Accordo sul trattamento dei dati

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und konkretisiert die Pflichten der Parteien beim Umgang mit personenbezogenen Daten.

Verantwortlicher (Auftraggeber): der Kunde.

Auftragsverarbeiter (Auftragnehmer):

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubai, Vereinigte Arabische Emirate

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung der Plattform Growmindr einbringt oder über sie erheben lässt.

1.2 Die Dauer entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet automatisch mit dessen Beendigung; die Pflichten aus Abschnitt 10 bestehen darüber hinaus fort.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Zwecke: Verwaltung und Anreicherung von Kontaktdaten, Erstellung und Freigabe von Inhalten, Planung und Versand von Outreach-Nachrichten einschließlich Antwort- und Abmeldeverarbeitung, Recherche und Überwachung von Verlinkungen, Team- und Kontoverwaltung sowie Auswertung der genannten Vorgänge für den Verantwortlichen.

2.2 Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten.

2.3 Kategorien betroffener Personen: Empfänger von Outreach-Nachrichten, Ansprechpartner in Zielunternehmen sowie Beschäftigte und Beauftragte des Verantwortlichen, die die Plattform nutzen.

2.4 Kategorien personenbezogener Daten: Kontaktdaten (Name, geschäftliche E-Mail-Adresse, Telefonnummer, Position, Arbeitgeber, öffentlich zugängliche Profile), Kommunikationsinhalte, Zustell- und Interaktionsdaten (Zustellung, Öffnungen, Klicks, Antworten, Abmeldungen), Bewertungs- und Statusinformationen sowie Konto- und Rollendaten der Nutzer.

2.5 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche wird solche Daten nicht in die Plattform einbringen.

3. Weisungsrecht

3.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattformfunktionen durch den Verantwortlichen gilt als Weisung; darüber hinausgehende Einzelweisungen erfolgen in Textform an [email protected].

3.2 Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

3.3 Eine Verarbeitung außerhalb der Weisung erfolgt nur, soweit der Auftragnehmer nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet ist; er informiert den Verantwortlichen in diesem Fall vorab, sofern das Recht dies nicht verbietet.

4. Vertraulichkeit

Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in der Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der folgenden Unterauftragsverarbeiter:

• Cloudflare — Auslieferung und Absicherung der Website. Sitz USA;

Übermittlung auf Grundlage von Standardvertragsklauseln.

6.2 Paddle wird für die Zahlungsabwicklung als Merchant of Record tätig und ist insoweit eigener Verantwortlicher, nicht Unterauftragsverarbeiter.

6.3 Datenbank, Objektspeicher, Reichweitenmessung und die KI-Funktionen zur Texterstellung betreibt der Auftragnehmer auf eigener Infrastruktur in Dubai, Vereinigte Arabische Emirate. Es findet insoweit keine Beauftragung Dritter statt; für die Übermittlung in die Vereinigten Arabischen Emirate gilt Abschnitt 12.

6.4 Dienste, die der Verantwortliche selbst anbindet, indem er einen eigenen Zugangsschlüssel hinterlegt — insbesondere Hunter.io und Apollo.io zur Kontaktanreicherung sowie ein eigener Mailserver für den Versand —, werden auf Rechnung und Verantwortung des Verantwortlichen tätig. Der Verantwortliche schließt mit diesen Anbietern die erforderlichen Vereinbarungen selbst.

6.5 Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter einzusetzen oder einen bestehenden auszutauschen, informiert er den Verantwortlichen mindestens 30 Tage vorher in Textform. Der Verantwortliche kann binnen 14 Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Kann der Einwand nicht ausgeräumt werden, darf jede Partei den Hauptvertrag zum geplanten Wechselzeitpunkt kündigen.

7. Unterstützungspflichten

7.1 Der Auftragnehmer unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Die Plattform stellt hierfür Export- und Löschfunktionen sowie eine dauerhafte Sperrliste für abgemeldete Adressen bereit.

7.2 Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht eigenständig.

7.3 Der Auftragnehmer unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, soweit die erforderlichen Angaben nur ihm vorliegen.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, Art des Vorfalls, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und die ergriffenen Gegenmaßnahmen. Der Auftragnehmer meldet nicht an die Aufsichtsbehörde; diese Pflicht trifft den Verantwortlichen.

9. Nachweise und Kontrollen

9.1 Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft und Vorlage der Dokumentation zu den Maßnahmen nach Anlage 1.

9.2 Der Verantwortliche ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen. Kontrollen erfolgen ohne vermeidbare Störung des Betriebsablaufs und höchstens einmal je Kalenderjahr, es sei denn, ein besonderer Anlass rechtfertigt eine zusätzliche Kontrolle. Aufwendungen, die über eine einfache Auskunft hinausgehen, kann der Auftragnehmer angemessen berechnen.

10. Löschung und Rückgabe

10.1 Nach Beendigung des Hauptvertrags stellt der Auftragnehmer dem Verantwortlichen die Daten 30 Tage lang zum Export bereit und löscht sie anschließend.

10.2 Sicherungskopien werden rollierend überschrieben und spätestens 14 Tage nach der Löschung im Produktivsystem endgültig entfernt.

10.3 Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, sowie die Sperrliste abgemeldeter Adressen, deren Aufbewahrung zur Erfüllung der Pflicht aus Art. 21 Abs. 3 DSGVO erforderlich ist; diese Daten werden in der Verarbeitung entsprechend eingeschränkt.

11. Haftung und Schlussbestimmungen

11.1 Für die Haftung gilt Abschnitt 10 der Allgemeinen Geschäftsbedingungen entsprechend; Art. 82 DSGVO bleibt unberührt.

11.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

11.3 Es gilt das Recht der Bundesrepublik Deutschland.

12. Übermittlung in ein Drittland

12.1 Der Auftragnehmer hat seinen Sitz und betreibt seine Systeme in den Vereinigten Arabischen Emiraten. Für dieses Land besteht kein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.

12.2 Für Übermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum an den Auftragnehmer gelten deshalb die Standardvertragsklauseln der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021, und zwar Modul 2 (Verantwortlicher an Auftragsverarbeiter). Sie werden hiermit in vollem Umfang in diesen Vertrag einbezogen und gehen ihm bei Widersprüchen vor.

12.3 Für die Ausfüllung der Anhänge der Standardvertragsklauseln gilt:

• Anhang I.A (Parteien): Datenexporteur ist der Verantwortliche,

Datenimporteur der Auftragnehmer; die Angaben ergeben sich aus der Präambel dieses Vertrags und den Konto-Stammdaten des Verantwortlichen.

• Anhang I.B (Beschreibung der Übermittlung): Abschnitt 2 dieses Vertrags.
• Anhang I.C (Zuständige Aufsichtsbehörde): die Aufsichtsbehörde des

Mitgliedstaats, in dem der Verantwortliche niedergelassen ist; ist er nicht in der Union niedergelassen, die Behörde des Mitgliedstaats, in dem sich die betroffenen Personen befinden.

• Anhang II (Technische und organisatorische Maßnahmen): Anlage 1 dieses

Vertrags.

• Anhang III (Liste der Unterauftragsverarbeiter): Abschnitt 6 dieses

Vertrags.

12.4 Bei den Wahlmöglichkeiten der Klauseln gilt: Klausel 7 (Beitrittsklausel) findet Anwendung. Für Klausel 9 gilt Option 2 (allgemeine schriftliche Genehmigung) mit der in Abschnitt 6.5 vereinbarten Frist. Die fakultative Klausel 11 lit. a (unabhängige Streitbeilegungsstelle) findet keine Anwendung. Für Klausel 17 gilt das Recht Irlands, für Klausel 18 lit. b sind die Gerichte Irlands zuständig. Abschnitt 11.3 dieses Vertrags und die Rechtswahl der Allgemeinen Geschäftsbedingungen bleiben davon unberührt und gelten für alle übrigen Fragen.

