Auftragsverarbeitungsvertrag (AVV/DPA)

Artikel 1 · Begriffsbestimmungen

Im Sinne dieses AVV bezeichnet:

• „Kunde“ die juristische oder natürliche Person, die Ooklo abonniert oder den Marketplace nutzt.
• „Ooklo“ die VICMEDIA LTD, 126 Aldersgate Street, London EC1A 4JQ, Vereinigtes Königreich, handelnd unter der Marke „Ooklo“.
• „Kundendaten“ die personenbezogenen Daten, die der Kunde in die Plattform hochlädt, importiert oder synchronisiert (Kunden, Interessenten, Beschäftigte und Ähnliches).
• „Marketplace-Daten“ die B2B- oder B2C-Kontakte, die dem Kunden über den Ooklo Marketplace bereitgestellt werden und aus Datenbanken mehrerer unabhängiger, qualifizierter Herausgeber stammen.
• „Unterauftragsverarbeiter“ jeden Dritten, den Ooklo zur Verarbeitung von Daten im Auftrag des Kunden einsetzt.
• „Betroffene Personen“ die natürlichen Personen, deren personenbezogene Daten im Rahmen dieses AVV verarbeitet werden.

Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“, „Verletzung des Schutzes personenbezogener Daten“, „Empfänger“ und „betroffene Person“ haben die Bedeutung nach Artikel 4 DSGVO.

Artikel 2 · Gegenstand und Dauer

Dieser AVV legt fest, unter welchen Bedingungen Ooklo Kundendaten im Auftrag des Kunden verarbeitet und unter welchen Bedingungen Ooklo die Marketplace-Daten bereitstellt.

Der AVV tritt zum frühesten der folgenden Zeitpunkte in Kraft: (i) Annahme der Nutzungsbedingungen von Ooklo, (ii) erstes Hochladen einer Kontaktliste in die Plattform, (iii) erste Bestellung im Marketplace. Er gilt für die Dauer der Vertragsbeziehung sowie für die in Artikel 9 genannten gesetzlichen Aufbewahrungsfristen.

Artikel 3 · Teil A: Ooklo als Auftragsverarbeiter des Kunden

Für die Kundendaten ist der Kunde alleiniger Verantwortlicher. Ooklo handelt als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO und verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Weisungen des Kunden ergeben sich aus (a) der Konfiguration seines Ooklo-Kontos, (b) der Nutzung der Funktionen der Plattform und (c) gegebenenfalls aus besonderen schriftlichen Weisungen an dpo@ooklo.com.

3.1 Art und Zweck der Verarbeitung

Ooklo verarbeitet Kundendaten zu folgenden Zwecken:

• Sicheres Hosting und Speichern der Kontaktlisten des Kunden.
• Versand der vom Kunden erstellten Marketingkampagnen: E-Mail, SMS, Beiträge in sozialen Netzwerken, Google-Unternehmensprofil, WhatsApp, Hub-Module.
• Messung der Zustellbarkeit, Leistungsberichte und Auswertungen in der Übersicht.
• Automatische Bearbeitung von Abmeldungen und Beschwerden (Sperrliste auf Ebene des Kundenkontos).
• Technischer Support auf Anfrage des Kunden, mit Protokollierung zu Prüfzwecken.

3.2 Kategorien betroffener Personen

• Kunden und Interessenten des Kunden.
• Mitglieder, Abonnenten und Programmteilnehmer des Kunden.
• Beschäftigte des Kunden (nur wenn vom Kunden hochgeladen).
• Verfasser von Bewertungen und eingehende Kontakte über verbundene Kanäle.

3.3 Kategorien personenbezogener Daten

• Identifikationsdaten: Name, Vorname, Anrede, interne Kennung.
• Kontaktdaten: E-Mail, Festnetz- und Mobilnummer, Postanschrift.
• Transaktionsdaten: Kaufhistorie, durchschnittlicher Warenkorb, Besuchshäufigkeit (sofern vom Kunden bereitgestellt).
• Verhaltensdaten: Öffnungen, Klicks, Konversionen im Zusammenhang mit Ooklo-Kampagnen.
• Einwilligungsdaten: Opt-in- und Opt-out-Status, Datum und Quelle der Einwilligung.
• Technische Daten im Zusammenhang mit dem Versand: IP-Adresse, User-Agent, Zustellstatus.

Ooklo verarbeitet, außer auf ausdrückliche schriftliche Weisung des Kunden, keine besonderen Kategorien von Daten im Sinne der Artikel 9 und 10 DSGVO.

