Gemäß den Nutzungsbedingungen (die „Bedingungen“) stellt Smartsupp Ihnen als Benutzer des Service den Service bereit, wie in den Bedingungen festgelegt. Die Beziehung zwischen Smartsupp und Benutzer basiert somit auf einem Online-Registrierungsprozess des Benutzers oder einem schriftlichen oder elektronischen Vertrag, dem die Bedingungen beigefügt sind und die zusammen eine Vereinbarung zwischen Ihnen und Smartsupp bilden (die „Vereinbarung“). Diese Datenverarbeitungsvereinbarung (nachfolgend die „DPA“) bildet einen integralen Bestandteil der Vereinbarung.

Begriffe, die mit einem Großbuchstaben beginnen, haben die gleiche Bedeutung wie in den Bedingungen oder anderen in den Bedingungen genannten Anhängen festgelegt, sofern in diesem DPA nicht anders angegeben.

Smartsupp schließt dieses DPA in Übereinstimmung mit den geltenden Datenschutzgesetzen ab, wie beispielsweise der Verordnung 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr („DSGVO“) , dem Data Protection Act 2018 oder CCPA/CPRA sowie in Übereinstimmung mit anderen datenschutzrechtlichen Vorschriften, die während der Bereitstellung des Service gemäß der Vereinbarung anwendbar sind („anwendbare Datenschutzgesetze“).

Wenn dieses DPA vorsieht, dass Smartsupp als Auftragsverarbeiter personenbezogener Daten handelt, hat dies die Bedeutung von „Auftragsverarbeiter“ gemäß DSGVO und gleichwertigen Begriffen unter anderen anwendbaren Datenschutzgesetzen (z. B. „Service Provider“ wie im CCPA definiert). Wenn dieses DPA vorsieht, dass Sie als Verantwortlicher personenbezogener Daten agieren, hat dies die gleiche Bedeutung wie „Verantwortlicher“ gemäß DSGVO und gleichwertigen Begriffen unter anwendbaren Datenschutzgesetzen (z. B. „Business“ wie im CCPA definiert).

Wir haben den Artikel in mehrere Abschnitte gegliedert:

1.1 Verarbeitung personenbezogener Daten als Auftragsverarbeiter. Smartsupp kann personenbezogene Daten im Auftrag des Benutzers verarbeiten, wenn der Service dem Benutzer bereitgestellt wird, und Smartsupp handelt dann als Auftragsverarbeiter (oder Unterauftragsverarbeiter) personenbezogener Daten in Bezug auf den Benutzer.

Die von Smartsupp durchgeführten Verarbeitungsaktivitäten ergeben sich aus der Registrierung, der Vereinbarung oder aus dokumentierten Anforderungen, die vom Benutzer während der Bereitstellung des Service über die Plattform, die unter https://www.smartsupp.com verfügbar ist (die „Plattform“), gestellt werden.

1.2 Autorisierung zur Verarbeitung personenbezogener Daten. Der Benutzer autorisiert hiermit Smartsupp zur Verarbeitung der vom Benutzer bereitgestellten personenbezogenen Daten der betroffenen Personen im Rahmen des Service, wie in dieser DPA festgelegt. Smartsupp wird personenbezogene Daten für den Benutzer gemäß den dokumentierten Anweisungen des Benutzers und nur soweit notwendig für die ordnungsgemäße Erfüllung der Verpflichtungen von Smartsupp im Rahmen der Vereinbarung verarbeiten.

