Zusatzvereinbarung zur Auftragsverarbeitung

Diese Zusatzvereinbarung ist Bestandteil der Allgemeinen Geschäftsbedingungen von BrandsGateway (die „AGB“) zwischen Gateway Holdings OÜ, Registernummer 14276496, Narva mnt 5, 10117 Tallinn, Estland, handelnd unter dem Namen BrandsGateway (der „Auftragsverarbeiter“), und jedem Geschäftskunden, der die AGB annimmt (der „Kunde“). Der Kunde nimmt sie an, indem er die AGB annimmt. Sie gilt ab dem Tag, an dem der Kunde die AGB annimmt, oder, für Kunden, die vor dem 29. Oktober 2026 registriert wurden, ab diesem Datum. Version 1.0.

Für die Endkundendaten, die der Kunde dem Auftragsverarbeiter zur Bestellabwicklung übermittelt, ist der Kunde der Verantwortliche und der Auftragsverarbeiter sein Auftragsverarbeiter. Eigenständiger Verantwortlicher ist der Auftragsverarbeiter nur für die Bestell-, Rechnungs-, Zoll- und Steuerunterlagen, die er gesetzlich aufbewahren muss, und für Daten, die er zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigt, einschließlich Ansprüchen gegenüber Versanddienstleistern.

Zweck: Entgegennahme, Abwicklung, Versand, Sendungsverfolgung und Rücksendung der Bestellungen des Kunden sowie der damit verbundene Support. Daten: Name, Lieferadresse, Telefonnummer, E-Mail-Adresse, Bestellinhalt und Sendungsverfolgungsdaten der Endkunden des Kunden. Die Daten jeder Bestellung werden so lange gespeichert, wie es erforderlich ist, um die Bestellung abzuwickeln, zuzustellen und eine Rücksendung zu bearbeiten und Ansprüche im Zusammenhang mit ihr zu regeln, und anschließend gelöscht, mit Ausnahme der Unterlagen nach Ziffer 1, die für ihre gesetzliche Frist aufbewahrt werden.

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Information seiner Endkunden verantwortlich, übermittelt nur die für eine Bestellung erforderlichen Daten und erteilt seine Weisungen schriftlich.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden: die AGB, diese Zusatzvereinbarung und die Bestellungen des Kunden, auch in Bezug auf Übermittlungen außerhalb des EWR. Ist er nach dem Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet, teilt der Auftragsverarbeiter dies dem Kunden vorher mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Er informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt, und kann die Ausführung dieser Weisung aussetzen, bis der Kunde sie bestätigt oder ändert. Er verwendet Endkundendaten für keinerlei eigene Zwecke, auch nicht für Werbung, Profiling oder Analysen.

Alle Personen, die zur Verarbeitung der Daten befugt sind, sind zur Vertraulichkeit verpflichtet.

Der Auftragsverarbeiter trifft mindestens die Maßnahmen nach Anhang 1, überprüft sie regelmäßig und ändert sie nicht in einer Weise, die das Schutzniveau senkt.

Der Kunde erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern der folgenden Arten: die Lieferanten und Lager, die Bestellungen abwickeln; Hosting und Speicherung; E-Mail-Versand; Support-Tools; Netzwerksicherheit; und Fehlerüberwachung. Einige von ihnen befinden sich in den Vereinigten Staaten, gemäß Ziffer 9. Die aktuelle Liste ist auf Anfrage unter [email protected] erhältlich.

Der Auftragsverarbeiter informiert den Kunden mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; lässt sich dies nicht klären, kann er die betroffenen Dienstleistungen beenden. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die die Daten mindestens ebenso gut schützen wie diese Zusatzvereinbarung, und haftet für diese in vollem Umfang.

Zur Zustellung einer Bestellung übermittelt der Auftragsverarbeiter Name, Adresse, Telefonnummer und E-Mail-Adresse des Empfängers sowie Inhalt und Wert des Pakets an den Versanddienstleister und, soweit erforderlich, an Zollbehörden und Zollagenten. Der Kunde weist dies an, indem er die Bestellung aufgibt. Diese Empfänger handeln als eigenständige Verantwortliche nach ihren eigenen Bedingungen.

Unterauftragsverarbeiter außerhalb des EWR werden nur in Anspruch genommen, wenn ein Angemessenheitsbeschluss sie erfasst (für die Vereinigten Staaten nur Organisationen, die nach dem EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) zertifiziert sind), oder auf Grundlage der Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914 der Kommission, Modul 3. Für einen Kunden außerhalb des EWR in einem Land ohne Angemessenheitsbeschluss ist Modul 4 dieser Klauseln Bestandteil dieser Zusatzvereinbarung.

Der Auftragsverarbeiter unterstützt den Kunden bei der Beantwortung von Anträgen der Endkunden, indem er bei ihm eingehende Anträge unverzüglich, spätestens jedoch innerhalb von 3 Werktagen weiterleitet, und unterstützt ihn bei der Sicherheit, der Meldung von Verletzungen und bei Datenschutz-Folgenabschätzungen (Artikel 32 bis 36 DSGVO).

Der Auftragsverarbeiter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, auch bei einem Unterauftragsverarbeiter, unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm die Verletzung bekannt wurde, mit den bekannten Informationen, den wahrscheinlichen Folgen, den ergriffenen Maßnahmen und einer Anlaufstelle.

Bei Beendigung der Dienstleistungen löscht der Auftragsverarbeiter die Endkundendaten nach Wahl des Kunden innerhalb von 30 Tagen oder gibt sie zurück, mit Ausnahme der Unterlagen nach Ziffer 1, und bestätigt dies auf Anfrage an [email protected] schriftlich.

Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind. Beantworten diese die berechtigten Fragen des Kunden nicht, können der Kunde oder sein Prüfer mit einer Ankündigungsfrist von 30 Tagen eine Überprüfung durchführen, höchstens einmal jährlich, es sei denn, es gibt Anzeichen für eine Nichteinhaltung oder eine Verletzung oder eine Behörde verlangt dies. Jede Partei trägt ihre eigenen Kosten.

Änderungen dieser Zusatzvereinbarung werden dem Kunden mindestens 30 Tage, bevor sie gelten, per E-Mail mitgeteilt; der Kunde kann die betroffenen Dienstleistungen vorher beenden.

In Fragen des Datenschutzes hat diese Zusatzvereinbarung Vorrang vor den AGB. Auf Anfrage unterzeichnen die Parteien die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 der Kommission, die dann Vorrang haben. Es gilt estnisches Recht.

Unsere Server, Datenbanken, Dateien und Datensicherungen werden in Rechenzentren in der EU betrieben. Unsere Websites sind nur über verschlüsselte Verbindungen (TLS) erreichbar und durch einen Netzwerkschutz gegen Angriffe abgesichert, und die Datenbanken mit den Bestellungen sind aus dem Internet nicht erreichbar. Die Datenbanken werden täglich gesichert und verschlüsselt, bevor sie den Server verlassen.

Jede Person nutzt ein persönliches Konto mit nur den Rechten, die für ihre Arbeit erforderlich sind. Der Zugriff auf Server erfolgt mit persönlichen kryptografischen Schlüsseln, nicht mit Passwörtern.

Lieferanten und Lager sehen nur die Bestellungen, die sie abwickeln.

Anwendungsereignisse und Fehler werden zentral protokolliert; nur das technische Team kann die Protokolle lesen.

Mitarbeiter und Auftragnehmer sind zur Vertraulichkeit verpflichtet.

Vermutete Verletzungen werden an [email protected] gemeldet und vom technischen Team bearbeitet; die Kunden werden gemäß Ziffer 11 benachrichtigt.