3.4 Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Abonnements des Kunden zuzüglich einer Kulanzfrist von 30 Tagen nach Schließung des Kontos, in der der Kunde das Konto reaktivieren oder seine Daten exportieren kann. Nach Ablauf dieser Frist werden die Kundendaten gemäß Artikel 9 gelöscht.

Artikel 4 · Pflichten von Ooklo als Auftragsverarbeiter

Ooklo verpflichtet sich gemäß Artikel 28 Abs. 3 DSGVO:

• Kundendaten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten, auch in Bezug auf Übermittlungen außerhalb der EU. Zum Datum dieses AVV findet keine Übermittlung außerhalb der EU/des EWR statt.
• Zu gewährleisten, dass die zur Verarbeitung der Kundendaten befugten Personen einer angemessenen vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegen.
• Die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen.
• Die in Artikel 5 und Anlage 1 festgelegten Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten.
• Den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen (Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung, Datenübertragbarkeit, Widerruf der Einwilligung).
• Den Kunden bei der Einhaltung seiner Pflichten aus den Artikeln 32 bis 36 DSGVO zu unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, vorherige Konsultation).
• Nach Ende der Leistung nach Wahl des Kunden alle Kundendaten zu löschen oder zurückzugeben, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Dem Kunden alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und Überprüfungen gemäß Artikel 10 zu ermöglichen.
• Den Kunden unverzüglich zu informieren, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere anwendbare Vorschriften verstößt.

Artikel 5 · Unterauftragsverarbeiter

Der Kunde erteilt Ooklo eine allgemeine Genehmigung, die in Anlage 1 aufgeführten Unterauftragsverarbeiter zur Erbringung der Leistung einzusetzen. Alle derzeitigen Unterauftragsverarbeiter haben ihren Sitz in der Europäischen Union oder im EWR.

Ooklo schließt mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag, der Datenschutzpflichten auferlegt, die denen dieses AVV gleichwertig sind, insbesondere die Sicherheitsanforderungen nach Artikel 32 DSGVO.

Bei einer Änderung der Unterauftragsverarbeiter (Hinzuziehung oder Ersetzung) informiert Ooklo den Kunden mindestens dreißig (30) Tage im Voraus per E-Mail an die Kontaktadresse des Kontos oder durch Veröffentlichung auf der Seite /dpa. Der Kunde kann innerhalb dieser Frist aus berechtigten Gründen Einspruch erheben. Ist der Einspruch berechtigt, suchen die Parteien nach Treu und Glauben eine alternative Lösung; gelingt dies nicht, kann der Kunde die betroffene Leistung ohne Vertragsstrafe kündigen.

Artikel 6 · Sicherheit

Ooklo setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere:

• Verschlüsselung personenbezogener Daten im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.2+).
• Mehrfaktor-Authentifizierung für alle Administratorkonten.
• Rollenbasierte Zugriffskontrollen und Prinzip der minimalen Rechtevergabe.
• Protokollierung und Überwachung sensibler Zugriffe.
• Verschlüsselte Sicherungskopien, die regelmäßig wiederhergestellt und getestet werden.
• Jährliche Penetrationstests und Schwachstellenprüfungen.

Artikel 7 · Verletzung des Schutzes personenbezogener Daten

Betrifft eine Verletzung des Schutzes personenbezogener Daten Kundendaten, meldet Ooklo dies dem Kunden unverzüglich und spätestens zweiundsiebzig (72) Stunden, nachdem Ooklo davon Kenntnis erlangt hat. Die Meldung beschreibt:

• Die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze.
• Die wahrscheinlichen Folgen.
• Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen.
• Die Ansprechperson bei Ooklo.

Ooklo unterstützt den Kunden bei der Meldung an die zuständige Aufsichtsbehörde und, soweit erforderlich, bei der Benachrichtigung der betroffenen Personen.

Artikel 8 · Rechte der betroffenen Personen

Richtet eine betroffene Person einen Antrag auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung, Datenübertragbarkeit) an Ooklo, leitet Ooklo den Antrag innerhalb von fünf (5) Werktagen an den Kunden weiter und antwortet, sofern der Kunde nichts anderes anweist, nicht selbst.

Ooklo stellt dem Kunden in der Plattform Export- und Löschfunktionen zur Verfügung, damit der Kunde den betroffenen Personen innerhalb der in der DSGVO vorgesehenen Frist von einem Monat antworten kann.

