Präambel
Dieser Auftragsverarbeitungsvertrag („AVV") ergänzt die GMC Guardian Nutzungsbedingungen und gilt für Händler, die GMC Guardian nutzen und deren Endkunden im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz ansässig sind.
1. Definitionen
- Verantwortlicher: Sie (der Händler), der die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.
- Auftragsverarbeiter: GMC Guardian, das personenbezogene Daten in Ihrem Auftrag verarbeitet. Die vollständige Identifizierung der Betreibergesellschaft ist auf Anfrage an [email protected] erhältlich.
- Personenbezogene Daten: alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, gemäß Definition in Artikel 4 DSGVO.
2. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich von Händlern - nicht von deren Endkunden - zur Erbringung des GMC Guardian-Dienstes für die Dauer des Abonnements des Verantwortlichen.
3. Art und Zweck der Verarbeitung
Die Verarbeitungsvorgänge umfassen: Speicherung von Authentifizierungstokens, Ausführung von Scans, Erstellung von Reinstatement-Berichten, KI-gestützte Vorschläge zur Feed-Korrektur, E-Mail-Benachrichtigungen und Audit-Logging - strikt begrenzt auf das, was zur Erbringung des vereinbarten Dienstes erforderlich ist.
4. Kategorien betroffener Personen und personenbezogener Daten
Betroffene Personen: der Händler (Shop-Inhaber) und autorisierte Agentur-Nutzer.
Kategorien personenbezogener Daten: geschäftliche Identität (Name, E-Mail, Anschrift, Telefon), Authentifizierungstokens (verschlüsselt), Scan-Ergebnisse, Audit-Log-Einträge (IP, User-Agent, Aktion, Zeitstempel).
Der Auftragsverarbeiter verarbeitet keine personenbezogenen Daten der Endkunden des Händlers (Shopper).
5. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die Nutzung der unter /vertrauen aufgelisteten Unterauftragsverarbeiter. Der Auftragsverarbeiter aktualisiert diese Liste, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung beginnt. Der Verantwortliche kann aus berechtigten Gründen widersprechen, in welchem Fall der Auftragsverarbeiter eine kommerziell zumutbare Alternative anbieten oder andernfalls die Kündigung des betroffenen Dienstes erlauben wird.
6. Internationale Übermittlungen
Wenn personenbezogene Daten außerhalb des EWR übermittelt werden, stützt sich der Auftragsverarbeiter auf die Standardvertragsklauseln (SCCs) oder gegebenenfalls das EU-US Data Privacy Framework.
7. Sicherheitsmaßnahmen
Der Auftragsverarbeiter implementiert geeignete technische und organisatorische Maßnahmen, einschließlich:
- Verschlüsselung aller Authentifizierungstokens im ruhenden Zustand (libsodium AEAD)
- TLS 1.3 in der Übertragung
- Append-only Audit-Log
- Zugriffskontrolle mit Rollentrennung (Operator / Admin / Händler)
- Regelmäßige Sicherheitsaudits und Abhängigkeitsprüfungen
- Vorfallreaktionsverfahren mit 72-Stunden-Verpflichtung zur Meldung von Datenschutzverletzungen
8. Rechte betroffener Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung, Widerspruch) innerhalb von 14 Tagen nach Eingang.
9. Audits
Der Verantwortliche kann auf eigene Kosten und mit 30-tägiger Vorankündigung die Einhaltung dieses AVV durch den Auftragsverarbeiter prüfen - per Fern-Fragebogen, durch Einsicht in unabhängige Drittzertifizierungen (SOC 2 Type II, sobald vorhanden), oder bei begründetem Anlass durch Vor-Ort-Besuch.
10. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden, unter Bereitstellung aller Informationen, die der Verantwortliche zur Erfüllung seiner eigenen Meldepflichten gemäß Artikel 33 DSGVO benötigt.
11. Rückgabe oder Löschung
Bei Beendigung wird der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen löschen oder zurückgeben, außer wo eine Aufbewahrung gesetzlich vorgeschrieben ist (z. B. Audit-Log-Aufbewahrungspflichten).
12. Haftung
Dieser AVV unterliegt den Haftungsklauseln der GMC Guardian Nutzungsbedingungen.
13. Kontakt
Bei Datenschutzanfragen schreiben Sie an [email protected].