Zusatzvereinbarung zur Auftragsverarbeitung

ABSCHNITT 1

Begriffsbestimmungen

„Datenschutzgesetze“ bezeichnet die für die Verarbeitung personenbezogener Kundendaten geltenden Gesetze zum Schutz der Privatsphäre, zum Datenschutz und zur Datensicherheit, darunter gegebenenfalls die DSGVO, die UK GDPR, das Schweizer Bundesgesetz über den Datenschutz, CCPA/CPRA und weitere geltende Gesetze.

„Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, personenbezogene Informationen oder vergleichbare regulierte Daten, die der Kunde Giftpack zur Verarbeitung in seinem Auftrag übermittelt oder zugänglich macht.

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679. „CCPA“ bezeichnet den California Consumer Privacy Act in der durch den California Privacy Rights Act und die Durchführungsbestimmungen geänderten Fassung.

Begriffe wie Verantwortlicher, Auftragsverarbeiter, Unternehmen, Dienstleister, Auftragnehmer, personenbezogene Daten, personenbezogene Informationen, Verarbeitung und betroffene Person haben die ihnen nach den geltenden Datenschutzgesetzen zugewiesene Bedeutung.

ABSCHNITT 2

Rollen und Geltungsbereich

Bei personenbezogenen Kundendaten, die im Zusammenhang mit vom Kunden verwalteten Kampagnen, Empfängerabläufen, Auftragsabwicklung, Plattformverwaltung, Berichterstattung und zugehörigen Diensten verarbeitet werden, ist der Kunde der Verantwortliche bzw. das Unternehmen und Giftpack der Auftragsverarbeiter, Dienstleister, Auftragnehmer oder in einer vergleichbaren Rolle tätig. Giftpack kann bestimmte Daten als eigenständiger Verantwortlicher bzw. als Unternehmen für Kontoverwaltung, Sicherheit, Betrugsprävention, Analysen, Einhaltung gesetzlicher Vorschriften, Verbesserung der Dienste, Abrechnung und interne Abläufe gemäß der Datenschutzerklärung verarbeiten.

ABSCHNITT 3

Weisungen des Kunden

Giftpack verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich dieser DPA, der Nutzungsbedingungen, des jeweiligen Bestellformulars, Kampagnenauftrags, der Plattformkonfiguration, über die Dienste übermittelter Kundenweisungen und weiterer zwischen den Parteien vereinbarter schriftlicher Weisungen, sofern keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht. Giftpack informiert den Kunden, wenn Giftpack der Ansicht ist, dass eine Weisung gegen Datenschutzgesetze verstößt, sofern dies nicht gesetzlich untersagt ist.

ABSCHNITT 4

Einzelheiten der Verarbeitung

Gegenstand, Dauer, Art, Zweck, Kategorien personenbezogener Daten und Kategorien betroffener Personen sind in Anhang A beschrieben. Der Kunde ist dafür verantwortlich, dass seine Weisungen rechtmäßig sind und dass er die erforderlichen Hinweise erteilt sowie die erforderlichen Rechte, Erlaubnisse, Einwilligungen und Rechtsgrundlagen für die Verarbeitung personenbezogener Kundendaten durch Giftpack eingeholt bzw. geschaffen hat.

ABSCHNITT 5

Vertraulichkeit und Personal

Giftpack stellt sicher, dass die zur Verarbeitung personenbezogener Kundendaten befugten Personen Vertraulichkeitsverpflichtungen oder beruflichen Verschwiegenheitspflichten unterliegen und angemessene Anweisungen zum Umgang mit Daten erhalten.

ABSCHNITT 6

Sicherheitsmaßnahmen

Giftpack setzt geeignete technische und organisatorische Maßnahmen um und hält diese aufrecht, um personenbezogene Kundendaten vor unbefugter oder unrechtmäßiger Verarbeitung sowie unbeabsichtigtem Verlust, Vernichtung, Beschädigung, Offenlegung oder Zugriff zu schützen. Die aktuellen Sicherheitsmaßnahmen sind in Anhang B und auf der Sicherheitsseite von Giftpack beschrieben. Giftpack kann die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern dadurch das allgemeine Schutzniveau personenbezogener Kundendaten nicht wesentlich herabgesetzt wird.

ABSCHNITT 7

Unterauftragsverarbeiter

Der Kunde ermächtigt Giftpack, zur Bereitstellung und Unterstützung der Dienste Unterauftragsverarbeiter einzusetzen. Giftpack verpflichtet diese schriftlich zu Datenschutzpflichten, die denen dieser DPA im Wesentlichen entsprechen, soweit sie auf die Dienste des Unterauftragsverarbeiters anwendbar sind. Giftpack bleibt im nach den Datenschutzgesetzen erforderlichen Umfang für die Verarbeitung durch Unterauftragsverarbeiter verantwortlich. Giftpack stellt Informationen über Unterauftragsverarbeiter auf Anfrage oder über einen Kanal für Vertrauen, Sicherheit oder Datenschutz bereit. Wird eine Mitteilung über einen neuen Unterauftragsverarbeiter erteilt, kann der Kunde innerhalb einer angemessenen Frist danach aus berechtigten Datenschutzgründen Widerspruch einlegen.

