Vereinbarung zur Auftragsverarbeitung (AVV)

Gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO)

Version: 2.0 | Datum: 10. September 2026

Parteien

(1) Die im Dienstleistungsvertrag bezeichnete Organisation, handelnd als Verantwortlicher („Verantwortlicher“, „Sie“).

(2) Simplyk France, SAS, eingetragen unter 6 rue des Bateliers, 92110 Clichy, Frankreich, SIREN 904889466, handelnd als Auftragsverarbeiter („Zeffy“, „wir“).

Jeweils eine „Partei“ und gemeinsam die „Parteien“.

Hintergrund

A. Die Parteien haben eine Vereinbarung geschlossen, nach der Zeffy dem Verantwortlichen seine Fundraising-Plattform und damit verbundene Dienstleistungen bereitstellt (der „Dienstleistungsvertrag“). Die Art der Dienstleistungen wird in der Datenschutzerklärung von Zeffy und in Anlage I beschrieben.

B. Bei der Erbringung eines Teils der Dienstleistungen verarbeitet Zeffy personenbezogene Daten im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen. Diese AVV legt gemäß Artikel 28 Absatz 3 DSGVO die Bedingungen für diese Verarbeitung fest.

C. Diese AVV ist Bestandteil des Dienstleistungsvertrags und unterliegt diesem. Bei Widersprüchen zwischen dieser AVV und dem Dienstleistungsvertrag in Bezug auf den Datenschutz hat diese AVV Vorrang.

1. Definitionen

1.1 In der DSGVO definierte Begriffe (einschließlich „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „besondere Kategorien personenbezogener Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Aufsichtsbehörde“) haben in dieser AVV dieselbe Bedeutung. Sofern die UK GDPR auf eine betroffene Person ebenfalls Anwendung findet, sind Verweise auf die DSGVO so zu verstehen, dass sie die jeweils anwendbare UK GDPR einschließen.

1.2 „Datenschutzrecht“ bezeichnet die DSGVO, die UK GDPR, die nationalen Umsetzungsgesetze der EWR-Staaten, in denen der Verantwortliche oder seine betroffenen Personen ansässig sind, sowie die lokal umgesetzten ePrivacy-Regelungen. t

1.3 „Personenbezogene Daten des Verantwortlichen“ bezeichnet die personenbezogenen Daten, die Zeffy als Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet, wie in Anlage I beschrieben. Nicht umfasst sind personenbezogene Daten, die Zeffy als unabhängiger Verantwortlicher verarbeitet (siehe Abschnitt 2).

1.4 „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den Zeffy mit der Verarbeitung personenbezogener Daten des Verantwortlichen beauftragt.

1.5 „Standardvertragsklauseln“ oder „SCCs“ bezeichnet die Klauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission. „UK Addendum“ bezeichnet das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum.

2. Rollen der Parteien und Geltungsbereich

Das Datenschutzrecht unterscheidet zwei Rollen. Ein Verantwortlicher entscheidet, warum und wie personenbezogene Daten verwendet werden. Ein Auftragsverarbeiter verarbeitet diese Daten im Auftrag eines Verantwortlichen und befolgt dessen Weisungen.

Zeffy nimmt je nach Tätigkeit beide Rollen ein:

• Wenn Sie die Plattform für Ihr eigenes Fundraising nutzen, beispielsweise zum Erstellen von Formularen, Importieren Ihrer Kontakte, Versenden von E-Mails an Ihre Unterstützer oder Verwalten Ihres CRM, entscheiden Sie, warum und wie die Daten verwendet werden, und Zeffy führt dies lediglich für Sie aus. Für diese Tätigkeiten sind Sie der Verantwortliche und Zeffy Ihr Auftragsverarbeiter; dieser Teil unserer Beziehung wird durch diese AVV geregelt. In diesem Dokument bezeichnet „Verantwortlicher“ Sie, die Organisation.

