Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (der „DPA“) wird geschlossen zwischen BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India („LumaKol“, „wir“) und dem Kunden, der die Nutzungsbedingungen von LumaKol akzeptiert hat (der „Kunde“, „Sie“).

Dieser DPA ist Bestandteil der Nutzungsbedingungen für jeden Kunden und gilt immer dann, wenn LumaKol personenbezogene Daten im Auftrag des Kunden verarbeitet – nach dem indischen Digital Personal Data Protection Act, 2023, der DSGVO, der UK GDPR oder einem anderen Datenschutzgesetz. Er gilt automatisch; Sie müssen ihn nicht unterzeichnen.

Wünscht ein Kunde eine gegengezeichnete Ausfertigung für seine Unterlagen, kann er sie unter [email protected] anfordern. Widersprechen sich dieser DPA und die Nutzungsbedingungen beim Schutz personenbezogener Daten, hat dieser DPA Vorrang.

• „Datenschutzrecht“ bezeichnet jedes Datenschutzgesetz, das auf die Verarbeitung anwendbar ist, einschließlich des indischen Digital Personal Data Protection Act, 2023 und der darauf beruhenden Regeln (der „DPDP Act“), der EU-Datenschutz-Grundverordnung 2016/679 (DSGVO), der UK GDPR und des UK Data Protection Act 2018 sowie des California Consumer Privacy Act in seiner geänderten Fassung (der „CCPA“).
• „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die LumaKol im Auftrag des Kunden verarbeitet, um den Dienst zu erbringen.
• „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Verarbeitung“ haben die Bedeutung, die ihnen das Datenschutzrecht gibt. Wo der DPDP Act gilt, bedeutet „Verantwortlicher“ Data Fiduciary, „Auftragsverarbeiter“ Data Processor und „betroffene Person“ Data Principal.
• „Unterauftragsverarbeiter“ bezeichnet einen Dritten, den LumaKol mit der Verarbeitung personenbezogener Kundendaten beauftragt.
• „SCCs“ bezeichnet die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 genehmigten Standardvertragsklauseln, und das „UK Addendum“ bezeichnet das vom UK Information Commissioner herausgegebene International Data Transfer Addendum.

Andere definierte Begriffe haben die Bedeutung, die ihnen die Nutzungsbedingungen geben.

Der Kunde ist Verantwortlicher für die personenbezogenen Kundendaten, und LumaKol ist sein Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter für einen anderen Verantwortlichen, ist LumaKol sein Unterauftragsverarbeiter, und der Kunde ist dafür verantwortlich, die maßgeblichen Weisungen weiterzugeben.

Für die personenbezogenen Daten, die LumaKol zur Führung des Kundenkontos benötigt, etwa Nutzernamen, Anmeldedaten und Abrechnungsunterlagen, ist LumaKol eigenständiger Verantwortlicher. Diese Daten regelt die Datenschutzerklärung, nicht dieser DPA.

Wo der CCPA gilt, ist der Kunde ein „business“ und LumaKol sein „service provider“. LumaKol verkauft oder teilt personenbezogene Kundendaten nicht, bewahrt sie nicht auf, nutzt oder offenbart sie nicht zu einem anderen Zweck als der Erbringung des Dienstes oder außerhalb der direkten Geschäftsbeziehung mit dem Kunden und verknüpft sie nicht mit personenbezogenen Daten aus anderen Quellen, außer soweit der CCPA es erlaubt. LumaKol teilt dem Kunden mit, wenn LumaKol diese Pflichten nicht mehr erfüllen kann.

Der Kunde ist verantwortlich für eine Rechtsgrundlage der Verarbeitung (nach dem DPDP Act Einwilligung oder eine legitime Nutzung), für die Richtigkeit der personenbezogenen Kundendaten, für die gesetzlich vorgeschriebenen Hinweise an die Personen, die er kontaktiert, und für die eigene Einhaltung der Gesetze zu Werbeanrufen und Anrufaufzeichnung.

• Gegenstand: die Bereitstellung von LumaKol, einem Calling-CRM, in dem das Team des Kunden Leads verwaltet, Anrufe von den eigenen Mobiltelefonen tätigt und das Ergebnis jedes Anrufs erfasst.
• Dauer: solange der Kunde den Dienst nutzt, und danach bis zur Löschung der Daten gemäß „Löschung und Rückgabe“.
• Art: Erhebung, Speicherung, Organisation, Abruf, Anzeige, Übermittlung an die Nutzer und Geräte des Kunden sowie Löschung.
• Zweck: Bereitstellung, Absicherung und Support des Dienstes für den Kunden und zu keinem anderen Zweck.

LumaKol verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden. Diese Weisungen sind die Nutzungsbedingungen, dieser DPA sowie die Nutzung und Konfiguration des Dienstes durch den Kunden. LumaKol teilt dem Kunden mit, wenn LumaKol der Ansicht ist, dass eine Weisung gegen das Datenschutzrecht verstößt, sofern das Gesetz dies nicht verbietet.