1.3 Verantwortung des Benutzers. Da Smartsupp als Auftragsverarbeiter agiert, handelt der Benutzer als Verantwortlicher und ist damit für die Erfüllung aller Verpflichtungen im Zusammenhang mit der Verarbeitung personenbezogener Daten verantwortlich. Zu diesen Pflichten gehören insbesondere die ordnungsgemäße Information der betroffenen Personen über die Verarbeitung personenbezogener Daten, das Einholen der erforderlichen Einwilligungen und die Bearbeitung von Anfragen der betroffenen Personen bezüglich der Wahrnehmung ihrer Rechte (z. B. Recht auf Auskunft, Zugang, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch usw.). Smartsupp wird den Benutzer bei der Erfüllung dieser Pflichten über die Plattform oder aufgrund dokumentierter Anfragen des Benutzers unterstützen. Allerdings ist Smartsupp in keiner Weise für die Richtigkeit und Rechtmäßigkeit der Aktivitäten des Benutzers verantwortlich, einschließlich jeglicher Tätigkeiten, die gegen Datenschutzgesetze oder sonstige Gesetze des Landes verstoßen könnten, aus dem der Benutzer den Service verwendet.

2.1 Gegenstand der Verarbeitung. Der Gegenstand der Verarbeitung personenbezogener Daten, wie nachfolgend definiert, durch Smartsupp ist die Bereitstellung des Service gemäß der Vereinbarung, insbesondere die Verarbeitung personenbezogener Daten bei Nutzung der Service-Funktionen, wie auf der Website beschrieben.

2.2 Arten personenbezogener Daten. Im Rahmen der Erfüllung der Pflichten aus der Vereinbarung und der Bereitstellung des Service können nachstehende Arten personenbezogener Daten im Sinne dieses DPA verarbeitet werden:

a) Kontaktdaten, wie Name, Nachname, E-Mail-Adresse, Telefonnummer oder Social-Media-Konto-Kontaktdaten,

b) Details über den Besuch der Website des Benutzers, wie URL der besuchten Website, Datum und Uhrzeit des Webseitenbesuchs, technische Informationen (Bildschirmauflösung, Gerätetyp, Browsertyp, Betriebssystem usw.), IP-Adresse, Geolokalisierungsdaten (Land und Stadt, aus dem der Benutzer Ihre Website besucht hat),

c) Informationen, die in Gesprächen zwischen Benutzern und Kunden oder anderen Benutzern bei Nutzung der Service-Funktionen enthalten sind,

d) technische Protokolle und weitere Informationen über Benutzer des Service (Smartsupp nutzt Tools von Drittanbietern zur Erfassung dieser Informationen),

e) weitere personenbezogene Daten, die der Benutzer in anderer Weise hochlädt oder verwendet, oder

f) personenbezogene Daten, deren Typ, Umfang und Details durch den Benutzer im eigenen Ermessen während der Bereitstellung des Service bestimmt und kontrolliert werden.

Der Umfang der personenbezogenen Daten hängt von der Art der genutzten Service-Funktionen ab. Der Service ist nicht dafür vorgesehen, besondere Kategorien personenbezogener Daten zu speichern. Der Benutzer darf den Service nicht zur Speicherung oder Verarbeitung solcher besonderer Kategorien personenbezogener Daten nutzen. Sollte der Benutzer dennoch solche Daten im Rahmen des Service verarbeiten, übernimmt Smartsupp dafür keinerlei Haftung.

2.3 Kategorien der betroffenen Personen. Smartsupp wird personenbezogene Daten folgender Kategorien betroffener Personen verarbeiten:

a) Mitarbeiter (sowie andere Beschäftigte und Personen, die im Namen des Benutzers handeln) des Benutzers;

b) Personen, für die der Benutzer ein Konto im Rahmen des Service erstellt hat;

c) Kunden und andere Benutzer des Benutzers, an die der Service bereitgestellt wird;

d) Besucher der Website des Benutzers;

e) weitere Personen, deren personenbezogene Daten vom Benutzer während der Bereitstellung des Service an Smartsupp übermittelt wurden und deren personenbezogene Daten im Zusammenhang mit der Bereitstellung des Service an den Benutzer aufgezeichnet oder auf andere Weise verarbeitet wurden.

