Modash-Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der zwischen Modash OÜ („Modash“, „Auftragsverarbeiter“) und dem Kunden, der dem Vertrag zustimmt („Kunde“, „Verantwortlicher“), geschlossenen Modash-Nutzungsbedingungen (der „Vertrag“).

Mit Abschluss des Vertrags stimmt der Kunde dieser AVV zu.

Diese AVV gilt nur insoweit, als Modash als Auftragsverarbeiter personenbezogene Daten im Auftrag des Kunden nach geltenden Datenschutzgesetzen verarbeitet.

„Datenschutzgesetze“ sind die DSGVO, die UK-DSGVO sowie sonstige anwendbare Datenschutzvorschriften.

„Personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die ihnen in der DSGVO zugewiesenen Bedeutungen.

„Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den Modash zur Verarbeitung personenbezogener Daten im Auftrag des Kunden einsetzt.

Der Kunde handelt als Verantwortlicher.
Modash handelt als Auftragsverarbeiter.

Diese AVV gilt nicht für Verarbeitungstätigkeiten, bei denen Modash als unabhängiger Verantwortlicher handelt, einschließlich, aber nicht beschränkt auf, die Verarbeitung öffentlich verfügbarer Creator-Daten, wie in der Datenschutzerklärung von Modash beschrieben.

Modash verarbeitet personenbezogene Daten:
‍
● Nur auf dokumentierte Weisungen des Kunden hin (einschließlich der im Vertrag festgelegten);
● Zum Zweck der Erbringung der Leistungen;
● Im Einklang mit den Datenschutzgesetzen.
● Ist Modash nach vernünftigem Ermessen der Ansicht, dass eine Weisung des Kunden gegen geltende Datenschutzgesetze verstößt, informiert Modash den Kunden unverzüglich und kann die Umsetzung der betreffenden Weisung aussetzen, bis sie bestätigt, geändert oder zurückgenommen wird.

Art und Zweck
‍Modash bietet Influencer-Suche, Kampagnenmanagement, Analysen, Kontaktaufnahme und verwandte Leistungen.

Dauer der Verarbeitung
‍Modash verarbeitet personenbezogene Daten des Kunden für die Dauer des Vertrags und darüber hinaus, soweit dies zur Befolgung dokumentierter Weisungen des Kunden oder geltenden Rechts erforderlich ist. Nach Beendigung der Leistungen werden personenbezogene Daten des Kunden gemäß Abschnitt 10 dieser AVV zurückgegeben oder gelöscht.

‍Kategorien betroffener Personen
‍Hierzu können Vertreter des Kunden, Endnutzer, vom Kunden beauftragte Influencer und Kampagnenteilnehmer gehören.

‍Kategorien personenbezogener Daten
‍Hierzu können Namen, geschäftliche Kontaktdaten, Kontodaten, Kampagnendaten, Kommunikationsdaten und über die Leistungen übermittelte oder verarbeitete Nutzungsdaten gehören.

Modash verarbeitet nicht absichtlich besondere Kategorien personenbezogener Daten im Auftrag des Kunden.
Der Kunde darf Daten besonderer Kategorien nur mit schriftlicher Zustimmung hochladen oder übermitteln.

Modash implements appropriate technical and organizational measures designed to ensure alevel of security appropriate to the risk, including:

● Encryption of Personal Data in transit and at rest;
● Access controls based on least privilege principles;
● Strong authentication and identity management controls;
● Secure software development lifecycle practices;
● Regular vulnerability scanning and security testing;
● Backup and disaster recovery procedures;
● Incident response procedures with designated security personnel;
● Ongoing monitoring of system confidentiality, integrity, and availability.

Modash maintains and periodically reviews documented technical and organisational measures designed to ensure a level of security appropriate to the risk, taking into account the state of the art, the costs of implementation, and the nature, scope, context and purposes of processing, as well as the risks to the rights and freedoms of natural persons.

Modash may update its technical and organisational measures from time to time, provided that such updates do not materially reduce the overall level of protection afforded to Customer Personal Data.

‍Personnel Confidentiality. Modash stellt sicher, dass alle zur Verarbeitung personenbezogener Daten des Kunden befugten Mitarbeiter angemessenen vertraglichen oder gesetzlichen Vertraulichkeitspflichten unterliegen. Diese Pflichten gelten auch nach Beendigung des Arbeitsverhältnisses, Auftrags oder sonstigen Verhältnisses der betreffenden Person mit Modash fort.

