Zum Hauptinhalt springen

Auftragsverarbeitungsvertrag

Dies ist eine Übersetzung, die Ihnen zur Erleichterung bereitgestellt wird. Maßgeblich ist die französische Fassung; bei Abweichungen geht sie vor. Französische Fassung lesen

Dieser Auftragsverarbeitungsvertrag (der „AVV“) ergänzt die Allgemeinen Geschäftsbedingungen und ist fester Bestandteil davon. Er gilt automatisch, sobald Sie Swimlane nutzen, ohne gesonderte Unterzeichnung. Er wird geschlossen zwischen:

  • dem Kunden, der als Verantwortlicher handelt („Sie“);
  • der Berenger.dev SRL, Rue Sainte Anne, Termes 8, 6813 Chiny, Belgien, Unternehmensnummer 0787.693.448, die als Auftragsverarbeiter handelt („wir“).

Die in den Allgemeinen Geschäftsbedingungen und in der Verordnung (EU) 2016/679 („DSGVO“) definierten Begriffe haben hier dieselbe Bedeutung. Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen in Bezug auf den Datenschutz hat dieser AVV Vorrang.

1. Gegenstand und Rollenverteilung

Sie entscheiden, wen Sie zu Akquisezwecken ansprechen, welche Daten Sie importieren, welche Nachrichten Sie versenden und welche Automatisierungen Sie konfigurieren: Sie legen die Zwecke und die wesentlichen Mittel der Verarbeitung der Kundendaten fest und sind dafür verantwortlich. Wir verarbeiten diese Daten ausschließlich, um Ihnen den Dienst bereitzustellen, und zwar gemäß Ihren Weisungen.

Dieser AVV erfasst nicht die Daten, die wir als Verantwortlicher verarbeiten (Ihr Konto, die Abrechnung, die Sicherheit, die Nutzungsstatistiken) und die in der Datenschutzerklärung beschrieben sind.

2. Beschreibung der Verarbeitung

  • Art und Zwecke: Erhebung von LinkedIn auf Ihre Weisung, Speicherung, Organisation, Anreicherung, Analyse (einschließlich durch künstliche Intelligenz), Abfrage, Versand von Nachrichten und Aktionen auf LinkedIn, Nachverfolgung der Interaktionen, Export und Löschung, ausschließlich zum Zweck der Bereitstellung des Dienstes.
  • Dauer: die Laufzeit des Vertrags und danach bis zur Löschung der Daten gemäß Artikel 9.
  • Betroffene Personen: Ihre Interessenten, Kontakte und LinkedIn-Verbindungen; die Personen, mit denen Sie Nachrichten austauschen; die Personen, die Ihr Profil aufrufen, mit Beiträgen interagieren oder Ihnen Einladungen senden; die Mitglieder Ihrer Organisation.
  • Datenkategorien: Identität und auf LinkedIn veröffentlichte berufliche Informationen (Name, Foto, Titel, Position, Unternehmen, Branche, Standort, Biografie, LinkedIn-URL und LinkedIn-Kennungen); Beziehung zu Ihnen (Verbindungsgrad, Einladungen, Möglichkeit, eine Nachricht zu senden); Inhalt der Konversationen und Nachrichten; Interaktionen (Profilbesuche, „Gefällt mir“-Angaben, Antworten, Klicks auf nachverfolgte Links, ohne IP-Adresse); von Ihnen erstellte Daten (Notizen, Tags, Listen, Pipeline-Phasen, Erinnerungen); abgeleitete Daten (Engagement-Scores, Übereinstimmung mit dem idealen Kundenprofil, durch künstliche Intelligenz erzeugte Analysen und Vorschläge, geschätzte Sprache).
  • Besondere Kategorien: Der Dienst ist nicht dazu bestimmt, besondere Kategorien von Daten (Artikel 9 DSGVO) oder Daten über strafrechtliche Verurteilungen zu verarbeiten. Sie verpflichten sich, solche Daten nicht absichtlich zu importieren.

3. Ihre Weisungen

Wir verarbeiten die Kundendaten auf Ihre dokumentierten Weisungen. Diese bestehen aus den Allgemeinen Geschäftsbedingungen, diesem AVV und der Nutzung, die Sie von den Funktionen und Einstellungen des Dienstes machen. Jede zusätzliche Weisung muss schriftlich erteilt werden und mit dem Dienst vereinbar sein.

Verstößt eine Weisung unseres Erachtens gegen die DSGVO oder eine andere Datenschutzvorschrift, informieren wir Sie unverzüglich. Sind wir gesetzlich zu einer Verarbeitung verpflichtet, informieren wir Sie vor der Verarbeitung darüber, sofern das Gesetz dies nicht verbietet.

