DATENSCHUTZVEREINBARUNG VON CRITEO

PRÄAMBEL

Diese Datenschutzvereinbarung von Criteo (nachfolgend die „DSV“) ergänzt die Rahmennutzungsbedingungen von Criteo (die „Nutzungsbedingungen“) und die relevanten Spezifischen Nutzungsbedingungen von Criteo oder jede andere anwendbare Vereinbarung mit dem Partner (zusammen, der „Vertrag") und wird hiermit in den Vertrag zwischen Criteo und dem Partner für die Bereitstellung der entsprechenden Services einbezogen.

Diese DSV beschreibt die Datenschutz- und Sicherheitsverpflichtungen des Partners und von Criteo SA (RCS 484 786 249), es sei denn, die vom Partner ausgewählte Zielgruppe befindet sich in den Vereinigten Staaten von Amerika; in diesem Fall ist diese DSV für den Partner und Criteo Corp. verbindlich in Bezug auf die Verarbeitung personenbezogener Daten, die im Zusammenhang mit der Erbringung der betreffenden Criteo-Services erfolgt, einschließlich der Verarbeitung von Service-Daten, sofern und nur soweit diese Daten personenbezogene Daten enthalten, in Übereinstimmung mit den Anforderungen des Datenschutzrechts.

1 Begriffsbestimmungen

Alle Begriffe, die mit einem Großbuchstaben beginnen und in dieser DSV nicht definiert sind, haben die ihnen in der Vereinbarung zugewiesene Bedeutung.

„Einwilligung“ bezeichnet jede freiwillig abgegebene, spezifische, informierte und eindeutige Willensbekundung, durch eine klare bestätigende Handlung, mit der die betroffene Person der Verarbeitung ihrer personenbezogenen Daten zustimmt.

„Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Dieser Begriff umfasst ähnliche Begriffe, wie sie im geltenden Datenschutzrecht definiert sind, beispielweise „Business“.

„Datenschutzrecht“

„Datenschutzrecht“ bezeichnet alle anwendbaren internationalen, nationalen, bundesstaatlichen und einzelstaatlichen Gesetze und Verordnungen in Bezug auf Datenschutz, Privatsphäre und die Verarbeitung personenbezogener Daten, einschließlich, aber nicht beschränkt auf, (a) die Datenschutz-Grundverordnung („EU DSGVO“); (b) die ePrivacy-Richtlinie und alle nationalen Gesetze zur Umsetzung dieser Richtlinie; (c) den „UK Data Protection Act“ („UK-GDPR“); (d) den „California Consumer Privacy Act“ („CCPA“) in der Fassung von dem „California Privacy Rights Act“; (e) alle sonstigen Datenschutz- oder Privatsphärengesetze einzelner US-Bundesstaaten, einschließlich, aber nicht beschränkt auf Gesetze in Virginia, Colorado, Connecticut, Utah, Oregon, Texas, Montana, Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Indiana, Kentucky, Maryland, Minnesota, Rhode Island, Tennessee sowie alle künftigen oder geänderten Gesetze einzelner Bundesstaaten; (f) das brasilianische Lei Geral de Proteção de Dados („LGPD“); (g) das japanische Gesetz zum Schutz personenbezogener Daten („APPI“); (h) den koreanischen „Personal Information Protection Act“ („PIPA“); jeweils in der in jedem Land geltenden Fassung, sowie alle geänderten oder ersetzenden Gesetze (oder ähnliche). Das Datenschutzrecht umfasst ebenfalls alle rechtlich bindenden Anforderungen, die von den Regulierungsbehörden erlassen wurden, die (i) die Verarbeitung und Sicherheit von Informationen in Bezug auf natürliche Personen regeln und Regeln zum Schutz der Rechte und Freiheiten dieser natürlichen Personen vorsehen, (ii) Regeln zum Schutz der Privatsphäre in Bezug auf Datenverarbeitung und elektronische Kommunikation festlegen, oder (iii) Rechte für Personen vorsehen, die gegenüber Organisationen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten durchsetzbar sind, einschließlich des Auskunftsrechts, Berichtigung und Löschung.

„betroffene Person“ bezeichnet alle Informationen, die eine betroffene Person (oder gegebenenfalls einen Haushalt) im Sinne des Datenschutzrechts identifizieren, sich auf diese beziehen, diese beschreiben oder mit diesen in Verbindung gebracht werden können oder vernünftigerweise mit diesen in Verbindung gebracht werden können, die in Verbindung mit der Bereitstellung der relevanten Services verarbeitet werden. Der Begriff umfasst ähnliche Begriffe, wie sie im geltenden Datenschutzrecht definiert sind, beispielsweise „personenbezogene Informationen“.

„Verletzung des Schutzes personenbezogener Daten“

„Verletzung des Schutzes bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt.

„Verarbeitung“

„Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

„Regulierungsbehörde”

„Regulierungsbehörde” bezeichnet jede zuständige Behörde oder Regierungsstelle, die für die Überwachung der Einhaltung des Datenschutzrechts zuständig ist, einschließlich, aber nicht beschränkt auf: die französische CNIL (die Aufsichtsbehörde von Criteo), das UK Information Commissioner's Office, die California Privacy Protection Agency oder die Generalstaatsanwälte der US-Bundesstaaten.