Artikel 9 · Aufbewahrung, Rückgabe und Löschung

Es gelten folgende Aufbewahrungsfristen:

• Aktives Konto: für die Dauer des Abonnements.
• Kulanzfrist nach Schließung: 30 Tage, in denen der Kunde das Konto reaktivieren oder seine Daten exportieren kann.
• Kundendaten nach Ablauf der Kulanzfrist: Löschung aus den aktiven Systemen; verschlüsselte Sicherungskopien werden innerhalb von höchstens 60 Tagen bereinigt.
• Daten mit gesetzlicher Aufbewahrungspflicht (Rechnungsstellung, Buchhaltung, Betrugsbekämpfung): Archivierung für die nach geltendem Recht vorgeschriebene Dauer, danach Löschung.
• Vom Kunden genutzte Marketplace-Daten: siehe Artikel 12.

Artikel 10 · Überprüfungen

Der Kunde kann auf eigene Kosten die Einhaltung dieses AVV durch Ooklo überprüfen, höchstens einmal alle zwölf (12) Monate und mit einer angemessenen Vorankündigung von mindestens dreißig (30) Tagen. Die Überprüfung erfolgt durch den Kunden oder durch einen unabhängigen externen Prüfer, der einer Verschwiegenheitspflicht unterliegt. Die Überprüfung darf sich nicht auf Daten oder Systeme anderer Kunden von Ooklo erstrecken.

Ooklo kann diese Pflicht durch Vorlage aktueller Prüfberichte (SOC 2, ISO 27001 oder gleichwertig) erfüllen, sofern verfügbar.

Artikel 11 · Teil B: Marketplace mit Interessentendaten

11.1 Herkunft der Daten

Die Marketplace-Daten werden aus mehreren qualifizierten Quellen zusammengeführt, mit einem Richtvolumen von rund 3 Millionen B2B- und 8 Millionen B2C-Kontakten in Frankreich.

11.2 Rechtsgrundlage

• B2B-Kontakte: berechtigtes Interesse des Absenders (Artikel 6 Abs. 1 lit. f DSGVO und Erwägungsgrund 47), verbunden mit einem einfachen und kostenlosen Widerspruchsrecht der betroffenen Personen. Die Ansprache ist rein beruflich und bezieht sich auf die Funktion des Empfängers.
• B2C-Kontakte: freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Einwilligung (Artikel 6 Abs. 1 lit. a und Artikel 7 DSGVO), von den Datenbankherstellern bei der Erhebung eingeholt, mit dokumentiertem Zeitstempel und dokumentierter Quelle. Die Opt-ins für Marketing und für SMS sind getrennt.

11.3 Aktualität und Qualität der Daten

• Vollständige monatliche Aktualisierung der Datenbanken durch die Hersteller (Modus „Löschen und Ersetzen“ zwischen dem 1. und dem 10. jedes Monats).
• Wöchentliche Aktualisierung von Abmeldungen, Beschwerden, unzustellbaren Postanschriften (NPAI), Spamtraps und Hardbounces. Diese Signale werden sofort in die Sperrliste des Marketplace übernommen.
• B2B-E-Mail-Adressen und B2B-Mobilnummern werden für die Zustellung in SHA-256-gehashter Form bereitgestellt; B2C-Daten werden im Klartext geliefert, damit Ooklo oder akkreditierte Versanddienstleister die Zustellung übernehmen können.

11.4 Lizenzvertrag

Ooklo hält Vermarktungslizenzen mit den Herstellern der in §11.1 genannten qualifizierten Datenbanken. Diese Lizenzen regeln: die Rechte des geistigen Eigentums der Hersteller an den Datenbanken (Artikel L341-1 des französischen Gesetzbuchs über geistiges Eigentum, Code de la propriété intellectuelle), die Sicherheitspflichten, die monatliche Mengenberichterstattung, die Bearbeitung von Anträgen betroffener Personen, die Vernichtung der Daten bei Vertragsende sowie die Pflichten aus Kapitel III DSGVO.

Artikel 12 · Pflichten des Kunden bei Nutzung des Marketplace

Gibt der Kunde eine Bestellung im Marketplace auf, verpflichtet er sich:

