Auftragsverarbeitungsvertrag

Geltungsbereich und anwendbares Recht

Dieser Auftragsverarbeitungsvertrag („AVV“) gilt immer dann, wenn DealCraft bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet. Er ist so verfasst, dass er Artikel 28 der EU-Datenschutz-Grundverordnung („DSGVO“), der UK GDPR, soweit anwendbar, und dem georgischen Gesetz über den Schutz personenbezogener Daten entspricht.

Begriffe wie Verantwortlicher, Auftragsverarbeiter, Verarbeitung, betroffene Person und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung, die ihnen diese Gesetze geben. Großgeschriebene Begriffe, die hier nicht definiert sind, haben die Bedeutung aus dem Rahmendienstleistungsvertrag.

Rollen

Für Spielerdaten, die über die Spiele des Kunden erhoben werden, ist der Kunde der Verantwortliche und DealCraft der Auftragsverarbeiter.

Für die eigenen Konto- und Abrechnungsdaten des Kunden ist DealCraft eigenständiger Verantwortlicher, wie in der Datenschutzerklärung beschrieben. Dodo Payments verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher in seiner Rolle als Merchant of Record.

Verarbeitung nur auf Weisung

DealCraft verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Einstellungen, die der Kunde im Dienst wählt, dieser AVV und der Rahmendienstleistungsvertrag sind diese Weisungen. DealCraft informiert den Kunden, wenn es der Ansicht ist, dass eine Weisung gegen das Gesetz verstößt, und verarbeitet personenbezogene Daten zu keinem anderen Zweck, sofern das Gesetz es nicht verlangt.

Einzelheiten der Verarbeitung

Betroffene Personen: Spieler der Spiele des Kunden und, sofern genutzt, das Thekenpersonal des Kunden.

Datenkategorien: E-Mail-Adressen, die ein Spiel abfragt, Gewinncodes und ihr Status, Spielrunden-Datensätze (Ergebnis, Uhrzeit, Sprache, die IP-Adresse, von der die Spielrunde kam, daraus abgeleitetes Land, Gerätetyp, Browser und Betriebssystem mit ihren Versionen, Gerätehersteller und Modell, sofern der Browser sie meldet, Bildschirmgröße, wie das Spiel aufgerufen wurde, die Website, auf der es angezeigt wurde, und beim Pop-up der Pfad der Seite, auf der es sich geöffnet hat, ohne Query-String), eine Geräte-Cookie-Kennung, ein Hash eines Browser-Fingerprints und ein verschlüsselter Hash einer gekürzten Netzwerkadresse. DealCraft verarbeitet keine besonderen Kategorien personenbezogener Daten.

Zweck: Betrieb der Spiele des Kunden, Durchsetzung ihrer Limits, Verhinderung von Missbrauch, Ausgabe und Prüfung von Gewinnen sowie Berichterstattung der Ergebnisse an den Kunden.

Dauer: solange der Kunde den Dienst nutzt, und danach wie unter „Löschung und Rückgabe“ festgelegt.

Vertraulichkeit des Personals

DealCraft stellt sicher, dass alle Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet sind und die Daten nur verarbeiten, soweit es für den Dienst erforderlich ist.

Sicherheitsmaßnahmen

DealCraft unterhält angemessene technische und organisatorische Maßnahmen, darunter: Verschlüsselung von Daten bei der Übertragung mit TLS; Hashing von Passwörtern mit scrypt und von API-Geheimnissen mit SHA-256; Verschlüsselung gespeicherter Signaturgeheimnisse mit AES-256-GCM; Anknüpfung jedes adressbasierten Limits an einen verschlüsselten Hash des Netzwerks statt an die Adresse; Isolierung der Daten jedes Kunden auf Datenbankebene; Rate Limits gegen Missbrauch; tägliche Backups; und auf den Betreiber beschränkter Zugriff auf die Produktivumgebung. Die Sicherheitsseite beschreibt diese Maßnahmen ausführlicher.

Unterauftragsverarbeiter

Der Kunde ermächtigt DealCraft, die unten aufgeführten Unterauftragsverarbeiter einzusetzen. DealCraft erlegt jedem von ihnen Datenschutzpflichten auf, die nicht weniger schützend sind als dieser AVV, und bleibt für ihre Leistung verantwortlich.

DealCraft kündigt einen neuen Unterauftragsverarbeiter mindestens 14 Tage, bevor er mit der Verarbeitung personenbezogener Kundendaten beginnt, per E-Mail an. Widerspricht der Kunde aus begründeten Datenschutzgründen und können sich die Parteien nicht auf eine Lösung einigen, kann der Kunde den betroffenen Dienst ohne Vertragsstrafe kündigen.

Internationale Übermittlungen

Personenbezogene Kundendaten werden in der Oracle Cloud in den Vereinigten Arabischen Emiraten gehostet. Der Traffic zum Dienst läuft durch das weltweite Netzwerk von Cloudflare, das Angriffe herausfiltert. E-Mails werden über Resend in den Vereinigten Staaten zugestellt, und Google ist nur beteiligt, wenn sich ein Spieler für die Anmeldung mit Google entscheidet.

Erfordert eine Übermittlung Garantien nach der DSGVO, der UK GDPR oder dem georgischen Gesetz über den Schutz personenbezogener Daten, stützt sich DealCraft auf die Standardvertragsklauseln der Europäischen Kommission oder einen anderen von diesen Gesetzen anerkannten Mechanismus. Der Kunde kann eine Kopie der jeweiligen Garantien anfordern.

Unterstützung des Kunden

DealCraft leitet jede Anfrage einer betroffenen Person zu den Daten des Kunden innerhalb von fünf Werktagen an den Kunden weiter und unterstützt den Kunden bei der Beantwortung von Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung oder Übertragung von Daten.

DealCraft stellt angemessene Informationen und Unterstützung für Datenschutz-Folgenabschätzungen des Kunden und Konsultationen mit Aufsichtsbehörden bereit.

Verletzungen des Schutzes personenbezogener Daten

DealCraft benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Die Benachrichtigung beschreibt, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

DealCraft ergreift angemessene Schritte, um die Verletzung einzudämmen, und unterstützt den Kunden bei der Erfüllung seiner eigenen Pflichten zur Benachrichtigung von Behörden und betroffenen Personen.

Löschung und Rückgabe

Endet der Dienst, kann der Kunde 30 Tage lang einen Export seiner Daten anfordern. DealCraft löscht personenbezogene Kundendaten anschließend innerhalb weiterer 30 Tage, sofern das Gesetz keine Aufbewahrung verlangt. Kopien in Backups werden innerhalb von 30 Tagen nach der Löschung aus der Live-Datenbank überschrieben.

Informationen und Audits

DealCraft stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und beantwortet angemessene Sicherheitsfragebögen. Reicht das nicht aus, kann der Kunde einmal jährlich auf eigene Kosten ein Audit durchführen, mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden.

Haftung

Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen im Rahmendienstleistungsvertrag, außer wenn das Gesetz eine solche Beschränkung nicht zulässt.

Rangfolge

Widerspricht dieser AVV dem Rahmendienstleistungsvertrag oder den Nutzungsbedingungen in Bezug auf die Verarbeitung personenbezogener Daten, hat dieser AVV Vorrang. Wo Standardvertragsklauseln gelten, haben diese Vorrang vor diesem AVV.