Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem im Annahmenachweis genannten Kunden als Verantwortlichem (der „Kunde“) und Mantas Lukošius, Einzelunternehmer (individuali veikla) mit Sitz in Litauen, USt-IdNr. LT100014517418, Liepų g. 71A, Ginduliai, Klaipėdos r., Lithuania, der CookieSentry betreibt und als Auftragsverarbeiter handelt („CookieSentry“ oder der „Auftragsverarbeiter“). Kontakt in Datenschutzfragen: [email protected].

Dieser AVV ergänzt die Nutzungsbedingungen unter https://cookiesentry.com/terms (die „Nutzungsbedingungen“), nach denen CookieSentry seinen Dienst für den Kunden erbringt (der „Dienst“). Widersprechen sich dieser AVV und die Nutzungsbedingungen in Bezug auf die Verarbeitung personenbezogener Daten, geht dieser AVV vor.

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach der Verordnung (EU) 2016/679 (der „DSGVO“). „Kundendaten“ sind die personenbezogenen Daten, die CookieSentry nach diesem AVV im Auftrag des Kunden verarbeitet, wie in Anlage 1 beschrieben.

Gegenstand: CookieSentry prüft die öffentlich zugänglichen Websites, die der Kunde in seinem Konto anlegt, auf Cookies und Anfragen an Drittanbieter, überwacht sie nach dem vom Kunden gewählten Zeitplan, versendet Warnmeldungen und Berichte an die vom Kunden benannten Empfänger und verwaltet das Kundenkonto.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auswerten, Anzeigen, Versenden per E-Mail und Löschen von Kundendaten, soweit dies zur Erbringung des Dienstes erforderlich ist. Der Scanner ruft die Seiten des Kunden mit einem Headless-Browser als anonymer Erstbesucher auf. Er meldet sich nicht auf der Website des Kunden an, sendet keine Formulare ab und hat keinen Zugriff auf das Backend der Website, ihre Besucherstatistiken oder die Cookies ihrer tatsächlichen Besucher.

Zweck: Erbringung des Dienstes nach den Nutzungsbedingungen, einschließlich Support und Sicherheit des Dienstes.

Dauer: Dieser AVV gilt ab seiner Annahme, solange CookieSentry Kundendaten für den Kunden verarbeitet. Er endet, wenn das Kundenkonto gelöscht ist und die Kundendaten nach Abschnitt 12 gelöscht oder herausgegeben wurden.

Die Arten der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 aufgeführt.

CookieSentry verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, sofern CookieSentry nicht durch das Recht der Union oder der Mitgliedstaaten, dem CookieSentry unterliegt, zu einer anderen Verarbeitung verpflichtet ist. In einem solchen Fall teilt CookieSentry dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Nutzungsbedingungen, dieser AVV sowie die Einstellungen und Handlungen des Kunden im Dienst (zum Beispiel das Anlegen einer Website, die Wahl eines Scan-Zeitplans, die Benennung von Empfängern für Warnmeldungen, das Teilen eines Berichts oder das Löschen von Daten) sind zum Zeitpunkt der Annahme die vollständigen dokumentierten Weisungen des Kunden. Weitere Weisungen erteilt der Kunde schriftlich oder in Textform (E-Mail an [email protected]); sie müssen mit dem Dienst vereinbar sein. Weisungen, die den Umfang des Dienstes ändern, können als Änderung der Nutzungsbedingungen vereinbart werden.

CookieSentry informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. CookieSentry darf die Ausführung dieser Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

Abrechnungs- und Zahlungsdaten sowie die Daten, die CookieSentry für eigene Pflichten in Buchhaltung, Steuern, Sicherheit und Missbrauchsabwehr benötigt, nutzt CookieSentry außerdem für eigene Zwecke als eigenständiger Verantwortlicher nach seiner Datenschutzerklärung (https://cookiesentry.com/privacy). Diese Nutzung ist nicht Gegenstand dieses AVV.

Der Kunde ist für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung verantwortlich, insbesondere dafür, dass er die von ihm angelegten Websites prüfen lassen darf (Nutzungsbedingungen, Acceptable Use Policy), und dass er eine Rechtsgrundlage für die Benennung der Empfänger von Warnmeldungen hat.

Der Kunde informiert CookieSentry unverzüglich, wenn er bei der Verarbeitung Fehler oder Unregelmäßigkeiten in Bezug auf den Datenschutz feststellt.

