Auftragsverarbeitungsvertrag

Version 1.1 · Zuletzt aktualisiert: 17. Juli 2026

Dieser Auftragsverarbeitungsvertrag (der “DPA”) ist Bestandteil der Vereinbarung zwischen dem Kunden und der Search Ventures Pty Ltd (ACN 639 906 353) über die Nutzung des Formpaste-Dienstes durch den Kunden (die “Hauptvereinbarung”, d. h. unsere Nutzungsbedingungen) und wird durch Verweis in diese einbezogen. Er spiegelt die Vereinbarung der Parteien über die Verarbeitung personenbezogener Daten durch Search Ventures Pty Ltd im Auftrag des Kunden im Zusammenhang mit den Diensten wider. Dieser DPA ergänzt unsere Datenschutzerklärung und unsere Richtlinie zur akzeptablen Nutzung, die weiterhin gelten.

Durch die Annahme dieses DPA, sei es durch Klicken auf “Ich akzeptiere”, das Ankreuzen eines darauf verweisenden Kästchens, die Aktivierung der Dienste oder die fortgesetzte Nutzung der Dienste nach dessen Vorlage, erklärt sich der Kunde damit einverstanden, an dessen Bedingungen gebunden zu sein. Die annehmende Person versichert, zur Bindung des Kunden befugt zu sein.

In diesem DPA bezeichnet “Search Ventures” die Search Ventures Pty Ltd (ACN 639 906 353), den Betreiber von Formpaste, handelnd als Auftragsverarbeiter oder Unterauftragsverarbeiter, je nach Anwendbarkeit; und “Kunde” bezeichnet die Einheit oder Person, die die Hauptvereinbarung abgeschlossen hat, handelnd als Verantwortlicher oder Auftragsverarbeiter, je nach Anwendbarkeit. Jede Partei wird als “Partei” und gemeinsam als “Parteien” bezeichnet.

1. Begriffsbestimmungen

Großgeschriebene Begriffe, die hier nicht definiert sind, haben die in der Hauptvereinbarung festgelegte Bedeutung. Für die Zwecke dieses DPA gilt:

• “Datenschutzgesetze” bezeichnet sämtliche auf die Verarbeitung personenbezogener Daten im Rahmen dieses DPA anwendbaren Datenschutz-, Informationssicherheits-, Verletzungsmeldungs-, Direktmarketing- und Gesetze zur elektronischen Kommunikation, einschließlich, soweit anwendbar, der EU-Datenschutz-Grundverordnung 2016/679 (“DSGVO”), der UK GDPR und des Data Protection Act 2018, des Privacy Act 1988 (Cth) und der Australian Privacy Principles, jeweils in der geänderten, ersetzten oder neu erlassenen Fassung.
• “Verantwortlicher, Auftragsverarbeiter, betroffene Person, personenbezogene Daten, Verarbeitung, Verletzung des Schutzes personenbezogener Daten” haben die in der DSGVO festgelegte Bedeutung, und “verarbeiten” und “verarbeitet” sind entsprechend auszulegen.
• “Kundendaten” bezeichnet personenbezogene Daten, die in Formulareinsendungen, hochgeladenen Dateien und damit verbundenen Daten enthalten sind, die im Auftrag des Kunden an die Dienste übermittelt, in diesen gespeichert oder anderweitig durch diese verarbeitet werden.
• “Unterauftragsverarbeiter” bezeichnet jeden Dritten, den Search Ventures mit der Verarbeitung von Kundendaten beauftragt.
• “Standardvertragsklauseln (SCCs)” bezeichnet die dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission beigefügten Klauseln für die Übermittlung personenbezogener Daten in Drittländer sowie, sofern relevant, den UK International Data Transfer Addendum.
• “Dienste” bezeichnet den Formular-Backend-Dienst von Formpaste sowie die zugehörigen Funktionen für E-Mail-Zustellung, Dateispeicherung und Integrationen.

2. Rollen und Umfang der Verarbeitung

Die Parteien erkennen an, dass der Kunde in Bezug auf Kundendaten als Verantwortlicher oder Auftragsverarbeiter handelt, je nach Anwendbarkeit, und Search Ventures als Auftragsverarbeiter oder Unterauftragsverarbeiter, je nach Anwendbarkeit. Ist der Kunde selbst Auftragsverarbeiter im Auftrag eines Verantwortlichen eines Dritten, gewährleistet der Kunde, dass seine Anweisungen und Handlungen von diesem Verantwortlichen autorisiert wurden.

