Diese Datenverarbeitungsvereinbarung („DPA") ergänzt die Nutzungsbedingungen (die „Vereinbarung") zwischen Xevendra und einem Design-Partner oder Kunden („Kunde"), immer dann, wenn Xevendra personenbezogene Daten im Auftrag des Kunden im Zusammenhang mit der Xevendra-Plattform verarbeitet — zum Beispiel Daten von Umfrageteilnehmern, Verhaltensanalysedaten oder andere Endkundendaten, die der Kunde über die Plattform erfasst. Soweit diese DPA mit der Vereinbarung in Fragen der Datenverarbeitung in Konflikt steht, hat diese DPA Vorrang.
„Verantwortlicher", „Verarbeiter", „betroffene Person", „personenbezogene Daten", „Verarbeitung" und „Verletzung des Schutzes personenbezogener Daten" haben die in der DSGVO festgelegten Bedeutungen. „Kundendaten" bezeichnet personenbezogene Daten, die der Kunde oder seine autorisierten Nutzer der Xevendra-Plattform übermitteln oder über diese erfassen, im Rahmen der Bereitstellung der Plattform durch Xevendra an den Kunden. „Datenschutzrecht" bezeichnet die DSGVO und andere anwendbare Datenschutzgesetze. „Unterauftragsverarbeiter" bezeichnet einen Dritten, den Xevendra beauftragt, Kundendaten im Auftrag von Xevendra zu verarbeiten.
2.1 Rolle der Parteien. Im Verhältnis zwischen Xevendra und dem Kunden ist der Kunde der Verantwortliche für Kundendaten, und Xevendra verarbeitet Kundendaten nur als Verarbeiter im Auftrag des Kunden.
2.2 Verarbeitung durch Xevendra; kein Verkauf. Xevendra verarbeitet Kundendaten in Übereinstimmung mit dem Datenschutzrecht, verkauft keine Kundendaten und behält, nutzt oder offenbart Kundendaten nicht zu einem anderen Zweck als der Erbringung der in der Vereinbarung und dieser DPA beschriebenen Dienste.
2.3 Verarbeitung durch den Kunden. Der Kunde ist dafür verantwortlich, sicherzustellen, dass er eine Rechtsgrundlage für die Erfassung von Kundendaten und deren Verarbeitung durch Xevendra im Auftrag des Kunden hat, einschließlich der Einholung jeglicher nach dem Datenschutzrecht erforderlichen Einwilligungen von den Personen, die der Kunde über die Plattform befragt oder verfolgt.
2.4 Verarbeitungsanweisungen. Xevendra verarbeitet Kundendaten nur gemäß den dokumentierten Anweisungen des Kunden — wie in der Vereinbarung festgelegt und durch die Konfiguration und Nutzung der Plattform durch den Kunden widergespiegelt — sofern die Verarbeitung nicht gesetzlich vorgeschrieben ist; in diesem Fall wird Xevendra den Kunden vor der Verarbeitung über diese gesetzliche Anforderung informieren, sofern das Gesetz dies nicht verbietet.
2.5 Einzelheiten der Verarbeitung. Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und personenbezogener Daten sind in Anhang A festgelegt.
2.6 Verbotene Daten. Der Kunde wird die Plattform nicht so konfigurieren, dass sie Zahlungskartendaten, Bankkonto- oder Transaktionsdaten, amtliche Identifikations- oder Passnummern oder besondere Kategorien personenbezogener Daten (Daten, die die rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Daten, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung offenbaren) erfasst oder direkt übermittelt. Tut der Kunde dies trotzdem, ist Xevendra nicht verantwortlich für eine daraus entstehende Haftung im Zusammenhang mit der Verarbeitung dieser Daten.
3.1 Autorisierte Unterauftragsverarbeiter. Der Kunde ermächtigt Xevendra, Unterauftragsverarbeiter mit der Verarbeitung von Kundendaten zu beauftragen, sofern Xevendra jedem Unterauftragsverarbeiter Datenschutzpflichten auferlegt, die mit dieser DPA übereinstimmen. Xevendra bleibt für die Leistung jedes Unterauftragsverarbeiters im gleichen Maße verantwortlich wie für seine eigene.
3.2 Aktuelle Unterauftragsverarbeiter: Microsoft Azure (Hosting-Infrastruktur, Frankfurt, Deutschland). Diese Liste wird bei Änderungen der Infrastruktur aktuell gehalten.
3.3 Änderungen; Widerspruch. Xevendra wird den Kunden angemessen im Voraus über jeden neuen Unterauftragsverarbeiter informieren. Der Kunde kann innerhalb von 10 Tagen nach der Mitteilung aus angemessenen datenschutzrechtlichen Gründen widersprechen; die Parteien werden den Widerspruch in gutem Glauben erörtern.
4.1 Sicherheitsmaßnahmen. Xevendra wird angemessene technische und organisatorische Maßnahmen zum Schutz der Kundendaten umsetzen und aufrechterhalten, wie in Anhang B beschrieben.
4.2 Vertraulichkeit der Verarbeitung. Xevendra stellt sicher, dass Personal, das zur Verarbeitung von Kundendaten berechtigt ist, vertraglichen oder gesetzlichen Vertraulichkeitspflichten unterliegt.
