Auftragsverarbeitungsvertrag (AVV)

1. Umfang und Anwendbarkeit

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen zwischen Cemile Ceylan („Auftragsverarbeiter“) und dem Kunden („Verantwortlicher“) und gilt, wenn der Auftragsverarbeiter im Rahmen der Erbringung der MobVex-Dienste personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Dieser AVV entspricht Artikel 28 der Datenschutz-Grundverordnung (DSGVO).

Dieser AVV gilt für Unternehmens- und Geschäftskunden. Um diesen AVV abzuschließen, kontaktieren Sie uns bitte unter info@mobvex.io.

2. Definitionen

• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• Verarbeitung: Jeder Vorgang, der an personenbezogenen Daten vorgenommen wird (Erhebung, Speicherung, Verwendung usw.).
• Verantwortlicher: Der Kunde, der die Zwecke und Mittel der Verarbeitung bestimmt.
• Auftragsverarbeiter: Cemile Ceylan, die Daten im Auftrag des Verantwortlichen verarbeitet.
• Betroffene Person: Die natürliche Person, deren personenbezogene Daten verarbeitet werden.
• Unterauftragsverarbeiter: Ein Dritter, der vom Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragt wird.

3. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten zum Zweck der Bereitstellung des MobVex-Dienstes für den Verantwortlichen. Die Verarbeitungstätigkeiten umfassen:

• Kontodaten: E-Mail-Adressen, Namen und Authentifizierungstoken für die Kontoverwaltung.
• Abrechnungsdaten: Über Paddle (Unterauftragsverarbeiter) verarbeitete Zahlungsinformationen.
• Nutzungsdaten: Tool-Nutzungsprotokolle, Credit-Verbrauch und Metriken zu Funktionsinteraktionen.
• App-Inventar: Vom Verantwortlichen bereitgestellte Paketnamen und App-Kennungen.
• Analyseergebnisse: Für den Verantwortlichen erstellte Berichte, Keyword-Rankings und Rezensionsanalysen.

4. Dauer der Verarbeitung

Die Verarbeitung dauert für die Dauer des Kontos des Verantwortlichen und bis zu 30 Tage nach Beendigung des Kontos, es sei denn, eine längere Aufbewahrung ist gesetzlich vorgeschrieben.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter erklärt sich damit einverstanden:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf Übermittlungen.
• Sicherzustellen, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, Vertraulichkeitsverpflichtungen unterliegen.
• Geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen (siehe Abschnitt 7).
• Den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen.
• Den Verantwortlichen bei der Erfüllung der DSGVO-Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen und DPIA zu unterstützen.
• Den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 72 Stunden zu benachrichtigen, wenn ihm eine Datenschutzverletzung bekannt wird.
• Alle personenbezogenen Daten nach Beendigung der Dienste zu löschen oder an den Verantwortlichen zurückzugeben.
• Dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Konformität erforderlich sind.
• Audits zu ermöglichen und dazu beizutragen, die vom Verantwortlichen oder einem bevollmächtigten Prüfer durchgeführt werden.

6. Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die folgenden Unterauftragsverarbeiter einzusetzen:

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung hinsichtlich der Hinzufügung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, Einspruch zu erheben.

7. Sicherheitsmaßnahmen

Der Auftragsverarbeiter setzt die folgenden technischen und organisatorischen Maßnahmen um und hält sie aufrecht:

• Verschlüsselung von Daten während der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256)
• Firebase Authentication für die Zugriffskontrolle mit sicherem Sitzungsmanagement
• Content Security Policy (CSP) und Sicherheitsheader (X-Frame-Options, XSS-Schutz)
• Regelmäßige Sicherheitsupdates und Schwachstellen-Scans der Abhängigkeiten
• Firewall- und DDoS-Schutz über die Google Cloud-Infrastruktur
• Zugriffsprotokollierung und Überwachung administrativer Aktionen
• Prinzip der minimalen Berechtigung für den internen Zugriff auf Produktionssysteme
• Daten werden ausschließlich in der Region us-central1 gespeichert, sofern nicht anders angegeben

8. Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflicht des Verantwortlichen, auf Anträge betroffener Personen nach der DSGVO (Artikel 12-23) zu reagieren.

Anträge betroffener Personen sollten an info@mobvex.io gerichtet werden.

9. Internationale Datenübermittlungen

Personenbezogene Daten werden in den Vereinigten Staaten verarbeitet und gespeichert. Für Übermittlungen aus dem EWR in die USA stützt sich der Auftragsverarbeiter auf die Standardvertragsklauseln (SCCs) und, soweit anwendbar, auf ergänzende Maßnahmen. Für Firebase-Dienste gelten die DSGVO-konformen Datenverarbeitungsbedingungen der Google Cloud Platform.

10. Haftung

Die Haftung jeder Partei im Rahmen dieses AVV unterliegt den in den Nutzungsbedingungen festgelegten Beschränkungen. Nichts in diesem AVV beschränkt die Haftung einer Partei für Datenschutzverletzungen, die durch ihre Fahrlässigkeit oder ihr vorsätzliches Fehlverhalten verursacht wurden, oder soweit die Haftung gesetzlich nicht beschränkt werden kann.

11. Ausführung

Dieser AVV wird für qualifizierte Kunden durch Verweis in die Nutzungsbedingungen einbezogen. Für eine gesondert unterzeichnete Vereinbarung können Unternehmenskunden uns unter info@mobvex.io kontaktieren.

12. Kontakt