• Die gemieteten Kontakte ausschließlich innerhalb der Branche und des geografischen Gebiets anzuschreiben, die er Ooklo bei der Bestellung angegeben hat.
• Bei der Miete von B2B/B2C-E-Mail- und SMS-Kontakten: die E-Mail-Adressen oder Mobilnummern nicht zu extrahieren und nicht an Dritte weiterzugeben. Die Zustellung erfolgt ausschließlich durch Ooklo oder einen im Sinne der jeweiligen Lizenz akkreditierten Versanddienstleister.
• Bei Leistungen zum Verkauf oder zur Anreicherung von Daten: die im Bestellformular festgelegten Aufbewahrungsfristen einzuhalten, die Daten niemals weiterzuverkaufen und alle Marketplace-Daten am Ende der Leistung gemäß Artikel 9 zurückzugeben oder zu vernichten.
• Jeden Widerspruch, jeden Antrag auf Berichtigung oder Löschung, den er von einer betroffenen Person erhält, sofort umzusetzen und innerhalb von fünf (5) Werktagen an dpo@ooklo.com an Ooklo weiterzuleiten, damit Ooklo und die Datenbankhersteller den Kontakt an der Quelle sperren können.
• In jede Nachricht einen funktionierenden Abmeldelink aufzunehmen, zusammen mit einem klaren Hinweis auf den Verantwortlichen (den Kunden) und die Herkunft der Daten („Quelle: Ooklo Marketplace“).
• Die gesetzlichen Versandzeiten und -regeln einzuhalten (in Frankreich: Dekret Nr. 2023-1085 über Telefonwerbung, Widerspruchsliste Bloctel für B2C-Telefonkontakte) sowie die von den Datenbankherstellern übermittelte Ausschlussliste.

Bei einem Verstoß kann Ooklo den Zugang des Kunden zum Marketplace sperren und alle sonstigen gesetzlich zur Verfügung stehenden Rechtsbehelfe geltend machen.

Artikel 13 · Internationale Übermittlungen

Zum Datum dieses AVV werden alle Verarbeitungsvorgänge nach Teil A und Teil B innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums gehostet und durchgeführt. Es findet keine Übermittlung außerhalb der EU/des EWR statt.

Sollte ein Unterauftragsverarbeiter künftig Daten aus einem Drittland heraus verarbeiten müssen, wird Ooklo die nach Kapitel V DSGVO erforderlichen geeigneten Garantien vorsehen (Standardvertragsklauseln der Europäischen Kommission, Angemessenheitsbeschluss oder ein anderer anerkannter Mechanismus) und den Kunden vorab informieren.

Artikel 14 · Haftung

Die Haftung jeder Partei aus diesem AVV richtet sich nach den Haftungsbeschränkungs- und Haftungsausschlussklauseln der Nutzungsbedingungen von Ooklo, vorbehaltlich zwingender Vorschriften und insbesondere des Artikels 82 DSGVO.

Die Haftungsbeschränkung gilt nicht bei grober Fahrlässigkeit, Vorsatz oder Verstößen gegen Pflichten zum Schutz personenbezogener Daten und zur Informationssicherheit.

Artikel 15 · Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt englischem Recht; zuständig sind die Gerichte in London, unbeschadet zwingender Vorschriften und der Zuständigkeit der Aufsichtsbehörden und Gerichte der Mitgliedstaaten der Europäischen Union in Fragen des Schutzes personenbezogener Daten.

Artikel 16 · Änderungen des AVV

Ooklo kann diesen AVV aktualisieren, um Änderungen der Rechtslage, der eingesetzten Unterauftragsverarbeiter oder der Ooklo-Produkte Rechnung zu tragen. Jede wesentliche Änderung wird dem Kunden mindestens dreißig (30) Tage vor ihrem Inkrafttreten per E-Mail oder durch Veröffentlichung auf der Seite /dpa mitgeteilt. Die weitere Nutzung der Leistung gilt als Annahme der aktualisierten Fassung.

Bei Fragen zu diesem AVV wenden Sie sich an dpo@ooklo.com.

Anlage 1 · Liste der Unterauftragsverarbeiter

Alle Unterauftragsverarbeiter haben ihren Sitz in der Europäischen Union oder im Europäischen Wirtschaftsraum. Es findet keine Übermittlung außerhalb der EU/des EWR statt.

Die aktuelle Liste wird auf dieser Seite veröffentlicht. Kunden, die aktiv über Änderungen benachrichtigt werden möchten, können dies unter dpo@ooklo.com anfordern.

Anlage 2 · Technische und organisatorische Maßnahmen (TOM)

Vertraulichkeit

• Verschlüsselung personenbezogener Daten im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.2+).
• Verpflichtende Mehrfaktor-Authentifizierung für alle Administrator- und technischen Konten.
• Rollenbasierte Zugriffskontrollen, Prinzip der minimalen Rechtevergabe, vierteljährliche Überprüfung der Zugriffsrechte.
• Pseudonymisierung direkter Identifikationsmerkmale in Support- und Debugging-Umgebungen.

Integrität

• Unveränderliche Protokollierung sensibler Vorgänge, Aufbewahrung 12 Monate.
• Integritätsprüfungen auf Anwendungsebene beim Import und Export von Kontaktlisten.
• Verpflichtende Code-Reviews und automatisierte Tests bei jedem Deployment.