ABSCHNITT 8

Sicherheitsvorfälle

Giftpack benachrichtigt den Kunden unverzüglich nach Kenntniserlangung eines bestätigten Sicherheitsvorfalls, der zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugriff auf personenbezogene Kundendaten führt, die im Auftrag des Kunden verarbeitet werden. Giftpack stellt die ihm mit vertretbarem Aufwand verfügbaren Informationen bereit, um den Kunden bei der Erfüllung seiner Meldepflichten zu unterstützen. Die Benachrichtigung stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

ABSCHNITT 9

Anfragen betroffener Personen und Verbraucher

Unter Berücksichtigung der Art der Verarbeitung unterstützt Giftpack den Kunden in angemessenem Umfang, soweit möglich durch geeignete technische und organisatorische Maßnahmen, bei der Beantwortung von Anfragen betroffener Personen, Verbrauchern oder zur Ausübung von Datenschutzrechten nach den geltenden Datenschutzgesetzen. Erhält Giftpack eine Anfrage zu personenbezogenen Kundendaten direkt von einer Person, kann Giftpack diese an den Kunden verweisen, sofern Giftpack nicht gesetzlich zu einer anderen Antwort verpflichtet ist.

ABSCHNITT 10

Unterstützung und Einhaltung von Vorschriften

Giftpack unterstützt den Kunden in angemessenem Umfang bei Datenschutz-Folgenabschätzungen, vorherigen Konsultationen, Cybersicherheitsbewertungen und sonstigen Compliance-Pflichten, soweit dies nach den Datenschutzgesetzen erforderlich ist und die angefragte Unterstützung die Verarbeitung personenbezogener Kundendaten durch Giftpack betrifft. Giftpack kann für Unterstützung, die über den Standardsupport hinausgeht, angemessene Gebühren berechnen, sofern dies nicht nach geltendem Recht untersagt oder anders vereinbart ist.

ABSCHNITT 11

Rückgabe und Löschung

Nach Beendigung der Dienste oder auf schriftliches Verlangen des Kunden löscht Giftpack personenbezogene Kundendaten oder gibt sie gemäß der Vereinbarung, den Plattformfunktionen und dem geltenden Recht zurück. Giftpack kann personenbezogene Kundendaten aufgrund gesetzlicher Vorgaben, für berechtigte Geschäftsunterlagen, Betrugsprävention, Sicherheit, Streitbeilegung, Steuer-, Buchhaltungs-, Compliance- oder Sicherungszwecke aufbewahren, sofern die aufbewahrten Daten bis zu ihrer Löschung weiterhin nach dieser DPA geschützt bleiben.

ABSCHNITT 12

Prüfungen und Dokumentation

Giftpack stellt die Informationen bereit, die angemessenerweise erforderlich sind, um die Einhaltung dieser DPA nachzuweisen. Soweit dies nach den Datenschutzgesetzen erforderlich ist, kann der Kunde eine Prüfung oder Bewertung der einschlägigen Kontrollen von Giftpack verlangen. Prüfungen müssen hinsichtlich Umfang, Häufigkeit, Zeitpunkt und Vertraulichkeit angemessen sein und können durch SOC 2-Berichte, Sicherheitsfragebögen, Zertifizierungen, Zusammenfassungen oder andere geeignete Unterlagen erfüllt werden. Vor-Ort-Prüfungen erfordern eine vorherige schriftliche Ankündigung, einen angemessenen Umfang und die Genehmigung von Giftpack hinsichtlich Sicherheit und Vertraulichkeit.

ABSCHNITT 13

Internationale Übermittlungen

Der Kunde ermächtigt Giftpack und seine Unterauftragsverarbeiter, personenbezogene Kundendaten in den Vereinigten Staaten und weiteren Rechtsordnungen zu verarbeiten, in denen Giftpack oder Unterauftragsverarbeiter tätig sind. Werden personenbezogene Kundendaten aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land ohne angemessenes Schutzniveau übermittelt, verwenden die Parteien geeignete Übermittlungsmechanismen, darunter gegebenenfalls Standardvertragsklauseln, den britischen Zusatz oder andere rechtmäßige Übermittlungsmechanismen. Die Parteien vereinbaren, dass die anwendbaren Standardvertragsklauseln (SCCs), soweit erforderlich, durch Verweis einbezogen werden, wobei Giftpack Datenimporteur und der Kunde Datenexporteur ist, sofern die tatsächlichen Umstände keine andere Konstellation erfordern.

