Auftragsverarbeitungsvertrag (AVV)
Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und Refly (Auftragsverarbeiter).
Version 1.0
Dieser AVV wird mit Abschluss des Nutzungsvertrags Bestandteil der Vereinbarung zwischen dem Kunden und Zeynep Şeker (Refly), Zollstraße 12b, 6060 Hall in Tirol, Österreich.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch Refly im Rahmen der Bereitstellung der SaaS-Plattform für Empfehlungsmarketing. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Art, Zweck, Datenarten und Betroffene
Zweck: Kampagnen-, Promoter-, Referral-, Lead-, Conversion- und Provisionsverwaltung sowie Reporting.
Datenarten: Name, E-Mail, Telefon, Referral-Codes, Klick- und Trackingdaten, Lead- und Conversion-Daten, Provisionsbeträge, Notizen.
Betroffene Personen: Promoter, empfohlene Interessenten (Leads), Kunden des Verantwortlichen sowie Mitarbeitende des Verantwortlichen.
3. Weisungsbindung
Refly verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattformfunktionen durch den Verantwortlichen gilt als Weisung. Hält Refly eine Weisung für rechtswidrig, wird der Verantwortliche informiert.
4. Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Zugriffe erfolgen ausschließlich nach dem Need-to-know-Prinzip.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung über TLS
- Verschlüsselung ruhender Daten beim Datenbank-Dienstleister
- Mandantentrennung über Row Level Security
- Rollen- und rechtebasierte Zugriffskontrolle (Owner, Admin, Employee)
- Serverseitige Ausführung sicherheitsrelevanter Funktionen
- Keine Speicherung von API-Schlüsseln im Client
- Protokollierung, Fehlerüberwachung und regelmäßige Sicherheitsprüfungen
- Automatisierte Backups durch den Datenbank-Dienstleister
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu. Änderungen werden vorab mitgeteilt; ein Widerspruchsrecht aus wichtigem Grund bleibt bestehen.
| Name | Leistung | Zweck | Datenkategorien | Standort | Drittland | Rechtsgrundlage |
|---|
7. Unterstützung bei Betroffenenrechten
Refly unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und Übertragbarkeitsansprüchen sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 33 und 34 DSGVO.
8. Meldung von Datenschutzverletzungen
Refly informiert den Verantwortlichen unverzüglich nach Kenntnis über Verletzungen des Schutzes personenbezogener Daten und stellt die zur Meldung erforderlichen Informationen bereit.
9. Löschung und Rückgabe
Nach Beendigung des Hauptvertrags werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.
10. Nachweise und Kontrollen
Refly stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang und nach vorheriger Ankündigung.
11. Drittlandtransfers
Soweit Unterauftragsverarbeiter Daten außerhalb des EWR verarbeiten, erfolgt dies auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere EU-Standardvertragsklauseln.