Search Ventures verarbeitet Kundendaten nur auf dokumentierte Anweisung des Kunden, einschließlich der in diesem DPA und der Hauptvereinbarung festgelegten Anweisungen, sowie soweit dies zur Erbringung der Dienste erforderlich ist, sofern nicht anwendbares Recht etwas anderes vorschreibt (in diesem Fall wird Search Ventures den Kunden, soweit rechtlich zulässig, vor der Verarbeitung über diese gesetzliche Anforderung informieren).

Search Ventures informiert den Kunden unverzüglich, wenn nach seiner vernünftigen Einschätzung eine Anweisung des Kunden gegen geltende Datenschutzgesetze verstößt, sofern nicht anwendbares Recht Search Ventures untersagt, diese Information bereitzustellen.

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 (Einzelheiten der Verarbeitung) beschrieben.

Der Kunde ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit der Kundendaten sowie dafür, über eine gültige Rechtsgrundlage für deren Verarbeitung und für die Berechtigung von Search Ventures zur Verarbeitung dieser Daten im Rahmen dieses DPA zu verfügen.

3. Vertraulichkeit

Search Ventures stellt sicher, dass jede zur Verarbeitung von Kundendaten befugte Person, einschließlich Mitarbeitern und Auftragnehmern, einer angemessenen Vertraulichkeitsverpflichtung unterliegt, sei sie vertraglicher oder gesetzlicher Natur, und diese Daten nur weisungsgemäß verarbeitet.

4. Sicherheit der Verarbeitung

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung ergreift Search Ventures geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Eine Beschreibung dieser Maßnahmen ist in Anlage 2 (Technische und organisatorische Maßnahmen) enthalten.

Der Kunde erkennt an, dass Sicherheitsmaßnahmen dem technischen Fortschritt unterliegen und von Zeit zu Zeit aktualisiert werden können, sofern eine solche Aktualisierung das allgemeine Sicherheitsniveau der Dienste nicht wesentlich mindert.

5. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung an Search Ventures, Unterauftragsverarbeiter mit der Verarbeitung von Kundendaten zu beauftragen, vorbehaltlich dieses Abschnitts. Die zum Wirksamkeitsdatum beauftragten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

Search Ventures erlegt jedem Unterauftragsverarbeiter Datenschutzverpflichtungen auf, die inhaltlich nicht weniger schützend sind als die in diesem DPA festgelegten, und bleibt gegenüber dem Kunden für die Erfüllung der Verpflichtungen jedes Unterauftragsverarbeiters verantwortlich.

Search Ventures benachrichtigt den Kunden über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters und räumt dem Kunden eine angemessene Gelegenheit (von mindestens vierzehn Tagen) ein, aus vernünftigen datenschutzrechtlichen Gründen Einspruch zu erheben. Ein Einspruch muss innerhalb der Ankündigungsfrist schriftlich eingereicht werden und die vernünftigen datenschutzrechtlichen Gründe für den Einspruch hinreichend detailliert darlegen. Search Ventures kann nach eigenem Ermessen angemessene Anstrengungen unternehmen, um den Einspruch auszuräumen, einen alternativen Unterauftragsverarbeiter bereitstellen oder die betroffene Funktion oder die betroffenen Dienste für den widersprechenden Kunden einstellen. Können die Parteien den Einspruch nicht lösen, kann der Kunde die betroffenen Dienste als einziges Rechtsmittel kündigen.

6. Rechte betroffener Personen und Zusammenarbeit

Unter Berücksichtigung der Art der Verarbeitung unterstützt Search Ventures den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte nach den Datenschutzgesetzen.

Erhält Search Ventures eine Anfrage direkt von einer betroffenen Person in Bezug auf Kundendaten, leitet es die Anfrage unverzüglich an den Kunden weiter, sofern dies nicht gesetzlich untersagt ist, und beantwortet sie nicht direkt, außer auf Anweisung des Kunden.

Search Ventures bietet dem Kunden angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden, jeweils ausschließlich in Bezug auf die Verarbeitung im Rahmen dieses DPA und unter Berücksichtigung der Search Ventures zur Verfügung stehenden Informationen.

