Auftragsverarbeitungsvereinbarung

Diese Datenverarbeitungsvereinbarung („DPA“) ist Teil der Abonnementvereinbarung zwischen Perkstar Ltd („Auftragsverarbeiter“) und der Kundenorganisation („Verantwortlicher“) für die Bereitstellung digitaler Treueplattformdienste. Durch die Zustimmung zum Abonnementvertrag akzeptiert der Verantwortliche die Bedingungen dieser DPA.

1. Definitionen und Interpretation

In dieser DPA:

„Datenschutzgesetze“ bezeichnet alle anwendbaren Gesetze in Bezug auf die Verarbeitung personenbezogener Daten, einschließlich der britischen DSGVO, der EU-DSGVO, des Data Protection Act 2018 und der Privacy and Electronic Communications Regulations 2003.

„UK DSGVO“ bezeichnet die Datenschutz-Grundverordnung ((EU) 2016/679), da sie gemäß Abschnitt 3 des European Union (Withdrawal) Act 2018 Teil des Rechts von England und Wales, Schottland und Nordirland ist.

„EU-DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten.

„Personenbezogene Daten“, "Verarbeitung", „Betroffene Person“, "Regler", "Prozessor", Und „Verstoß gegen den Schutz personenbezogener Daten“ haben die in der britischen DSGVO festgelegte Bedeutung.

„Dienstleistungen“ bezeichnet die von Perkstar bereitgestellten digitalen Treueplattformdienste, wie im Abonnementvertrag beschrieben.

„Unterauftragsverarbeiter“ bezeichnet jeden Dritten, der von Perkstar mit der Verarbeitung personenbezogener Daten im Namen des Verantwortlichen beauftragt wird.

2. Umfang und Zweck der Verarbeitung

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Namen des Verantwortlichen ausschließlich zum Zweck der Bereitstellung der in Anhang 1 beschriebenen Dienste.

2.2 Der Auftragsverarbeiter darf personenbezogene Daten nur in Übereinstimmung mit den dokumentierten Anweisungen des Verantwortlichen verarbeiten, es sei denn, er ist gesetzlich dazu verpflichtet. Wenn der Auftragsverarbeiter gesetzlich zur Verarbeitung personenbezogener Daten verpflichtet ist, muss er den Verantwortlichen vor der Verarbeitung über diese Anforderung informieren, es sei denn, das Gesetz verbietet eine solche Benachrichtigung.

2.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzgesetze verstößt.

3. Pflichten des Auftragsverarbeiters

3.1 Der Auftragsverarbeiter muss:

(a) Personenbezogene Daten nur in Übereinstimmung mit den dokumentierten Anweisungen des Verantwortlichen und den Bedingungen dieser DPA verarbeiten.

(b) Stellen Sie sicher, dass alle zur Verarbeitung personenbezogener Daten berechtigten Personen verbindlichen Vertraulichkeitsverpflichtungen unterliegen.

(c) geeignete technische und organisatorische Maßnahmen implementieren und aufrechterhalten, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich Verschlüsselung, Zugriffskontrollen, regelmäßigen Sicherheitstests und Backup-Verfahren, wie in Abschnitt 5 beschrieben.

(d) Beachten Sie die Bedingungen für die Beauftragung von Unterauftragsverarbeitern gemäß Abschnitt 4.

(e) Unter Berücksichtigung der Art der Verarbeitung unterstützen wir den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte gemäß den Datenschutzgesetzen ausüben.

(f) Unterstützung des Verantwortlichen bei der Sicherstellung der Einhaltung der Verpflichtungen gemäß den Artikeln 32 bis 36 der britischen DSGVO, einschließlich der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Folgenabschätzungen zum Datenschutz und der vorherigen Konsultation mit Aufsichtsbehörden.

(g) Nach der Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Leistungserbringung löschen oder zurückgeben und vorhandene Kopien löschen, es sei denn, eine Aufbewahrung ist nach geltendem Recht erforderlich.

