1Begriffsbestimmungen
Im Sinne dieses AVV gilt:
„Anwendbares Datenschutzrecht“ bezeichnet die Datenschutz- und Privatsphärengesetze, die auf die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung anwendbar sind.
„Verantwortlicher“ bezeichnet die Person oder Organisation, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, oder den gleichwertigen Begriff nach geltendem Recht.
„Auftragsverarbeiter“ bezeichnet eine Person oder Organisation, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, oder den gleichwertigen Begriff nach geltendem Recht.
„Business“ und „Service Provider“ haben, soweit relevant, die ihnen nach den geltenden Datenschutzgesetzen der US-Bundesstaaten zugewiesenen Bedeutungen.
„Kundendaten“ bezeichnet Daten, die im Auftrag des Kunden an die Dienste übermittelt, in ihnen gespeichert, über sie übertragen oder anderweitig von ihnen verarbeitet werden.
„Personenbezogene Daten“ bezeichnet Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder andere Informationen, die nach Anwendbarem Datenschutzrecht als personenbezogene Informationen, personenbezogene Daten oder mit einem gleichwertigen Begriff definiert sind.
„Verarbeitung“ bezeichnet jeden mit personenbezogenen Daten ausgeführten Vorgang, einschließlich des Erhebens, Erfassens, Organisierens, Speicherns, Zugreifens, Veränderns, Abrufens, Verwendens, Übermittelns, Offenlegens, Einschränkens, Löschens oder Vernichtens personenbezogener Daten.
„Betroffene Person“ bezeichnet die natürliche Person, auf die sich die personenbezogenen Daten beziehen.
„Unterauftragsverarbeiter“ bezeichnet einen Dritten, den 255 beauftragt, im Zusammenhang mit den Diensten personenbezogene Daten im Auftrag des Kunden zu verarbeiten.
„Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, die im Rahmen dieses AVV verarbeitet werden, wie im Anwendbaren Datenschutzrecht definiert.
2Rollen der Parteien
Der Kunde und 255 erkennen an, dass ihre jeweiligen datenschutzrechtlichen Rollen vom Kontext abhängen, in dem personenbezogene Daten verarbeitet werden.
Für personenbezogene Daten, die der Kunde für seine eigenen geschäftlichen Zwecke an die Dienste übermittelt oder über sie verarbeitet, gilt:
- Der Kunde handelt in der Regel als Verantwortlicher oder Business.
- 255 handelt in der Regel als Auftragsverarbeiter oder Service Provider im Auftrag des Kunden.
Der Kunde legt die Zwecke fest, für die personenbezogene Kundendaten verarbeitet werden, und ist dafür verantwortlich, dass seine Weisungen dem Anwendbaren Datenschutzrecht entsprechen.
255 verarbeitet diese personenbezogenen Daten auf dokumentierte Weisung des Kunden, einschließlich soweit dies zur Erbringung der Dienste im Rahmen der Vereinbarung und dieses AVV erforderlich ist.
255 kann für bestimmte Informationen, die für eigene legitime Geschäftszwecke verarbeitet werden, gesondert als eigenständiger Verantwortlicher handeln, etwa für Kontoverwaltung, direkte Kundenbeziehungen, Sicherheit, Abrechnung, Betrugsprävention und die Einhaltung gesetzlicher Vorschriften. Diese Verarbeitung unterliegt der Datenschutzerklärung von 255 und dem geltenden Recht.
3Weisungen des Kunden
Der Kunde weist 255 an, personenbezogene Daten zu verarbeiten, soweit dies vernünftigerweise erforderlich ist, um:
- die Dienste bereitzustellen
- die 255 Business Platform zu betreiben
- Kundenkonten zu pflegen
- Kundendaten zu hosten und zu speichern
- CRM-Funktionen bereitzustellen
- die Kommunikation mit Kunden zu ermöglichen
- Funktionen für Terminplanung und Termine bereitzustellen
- konfigurierte Automatisierungen auszuführen
- vom Kunden angeforderte Integrationen bereitzustellen
- technischen Support und Kundensupport zu leisten
- die Sicherheit aufrechtzuerhalten
- Betrug und Missbrauch zu verhindern
- technische Probleme zu beheben
- Pflichten aus der Vereinbarung zu erfüllen
- geltende gesetzliche Pflichten einzuhalten
Zwischen dem Kunden und 255 können zusätzliche dokumentierte Weisungen vereinbart werden.
