Soweit affilinode im Auftrag seiner Kunden personenbezogene Daten verarbeitet, gilt dieser Vertrag nach Art. 28 DSGVO als Teil des Hauptvertrags.
1. Gegenstand und Dauer
Dieser Vertrag konkretisiert die Pflichten beider Seiten beim Datenschutz, soweit die Valitype UG (haftungsbeschränkt) („Auftragsverarbeiter“) für den Kunden („Verantwortlicher“) personenbezogene Daten verarbeitet. Er ist Teil des Hauptvertrags, den die Allgemeinen Geschäftsbedingungen regeln, und kommt mit dessen Abschluss zustande, ohne dass es einer gesonderten Unterschrift bedarf.
Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Besteht das Konto nach dem Ende eines bezahlten Tarifs in der Basis-Version weiter, gilt dieser Vertrag fort, solange wir Daten des Kunden verarbeiten.
2. Art und Zweck der Verarbeitung
Wir stellen dem Kunden Produktdaten, Preise und Auswertungen bereit und liefern sie über Plugin, Einbettung und API an seine Websites aus. Dabei verarbeiten wir Daten der Teammitglieder des Kunden, Berichte der Partnernetzwerke des Kunden und Server-Protokolle.
Der Zweck ist ausschließlich die Erbringung dieser Leistung für den Kunden.
3. Art der Daten und Betroffene
Verarbeitet werden Name, E-Mail-Adresse und Anmeldedaten der Teammitglieder, Protokolldaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung), Tracking-Kennungen und Berichte der Partnernetzwerke, soweit sie Personenbezug haben, sowie Inhalte, die der Kunde selbst einträgt. Bei optionalen Funktionen können Texte von Beiträgen hinzukommen, die der Kunde freigibt.
Betroffen sind die Teammitglieder des Kunden und, über Bildabrufe und die Einbettung, die Besucher der Websites des Kunden.
4. Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, die sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen im Dashboard ergibt. Hält ein Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Kunden darauf hin. Er darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
5. Pflichten des Auftragsverarbeiters
Wir verpflichten alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Wir unterstützen den Kunden bei der Beantwortung von Anfragen Betroffener und bei seinen Pflichten zur Sicherheit, zu Meldungen von Datenschutzverletzungen und zu Datenschutz-Folgenabschätzungen.
Bemerken wir eine Verletzung des Schutzes personenbezogener Daten, informieren wir den Kunden unverzüglich. Auf Verlangen stellen wir die Informationen bereit, die der Kunde braucht, um die Einhaltung dieses Vertrags nachzuweisen.
6. Technische und organisatorische Maßnahmen
Wir treffen angemessene Maßnahmen zum Schutz der Daten. Dazu gehören: Zwei-Faktor-Anmeldung für alle Mitglieder eines Kontos, rollenbasierte Rechte im Team, Trennung der Daten jedes Kontos in der Datenbank durch Row-Level-Security, Speicherung von Passwörtern nur als Hash, verschlüsselte Übertragung (TLS), signierte Webhooks, Einbettungsschlüssel mit Lesezugriff nur auf freigegebenen Domains und der Betrieb der Server in Deutschland.
Eine Beschreibung steht auch auf der Seite „Sicherheit“. Wir entwickeln die Maßnahmen weiter und ersetzen sie nur durch gleichwertige oder bessere.
7. Unterauftragsverhältnisse
Der Kunde genehmigt den Einsatz der Unterauftragnehmer, die auf der Seite „Unterauftragnehmer“ stehen. Wir verpflichten sie vertraglich auf dasselbe Schutzniveau wie in diesem Vertrag.
Wollen wir einen Unterauftragnehmer hinzufügen oder ersetzen, informieren wir den Kunden mindestens 30 Tage vorher per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund in dieser Zeit widersprechen; ohne Einigung können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
8. Kontrollrechte
Der Kunde kann sich von der Einhaltung dieses Vertrags überzeugen. Wir weisen sie durch Auskünfte und Unterlagen nach. Prüfungen vor Ort sind nach Anmeldung und während der üblichen Geschäftszeiten möglich; sie dürfen den Betrieb nicht unangemessen stören.
9. Löschung und Rückgabe
Der Kunde kann seine Daten jederzeit aus dem Dashboard exportieren. Endet ein bezahlter Tarif, läuft das Konto in der Basis-Version weiter und die Daten bleiben erhalten.
Auf Anforderung über den Support löschen wir die Daten des Kunden nach dem Export, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch bestätigen wir die Löschung.