7. Verletzung des Schutzes personenbezogener Daten

Search Ventures benachrichtigt den Kunden unverzüglich, nachdem es von einer Verletzung des Schutzes personenbezogener Daten betreffend Kundendaten Kenntnis erlangt hat, und, soweit vernünftigerweise praktikabel, innerhalb von achtundvierzig (48) Stunden nach Kenntniserlangung von der Verletzung des Schutzes personenbezogener Daten.

Diese Benachrichtigung umfasst, soweit zu diesem Zeitpunkt bekannt und für Search Ventures vernünftigerweise verfügbar, die Art der Verletzung des Schutzes personenbezogener Daten; die Kategorien und die ungefähre Anzahl der betroffenen Personen und personenbezogenen Datensätze; die wahrscheinlichen Folgen; sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Minderung der Verletzung des Schutzes personenbezogener Daten. Ist es nicht möglich, alle Informationen gleichzeitig bereitzustellen, kann Search Ventures die Informationen in Phasen ohne unangemessene weitere Verzögerung bereitstellen.

Search Ventures leistet dem Kunden angemessene Zusammenarbeit und Unterstützung im Zusammenhang mit der Bewertung, Untersuchung, Meldung und Behebung der Verletzung des Schutzes personenbezogener Daten durch den Kunden, unter Berücksichtigung der Art der Verarbeitung und der Search Ventures zur Verfügung stehenden Informationen.

Die Benachrichtigung oder Reaktion von Search Ventures auf eine Verletzung des Schutzes personenbezogener Daten ist nicht als Anerkennung eines Verschuldens, einer Haftung oder einer Verantwortlichkeit auszulegen.

8. Anfragen auf verpflichtende Offenlegung

Erhält Search Ventures eine rechtsverbindliche Anfrage eines Gerichts, einer Aufsichtsbehörde, einer Strafverfolgungsbehörde oder einer anderen Behörde auf Offenlegung von Kundendaten, benachrichtigt Search Ventures den Kunden unverzüglich vor der Offenlegung der Kundendaten, sofern dies nicht durch anwendbares Recht untersagt ist.

Soweit rechtlich zulässig und den Umständen nach angemessen, stellt Search Ventures dem Kunden relevante Informationen über die Anfrage sowie angemessene Zusammenarbeit zur Verfügung, damit der Kunde eine Schutzanordnung oder ein anderes geeignetes Rechtsmittel beantragen kann. Search Ventures legt nur die Kundendaten offen, zu deren Offenlegung es rechtlich verpflichtet ist, und bemüht sich, soweit angemessen, um eine vertrauliche Behandlung der offengelegten Kundendaten.

Nichts in diesem Abschnitt verpflichtet Search Ventures, eine rechtsverbindliche Anfrage anzufechten, wesentliche Kosten zu tragen, die Einhaltung anwendbaren Rechts zu verzögern oder Informationen offenzulegen, deren Offenlegung durch anwendbares Recht untersagt ist.

Soweit die EU-SCCs anwendbar sind, kommt Search Ventures seinen Verpflichtungen aus Klausel 15 der EU-SCCs in Bezug auf verbindliche Anfragen von Behörden auf Offenlegung nach, und diese Verpflichtungen gehen im Falle einer Unvereinbarkeit mit diesem Abschnitt vor.

9. Rückgabe und Löschung von Daten

Während der Laufzeit der Hauptvereinbarung werden Kundendaten gemäß der für den vom Kunden gewählten Tarif geltenden Aufbewahrungsfrist aufbewahrt, wie in den Diensten, den Kontoeinstellungen des Kunden oder dem anwendbaren Auftragsformular festgelegt. Die Aufbewahrungsfrist ist darauf ausgelegt, automatisch auf gespeicherte Einsendungsdaten angewendet zu werden - derzeit 90 Tage im kostenlosen Tarif und 365 Tage im Pro-Tarif. Der Kunde ist dafür verantwortlich, Kundendaten vor Ablauf der jeweiligen Aufbewahrungsfrist zu exportieren, sofern er eine längere Aufbewahrungsfrist benötigt.

Nach Beendigung oder Ablauf der Hauptvereinbarung löscht Search Ventures Kundendaten innerhalb von neunzig (90) Tagen, sofern nicht anwendbares Recht eine fortgesetzte Speicherung vorschreibt oder der Kunde vor der Löschung die Rückgabe der Kundendaten verlangt und die Rückgabe über die Dienste technisch durchführbar ist oder anderweitig zwischen den Parteien vereinbart wird.