Verfügbarkeit

• Verschlüsselte tägliche Sicherungen, Aufbewahrung 30 Tage, monatlich getestet.
• Replikation über mehrere Zonen in der primären Hosting-Infrastruktur.
• Dokumentierter Notfallplan zur Geschäftsfortführung, RPO 24 h, RTO 8 h.

Governance und Organisation

• Interner Datenschutzbeauftragter, erreichbar unter dpo@ooklo.com.
• Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO.
• Datenschutz-Folgenabschätzungen (DSFA) für Verarbeitungen mit hohem Risiko.
• Jährliches Sensibilisierungs- und Schulungsprogramm für die Beschäftigten zu Datenschutz und Informationssicherheit.
• Dokumentiertes Verfahren zum Umgang mit Datenschutzverletzungen, mit jährlichen Übungen.

Sicherheit der Unterauftragsverarbeiter

• Prüfung der DSGVO-Konformität jedes Unterauftragsverarbeiters vor seiner Beauftragung.
• Vertragsklauseln, die Pflichten auferlegen, die denen dieses AVV gleichwertig sind.
• Jährliche Überprüfung der Kette der Unterauftragsverarbeitung.

Anlage 3 · Marketplace: Offenlegung der Quellen

Datenbankhersteller

Der Marketplace greift auf Datenbanken mehrerer unabhängiger, qualifizierter Herausgeber zurück, die jeweils als Hersteller im Sinne von Artikel L341-1 des französischen Gesetzbuchs über geistiges Eigentum und als ursprüngliche Verantwortliche ihrer jeweiligen Quelle handeln. Die Richtwerte zur Zusammensetzung sind in §11.1 aufgeführt.

Lizenznehmer und Betreiber des Marketplace

Ooklo hält Vermarktungslizenzen mit den Herstellern der in §11.1 genannten qualifizierten Datenbanken. Diese Lizenzen umfassen die Rechte des geistigen Eigentums der Hersteller, die Sicherheitspflichten, die monatliche Mengenberichterstattung, die Bearbeitung von Anträgen betroffener Personen, die Vernichtung der Daten bei Vertragsende sowie sämtliche Pflichten aus Kapitel III DSGVO.

Betreibergesellschaft

Der Dienst Ooklo wird von der Vicmedia Ltd betrieben, einer in England und Wales eingetragenen Gesellschaft mit Sitz in 126 Aldersgate Street, London, England, EC1A 4JQ. Sämtliche Kommunikation mit Kunden, die Rechnungsstellung und der Support erfolgen unter der Marke Ooklo.

Richtvolumen

• Rund 3 Millionen B2B-Kontakte (Frankreich).
• Rund 8 Millionen B2C-Kontakte (Frankreich).

Verfügbare Felder

B2B: E-Mail, Anrede, Nachname, Vorname, Festnetz- und Mobilnummer, Opt-ins für Marketing und SMS mit Erhebungsdatum, Firmenname, Marke, SIREN/SIRET, Funktionscode und -bezeichnung, Art der E-Mail-Adresse (personenbezogen oder allgemein), vollständige Postanschrift mit Geokodierung, URL der Website, zuletzt beobachtete Aktion und deren Datum.

B2C: E-Mail, Anrede, Nachname, Vorname, Geburtsdatum und Geburtsjahr, Festnetz- und Mobilnummer, Opt-ins für Marketing und SMS mit Erhebungsdatum, vollständige Postanschrift mit Geokodierung, zuletzt beobachtete Aktion und deren Datum.

Technisches Lieferformat

• B2B: E-Mail, Festnetz- und Mobilnummer in SHA-256-gehashter Form; übrige Felder im Klartext.
• B2C: alle Felder im Klartext.
• Monatliche Aktualisierung im Modus „Löschen und Ersetzen“ zwischen dem 1. und dem 10. jedes Monats. Wöchentliche Aktualisierung der Abmeldungen und Beschwerden.

Sperrung und Bearbeitung von Beschwerden

Jeder Widerspruch und jede Beschwerde, die bei Ooklo oder den Datenbankherstellern eingeht, wird innerhalb von höchstens sieben (7) Tagen an die Quelle zurückgemeldet und verhindert jede weitere Nutzung des betroffenen Kontakts in der gesamten Kette. Von Ooklo festgestellte Hardbounces, Spamtraps und unzustellbare Postanschriften (NPAI) werden den Datenbankherstellern innerhalb derselben Frist gemeldet.