Wenn Sie Cookiesh auf Ihrer Website installieren, sind die Einwilligungsentscheidungen Ihrer Besucher personenbezogene Daten. Sie entscheiden, warum diese Daten erhoben werden, und sind daher der Verantwortliche. Cookiesh verarbeitet sie in Ihrem Auftrag und ist daher Ihr Auftragsverarbeiter. Art. 28 DSGVO verlangt einen Vertrag zwischen uns beiden, und unser Auftragsverarbeitungsvertrag (AVV) ist dieser Vertrag.
Diese Seite fasst den AVV in einfacher Sprache zusammen. Weichen die beiden voneinander ab, ist der vollständige Vertrag maßgeblich.
Wann der AVV gilt
Der AVV ist Teil unserer Nutzungsbedingungen und gilt automatisch für jedes Cookiesh-Konto, auch im kostenlosen Tarif. Sie müssen nichts unterschreiben, damit er wirksam ist.
Wenn Ihr Einkaufsprozess ein gegengezeichnetes Exemplar verlangt, schreiben Sie an privacy@cookiesh.eu mit dem vollständigen Firmennamen und der Anschrift Ihres Unternehmens. Wir senden Ihnen dann ein Exemplar zur elektronischen Unterschrift. In Enterprise-Tarifen können wir auch einen individuellen AVV aushandeln oder mit Ihrer eigenen Vorlage arbeiten.
Was wir verarbeiten
| Details | |
|---|---|
| Gegenstand | Bereitstellung des Consent-Management-Dienstes von Cookiesh |
| Betroffene Personen | Besucher Ihrer Websites und Apps; Ihre Nutzer, die sich im Dashboard anmelden |
| Personenbezogene Daten | Pseudonyme Consent-ID, Zeitstempel, Einwilligungsentscheidungen je Kategorie, Banner- und Richtlinienversion, ungefähre Region (Land oder Bundesstaat), gekürzter User-Agent und, wenn Sie identify() nutzen, ein gesalzener Hash Ihrer Nutzer-ID |
| Nicht verarbeitet | Rohe IP-Adressen werden nicht gespeichert. Wir verarbeiten keine besonderen Kategorien personenbezogener Daten. |
| Zweck | Erfassen, Speichern und Nachweisen von Einwilligungen sowie deren Bereitstellung für Ihre Website |
| Dauer | Solange Sie Cookiesh nutzen, zuzüglich der Aufbewahrungsdauer, die Sie für Einwilligungsnachweise festlegen |
Unsere Pflichten als Auftragsverarbeiter
Nach dem AVV verpflichtet sich Cookiesh,
- personenbezogene Daten nur auf Ihre dokumentierte Weisung zu verarbeiten, die sich aus den Nutzungsbedingungen, dem AVV und Ihrer Konfiguration des Dienstes ergibt;
- sicherzustellen, dass alle Personen mit Zugriff auf die Daten zur Vertraulichkeit verpflichtet sind;
- die technischen und organisatorischen Sicherheitsmaßnahmen anzuwenden, die auf unserer Sicherheitsseite beschrieben sind;
- Sie bei der Beantwortung von Anfragen betroffener Personen zu unterstützen, etwa durch den Export oder die Löschung der Einwilligungsnachweise, die mit einer Consent-ID oder Nutzer-ID verknüpft sind;
- Sie bei Datenschutz-Folgenabschätzungen und bei der Konsultation von Aufsichtsbehörden zu unterstützen, soweit sie unseren Dienst betreffen;
- Sie über eine Verletzung des Schutzes Ihrer personenbezogenen Daten unverzüglich zu informieren, spätestens 48 Stunden, nachdem wir davon Kenntnis erlangt haben;
- Ihre Daten bei Vertragsende nach Ihrer Wahl zu löschen oder zurückzugeben, sofern das Gesetz keine Aufbewahrung verlangt;
- Ihnen die Informationen bereitzustellen, die Sie zum Nachweis der Compliance benötigen, und Audits wie unten beschrieben zu ermöglichen.
Unterauftragsverarbeiter
Sie erteilen uns eine allgemeine Genehmigung für den Einsatz der Unterauftragsverarbeiter, die auf unserer Seite zu Unterauftragsverarbeitern aufgeführt sind. Wir verpflichten jeden von ihnen auf Datenschutzbedingungen, die mindestens das Schutzniveau des AVV bieten, und bleiben für ihre Arbeit verantwortlich.
Wir informieren Kunden mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Widersprechen Sie aus berechtigten Datenschutzgründen, suchen wir gemeinsam mit Ihnen nach einer Lösung. Finden wir keine, können Sie den betroffenen Dienst kündigen und erhalten bereits gezahlte Entgelte dafür zurück.
Internationale Datenübermittlungen
Einwilligungsnachweise werden in der Europäischen Union gespeichert. Greift ein Unterauftragsverarbeiter von außerhalb des Europäischen Wirtschaftsraums auf personenbezogene Daten zu, ist die Übermittlung durch einen Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder durch die Standardvertragsklauseln der Europäischen Kommission (Module 2 und 3) abgesichert. Für Übermittlungen aus dem Vereinigten Königreich und der Schweiz enthält der AVV das UK International Data Transfer Addendum und die Schweizer Anpassungen der Klauseln.
Audits
Wir beantworten angemessene Sicherheitsfragebögen und stellen auf Anfrage Zusammenfassungen unserer Sicherheitsrichtlinien und der Ergebnisse externer Tests bereit. Reichen diese Informationen zum Nachweis der Compliance nicht aus oder verlangt eine Aufsichtsbehörde es, können Sie einmal pro Jahr ein Audit durchführen, mit einer Ankündigungsfrist von 30 Tagen und unter Wahrung der Vertraulichkeit. Vor-Ort-Audits sind in Enterprise-Tarifen möglich.
US-Datenschutzgesetze
Für Kunden, die dem CCPA/CPRA und ähnlichen Gesetzen von US-Bundesstaaten unterliegen, enthält der AVV Bestimmungen für Dienstleister (Service Provider). Cookiesh wird personenbezogene Informationen weder verkaufen noch weitergeben, sie für keinen anderen Zweck als die Erbringung des Dienstes nutzen und sie nicht mit personenbezogenen Informationen aus anderen Quellen zusammenführen, soweit diese Gesetze es nicht erlauben.
Kontakt
Für einen unterzeichneten AVV oder Fragen dazu schreiben Sie an privacy@cookiesh.eu.