(h) Stellen Sie dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser DPA erforderlich sind, und ermöglichen Sie Audits, einschließlich Inspektionen, und tragen Sie dazu bei, wie in Abschnitt 9 dargelegt.

4. Unterauftragsverarbeiter

4.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter für die Erbringung der Dienste zu beauftragen.

4.2 Aktuelle Unterauftragsverarbeiter sind in Anhang 2 aufgeführt und werden unter perkstar.co.uk/sub-processors verwaltet.

4.3 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 7 Tage vor Inkrafttreten der Änderung über beabsichtigte Änderungen hinsichtlich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, Einspruch zu erheben.

4.4 Wenn der Verantwortliche aus berechtigten Gründen des Datenschutzes Einwände gegen einen neuen Unterauftragsverarbeiter erhebt, besprechen die Parteien die Bedenken nach Treu und Glauben. Wenn innerhalb von 30 Tagen keine Lösung erzielt werden kann, kann der Verantwortliche die betroffenen Dienste ohne Vertragsstrafe kündigen.

4.5 Der Auftragsverarbeiter stellt sicher, dass jeder Unterauftragsverarbeiter an Datenschutzverpflichtungen gebunden ist, die nicht weniger schützend sind als die in diesem DPA dargelegten.

5. Datensicherheit

5.1 Der Auftragsverarbeiter implementiert und unterhält geeignete technische und organisatorische Maßnahmen, einschließlich:

(a) Verschlüsselung personenbezogener Daten während der Übertragung (TLS 1.3) und im Ruhezustand (AES-256).

(b) Maßnahmen zur Gewährleistung der fortlaufenden Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen und -diensten.

(c) Rollenbasierte Zugriffskontrollen und Multi-Faktor-Authentifizierung für den administrativen Zugriff.

(d) Regelmäßige Tests und Bewertung der Wirksamkeit von Sicherheitsmaßnahmen, einschließlich Schwachstellenbewertungen.

(e) Automatisierte tägliche Backups, verschlüsselt im Ruhezustand, gespeichert im gleichen geografischen Zuständigkeitsbereich wie die Primärdaten, mit einer Aufbewahrungsfrist von 30 Tagen.

(f) Verfahren zur zeitnahen Wiederherstellung der Verfügbarkeit und des Zugriffs auf personenbezogene Daten nach einem Vorfall.

5.2 Der Auftragsverarbeiter überprüft und aktualisiert diese Maßnahmen regelmäßig, um unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung ein angemessenes Sicherheitsniveau aufrechtzuerhalten.

6. Benachrichtigung über Datenschutzverletzungen

6.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 24 Stunden, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.

6.2 Die Benachrichtigung muss Folgendes enthalten:

(a) Die Art der Verletzung des Schutzes personenbezogener Daten, einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze.

(b) Die wahrscheinlichen Folgen des Verstoßes.

(c) Die Maßnahmen, die ergriffen oder vorgeschlagen wurden, um den Verstoß zu beheben, einschließlich Maßnahmen zur Abmilderung seiner möglichen nachteiligen Auswirkungen.

6.3 Der Auftragsverarbeiter muss mit dem Verantwortlichen zusammenarbeiten und angemessene Maßnahmen ergreifen, um bei der Untersuchung, Eindämmung und Behebung des Verstoßes zu helfen.

6.4 Der Auftragsverarbeiter muss alle Verstöße gegen den Schutz personenbezogener Daten dokumentieren, einschließlich der Fakten im Zusammenhang mit dem Verstoß, seinen Auswirkungen und den ergriffenen Abhilfemaßnahmen.

7. Rechte der betroffenen Person

7.1 Der Auftragsverarbeiter leitet innerhalb von 48 Stunden nach Erhalt jede Anfrage, die er direkt von einer betroffenen Person erhält, die ihre Rechte gemäß den Datenschutzgesetzen ausübt, an den Verantwortlichen weiter.

7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung solcher Anfragen durch geeignete technische und organisatorische Maßnahmen, einschließlich der Bereitstellung von Tools für den Datenexport und die Datenlöschung, soweit diese über die Dienste verfügbar sind.