• Wenn Zeffy Ihre Organisation und deren Transaktionen auf Betrug, Geldwäsche und Sanktionen prüft, Zahlungen entgegennimmt und abgleicht oder eigene Sicherheits-, Geschäfts- und Compliance-Abläufe durchführt, entscheidet Zeffy aufgrund eigener rechtlicher Verpflichtungen und nicht aufgrund Ihrer Weisungen, warum und wie diese Tätigkeiten erfolgen. Für diese Tätigkeiten ist Zeffy selbst unabhängiger Verantwortlicher; sie werden durch die Datenschutzerklärung von Zeffy und nicht durch diese AVV geregelt.

Dieselben Informationen, etwa der Name eines Spenders, können zu unterschiedlichen Zeitpunkten unter beide Rollen fallen. Sie befinden sich in Ihrem CRM, wo wir als Ihr Auftragsverarbeiter handeln, und können außerdem unsere Betrugs- und Sanktionsprüfungen durchlaufen, bei denen wir als eigener Verantwortlicher handeln.

2.1 Rolle als Auftragsverarbeiter. In Bezug auf die in Anlage I beschriebenen personenbezogenen Daten des Verantwortlichen ist der Verantwortliche der Verantwortliche und Zeffy der Auftragsverarbeiter. Zeffy verarbeitet diese Daten ausschließlich wie in dieser AVV und in den dokumentierten Weisungen des Verantwortlichen festgelegt.

2.2 Rolle von Zeffy als Verantwortlicher außerhalb dieser AVV. Der Verantwortliche erkennt an, dass Zeffy personenbezogene Daten auch als unabhängiger Verantwortlicher für eigene Zwecke verarbeitet und dass diese Tätigkeiten nicht durch diese AVV geregelt werden. Sie werden durch die Datenschutzerklärung von Zeffy geregelt. Dazu gehören insbesondere:

• (a) Zahlungen, Auszahlungen, Rückerstattungen, Rückbuchungen und finanzielle Abstimmungen;

• (b) Überprüfung der Organisation und ihrer Vertreter;

• (c) Betrugsprävention, Bekämpfung von Geldwäsche, Verhinderung der Terrorismusfinanzierung und Sanktionsprüfung;

• (d) Sicherheit, Protokollierung und Missbrauchsprävention;

• (e) eigenes Marketing, eigene Werbung, Analysen und eigener Support von Zeffy; und

• (f) eigene rechtliche, steuerliche, buchhalterische und regulatorische Compliance von Zeffy.

Für diese Tätigkeiten handelt Zeffy aufgrund eigener rechtlicher Verpflichtungen und berechtigter Interessen und nicht nach Weisungen des Verantwortlichen. Daher kann Zeffy beispielsweise unabhängig vom Verantwortlichen eine Auszahlung zurückhalten oder ein Konto sperren.

2.3 Stripe. Die Zahlungsabwicklung sowie die von Stripe im Rahmen seiner eigenen aufsichtsrechtlichen Befugnisse durchgeführten Identitätsprüfungen und Prüfungen auf Finanzkriminalität erfolgen durch Stripe als unabhängigen Verantwortlichen und nicht als Unterauftragsverarbeiter von Zeffy. Diese Tätigkeiten fallen nicht in den Geltungsbereich dieser AVV und werden durch die eigene Datenschutzerklärung von Stripe geregelt.

2.4 Dokumentierte Weisungen. Die dokumentierten Weisungen des Verantwortlichen umfassen (i) den Dienstleistungsvertrag, (ii) diese AVV, (iii) die Konfigurationen, die der Verantwortliche bei der Nutzung der Plattform vornimmt (einschließlich der von ihm erstellten Formulare, der von ihm gestellten benutzerdefinierten Fragen, der von ihm importierten Datensätze und der Empfänger, an die er E-Mails sendet), sowie (iv) jede weitere schriftliche Weisung, auf die sich die Parteien einigen. Zeffy verarbeitet personenbezogene Daten des Verantwortlichen ausschließlich auf Grundlage dieser Weisungen, es sei denn, eine andere Verarbeitung ist gesetzlich vorgeschrieben. In diesem Fall informiert Zeffy den Verantwortlichen vor der Verarbeitung über diese gesetzliche Verpflichtung, sofern das Gesetz dies nicht verbietet.