Kundendaten in Backup-Systemen können bis zu ihrer Löschung oder Überschreibung gemäß dem gewöhnlichen Backup-Aufbewahrungszyklus von Search Ventures verbleiben. Bis zur Löschung oder Überschreibung werden Backup-Kopien gemäß diesem DPA geschützt, vom gewöhnlichen operativen Gebrauch isoliert und nur wiederhergestellt, soweit dies für die Notfallwiederherstellung, eine Sicherheitsuntersuchung oder die Einhaltung anwendbaren Rechts erforderlich ist.

Search Ventures kann begrenzte Konto-, Abrechnungs-, Sicherheits-, Prüf- und Systemprotokollinformationen aufbewahren, soweit dies für die Einhaltung gesetzlicher Vorschriften, die Betrugsprävention, die Sicherheit, die Streitbeilegung, die Durchsetzung der Hauptvereinbarung sowie die Feststellung, Ausübung oder Verteidigung von Rechtsansprüchen vernünftigerweise erforderlich ist. Aufbewahrte Informationen unterliegen weiterhin den anwendbaren Vertraulichkeits- und Sicherheitsverpflichtungen.

10. Audits und Informationen

Search Ventures stellt dem Kunden Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses DPA und von Artikel 28 der DSGVO nachzuweisen. Search Ventures kann dieser Verpflichtung nachkommen, indem es einschlägige Richtlinien, Sicherheitsdokumentation, ausgefüllte Sicherheitsfragebögen, Zusammenfassungen der technischen und organisatorischen Maßnahmen sowie, soweit verfügbar, Zertifizierungen, Bestätigungen oder Prüfberichte Dritter in Bezug auf Search Ventures oder seine Infrastrukturanbieter bereitstellt.

Vor der Anforderung eines Audits nutzt der Kunde zunächst die von Search Ventures im Rahmen dieses Abschnitts bereitgestellten Informationen und Unterlagen. Sind diese Unterlagen vernünftigerweise unzureichend, um die Einhaltung dieses DPA nachzuweisen, kann der Kunde ein weiteres Audit gemäß diesem Abschnitt anfordern.

Jedes Audit muss: (a) sich ausschließlich auf die Verarbeitung von Kundendaten durch Search Ventures im Rahmen dieses DPA beziehen; (b) höchstens einmal in einem Zeitraum von zwölf Monaten stattfinden, sofern nicht eine zuständige Aufsichtsbehörde dies verlangt oder eine bestätigte Verletzung des Schutzes personenbezogener Daten betreffend Kundendaten vorliegt; (c) mit mindestens dreißig (30) Tagen vorheriger schriftlicher Ankündigung angefordert werden; (d) während der üblichen Geschäftszeiten durchgeführt werden; (e) von einem unabhängigen, vom Kunden ausgewählten und für Search Ventures vernünftigerweise akzeptablen Prüfer durchgeführt werden; (f) einer schriftlichen Vertraulichkeitsvereinbarung unterliegen; und (g) die Geschäftstätigkeit von Search Ventures nicht unangemessen beeinträchtigen, die Sicherheit oder Vertraulichkeit seiner Systeme nicht gefährden und keinen Zugriff auf Informationen über andere Kunden, Personal, Quellcode, Sicherheitstestmethoden, Geschäftsgeheimnisse oder Infrastruktur gewähren, die für das Audit nicht relevant sind.

Search Ventures kann verlangen, dass ein Audit aus der Ferne durchgeführt wird, etwa durch Dokumentenprüfung, Interviews oder eine andere Methode, die vernünftigerweise darauf ausgelegt ist, Störungen und Sicherheitsrisiken zu minimieren. Vor-Ort-Audits sind nur zulässig, soweit dies nach Ausschöpfung der vorstehend beschriebenen Alternativen vernünftigerweise erforderlich ist.

Der Kunde trägt seine eigenen Auditkosten und erstattet Search Ventures dessen angemessene Kosten und Zeitaufwand für die Unterstützung eines Audits, außer soweit ein Audit einen wesentlichen Verstoß von Search Ventures gegen diesen DPA feststellt.

Der Kunde stellt sicher, dass sein Prüfer kein Wettbewerber von Search Ventures ist und keinen tatsächlichen oder vernünftigerweise vorhersehbaren Interessenkonflikt aufweist. Search Ventures kann ein Audit aussetzen oder verschieben, soweit dies vernünftigerweise erforderlich ist, um einen tatsächlichen oder vermuteten Sicherheitsvorfall, eine rechtliche Beschränkung, eine wesentliche betriebliche Störung oder ein Risiko für die Vertraulichkeit, Verfügbarkeit oder Integrität der Dienste zu adressieren.

Dieser Abschnitt verpflichtet Search Ventures nicht, ein direktes Audit der Einrichtungen oder Systeme eines Unterauftragsverarbeiters zu gestatten. Search Ventures kann stattdessen einschlägige, vom Unterauftragsverarbeiter vernünftigerweise verfügbare Informationen bereitstellen, einschließlich anwendbarer Zertifizierungen, Prüfberichte, Bestätigungen oder vertraglicher Zusicherungen.

11. Internationale Datenübermittlungen

Der Kunde erkennt an, dass Search Ventures von Australien aus tätig ist und dass Kundendaten in Australien sowie in anderen Rechtsordnungen verarbeitet werden können, in denen Search Ventures oder seine autorisierten Unterauftragsverarbeiter tätig sind, einschließlich über global verteilte Infrastruktur und Dienstregionen.

Soweit Search Ventures Kundendaten aus dem Europäischen Wirtschaftsraum, der Schweiz oder dem Vereinigten Königreich in einer Weise erhält, die nach den anwendbaren Datenschutzgesetzen einen genehmigten Übermittlungsmechanismus erfordert, vereinbaren die Parteien, dass die Standardvertragsklauseln Bestandteil dieses DPA sind.

Für Übermittlungen, die der DSGVO unterliegen, nehmen die Parteien die dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission beigefügten Standardvertragsklauseln (“EU-SCCs”) wie folgt in Bezug:

• Modul Zwei (Verantwortlicher an Auftragsverarbeiter) gilt, wenn der Kunde als Verantwortlicher und Search Ventures als Auftragsverarbeiter handelt.
• Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) gilt, wenn der Kunde als Auftragsverarbeiter und Search Ventures als Unterauftragsverarbeiter auf dokumentierte Anweisung des Kunden handelt.
• Klausel 7 (Beitrittsklausel) wird einbezogen.
• Für Klausel 9 gilt Option 2 (allgemeine schriftliche Genehmigung), verbunden mit dem in Abschnitt 5 dieses DPA festgelegten Genehmigungs- und Einspruchsverfahren für Unterauftragsverarbeiter.
• Für Klausel 11 wird der optionale unabhängige Streitbeilegungsmechanismus nicht einbezogen.
• Für Klausel 17 und Klausel 18 unterliegen die EU-SCCs dem Recht eines EU-Mitgliedstaats, der Rechte Dritter aus den EU-SCCs zulässt, und Streitigkeiten unterliegen den Gerichten dieses Mitgliedstaats, wie in Anlage 4 festgelegt.
• Anlage 1, Anlage 2 und Anlage 3 dieses DPA bilden jeweils Anhang I, Anhang II und Anhang III der EU-SCCs, ergänzt durch Anlage 4.

Für Übermittlungen, die der UK GDPR unterliegen, wird der vom britischen Information Commissioner’s Office herausgegebene International Data Transfer Addendum zu den EU-SCCs (“UK Addendum”) in diesen DPA einbezogen. Die Tabellen des UK Addendum werden anhand der einschlägigen Bestimmungen und Anlagen dieses DPA, der EU-SCCs und der Anlage 4 ausgefüllt.

Für Übermittlungen, die dem schweizerischen Bundesgesetz über den Datenschutz unterliegen, gelten die EU-SCCs mit den nach schweizerischem Recht erforderlichen Anpassungen zur Gewährleistung angemessener Garantien, einschließlich der Maßgabe, dass Verweise auf die DSGVO das schweizerische Bundesgesetz über den Datenschutz einschließen, Verweise auf die Europäische Union oder Mitgliedstaaten, soweit anwendbar, die Schweiz einschließen, und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte die zuständige Aufsichtsbehörde ist, soweit dies nach schweizerischem Recht erforderlich ist.