CookieSentry gewährleistet, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht nach Beendigung dieses AVV fort.

CookieSentry wird von seinem Inhaber als Einzelunternehmen betrieben. Erhalten andere Personen Zugang zu Kundendaten (zum Beispiel ein Dienstleister für Wartungsarbeiten), werden sie vor dem Zugang schriftlich zur Vertraulichkeit und auf diesen AVV verpflichtet.

CookieSentry trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO); dabei berücksichtigt CookieSentry den Stand der Technik, die Implementierungskosten sowie die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung.

Die Maßnahmen unterliegen dem technischen Fortschritt. CookieSentry darf sie durch gleichwertige Maßnahmen ersetzen, die mindestens dasselbe Schutzniveau bieten. Wesentliche Änderungen dokumentiert CookieSentry und nimmt sie mit der nächsten Fassung dieses AVV in Anlage 2 auf.

Der Kunde erteilt CookieSentry die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Veröffentlichung dieser Fassung eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Die aktuelle Liste, einschließlich der nach Abschnitt 7.2 angekündigten Änderungen, wird unter https://cookiesentry.com/legal/hosting geführt.

CookieSentry informiert den Kunden mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, per E-Mail an die E-Mail-Adresse des Kontos und durch Aktualisierung von https://cookiesentry.com/legal/hosting.

Der Kunde kann der Änderung innerhalb dieser Frist schriftlich oder in Textform aus berechtigten datenschutzrechtlichen Gründen widersprechen. Die Parteien erörtern den Widerspruch dann nach Treu und Glauben. Kann CookieSentry die Änderung nicht mit zumutbarem Aufwand vermeiden, kann der Kunde den Dienst mit Wirkung zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

CookieSentry erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die mindestens das Schutzniveau dieses AVV bieten, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Gegenüber dem Kunden haftet CookieSentry für die Einhaltung der Pflichten seiner Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO).

Nebenleistungen, die CookieSentry bei Dritten in Anspruch nimmt, etwa Telekommunikations- oder Postdienstleistungen, sind keine Unterauftragsverarbeitung, solange dabei keine Kundendaten verarbeitet werden.

Angesichts der Art der Verarbeitung unterstützt CookieSentry den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten.

Kontoinhaber können die meisten Kundendaten im Dashboard selbst einsehen, berichtigen und löschen (Profil, Websites, Empfänger von Warnmeldungen, Löschung des Kontos). Reicht das nicht aus, hilft CookieSentry auf Anfrage.

Wendet sich eine betroffene Person wegen Kundendaten direkt an CookieSentry, leitet CookieSentry die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nur auf Weisung des Kunden.

CookieSentry meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich, spätestens jedoch 48 Stunden, nachdem ihm die Verletzung bekannt geworden ist. Die Meldung geht an die E-Mail-Adresse des Kontos.

Die Meldung enthält, soweit bekannt:

1. eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
2. die wahrscheinlichen Folgen der Verletzung;
3. die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen;
4. eine Anlaufstelle für weitere Informationen.

Noch nicht verfügbare Informationen werden nachgereicht, sobald sie vorliegen.

CookieSentry ergreift die erforderlichen Maßnahmen zur Sicherung der Kundendaten und zur Minderung möglicher nachteiliger Folgen und dokumentiert die Verletzung. Über die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen entscheidet der Kunde; CookieSentry nimmt sie nur auf Weisung des Kunden vor.

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt CookieSentry den Kunden bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation).

Für Unterstützungsleistungen, die über die Informationen in diesem AVV und seinen Anlagen hinausgehen, kann CookieSentry den Ersatz angemessener Kosten verlangen, es sei denn, die Unterstützung ist erforderlich, weil CookieSentry gegen diesen AVV verstoßen hat.

CookieSentry speichert Kundendaten in der EU (Frankfurt am Main, Deutschland). Hat ein Unterauftragsverarbeiter aus Anlage 3 seinen Sitz außerhalb der EU bzw. des EWR oder kann er von dort auf Daten zugreifen, nennt Anlage 3 den Übermittlungsmechanismus.

Kundendaten werden nur auf dokumentierte Weisung des Kunden (Abschnitt 3) in ein Land außerhalb der EU bzw. des EWR übermittelt, und nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind, zum Beispiel durch einen Angemessenheitsbeschluss oder die EU-Standardvertragsklauseln. Der Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter, einschließlich der dort beschriebenen Weiterübermittlungen, ist Teil dieser Weisungen.

