Diese Datenverarbeitungsvereinbarung (die „DPA“) bildet einen integralen Bestandteil der Vereinbarung zwischen ELXAO SASU (dem „Auftragsverarbeiter“) und dem Kunden (dem „Verantwortlichen“) und setzt Artikel 28 der Verordnung (EU) um. 2016/679 (die „DSGVO“) und das französische Datenschutzgesetz (Loi Nr. 78-17 vom 6. Januar 1978 in der geänderten Fassung). Sie gilt immer dann, wenn ELXAO im Rahmen der Erbringung der Dienste personenbezogene Daten im Namen des Verantwortlichen verarbeitet.
Definitionen
Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „betroffene Person“, „Daten einer besonderen Kategorie“ und „Verletzung des Schutzes personenbezogener Daten“ haben die in Artikel 4 der DSGVO festgelegte Bedeutung. Die Bedingungen der Vereinbarung gelten für diese DPA, es sei denn, diese DPA setzt sie ausdrücklich außer Kraft.
Gegenstand, Dauer und Art der Verarbeitung
| Position | Beschreibung |
|---|---|
| Thema | Bereitstellung von Marketing-Betriebsdiensten (Websites, SEO, Bezahlmedien, Analysen, CRM/E-Mail, Branding, soziale Medien, Lokalisierung, PM/Events) im Namen des Verantwortlichen. |
| Dauer | Dauer des Auftrags, zuzüglich der unten aufgeführten Aufbewahrungsfristen. |
| Natur und Zweck | Speicherung, Organisation, Analyse, Übertragung, Hosting und Löschung personenbezogener Daten, soweit dies zur Erbringung der Dienste erforderlich ist. |
| Kategorien betroffener Personen | Endbenutzer, Interessenten, Kunden, Abonnenten, Mitarbeiter, Lieferanten und Veranstaltungsteilnehmer des Controllers. |
| Kategorien personenbezogener Daten | Identifikationsdaten (Name, Titel), Kontaktdaten (E-Mail, Telefon, Postanschrift), berufliche Daten (Firma, Rolle), Online-Identifikatoren (IP, Cookies, Geräte-IDs), Verhaltensdaten (Klicks, Sitzungen, Konvertierungen), kommerzielle Daten (Bestellungen, Abrechnung), Veranstaltungsdaten (Registrierungen, Anwesenheit, Abzeichen, Aufzeichnungen). |
| Spezielle Kategoriedaten | Wird standardmäßig nicht verarbeitet. Jede Ausnahme erfordert eine schriftliche Weisung und zusätzliche Sicherheitsvorkehrungen. |
Rollen & Anweisungen
Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung. ELXAO verarbeitet personenbezogene Daten ausschließlich auf der Grundlage der dokumentierten Anweisungen des Verantwortlichen, die durch die Vereinbarung, die Bestellungen, die SLAs, die Datenschutzrichtlinie des Verantwortlichen und alle danach übermittelten spezifischen schriftlichen Anweisungen formalisiert werden. ELXAO wird den Verantwortlichen unverzüglich informieren, wenn er der Ansicht ist, dass eine Weisung gegen das Datenschutzrecht verstößt.
Vertraulichkeit des Personals
ELXAO stellt sicher, dass jede Person, die zur Verarbeitung personenbezogener Daten berechtigt ist, an eine durchsetzbare Vertraulichkeitsverpflichtung gebunden ist (Arbeitsvertrag, Freiberuflervertrag oder NDA) und eine ihrer Rolle entsprechende Schulung zum Schutz personenbezogener Daten erhalten hat.
Sicherheitsmaßnahmen
ELXAO setzt geeignete technische und organisatorische Maßnahmen um (Artikel 32 DSGVO), darunter:
- TLS 1.2+-Verschlüsselung bei der Übertragung und AES-256-Verschlüsselung im Ruhezustand für Produktionsdatenspeicher.
- Rollenbasierte Zugriffskontrolle nach dem Prinzip der geringsten Rechte; obligatorische Multi-Faktor-Authentifizierung für alle Administratoren.
- Gehärtete, in der EU gehostete Infrastruktur mit regelmäßigen Schwachstellenscans und Patches.
- Codeüberprüfung, Secrets-Management, sicheres SDLC und Trennung von Produktions-/Staging-Umgebungen.
- Zentralisierte, integritätsgeschützte Protokollierung; Benachrichtigung bei verdächtigen Authentifizierungs- und Datenexportereignissen.
- Verschlüsselte, geografisch getrennte Backups mit dokumentierten Wiederherstellungstests.