2.5 Rechtswidrige Weisungen. Zeffy informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt. Zeffy kann die betreffende Verarbeitung aussetzen, bis die Weisung bestätigt, geändert oder zurückgezogen wurde.

3. Pflichten des Auftragsverarbeiters (Artikel 28 Absatz 3)

3.1 Vertraulichkeit. Zeffy stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten des Verantwortlichen befugt sind, einer angemessenen vertraglichen oder gesetzlichen Geheimhaltungspflicht unterliegen und dass der Zugriff auf diejenigen beschränkt ist, die ihn zur Erbringung der Dienstleistungen benötigen.

3.2 Sicherheit. Zeffy setzt die in Anlage II beschriebenen technischen und organisatorischen Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung gemäß Artikel 32 DSGVO um.

3.3 Unterstützung bei den Rechten betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt Zeffy den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen und soweit möglich dabei, Anfragen betroffener Personen zu beantworten, die ihre Rechte nach Kapitel III der DSGVO ausüben. Richtet eine betroffene Person eine solche Anfrage in Bezug auf personenbezogene Daten des Verantwortlichen direkt an Zeffy, beantwortet Zeffy diese nicht in der Sache, leitet sie unverzüglich an den Verantwortlichen weiter und bestätigt der betroffenen Person dies.

3.4 Unterstützung bei den Artikeln 32 bis 36. Unter Berücksichtigung der Art der Verarbeitung und der Zeffy verfügbaren Informationen unterstützt Zeffy den Verantwortlichen bei der Erfüllung seiner Pflichten in Bezug auf Sicherheit, Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und die vorherige Konsultation einer Aufsichtsbehörde.

3.5 Löschung oder Rückgabe. Nach Beendigung der Dienstleistungen löscht Zeffy nach Wahl des Verantwortlichen die personenbezogenen Daten des Verantwortlichen oder gibt sie zurück und löscht vorhandene Kopien innerhalb eines angemessenen Zeitraums nach der Beendigung, sofern das Datenschutzrecht keine weitere Speicherung verlangt. Behält Zeffy Daten aufgrund einer gesetzlichen Verpflichtung zurück, tut Zeffy dies als unabhängiger Verantwortlicher gemäß Abschnitt 2.2 und seiner Datenschutzerklärung und schützt diese Daten nach Maßgabe dieser AVV, solange sie aufbewahrt werden.

3.6 Nachweis der Compliance und Prüfungen. Zeffy stellt dem Verantwortlichen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 nachzuweisen, und ermöglicht Prüfungen einschließlich Inspektionen und wirkt daran mit, wie in Abschnitt 7 festgelegt.

4. Unterauftragsverarbeiter (Artikel 28 Absätze 2 und 4)

4.1 Allgemeine Genehmigung. Der Verantwortliche erteilt Zeffy eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die zum Datum dieser AVV beauftragten Unterauftragsverarbeiter sind in Anlage III aufgeführt.

4.2 Mitteilung und Widerspruch. Vor der Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters, der personenbezogene Daten des Verantwortlichen verarbeitet, aktualisiert Zeffy die Seite zu Unterauftragsverarbeitern und benachrichtigt die Verantwortlichen, die Updates abonniert haben, mindestens 14 Tage im Voraus. Der Verantwortliche kann diese Benachrichtigungen abonnieren, indem er an [email protected] schreibt; Zeffy empfiehlt dies, um frühzeitig informiert zu werden. Der Verantwortliche kann innerhalb dieses Zeitraums aus angemessenen datenschutzrechtlichen Gründen widersprechen. Die Parteien werden nach Treu und Glauben versuchen, den Widerspruch beizulegen. Gelingt dies nicht, kann der Verantwortliche den Teil der Dienstleistungen kündigen, der ohne den Unterauftragsverarbeiter nicht erbracht werden kann; dies ist sein einziges Rechtsmittel. Zeffy kann mit einem einzelnen Verantwortlichen spezifischere Benachrichtigungsregelungen vereinbaren.

