Auftragsverarbeitungsvereinbarung

Diese Auftragsverarbeitungsvereinbarung (AVV) gilt, wenn GSAM Solution LLC (Auftragsverarbeiter, wir) bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden (Verantwortlicher, Sie) verarbeitet und diese Verarbeitung der EU-Datenschutz-Grundverordnung (DSGVO), der UK-DSGVO, dem Schweizer Bundesgesetz über den Datenschutz, dem türkischen Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK), Datenschutzgesetzen der US-Bundesstaaten oder vergleichbaren Gesetzen (zusammen die Datenschutzgesetze) unterliegt.

Handeln Sie für einen Kunden (als Agentur), bestätigen Sie, dass Sie von diesem Kunden dazu ermächtigt sind, und wir handeln als Ihr Unterauftragsverarbeiter.

Für Konto- und Abrechnungsdaten, Sicherheitsprotokolle sowie den Betrieb und die Verbesserung des Dienstes sind wir Verantwortlicher, nicht Auftragsverarbeiter; dies regelt unsere Datenschutzerklärung.

• Gegenstand und Zweck: Erbringung des Dienstes: Analyse Ihres Markenmaterials, Planung und Erstellung von Inhalten, Freigaben und Prüflinks, Berichte, Support und Sicherheit.
• Dauer: für die Dauer Ihrer Nutzung des Dienstes und danach bis zur Löschung gemäß Abschnitt 9.
• Art: Erhebung, Speicherung, Analyse (auch durch KI-Modelle), Bearbeitung und Umgestaltung, Übermittlung an Unterauftragsverarbeiter, Anzeige und Löschung.
• Betroffene Personen: Ihre Teammitglieder, Ihre Kunden und deren Freigebende, Ihre Endkunden und andere Personen, die in Ihrem Material, auf Ihrer Website oder in Ihren Uploads erscheinen oder genannt werden.
• Personenbezogene Daten: Namen, E-Mail-Adressen, Rollen, Bilder, Video- und Sprachaufnahmen sowie alle personenbezogenen Daten, die in Ihren Uploads, Website-Inhalten oder Notizen enthalten sind.
• Besondere Kategorien: nicht vorgesehen. Laden Sie solche Daten nur hoch, wenn dies erforderlich und rechtmäßig ist.

• Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung, die in diesen Bedingungen, dieser AVV sowie Ihrer Nutzung und Ihren Einstellungen des Dienstes besteht, sofern das Gesetz nichts anderes verlangt (in diesem Fall informieren wir Sie vorab, soweit das Gesetz dies zulässt). Wir informieren Sie, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzgesetze verstößt.
• Alle Personen, die wir zur Verarbeitung befugen, sind zur Vertraulichkeit verpflichtet.
• Wir wenden die technischen und organisatorischen Maßnahmen gemäß Abschnitt 6 an.
• Wir unterstützen Sie unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anträgen betroffener Personen sowie bei der Sicherheit, der Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und der Konsultation von Behörden.
• Wir verkaufen keine personenbezogenen Daten und verwenden sie nicht für eigene Zwecke, die über die Erbringung und Absicherung des Dienstes hinausgehen.

Sie erteilen uns eine allgemeine Genehmigung zum Einsatz der in der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter. Wir verpflichten jeden von ihnen vertraglich auf Datenschutzbestimmungen, die die Daten mindestens ebenso gut schützen wie diese AVV, und bleiben für ihre Leistung verantwortlich.

Einen neuen oder ersetzenden Unterauftragsverarbeiter kündigen wir mindestens 14 Tage im Voraus an, indem wir die Liste aktualisieren und die Kontoinhaber per E-Mail informieren. Sie können innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir dem Widerspruch nicht abhelfen, können Sie das betroffene Paket kündigen und erhalten den nicht genutzten vorausbezahlten Teil erstattet.

Unsere Datenbank wird in der Europäischen Union gehostet (Frankfurt, Deutschland). Einige Unterauftragsverarbeiter und GSAM Solution LLC selbst befinden sich in den Vereinigten Staaten oder anderen Ländern.