Wir können die Kundendaten verwenden, um aggregierte und anonymisierte Statistiken zu erstellen, mit denen wir den Dienst verbessern. Diese Statistiken machen weder Sie noch Ihre Mitglieder oder die betroffenen Personen identifizierbar und werden niemals mit einem anderen Kunden geteilt. Wir verwenden die Kundendaten eines Kunden nicht für einen anderen Kunden und nicht zum Training von Modellen künstlicher Intelligenz.

4. Ihre Pflichten

Sie gewährleisten, dass die Verarbeitung der Kundendaten, die Sie uns anvertrauen, rechtmäßig ist. Sie sind insbesondere verpflichtet,

  • für jede Verarbeitung, insbesondere für die Akquise, über eine Rechtsgrundlage zu verfügen;
  • die betroffenen Personen gemäß Artikel 14 DSGVO spätestens bei Ihrer ersten Kommunikation mit ihnen zu informieren und dabei insbesondere die Quelle der Daten anzugeben;
  • ihre Rechte zu wahren, insbesondere ihr Recht, der Akquise zu widersprechen;
  • die für kommerzielle Kommunikation geltenden Vorschriften und die Nutzungsbedingungen der von Ihnen genutzten Plattformen einzuhalten.

5. Vertraulichkeit

Nur die Personen, die dies zur Bereitstellung, Wartung oder Sicherung des Dienstes benötigen, haben Zugriff auf die Kundendaten. Sie sind zur Vertraulichkeit verpflichtet.

6. Sicherheit

Wir treffen die im Anhang beschriebenen geeigneten technischen und organisatorischen Maßnahmen, die wir weiterentwickeln können, ohne ihr Gesamtschutzniveau zu senken.

7. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung, die Unterauftragsverarbeiter in Anspruch zu nehmen, die auf der Seite Unterauftragsverarbeiter aufgeführt sind; diese Seite gibt für jeden von ihnen den Zweck, den Standort und den anwendbaren Übermittlungsmechanismus an.

  • Wir erlegen jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, und bleiben Ihnen gegenüber für deren Erfüllung verantwortlich.
  • Wir informieren Sie per E-Mail mindestens 30 Tage bevor wir einen Unterauftragsverarbeiter hinzuziehen oder ersetzen. Sie können dem innerhalb dieser Frist aus einem angemessenen, datenschutzbezogenen Grund widersprechen, indem Sie an hello@getswimlane.com schreiben. Können wir Ihrem Einwand nicht Rechnung tragen, können Sie vor dem Wirksamwerden der Änderung kostenfrei kündigen; der nicht genutzte Teil des bezahlten Zeitraums eines Abonnements wird Ihnen erstattet.

LinkedIn ist nicht unser Unterauftragsverarbeiter: LinkedIn ist die Plattform, mit der wir auf Ihr Verlangen in Ihrem Auftrag interagieren, nach deren eigenen Nutzungsbedingungen.

8. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Die Kundendaten werden in der Europäischen Union gehostet. Bestimmte Unterauftragsverarbeiter können aus einem Drittland darauf zugreifen oder dem Recht eines Drittlands unterliegen. Jede Übermittlung ist durch einen Angemessenheitsbeschluss der Europäischen Kommission abgesichert, insbesondere den EU-US-Datenschutzrahmen für zertifizierte Unternehmen, oder durch die von der Kommission erlassenen Standardvertragsklauseln, erforderlichenfalls ergänzt durch zusätzliche Maßnahmen.

9. Ende der Verarbeitung

Die Kundendaten werden gelöscht:

  • wenn Sie einen Kontakt im Dienst löschen, sofort; die anderen Elemente, die Sie löschen (Listen, Kampagnen, Zielgruppen, Tags …), verschwinden sofort aus dem Dienst und werden 30 Tage später oder, bei Listen, bei der Löschung der Organisation aus unserer Datenbank gelöscht;
  • wenn Sie Ihr Konto oder Ihre Organisation löschen;
  • wenn eine Organisation seit mehr als 12 Monaten deaktiviert ist, nach einer mindestens 30 Tage vorher versandten Warnung;
  • nach Abschluss des in Artikel 16 der Allgemeinen Geschäftsbedingungen vorgesehenen Verfahrens für den Anbieterwechsel, nach dem Abrufzeitraum;
  • wenn wir den Betrieb von Swimlane einstellen, nach Ablauf der in Artikel 10 der Allgemeinen Geschäftsbedingungen vorgesehenen Vorankündigungsfrist.