„Verkauf“ bezeichnet den Verkauf, die Vermietung, die Freigabe, die Offenlegung, die Verbreitung, die Bereitstellung, die Übertragung oder sonstige Übermittlung von personenbezogenen Daten an Dritte mündlich, schriftlich, elektronisch oder auf andere Weise gegen Geld oder eine andere wertvolle Gegenleistung oder wie anderweitig durch das Datenschutzrecht definiert.

„Weitergabe“

bedeutet das Teilen, Vermieten, Freigeben, Offenlegen, Verbreiten, Zurverfügungstellen, Übertragen oder sonstige Übermitteln – mündlich, schriftlich, elektronisch oder auf andere Weise – der personenbezogenen Daten einer Person an einen Dritten zum Zwecke der kontextübergreifenden verhaltensbasierten Werbung (gemäß der Definition im CCPA), unabhängig davon, ob dies gegen eine finanzielle oder sonstige wertvolle Gegenleistung erfolgt oder nicht.

3 Einhaltung von Gesetzen

„Dritter“ bezeichnet die natürliche oder juristische Person, die personenbezogene Daten vom Unternehmen für ihre eigenen unabhängigen Zwecke erhält und die nicht vom Unternehmen als Dienstleister oder Auftragnehmer beauftragt wurde.

Geltungsbereich und Rollen der Parteien

Dienste, wobei Criteo und der Partner für die Zwecke der EU-DSGVO und der UK-DSGVO als unabhängige Verantwortliche handeln, mit Ausnahme des Lesens/Schreibens von Informationen auf Geräten, für die Criteo und der Partner als gemeinsame Verantwortliche handeln. Für die Zwecke des CCPA handelt der Partner als Business und Criteo.

3.1 Jede Partei erfüllt ihre jeweiligen Verpflichtungen gemäß dem anwendbaren Datenschutzrecht sowie dieser DSV und ist in der Lage, dies auch nachzuweisen.

3.2 Jede Partei versichert und gewährleistet, dass (i) sie die andere Partei durch keine Handlung oder Unterlassung durch die Verwendung personenbezogener Daten in einen Verstoß gegen die Bulk Data Transfer Rule versetzt, (ii) sie keine betroffene Person (im Sinne der Bulk Data Transfer Rule) ist oder direkt oder indirekt von einer betroffenen Person kontrolliert wird; oder (ii) sie sich nicht in einem betroffenen Land (im Sinne der Bulk Data Transfer Rule) befindet, sei es durch die Präsenz einer Niederlassung oder von Personal, und (iii) sie sicherstellt, dass keine personenbezogenen Daten, die mit betroffenen Personen in den USA in Verbindung stehen, direkt oder indirekt an eine betroffene Person oder in ein betroffenes Land übertragen werden oder diesen zugänglich sind, und zwar in einer Weise, die nicht die vollständige Einhaltung der Bulk Data Transfer Rule durch beide Parteien gewährleistet. Ist eine Partei eine ausländische Person (im Sinne der Bulk Data Transfer Rule), jedoch keine betroffene Person, so hat sie gemäß 28 C.F.R. § 202.302 jeden bekannten oder vermuteten Verstoß gegen die vorstehenden Zusicherungen unverzüglich der anderen Partei und dem US-Justizministerium zu melden. Auf schriftliche Aufforderung einer Partei hin lässt die andere Partei einen bevollmächtigten Vertreter dieser Partei eine Bescheinigung unterzeichnen, die die Einhaltung dieses Abschnitts und der Bulk Data Transfer Rule bestätigt. „Regelung zur Massenübermittlung von Daten“ bezeichnet die vom US-Justizministerium herausgegebenen „Bestimmungen zur Verhinderung des Zugriffs auf sensible personenbezogene Daten und regierungsbezogene Daten der USA durch besorgniserregende Länder oder betroffene Personen“ (28 CFR Part 202) in ihrer jeweils gültigen Fassung, zusammen mit allen diesbezüglichen Leitlinien des US-Justizministeriums und allen vergleichbaren Gesetzen.

4 Genehmigung

4.1 Eine Partei darf personenbezogene Daten nicht der anderen Partei gegenüber offenlegen, es sei denn, die offenlegende Partei stellt sicher, dass diese Offenlegung mit dem Datenschutzrecht übereinstimmt und dass sie alle geltenden Anforderungen an Informationen, Benachrichtigungen sowie Genehmigungen oder Einwilligungen der zuständigen öffentlichen Behörde(n) oder der relevanten betroffenen Personen in Bezug auf personenbezogene Daten, die die offenlegende Partei der anderen Partei zur Verfügung stellt, erfüllt hat.

