, dass die Verarbeitung rechtmäßig ist und bleibt.

Der Nutzer ist auch dafür verantwortlich, den von der Verarbeitung betroffenen Personen die Informationen zum Zeitpunkt der Erhebung der personenbezogenen Daten zur Verfügung zu stellen.

7. Anträge auf Ausübung der Rechte der betroffenen Personen zu beantworten (Recht auf Zugang, Berichtigung, Löschung und Widerspruch, Einschränkung der Verarbeitung, Übertragbarkeit der Daten sowie das Recht darauf, nicht Teil einer automatisierten Einzelentscheidung zu sein).

Und ganz allgemein seinen Verpflichtungen nachzukommen, die sich aus den geltenden und für die Verarbeitung personenbezogener Daten anwendbaren Vorschriften, insbesondere aus der Europäischen Datenschutz-Grundverordnung, ergeben.

3.2 Pflichten des Auftragsverarbeiters

Sarbacane Software verarbeitet personenbezogene Daten nur auf dokumentierte Weisungen des Nutzers gemäß Artikel 3.1.2, sofern sie nicht durch das EU-Recht oder das französische Recht hierzu verpflichtet ist; Ist Sarbacane Software der Ansicht, dass eine Weisung einen Verstoß gegen die Europäische Datenschutz-Grundverordnung oder eine andere Bestimmung des EU-Rechts oder des Datenschutzrechts der Mitgliedstaaten darstellt, wird sie dies dem Nutzer unverzüglich melden.

Sarbacane Software verpflichtet sich:

- personenbezogene Daten nur zu den vereinbarten Zwecken zu verarbeiten.

- bei seinen Tools, Produkten, Anwendungen oder Dienstleistungen die Grundsätze des Datenschutzes bereits in der Konzeptphase und der Ausführung zeitgemäß zu berücksichtigen.

- keine personenbezogenen Daten in ein Land außerhalb der EU/EWR oder ein Drittland ohne vorherige Zustimmung des Nutzers zu übermitteln, dessen Schutzniveau personenbezogener Daten von der Europäischen Kommission als nicht ausreichend erachtet wird.

Ganz allgemein kann der Datenverantwortliche personenbezogene Daten über die Dienste jederzeit löschen und exportieren. In jedem Fall und sofern der Datenverantwortliche keine anderen Weisungen erteilt hat, werden die personenbezogenen Daten vom Auftragsverabeiter nicht länger als sechs Monate nach Beendigung, Ablauf oder vorzeitiger Kündigung des Dienstes im Zusammenhang mit der Verarbeitung personenbezogener Daten gespeichert, mit Ausnahme von Daten, die zur Erfüllung einer gesetzlichen oder behördlichen Verpflichtung gespeichert bleiben müssen.

Sicherheit / Vertraulichkeit / Datenschutzverletzung

Sarbacane Software trifft die entsprechenden technischen und organisatorischen Maßnahmen, um sicherzustellen, dass die Datenverarbeitung die Anforderungen der Datenschutzbestimmungen erfüllt. Sarbacane Software verpflichtet sich unter anderem, alle erforderlichen Maßnahmen zu veranlassen, um den Erhalt und die Integrität von personenbezogenen Daten zu gewährleisten und jeden Missbrauch oder jede betrügerische Verwendung personenbezogener Daten im Rahmen seines Wirkungsbereichs und der von ihm kontrollierten Mittel während der Vertragsbeziehungen zu verhindern. Der Nutzer kann von diesen Maßnahmen auf der Webseite jederzeit Kenntnis nehmen.

Sarbacane Software verpflichtet sich, die Vertraulichkeit personenbezogener Daten zu wahren und sie in keiner Form offenzulegen, außer (I) zum Zwecke der Erbringung der Dienstleistungen und Zwecke dieser Vereinbarung; (II) gemäß einer Rechts- oder Verwaltungsvorschrift; (III) um auf berechtigte Anfragen von Justiz- und/oder Verwaltungsbehörden zu reagieren; (IV) mit der vorherigen Zustimmung oder Aufforderung des Nutzers. In diesem Zusammenhang stellt Sarbacane Software sicher, dass sich die zur Verarbeitung personenbezogener Daten berechtigten Personen (Mitarbeiter, Partner, weitere Subunternehmer usw.) zur Wahrung der Vertraulichkeit personenbezogener Daten verpflichten oder einer entsprechenden gesetzlichen Verpflichtung zur Vertraulichkeit unterliegen.

Sarbacane Software informiert den Nutzer über jeglichen Verstoß gegen den Schutz personenbezogener Daten innerhalb von maximal 48 Stunden nach Bekanntwerden. Dieser Mitteilung sind alle relevanten Informationen beizufügen, damit der Nutzer seinen eigenen Verpflichtungen nachkommen kann.

Unterstützung

Soweit möglich, verpflichtet sich Sarbacane Software unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen gegenüber dem Nutzer und auf Anfrage des Nutzers:

- ihn bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der von der Verarbeitung betroffenen Personen zu unterstützen, sofern dem Nutzer nicht die entsprechenden Informationen oder Tools über die Dienste vorliegen. Der Nutzer bleibt allein verantwortlich für die Antwort an die betroffenen Personen. Bei Anträgen zur Wahrnehmung von Rechten oder bei Beschwerden von betroffenen Personen, die direkt bei Sarbacane Software eingehen, verpflichtet sich Sarbacane Software, diese Anträge so schnell wie möglich an den Nutzer weiterzuleiten;

- ihn bei der Durchführung von Folgenabschätzungen in Bezug auf den Schutz personenbezogener Daten zu unterstützen, sofern die Verarbeitung dieser Daten ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen und für die Durchführung einer vorherigen Konsultation der Aufsichtsbehörde darstellen kann;

- ihn bei der Durchführung der Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffene Person im Falle einer Verletzung personenbezogener Daten gemäß dem Abschnitt " Sicherheit / Vertraulichkeit / Datenschutzverletzung" zu unterstützen;

- dem Nutzer alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der in der Europäischen Datenschutz-Grundverordnung vorgesehenen Verpflichtungen nachzuweisen und die Durchführung von Audits, einschließlich Inspektionen, zu ermöglichen. Die Prüfungen werden in Übereinstimmung mit den Bestimmungen des Artikels 3.1.4 durchgeführt.