Muss ein Unterauftragsverarbeiter aus betrieblichen oder Sicherheitsgründen schneller hinzugefügt oder ersetzt werden, kann Zeffy dies mit kürzerer Frist tun und die abonnierten Verantwortlichen so bald wie möglich benachrichtigen. In diesem Fall gilt das Widerspruchsrecht des Verantwortlichen ab dem Datum der Benachrichtigung.

4.3 Weitergabe von Pflichten. Zeffy verpflichtet jeden Unterauftragsverarbeiter durch einen schriftlichen Vertrag zu Datenschutzpflichten, die inhaltlich den Pflichten dieser AVV entsprechen, insbesondere zu ausreichenden Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen. Zeffy bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters vollständig haftbar.

5. Verletzung des Schutzes personenbezogener Daten

5.1 Zeffy benachrichtigt den Verantwortlichen unverzüglich, nachdem Zeffy von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt, die personenbezogene Daten des Verantwortlichen betrifft.

5.2 Die Benachrichtigung enthält, soweit verfügbar, die in Artikel 33 Absatz 3 genannten Informationen: die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Können die Informationen nicht sofort bereitgestellt werden, können sie ohne weitere Verzögerung schrittweise übermittelt werden.

5.3 Zeffy nimmt im Namen des Verantwortlichen keine Meldung einer Verletzung an eine Aufsichtsbehörde oder betroffene Personen vor und nennt den Verantwortlichen in keiner eigenen Meldung, es sei denn, der Verantwortliche weist Zeffy dazu an oder das Gesetz verlangt dies.

6. Internationale Übermittlungen

6.1 Vom Verantwortlichen an Zeffy. Ist der Verantwortliche wie die vertragsschließende Zeffy-Einheit Simplyk France im Europäischen Wirtschaftsraum ansässig, erfolgt die Übermittlung personenbezogener Daten des Verantwortlichen vom Verantwortlichen an Zeffy innerhalb des EWR und stellt selbst keine eingeschränkte Übermittlung dar. Ist der Verantwortliche außerhalb des EWR ansässig, werden die Parteien für diese Übermittlung den erforderlichen Übermittlungsmechanismus einrichten.

6.2 Weiterübermittlungen durch Zeffy. Personenbezogene Daten des Verantwortlichen werden auf einer Infrastruktur von Amazon Web Services in den Vereinigten Staaten gehostet; bestimmte andere Unterauftragsverarbeiter sind in den Vereinigten Staaten und Kanada tätig. Für diese Weiterübermittlungen gilt Folgendes:

• (a) Übermittlungen nach Kanada beruhen auf dem Angemessenheitsbeschluss der Europäischen Kommission für kanadische kommerzielle Organisationen;

• (b) Übermittlungen in die Vereinigten Staaten beruhen auf den Standardvertragsklauseln (Modul Drei, Auftragsverarbeiter an Auftragsverarbeiter) sowie einer Transfer Impact Assessment und ergänzenden Maßnahmen, insbesondere Verschlüsselung während der Übertragung und im Ruhezustand sowie Zugriffskontrollen gemäß Anlage II;

• (c) ist ein Unterauftragsverarbeiter in den Vereinigten Staaten zusätzlich nach dem EU-US Data Privacy Framework zertifiziert, gilt diese Zertifizierung als zusätzliche Schutzmaßnahme. Zeffy stützt sich nicht ausschließlich auf das Framework als Übermittlungsmechanismus.

6.3 Vereinigtes Königreich. Soweit die UK GDPR auf personenbezogene Daten des Verantwortlichen Anwendung findet, werden die Übermittlungen zusätzlich durch das UK Addendum abgedeckt.

6.4 Konzernintern. Werden personenbezogene Daten des Verantwortlichen zwischen Unternehmen der Zeffy-Gruppe weitergegeben, erfolgt dies nur, wenn das Zielland von einem Angemessenheitsbeschluss profitiert oder die Übermittlung durch eine geeignete Schutzmaßnahme nach Kapitel V der DSGVO abgedeckt ist.