Soweit nach anwendbaren Datenschutzgesetzen erforderlich, arbeiten die Parteien angemessen im Zusammenhang mit Übermittlungsfolgenabschätzungen, ergänzenden Maßnahmen oder Aktualisierungen des Übermittlungsmechanismus zusammen. Search Ventures kann angemessene und verhältnismäßige ergänzende technische, organisatorische oder vertragliche Maßnahmen ergreifen, um international übermittelte Kundendaten zu schützen.

Im Falle eines Widerspruchs zwischen diesem DPA und den EU-SCCs, dem UK Addendum oder den anwendbaren schweizerischen Anpassungen geht der jeweils anwendbare Übermittlungsmechanismus im Umfang des Widerspruchs vor.

12. Haftung

Die Haftung jeder Partei, die sich aus diesem DPA ergibt oder damit im Zusammenhang steht, sei es vertraglich, deliktisch oder nach einer anderen Haftungstheorie, unterliegt den in der Hauptvereinbarung festgelegten Haftungsbeschränkungen und -ausschlüssen, und jeder Verweis auf die Haftung einer Partei bezeichnet die Gesamthaftung dieser Partei im Rahmen der Hauptvereinbarung und dieses DPA zusammen.

13. Allgemeines

Dieser DPA unterliegt demselben Recht und denselben Zuständigkeits- und Streitbeilegungsbestimmungen wie die Hauptvereinbarung (den Gesetzen von Queensland, Australien), sofern die Datenschutzgesetze nichts anderes vorschreiben. Das anwendbare Recht und der Gerichtsstand der EU-SCCs sind in Abschnitt 11 und Anlage 4 festgelegt.

Im Falle eines Widerspruchs zwischen diesem DPA und der Hauptvereinbarung in Bezug auf die Verarbeitung personenbezogener Daten hat dieser DPA Vorrang. Im Falle eines Widerspruchs zwischen diesem DPA und den SCCs haben die SCCs Vorrang.

Sollte eine Bestimmung dieses DPA unwirksam oder nicht durchsetzbar sein, bleibt der übrige Teil in vollem Umfang wirksam.

Search Ventures kann diesen DPA aktualisieren, um Änderungen der anwendbaren Datenschutzgesetze, der Dienste, seiner Unterauftragsverarbeiter, Sicherheitsmaßnahmen oder betrieblichen Praktiken widerzuspiegeln. Search Ventures nimmt während der jeweils laufenden kostenpflichtigen Vertragslaufzeit keine Aktualisierung vor, die den dem Kunden gewährten Schutz der Kundendaten wesentlich mindert, außer soweit dies durch anwendbares Recht vorgeschrieben oder zur Bewältigung eines wesentlichen Sicherheits-, Betrugs- oder Betriebsrisikos erforderlich ist. Wirkt sich eine Aktualisierung wesentlich auf die Rechte oder Pflichten des Kunden aus diesem DPA aus, gibt Search Ventures dem Kunden angemessene vorherige Mitteilung über die Dienste, per E-Mail oder auf anderem angemessenem Wege. Die aktuelle Fassung dieses DPA wird über die Dienste zur Verfügung gestellt.

Mitteilungen, Einsprüche gegen Unterauftragsverarbeiter und Anfragen im Zusammenhang mit diesem DPA sind an privacy@formpaste.com oder über den in den Diensten oder der Datenschutzerklärung angegebenen Kontaktweg zu übermitteln.

Anlage 1 - Einzelheiten der Verarbeitung

Gegenstand und Dauer

Die Verarbeitung von Kundendaten, die über die Formpaste-Dienste übermittelt werden, für die Dauer der Hauptvereinbarung, zuzüglich der in Abschnitt 9 beschriebenen Aufbewahrungsfrist.

Art und Zweck der Verarbeitung

Empfang, Validierung, Speicherung und Weiterleitung von Web-Formulareinsendungen; Zustellung von Benachrichtigungs- und Autoresponder-E-Mails; Speicherung und Virenprüfung hochgeladener Dateianhänge; Verwaltung von Spam-Filterung, Bounce- und Beschwerdebearbeitung; und Ermöglichung der vom Kunden ausgewählten Integrationen.

Kategorien betroffener Personen

• Personen, die die Webformulare des Kunden absenden (z. B. Website-Besucher, Leads, Bewerber, Kunden des Kunden).
• Alle sonstigen Personen, deren personenbezogene Daten der Kunde in Einsendungen oder Konfigurationen einbezieht.