Wenn 255 begründet annimmt, dass eine Weisung des Kunden gegen Anwendbares Datenschutzrecht verstößt, kann 255 den Kunden benachrichtigen und, soweit rechtlich angemessen, die betroffene Verarbeitung aussetzen, bis die Angelegenheit geklärt ist.
4Pflichten des Kunden
Der Kunde ist dafür verantwortlich, dass seine Erhebung und Verarbeitung personenbezogener Daten über die Dienste dem Anwendbaren Datenschutzrecht entspricht.
Der Kunde sichert, soweit zutreffend, zu und gewährleistet, dass er:
- über die erforderliche Befugnis verfügt, 255 personenbezogene Daten bereitzustellen
- die gesetzlich vorgeschriebenen Datenschutzhinweise bereitgestellt hat
- die gesetzlich erforderliche Einwilligung eingeholt hat
- über eine geeignete Rechtsgrundlage für die Verarbeitung verfügt
- die geltenden Marketing- und Kommunikationsgesetze einhält
- geltende Opt-out-Anfragen beachtet
- soweit erforderlich, angemessene Nachweise über Einwilligungen führt
- rechtmäßige Verarbeitungsweisungen erteilt
- 255 nicht anweist, personenbezogene Daten rechtswidrig zu verarbeiten
Der Kunde ist dafür verantwortlich, festzustellen, ob die Dienste für seine besonderen rechtlichen, regulatorischen und branchenspezifischen Anforderungen geeignet sind.
5Einzelheiten der Verarbeitung
Art und Umfang der Verarbeitung hängen von den vom Kunden ausgewählten und konfigurierten Diensten ab.
Gegenstand
Verarbeitung personenbezogener Daten, die zur Erbringung der vom Kunden angeforderten Dienste erforderlich ist.
Dauer
Für die Laufzeit der Vereinbarung und jeden weiteren Zeitraum, in dem 255 berechtigt oder gesetzlich verpflichtet ist, personenbezogene Daten aufzubewahren.
Art der Verarbeitung
Die Verarbeitung kann Folgendes umfassen:
- Erhebung
- Empfang
- Erfassung
- Organisation
- Speicherung
- Abruf
- Einsichtnahme
- Verwendung
- Übermittlung
- Kommunikation
- Synchronisierung
- Analyse
- Automatisierung
- Veränderung
- Export
- Einschränkung
- Löschung
je nach den genutzten Diensten.
6Kategorien betroffener Personen
Je nach Nutzung der Dienste durch den Kunden können betroffene Personen sein:
- Kunden des Kunden
- Potenzielle Kunden
- Leads
- Kontakte
- Website-Besucher
- Terminteilnehmer
- Mitarbeitende
- Auftragnehmer
- Autorisierte Nutzer
- Unternehmensvertreter
- Empfänger von Kommunikation
- Andere Personen, deren personenbezogene Daten der Kunde rechtmäßig über die Dienste verarbeitet
7Kategorien personenbezogener Daten
Je nach den genutzten Diensten und der Konfiguration durch den Kunden können personenbezogene Daten Folgendes umfassen:
- Namen
- E-Mail-Adressen
- Telefonnummern
- Geschäftsinformationen
- Kontaktdaten
- CRM-Datensätze
- Lead-Informationen
- Informationen zu Verkaufschancen
- Termininformationen
- Kommunikationsverlauf
- SMS- und Messaging-Daten
- E-Mail-Kommunikation
- Formularübermittlungen
- Notizen
- Tags
- Aufgaben
- Kundeninteraktionen
- Kontokennungen
- Geräte- und technische Informationen
- IP-bezogene Informationen
- Transaktionsbezogene Informationen
- Marketingpräferenzen
- Einwilligungsnachweise
- Sonstige vom Kunden übermittelte personenbezogene Daten
255 verlangt vom Kunden nicht, Kategorien personenbezogener Daten bereitzustellen, die für die Dienste nicht erforderlich sind.