4.3 Benachrichtigung bei Verletzungen. Xevendra wird den Kunden unverzüglich — und in jedem Fall innerhalb von 72 Stunden nach Kenntniserlangung — über jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, informieren und zumutbar verfügbare Informationen bereitstellen, um dem Kunden bei der Erfüllung seiner eigenen Benachrichtigungspflichten zu helfen.
4.4 Verantwortlichkeiten des Kunden. Der Kunde ist für seine eigene sichere Nutzung der Plattform verantwortlich, einschließlich des Schutzes seiner Kontozugangsdaten und der Sicherheit der Kundendaten, bevor sie die Plattform erreichen.
Mit angemessener schriftlicher Vorankündigung und höchstens einmal in einem Zeitraum von 12 Monaten kann der Kunde Informationen anfordern, die zumutbar notwendig sind, um die Einhaltung dieser DPA durch Xevendra zu überprüfen, oder während der normalen Geschäftszeiten ein direktes Audit durchführen, ohne den Betrieb von Xevendra unangemessen zu stören. Der Kunde trägt die Kosten eines Audits, außer es deckt einen wesentlichen Verstoß durch Xevendra auf; in diesem Fall trägt Xevendra seine eigenen Kosten.
Kundendaten werden bei Microsoft Azure in Frankfurt, Deutschland, innerhalb des Europäischen Wirtschaftsraums gehostet. Sollten Kundendaten trotzdem außerhalb des EWR übermittelt werden — zum Beispiel durch einen Unterauftragsverarbeiter —, werden sich die Parteien auf einen geeigneten Übermittlungsmechanismus verlassen, wie die Standardvertragsklauseln der Europäischen Kommission, die durch Verweis in diese DPA einbezogen werden, soweit dies nach dem Datenschutzrecht erforderlich ist.
Am Ende der Beziehung wird Xevendra, nach Wahl des Kunden, Kundendaten zum Export bereitstellen und alle verbleibenden Kundendaten innerhalb von 30 Tagen löschen — sofern das anwendbare Recht keine weitere Aufbewahrung vorschreibt.
Xevendra wird den Kunden angemessen bei der Beantwortung von Anfragen betroffener Personen unterstützen, die ihre Rechte nach dem Datenschutzrecht ausüben, sowie bei jeder Datenschutz-Folgenabschätzung, die der Kunde im Zusammenhang mit der Plattform durchführen muss. Erhält Xevendra eine Anfrage direkt von einer betroffenen Person, wird Xevendra nicht selbst darauf antworten, sondern sie unverzüglich an den Kunden weiterleiten.
9.1 Mit Ausnahme der durch diese DPA vorgenommenen Änderungen bleibt die Vereinbarung unverändert und in vollem Umfang in Kraft. Bei einem Konflikt zwischen dieser DPA und der Vereinbarung in Fragen der Datenverarbeitung hat diese DPA Vorrang.
9.2 Die Haftung jeder Partei im Rahmen dieser DPA unterliegt der in der Vereinbarung festgelegten Haftungsbeschränkung.
9.3 Diese DPA bleibt in Kraft, solange Xevendra Kundendaten im Auftrag des Kunden verarbeitet, und endet automatisch mit der Vereinbarung.
9.4 Diese DPA unterliegt dem Recht der Bundesrepublik Deutschland, in Übereinstimmung mit der Vereinbarung.
Datenexporteur: Kunde, wie in der Vereinbarung festgelegt. Rolle: Verantwortlicher.
Datenimporteur: Xevendra UG (haftungsbeschränkt), Fromet-und-Moses-Mendelssohn-Platz 3, 10969 Berlin, Deutschland. Kontakt: privacy@xevendra.com. Rolle: Verarbeiter.
Kategorien betroffener Personen: Die eigenen Kunden des Kunden, Umfrageteilnehmer, Websitebesucher und Endnutzer, die über die Xevendra-Plattform mit den Eigenschaften des Kunden interagieren; sowie Mitarbeiter oder Kontakte des Kunden, die auf die Plattform zugreifen.
Kategorien personenbezogener Daten: Bestimmt durch die Konfiguration und Nutzung der Plattform durch den Kunden. Umfasst typischerweise Identifikations- und Kontaktdaten (Name, E-Mail), Umfrage- und Feedback-Antworten, Verhaltens- und Nutzungsdaten (besuchte Seiten, Interaktionen, Geräte-/Browserinformationen) und alle anderen Daten, die der Kunde über die Plattform zu erfassen wählt.
Sensible Daten: Keine — siehe die Einschränkung zu verbotenen Daten in Abschnitt 2.6.
Häufigkeit der Übermittlung: Fortlaufend, für die Dauer der Vereinbarung.
Art und Zweck der Verarbeitung: Erfassung, Speicherung, Analyse und Aktionsmanagement von Kundendaten, um dem Kunden die Xevendra-Plattform gemäß den Anweisungen des Kunden bereitzustellen.
Dauer: Für die Laufzeit der Vereinbarung, danach wie in Abschnitt 7 festgelegt.