Dieses Dokument ist eine Übersetzung des englischen Originals. Im Falle von Abweichungen zwischen beiden Fassungen hat die englische Fassung Vorrang.

💡 Die Datenverarbeitung unterliegt der Datenschutz-Grundverordnung der Europäischen Union und ist auch auf der Website der CNIL abrufbar

1. Präambel#

Diese Vereinbarung gilt für die Verarbeitung personenbezogener Daten durch den Kunden in seiner Eigenschaft als Verantwortlicher und durch Nonli in seiner Eigenschaft als Auftragsverarbeiter im Rahmen der Bereitstellung einer Lösung zur Analyse der Zielgruppe der Website des Kunden, zur Analyse von Trends und zur Veröffentlichung in sozialen Netzwerken. Diese Vereinbarung stellt ein eigenständiges Dokument dar, das die jeweiligen Pflichten der Parteien festlegt, um die Einhaltung der geltenden Rechtsvorschriften zur Verarbeitung personenbezogener Daten und die Wahrung der Privatsphäre sicherzustellen.

Personenbezogene Daten werden nur verwendet, damit sich der Kunde mit einer Zwei-Faktor-Authentifizierung anmelden und somit die Plattform nutzen kann. Wir verpflichten uns, die Vertraulichkeit der personenbezogenen Daten zu gewährleisten, dafür zu sorgen, dass die zur Verarbeitung dieser personenbezogenen Daten befugten Personen die Vertraulichkeit wahren oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie die erforderliche Schulung zum Schutz personenbezogener Daten erhalten.

Die Parteien verpflichten sich, die Grundsätze des Artikels 25 der Verordnung zum Thema „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ einzuhalten.

Die vom SDK erhobenen anonymen Daten werden nur im Auftrag und zugunsten unseres Kunden verwendet.

Die CNIL-Selbstbewertung für das Nonli SDK ist hier verfügbar: CNIL-Selbstbewertung - Nonli SDK.

Wir verpflichten uns, die Daten unserer Kunden nicht für eigene Zwecke zu verwenden.

2. Technische und organisatorische Maßnahmen#

Wir verpflichten uns, alle nachstehend aufgeführten Sicherheitsmaßnahmen umzusetzen:

2.1. Unterauftragsverarbeitung#

Mit Ausnahme der im Abschnitt „Kundensupport“ aufgeführten Anbieter für Hosting, E-Mail und interne Benachrichtigungen vergeben wir keine Verarbeitung personenbezogener Daten an Unterauftragnehmer; sollte dies der Fall sein, würden wir unseren Kunden informieren und die Vertraulichkeit der Daten beim Unterauftragnehmer sicherstellen.

Wir stellen sicher, dass der Unterauftragnehmer dieselben ausreichenden Garantien hinsichtlich der Umsetzung der nach der Verordnung erforderlichen technischen und organisatorischen Maßnahmen bietet.

2.2. Übermittlung außerhalb der Europäischen Union (EU)#

Im Falle einer Übermittlung personenbezogener Daten außerhalb der EU gewährleisten wir die Einhaltung der Pflichten gemäß KAPITEL V „Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen“ der Verordnung.

Slack, ein im Abschnitt „Kundensupport“ aufgeführter Anbieter, kann die Daten der an ihn gesendeten Benachrichtigungen außerhalb der EU verarbeiten.

Wir können alle Garantien bereitstellen, die unser Kunde zu verlangen berechtigt ist, um die Konformität von Datenübermittlungen außerhalb der EU sicherzustellen.

2.3. Recht auf Information der betroffenen Personen#

Es obliegt dem Kunden, die von den Verarbeitungsvorgängen betroffenen Personen zum Zeitpunkt der Datenerhebung zu informieren.

2.4. Ausübung der Rechte der betroffenen Personen#

Wir verpflichten uns, unseren Kunden dabei zu unterstützen, seiner Pflicht nachzukommen, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten: Recht auf Auskunft, Berichtigung, Löschung und Widerspruch, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit, Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden (einschließlich Profiling). Wenn betroffene Personen Anträge zur Ausübung ihrer Rechte stellen, leiten wir diese Anträge an unseren Kunden weiter.

2.5. Meldung von Verletzungen des Schutzes personenbezogener Daten#

Wir benachrichtigen unseren Kunden per E-Mail über jede Verletzung des Schutzes personenbezogener Daten so bald wie möglich, nachdem wir davon Kenntnis erlangt haben, und in jedem Fall innerhalb von Fristen, die es unserem Kunden ermöglichen, die durch die Datenschutz-Grundverordnung auferlegten Fristen einzuhalten. Diese Benachrichtigung wird mit allen zweckdienlichen Unterlagen versehen, damit der Kunde die Verletzung der zuständigen Aufsichtsbehörde und den betroffenen Personen melden kann, sofern solche Meldungen nach den Vorschriften zu personenbezogenen Daten erforderlich sind.

2.6. Datenschutzbeauftragter#

Gemäß Artikel 37 sind wir nicht verpflichtet, einen Datenschutzbeauftragten (DSB) zu benennen, da wir keine öffentliche Stelle sind und unsere Tätigkeit nicht in Verarbeitungsvorgängen personenbezogener Daten besteht.

2.7. Verbleib der personenbezogenen Daten#

Gemäß Artikel 28 Absatz 3 Buchstabe g der Verordnung verpflichten wir uns, nach Abschluss der Erbringung der Leistungen im Zusammenhang mit der Verarbeitung dieser Daten die personenbezogenen Daten an den Kunden oder an einen von ihm benannten Auftragsverarbeiter zurückzugeben – in der technisch am besten geeigneten Form, in einem nicht proprietären, strukturierten und konsolidierten Format – und alle in unseren Informationssystemen vorhandenen Kopien zu vernichten.

