Auftragsverarbeitungsvertrag

1. Begriffsbestimmungen

„Datenschutzrecht“ bedeutet die UK-DSGVO, den UK Data Protection Act 2018, die EU-DSGVO und jedes andere Datenschutzrecht, das für die Verarbeitung gilt. „Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die dieses Recht ihnen gibt. „Dienst“ hat die Bedeutung aus den Nutzungsbedingungen.

2. Was dieser AVV abdeckt

Dieser AVV gilt nicht für Daten, die wir für eigene Zwecke nutzen, etwa Kontodaten, Abrechnung, Betrugsprävention und Bestellunterlagen, die wir aufgrund von Gesetzen aufbewahren. Für diese Daten sind wir der Verantwortliche, und die Datenschutzerklärung erklärt sie.

3. Deine Pflichten

• Du entscheidest, warum die Daten deiner Besucher verarbeitet werden, und stellst sicher, dass du dafür eine Rechtsgrundlage hast.
• Du informierst deine Besucher und Käufer darüber, wie du ihre Daten verwendest, zum Beispiel in einer eigenen Datenschutzerklärung, die von deiner Seite aus verlinkt ist.
• Du holst eine Einwilligung ein, wo das Gesetz sie verlangt, zum Beispiel bevor du die Conversions API von Meta verbindest, wenn das Recht am Ort deiner Besucher dafür eine Einwilligung verlangt.
• Du gibst uns nur rechtmäßige Weisungen. Deine Einstellungen im Dienst sind deine Weisungen.

4. Unsere Pflichten

• Wir verarbeiten die personenbezogenen Daten nur auf deine dokumentierten Weisungen, das sind die Nutzungsbedingungen, dieser AVV und deine Einstellungen, es sei denn, das Gesetz verlangt etwas anderes. Wenn wir meinen, dass eine Weisung gegen das Gesetz verstößt, sagen wir dir das.
• Alle Personen bei LoadFocus LTD, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet.
• Wir schützen die Daten mit den Maßnahmen aus Abschnitt 5.
• Wir setzen Unterauftragsverarbeiter nur so ein, wie Abschnitt 6 es vorsieht.
• Wir unterstützen dich bei der Beantwortung von Anfragen betroffener Personen (Abschnitt 7) und bei deinen Pflichten zu Sicherheit, Meldungen von Verletzungen und Folgenabschätzungen, soweit die Art der Verarbeitung das zulässt.
• Wir löschen die Daten oder geben sie zurück, wenn der Dienst endet (Abschnitt 9).
• Wir geben dir die Informationen, die du brauchst, um nachzuweisen, dass wir Artikel 28 einhalten, und erlauben Audits nach Abschnitt 10.

5. Sicherheitsmaßnahmen

• Verschlüsselung bei der Übertragung: Seiten, die App und unsere APIs werden über HTTPS ausgeliefert.
• Zugriff: Die Datenbank und der Sitzungsspeicher nehmen nur Verbindungen von unseren eigenen Servern an und verlangen ein Passwort. Nur Mitarbeitende, die es für ihre Arbeit brauchen, erreichen die Produktivsysteme.
• Geheimnisse: Schlüssel und Passwörter liegen im AWS Systems Manager Parameter Store, nie in unserem Code.
• Konten: Anmeldung über Google; ein gespeichertes Passwort wird mit bcrypt gehasht; Sitzungen nutzen sichere HTTP-only-Cookies.
• Schutz vor Missbrauch: Ratenbegrenzungen bei Anmeldung und Registrierung sowie Prüfungen, dass Anfragen von unserer eigenen Seite kommen.
• Datenminimierung: IP-Adressen von Käufern werden nur als gekürzter Einweg-Hash gespeichert; Kartenkennungen fehlgeschlagener Zahlungen werden bis zu 48 Stunden aufbewahrt.

Wir prüfen diese Maßnahmen, wenn sich der Dienst ändert. Auf der Sicherheitsseite steht, wie du eine Schwachstelle meldest.

6. Unterauftragsverarbeiter

Du erlaubst uns, diese Unterauftragsverarbeiter für die Daten einzusetzen, die dieser AVV abdeckt:

Jeder Unterauftragsverarbeiter ist durch einen schriftlichen Vertrag gebunden, dessen Datenschutzbestimmungen mindestens das gleiche Schutzniveau bieten wie dieser AVV. Wir bleiben für sie verantwortlich.