3.1 Art der Verarbeitung personenbezogener Daten. Smartsupp wird personenbezogene Daten automatisiert, elektronisch verarbeiten. Die Verarbeitung umfasst den Zugriff auf die personenbezogenen Daten im Rahmen der Bereitstellung des Service, das Anzeigen der Daten, deren Speicherung und weitere Aktivitäten, die mit der Bereitstellung des Service an den Benutzer in Zusammenhang stehen. Die Art der Verarbeitung personenbezogener Daten ergibt sich aus:

a) der von den Parteien abgeschlossenen Vereinbarung;

b) den Anforderungen des Benutzers oder anderer autorisierter Benutzer, die die Plattform im Namen des Benutzers verwenden;

c) der Natur des Service und der Plattform;

d) sonstigen dokumentierten Anweisungen, die vom Benutzer bereitgestellt werden.

3.2 Zweck der Verarbeitung. Zweck der Verarbeitung ist die Bereitstellung des Service an den Benutzer gemäß den Bedingungen sowie andere Zwecke, die sich aus der Bereitstellung des Service ergeben können.

4.1 Dauer der Verarbeitung personenbezogener Daten. Die Verarbeitung personenbezogener Daten erfolgt für die Dauer der Vereinbarung oder solange Smartsupp auf Anweisung des Benutzers im Zusammenhang mit der Erfüllung der Vereinbarung handelt. Smartsupp verpflichtet sich, die sich aus den Datenschutzgesetzen ergebenden Verpflichtungen für die gesamte Dauer der Vereinbarung zu erfüllen, es sei denn, aus der Vereinbarung geht hervor, dass diese nach ihrer Beendigung fortdauern.

4.2 Rückgabe und Löschung personenbezogener Daten. Wird die Vereinbarung beendet, löscht Smartsupp im zulässigen Rahmen der anwendbaren Datenschutzgesetze sämtliche personenbezogenen Daten, die zum Zweck der Bereitstellung des Service gespeichert wurden, innerhalb von 3 Monaten nach Beendigung. Fordert der Benutzer innerhalb des oben genannten Zeitraums die Rückgabe der Daten an, ist Smartsupp berechtigt, dafür eine angemessene Gebühr in einer vorab mitgeteilten Höhe zu verlangen.

5.1 Verpflichtungen von Smartsupp. Bei der Verarbeitung personenbezogener Daten verpflichtet sich Smartsupp zu Folgendem:

a) die Verarbeitung personenbezogener Daten ausschließlich auf Grundlage dokumentierter Anweisungen seitens des Benutzers vorzunehmen; zur Klarstellung wird die Verarbeitung zur Erfüllung der Verpflichtungen aus der Vereinbarung als in Übereinstimmung mit den Anweisungen des Benutzers erfolgend angesehen;

b) die Anweisungen des Benutzers hinsichtlich der Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation zu befolgen, es sei denn, diese Verarbeitung ist bereits durch EU-Recht oder das Recht eines Mitgliedstaats vorgeschrieben, dem Smartsupp unterliegt;

c) sicherzustellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen entweder zur Vertraulichkeit verpflichtet sind oder gesetzlich der Vertraulichkeit unterliegen;

d) unter Berücksichtigung der Art der Verarbeitung den Benutzer durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung der Pflicht zur Beantwortung der Anfragen von betroffenen Personen zu unterstützen; die Regeln zur Bearbeitung der Anfragen der betroffenen Personen werden in Artikel 5.2 dieses DPA festgelegt;

e) den Benutzer bei der Erfüllung der Pflichten zu unterstützen, (i) die Sicherheit der Verarbeitung zu gewährleisten, (ii) Datenschutzverletzungen der Datenschutzbehörde und, soweit zutreffend, auch betroffenen Personen zu melden, (iii) die Auswirkungen auf den Schutz personenbezogener Daten zu bewerten und (iv) vorab eine Beratung bei der Datenschutzbehörde durchzuführen – jeweils unter Berücksichtigung der Art der Verarbeitung und der Art der verarbeiteten personenbezogenen Daten;