8Sensible personenbezogene Daten
Der Kunde darf keine sensiblen oder besonders geschützten personenbezogenen Daten übermitteln, es sei denn:
- die jeweiligen Dienste sind für die Verarbeitung solcher Informationen ausgelegt und zugelassen;
- der Kunde verfügt hierfür über eine gültige Rechtsgrundlage;
- alle erforderlichen Schutzmaßnahmen, Hinweise, Vereinbarungen und Einwilligungen liegen vor; und
- diese Verarbeitung entspricht der Vereinbarung und dem Anwendbaren Datenschutzrecht.
Der Kunde ist dafür verantwortlich, festzustellen, ob für seine Daten branchenspezifische oder erhöhte Anforderungen gelten.
Die Nutzung der Dienste allein begründet keine Einhaltung von HIPAA, GLBA, FERPA oder einem anderen branchenspezifischen Regulierungsrahmen.
9Vertraulichkeit
255 stellt sicher, dass Personal, das zur Verarbeitung personenbezogener Kundendaten befugt ist, angemessenen Vertraulichkeitspflichten unterliegt.
Der Zugriff auf personenbezogene Daten wird auf Personal und Dienstleister beschränkt, die diesen Zugriff für legitime Zwecke im Zusammenhang mit der Bereitstellung, Pflege, Sicherung oder Unterstützung der Dienste benötigen.
10Sicherheitsmaßnahmen
255 unterhält angemessene und geeignete technische und organisatorische Maßnahmen, die darauf ausgelegt sind, personenbezogene Kundendaten vor unbefugtem oder unrechtmäßigem Zugriff, unbefugter oder unrechtmäßiger Offenlegung, Veränderung, Vernichtung oder Verlust zu schützen.
Je nach Art der betroffenen Dienste und Systeme können die Schutzmaßnahmen Maßnahmen in folgenden Bereichen umfassen:
- Zugriffskontrollen
- Authentifizierung
- Autorisierung
- Verwaltung von Zugangsdaten
- Netzwerksicherheit
- Anwendungssicherheit
- Verschlüsselung, soweit angemessen
- Protokollierung und Überwachung
- Infrastruktursicherheit
- Backup und Wiederherstellung
- Schwachstellenmanagement
- Sicherheitsupdates
- Vorfallmanagement
- Zugriffskontrollen für Mitarbeitende
- Lieferantenmanagement
- Geschäftskontinuität
Die Sicherheitsmaßnahmen können sich im Laufe der Zeit weiterentwickeln, wenn sich Technologien, Bedrohungen und Dienste ändern.
255 wird die Gesamtsicherheit der Dienste während der jeweiligen Abonnementlaufzeit nicht ohne angemessene Begründung wesentlich verringern.
11Zugriff auf personenbezogene Daten
255 beschränkt den Zugriff auf personenbezogene Kundendaten auf Personen und Unterauftragsverarbeiter, die vernünftigerweise Zugriff benötigen, um:
- die Dienste bereitzustellen
- die Infrastruktur zu pflegen
- Support zu leisten
- technische Probleme zu untersuchen
- die Sicherheit aufrechtzuerhalten
- Missbrauch zu verhindern
- gesetzliche Pflichten einzuhalten
Der Zugriff unterliegt angemessenen Autorisierungs- und Vertraulichkeitsanforderungen.
12Unterauftragsverarbeiter
Der Kunde erteilt 255 eine allgemeine Genehmigung, Unterauftragsverarbeiter zu beauftragen, soweit dies zur Erbringung der Dienste erforderlich ist.