Für Übermittlungen personenbezogener Daten aus dem EWR in ein Land ohne Angemessenheitsbeschluss beziehen die Parteien die von der Europäischen Kommission mit Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln ein, und zwar Modul Zwei (Verantwortlicher an Auftragsverarbeiter) oder Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), je nach Fall: Klausel 7 (Kopplungsklausel) findet Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung, mit der Ankündigungsfrist gemäß Abschnitt 4); die optionale Formulierung in Klausel 11 findet keine Anwendung; Klausel 17 und Klausel 18: das Recht und die Gerichte Irlands. Anhang I ist Abschnitt 2 dieser AVV und Anhang II ist Abschnitt 6. Für das Vereinigte Königreich wird das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum einbezogen; für die Schweiz gelten die Klauseln mit den erforderlichen Anpassungen.

Soweit das KVKK auf Sie anwendbar ist und dies verlangt, unterzeichnen wir auf Anfrage den von der türkischen Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) veröffentlichten Standardvertrag; Sie als Datenexporteur melden ihn der Behörde, wie gesetzlich vorgeschrieben.

• Verschlüsselung bei der Übertragung (TLS) für den gesamten Datenverkehr und Verschlüsselung im Ruhezustand durch unsere Hosting- und Datenbankanbieter.
• Mandantentrennung in der Datenbank durch Row-Level-Security, Datenbankrollen nach dem Prinzip der minimalen Rechte und getrennte Zugangsdaten für Dienste.
• Anmeldung per Einmal-Link per E-Mail oder über Google, widerrufbare Sitzungen und Zugriff unserer Mitarbeiter nur, soweit erforderlich.
• Hochgeladene Dateien werden in privatem Speicher abgelegt und nur über kurzlebige signierte Links ausgeliefert; Prüfung des Dateityps beim Hochladen.
• IP-Adressen, die für Missbrauchsprüfungen der kostenlosen Vorschau und für Nachweise über die Annahme der Bedingungen verwendet werden, werden nur als schlüsselbasierte Hashes gespeichert; Geheimnisse werden außerhalb des Codes aufbewahrt.
• Ratenbegrenzungen, Bot-Schutz, Audit-Protokolle für sensible Vorgänge und Backups durch unseren Datenbankanbieter.
• Sicherheitsprüfungen des Codes vor Veröffentlichungen. Wir verfügen über keine Sicherheitszertifizierung wie ISO 27001 oder SOC 2.

Wir benachrichtigen Sie unverzüglich, nach Möglichkeit innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Ihre Daten betrifft, mit den Informationen, die Sie zur Erfüllung Ihrer eigenen Pflichten benötigen, und ergreifen angemessene Maßnahmen zu ihrer Eindämmung.

Wir stellen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser AVV und von Art. 28 DSGVO nachzuweisen, einschließlich der Beantwortung angemessener Sicherheitsfragebögen. Einmal jährlich oder nach einer Datenschutzverletzung oder auf Verlangen einer Behörde können Sie die Einhaltung prüfen, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer, auf Ihre Kosten und ohne Zugang zu Daten anderer Kunden.

Sie können Ihre Inhalte jederzeit unter Einstellungen → Deine Daten exportieren. Wenn Sie Ihr Konto löschen oder die Vereinbarung endet und das Konto gelöscht wird, löschen wir die in Ihrem Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen und aus Backups im Rahmen ihres regulären Rotationszyklus, sofern wir nicht gesetzlich zur Aufbewahrung verpflichtet sind.

Die Haftung jeder Partei aus dieser AVV unterliegt den Beschränkungen der Nutzungsbedingungen, soweit Datenschutzgesetze dies zulassen. Widersprechen sich diese AVV und die Bedingungen hinsichtlich personenbezogener Daten, geht diese AVV vor; widersprechen die Standardvertragsklauseln dieser AVV, gehen die Klauseln vor.

Für ein gegengezeichnetes Exemplar schreiben Sie an support@feedhand.com.