Die englische Fassung ist der maßgebliche Text dieses Dokuments.
Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen Eurhosting SHPK, Sallmone, Shijak, 2001 Durrës, Albanien, NIPT M52305043P („Auftragsverarbeiter", „wir") und dem in der Kontoregistrierung bezeichneten Kunden („Verantwortlicher", „Sie").
Dieser AVV ist Bestandteil der Nutzungsbedingungen von deliveru.eu und wird durch Verweis in diese einbezogen. Er gilt für jede Verarbeitung personenbezogener Daten, die wir in Ihrem Auftrag im Zusammenhang mit dem Dienst vornehmen. Er wird wirksam mit dem Tag, an dem Sie die Nutzungsbedingungen annehmen oder den Dienst erstmals nutzen, je nachdem, was früher eintritt; eine gesonderte Unterzeichnung ist nicht erforderlich. Benötigen Sie ein unterzeichnetes Gegenexemplar für Ihre Unterlagen, wenden Sie sich an legal@deliveru.eu.
Im Falle eines Widerspruchs zwischen diesem AVV und den Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten geht dieser AVV vor.
Unser Vertreter in der Union. Wir sind nicht in der Europäischen Union niedergelassen. Nach Artikel 27 DSGVO haben wir Padovani s.r.o., Příkop 843/4, Zábrdovice, 602 00 Brno, Tschechische Republik (IČO 03835341, USt-IdNr. CZ03835341), als unseren Vertreter in der Union benannt. Kontakt: privacy@padovani.cz
Padovani s.r.o. ist ein eigenständiges Unternehmen und nicht Partei dieses AVV. Es fungiert als Anlaufstelle, über die sich Aufsichtsbehörden und betroffene Personen in allen Fragen der Verarbeitung personenbezogener Daten an uns wenden können — zusätzlich und nicht anstelle einer unmittelbaren Kontaktaufnahme mit uns. Soweit Sie verpflichtet sind, unseren Vertreter in den Datenschutzinformationen zu benennen, die Sie Ihren eigenen betroffenen Personen nach Artikel 13 oder 14 DSGVO erteilen, sind dies die zu verwendenden Angaben.
„DSGVO" bezeichnet die Verordnung (EU) 2016/679. Die Begriffe „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Unterauftragsverarbeiter", „betroffene Person", „Verletzung des Schutzes personenbezogener Daten" und „Aufsichtsbehörde" haben die ihnen in der DSGVO zugewiesene Bedeutung.
„Abonnentendaten" bezeichnet die personenbezogenen Daten Ihrer Abonnenten, Kontakte und Empfänger, die Sie in den Dienst hochladen oder über ihn erzeugen.
Sie sind Verantwortlicher hinsichtlich der Abonnentendaten. Wir sind Auftragsverarbeiter und handeln ausschließlich auf Ihre dokumentierte Weisung.
Soweit Sie den Dienst nutzen, um Ihren eigenen Kunden E-Mail- oder SMS-Marketingleistungen zu erbringen (als Reseller), bleiben Sie uns gegenüber Verantwortlicher. Ihr Verhältnis zu Ihren eigenen Kunden, einschließlich einer etwaigen Auftragsverarbeitungsbeziehung zwischen Ihnen und diesen, liegt in Ihrer Verantwortung und wird von diesem AVV nicht geregelt.
Hinsichtlich Ihrer eigenen Kontodaten — Name, E-Mail-Adresse, Firmenangaben, Abrechnungsunterlagen und Anmeldeaktivität — handeln wir als Verantwortlicher; diese Verarbeitung ist in unserer Datenschutzerklärung beschrieben.
Gegenstand: die Bereitstellung der E-Mail- und SMS-Marketingplattform deliveru.eu.
Dauer: für die Laufzeit Ihres Abonnements zuzüglich der in Abschnitt 11 genannten Aufbewahrungsfristen.
Art und Zweck: Speicherung, Organisation, Abruf, Übermittlung und Löschung von Abonnentendaten zu dem Zweck, Ihnen die Erstellung, den Versand und die Auswertung von E-Mail- und SMS-Marketingkampagnen sowie die Verwaltung Ihrer Kontaktlisten zu ermöglichen.
Kategorien betroffener Personen: Ihre Abonnenten, Kontakte und Empfänger; Ihre Teammitglieder mit Zugang zu Ihrem Konto.
Kategorien personenbezogener Daten: E-Mail-Adressen; Telefonnummern; Vor- und Nachnamen; Firmennamen; alle von Ihnen befüllten benutzerdefinierten Felder; Einwilligungsnachweise und Zeitstempel; Interaktionsdaten zu Kampagnen wie Öffnungen, Klicks, Unzustellbarkeiten, Abmeldungen und Zustellergebnisse; die mit diesen Interaktionen verbundenen IP-Adressen.