Verpflichtet das Gesetz LumaKol, personenbezogene Kundendaten auf andere Weise zu verarbeiten, teilt LumaKol dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.

LumaKol stellt sicher, dass alle Personen, die LumaKol zur Verarbeitung personenbezogener Kundendaten befugt, zur Vertraulichkeit verpflichtet sind. Der Zugriff von Mitarbeitern auf personenbezogene Kundendaten ist auf das beschränkt, was sie zum Betrieb und Support des Dienstes benötigen, und wird protokolliert.

LumaKol unterhält dem Risiko angemessene technische und organisatorische Maßnahmen, darunter:

• Verschlüsselung von Daten bei der Übertragung (TLS), Verschlüsselung der Datenbank im Ruhezustand und eine zweite Verschlüsselungsebene mit AES-256 für Geheimnisse wie Tokens und Passwörter verbundener Postfächer;
• Trennung der Daten jedes Kunden nach Arbeitsbereich, wobei jede Abfrage nach dem Arbeitsbereich des Kunden gefiltert wird;
• mit Argon2id gehashte Passwörter und Sitzungstokens, die nur als Hashes gespeichert werden;
• Ratenbegrenzung und Sperre bei der Anmeldung;
• rollenbasierter Zugriff im Produkt mit Optionen, Telefonnummern zu maskieren, Exporte zu beschränken und festzulegen, wer Aufzeichnungen anhören darf;
• nur ergänzbare Audit-Protokolle sensibler Aktionen;
• Mehrfaktor-Authentifizierung für LumaKol-Mitarbeiter mit protokolliertem Zugriff auf Produktionsdaten;
• Backups zur Wiederherstellung nach einem Ausfall, die innerhalb von etwa vier Wochen auslaufen.

LumaKol kann diese Maßnahmen aktualisieren, solange das Gesamtschutzniveau nicht sinkt.

Der Kunde ermächtigt LumaKol, die in der folgenden Tabelle beschriebenen Unterauftragsverarbeiter zu beauftragen. LumaKol verpflichtet jeden Unterauftragsverarbeiter durch schriftlichen Vertrag zu Datenschutzpflichten, die nicht weniger schützend sind als dieser DPA, und bleibt gegenüber dem Kunden für die Leistung jedes Unterauftragsverarbeiters verantwortlich. Die Namen der aktuellen Unterauftragsverarbeiter erhält jeder Kunde auf Anfrage unter [email protected]; sie sind Bestandteil dieses DPA.

Bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt, benachrichtigt LumaKol den Inhaber des Arbeitsbereichs mindestens 30 Tage im Voraus per E-Mail unter Nennung des Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Kunde die Nutzung des betroffenen Teils des Dienstes einstellen oder das Abonnement beenden.

Wenn die iPhone-App erscheint, stellt der plattformeigene Dienst des iPhone ihre Push-Benachrichtigungen zu; wir nehmen ihn vorher mit der oben beschriebenen Ankündigung in diese Liste auf. Google Drive, Sheets und Calendar, der Microsoft-Outlook-Kalender sowie Lead-Anzeigen von Facebook und Instagram können noch nicht verbunden werden.

Anrufaufzeichnungen werden auf den Servern von LumaKol gespeichert. Sprachnotizen und Fotos von Außendienstbesuchen werden im Google Drive des Teammitglieds gespeichert, das es verbindet, nicht auf den Servern von LumaKol.

E-Mails, die ein Kunde an seine eigenen Leads sendet, laufen über das eigene Postfach des Kunden (Einstellungen → E-Mail), nicht über den E-Mail-Anbieter von LumaKol. Systeme, die der Kunde selbst anbindet, etwa seine eigene Website, Lead-Quellen, API-Clients und Webhook-Endpunkte, erhalten Daten auf Weisung des Kunden und sind keine Unterauftragsverarbeiter von LumaKol.

Mit dem Dienst kann der Kunde die Daten seiner Leads abrufen, berichtigen, exportieren und löschen sowie weitere Anrufe bei einem Lead sperren, sodass er die meisten Anfragen betroffener Personen selbst beantworten kann. Wo das nicht möglich ist, unterstützt LumaKol auf Anfrage unter Berücksichtigung der Art der Verarbeitung.

Erhält LumaKol direkt von einer betroffenen Person eine Anfrage zu personenbezogenen Kundendaten, leitet LumaKol sie unverzüglich an den Kunden weiter und beantwortet sie nur auf Weisung des Kunden.

LumaKol unterstützt den Kunden zudem in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und bei Konsultationen mit Aufsichtsbehörden, soweit diese die Verarbeitung durch LumaKol betreffen.

LumaKol benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem LumaKol von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die personenbezogene Kundendaten betrifft, damit der Kunde seine eigenen Meldepflichten gegenüber Behörden und Betroffenen erfüllen kann – etwa innerhalb von 72 Stunden nach der DSGVO und den Regeln zum DPDP Act. Die Meldung beschreibt, soweit dann bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen und nennt eine Kontaktstelle für weitere Informationen.