Unterauftragsverarbeiter können Leistungen erbringen wie:
- Cloud-Hosting
- Infrastruktur
- Datenbankdienste
- Kommunikation
- E-Mail-Zustellung
- SMS-Zustellung
- Zahlungsabwicklung
- Analysen
- Sicherheit
- Kundensupport
- Authentifizierung
- Integrationen
- Sonstige technische Dienste
255 verpflichtet Unterauftragsverarbeiter, die in seinem Auftrag personenbezogene Kundendaten verarbeiten, zur Einhaltung von Datenschutzpflichten, die der Art ihrer Verarbeitung angemessen sind.
255 bleibt für seine Pflichten aus diesem AVV in Bezug auf die von seinen Unterauftragsverarbeitern durchgeführte Verarbeitung verantwortlich, soweit dies nach Anwendbarem Datenschutzrecht erforderlich ist.
13Liste der Unterauftragsverarbeiter
255 kann eine aktuelle Liste der maßgeblichen Unterauftragsverarbeiter führen unter:
www.255adv.com/legal/subprocessors
Die Liste sollte, soweit angemessen, Folgendes angeben:
- Name des Unterauftragsverarbeiters
- Zweck
- Art der Leistung
- Standort oder Verarbeitungsregion, soweit relevant
255 sollte einen Anbieter nur dann als Unterauftragsverarbeiter aufführen, wenn dieser Anbieter tatsächlich personenbezogene Kundendaten im Auftrag von 255 verarbeitet.
14Änderungen bei Unterauftragsverarbeitern
Soweit nach Anwendbarem Datenschutzrecht oder vertraglichen Zusagen erforderlich, informiert 255 in angemessener Weise über wesentliche Änderungen in Bezug auf Unterauftragsverarbeiter.
Hat der Kunde ein gesetzlich anerkanntes Recht, einem neuen Unterauftragsverarbeiter zu widersprechen, kann der Kunde einen begründeten datenschutzrechtlichen Einwand erheben, indem er sich wendet an:
support@255adv.com
Die Parteien werden sich nach Treu und Glauben bemühen, berechtigte Bedenken auszuräumen.
15Vom Kunden ausgewählte Integrationen Dritter
Die Dienste können es dem Kunden ermöglichen, Anwendungen, Plattformen oder Dienste Dritter zu verbinden.
Wenn der Kunde eigenständig entscheidet, eine Integration eines Drittanbieters zu aktivieren, weist der Kunde 255 an, relevante personenbezogene Daten zu übermitteln oder verfügbar zu machen, soweit dies zur Bereitstellung dieser Integration erforderlich ist.
Unabhängige Dienste Dritter können Informationen gemäß ihren eigenen Bedingungen und Datenschutzrichtlinien verarbeiten.
Der Kunde ist dafür verantwortlich, die Dienste Dritter zu prüfen, die er verbinden möchte.
16Anfragen betroffener Personen
Unter Berücksichtigung der Art der Verarbeitung und der über die Dienste verfügbaren Funktionen unterstützt 255 den Kunden in angemessener Weise bei der Beantwortung geltender Anfragen betroffener Personen, soweit dies nach Anwendbarem Datenschutzrecht erforderlich ist.
Solche Anfragen können sich beziehen auf:
- Auskunft
- Berichtigung
- Löschung
- Datenübertragbarkeit
- Einschränkung
- Widerspruch
- Opt-out-Rechte
Wendet sich eine betroffene Person direkt an 255 in Bezug auf personenbezogene Daten, die im Auftrag des Kunden verarbeitet werden, kann 255 die Anfrage an den Kunden weiterleiten, sofern geltendes Recht 255 nicht zur direkten Beantwortung verpflichtet.
Der Kunde bleibt dafür verantwortlich, die angemessene Antwort auf Anfragen zu bestimmen, die sich auf vom Kunden kontrollierte personenbezogene Daten beziehen.
17Unterstützung bei der Einhaltung
Unter Berücksichtigung der Art der Verarbeitung und der 255 vernünftigerweise zur Verfügung stehenden Informationen unterstützt 255 den Kunden in angemessener Weise bei geltenden Datenschutzpflichten, soweit gesetzlich erforderlich.
