1. Parteien und Rollen
Der Auftraggeber ist der Verantwortliche: Sie bestimmen die Zwecke und Mittel der Verarbeitung. DIKKE KASSA ist Auftragsverarbeiter: wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierten Weisungen hin.
Dieser Vertrag gilt für alle Leistungen, bei denen wir Zugang zu personenbezogenen Daten in Ihren Systemen haben, etwa Ihrer Affiliate-Software, Ihrem Netzwerkkonto oder Ihren Shop-Statistiken.
2. Gegenstand und Dauer
Die Verarbeitung betrifft die Einrichtung, Betreuung und Optimierung von Affiliate-Programmen in europäischen Märkten, einschließlich Publisher-Management, Transaktionsvalidierung und Reporting.
Dieser Vertrag läuft parallel zum Hauptvertrag und endet, sobald wir keine personenbezogenen Daten mehr für Sie verarbeiten, vorbehaltlich der Klausel 11.
3. Art und Zweck der Verarbeitung
Wir verarbeiten personenbezogene Daten ausschließlich zur Betreuung Ihres Affiliate-Programms: Prüfung und Verwaltung von Publishern, Validierung von Transaktionen, Erstellung von Berichten und Behebung von Tracking-Problemen.
Wir verwenden die Daten niemals für eigene Zwecke, etwa für Profiling, den Verkauf an Dritte oder die Ansprache Ihrer Publisher für andere Marken.
4. Kategorien von Daten und betroffenen Personen
Die Verarbeitung kann je nach Einrichtung Ihres Programms die folgenden Kategorien umfassen.
- Betroffene Personen: Publisher, Website-Besucher und Kunden des Auftraggebers.
- Publisher: Name, E-Mail-Adresse, Website, Zahlungsdaten und Leistungsstatistiken.
- Transaktionsdaten: Bestellreferenzen, Bestellwerte, Provisionen und Klick-IDs, gegebenenfalls verknüpft mit einer Online-Kennung.
- Technische Daten: IP-Adressen und Gerätedaten, soweit sie in Tracking- und Reportingsystemen vorkommen.
5. Unsere Pflichten als Auftragsverarbeiter
Wir verpflichten uns:
- Personenbezogene Daten nur auf Ihre dokumentierten Weisungen hin zu verarbeiten, einschließlich dieses Vertrags.
- Sicherzustellen, dass Mitarbeiter und beauftragte Dritte zur Verschwiegenheit verpflichtet sind.
- Geeignete technische und organisatorische Maßnahmen zu treffen (Klausel 6).
- Sie bei Anfragen betroffener Personen und bei Ihren Pflichten nach den Artikeln 32 bis 36 DSGVO zu unterstützen, etwa bei Datenpannen und Folgenabschätzungen.
- Alle Daten nach Ende der Leistungserbringung nach Ihrer Wahl zu löschen oder zurückzugeben.
6. Sicherheitsmaßnahmen
Wir treffen mindestens die folgenden Maßnahmen:
- Verschlüsselte Verbindungen (HTTPS/TLS) für alle Datenübertragungen.
- Zugriff nach dem Need-to-know-Prinzip, mit individuellen Konten und starker Authentifizierung.
- Speicherung innerhalb der Europäischen Union bei Anbietern mit eigener EU-Verarbeitungsverantwortung.
- Regelmäßige Updates und Sicherheitspatches der eingesetzten Systeme.
- Logische Trennung der Kundendaten je Auftraggeber.
7. Unterauftragsverarbeiter
Sie erteilen uns eine allgemeine Genehmigung, Unterauftragsverarbeiter für Hosting, E-Mail, Analytics und Affiliate-Plattformen einzusetzen. Über beabsichtigte Änderungen informieren wir Sie vorab; Sie haben dann zwei Wochen Zeit für einen Widerspruch.
Wir legen jedem Unterauftragsverarbeiter Pflichten auf, die nicht schwächer sind als dieser Vertrag, und bleiben für deren Leistungen voll verantwortlich.
8. Übermittlung in Drittländer
Wir verarbeiten personenbezogene Daten grundsätzlich innerhalb der Europäischen Union. Eine Übermittlung in ein Drittland erfolgt nur, wenn eine geeignete Garantie vorliegt, etwa ein Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission, und nur soweit dies für die vereinbarte Leistung erforderlich ist.
9. Datenpannen
Wir melden Ihnen als Verantwortlichem jede Verletzung des Schutzes personenbezogener Daten, die die von uns verarbeiteten Daten betrifft, unverzüglich und spätestens 48 Stunden nach Feststellung. Die Meldung enthält die Art der Panne, die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen, damit Sie Ihre Meldepflicht gegenüber der Aufsichtsbehörde erfüllen können.
10. Audits und Informationen
Wir stellen alle Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung dieses Vertrags nachzuweisen. Einmal pro Jahr, auf eigene Kosten und nach vorheriger Ankündigung, können Sie ein Audit durch einen unabhängigen, zur Verschwiegenheit verpflichteten Sachverständigen durchführen lassen.
11. Ende der Leistungserbringung
Nach Ende der Zusammenarbeit löschen wir alle in Ihrem Auftrag verarbeiteten personenbezogenen Daten innerhalb von 60 Tagen, sofern Sie nicht schriftlich eine Rückgabe verlangen oder eine gesetzliche Aufbewahrungspflicht eine längere Speicherung bestimmter Daten vorschreibt.
12. Haftung und Vorrang
Für die Haftung aus diesem Vertrag gelten dieselben Beschränkungen wie in unseren Allgemeinen Geschäftsbedingungen. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den AGB hat dieser Vertrag in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.
Dieser Vertrag unterliegt niederländischem Recht.