1. Parteien
Diese Vereinbarung wird zwischen Kwamle Media (dem „Auftragsverarbeiter“) und dem Kunden (dem „Verantwortlichen“) geschlossen, der die Plattform kwamlemedia.com / app.kwamlemedia.com nutzt.
2. Definitionen
- „Personenbezogene Daten“: alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen.
- „Verarbeitung“: jeder mit personenbezogenen Daten durchgeführte Vorgang (Erhebung, Speicherung, Nutzung, Übermittlung, Löschung).
- „DSGVO“: die Datenschutz-Grundverordnung der EU (Verordnung 2016/679).
- „CCPA“: der California Consumer Privacy Act.
- „Unterauftragsverarbeiter“: jeder Dritte, der Daten im Auftrag von Kwamle verarbeitet.
3. Umfang der Verarbeitung
Kwamle verarbeitet personenbezogene Daten zu folgenden Zwecken:
- Betrieb von Marketing-Automatisierungsdiensten und intelligenten Bots.
- Verwaltung von Meta-Seiten und -Konten sowie Interaktion mit dem Publikum des Kunden.
- Erstellung von Analysen und Statistiken.
- Ausführen von KI-Aufrufen gemäß den Einstellungen des Kunden.
Zu den Daten gehören: Namen, Telefonnummern, E-Mail-Adressen, Facebook-/Instagram-Kennungen, Nachrichteninhalte und Kommentare.
4. Pflichten von Kwamle als Auftragsverarbeiter
- Daten ausschließlich auf dokumentierte Anweisung des Kunden zu verarbeiten.
- Die Vertraulichkeit der Daten bei allen Mitarbeitern mit Zugriff sicherzustellen.
- Geeignete Sicherheitsmaßnahmen anzuwenden (Artikel 32 DSGVO).
- Den Kunden bei der Beantwortung von Anfragen betroffener Personen zu unterstützen.
- Den Kunden über jede Datenschutzverletzung innerhalb von 72 Stunden zu informieren.
- Keinen Unterauftragsverarbeiter ohne Zustimmung des Kunden zu beauftragen.
- Die Daten des Kunden zu löschen oder zurückzugeben, wenn der Dienst endet.
5. Sicherheitsmaßnahmen
- Verschlüsselung der Daten bei der Übertragung (TLS) und im Ruhezustand.
- Rollenbasierte Zugriffskontrolle (RBAC) und das Prinzip der geringsten Rechte.
- Audit-Protokolle über Zugriffe auf Kundendaten.
- Regelmäßige Schwachstellen-Scans und Sicherheitstests.
- Zwei-Faktor-Authentifizierung für Mitarbeiter auf Produktivsystemen.
- Verschlüsselte Backups, getrennt von den Produktionssystemen gespeichert.
- Ein Schwachstellenmanagement-Programm sowie sofortige Sicherheitsupdates.
6. Unterauftragsverarbeiter
Wir setzen die folgenden Kategorien von Unterauftragsverarbeitern ein. Die aktuelle namentliche Liste mit dem Standort jedes Anbieters wird Kunden vor Vertragsabschluss mitgeteilt und ist auf Anfrage erhältlich; über Änderungen werden Kunden benachrichtigt.
| Kategorie | Zweck | Hinweise |
|---|---|---|
| Hosting und Infrastruktur | Server, Datenbanken, Speicher und Backups | In der aktuellen Liste benannt |
| Content-Auslieferung und Netzwerkschutz | CDN, DNS und DDoS-Schutz | Globales Edge-Netzwerk |
| Anbieter von KI-Modellen | KI-Funktionen mit den eigenen API-Schlüsseln des Kunden | Vom Kunden ausgewählt und aktiviert |
| Zahlungsdienstleister | Abrechnung der Abonnements | Kartendaten erreichen nie unsere Server |
| E-Mail-Versand | Transaktions-E-Mails (Benachrichtigungen, Rechnungen) | In der aktuellen Liste benannt |
Der Kunde kann der Hinzufügung eines neuen Unterauftragsverarbeiters innerhalb von 30 Tagen nach der Benachrichtigung widersprechen.
7. Internationale Datenübermittlungen
Bei der Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums stützen wir uns auf:
- Die neuen Standardvertragsklauseln (SCCs 2021).
- Angemessenheitsbeschlüsse für von der Europäischen Kommission genehmigte Länder.
- Eine Transfer-Folgenabschätzung, wo sie erforderlich ist.
8. Datenschutzverletzungen
Wenn eine Verletzung festgestellt wird:
- Den Kunden innerhalb von 72 Stunden mit den Details des Vorfalls zu benachrichtigen.
- Einen umfassenden Bericht über Ursache, Umfang und ergriffene Maßnahmen bereitzustellen.
- Bei der Reaktion und der Meldung an die Aufsichtsbehörden uneingeschränkt zu kooperieren.
9. Auditrecht
Der Kunde hat das Recht:
- Eine Beschreibung unserer technischen und organisatorischen Sicherheitsmaßnahmen anzufordern.
- Einmal jährlich ein Audit mit einer Vorankündigung von 30 Tagen auf eigene Kosten durchzuführen.
- Antworten auf angemessene Sicherheitsfragebögen zu erhalten.
10. Datenlöschung bei Beendigung des Dienstes
- Nach Beendigung der Vereinbarung löscht Kwamle alle personenbezogenen Daten innerhalb von 90 Tagen.
- Abrechnungsunterlagen werden 7 Jahre lang aufbewahrt (eine buchhalterische Anforderung).
- Auf Anfrage erhält der Kunde vor der Löschung eine Kopie seiner Daten im JSON-/CSV-Format.
Bereit zu unterschreiben?
Kontaktiere unser Rechtsteam, um einen unterzeichneten AVV für deine Organisation zu erhalten.