Vergabe von Unteraufträgen

Sarbacane Software kann einen anderen Subunternehmer zur Durchführung bestimmter Verarbeitungstätigkeiten (im Folgenden „weiterer Subunternehmer“ genannt) beauftragen, womit der Datenverantwortliche einverstanden ist. Die Liste der aktuellen weiteren Subunternehmer ist auf der Webseite verfügbar. Der Datenverantwortliche akzeptiert und genehmigt, dass Sarbacane Software jeden der auf dieser Liste aufgeführten Subunternehmer beauftragen darf.   Sarbacane Software verpflichtet sich, den Nutzer vorab schriftlich, auch elektronisch, über jede geplante Änderung bezüglich der Hinzufügung oder Ersetzung anderer weiterer Subunternehmer zu informieren. Der Nutzer muss innerhalb von höchstens 15 Kalendertagen ab dem Datum der Zusendung dieser Informationen den Dienst oder die Dienste im Falle eines Widerspruchs beenden. Erfolgt die Vertragskündigung nicht innerhalb dieser Frist, so wird angenommen, dass die Änderung hinsichtlich der Hinzufügung oder Ersetzung von Subunternehmern vom Nutzer akzeptiert wurde. Im Falle einer Vertragsbeendigung steht dem Nutzer eine Rückerstattung der im Voraus bezahlten, aber für den Rest der Vertragsdauer nach dem Datum des Inkrafttretens der Kündigung nicht genutzten Aufwendungen zu, wobei er dies erst nach Erhalt der Mitteilung von Sarbacane Software beantragen kann. Jede Kündigung in diesem Zusammenhang ist an folgende Adresse zu richten: dpo@mailify.com

Sarbacane Software verpflichtet sich, mit jedem seiner weiteren Subunternehmer eine Vereinbarung abzuschließen, die im Wesentlichen dieselben Verpflichtungen enthält wie die, denen sie gemäß dieser Vereinbarung unterliegt. Sofern der Subunternehmer Dienstleistungen außerhalb der EU/EWR erbringt, ist diese Information in der genannten Liste aufgeführt. Sarbacane Software hat sicherzustellen, dass die Übertragung in Übereinstimmung mit den von der Europäischen Kommission genehmigten Standardvertragsklauseln für die Übermittlung personenbezogener Daten erfolgt, dass der Nutzer Sarbacane Software ermächtigt, in seinem Namen und für seine Rechnung zu handeln, oder dass andere geeignete Mechanismen für die legale Datenübertragung angewendet werden. Wenn der weitere Subunternehmer seinen Datenschutzverpflichtungen nicht nachkommt, haftet Sarbacane Software gegenüber dem Nutzer in vollem Umfang.

Verzeichnis der Kategorien von Verarbeitungsaktivitäten

Sarbacane Software bestätigt, dass sie ein schriftliches Verzeichnis aller Kategorien von Verarbeitungstätigkeiten führt, die im Namen des Nutzers durchgeführt werden.

4. Aufsichtsbehörden

Die Vertragsparteien verpflichten sich zur Zusammenarbeit mit den zuständigen Datenschutzbehörden, insbesondere im Falle eines an sie gerichteten Auskunftsersuchens oder im Falle einer Kontrolle.

5. Datenschutzbeauftragter

Sarbacane Software erklärt, einen Datenschutzbeauftragten ernannt zu haben, der unter der folgenden E-Mail-Adresse erreichbar ist: dpo@mailify.com oder per Post an der Hauptniederlassung von Sarbacane Software

Soweit der Nutzer einen Datenschutzbeauftragten hat, verpflichtet er sich, diese Daten an den Datenschutzbeauftragten von Sarbacane Software weiterzuleiten.

6. Anwendung der Allgemeinen Geschäftsbedingungen

Diese Vereinbarung ergänzt die für die vom Nutzer abonnierten Dienste anwendbaren Allgemeinen Geschäftsbedingungen.

Im Falle von Unstimmigkeiten hat diese Vereinbarung Vorrang vor den Allgemeinen Geschäftsbedingungen.

7. Änderungen

Diese Vereinbarung kann jederzeit geändert werden. Alle Änderungen werden auf der Webseite von Sarbacane Software veröffentlicht und dem Nutzer auf diese Weise zur Kenntnis gegeben. Es liegt in der Verantwortung des Nutzers, die Webseite regelmäßig zu überprüfen.

Im Falle von Änderungen kann der Nutzer die Dienste innerhalb von dreißig Tagen nach Inkrafttreten dieser Änderungen kostenlos per Einschreiben mit Empfangsbestätigung gegenüber Sarbacane Software kündigen. Darüber hinaus wird davon ausgegangen, dass der Nutzer die Änderungen akzeptiert hat. Eine durch Gesetze oder Verordnungen vorgenommene Änderung gilt jedoch nicht als Begründung für ein Kündigungsrecht.