5.1. Customer hereby provides Modash with a general authorization to engage Subprocessors to process Customer Personal Data on its behalf in connection with the provision of the Services.

5.2. Modash shall maintain an up-to-date list of its authorized Subprocessors at Customer authorizes Modash to engage Subprocessors listed at:
modash.io/legal/subprocessors.5.3. Modash will provide reasonable advance notice of any intended addition or replacement of a Subprocessor by updating the above list or by other reasonable means, thereby giving Customer the opportunity to raise reasonable data protection concerns before the new Subprocessor begins processing Customer Personal Data.

5.4. Modash shall ensure that each Subprocessor is bound by written contractual obligations providing a level of protection for Customer Personal Data that is substantially equivalent to those set out in this DPA, to the extent applicable to the services performed by the Subprocessor.

5.5. Modash bleibt im nach geltenden Datenschutzgesetzen erforderlichen Umfang für die Erfüllung der Verpflichtungen seiner Subprozessoren verantwortlich.

Where Customer Personal Data is transferred to a country outside the European Economic Area, the United Kingdom or any other jurisdiction requiring an appropriate transfer mechanism under applicable Data Protection Laws, Modash shall ensure that such transfer is subject to appropriate safeguards in accordance with applicable Data Protection Laws.

Such safeguards may include, where applicable, the European Commission's Standard Contractual Clauses, the UK International Data Transfer Addendum, adequacy decisions, or any other lawful transfer mechanism recognized under applicable Data Protection Laws, including any successor or replacement mechanism.

Taking into account the nature of processing, Modash shall provide reasonable assistance to Customer to enable compliance with Data Protection Laws, including:

● Assistance with responding to Data Subject rights requests;
● Assistance with taking into account the nature of the processing and the information available to Modash, in ensuring compliance with Customer's obligations relating to data protection impact assessments and prior consultation with competent supervisory authorities where required under applicable Data Protection Laws;
● Assistance with supervisory authority consultations where applicable.

Modash benachrichtigt Sie unverzüglich nach Kenntniserlangung von einer Verletzung des Schutzes Ihrer personenbezogenen Daten. Eine solche Benachrichtigung enthält, soweit zum betreffenden Zeitpunkt vernünftigerweise verfügbar, die Art der Verletzung, die betroffenen Datenkategorien, die voraussichtlichen Folgen, die zur Behebung der Verletzung ergriffenen oder vorgesehenen Maßnahmen sowie alle Informationen, die der Kunde vernünftigerweise benötigt, um die geltenden Datenschutzgesetze einzuhalten. Sind zum Zeitpunkt der ersten Benachrichtigung nicht alle relevanten Informationen verfügbar, kann Modash diese Informationen schrittweise bereitstellen, sobald sie verfügbar werden.

9.1. Auf angemessene schriftliche Anfrage stellt Modash dem Kunden alle Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA und geltender Datenschutzgesetze nachzuweisen. Where available, Modash's current ISO 27001 certification, or other independent third-party audit reports or certifications may be used to satisfy such requests.

9.2. Where the information provided by Modash is reasonably insufficient to demonstrate compliance with this DPA or applicable Data Protection Laws, Customer may, itself or through an independent third-party auditor, conduct an audit of Modash's processing of Customer Personal Data under this DPA.

9.3. Any audit conducted under this Section shall:

● be conducted upon reasonable prior written notice;
● take place during normal business hours;
● not unreasonably interfere with Modash's business operations;
● be subject to appropriate confidentiality obligations; and
● be conducted by an independent auditor that is not a competitor of Modash.

9.4. Dieser Abschnitt beschränkt nicht die Rechte einer zuständigen Aufsichtsbehörde nach geltenden Datenschutzgesetzen.

Bei Beendigung oder Ablauf der Dienstleistungen kann der Kunde binnen dreißig (30) Tagen die Rückgabe personenbezogener Daten des Kunden verlangen. Following such period, or once Customer confirms that the data has been returned, Modash shall delete Customer Personal Data, unless applicable law requires continued retention.

Modash shall ensure that Customer Personal Data held by its authorized Subprocessors is also deleted or returned in accordance with this Section, unless applicable law requires continued retention.

Customer Personal Data contained in backup systems may be retained until overwritten in the ordinary course of business, provided that such data remains protected in accordance with this DPA and is not further processed except as required by applicable law.

Die Haftung aus oder im Zusammenhang mit dieser DPA unterliegt den im Vertrag festgelegten Haftungsbeschränkungen und -ausschlüssen.

Diese DPA unterliegt dem im Vertrag angegebenen anwendbaren Recht.