Dies kann Unterstützung in Bezug auf Folgendes umfassen:
- Sicherheit
- Verletzungen des Schutzes personenbezogener Daten
- Anfragen betroffener Personen
- Datenschutz-Folgenabschätzungen
- Konsultationen mit Aufsichtsbehörden
Unterstützung, die über die Standardfunktionen der Dienste hinausgeht, kann angemessenen Gebühren unterliegen, soweit dies nach der Vereinbarung und dem geltenden Recht zulässig ist.
18Verletzung des Schutzes personenbezogener Daten
255 unterhält Verfahren, die darauf ausgelegt sind, Sicherheitsvorfälle zu erkennen und darauf zu reagieren.
Erlangt 255 Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft und für die nach Anwendbarem Datenschutzrecht eine Benachrichtigung des Kunden erforderlich ist, benachrichtigt 255 den Kunden unverzüglich.
Soweit vernünftigerweise verfügbar, kann die Benachrichtigung Informationen enthalten über:
- die Art des Vorfalls
- die Kategorien der betroffenen Informationen
- mögliche Folgen
- ergriffene oder vorgeschlagene Maßnahmen
- relevante Kontaktinformationen
255 kann Informationen schrittweise bereitstellen, sobald weitere Einzelheiten verfügbar werden.
Die Benachrichtigung über einen Sicherheitsvorfall stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar.
Der Kunde ist dafür verantwortlich, festzustellen, ob eine Benachrichtigung von Personen, Aufsichtsbehörden, Kunden oder anderen Parteien gesetzlich erforderlich ist, sofern geltendes Recht nichts anderes vorsieht.
19Rückgabe und Löschung von Daten
Bei Beendigung oder Ablauf der jeweiligen Dienste kann der Kunde den Zugriff auf personenbezogene Kundendaten verlieren.
Soweit verfügbar, sollte der Kunde Informationen, die er behalten möchte, vor der Beendigung des Kontos exportieren.
Bei Beendigung und vorbehaltlich des geltenden Rechts löscht 255 personenbezogene Kundendaten oder gibt sie zurück, und zwar in Übereinstimmung mit:
- der Vereinbarung
- den Funktionen der Dienste
- den geltenden Aufbewahrungsfristen
- gesetzlichen Pflichten
- Sicherheitsanforderungen
- Backup-Verfahren
255 kann personenbezogene Daten aufbewahren, soweit dies nach geltendem Recht vorgeschrieben oder zulässig ist.
In Backups enthaltene Daten können verbleiben, bis sie gemäß den geltenden Prozessen zur Backup-Aufbewahrung gelöscht oder überschrieben werden.
20Datenübertragbarkeit und Export
Soweit von den Diensten unterstützt, kann der Kunde bestimmte Kundendaten mithilfe der verfügbaren Funktionen exportieren.
Der Kunde ist dafür verantwortlich, erforderliche Exporte vor der Beendigung seines Kontos durchzuführen.
255 garantiert nicht, dass jede Kategorie von Informationen in jedem Format exportiert werden kann, sofern dies nicht ausdrücklich durch geltendes Recht oder eine Vereinbarung vorgeschrieben ist.
21Internationale Datenübermittlungen
Der Kunde erkennt an, dass 255 und seine autorisierten Unterauftragsverarbeiter personenbezogene Daten in den Vereinigten Staaten und anderen Rechtsordnungen verarbeiten können.
Erfordert eine internationale Übermittlung einen gesetzlich anerkannten Übermittlungsmechanismus, verwenden die Parteien einen geeigneten Mechanismus, wie nach Anwendbarem Datenschutzrecht erforderlich.
22Übermittlungen aus dem Europäischen Wirtschaftsraum
Werden personenbezogene Kundendaten, die der GDPR (DSGVO) unterliegen, aus dem Europäischen Wirtschaftsraum in ein Land übermittelt, für das kein anwendbarer Angemessenheitsbeschluss vorliegt, verwenden die Parteien, soweit erforderlich, einen geeigneten Übermittlungsmechanismus.
