Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung („AVV“) ist Bestandteil der Vereinbarung zwischen Ihnen (dem „Verantwortlichen“) und ROASSensor (dem „Auftragsverarbeiter“) über die Nutzung des Dienstes. Er gilt überall dort, wo wir personenbezogene Daten in Ihrem Auftrag verarbeiten, und tritt automatisch in Kraft, sobald Sie eine Datenquelle anbinden – eine Unterzeichnung ist nicht erforderlich.

Hier nicht definierte Begriffe haben die Bedeutung, die ihnen in unseren Nutzungsbedingungen und in unserer Datenschutzerklärung zukommt. Soweit dieser AVV in Fragen der Datenverarbeitung von jenen Dokumenten abweicht, geht dieser AVV vor.

Sie sind der Verantwortliche: Sie entscheiden, welche Werbenetzwerke und Umsatzquellen zu welchem Zweck angebunden werden. Wir sind der Auftragsverarbeiter: Wir handeln ausschließlich nach Ihren dokumentierten Weisungen, und die Anbindung einer Quelle in Ihrem Workspace stellt eine solche Weisung dar.

Für unsere eigenen geschäftlichen Aufzeichnungen – Ihr Konto, die Abrechnung und den Supportverlauf – handeln wir als eigenständiger Verantwortlicher; diese Verarbeitung ist in der Datenschutzerklärung beschrieben und nicht hier.

Wir verarbeiten personenbezogene Daten zur Erbringung des Dienstes: Synchronisation von Werbeausgaben und Umsätzen aus den von Ihnen freigegebenen Plattformen, Abgleich beider Größen, Zuordnung von Umsätzen zu Kampagnen und Creatives sowie Darstellung des Ergebnisses in Ihrem Dashboard.

Die Verarbeitung dauert an, solange Ihr Konto aktiv ist. Trennen Sie eine Quelle, löschen Sie Ihr Konto oder endet der Vertrag, gelten die nachstehenden Regelungen zu Aufbewahrung und Löschung.

Die personenbezogenen Daten, die wir in Ihrem Auftrag verarbeiten, beschränken sich auf das, was der Dienst zur Berechnung der Attribution benötigt. Je nach den von Ihnen angebundenen Quellen kann dies umfassen:

• Pseudonyme Kennungen – Besucher-IDs, Klick-IDs, Sitzungs-IDs sowie Geräte- oder App-Kennungen, die durch das Tracking-Snippet oder das SDK erhoben werden.
• Gehashte Kontaktkennungen – E-Mail-Adressen und Telefonnummern werden normalisiert und gehasht, bevor sie in unsere Tracking-Tabellen gelangen; wir speichern sie nicht im Klartext.
• Technische Daten – IP-Adresse, User-Agent, Referrer sowie aufgerufene Seite oder aufgerufener Screen.
• Transaktionsdaten – Bestellkennungen, Beträge, Währung und Erstattungsstatus, die wir von Ihrem Zahlungsdienstleister erhalten oder die Ihr Server meldet.

Betroffene Personen sind die Besucher, App-Nutzer und Kunden des Verantwortlichen. Wir verarbeiten wissentlich keine besonderen Kategorien personenbezogener Daten; der Dienst darf nicht dazu genutzt werden, uns solche zu übermitteln.

Wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierten Weisungen hin, einschließlich in Bezug auf Drittlandsübermittlungen, es sei denn, wir sind gesetzlich zu etwas anderem verpflichtet – in diesem Fall informieren wir Sie vor der Verarbeitung, sofern das betreffende Recht dies nicht untersagt.

Wir stellen sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind, und beschränken den Zugriff auf diejenigen, die ihn für den Betrieb oder den Support des Dienstes benötigen.

Wir verkaufen keine personenbezogenen Daten und nutzen die in Ihrem Auftrag verarbeiteten Daten nicht dazu, Produkte für Dritte zu entwickeln oder zu verbessern. Die einzige Ausnahme sind aggregierte, anonymisierte Statistiken, die sich nach vernünftigem Ermessen weder Ihnen noch einer betroffenen Person zuordnen lassen.