6.5 Der Verantwortliche kann eine Kopie der herangezogenen Schutzmaßnahmen mit geschwärzten Geschäftsbedingungen anfordern, indem er an [email protected] schreibt.

7. Prüfung

7.1 Zeffy stellt auf Anfrage und höchstens einmal innerhalb eines Zeitraums von zwölf Monaten (sofern eine Aufsichtsbehörde nichts anderes verlangt oder nach einer Verletzung des Schutzes personenbezogener Daten) die Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 nachzuweisen, einschließlich der in Anlage II beschriebenen technischen und organisatorischen Maßnahmen.

7.2 Verfügt Zeffy über einen aktuellen Prüfbericht oder eine Zertifizierung eines Dritten (beispielsweise ISO/IEC 27001 oder SOC 2), erfüllt die Bereitstellung des entsprechenden Berichts oder Zertifikats an den Verantwortlichen die Verpflichtung von Zeffy nach Abschnitt 7.1.

7.3 Reichen die nach den Abschnitten 7.1 und 7.2 bereitgestellten Informationen nicht aus, um die Compliance nachzuweisen, kann der Verantwortliche eine Prüfung oder Inspektion mit einer schriftlichen Frist von 30 Tagen während der Geschäftszeiten durchführen, vorbehaltlich angemessener Vertraulichkeitsverpflichtungen und in einer Weise, die den Betrieb von Zeffy oder die Sicherheit und Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigt. Der Verantwortliche trägt seine eigenen Kosten sowie die angemessenen Kosten von Zeffy, sofern die Inspektion vor Ort stattfindet.

8. Haftung, Laufzeit und Allgemeines

8.1 Haftung. Die Haftung jeder Partei nach dieser AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen des Dienstleistungsvertrags.

8.2 Laufzeit. Diese AVV tritt am oben genannten Datum in Kraft und gilt so lange fort, wie Zeffy personenbezogene Daten des Verantwortlichen verarbeitet. Bestimmungen, die ihrer Natur nach über die Beendigung hinaus gelten sollen, bleiben in Kraft.

8.3 Rangfolge. Im Falle eines Widerspruchs gilt folgende Rangfolge: (i) die Standardvertragsklauseln und das UK Addendum, sofern sie Anwendung finden; (ii) diese AVV; (iii) der Dienstleistungsvertrag.

8.4 Anwendbares Recht und Gerichtsstand. Diese AVV unterliegt dem im Dienstleistungsvertrag genannten Recht und Gerichtsstand.

8.5 Änderungen. Zeffy kann diese AVV aktualisieren, wenn dies erforderlich ist, um eine Änderung des Datenschutzrechts, eine Entscheidung einer Aufsichtsbehörde oder eine Änderung der Dienstleistungen widerzuspiegeln, sofern dies mit angemessener Frist angekündigt wird und die Aktualisierung den Schutz personenbezogener Daten des Verantwortlichen nicht wesentlich verringert.

Anlage I. Beschreibung der Verarbeitung

A. Liste der Parteien

Datenexporteur (Verantwortlicher): die im Dienstleistungsvertrag bezeichnete Organisation.
Datenimporteur (Auftragsverarbeiter): Simplyk France, 6 rue des Bateliers, 92110 Clichy, Frankreich. Kontakt: [email protected].

B. Beschreibung der Verarbeitung

Kategorien betroffener Personen. Die Beitragenden und Spender des Verantwortlichen, für Events registrierte Personen, Ticketkäufer, Mitglieder, Teilnehmende an Peer-to-Peer-Kampagnen, Empfänger von Newslettern und Kommunikation, Unterstützer und sonstige im Konto des Verantwortlichen gespeicherte Kontakte sowie die eigenen autorisierten Benutzer des Verantwortlichen (Mitarbeiter oder Freiwillige).