- Personal-Onboarding-/Offboarding-Verfahren, Passwort-Manager, sichere Laptops mit vollständiger Festplattenverschlüsselung.
- Die Pläne zur Geschäftskontinuität und zur Reaktion auf Vorfälle werden mindestens einmal jährlich überprüft.
Unterverarbeitung
Der Verantwortliche erteilt ELXAO eine allgemeine Genehmigung, Unterauftragsverarbeiter für bestimmte Verarbeitungstätigkeiten einzusetzen (Hosting, E-Mail-Zustellung, Analysen, Werbeplattformen, Kundensupport-Tools und Eventmanagement-Plattformen). ELXAO führt eine aktuelle Liste der Unterauftragsverarbeiter, die unter [email protected] angefordert werden kann, und informiert mindestens dreißig (30) Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung. Während dieser Frist kann der Verantwortliche aus berechtigten Datenschutzgründen widersprechen. ELXAO legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens das in dieser DPA festgelegte Schutzniveau gewährleisten.
Internationale Überweisungen
Die Verarbeitung personenbezogener Daten erfolgt überwiegend innerhalb des Europäischen Wirtschaftsraums (EWR). Wenn die Verarbeitung eine Übermittlung außerhalb des EWR in ein Land ohne Angemessenheitsbeschluss beinhaltet, stützt sich ELXAO auf geeignete Garantien gemäß Artikel 46 DSGVO, hauptsächlich auf die Standardvertragsklauseln (SCCs) der Europäischen Kommission vom 4. Juni 2021, ergänzt durch alle zusätzlichen Maßnahmen, die die Folgenabschätzung für die Übermittlung erfordert.
Unterstützung des Verantwortlichen
ELXAO unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen (Artikel 12–22 DSGVO) und bei der Sicherstellung der Einhaltung der Artikel 32–36 DSGVO (Sicherheit, Meldung von Verstößen, DSFA, vorherige Konsultation). Standardunterstützung ist in den Diensten enthalten; Wesentliche Arbeiten, die über einen (1) Arbeitstag pro Anfrage hinausgehen, können nach schriftlicher Mitteilung zu den jeweils aktuellen professionellen Tarifen von ELXAO in Rechnung gestellt werden.
Verletzung des Schutzes personenbezogener Daten
ELXAO benachrichtigt den Verantwortlichen unverzüglich und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden, nachdem ihm ein Verstoß gegen den Schutz personenbezogener Daten bekannt wurde, der die Daten des Verantwortlichen betrifft. Die Benachrichtigung umfasst die Art des Verstoßes, die Kategorien und das ungefähre betroffene Volumen, die wahrscheinlichen Folgen und die zur Behebung des Verstoßes ergriffenen oder vorgeschlagenen Maßnahmen.
Audits
ELXAO stellt dem Verantwortlichen auf begründete Anfrage und höchstens einmal pro Jahr (außer nach einem Verstoß) die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser DPA erforderlich sind, einschließlich Berichten vom Typ ISO 27001/SOC 2 von Unterauftragsverarbeitern, sofern verfügbar. Vor-Ort-Prüfungen können vom Verantwortlichen oder einem einvernehmlich zugelassenen externen Prüfer, der zur Vertraulichkeit verpflichtet ist, auf Kosten des Verantwortlichen, mit angemessener Vorankündigung und während der Geschäftszeiten in einer Weise durchgeführt werden, die den Betrieb von ELXAO nicht unangemessen stört.
Rückgabe oder Löschung von Daten
Bei Beendigung der Vereinbarung wird ELXAO nach Wahl des Verantwortlichen innerhalb von dreißig (30) Tagen entweder alle personenbezogenen Daten in einem strukturierten, allgemein verwendeten und maschinenlesbaren Format zurückgeben oder sie aus allen Produktions- und Betriebssystemen löschen. Sicherungskopien werden im Standardrotationszyklus (bis zu neunzig (90) Tage) gelöscht und dürfen nur dann über diesen Zeitraum hinaus aufbewahrt werden, wenn dies nach geltendem Recht erforderlich ist. In diesem Fall unterliegen sie weiterhin den Sicherheits- und Vertraulichkeitsverpflichtungen dieser DPA.
Haftung
Für Ansprüche aus dieser AVV gelten die Haftungsbestimmungen des MSA. Jede Partei bleibt gegenüber den betroffenen Personen und Aufsichtsbehörden gemäß Artikel 82 DSGVO haftbar.
Kontakt
Bei Fragen, Anfragen oder Mitteilungen zum Datenschutz im Rahmen dieser DPA kontaktieren Sie ELXAO unter [email protected].