Dies kann die anwendbaren Standardvertragsklauseln der Europäischen Kommission („SCCs“) umfassen.
Soweit SCCs gesetzlich erforderlich sind, werden sie in diesen AVV einbezogen oder gegebenenfalls gesondert abgeschlossen.
Die Parteien arbeiten in angemessener Weise hinsichtlich zusätzlicher Maßnahmen zusammen, die nach geltendem Recht erforderlich sind.
23Übermittlungen aus dem Vereinigten Königreich
Werden personenbezogene Daten, die dem Datenschutzrecht des Vereinigten Königreichs unterliegen, international übermittelt und ist ein geeigneter Übermittlungsmechanismus erforderlich, verwenden die Parteien einen anwendbaren, gesetzlich anerkannten Mechanismus.
Dies kann gegebenenfalls das UK International Data Transfer Addendum oder einen anderen genehmigten Übermittlungsmechanismus umfassen.
24Datenschutzgesetze der US-Bundesstaaten
Soweit 255 personenbezogene Daten im Auftrag des Kunden verarbeitet und das geltende Datenschutzrecht eines US-Bundesstaats den Kunden als Business oder Verantwortlichen und 255 als Service Provider, Contractor oder Auftragsverarbeiter behandelt, verarbeitet 255 diese personenbezogenen Daten in Übereinstimmung mit den geltenden vertraglichen Anforderungen.
Soweit zutreffend, wird 255 nicht:
- personenbezogene Kundendaten gegen Geld verkaufen
- personenbezogene Kundendaten außerhalb der nach der Vereinbarung und dem geltenden Recht zulässigen Zwecke aufbewahren, verwenden oder offenlegen
- personenbezogene Kundendaten mit anderen Informationen zusammenführen, soweit dies nach geltendem Recht untersagt ist
255 verarbeitet personenbezogene Kundendaten für die begrenzten und festgelegten Zwecke, die in der Vereinbarung, diesem AVV und den dokumentierten Weisungen des Kunden beschrieben sind.
25Datenschutzanforderungen in Kalifornien
Soweit der California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung („CCPA/CPRA“) auf die Verarbeitung im Rahmen dieses AVV anwendbar ist, beabsichtigen die Parteien, dass 255 für personenbezogene Kundeninformationen, die im Auftrag des Kunden verarbeitet werden, als Service Provider bzw. Contractor handelt.
255 verarbeitet diese personenbezogenen Informationen nur für die begrenzten und festgelegten Geschäftszwecke, die nach der Vereinbarung, diesem AVV und dem geltenden Recht zulässig sind.
255 wird personenbezogene Kundeninformationen im Sinne der Definitionen des geltenden kalifornischen Rechts weder verkaufen noch teilen („sell“ oder „share“), außer soweit dies gesetzlich und nach den dokumentierten Weisungen des Kunden zulässig ist.
255 benachrichtigt den Kunden, soweit gesetzlich vorgeschrieben, wenn es feststellt, dass es seine geltenden Pflichten nach diesem Abschnitt nicht mehr erfüllen kann.
Der Kunde kann angemessene und geeignete, nach geltendem Recht zulässige Maßnahmen ergreifen, um sicherzustellen, dass 255 personenbezogene Kundeninformationen im Einklang mit den Pflichten des Kunden verarbeitet.
26Audits und Informationen zur Einhaltung
Auf begründete Anfrage und soweit nach Anwendbarem Datenschutzrecht erforderlich, stellt 255 die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung seiner Pflichten als Auftragsverarbeiter oder Service Provider nachzuweisen.