Kategorien personenbezogener Daten. Diese werden vom Verantwortlichen durch seine Nutzung der Plattform bestimmt und umfassen typischerweise: Name, E-Mail-Adresse, Postanschrift, Telefonnummer; die Tatsache und den Inhalt eines für den Verantwortlichen sichtbaren Beitrags (Betrag, Häufigkeit, Kampagne, Formular); Antworten auf benutzerdefinierte Fragen, die der Verantwortliche stellt; Inhalte von Peer-to-Peer-Fundraising-Seiten und jedes Foto, das die betroffene Person hinzufügt; den Inhalt der Kommunikation, die der Verantwortliche über die Plattform versendet; sowie Kontakt- und Unterstützerdatensätze, die der Verantwortliche von einer anderen Plattform importiert.

Besondere Kategorien personenbezogener Daten. Zeffy verlangt für die Rolle als Auftragsverarbeiter keine Daten besonderer Kategorien. Entscheidet sich der Verantwortliche, diese über seine Formulare zu erheben (beispielsweise einen Gesundheitszustand, eine durch eine Spende angedeutete Religionszugehörigkeit oder eine politische Meinung), handelt der Verantwortliche für diese Daten als Verantwortlicher und ist dafür zuständig, über eine gültige Rechtsgrundlage und eine gültige Bedingung nach Artikel 9 zu verfügen.

Art und Zweck der Verarbeitung. Hosting, Speicherung, Organisation, Abruf, Übermittlung und Löschung der personenbezogenen Daten des Verantwortlichen, um die vom Verantwortlichen genutzten Funktionen der Plattform bereitzustellen: Kontakt- und Unterstützerverwaltung (CRM), Formulare und deren Antworten, Versand von E-Mails und Postsendungen im Auftrag des Verantwortlichen sowie eigene Berichte und Exporte des Verantwortlichen.

Dauer. Für die Laufzeit des Dienstleistungsvertrags, anschließend Löschung oder Rückgabe gemäß Abschnitt 3.5, vorbehaltlich einer Speicherung, zu der Zeffy als unabhängiger Verantwortlicher gesetzlich verpflichtet ist.

Häufigkeit. Fortlaufend für die Dauer der Dienstleistungen.

C. Zuständige Aufsichtsbehörde

Die zuständige Aufsichtsbehörde ist die nationale oder gegebenenfalls regionale Datenschutzbehörde am Sitz des Verantwortlichen. Soweit die Standardvertragsklauseln auf eine Weiterübermittlung Anwendung finden, wird die zuständige Aufsichtsbehörde gemäß Klausel 13 der SCCs bestimmt.

Anlage II. Technische und organisatorische Maßnahmen (Artikel 32)

Zeffy setzt die folgenden Maßnahmen um, die regelmäßig überprüft und im Zuge der Weiterentwicklung der Dienstleistungen aktualisiert werden.

Verschlüsselung. Verschlüsselung personenbezogener Daten während der Übertragung mittels TLS sowie Verschlüsselung im Ruhezustand.

Zugriffskontrolle. Zugriff nach dem Need-to-know-Prinzip mit Multi-Faktor-Authentifizierung für Mitarbeiter, rollenbasierten Berechtigungen und Protokollierung des Zugriffs auf Produktionssysteme.

Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Trennung der Umgebungen; Maßnahmen zur Aufrechterhaltung der fortlaufenden Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme.

Anbietermanagement. Sorgfältige Prüfung von Anbietern und Datenschutzbestimmungen, bevor ein Anbieter personenbezogene Daten verarbeitet.

Zahlungskarten. Vollständige Zahlungskartennummern und Kartensicherheitscodes werden direkt von Stripe in einem von Stripe gehosteten Feld erfasst und durchlaufen die Systeme von Zeffy nicht. Zeffy speichert nur begrenzte Daten wie Kartenmarke, die letzten vier Ziffern, Ablaufdatum, Karteninhabername und Rechnungsadresse und dies nur als unabhängiger Verantwortlicher gemäß Abschnitt 2.2.