LumaKol informiert den Kunden laufend, sobald mehr bekannt wird, und ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu begrenzen. Die Meldung einer Verletzung ist kein Schuldeingeständnis.

Während des Abonnements kann der Kunde seine Leads als CSV exportieren und seine Daten über die öffentliche API abrufen. Wenn der Kunde seinen Arbeitsbereich schließt oder seine Daten nach einer Kündigung oder einer Pausierung wegen Nichtzahlung das Ende der in den Zahlungsbedingungen genannten Aufbewahrungsfrist erreichen, löscht LumaKol die personenbezogenen Kundendaten aus dem Dienst.

Kopien in Backups laufen nach einem rollierenden Zeitplan ab und werden dann gelöscht. LumaKol darf Daten nur aufbewahren, wo das Gesetz es verlangt, und dann nur diese Daten, geschützt nach diesem DPA, so lange, wie das Gesetz es verlangt.

Auf angemessene Anfrage stellt LumaKol die Informationen bereit, die nötig sind, um die Einhaltung seiner Pflichten aus diesem DPA und aus Artikel 28 DSGVO nachzuweisen, etwa schriftliche Antworten auf Sicherheitsfragebögen.

Reichen diese Informationen nicht aus, kann der Kunde die Einhaltung durch LumaKol selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer überprüfen – mit einer schriftlichen Ankündigung von mindestens 30 Tagen, während der Geschäftszeiten, höchstens einmal pro Jahr (es sei denn, eine Aufsichtsbehörde verlangt es oder es kam zu einer Verletzung des Schutzes personenbezogener Daten) und auf Kosten des Kunden. Die Parteien stimmen den Umfang vorab ab, damit die Prüfung den Dienst nicht stört und keine Daten anderer Kunden offenlegt.

LumaKol verarbeitet personenbezogene Kundendaten in Indien, in Singapur und Japan, wo der Dienst gehostet wird, und in den Ländern, in denen seine Unterauftragsverarbeiter tätig sind. Wenn dabei personenbezogene Daten aus dem EWR oder aus dem Vereinigten Königreich in ein Land ohne Angemessenheitsbeschluss bzw. entsprechende Regelungen übermittelt werden, vereinbaren die Parteien:

• für Daten aus dem EWR gelten die SCCs, die durch Verweis in diesen DPA einbezogen werden: Modul Zwei (Verantwortlicher an Auftragsverarbeiter), wenn der Kunde Verantwortlicher ist, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde Auftragsverarbeiter ist, mit der optionalen Kopplungsklausel, Option 2 (allgemeine Genehmigung) in Klausel 9 sowie dem Recht und den Gerichten Irlands in Klausel 17 und 18;
• für Daten aus dem Vereinigten Königreich gilt das UK Addendum, das durch Verweis einbezogen wird, wobei seine Tabellen mit den Angaben in diesem DPA ausgefüllt sind;
• die Angaben, die die SCCs in ihren Anhängen verlangen, sind die Angaben oben in „Parteien“, „Gegenstand, Dauer, Art und Zweck“, „Betroffene Personen und personenbezogene Daten“, „Sicherheitsmaßnahmen“ und „Liste der Unterauftragsverarbeiter“.

Wo der DPDP Act gilt, übermittelt LumaKol keine personenbezogenen Kundendaten in ein Land oder Gebiet, das die indische Regierung beschränkt hat.

Widersprechen die SCCs oder das UK Addendum diesem DPA, haben sie Vorrang. LumaKol verpflichtet seine Unterauftragsverarbeiter, Weiterübermittlungen durch geeignete Garantien zu schützen.

Die Haftung jeder Partei nach diesem DPA unterliegt den Beschränkungen der Nutzungsbedingungen, außer wo das Datenschutzrecht oder die SCCs eine Haftungsbeschränkung nicht zulassen.

Dieser DPA gilt, solange LumaKol personenbezogene Kundendaten verarbeitet. Pflichten, die ihrer Natur nach fortbestehen sollen, etwa Vertraulichkeit und Löschung, gelten über sein Ende hinaus. LumaKol kann diesen DPA aktualisieren, um Änderungen der Rechtslage oder des Dienstes abzubilden; der Schutz personenbezogener Kundendaten wird dabei nicht verringert, und das oben angegebene Datum „Zuletzt aktualisiert“ zeigt die aktuelle Fassung.

Fragen zu diesem DPA, Mitteilungen nach diesem DPA und Anfragen nach einer gegengezeichneten Ausfertigung richten Sie an [email protected].

Unterzeichnete Ausfertigung anfordern: Schreiben Sie an [email protected] mit dem rechtlichen Namen und der Anschrift Ihrer Organisation, und wir senden Ihnen diesen DPA gegengezeichnet zurück.