Soweit gesetzlich erforderlich, kann 255 angemessene Audits gestatten, vorbehaltlich angemessener:
- Vertraulichkeitsschutzmaßnahmen
- Sicherheitsanforderungen
- Beschränkungen des Umfangs
- Vorankündigung
- Terminvorgaben
- Schutzmaßnahmen für andere Kunden
- Schutzmaßnahmen für geschützte Geschäftsinformationen
Die Parteien sollten zunächst verfügbare Dokumentationen, Zertifizierungen, Berichte oder Fragebögen verwenden, soweit diese die jeweilige Anforderung angemessen erfüllen.
27Behördliche und rechtliche Anfragen
255 kann personenbezogene Daten offenlegen, soweit dies durch geltendes Recht, gerichtliche Anordnung, Subpoena oder eine andere rechtsverbindliche behördliche Anfrage vorgeschrieben ist.
Soweit gesetzlich zulässig und angemessen, kann 255 den Kunden benachrichtigen, bevor personenbezogene Kundendaten aufgrund einer solchen Anfrage offengelegt werden.
255 kann gegebenenfalls Anfragen anfechten, die es begründet für rechtswidrig oder übermäßig hält.
28Kein Verkauf personenbezogener Kundendaten
255 erwirbt kein Eigentum an personenbezogenen Kundendaten allein dadurch, dass diese über die Dienste verarbeitet werden.
255 wird personenbezogene Kundendaten nicht gegen Geld verkaufen, während es als Auftragsverarbeiter oder Service Provider des Kunden handelt.
Jede eigenständige Verarbeitung durch 255 als Verantwortlicher unterliegt unserer Datenschutzerklärung und dem Anwendbaren Datenschutzrecht.
29Eigentum an Daten
Im Verhältnis zwischen dem Kunden und 255 behält der Kunde alle Rechte, die er an Kundendaten innehat.
Dieser AVV überträgt kein Eigentum an Kundendaten auf 255.
Der Kunde gewährt 255 nur die Rechte, die vernünftigerweise erforderlich sind, um Kundendaten zu verarbeiten, um die Dienste bereitzustellen, zu sichern, zu pflegen und zu unterstützen und geltende gesetzliche Pflichten zu erfüllen.
30Vertrauliche Geschäftsinformationen
Kundendaten können neben personenbezogenen Daten auch vertrauliche Geschäftsinformationen enthalten.
255 behandelt solche Informationen gemäß den in der Vereinbarung enthaltenen geltenden Vertraulichkeitspflichten.
31Haftung
Die Haftung jeder Partei, die sich aus diesem AVV ergibt oder damit zusammenhängt, unterliegt den in der Vereinbarung enthaltenen geltenden Haftungsbeschränkungen und -ausschlüssen, es sei denn, solche Beschränkungen sind nach Anwendbarem Datenschutzrecht unzulässig.
32Laufzeit und Beendigung
Dieser AVV wird wirksam, sobald er auf eine Verarbeitung im Rahmen einer Vereinbarung zwischen dem Kunden und 255 Anwendung findet.
Er bleibt so lange in Kraft, wie 255 personenbezogene Kundendaten verarbeitet, die diesem AVV unterliegen.
Bestimmungen, die ihrer Natur nach über die Beendigung hinaus fortgelten sollen, bleiben so lange wirksam, wie es zur Erfüllung geltender gesetzlicher oder vertraglicher Pflichten erforderlich ist.
33Rangfolge
Bei einem Widerspruch in Bezug auf den Datenschutz zwischen:
- geltendem zwingendem Recht;
- gesetzlich vorgeschriebenen Übermittlungsmechanismen;
- diesem AVV; und
- der Vereinbarung,
hat die jeweils vorrangige Anforderung im Umfang des Widerspruchs Vorrang.
34Änderungen dieses AVV
255 kann diesen AVV aktualisieren, um Änderungen in folgenden Bereichen Rechnung zu tragen:
- Geltendes Recht
- Regulatorische Anforderungen
- Dienste
- Sicherheitspraktiken
- Verarbeitungstätigkeiten
- Vereinbarungen mit Unterauftragsverarbeitern
Wesentliche Änderungen, die die Datenschutzrechte des Kunden betreffen, werden mitgeteilt, soweit dies nach geltendem Recht oder vertraglichen Zusagen erforderlich ist.
