Auftrags­verarbeitung

Ihr Unternehmen („Sie“) ist für die Personendaten verantwortlich, die Arlo in Ihrem Auftrag verarbeitet; wir (Julian Brönnimann und David Stocker, einfache Gesellschaft, Zürich) sind Auftragsverarbeiter nach Art. 28 DSGVO und Art. 9 DSG. Dieser Vertrag ist Teil der AGB und geht ihnen in Fragen des Datenschutzes vor.

Gegenstand ist Arlos Arbeit für Sie: Firmen und Kontakte recherchieren, Adressen prüfen, E-Mails schreiben, senden, empfangen und zuordnen, nachfassen und Antworten bearbeiten. Der Vertrag gilt, solange Ihr Konto besteht, und darüber hinaus bis zur Löschung nach Ziffer 10.

Betroffen sind Kontakte bei Firmen, die Arlo für Sie findet oder anschreibt, Menschen im E-Mail-Verkehr Ihres verbundenen Postfachs und die Mitglieder Ihres Kontos.

Verarbeitet werden Namen, geschäftliche Kontaktdaten (E-Mail-Adresse, Telefonnummer, LinkedIn-Profil), Funktion und Firma, öffentliche Angaben über sie und ihre Firma, Inhalte und Metadaten von E-Mails sowie Vermerke über Stopp-Wünsche, Widersprüche und Löschungen.

Wir verarbeiten die Daten nur nach Ihren Weisungen. Weisungen sind diese AGB, Ihre Einstellungen in Arlo, Ihre Freigaben und was Ihr Team Arlo sagt. Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen; eine rechtliche Prüfung Ihrer Weisungen schulden wir nicht.

Zugang zu den Daten haben nur Personen, die für den Betrieb von Arlo zuständig und zur Vertraulichkeit verpflichtet sind.

Wir schützen die Daten mit Maßnahmen, die dem Risiko angemessen sind, insbesondere: Server und Datenbank in Frankfurt am Main; jedes Kundenkonto strikt getrennt von allen anderen; verschlüsselte Verbindungen; Zugangsdaten mit einem eigenen Schlüssel je Konto verschlüsselt; Sicherungen verschlüsselt, bevor sie den Server verlassen; Zugriff auf den Betrieb nur für die Gründer, mit Zwei-Faktor-Anmeldung; nachvollziehbare Protokolle über Arlos Handlungen. Wir dürfen die Maßnahmen anpassen, solange das Schutzniveau nicht sinkt.

Sie erlauben uns, die Unterauftragsverarbeiter auf der Liste der Unterauftragsverarbeiter einzusetzen. Wir verpflichten sie zu einem Datenschutz, der diesem Vertrag entspricht.

Einen neuen Unterauftragsverarbeiter kündigen wir den Inhabern Ihres Kontos mindestens 14 Tage vorher per E-Mail an, einen neuen Anbieter von Sprachmodellen mindestens 30 Tage vorher. Aus wichtigem datenschutzrechtlichem Grund können Sie widersprechen; finden wir keine Lösung, können Sie den Vertrag auf den Wechsel hin kündigen.

Arlo erkennt in Antworten Stopp-Wünsche, Widersprüche, Lösch- und Auskunftsbegehren, beachtet sie und bereitet Ihre Antwort vor. Darüber hinaus unterstützen wir Sie im angemessenen Rahmen bei Anfragen Betroffener, bei Datenschutz-Folgenabschätzungen und bei Anfragen von Behörden. Aufwand, der über Arlos Funktionen hinausgeht, dürfen wir zu angemessenen Sätzen verrechnen.

Erfahren wir von einer Verletzung der Datensicherheit, die Ihre Daten betrifft, melden wir sie Ihnen ohne unangemessene Verzögerung, mit dem, was wir darüber wissen.

Löscht ein Inhaber das Konto, löschen wir nach 14 Tagen alle Daten des Kontos aus der Datenbank; aus den Sicherungen verschwinden sie innerhalb von weiteren 14 Tagen. Es bleibt nur ein Vermerk ohne Personendaten, dass und wann das Konto gelöscht wurde.

Wir geben Ihnen die Auskünfte, die Sie brauchen, um die Einhaltung dieses Vertrags zu prüfen, in erster Linie schriftlich. Eine Kontrolle vor Ort ist höchstens einmal im Jahr möglich, mit 30 Tagen Vorankündigung, auf Ihre Kosten und unter Vertraulichkeit.

Daten gehen nur in Länder mit angemessenem Datenschutz oder auf Grundlage der Standardvertragsklauseln der EU-Kommission; die Liste der Unterauftragsverarbeiter nennt die Grundlage je Dienstleister.

Für die Haftung gelten die Regeln der AGB, soweit das Recht es zulässt.