f) dem Benutzer oder einer von diesem beauftragten Person zu ermöglichen, die Einhaltung dieses DPA (einschließlich Prüfung oder Inspektion) zu kontrollieren, insbesondere die Einhaltung der sich daraus ergebenden Verarbeitungspflichten personenbezogener Daten, und hierzu nach den angemessenen Anweisungen des Benutzers oder der autorisierten Person beizutragen; die spezifischen Regeln für Audits sind in den Artikeln 5.3 und 5.4 dieses DPA geregelt;

g) dem Benutzer sämtliche Informationen zur Verfügung zu stellen, die vernünftigerweise von Smartsupp erwartet werden können, um zu belegen, dass die Verpflichtungen nach den relevanten Datenschutzgesetzen eingehalten wurden.

5.2 Anfragen von betroffenen Personen. Wenn sich eine betroffene Person direkt an Smartsupp wendet, weist Smartsupp diese darauf hin, sich mit dem Anliegen direkt an den Benutzer zu wenden. Smartsupp wird nach wirtschaftlich vertretbaren Möglichkeiten den Benutzer bei der Beantwortung solcher Anfragen unterstützen, soweit dies rechtlich zulässig ist. Für etwaige Kosten, die aus der Unterstützung durch Smartsupp entstehen, ist der Benutzer verantwortlich und zuständig für die korrekte Bearbeitung solcher Anfragen.

5.3 Regeln für das Audit. Der Benutzer richtet jeden Antrag auf ein Audit (Prüfung) ausschließlich an die Smartsupp E-Mail-Adresse dpo@smartsupp.com und dies in angemessenen Abständen. Nach Eingang einer Audit-Anfrage stimmen die Parteien im Voraus die (i) mögliche Durchführung, (ii) Sicherheitsmaßnahmen und Einhaltung von Vertraulichkeitspflichten während des Audits sowie (iii) den erwarteten Beginn, Umfang und die Dauer des Audits ab. Kann binnen 30 Tagen nach Antrag keine Einigung erzielt werden, legt Smartsupp die Bedingungen des Audits fest.

5.4 Auditor. Smartsupp kann einem vom Benutzer eingesetzten Prüfer (autorisierten Person) schriftlich widersprechen, wenn nach Auffassung von Smartsupp der Auditor nicht ausreichend qualifiziert, nicht unabhängig ist, in einem Wettbewerbsverhältnis zu Smartsupp steht oder anderweitig offensichtlich ungeeignet ist. Nach Widerspruch ist der Benutzer verpflichtet, einen anderen Auditor zu ernennen oder die Prüfung selbst durchzuführen. Der Benutzer informiert Smartsupp unverzüglich über festgestellte Verstöße gegen anwendbare Datenschutzgesetze oder dieses DPA, die im Rahmen des Audits entdeckt wurden.

5.5 Umfang des Audits. Der Umfang des vom Benutzer durchgeführten Audits beschränkt sich auf Dokumentationen und Prozesse, die direkt mit der Nutzung des Service durch den jeweiligen Benutzer verbunden sind.

5.6 Unterauftragsverarbeiter. Der Benutzer erklärt sich mit dem Einsatz weiterer Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten einverstanden. Je nach Art des bereitgestellten oder angeforderten Service kann Smartsupp weitere Unterauftragsverarbeiter einsetzen oder personenbezogene Daten an andere Empfänger weitergeben. Der Benutzer erklärt sich damit einverstanden, dass Smartsupp die aufgelisteten Unterauftragsverarbeiter unter folgendem Link einsetzt: https://help.smartsupp.com/de/articles/12647685