7.3 Der Auftragsverarbeiter darf nicht direkt auf eine Anfrage einer betroffenen Person antworten, es sei denn, er wird vom Verantwortlichen dazu angewiesen oder ist durch geltendes Recht vorgeschrieben.

8. Datenübertragungen

8.1 Der Auftragsverarbeiter darf ohne vorherige schriftliche Zustimmung des Verantwortlichen keine personenbezogenen Daten außerhalb der dem Verantwortlichen zugewiesenen geografischen Region übertragen.

8.2 Personenbezogene Daten werden in den Rechenzentren verarbeitet und gespeichert, die für den registrierten Geschäftsstandort des Verantwortlichen gemäß Anhang 3 geeignet sind.

8.3 Wenn personenbezogene Daten außerhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums übermittelt werden, stellt der Auftragsverarbeiter sicher, dass geeignete Sicherheitsvorkehrungen getroffen werden, einschließlich Standardvertragsklauseln oder anderer gesetzlich genehmigter Übertragungsmechanismen.

8.4 Kundendaten aus dem Vereinigten Königreich und der EU bleiben jederzeit innerhalb der Gerichtsbarkeit des Vereinigten Königreichs/der EU, es sei denn, der Verantwortliche stimmt ausdrücklich schriftlich einer alternativen Vereinbarung zu.

9. Audits und Compliance

9.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA und der Verpflichtungen des Auftragsverarbeiters gemäß den Datenschutzgesetzen nachzuweisen.

9.2 Der Verantwortliche kann mit einer Frist von mindestens 30 Tagen schriftlich und während der normalen Geschäftszeiten die Einhaltung dieser DPA durch den Auftragsverarbeiter prüfen. Audits werden höchstens einmal im Jahr durchgeführt, es sei denn, ein Verstoß gegen den Schutz personenbezogener Daten oder eine behördliche Untersuchung erfordern ein zusätzliches Audit.

9.3 Der Verantwortliche stellt sicher, dass jede Prüfung auf eine Art und Weise durchgeführt wird, die Störungen des Geschäftsbetriebs des Auftragsverarbeiters minimiert, und dass jeder Prüfer an angemessene Vertraulichkeitsverpflichtungen gebunden ist.

9.4 Der Auftragsverarbeiter kooperiert bei allen Audits oder Inspektionen, die vom Verantwortlichen oder einer Aufsichtsbehörde durchgeführt werden.

10. Datenschutz-Folgenabschätzungen

10.1 Der Auftragsverarbeiter leistet dem Verantwortlichen angemessene Unterstützung bei der Durchführung von Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden, sofern dies nach den Datenschutzgesetzen erforderlich ist, und berücksichtigt dabei die Art der Verarbeitung und die dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

11. Laufzeit und Kündigung

11.1 Diese DPA bleibt für die Dauer des Abonnementvertrags und so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten im Namen des Verantwortlichen verarbeitet.

11.2 Nach Beendigung des Abonnementvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen innerhalb von 30 Tagen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, es sei denn, eine Aufbewahrung ist nach geltendem Recht erforderlich.

11.3 Der Auftragsverarbeiter muss dem Verantwortlichen auf Anfrage schriftlich bestätigen, dass er die Anforderungen von Ziffer 11.2 erfüllt hat.

12. Haftung

12.1 Die Haftung jeder Partei im Rahmen dieser DPA unterliegt den im Abonnementvertrag festgelegten Haftungsbeschränkungen und -ausschlüssen.

12.2 Nichts in dieser DPA schränkt die Haftung einer Partei für Verstöße gegen Datenschutzgesetze ein oder schließt sie aus, sofern diese Haftung nach geltendem Recht nicht eingeschränkt werden kann.

13. Allgemein

13.1 Diese DPA unterliegt den Gesetzen von England und Wales.

13.2 Alle Streitigkeiten, die sich aus dieser DPA ergeben, unterliegen dem im Abonnementvertrag festgelegten Streitbeilegungsverfahren.