Der Kunde kann einzelne Websites und sein gesamtes Konto jederzeit im Dashboard löschen. Mit der Löschung des Kontos werden das Konto, seine Websites, Scan-Ergebnisse und das Cookie-Inventar sofort aus der Produktivdatenbank entfernt.

Vor der Löschung kann der Kunde seine Berichte als PDF speichern. Auf Anfrage vor der Löschung des Kontos stellt CookieSentry die Kundendaten in einem gängigen maschinenlesbaren Format (JSON oder CSV) bereit.

Auf schriftliche Anfrage oder Anfrage in Textform löscht CookieSentry außerdem innerhalb von 30 Tagen die hochgeladene Logodatei, die E-Mail-Versandprotokolle und die Protokolleinträge, die sich auf den Kunden beziehen. Daten, die in Sicherungskopien eines Unterauftragsverarbeiters verbleiben, werden im regulären Sicherungszyklus dieses Unterauftragsverarbeiters gelöscht.

Darüber hinaus speichert CookieSentry nur Daten, zu deren Speicherung es nach dem Recht der Union oder der Mitgliedstaaten verpflichtet ist, etwa Rechnungen und Zahlungsbelege nach Steuerrecht (Abschnitt 3.4), sowie den Annahmenachweis dieses AVV als Nachweis der Vereinbarung.

Auf Anfrage bestätigt CookieSentry die Löschung in Textform.

CookieSentry stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diesen AVV mit Anlage 2 und Anlage 3, und beantwortet angemessene Fragen schriftlich (zum Beispiel einen Sicherheitsfragebogen).

Reichen die schriftlichen Informationen nicht aus, kann der Kunde Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten unabhängigen Prüfer durchführen. Überprüfungen sind mindestens 30 Tage vorher anzukündigen, finden zu den üblichen Geschäftszeiten statt, sind auf einmal pro Kalenderjahr beschränkt, sofern nicht eine Aufsichtsbehörde dies verlangt oder eine Verletzung des Schutzes personenbezogener Daten vorliegt, und dürfen den Betrieb des Dienstes nicht stören. Jede Partei trägt ihre eigenen Kosten.

Unterauftragsverarbeiter werden anhand der Informationen und Prüfberichte kontrolliert, die sie veröffentlichen oder bereitstellen, soweit ihre Bedingungen dies zulassen.

CookieSentry informiert den Kunden unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, die Kundendaten betreffen.

Die Haftung nach diesem AVV richtet sich nach dem Abschnitt „Limitation of Liability“ der Nutzungsbedingungen. Dies gilt nicht, soweit zwingendes Recht, insbesondere Art. 82 DSGVO, eine Beschränkung nicht zulässt.

Dieser AVV wird in elektronischem Format (Art. 28 Abs. 9 DSGVO) geschlossen, indem der Kunde ihn in den Kontoeinstellungen annimmt. Der Annahmenachweis (Unternehmen, annehmende Person, Fassung, Sprache, Datum und Uhrzeit) ist Bestandteil dieses AVV. CookieSentry stimmt diesem AVV zu, indem es ihn im Dienst anbietet.

Dieser AVV läuft so lange wie die Nutzungsbedingungen und endet mit ihnen. Bestimmungen, die ihrer Natur nach fortgelten sollen (Vertraulichkeit, Löschung, Nachweise), gelten fort, bis die Kundendaten gelöscht sind.

CookieSentry kann diesen AVV aktualisieren, zum Beispiel wegen Änderungen der Rechtslage oder des Dienstes. Eine neue Fassung wird mit neuer Versionsnummer veröffentlicht und in den Kontoeinstellungen angezeigt; sie gilt, sobald der Kunde sie annimmt. Bis dahin gilt die vom Kunden angenommene Fassung fort. Änderungen bei Unterauftragsverarbeitern richten sich nach Abschnitt 7.

Dieser AVV unterliegt dem Recht, das für die Nutzungsbedingungen gilt (Recht der Republik Litauen), unbeschadet der DSGVO. Zuständig sind die in den Nutzungsbedingungen genannten Gerichte.

Dieser AVV liegt in englischer und deutscher Sprache vor. Bei Abweichungen ist die englische Fassung maßgeblich.

Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt der übrige AVV wirksam. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Bestimmung, die dem Willen der Parteien und den Anforderungen des Art. 28 DSGVO am nächsten kommt.