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen, darunter Verschlüsselung bei der Übertragung und im Ruhezustand für sensible Felder, eng abgegrenzte und widerrufbare Zugriffstoken für angebundene Plattformen, rollenbasierte Zugriffssteuerung innerhalb eines Workspace sowie intern das Prinzip der geringstmöglichen Rechte.

Zugriffstoken für angebundene Quellen werden verschlüsselt gespeichert und ausschließlich lesend verwendet: Wir veröffentlichen nichts in Ihren angebundenen Konten und verändern dort nichts.

Sie erteilen uns die allgemeine Genehmigung, zur Erbringung des Dienstes Unterauftragsverarbeiter einzusetzen – beispielsweise für Cloud-Hosting, E-Mail-Versand, Fehlerüberwachung und Zahlungsabwicklung.

Jeder Unterauftragsverarbeiter wird schriftlich zu Datenschutzpflichten verpflichtet, die denen dieses AVV mindestens gleichwertig sind; für dessen Leistung bleiben wir Ihnen gegenüber verantwortlich. Wir informieren Sie über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, und Sie können aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben.

Wir können personenbezogene Daten in anderen Ländern als Ihrem eigenen verarbeiten und speichern. Soweit wir personenbezogene Daten aus dem EWR, dem Vereinigten Königreich oder der Schweiz in ein Land ohne Angemessenheitsbeschluss übermitteln, stützen wir uns auf geeignete Garantien wie die Standardvertragsklauseln, gegebenenfalls ergänzt um zusätzliche für die Übermittlung erforderliche Maßnahmen.

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen, die ihr Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch geltend machen.

Wendet sich eine betroffene Person unmittelbar an uns wegen Daten, die wir in Ihrem Auftrag verarbeiten, antworten wir nicht in der Sache – wir verweisen sie an Sie und informieren Sie unverzüglich.

Die Löschung für eine einzelne Person kann jederzeit beantragt werden und ist auf unserer Seite Datenlöschung beschrieben.

Wir benachrichtigen Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die in Ihrem Auftrag verarbeitete personenbezogene Daten betrifft, und stellen Ihnen die Informationen bereit, die Sie zur Erfüllung Ihrer eigenen Meldepflichten billigerweise benötigen.

Die Benachrichtigung stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

Wir stellen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV billigerweise erforderlich sind, und ermöglichen sowie unterstützen Überprüfungen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden.

Damit Überprüfungen verhältnismäßig bleiben, können wir ein Verlangen durch Vorlage vorhandener Dokumentation oder Berichte Dritter erfüllen, soweit diese es angemessen beantworten. Überprüfungen erfolgen auf Ihre Kosten, zu den üblichen Geschäftszeiten, unter Wahrung der Vertraulichkeit und höchstens einmal jährlich, sofern nicht eine Aufsichtsbehörde etwas anderes verlangt oder eine Verletzung des Datenschutzes vorausgegangen ist.

Beim Trennen einer Quelle wird das für sie gespeicherte Zugriffstoken gelöscht, die weitere Synchronisation beendet und die aus ihr synchronisierten Kennzahlen werden entfernt. Beim Löschen Ihres Kontos werden Ihr Profil, sämtliche angebundenen Quellen samt Token sowie Ihre synchronisierten Kennzahlen entfernt.

Bei Vertragsende löschen wir die in Ihrem Auftrag verarbeiteten personenbezogenen Daten oder geben sie zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Restkopien können kurzzeitig in verschlüsselten Sicherungen fortbestehen und werden im Zuge unserer üblichen Backup-Rotation überschrieben.

Die Haftung jeder Partei aus diesem AVV unterliegt den Haftungsbeschränkungen und Haftungsausschlüssen der Nutzungsbedingungen.

Fragen zu diesem AVV oder der Wunsch nach einem gegengezeichneten Exemplar für Ihre Unterlagen? Schreiben Sie uns an [email protected] – wir helfen Ihnen gern.