13.3 Im Falle eines Konflikts zwischen dieser DPA und dem Abonnementvertrag haben die Bedingungen dieser DPA in Bezug auf Datenschutzangelegenheiten Vorrang.

13.4 Sollte sich herausstellen, dass eine Bestimmung dieser DPA ungültig oder nicht durchsetzbar ist, bleiben die übrigen Bestimmungen in vollem Umfang in Kraft und wirksam.

Anhang 1: Einzelheiten der Verarbeitung

Art und Zweck: Bereitstellung von Dienstleistungen einer digitalen Treueplattform, einschließlich der Erstellung, Verwaltung, Verteilung und Analyse digitaler Treuekarten über Apple Wallet und Google Wallet.

Arten personenbezogener Daten:

• Kundennamen, elektronische Post-Adressen und Telefonnummern

• Treuekartendaten (Punkte, Stempel, Prämien und Transaktionsverlauf)

• Gerätekennungen und Anmeldeinformationen für digitale Geldbörsen

• Daten des administrativen Benutzerkontos

• IP-Adressen und Nutzungsdaten

Kategorien der betroffenen Personen:

• Endkunden des Treueprogramms des Controllers

• Administrative Benutzer des Kontos des Controllers

Dauer der Verarbeitung: Für die Dauer des Abonnementvertrags zuzüglich etwaiger Aufbewahrungsfristen nach der Beendigung, die nach geltendem Recht oder gemäß Klausel 11.2 erforderlich sind.

Anhang 2: Unterauftragsverarbeiter

Standortsicherung des Unterauftragsverarbeiters DigitalOcean LLC Cloud-Hosting-Infrastruktur im Vereinigten Königreich, in der EU und in den USA (London, Amsterdam, Frankfurt, New York, San Francisco, Atlanta) Datenspeicherung im Rechenzentrum entsprechend dem Kundenstandort Poststempel (Wildbit LLC) Transaktionale elektronische Post-Zustellung USA-Standardvertragsklauseln Stripe Inc. Zahlungsabwicklung USA/EU-Standardvertragsklauseln

Eine aktuelle Liste der Unterauftragsverarbeiter wird unter perkstar.co.uk/sub-processors geführt.

Anhang 3: Datenspeicherung

Standorte der Rechenzentren: Perkstar speichert Kundendaten ausschließlich im Vereinigten Königreich, in der Europäischen Union und in den Vereinigten Staaten:

• VEREINIGTES KÖNIGREICH: London (DigitalOcean LON1)

• EU: Amsterdam, Niederlande (DigitalOcean AMS3); Frankfurt, Deutschland (DigitalOcean FRA1)

• UNS: New York City (DigitalOcean NYC1/NYC2/NYC3); San Francisco (DigitalOcean SFO2/SFO3); Atlanta (DigitalOcean ATL1)

Aufgabe des Rechenzentrums: Kunden werden basierend auf ihrem registrierten Unternehmensstandort automatisch dem am besten geeigneten Rechenzentrum zugewiesen, um die Einhaltung von Datenschutzbestimmungen und eine optimale Leistung zu gewährleisten.

Garantien der Datensouveränität:

• Kunden im Vereinigten Königreich/EU: Die Daten bleiben immer innerhalb der Gerichtsbarkeit des Vereinigten Königreichs/EU.

• US-Kunden: Die Daten verbleiben in den Vereinigten Staaten.

• Internationale Kunden: Zuweisung an das nächstgelegene Rechenzentrum mit strengen Datenschutzgesetzen.

Backups: Automatisierte tägliche Backups werden im Ruhezustand verschlüsselt (AES-256), im gleichen geografischen Zuständigkeitsbereich wie Primärdaten gespeichert und 30 Tage lang aufbewahrt.

Kontakt

Bei Fragen zu dieser DPA wenden Sie sich bitte an:

Perkstar Ltd Firmennummer 16256732 86-90 Paul Street, 3rd Floor London, EC2A 4NE Vereinigtes Königreich

elektronische Post: legal@perkstar.co.uk