Arten personenbezogener Daten

Bestimmt durch den Kunden anhand der von ihm in seinen Formularen konfigurierten Felder. Dies kann unter anderem Folgendes umfassen:

• Kontaktdaten wie Name, E-Mail-Adresse, Telefonnummer und Postanschrift.
• Nachrichteninhalt und Freitextfelder, die von betroffenen Personen übermittelt werden.
• Dateianhänge und deren Inhalte.
• Technische Metadaten wie IP-Adresse, Zeitstempel und Referrer-Informationen.

Der Kunde darf seine Formulare nicht so konfigurieren, dass besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 der DSGVO, personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Artikel 10 der DSGVO, Zahlungskartendaten, Zugangsdaten zu Finanzkonten, staatlich ausgestellte Ausweisnummern, Authentifizierungsdaten oder sonstige hochsensible personenbezogene Daten erfasst werden, es sei denn, der Kunde hat eine angemessene Rechtsgrundlage sichergestellt und alle nach den anwendbaren Datenschutzgesetzen erforderlichen zusätzlichen Schutzmaßnahmen umgesetzt. Search Ventures benötigt solche Daten nicht zur Erbringung der Dienste.

Anlage 2 - Technische und organisatorische Maßnahmen

Search Ventures unterhält dem Risiko angemessene technische und organisatorische Maßnahmen. Für Übermittlungen im Rahmen der EU-SCCs bildet diese Anlage 2 den Anhang II der EU-SCCs. Die Maßnahmen umfassen unter anderem:

Verschlüsselung

• Verschlüsselung von Daten bei der Übertragung mittels TLS für Verbindungen zu den Diensten.
• Verschlüsselung ruhender Daten für gespeicherte Einsendungen und Dateianhänge bei Cloud-Infrastrukturanbietern.

Zugriffskontrolle

• Rollenbasierter Zugriff auf Produktionssysteme nach dem Prinzip der geringsten Rechte, beschränkt auf befugtes Personal.
• Authentifizierungskontrollen und Zugriffsprotokollierung für administrativen Zugriff.

Netzwerk- und Anwendungssicherheit

• Eine Web Application Firewall und Edge-Schutz für Einsende-Endpunkte.
• Ratenbegrenzung, Spam-Filterung und Missbrauchsschutzkontrollen, intern durchgeführt anhand von Heuristiken (siehe Anlage 3).
• Virenprüfung hochgeladener Dateianhänge vor der Zustellung.

Ausfallsicherheit und Wiederherstellung

• Nutzung verwalteter, redundanter Cloud-Infrastruktur mit der Fähigkeit, Verfügbarkeit und Zugriff auf personenbezogene Daten nach einem Vorfall zeitnah wiederherzustellen.
• Automatisierte Backups innerhalb der Umgebungen der Infrastrukturanbieter.

Governance

• Vertraulichkeitsverpflichtungen für Personal mit Zugriff auf Kundendaten.
• Kontrollen zur Datenminimierung und -aufbewahrung, einschließlich Time-to-Live-Ablauf gespeicherter Einsendungen.
• Prozesse zur Überprüfung und Aktualisierung von Sicherheitsmaßnahmen im Hinblick auf technische Entwicklungen.

Anlage 3 - Autorisierte Unterauftragsverarbeiter

Search Ventures beauftragt zum Wirksamkeitsdatum dieses DPA die folgenden Unterauftragsverarbeiter mit der Verarbeitung von Kundendaten. Für Übermittlungen im Rahmen der EU-SCCs bildet diese Anlage 3 den Anhang III der EU-SCCs.

Spam-Filterung und Missbrauchsschutz. Search Ventures führt die Spam- und Missbrauchserkennung anhand hausinterner Regeln und Heuristiken durch, einschließlich Ratenbegrenzung, Honeypots und Inhaltssignalen. Soweit Cloudflare-Dienste zur Bereitstellung von Edge-Sicherheit, Bot-Schutz, Ratenbegrenzung oder verwandten Schutzmaßnahmen eingesetzt werden, ist Cloudflare vorstehend als Unterauftragsverarbeiter aufgeführt. Search Ventures kann künftig CleanTalk Inc. (Vereinigte Staaten / global) für cloudbasierte Spam- und Missbrauchsprävention beauftragen, wobei CleanTalk die IP-Adressen und E-Mail-Adressen der Absender zur Bewertung von Einsendungen erhalten würde; CleanTalk ist zum Wirksamkeitsdatum nicht beauftragt, und eine etwaige Beauftragung wird gemäß Abschnitt 5 mitgeteilt, bevor CleanTalk Kundendaten verarbeitet.