5.7 Einspruch gegen weitere Unterauftragsverarbeiter. Smartsupp wird den Benutzer schriftlich oder durch Aktualisierung der Liste der Unterauftragsverarbeiter über den Einsatz eines neuen Unterauftragsverarbeiters informieren und der Benutzer kann innerhalb von 10 Werktagen nach Benachrichtigung Einspruch erheben. Erfolgt kein Einspruch innerhalb der Frist, wird Smartsupp den weiteren Unterauftragsverarbeiter einbinden. Im Falle eines Widerspruchs wird Smartsupp diesen prüfen und, wenn dieser berechtigt ist, den Unterauftragsverarbeiter nicht einsetzen oder eine wirtschaftlich vertretbare Änderung der Servicekonfiguration vornehmen, um eine Verarbeitung durch diesen Unterauftragsverarbeiter zu vermeiden. Ist eine Änderung nicht möglich, kann Smartsupp die Vereinbarung mit dem Benutzer (vollständig oder teilweise) kündigen oder den betreffenden Leistungsbestandteil nicht bereitstellen, ohne in Verzug zu geraten oder eine Pflichtverletzung zu begehen. Smartsupp erstattet dem Benutzer etwaige vorausbezahlte Gebühren für den restlichen Zeitraum der gekündigten Vereinbarung hinsichtlich dieses Service zurück, ohne dabei eine Vertragsstrafe für den Benutzer zu erheben.

5.8 Pflichten von weiteren Unterauftragsverarbeitern. Wenn Smartsupp einen anderen Unterauftragsverarbeiter einsetzt, muss dieser sich vertraglich denselben Pflichten zum Schutz personenbezogener Daten unterwerfen, wie sie zwischen dem Benutzer und Smartsupp vereinbart wurden, sowie geeignete technische und organisatorische Maßnahmen umsetzen.

5.9 Haftung für Unterauftragsverarbeiter. Smartsupp haftet für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in gleicher Weise, als ob die Bereitstellung des Service jedes Unterauftragsverarbeiters direkt unter den Bedingungen dieses DPA erfolgt wäre, soweit in der Vereinbarung nichts anderes geregelt ist.

5.10 Kosten im Zusammenhang mit der Erfüllung des DPA. Sofern nicht schriftlich anders vereinbart, trägt der Benutzer die eigenen Kosten im Zusammenhang mit der Erfüllung dieses DPA. Smartsupp ist berechtigt, dem Benutzer die im Zusammenhang mit der Erfüllung von Pflichten nach diesem DPA entstehenden angemessenen Kosten in Rechnung zu stellen.

6.1 Pflicht zur Sicherung personenbezogener Daten. Smartsupp hat technische und organisatorische Maßnahmen getroffen und hält diese aufrecht, um unbefugten oder versehentlichen Zugriff auf, Änderung, Zerstörung oder Verlust personenbezogener Daten, unbefugte Übertragungen oder weitere unerlaubte Verarbeitung oder missbräuchliche Nutzung personenbezogener Daten zu verhindern. Die Einhaltung dieser Maßnahmen wird von Smartsupp regelmäßig überwacht.

6.2 Spezifische Sicherheitsmaßnahmen. Smartsupp hat die folgenden Maßnahmen implementiert und hält diese ein, um ein angemessenes Schutzniveau zu gewährleisten:

Technische Maßnahmen:

a) Pseudonymisierung und Verschlüsselung personenbezogener Daten:

Die Plattform, auf der personenbezogene Daten verarbeitet werden, erlaubt nur sichere Kanäle oder Protokolle für eingehende Netzwerkverbindungen; Smartsupp verschlüsselt Daten mit SSL/TLS für alle Datenübertragungen

Die IT-Systeme, die personenbezogene Daten verarbeiten, lassen nur sichere Kanäle oder Protokolle zu;

Kryptografische Schlüssel werden sicher verwaltet.

b) Die Fähigkeit, die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen und Services zu gewährleisten:

Physischer Zugang durch das Personal von Smartsupp ist nur autorisierten Personen gestattet;

Smartsupp hat Mechanismen eingeführt, um physischen oder Online-Zugriff auf Server, auf denen personenbezogene Daten gespeichert werden, zu beschränken;

Verhinderung, dass Unbefugte auf personenbezogene Daten zugreifen oder diese ohne Berechtigung verwenden können;