12.5 Der Auftragnehmer bestätigt, dass ihm keine Rechtsvorschriften bekannt sind, die ihn an der Erfüllung der Standardvertragsklauseln hindern. Erhält er eine behördliche Anordnung zur Herausgabe übermittelter Daten, informiert er den Verantwortlichen darüber, soweit dies rechtlich zulässig ist, und ficht die Anordnung an, soweit hinreichende Erfolgsaussichten bestehen. Ergänzend gelten die Maßnahmen der Anlage 1.

12.6 Auf Anfrage stellt der Auftragnehmer dem Verantwortlichen eine unterzeichnete Ausfertigung der Standardvertragsklauseln zur Verfügung.

13. Anwendbares Recht der Vereinigten Arabischen Emirate

Unabhängig von der DSGVO unterliegt der Auftragnehmer dem Bundesgesetz Nr. 45 von 2021 der Vereinigten Arabischen Emirate über den Schutz personenbezogener Daten (PDPL). Soweit sich Pflichten daraus mit denen dieses Vertrags überschneiden, erfüllt der Auftragnehmer jeweils die weitergehende Pflicht.

Anlage 1 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Vertraulichkeit — Zutrittskontrolle. Die Systeme werden in einem Rechenzentrum in Dubai, Vereinigte Arabische Emirate, betrieben. Der physische Zutritt ist auf berechtigte Personen beschränkt und wird protokolliert.

Vertraulichkeit — Zugangskontrolle. Anmeldung über individuelle Konten mit nach dem Stand der Technik gehashten Passwörtern. Sitzungen laufen nach 15 Minuten Inaktivität ab. Sitzungscookies sind httpOnly, SameSite=Strict und werden ausschließlich über HTTPS übertragen. Der administrative Zugang zu den Produktivsystemen erfolgt ausschließlich über SSH mit Schlüsselauthentifizierung.

Vertraulichkeit — Zugriffskontrolle. Rollenbasierte Berechtigungen (Inhaber, Administrator, Redakteur, Prüfer, Betrachter). Die Trennung der Mandanten wird zusätzlich auf Datenbankebene durch Row-Level Security durchgesetzt, die im Fehlerfall den Zugriff verweigert statt ihn zuzulassen. Maschinelle Zugriffe zwischen Diensten erfolgen nur über kurzlebige, signierte Dienst-Token.

Vertraulichkeit — Trennungskontrolle. Jeder Kunde arbeitet in einem eigenen Mandanten; jeder Dienst nutzt eine eigene Datenbank ohne Fremdzugriff. Datensätze ohne gültigen Mandantenbezug sind nicht abrufbar.

Integrität — Weitergabekontrolle. Transportverschlüsselung mit TLS für alle Verbindungen von und zu der Plattform. Interne Dienste sind ausschließlich über die lokale Schnittstelle erreichbar und nicht öffentlich exponiert.

Integrität — Eingabekontrolle. Sicherheitsrelevante Vorgänge werden mit Zeitpunkt und handelndem Konto in einem Aktivitätsprotokoll erfasst.

Verfügbarkeit und Belastbarkeit. Tägliche automatische Sicherung der Datenbank mit einer Vorhaltezeit von 14 Tagen. Überwachung der Dienste mit automatischem Neustart im Störungsfall. Schutz vor Überlastung durch Ratenbegrenzung.

Verfahren zur Überprüfung und Bewertung. Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft und aktualisiert. Zugangsdaten liegen außerhalb der Versionsverwaltung. Änderungen an der Produktivumgebung erfolgen über einen nachvollziehbaren Auslieferungsprozess.

Auftragskontrolle. Unterauftragsverarbeiter werden nur nach Abschnitt 6 dieses Vertrags eingesetzt und vertraglich auf ein entsprechendes Schutzniveau verpflichtet.