Besondere Kategorien personenbezogener Daten: Der Dienst ist nicht dafür ausgelegt und darf nicht dazu verwendet werden, die in Artikel 9 DSGVO genannten besonderen Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 zu verarbeiten. Sie dürfen solche Daten nicht in den Dienst hochladen.
Wir verpflichten uns:
Wir werden Sie informieren, wenn eine Weisung von Ihnen unserer Auffassung nach gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.
Sie sind verantwortlich für:
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung setzen wir die folgenden technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO um:
Was nicht verschlüsselt ist, klar benannt. Abonnentendaten, die in unserer Produktionsdatenbank, im Dateisystem des Servers und in den von Ihnen hochgeladenen Dateien vorgehalten werden, sind im Ruhezustand auf Speicher- oder Datenbankebene nicht verschlüsselt: Das Datenträgervolumen ist nicht verschlüsselt, und eine Tablespace-Verschlüsselung auf Datenbankebene ist nicht aktiviert. Sie sind durch die oben aufgeführten Maßnahmen geschützt — Mandantentrennung, Zugriffskontrolle, Zwei-Faktor-Authentifizierung für administrative Zugänge, minimierte Datenbankrechte, Auditprotokollierung und Überwachung — sowie durch die physische und organisatorische Sicherheit des Rechenzentrums. Wir legen dies offen, damit Sie es in Ihrer eigenen Risikobewertung nach den Artikeln 32 und 35 DSGVO berücksichtigen können. Sicherungen sind verschlüsselt, wie oben dargelegt.
Wir können diese Maßnahmen im Laufe der Zeit anpassen, sofern das Schutzniveau dadurch nicht verringert wird.
Sie erteilen uns eine allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern für die Erbringung des Dienstes. Jeder Unterauftragsverarbeiter ist durch eine schriftliche Vereinbarung gebunden, die Datenschutzpflichten auferlegt, die denen dieses AVV in ihrem Schutzniveau nicht nachstehen.
Unsere derzeitigen Unterauftragsverarbeiter sind:
Wir werden Sie über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vor Wirksamwerden der Änderung per E-Mail informieren. Sie können innerhalb dieser Frist aus sachlichen Datenschutzgründen widersprechen; können wir Ihrem Widerspruch nicht entsprechen, können Sie Ihr Abonnement hinsichtlich der betroffenen Leistungen ohne Nachteile beenden.
Für die Erfüllung der Pflichten unserer Unterauftragsverarbeiter bleiben wir Ihnen gegenüber vollumfänglich verantwortlich.
Was Sie im Dienst selbst tun können. Sie können einen einzelnen Kontakt auffinden, die zu ihm gespeicherten personenbezogenen Daten einsehen, sie berichtigen und löschen. In den meisten Fällen genügt dies, um eine Auskunfts-, Berichtigungs- oder Löschanfrage eines Ihrer Abonnenten ohne unsere Beteiligung zu beantworten.
Eine Kopie der Daten erhalten (Datenübertragbarkeit). Der Dienst bietet keinen Selbstbedienungs-Export. Benötigen Sie Abonnentendaten in einem strukturierten, gängigen und maschinenlesbaren Format, schreiben Sie an legal@deliveru.eu von der für Ihr Konto registrierten E-Mail-Adresse. Wir erstellen den Export selbst und stellen ihn ohne unangemessene Verzögerung, in jedem Fall aber innerhalb von 10 Tagen nach Ihrer Anfrage bereit, damit Sie Ihre eigene Monatsfrist nach Artikel 12 Abs. 3 DSGVO einhalten können.
Weitere Anfragen und unsere Unterstützung. Kann eine Anfrage nicht über den Dienst erfüllt werden, leisten wir auf Anfrage angemessene Unterstützung. Erhalten wir eine Anfrage unmittelbar von einem Ihrer Abonnenten, beantworten wir sie nicht inhaltlich, sondern leiten sie ohne unangemessene Verzögerung an Sie weiter.
Sie können Abonnentendaten jederzeit über den Dienst löschen, solange Ihr Konto aktiv ist. Um eine Kopie davon zu erhalten, siehe Abschnitt 10.
Export bei Beendigung. Für 30 Tage nach Beendigung können Sie einen vollständigen Export Ihrer Daten anfordern, indem Sie von der für das Konto registrierten E-Mail-Adresse an legal@deliveru.eu schreiben. Wir stellen ihn Ihnen in einem strukturierten, gängigen und maschinenlesbaren Format innerhalb eines angemessenen Zeitraums nach Eingang Ihrer Anfrage bereit. Nach Ablauf dieser 30-Tage-Frist eingehende Anfragen können möglicherweise nicht mehr erfüllt werden, da die Löschung bereits begonnen hat.
Löschung. Ihre Kontodaten und die Abonnentendaten werden innerhalb von 90 Tagen nach Beendigung gelöscht, vorbehaltlich allein der nachstehenden Ausnahmen.