Anlage III. Liste der Unterauftragsverarbeiter

Diese Liste entspricht dem Stand zum Datum dieser AVV. Hier erscheinen nur Anbieter, die personenbezogene Daten des Verantwortlichen (Anlage I) in der Rolle als Auftragsverarbeiter verarbeiten. Anbieter, die ausschließlich für eigene Tätigkeiten von Zeffy als unabhängiger Verantwortlicher eingesetzt werden (Abschnitt 2.2), sind keine Unterauftragsverarbeiter im Sinne dieser AVV und werden zur Transparenz unten gesondert aufgeführt.

A. Hosting, Speicherung und Bereitstellung

B. Datenpipeline und Data Warehouse

Aufgeführt, weil diese Systeme Kopien der Datensätze des Verantwortlichen speichern oder übertragen. Sollte sich bei einer Prüfung herausstellen, dass die eigenen Berichte und Exporte des Verantwortlichen ausschließlich aus der Produktionsumgebung bereitgestellt werden und niemals aus dem Data Warehouse, gehören diese stattdessen unter Abschnitt C zu den Anbietern von Zeffy in der Rolle als Verantwortlicher.

C. KI und Automatisierung

Beauftragt im Rahmen von Vereinbarungen, die sie auf Weisungen von Zeffy beschränken und die Nutzung der Daten zum Training ihrer Modelle untersagen. Sie sind für die Nutzung in der Rolle als Auftragsverarbeiter insoweit autorisiert, wie ein Workflow die Formular- oder Kampagneninhalte oder Datensätze des Verantwortlichen verarbeitet. Ihre derzeit umfangreichste Nutzung erfolgt bei den eigenen Tätigkeiten von Zeffy in der Rolle als Verantwortlicher (Betrug, Support), die außerhalb dieser AVV liegen.

Anbieter, die KEINE Unterauftragsverarbeiter gemäß dieser AVV sind

Diese werden aufgeführt, um die Abgrenzung ausdrücklich zu machen. Sie sind entweder unabhängige Verantwortliche oder Anbieter, die Zeffy ausschließlich für eigene Zwecke in der Rolle als Verantwortlicher einsetzt (Abschnitt 2.2), und verarbeiten daher keine personenbezogenen Daten des Verantwortlichen in dessen Auftrag.

• Stripe ist für Zahlungen, Auszahlungen, Identitätsprüfung und Pflichten im Zusammenhang mit Finanzkriminalität (Abschnitt 2.3) ein unabhängiger Verantwortlicher. Stripe ist kein Unterauftragsverarbeiter.

• HubSpot ist das eigene CRM von Zeffy zur Verwaltung der Beziehungen zu Organisationen, zum Betrieb der Support-Kanäle und für das eigene Marketing. Rolle als Verantwortlicher.

• Google Analytics, Amplitude, Hotjar messen die Nutzung der eigenen Website und der eigenen Produkte von Zeffy. Rolle als Verantwortlicher, einwilligungsbasiert.

• Metabase ist das interne Business-Intelligence-Tool von Zeffy, das von den Mitarbeitern von Zeffy für das Data Warehouse genutzt wird. Rolle als Verantwortlicher.

• Datadog stellt Beobachtbarkeit und Protokollierung für Sicherheit und Missbrauchsprävention bereit. Rolle als Verantwortlicher (Abschnitt 2.2(d)).

• Google reCAPTCHA bietet Bot-Erkennung und Formularsicherheit. Rolle als Verantwortlicher (Betrug und Sicherheit).

• Stytch stellt Authentifizierung, Zwei-Faktor-Authentifizierung und Geräte-Fingerprinting bereit, um den Zugriff auf die Plattform zu sichern und Betrug zu verhindern. Rolle als Verantwortlicher (Abschnitt 2.2(c) und (d)).

• Zoom hostet die Demo-Sitzungen von Zeffy. Rolle als Verantwortlicher.

• Interne Unternehmenstools, die von den Mitarbeitern von Zeffy genutzt werden und niemals personenbezogene Daten von Spendern des Verantwortlichen im Auftrag des Verantwortlichen verarbeiten, darunter Produktivitäts-, Entwicklungs-, Produktforschungs-, Recruiting- und Werbetools, sind ebenfalls keine Unterauftragsverarbeiter im Sinne dieser AVV.