2.8. Verwaltung von Kunden- und Lieferantenkonten#

Diese Verarbeitung dient der Verwaltung des Kunden- und Lieferantenkontos jeder der Parteien, etwa der Geschäftsbeziehung, der Verwaltung, der Rechnungsstellung, der Bearbeitung technischer Störungen und der Bearbeitung von Beschwerden. Diese Verarbeitung wird von jeder der Parteien als eigenständiger Verantwortlicher durchgeführt. Diese Verarbeitung ist für die Erfüllung des Vertrags erforderlich; sie entspricht außerdem den berechtigten Interessen jeder der Parteien sowie dem berechtigten Interesse jeder Partei, ihrem Personal Kommunikationsmittel zur Verfügung zu stellen.

Die von diesen Verarbeitungsvorgängen betroffenen Personen sind die Mitarbeiter jeder Partei.

Die betroffenen personenbezogenen Daten sind die Identitätsdaten der Kontakte: Nachname – Vorname – Telefonnummer – E-Mail. Die Speicherdauer der vorgenannten personenbezogenen Daten ist auf drei (3) Jahre ab dem Ende der Geschäftsbeziehung zwischen den Parteien begrenzt, und die Daten können auf Wunsch des Kunden unverzüglich gelöscht werden.

2.9. Kundensupport#

Diese Verarbeitung dient der Bearbeitung der Support-Anfragen und technischen Störungen, die von Nutzern der Plattform über den in die Anwendung integrierten Chat oder per E-Mail gemeldet werden. Wie die oben beschriebene Verwaltung des Kundenkontos wird sie von Nonli als Verantwortlicher durchgeführt. Sie ist für die Erfüllung des Vertrags erforderlich und entspricht dem berechtigten Interesse von Nonli, die Anfragen seiner Kunden zu bearbeiten und die Plattform sicher zu halten.

Die betroffenen Personen sind die Nutzer des Kunden, die den Support kontaktieren, sowie die Personen, die einer Unterhaltung über ihre E-Mail-Adresse hinzugefügt werden.

Die betroffenen personenbezogenen Daten sind:

• die Identität des Kontakts: Nachname, Vorname, E-Mail-Adresse, Telefonnummer, Unternehmen, Rolle und Sprache;
• der Inhalt der Kommunikation: Nachrichten, Anhänge und per E-Mail gesendete Antworten;
• der dem Support-Team angezeigte Kontokontext: ob die E-Mail-Adresse bestätigt ist, ob die Zwei-Faktor-Authentifizierung aktiviert ist, Version der Anwendung, aktuell angezeigte Seite und zuletzt in der Anwendung angezeigte Seiten;
• Verbindungsdaten: IP-Adresse, aus der IP-Adresse abgeleiteter ungefährer Standort (Stadt und Land), Zeitzone, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Browsersprache.

Der ungefähre Standort wird auf unseren Servern berechnet, ohne dass die IP-Adresse an einen Dritten übermittelt wird. Die IP-Adresse ist nur für das Support-Team von Nonli zugänglich.

Die Speicherdauern sind wie folgt:

• die IP-Adresse wird dreißig (30) Tage nach der letzten Verbindung von dieser Adresse automatisch gelöscht;
• der ungefähre Standort sowie die Browser- und Gerätedaten werden zusammen mit der Unterhaltung gespeichert;
• Unterhaltungen und ihre Anhänge werden drei (3) Jahre ab dem Ende der Geschäftsbeziehung zwischen den Parteien gespeichert und mit dem Unternehmen gelöscht, wenn das Unternehmen bei Nonli gelöscht wird.

Ein Nutzer oder das Support-Team kann einer Unterhaltung Teilnehmer hinzufügen, durch Eingabe von deren E-Mail-Adresse. Teilnehmer haben Zugriff auf den Verlauf der Unterhaltung. Ein Teilnehmer erhält per E-Mail die Nachrichten, die er im Chat nicht gelesen hat, oder jede Nachricht, wenn er ausschließlich per E-Mail teilnimmt. Per E-Mail gesendete Antworten werden der Unterhaltung hinzugefügt. Jeder Teilnehmer kann die E-Mails einer Unterhaltung abbestellen.

Für diese Verarbeitung nutzt Nonli die folgenden Anbieter:

• OVHcloud: Hosting der Datenbank und der Anhänge, in Frankreich;
• Mailgun: Versand und Empfang der E-Mails im Zusammenhang mit Unterhaltungen, auf der Infrastruktur von Mailgun in der Europäischen Union;
• Slack: interne Benachrichtigung an das Support-Team in dessen Slack-Kanal, die den Namen des Kunden, den Namen seines Unternehmens, die Nummer der Unterhaltung und einen Auszug aus der letzten Nachricht (höchstens 280 Zeichen) enthält.

Fragen und Antworten

3. Stellen Sie die Einhaltung der gesetzlichen Aufbewahrungsfristen für Daten sicher? Speicherdauern und Begründung.#

Ja, wir verpflichten uns, die gesetzlichen Aufbewahrungsfristen für Daten einzuhalten. Die Speicherdauern hängen von der Art der Daten und dem Zweck der Verarbeitung ab. Wir speichern personenbezogene Daten so lange, wie es zur Erreichung der Zwecke, für die sie erhoben wurden, erforderlich ist, im Einklang mit den geltenden gesetzlichen und regulatorischen Anforderungen. Die Speicherdauern sind durch die Einhaltung gesetzlicher und regulatorischer Pflichten sowie durch die berechtigten Interessen unseres Kunden begründet.