Personen, die zur Verarbeitung personenbezogener Daten autorisiert sind, haben nur Zugang zu den Daten, die sie benötigen und für deren Zugriff sie berechtigt sind. Personenbezogene Daten können während der Verarbeitung nicht ohne Berechtigung gelesen, kopiert, verändert oder entfernt werden;

Der Zugriff ist stark authentifiziert (z. B. durch die Verwendung starker Passwörter);

Zugriffsrechte werden regelmäßig überprüft;

Erfolgreiche und fehlgeschlagene Zugriffsversuche werden protokolliert und überwacht;

Dem Personal von Smartsupp ist es untersagt, personenbezogene Daten lokal an ihren Arbeitsplätzen oder an einem anderen Netzwerkort herunterzuladen und zu verarbeiten;

Alle Ausfälle und Anomalien der Plattform werden protokolliert.

c) Die Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten im Falle physischer oder technischer Vorfälle rechtzeitig wiederherzustellen:

Smartsupp hat Backup-Prozesse, Mechanismen und Tools implementiert;

Wiederherstellungsverfahren, Lesbarkeit und Integrität der Backups werden regelmäßig getestet.

d) Smartsupp hat Prozesse für regelmäßige Tests, Bewertungen und Überprüfungen der Wirksamkeit der bestehenden technischen und organisatorischen Maßnahmen eingeführt, um die Sicherheit der Verarbeitung zu gewährleisten.

e) Personenbezogene Daten können während der elektronischen Übertragung, des Transports oder der Speicherung nicht ohne Berechtigung verändert oder gelöscht werden und die Empfänger von Übertragungen können festgestellt und überprüft werden.

Organisatorische Maßnahmen:

f) Alle mit der Verarbeitung personenbezogener Daten befassten Mitarbeiter sind über die Vertraulichkeit der Daten informiert, haben eine entsprechende Schulung zu ihren Pflichten erhalten und schriftliche Vertraulichkeitsvereinbarungen unterzeichnet.

g) Smartsupp hat interne Richtlinien und Prozesse zur Sicherung der Verarbeitung personenbezogener Daten gemäß geltendem Datenschutzrecht implementiert.

h) Bei Fragen zu diesem DPA, zur Einhaltung der Datenschutzgesetze, zur Daten- oder sonstigen Datenschutzthemen, kann der Kunde eine E-Mail an dpo@smartsupp.com senden.

6.3 Sicherheitsvorfälle. Wenn Smartsupp eine Verletzung des Schutzes personenbezogener Daten feststellt, wird dies dem Benutzer unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden des Vorfalls, gemeldet. Smartsupp wird sich nach besten Möglichkeiten bemühen, dem Benutzer alle verfügbaren Informationen über den Vorfall mitzuteilen, insbesondere:

Smartsupp wird auf jede Unterstützunganfrage des Benutzers im Falle eines Sicherheitsvorfalls unverzüglich reagieren.

6.4 Unrechtmäßige Anweisungen. Gibt der Benutzer Smartsupp Anweisungen, durch die Verpflichtungen nach Datenschutzgesetzen verletzt werden und Smartsupp deshalb von einer Aufsichtsbehörde oder einer anderen Regulierungsstelle sanktioniert oder zur Entschädigung von betroffenen Personen verpflichtet wird, verpflichtet sich der Benutzer, Smartsupp nach schriftlicher Aufforderung für die entstandenen Schäden zu entschädigen und aufzukommen.

6.5 Haftungsbeschränkung. Die gleiche Haftungsbeschränkung, wie in den Bedingungen dargelegt, gilt auch für dieses DPA.

6.6 Änderungen. Für Änderungen gelten die gleichen Regeln wie in den Bedingungen aufgeführt.

6.7 Wirksamkeit. Dieses DPA wird gemeinsam mit der Vereinbarung rechtlich bindend zwischen Benutzer und Smartsupp.