Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Gegenstand ist die Erbringung der Messleistung „Metrunio“: die Erhebung, Speicherung, Verknüpfung und Auswertung von Ereignissen zur unabhängigen Messung von Werbekontakten und Conversions auf den Websites des Auftraggebers.

Der Vertrag läuft so lange wie der Hauptvertrag über die Nutzung der Software; einer gesonderten Kündigung bedarf es nicht.

Er gilt darüber hinaus fort, solange wir noch Daten des Auftraggebers verarbeiten – also bis zur Rückgabe oder Löschung und bis zum Ablauf der Sicherungen, in denen sie noch enthalten sind. Ohne diese Nachlaufzeit beschriebe der Vertrag dreißig Tage lang eine Verarbeitung ohne Grundlage, und genau diese dreißig Tage sagt Abschnitt 9 zu.

Verarbeitet werden ausschließlich Daten, die der Auftraggeber über die bereitgestellten Schnittstellen übermittelt oder übermitteln lässt. Zweck ist allein die Erbringung der Messleistung.

• Entgegennahme und Prüfung von Ereignissen (Auslieferung, Sichtbarkeit, Klick, Websitebesuch, Interaktion, Conversion)
• Verknüpfung von Ereignissen zu Journeys über eindeutige Kennungen
• Berechnung von Attributionsanteilen nach den vom Auftraggeber gewählten Modellen
• Bereitstellung von Auswertungen, Exporten und Schnittstellen
• auf ausdrückliche Weisung: Rückgabe von Conversions an die vom Auftraggeber benannten Werbeplattformen
• auf Frage einer berechtigten Person des Auftraggebers im Portal: Beantwortung durch einen Datenassistenten. Dabei gehen Kennzahlen und einzelne Conversions und Journeys an das Sprachmodell eines weiteren Auftragsverarbeiters (Anlage) – höchstens 300 Zeilen je Frage; Bestellnummern und Journey-Kennungen des Mandanten nur als Kürzel, die allein für diese Anfrage gelten; frühere Antworten mit einzelnen Datensätzen nicht erneut; Bestellungen, die ohne Einwilligung gemeldet wurden, nicht einzeln. Eine eingegebene Nummer, die keinem Datensatz des Mandanten zugeordnet werden kann, geht als Text an das Modell

Betroffen sind Besucherinnen und Besucher der Websites des Auftraggebers sowie – bei serverseitig gemeldeten Abschlüssen – dessen Kundinnen und Kunden.

• pseudonyme Kennungen für Sitzung, Endgerät, Klick und Impression
• mandantenspezifisch pseudonymisierte Kundenkennungen; ein übergebener Klartextwert wird beim Empfang über HMAC pseudonymisiert und nie im Klartext gespeichert
• Bestell- und Vorgangsnummern, Werte und Währungen
• technische Merkmale in gekürzter oder gehashter Form; IP-Adressen werden bei der Übertragung und zur Begrenzung der Anfragen verarbeitet und im Ereignisbestand nur als gekürzter, mit einem Geheimnis gebildeter Hashwert gespeichert – im Messmodus ohne Einwilligung gar nicht
• der Einwilligungszustand je Ereignis

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Einstellungen im Produkt – Aufbewahrungsdauer, Attributionsfenster, Rückgabe an Plattformen, Einwilligungszuordnung – gelten als Weisung; sie sind im Protokoll des Mandanten nachvollziehbar.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen. Ein Zugriff auf Mandantendaten durch den Support ist nur nach ausdrücklicher, befristeter Freigabe durch den Auftraggeber möglich, wird eigens protokolliert und im Produkt sichtbar angezeigt.

Der Auftragnehmer trifft die in der gesonderten Anlage „Technische und organisatorische Maßnahmen“ beschriebenen Maßnahmen nach Art. 32 DSGVO. Änderungen dürfen das Schutzniveau nicht unterschreiten.

Der Auftraggeber stimmt dem Einsatz der in der Anlage „Subunternehmer“ genannten weiteren Auftragsverarbeiter zu.

Ein Wechsel oder eine Ergänzung wird mindestens 30 Tage vorher in Textform und auf der Website angekündigt. Der Auftraggeber kann widersprechen; im Widerspruchsfall steht ihm ein Sonderkündigungsrecht zum Zeitpunkt der Umstellung zu. Solange ein begründeter Widerspruch nicht geklärt ist, erhält der neue Auftragsverarbeiter keine Daten des Auftraggebers.

Mit jedem weiteren Auftragsverarbeiter wird schriftlich, auch in elektronischer Form, ein Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt: Weisungsbindung, Vertraulichkeit, die Maßnahmen nach Art. 32 DSGVO in einem Schutzniveau, das dieses nicht unterschreitet, Unterstützung bei Betroffenenanfragen und Meldepflichten, Kontroll- und Nachweisrechte sowie Löschung oder Rückgabe am Ende. Für ihre Einhaltung haften wir wie für eigenes Handeln.

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte. Das Produkt enthält dafür einen eigenen Bereich: Auskunft, Berichtigung, Löschung und Widerspruch lassen sich dort ausführen, ohne dass der Auftragnehmer eingeschaltet werden muss.

Eine Löschung wirkt über eine Sperrliste fort, damit dieselbe Kennung nicht unmittelbar danach erneut erfasst wird. Gespeichert wird dabei nur eine Prüfsumme der Kennung, nicht die Kennung selbst. Die Prüfsumme bleibt ein pseudonymes personenbezogenes Datum: Sie erkennt die Kennung wieder, lässt sich aber nicht in sie zurückrechnen. Sie wird zu keinem anderen Zweck verwendet als zur Durchsetzung der Löschung oder des Widerspruchs.

Der Auftragnehmer unterstützt außerdem bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33 und 34 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten wird dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mitgeteilt.

Nach Beendigung werden die Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht. Die Wahl teilt er in Textform mit und kann sie bis zum Ablauf der Frist ändern.

Für die Rückgabe bleiben die Daten 30 Tage in den vorgesehenen Ausfuhrformaten abrufbar; der Auftraggeber holt sie selbst ab oder verlangt sie von uns. Ein Export während der Vertragslaufzeit ist jederzeit ohne zusätzliche Vergütung möglich.

Trifft der Auftraggeber keine Wahl, werden die Daten nach Ablauf der Frist gelöscht. Die Löschung ist die Voreinstellung, nicht die einzige Möglichkeit. Sie wird auf Verlangen nachgewiesen, mit Zeitpunkt und Umfang.

Protokolldaten, die der Nachweispflicht dienen, und Unterlagen mit gesetzlicher Aufbewahrungsfrist bleiben davon unberührt; sie werden für jede andere Verwendung gesperrt.

Der Auftragnehmer weist die Einhaltung der Pflichten auf Anfrage nach und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Die Kontrolle wird mit angemessener Frist angekündigt und darf den Betrieb nicht unangemessen beeinträchtigen; bei einem Vorfall oder begründetem Verdacht ist sie auch ohne diese Frist möglich.

Die Hauptressourcen liegen in der Region europe-west3 (Frankfurt). Einzelne Bestände – insbesondere globale Protokollbereiche des Cloud-Anbieters – sowie Wartungs- und Supportzugriffe von Konzerngesellschaften der weiteren Auftragsverarbeiter können außerhalb der EU liegen bzw. erfolgen; Empfänger, Länder und Übermittlungsgrundlage nennt die Anlage je Dienst. Jede weitere Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO.