DATENSCHUTZVEREINBARUNG VON CRITEO

PRÄAMBEL

Diese Datenschutzvereinbarung von Criteo (nachfolgend die „DSV“) ergänzt die Rahmennutzungsbedingungen von Criteo (die „Nutzungsbedingungen“) und die relevanten Spezifischen Nutzungsbedingungen von Criteo (die „Spezifischen Bedingungen“) oder jede andere anwendbare Vereinbarung mit dem Partner (zusammen, der „Vertrag“) und wird hiermit in den Vertrag zwischen Criteo und dem Partner für die Bereitstellung der entsprechenden Criteo-Services einbezogen.

Diese DSV beschreibt die Schutz- und Sicherheitsverpflichtungen der Parteien in Bezug auf die Verarbeitung personenbezogener Daten, die im Zusammenhang mit der Erbringung der betreffenden Criteo-Services erfolgt, einschließlich der Verarbeitung von Service-Daten, sofern und nur soweit diese Daten personenbezogene Daten enthalten, in Übereinstimmung mit den Anforderungen des Datenschutzrechts. Diese DSV ist in die folgenden Abschnitte unterteilt:

• Abschnitt I: Allgemeine Bestimmungen

Abschnitt I ist anwendbar, wenn der Partner Services von Criteo bestellt hat, unabhängig von der Art der Services.

Abschnitt II ist anwendbar, wenn der Partner Services bestellt hat, bei denen Criteo und der Partner als gemeinsame Verantwortliche handeln, wie in den jeweiligen Spezifischen Bedingungen dargelegt (die „gemeinsam verantworteten Services“).

Abschnitt I dieser DSV gilt immer für die Parteien. Die Anwendung von Abschnitt II und/oder III hängt von dem Status ab, unter dem Criteo tätig ist und der in den Spezifischen Bedingungen oder in einer anderen anwendbaren Vereinbarung für den vom Partner bestellten Service festgelegt ist.

Abschnitt I: Allgemeine Bestimmungen

1 Begriffsbestimmungen

Sofern hierin nicht anders angegeben, sind auf diese DSV die in dem Vertrag dargelegten Definitionen anwendbar. Die unten aufgeführten zusätzlichen Definitionen gelten für diese DSV.

„Einwilligung“ ist jede Willensbekundung der betroffenen Person, die aus freien Stücken, für den konkreten Fall, in Kenntnis der Sachlage und unmissverständlich erfolgt und mit der sie durch eine Erklärung oder eine eindeutige bestätigende Handlung ihr Einverständnis mit der Verarbeitung der sie betreffenden personenbezogenen Daten zum Ausdruck bringt.

„Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.

Gemäß Abschnitt II dieser DSV fungieren Criteo S.A., als Muttergesellschaft der Criteo Gruppe, und der Partner als gemeinsame Verantwortliche. Der Begriff „Verantwortlicher“ umfasst „Business“ im Sinne des CCPA.

Bezeichnet alle anwendbaren internationalen, nationalen, bundesstaatlichen und einzelstaatlichen Gesetze und Verordnungen in Bezug auf Datenschutz und Privatsphäre, einschließlich, aber nicht beschränkt auf, (a) die Datenschutz-Grundverordnung („EU DSGVO“); (b) den „UK Data Protection Act“ („UK-GDPR“); (c) den „California Consumer Privacy Act“ („CCPA“) in der Fassung von dem „California Privacy Rights Act“ von 2020; (d) den „Virginia Consumer Data Protection Act“ („VCDPA); (e) den „Colorado Privacy Act“ („CPA“); (f) den „Connecticut Data Privacy Act“ („CTDPA“); (g) den „Utah Consumer Privacy Act“ („UCPA“); (h) den „Oregon Consumer Privacy Act“ („OCPA“); (i) den „Texas Data Privacy and Security Act” (TDPSA); (j) den “Montana Consumer Data Privacy Act” (“MTCDPA”); (k) den “Delaware Personal Data Privacy Act”; (l) den “Iowa Consumer Data Protection Act”; (m) den “Nebraska Data Privacy Act”; (n) den “New Hampshire Data Privacy Act”; (o) den “New Jersey Data Privacy Law”; (p) den koreanischen „Personal Information Protection Act“ („PIPA“); jeweils in der in jedem Land geltenden Fassung, sowie alle von Zeit zu Zeit geänderten oder ersetzenden Gesetze (oder ähnliche).

„Betroffene Person“ ist eine bestimmbare natürliche Person, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennung (z. B. einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung) oder zu einem oder mehreren besonderen Merkmalen dieser natürlichen Person. Für die Zwecke dieser DSV bezieht sich „betroffene Person“ auf die natürlichen Personen, deren personenbezogene Daten im Rahmen der Bereitstellung der relevanten Criteo-Services verarbeitet werden.

„Gemeinsam Verantwortlicher“ bezeichnet einen Verantwortlichen, der gemeinsam mit einem oder mehreren anderen Verantwortlichen handelt. Gemäß Abschnitt II dieser DSV fungieren Criteo und der Partner als gemeinsame Verantwortliche.

„Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Änderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt.

„Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Datenverarbeitung bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Die Begriffe „Business“, „Geschäftszweck (Business Purpose)“, „Verkauf (Sale)“ „Teilen (Share)“ haben die gleiche Bedeutung wie im geltenden Datenschutzrecht, und ihre verwandten Begriffe sind entsprechend auszulegen.

2 Einhaltung von Gesetzen

2.1 Jede Partei erfüllt ihre jeweiligen Verpflichtungen gemäß dem anwendbaren Datenschutzrecht sowie dieser DSV und ist in der Lage, dies auch nachzuweisen.

2.2 Der Partner erkennt ausdrücklich an und erklärt sich damit einverstanden, dass seine Nutzung der gemeinsamen verantworteten Services im Einklang mit dem Datenschutzrecht steht.

3 Autorisierung

3.1 Eine Partei darf personenbezogene Daten nicht der anderen Partei gegenüber offenlegen, es sei denn, die offenlegende Partei gewährleistet der anderen Partei, dass diese Offenlegung mit dem Datenschutzrecht übereinstimmt und dass sie alle geltenden Anforderungen an Informationen, Benachrichtigungen, Autorisierungen oder Einwilligungen der zuständigen öffentlichen Behörde(n) oder der relevanten betroffenen Personen in Bezug auf personenbezogene Daten, die die offenlegende Partei der anderen Partei zur Verfügung stellt, erfüllt hat. Jede offenlegende Partei muss für die Laufzeit des Vertrages Nachweise über die Einhaltung solcher Anforderungen aufbewahren und diese der anderen Partei auf Anfrage unverzüglich zur Verfügung stellen.

3.2 Nichts in dieser DSV verbietet oder beschränkt Criteos Rechte zur Implementierung der Anonymisierung oder der Deidentifizierung personenbezogener Daten, die im Zusammenhang mit dem Vertrag verarbeitet werden, und der Partner autorisiert Criteo hiermit, Anonymisierungstechniken in Übereinstimmung mit dem Datenschutzrecht zu implementieren, soweit dies nach dem Datenschutzrecht erforderlich ist. Das heißt, Daten, die aus einer wirksamen und gesetzeskonformen Anonymisierung oder Deidentifizierung resultieren, fallen nicht unter diese DSV und generell nicht unter das Datenschutzrecht.

4 Zusammenarbeit

4.1 Die Parteien müssen miteinander kooperieren, um das einschlägige Datenschutzrecht zu befolgen und ihre Pflichten aus dem anwendbaren Datenschutzrecht sowie dieser DSV zu erfüllen.

4.2 Die Parteien führen eine angemessene Dokumentation über die von ihnen durchgeführten Verarbeitungsaktivitäten und über ihre Einhaltung des Datenschutzrechts und dieser DSV.

4.3 Im Falle einer Ermittlung, eines Verfahrens, einer formellen Anfrage nach Informationen oder Dokumentation oder eines ähnlichen Ereignisses in Verbindung mit einer Datenschutzbehörde und in Bezug auf die gemeinsam verantworteten Services oder auf personenbezogene Daten werden die Parteien unverzüglich und angemessen Anfragen der anderen Partei bearbeiten, die sich auf die Verarbeitung personenbezogener Daten im Rahmen des Vertrages beziehen.

Abschnitt II – Bedingungen für gemeinsam Verantwortliche

6 Anwendungsbereich dieses Abschnitts II

6.1 Dieser Abschnitt II ist nur auf die Verarbeitung personenbezogener Daten anwendbar, die im Rahmen der Bereitstellung der vom Partner bestellten gemeinsam verantworteten Services durch Criteo durchgeführt wird.

6.2 Gemäß Artikel 26 DSGVO legen die Parteien hiermit ihre jeweiligen Verantwortlichkeiten für die Einhaltung ihrer Verpflichtungen gemäß der DSGVO fest.

6.3 Für die Zwecke der CCPA ist der Partner ein „Business“ und Criteo ist ein „Third Party“.

7 Pflichten der Parteien bei ihrer Tätigkeit als gemeinsam Verantwortliche

7.1 Bei der Verarbeitung personenbezogener Daten als gemeinsam Verantwortliche gemäß Abschnitt II dieser DSV erklärt sich jede Partei damit einverstanden, dass sie:

(a) die sich aus dem Datenschutzrecht ergebenden Anforderungen erfüllt und die Verpflichtungen aus dieser DSV weder so erfüllt, dass der andere gemeinsame Verantwortliche seine sich aus dem Datenschutzrecht ergebenden Verpflichtungen verletzt, noch fordert sie den anderen gemeinsamen Verantwortlichen dazu auf, seine Verpflichtungen so zu erfüllen, dass der gemeinsame Verantwortliche seine Verpflichtungen aus dem Datenschutzrecht verletzt.

(b) alle im Datenschutzrecht vorgesehenen Datenschutzgrundsätze berücksichtigen, einschließlich, aber nicht beschränkt auf die Grundsätze der Zweckbindung, Datenminimierung, Genauigkeit, Speicherbegrenzung, Sicherheit, Integrität und Vertraulichkeit, Transparenz und des Schutzes personenbezogener Daten durch Design und Standards.

(c) Aufzeichnungen über die Verarbeitung der personenbezogenen Daten unter ihrer Verantwortung führen.

(d) angemessene technische und organisatorische Maßnahmen ergreifen, um ein Sicherheitsniveau zu gewährleisten, das den Risiken entspricht, die durch die Verarbeitung der von ihr durchgeführten Verarbeitung personenbezogenen Daten entstehen (einschließlich, für den Partner, in Bezug auf die digitale Fläche des Partners), insbesondere um die personenbezogenen Daten vor versehentlicher oder unrechtmäßiger Zerstörung oder versehentlichem Verlust, Änderung, unbefugter Offenlegung oder Zugriff zu schützen.

(e) alle erforderlichen Maßnahmen ergreifen, um eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den von ihren jeweils verarbeiteten personenbezogenen Daten zu beheben, die Auswirkungen mildern, eine weitere Verletzung des Schutzes personenbezogener Daten zu verhindern und, falls erforderlich, die zuständige(n) Datenschutzbehörde(n) und die betroffenen Personen benachrichtigen.

(f) bei der Erstellung der erforderlichen Datenschutz-Folgenabschätzungen mitwirken.

(g) jede Bewertung, Konsultation und/oder Benachrichtigung der zuständigen Datenschutzbehörden oder betroffenen Personen in Bezug auf durch die jeweilige Partei durchgeführte Verarbeitung erfolgt; und

(h) Ausübung von deren Rechte gemäß dem Datenschutzrecht, einschließlich der Auskunftsrechte, Berichtigung, Löschung und Widerspruch sowie das Recht auf Widerruf der Einwilligung, bearbeiten. Wenn eine Partei eine Stellungnahme abgibt, wird diese empfangende Partei die betroffene Person auf die Datenschutzrichtlinie der anderen Partei verweisen.

8 Criteos Verpflichtungen

Criteo ist in Übereinstimmung mit und in dem Umfang, der durch das Datenschutzrecht vorgeschrieben ist, allein dafür verantwortlich, einen Link zur Datenschutzrichtlinie-Seite von Criteo (www.criteo.com/privacy) aufzunehmen, der Informationen für betroffene Personen darüber enthält, wie der Criteo-Service in allen auf den digitalen Flächen des Partners geschalteten Anzeigen deaktiviert werden kann (und einen „Opt-out“-Link einzufügen).

8.2 Soweit Criteo eine "Third Party" im Sinne des CCPA ist: (a) Die Verwendung personenbezogener Daten durch Criteo ist auf die im Vertrag genannten spezifischen Zwecke beschränkt, und Criteo darf über diese spezifischen Zwecke nicht hinausgehen; (b) Criteo muss die geltenden Verpflichtungen einhalten und das gleiche Maß an Datenschutz bieten, das von einem Business gemäß dem CCPA in Bezug auf personenbezogene Daten verlangt wird; (c) Criteo räumt dem Partner das Recht ein, nach angemessener Ankündigung entsprechende Maßnahmen zu ergreifen, um sicherzustellen, dass Criteo personenbezogene Daten in Übereinstimmung mit diesem Vertrag und den geltenden Datenschutzrechten verwendet, einschließlich angemessener und geeigneter Maßnahmen, um die unbefugte Verwendung personenbezogener Daten zu unterbinden und zu beheben; und (d) Criteo benachrichtigt den Partner, wenn es feststellt, dass es seine Verpflichtungen gemäß den geltenden Datenschutzrechten nicht mehr erfüllen kann.

9 Pflichten des Partners

9.1 Der Partner ist in Übereinstimmung mit und im vom Datenschutzrecht geforderten Umfang allein verantwortlich für:

(a) die Bereitstellung aller erforderlichen Informationen an die betroffenen Personen gemäß dem Datenschutzrecht, einschließlich in Übereinstimmung mit den Artikeln 13 und 14 der DSGVO, in Bezug auf die Verarbeitung der personenbezogenen Daten in Bezug auf die gemeinsam verantworteten Services;

(b) die Bereitstellung eines angemessenen Hinweises in den digitalen Flächen des Partners für jede relevante Verarbeitung personenbezogener Daten durch Criteo für die gemeinsam verantworteten Services, einschließlich der Bereitstellung eines Links zu den Datenschutzrichtlinien von Criteo (www.criteo.com/privacy);

(c) die Einholung und Dokumentation von Einwilligungs- oder Opt-Out-Erklärungen, die gegebenenfalls von betroffenen Personen erteilt wurden;

(d) die Umsetzung von Auswahlmechanismen, um eine gültige Einwilligung von betroffenen Personen oder Opt-Out-Erklärung, sofern anwendbar, in Übereinstimmung mit dem Datenschutzrecht und gegebenenfalls mit den spezifischen Anforderungen der zuständigen lokalen Aufsichtsbehörden einzuholen;

(e) wo Opt-Out-Erklärungen anwendbar sind, den betroffenen Personen das Recht einzuräumen, dem Verkauf und der Weitergabe ihrer personenbezogenen Daten oder der Verwendung der personenbezogenen Daten für Zwecke der gezielten Werbung zu widersprechen;

(f) die Einhaltung der für die Gültigkeitsdauer der eingeholten Einwilligung geltenden Anforderungen und die Anforderung der Einwilligung der betroffenen Personen nach Ablauf dieser Gültigkeitsdauer;

(g) falls zutreffend, sichert der Partner zu und gewährleistet, dass jeder dritte Werbetechnologiepartner, mit dem der Partner in Bezug auf die Werbefläche auf den digitalen Flächen zusammenarbeitet, die über die Criteo-Plattform zum Verkauf angeboten wird (jeweils ein „Consented Third-party Vendor"), die Bestimmungen dieser DSV vollständig einhält;

(h) auf Anfrage und jederzeit unverzüglich den Nachweis zu erbringen, dass der Partner die Einwilligung einer betroffenen Person eingeholt hat.

Letzte Aktualisierung: Mai 2025