ABSCHNITT 14

CCPA-/CPRA-Bedingungen für Dienstleister und Auftragnehmer

Soweit der CCPA gilt, verarbeitet Giftpack personenbezogene Kundendaten als Dienstleister oder Auftragnehmer für die in Anhang A beschriebenen Geschäftszwecke. Giftpack wird personenbezogene Kundendaten weder verkaufen noch weitergeben, sie nicht für andere als die in der Vereinbarung genannten Geschäftszwecke oder sonst nach dem CCPA erlaubte Zwecke aufbewahren, verwenden oder offenlegen, sie nicht außerhalb der direkten Geschäftsbeziehung mit dem Kunden aufbewahren, verwenden oder offenlegen, soweit dies nicht nach dem CCPA erlaubt ist, und sie nicht mit personenbezogenen Informationen aus anderen Quellen zusammenführen, soweit dies nicht nach dem CCPA erlaubt ist. Giftpack erfüllt die geltenden CCPA-Pflichten für Dienstleister und Auftragnehmer und benachrichtigt den Kunden, wenn Giftpack feststellt, dass es diese Pflichten nicht mehr erfüllen kann.

ABSCHNITT 15

Deidentifizierte und aggregierte Daten

Giftpack kann deidentifizierte, aggregierte oder anonymisierte Daten für Analysen, Benchmarking, Produktverbesserung, Zuverlässigkeit der Dienste und betriebliche Abläufe verarbeiten, sofern diese Daten weder den Kunden noch eine Person identifizieren und gemäß dem geltenden Recht behandelt werden.

ABSCHNITT 16

Rangfolge

Bei Widersprüchen zwischen dieser DPA und der Vereinbarung hat diese DPA hinsichtlich der Verarbeitung personenbezogener Kundendaten Vorrang. Sind SCCs erforderlich und widersprechen diese dieser DPA, haben die SCCs im gesetzlich erforderlichen Umfang Vorrang.

ANHANG A

Einzelheiten der Verarbeitung

Feld	Einzelheiten
Gegenstand	Bereitstellung von Plattform-, Geschenk-, Prämien-, Beschaffungs-, Kampagnenverwaltungs-, Empfängerinteraktions-, Abwicklungskoordinations-, Spenden-/Wirkungszuordnungs-, Berichts-, Support- und zugehörigen Diensten durch Giftpack.
Dauer	Während der Laufzeit der Vereinbarung und darüber hinaus, soweit für Aufbewahrung, Löschung, Einhaltung gesetzlicher Vorschriften, Streitbeilegung und Datensicherung erforderlich.
Art und Zweck	Hosting, Speicherung, Organisation, Übermittlung, Anzeige, Analyse, Absicherung, Unterstützung, Abwicklung, Versand, Kommunikation, Berichterstattung, Fehlerbehebung und sonstige Verarbeitung personenbezogener Kundendaten zur Bereitstellung der Dienste.
Betroffene Personen	Administratoren des Kunden, autorisierte Nutzer, Mitarbeiter, Empfänger, Endnutzer, Käufer, Spender, Lieferantenkontakte, Kontakte von Begünstigten und weitere Personen, deren Daten an Giftpack übermittelt werden.
Kategorien personenbezogener Daten	Name, geschäftliche Kontaktdaten, gegebenenfalls bereitgestellte private Kontaktdaten, Lieferadresse, E-Mail-Adresse, Telefonnummer, Unternehmen, Berufsbezeichnung, Zugangsdaten, Kampagneninformationen, Geschenkpräferenzen, Nachrichten, Einlöseaktivitäten, Bestelldetails, Zahlungsmetadaten, Lieferstatus, Supportkommunikation, Geräte-/Protokolldaten und weitere über die Dienste übermittelte Daten.
Sensible Daten	Giftpack verlangt vom Kunden keine Übermittlung sensibler personenbezogener Daten, sofern dies nicht ausdrücklich unterstützt und schriftlich genehmigt wird. Der Kunde darf sensible Daten nur übermitteln, wenn dies nach der Vereinbarung und dem geltenden Recht zulässig ist.
Pflichten des Kunden	Der Kunde ist für Rechtsgrundlagen, Hinweise, Erlaubnisse, Datenrichtigkeit, Kampagnenberechtigung und Weisungen verantwortlich.

ANHANG B

Technische und organisatorische Maßnahmen

Giftpack unterhält Maßnahmen zum Schutz personenbezogener Kundendaten, darunter Kontrollen der Cloud-Infrastruktur, Verschlüsselung bei Übertragung und Speicherung, rollenbasierte Zugriffskontrollen, das Prinzip der geringsten Berechtigung, interne Vertraulichkeitsverpflichtungen, Sicherheitsbewusstsein, Protokollierung und Überwachung, Schwachstellenscans und regelmäßige Tests, Verfahren zur Reaktion auf Sicherheitsvorfälle, Datensicherung und Notfallwiederherstellung, Änderungsmanagement, Überprüfung von Anbietern und Unterauftragsverarbeitern sowie physische, administrative und technische Schutzmaßnahmen, die der Art der Dienste angemessen sind. Die öffentliche Sicherheitsseite von Giftpack bietet einen allgemeinen Überblick und kann von Zeit zu Zeit aktualisiert werden.