Analyse der Marketing-Website. Search Ventures nutzt Clicky (Roxr Software Ltd) für Analysen der öffentlichen Formpaste-Marketingwebsite. Clicky ist kein Unterauftragsverarbeiter im Rahmen dieses DPA, soweit es keine über die Dienste im Auftrag des Kunden übermittelten oder darin gespeicherten Kundendaten verarbeitet. Die Nutzung von Clicky durch Search Ventures für die Analyse der eigenen Website wird in dessen Datenschutzerklärung und, soweit anwendbar, in Cookie-Hinweisen behandelt.

Zahlungen, Rechnungsstellung und Steuern. Search Ventures nutzt Stripe, Inc. zur Abwicklung von Zahlungen, Rechnungsstellung, Steuern und damit verbundenen Betrugspräventionsmaßnahmen für die eigene Kundenbeziehung von Search Ventures. Stripe handelt in Bezug auf diese Tätigkeiten als unabhängiger Verantwortlicher und ist kein Unterauftragsverarbeiter von Search Ventures im Rahmen dieses DPA, außer soweit Search Ventures gesondert schriftlich vereinbart, dass Stripe Kundendaten im Auftrag des Kunden verarbeitet.

Vom Kunden aktivierte Integrationen. Aktiviert der Kunde optionale ausgehende Integrationen, einschließlich Webhooks an vom Kunden ausgewählte Systeme, werden Kundendaten an die vom Kunden konfigurierten Ziele übermittelt. Diese Ziele sind eigene Auftragsverarbeiter oder Verantwortliche des Kunden und sind keine Unterauftragsverarbeiter von Search Ventures im Rahmen dieses DPA. Der Kunde ist verantwortlich für seine Beziehung zu diesen Zielen, seine Anweisungen an diese sowie die diese regelnden Bedingungen.

Search Ventures führt eine aktuelle Liste der Unterauftragsverarbeiter und stellt Änderungen gemäß Abschnitt 5 dieses DPA mit.

Anlage 4 - Einzelheiten zu SCCs und UK Addendum

A. Parteien

B. Beschreibung der Übermittlungen

C. Zuständige Aufsichtsbehörde

Für die EU-SCCs ist die zuständige Aufsichtsbehörde die gemäß Klausel 13 der EU-SCCs bestimmte Aufsichtsbehörde. Ist der Kunde im Europäischen Wirtschaftsraum niedergelassen, ist dies in der Regel die Aufsichtsbehörde des EWR-Mitgliedstaats, in dem der Kunde niedergelassen ist, sofern die EU-SCCs nichts anderes vorschreiben.

D. Auswahl zu Klausel 17 und Klausel 18

Die EU-SCCs unterliegen dem Recht Irlands, und Streitigkeiten aus den EU-SCCs werden, soweit nach den EU-SCCs zulässig und erforderlich, vor den Gerichten Irlands beigelegt.

E. UK Addendum

Für das UK Addendum gilt: Die Parteien sind die in Teil A dieser Anlage genannten Parteien; die ausgewählten EU-SCCs sind die in Abschnitt 11 beschriebenen; die Anhänge zu den EU-SCCs sind die Anlagen 1 bis 4 dieses DPA; und der Importeur kann das UK Addendum gemäß dessen Bedingungen beenden.

Annahme

Dieser DPA wird verbindlich, wenn der Kunde ihn elektronisch annimmt, sei es durch Klicken auf “Ich akzeptiere”, das Ankreuzen eines darauf verweisenden Kästchens, die Aktivierung der Dienste oder die fortgesetzte Nutzung der Dienste nach dessen Vorlage, wie oben beschrieben. Eine solche Annahme hat dieselbe rechtliche Wirkung wie eine handschriftliche Unterschrift, und für das Inkrafttreten dieses DPA ist keine physische oder elektronische Unterschrift erforderlich. Erfordert die Rechtsordnung, interne Richtlinie oder das Beschaffungsverfahren des Kunden ein unterschriebenes Gegenexemplar, kontaktieren Sie uns bitte hier.