Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen von Delyst, die zwischen E for connection („der Auftragsverarbeiter“) und dem Kunden („der Verantwortliche“) geschlossen werden. Er regelt die Verarbeitung personenbezogener Daten der Abonnenten und Endnutzer des Kunden. Hier nicht definierte Begriffe haben die Bedeutung, die ihnen die Datenschutz-Grundverordnung (DSGVO) gibt.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, ausschließlich um die Marketing-Automation-Plattform Delyst bereitzustellen. Die Verarbeitung dauert, solange das Konto des Verantwortlichen besteht, wie in Abschnitt 9 beschrieben.

2. Kategorien von Daten und betroffenen Personen

• Betroffene Personen: die Abonnenten des Verantwortlichen und die Mitglieder seines Teams, die den Dienst nutzen.

• Datenkategorien: E-Mail-Adresse, Telefonnummer, Name, vom Verantwortlichen definierte benutzerdefinierte Felder (zum Beispiel Unternehmen, Land, Kaufhistorie), IP-Adresse, Metadaten zu Gerät und E-Mail-Programm, Öffnungen, Klicks, Bounces und Abmeldungen.

• Besondere Kategorien: standardmäßig werden keine verarbeitet. Der Verantwortliche darf ohne gesonderte schriftliche Vereinbarung keine sensiblen Daten (Gesundheit, Religion, sexuelle Orientierung usw.) hochladen.

3. Pflichten des Auftragsverarbeiters

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten.

• Sicherstellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind.

• Geeignete technische und organisatorische Maßnahmen umsetzen (siehe Abschnitt 6 und die Datenschutzerklärung).

• Den Verantwortlichen dabei unterstützen, Anfragen betroffener Personen zu beantworten und seine Pflichten aus den Artikeln 32 bis 36 DSGVO einzuhalten.

• Den Verantwortlichen unverzüglich, in jedem Fall innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten informieren.

4. Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die in der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung. Der Verantwortliche kann dem schriftlich widersprechen; kann der Einwand nicht ausgeräumt werden, kann er den betroffenen Teil des Dienstes kündigen.

5. Internationale Übermittlungen

Werden personenbezogene Daten außerhalb des EWR übermittelt, stützt sich der Auftragsverarbeiter auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Beschluss 2021/914), die hiermit durch Verweis einbezogen werden. Eine Kopie der für einen bestimmten Unterauftragsverarbeiter unterzeichneten Klauseln ist auf Anfrage unter support@delyst.com erhältlich.

6. Sicherheitsmaßnahmen

• TLS 1.2 oder höher für Daten bei der Übertragung.

• AES-256-GCM-Verschlüsselung gespeicherter Geheimnisse und Schlüssel.

• Hashing der Passwörter mit bcrypt.

• Zwei-Faktor-Authentifizierung für alle Konten verfügbar.

• Netzwerksegmentierung, Firewall, Zugriff auf die Produktionsumgebung nach dem Prinzip der minimalen Rechte.

• Audit-Protokoll der Administrationsaktionen.

• Datenbank-Backups, von OVH erstellt, am Ende ihrer Aufbewahrungsdauer gelöscht.

7. Rechte der betroffenen Personen

Im Rahmen der technischen Möglichkeiten des Dienstes unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die meisten dieser Vorgänge lassen sich direkt im Delyst-Dashboard erledigen.

8. Audits

Der Verantwortliche kann die Einhaltung dieses AVV einmal pro Kalenderjahr prüfen, mit einer schriftlichen Vorankündigung von 30 Tagen, während der Geschäftszeiten und vorbehaltlich angemessener Vertraulichkeitspflichten. Auf Anfrage stellt der Auftragsverarbeiter, sofern vorhanden, unabhängige Prüfberichte anstelle einer Vor-Ort-Prüfung zur Verfügung.

9. Löschung oder Rückgabe der Daten

Der Verantwortliche kann seine Kontakte jederzeit aus der Anwendung exportieren (CSV). Die Daten bleiben bestehen, solange das Konto besteht, auch nach der Kündigung des Abonnements. Löscht der Verantwortliche sein Konto (Einstellungen oder support@delyst.com), löscht der Auftragsverarbeiter die personenbezogenen Daten sofort und endgültig aus den aktiven Systemen; Backups werden am Ende ihrer Aufbewahrungsdauer gelöscht. Es verbleiben nur die Nachweise, deren Aufbewahrung gesetzlich vorgeschrieben ist.

10. Unterzeichnung

Die meisten Kunden müssen keinen separaten AVV unterzeichnen. Die Bestimmungen dieses Dokuments gelten automatisch im Rahmen der Allgemeinen Geschäftsbedingungen. Wenn die Rechtsabteilung Ihrer Organisation ein gegengezeichnetes Exemplar verlangt, schreiben Sie an support@delyst.com, und wir senden Ihnen innerhalb von 5 Arbeitstagen ein unterzeichnetes PDF zurück.