Das Datum „Zuletzt aktualisiert“ gibt die jüngste Überarbeitung wieder.
35Kontakt
Fragen zu diesem AVV, zum Datenschutz, zur Sicherheit oder zur Datenverarbeitung können gerichtet werden an:
255 Advertising Agency & Marketing LLC
Eingetragener Sitz
400 E Royal Lane, Suite 104
Irving, TX 75039
United States
E-Mail für Datenschutz & Support
Website
Support-Center
Anhang 1 — Einzelheiten der Verarbeitung
Für den AVV empfehle ich, am Ende einen formellen Anhang (Schedule) aufzunehmen:
Punkt
Einzelheiten
Verantwortlicher / Business
Der jeweilige Kunde von 255
Auftragsverarbeiter / Service Provider
255 Advertising Agency & Marketing LLC
Gegenstand
Verarbeitung, die zur Erbringung der vertraglich vereinbarten Dienste von 255 erforderlich ist
Dauer
Laufzeit der jeweiligen Vereinbarung zuzüglich zulässiger/erforderlicher Aufbewahrung
Zweck
Bereitstellung, Sicherung, Pflege, Unterstützung und Verbesserung der vertraglich vereinbarten Dienste
Betroffene Personen
Kunden, Leads, Kontakte, Mitarbeitende, Nutzer, Website-Besucher, Terminteilnehmer und andere Personen, deren Daten der Kunde übermittelt
Personenbezogene Daten
Kontaktinformationen, CRM-Daten, Kommunikation, Termine, Formulare, Kontokennungen, Einwilligungsinformationen, technische Daten und sonstige vom Kunden übermittelte Informationen
Sensible Daten
Nur soweit ausdrücklich unterstützt, autorisiert und gesetzlich zulässig
Verarbeitungsvorgänge
Erhebung, Speicherung, Organisation, Abruf, Übermittlung, Kommunikation, Automatisierung, Veränderung, Export und Löschung
Häufigkeit
Fortlaufend oder wie vom Kunden veranlasst/konfiguriert
Aufbewahrung
Für die Laufzeit der Dienste und die jeweilige Aufbewahrungsfrist
Anhang 2 — Technische und organisatorische Maßnahmen
Wir führen keine Sicherheitszertifizierungen auf, die nicht vorhanden sind. Wir schreiben nur auf, was 255 tatsächlich nachweisen kann.
Die zu dokumentierenden Kategorien:
Zugriffskontrolle
Rollenbasierter Zugriff, Kontoauthentifizierung, Kontrollen für administrativen Zugriff und Zugriffsbeschränkung nach betrieblichem Bedarf, soweit umgesetzt.
Datenschutz
Angemessener Schutz von Daten bei der Übertragung und im Ruhezustand, abhängig von der verwendeten Architektur und den genutzten Diensten.
Infrastruktursicherheit
Sicherheitsmaßnahmen für Hosting, Netzwerk, Infrastruktur und Umgebung, die direkt von 255 und den jeweiligen Infrastrukturanbietern bereitgestellt werden.
Anwendungssicherheit
Sichere Entwicklung, Verwaltung von Abhängigkeiten, Behebung von Schwachstellen und Praktiken für den Zugriff auf Produktionssysteme, soweit umgesetzt.
Protokollierung & Überwachung
Angemessene betriebs- und sicherheitsbezogene Protokollierung und Überwachung.
Backup & Wiederherstellung
Den Diensten angemessene Backup- und Wiederherstellungsverfahren.
Reaktion auf Vorfälle
Prozesse zur Untersuchung, Eindämmung, Behebung und Kommunikation geltender Sicherheitsvorfälle.
Lieferantenmanagement
Angemessene Bewertung und vertragliche Kontrollen für Unterauftragsverarbeiter, die personenbezogene Kundendaten verarbeiten.
Personalsicherheit
Vertraulichkeits- und Zugriffsbeschränkungen für Personal mit Zugriff auf personenbezogene Kundendaten.