Vor der Löschung können Sie Ihre Daten wie in Artikel 16 der Allgemeinen Geschäftsbedingungen angegeben abrufen. Sicherungskopien werden im Zuge ihrer Rotation gelöscht, spätestens 14 Tage nach der Löschung. Über diese Fristen hinaus bewahren wir keine Kundendaten auf, es sei denn, wir sind gesetzlich dazu verpflichtet.

10. Unterstützung

  • Rechte der betroffenen Personen. Der Dienst ermöglicht es Ihnen, die Daten einer Person einzusehen, zu berichtigen, zu exportieren und zu löschen. Wendet sich eine betroffene Person bezüglich der Kundendaten direkt an uns, leiten wir Ihnen ihren Antrag unverzüglich weiter und antworten ihr ohne Ihre Weisung nicht in der Sache, außer um sie darauf hinzuweisen, dass sie sich an Sie wenden soll.
  • Sicherheit, Datenschutz-Folgenabschätzungen und vorherige Konsultation. Wir stellen Ihnen die uns vorliegenden Informationen zur Verfügung, die Sie vernünftigerweise benötigen, um die Artikel 32 bis 36 DSGVO einzuhalten.

11. Verletzungen des Schutzes personenbezogener Daten

Wir melden Ihnen jede Verletzung des Schutzes personenbezogener Daten, die die Kundendaten betrifft, unverzüglich und spätestens 48 Stunden, nachdem sie uns bekannt geworden ist. Die Meldung beschreibt, soweit möglich, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, ihre wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Wir ergänzen diese Informationen fortlaufend.

12. Audit

Wir stellen Ihnen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV nachzuweisen. Reichen diese Informationen nicht aus, können Sie einmal jährlich und mit einer Vorankündigungsfrist von 30 Tagen auf Ihre Kosten ein Audit durchführen lassen, und zwar durch sich selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer, ohne den Dienst zu beeinträchtigen oder auf die Daten anderer Kunden zuzugreifen. Ein zusätzliches Audit ist nach einer Sie betreffenden Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde möglich.

13. Haftung und Laufzeit

Die Haftung jeder Partei aus diesem AVV richtet sich nach den Regeln der Allgemeinen Geschäftsbedingungen, unbeschadet der Rechte der betroffenen Personen nach Artikel 82 DSGVO. Dieser AVV gilt, solange wir Kundendaten in Ihrem Auftrag verarbeiten.

Anhang — Technische und organisatorische Maßnahmen

  • Hosting: Anwendungs- und Datenbankserver in Frankreich; Dateien in den Niederlanden gespeichert.
  • Verschlüsselung bei der Übertragung: Die gesamte Kommunikation mit dem Dienst und mit LinkedIn erfolgt über verschlüsselte Verbindungen (TLS).
  • Verschlüsselung der LinkedIn-Zugänge im Ruhezustand: Die Sitzungscookies und die E-Mail-Adresse Ihres LinkedIn-Kontos werden verschlüsselt (AES-256-GCM). Ihr LinkedIn-Passwort wird nicht gespeichert, und das Speichern von Passwörtern ist in den von uns ausgeführten Browsern deaktiviert. Unsere Server müssen die Sitzung entschlüsseln können, um in Ihrem Namen zu handeln: Der Schlüssel wird getrennt von der Datenbank in der Konfiguration der Server aufbewahrt.
  • Passwörter für den Dienst: gehasht gespeichert.
  • Trennung: Die Kundendaten sind einer Organisation zugeordnet und nur deren Mitgliedern zugänglich; die technischen Caches in Bezug auf LinkedIn sind für jedes verbundene Konto gesondert.
  • Zugriffskontrolle: Zugriff auf die Produktionsumgebung beschränkt auf die Personen, die ihn benötigen, mit individuellen Zugangsdaten; das interne Statistik-Tool liest ausschließlich eingeschränkte Ansichten, ohne Zugriff auf Anmeldedaten oder LinkedIn-Sitzungen.
  • Datenminimierung: keine Speicherung der IP-Adresse bei Klicks auf nachverfolgte Links; technische Protokolle der Aufrufe an LinkedIn werden 7 Tage aufbewahrt; sonstige technische Protokolle höchstens 12 Monate.
  • Sicherungen: tägliche Sicherung der Datenbank, 14 Tage aufbewahrt.
  • Begrenzung der Aktionen: tägliche Obergrenzen, zufällige zeitliche Abstände und Zeitfenster für die auf LinkedIn ausgeführten Aktionen.
  • Vorfälle: Anwendungsfehler werden automatisch gemeldet; jede Verletzung des Schutzes personenbezogener Daten wird gemäß Artikel 11 behandelt und gemeldet.