Über einen neuen Unterauftragsverarbeiter informieren wir dich mindestens 30 Tage vor dem Start per E-Mail. Innerhalb dieser Frist kannst du per E-Mail unter Angabe deiner Gründe widersprechen. Wenn wir deinem Widerspruch nicht abhelfen können, kannst du dein Konto schließen, und wir erstatten im Voraus bezahlte Gebühren für die Zeit, die du nicht genutzt hast.

7. Anfragen betroffener Personen

Wenn ein Besucher oder Käufer uns bittet, auf seine Daten zuzugreifen, sie zu berichtigen oder zu löschen, leiten wir die Anfrage unverzüglich an dich weiter und beantworten sie nicht selbst, es sei denn, das Gesetz verpflichtet uns dazu. Du kannst hello@more.you schreiben, und wir helfen dir, die Daten dieser Person zu finden, zu exportieren oder zu löschen.

8. Verletzungen des Schutzes personenbezogener Daten

Wenn uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten unter diesem AVV betrifft, informieren wir dich unverzüglich, in jedem Fall innerhalb von 48 Stunden. Wir teilen dir mit, was passiert ist, welche Daten und wie viele Personen betroffen sind, was wir dagegen tun und an wen du dich wenden kannst. Weitere Einzelheiten senden wir, sobald wir sie erfahren.

9. Löschung bei Vertragsende

Wenn du dein Konto schließt, werden deine Seiten offline genommen, und wir hören auf, die Daten für dich zu verarbeiten. Wir löschen sie innerhalb von 90 Tagen, es sei denn, das Gesetz verpflichtet uns, sie aufzubewahren. Bevor du dein Konto schließt, kannst du unter hello@more.you eine Kopie deiner Statistiken und Bestellungen anfordern.

10. Auskünfte und Audits

Auf Anfrage beantworten wir angemessene schriftliche Fragen dazu, wie wir die Daten schützen. Reichen diese Antworten nicht aus, um nachzuweisen, dass wir diesen AVV einhalten, oder verlangt es eine Aufsichtsbehörde, kannst du uns einmal im Jahr prüfen, mit 30 Tagen Vorankündigung, während der Geschäftszeiten, durch einen unabhängigen Prüfer, der zur Vertraulichkeit verpflichtet ist. Die Kosten des Audits trägst du.

11. Internationale Übermittlungen

Wir sitzen im Vereinigten Königreich, und unsere Server stehen in den USA. Wenn personenbezogene Daten aus dem Vereinigten Königreich oder dem Europäischen Wirtschaftsraum in ein Land ohne Angemessenheitsbeschluss gehen, nutzen wir einen rechtlich anerkannten Übermittlungsmechanismus: die UK-Erweiterung des EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, oder die EU-Standardvertragsklauseln mit dem UK-Addendum.

Wenn du dich im Europäischen Wirtschaftsraum befindest und wir personenbezogene Daten von dir erhalten, gelten zwischen dir und uns die EU-Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter, oder Modul 3, wenn du selbst Auftragsverarbeiter bist) und sind Teil dieses AVV. Klausel 7 gilt nicht, Option 2 von Klausel 9 gilt mit der Frist aus Abschnitt 6, der optionale Wortlaut in Klausel 11 gilt nicht, und die Klauseln 17 und 18 wählen das Recht und die Gerichte Irlands. Die Anhänge sind die Abschnitte 2, 5 und 6 dieses AVV.

12. Haftung, Rangfolge der Dokumente und anwendbares Recht

Die Haftungsbeschränkungen aus den Nutzungsbedingungen gelten für diesen AVV, außer wo das Datenschutzrecht sie nicht zulässt. Widersprechen sich dieser AVV und die Nutzungsbedingungen bei personenbezogenen Daten, gilt dieser AVV. Widersprechen sich die Standardvertragsklauseln und dieser AVV, gelten die Klauseln.

Für diesen AVV gilt dasselbe Recht wie für die Nutzungsbedingungen, außer wo Abschnitt 11 oder das Datenschutzrecht etwas anderes sagt. Wir dürfen ihn aktualisieren, um dem Gesetz oder Änderungen des Dienstes zu folgen, und informieren dich per E-Mail vor einer Änderung, die deinen Schutz verringert.

13. Kontakt

Fragen zu diesem AVV: hello@more.you.