Aufbewahrung bei aktivem Konto. Es gelten die folgenden Fristen:
Datensätze, zu deren Aufbewahrung wir verpflichtet sind. Rechnungen und die sie stützenden Buchführungsunterlagen werden für die nach geltendem Steuerrecht vorgeschriebene Dauer von mindestens 10 Jahren aufbewahrt und bei Beendigung nicht gelöscht. Dies ist nach Artikel 17 Abs. 3 lit. b DSGVO zulässig. Betrifft eine Rechnung ein beendetes Konto, bewahren wir nur die Abrechnungsidentität auf, die zur Gültigkeit des Belegs erforderlich ist: Firmenname, USt-IdNr., Anschrift und Land.
Auditdatensätze über die Löschung selbst. Auditprotokolleinträge, die eine erfolgte Löschung belegen, werden als Nachweis der Einhaltung aufbewahrt. Diese Einträge erfassen Kennungen und Vorgänge, nicht die gelöschten personenbezogenen Daten.
Wir werden Sie ohne unangemessene Verzögerung, in jedem Fall aber innerhalb von 48 Stunden, benachrichtigen, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Abonnentendaten betrifft. Unsere Benachrichtigung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, soweit bekannt, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.
Wir unterstützen Sie bei der Erfüllung Ihrer eigenen Meldepflichten nach den Artikeln 33 und 34 DSGVO. Die Meldung an Ihre Aufsichtsbehörde und, soweit erforderlich, an Ihre betroffenen Personen bleibt Ihre Verantwortung als Verantwortlicher.
Auf schriftliche Anfrage und höchstens einmal in einem Zeitraum von zwölf Monaten — sofern nicht von einer Aufsichtsbehörde verlangt oder nach einer Verletzung des Schutzes personenbezogener Daten — stellen wir die zum Nachweis der Einhaltung dieses AVV vernünftigerweise erforderlichen Informationen bereit.
Verlangen Sie eine Überprüfung vor Ort, ist diese mit angemessener Vorankündigung zu vereinbaren, während der üblichen Geschäftszeiten durchzuführen und so vorzunehmen, dass unser Betrieb nicht gestört und die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigt wird. Die Kosten einer solchen Überprüfung tragen Sie, es sei denn, sie deckt einen wesentlichen Verstoß gegen diesen AVV auf.
Abonnentendaten werden auf Servern in Deutschland innerhalb der Europäischen Union gespeichert.
Wir sind in Albanien niedergelassen, für das kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Unser autorisiertes Personal greift aus Albanien aus der Ferne auf die Produktionsinfrastruktur zu, um sie zu administrieren, zu warten und zu unterstützen. Ein solcher Zugriff stellt eine Übermittlung personenbezogener Daten in ein Drittland im Sinne des Kapitels V DSGVO dar und unterliegt geeigneten Garantien nach Artikel 46 DSGVO. Einzelheiten zu den bestehenden Garantien sowie eine Kopie der anwendbaren Standardvertragsklauseln erhalten Sie auf Anfrage unter legal@deliveru.eu.
Im Übrigen werden Abonnentendaten nicht außerhalb des Europäischen Wirtschaftsraums übermittelt.
Die Haftung jeder Partei aus diesem AVV unterliegt den in den Nutzungsbedingungen festgelegten Haftungsbeschränkungen und -ausschlüssen, soweit eine solche Beschränkung nach geltendem Recht zulässig ist.
Dieser AVV bleibt in Kraft, solange wir Abonnentendaten in Ihrem Auftrag verarbeiten.
Wir können diesen AVV ändern, soweit dies durch Änderungen des geltenden Rechts, durch Hinweise von Aufsichtsbehörden oder durch Änderungen des Dienstes erforderlich wird. Über wesentliche Änderungen informieren wir Sie mindestens 30 Tage vor deren Wirksamwerden per E-Mail.
Dieser AVV unterliegt dem Recht der Republik Albanien, unbeschadet zwingender Vorschriften des Datenschutzrechts der Union oder der Mitgliedstaaten, die auf Sie anwendbar sind. Für Streitigkeiten gilt der in den Nutzungsbedingungen bestimmte Gerichtsstand.
Für alle Angelegenheiten im Zusammenhang mit diesem AVV, einschließlich Datenexportanfragen, Anfragen nach einem unterzeichneten Gegenexemplar, der aktuellen Liste der Unterauftragsverarbeiter oder der anwendbaren Übermittlungsgarantien: legal@deliveru.eu
Eurhosting SHPK · Sallmone, Shijak · 2001 Durrës, Albanien · NIPT M52305043P Vertreter in der Union (Artikel 27 DSGVO): Padovani s.r.o. · Příkop 843/4, Zábrdovice, 602 00 Brno, Tschechische Republik · privacy@padovani.cz