4.2 Nichts in dieser DSV verbietet oder beschränkt Criteos Rechte zur Implementierung der Anonymisierung oder der Deidentifizierung (im Sinne des Datenschutzrechts) personenbezogener Daten, die im Zusammenhang mit dem Vertrag verarbeitet werden, und der Partner autorisiert Criteo hiermit, Anonymisierungstechniken in Übereinstimmung mit dem Datenschutzrecht zu implementieren, soweit dies nach dem Datenschutzrecht erforderlich ist. Das heißt, Daten, die aus einer wirksamen und gesetzeskonformen Anonymisierung oder Deidentifizierung (im Sinne des CCPA) resultieren, unterliegen nicht dieser DSV. In einem solchen Fall hat Criteo: (i) angemessene Maßnahmen zu ergreifen, um sicherzustellen, dass die deidentifizierten Daten nicht mit einer Person oder einem Haushalt in Verbindung gebracht werden können; (ii) sich öffentlich verpflichten, die deidentifizierten Daten ausschließlich in deidentifizierter Form zu speichern und zu verwenden und nicht zu versuchen, die Daten erneut zu identifizieren, sofern dies nicht durch das Datenschutzrecht gestattet ist; und (iii) alle Empfänger der deidentifizierten Daten, einschließlich etwaiger Unterauftragsverarbeiter, vertraglich verpflichten, die Anforderungen dieses Abschnitts einzuhalten.

5 Zusammenarbeit

5.1 Die Parteien müssen miteinander kooperieren, um das einschlägige Datenschutzrecht zu befolgen und ihre Pflichten aus dem anwendbaren Datenschutzrecht sowie dieser DSV zu erfüllen.

5.2 Die Parteien führen eine angemessene Dokumentation über die von ihnen durchgeführten Verarbeitungsaktivitäten und über ihre Einhaltung des Datenschutzrechts und dieser DSV.

5.3 Im Falle einer Ermittlung, eines Verfahrens, einer formellen Anfrage nach Informationen oder Dokumentation oder eines ähnlichen Ereignisses in Verbindung mit einer Datenschutzbehörde und in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Dienste werden die Parteien unverzüglich und angemessen auf Anfragen der anderen Partei reagieren, die sich auf die Verarbeitung personenbezogener Daten im Rahmen des Vertrages beziehen.

6 Datenschutzbeauftragte

6.1 Criteo und der Partner haben jeweils einen Datenschutzbeauftragten ernannt. Der Datenschutzbeauftragte von Criteo ist erreichbar unter: dpo@criteo.com. Die Kontaktdaten des Datenschutzbeauftragten des Partners müssen Criteo unverzüglich schriftlich mitgeteilt werden.

7 Pflichten der Parteien

7.1 In Bezug auf die von jeder Partei durchgeführten Verarbeitung personenbezogener Daten erklärt sich jede Partei damit einverstanden, dass sie:

(a) die sich aus dem Datenschutzrecht ergebenden Anforderungen erfüllt und ihre Verpflichtungen aus dieser DSV weder in einer Weise erfüllt noch den anderen Verantwortlichen dazu auffordert, seine Verpflichtungen in einer Weise zu erfüllen, die dazu führen würde, dass der andere Verantwortliche gegen seine Verpflichtungen aus dem Datenschutzrecht verstößt.

(b) alle im Datenschutzrecht vorgesehenen Datenschutzgrundsätze berücksichtigen, einschließlich, aber nicht beschränkt auf die Grundsätze der Zweckbindung, Datenminimierung, Genauigkeit, Speicherbegrenzung, Sicherheit, Integrität und Vertraulichkeit, Transparenz und des Schutzes personenbezogener Daten durch Design und Standards.

(c) Aufzeichnungen über die Verarbeitung der personenbezogenen Daten unter ihrer Verantwortung führen.

(d) angemessene technische und organisatorische Maßnahmen ergreifen, um ein Sicherheitsniveau zu gewährleisten, das den Risiken entspricht, die durch die von ihr durchgeführten Verarbeitung personenbezogener Daten entstehen (einschließlich, für den Partner, in Bezug auf die digitale Fläche des Partners), insbesondere um die personenbezogenen Daten vor versehentlicher oder unrechtmäßiger Zerstörung oder versehentlichem Verlust, Änderung, unbefugter Offenlegung oder Zugriff zu schützen.

(e) alle erforderlichen Maßnahmen ergreifen, um eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den von ihren jeweils verarbeiteten personenbezogenen Daten zu beheben, die Auswirkungen mildern, eine weitere Verletzung des Schutzes personenbezogener Daten zu verhindern und, falls erforderlich, die Regulierungsbehörden und die betroffenen Personen benachrichtigen.

(f) bei der Erstellung der erforderlichen Datenschutz-Folgenabschätzungen mitwirken.

(g) jede Bewertung, Konsultation und/oder Benachrichtigung der Regulierungsbehörden oder die betroffenen Personen durchführen; und

(h) sie Anfragen und/oder Beschwerden von betroffenen Personen, insbesondere Anfragen in Bezug auf die Ausübung von deren Rechte gemäß dem Datenschutzrecht, einschließlich der Auskunftsrechte, Berichtigung, Löschung und Widerspruch sowie das Recht auf Widerruf der Einwilligung, bearbeiten. Wenn eine Partei eine Anfrage einer betroffenen Person in Bezug auf personenbezogene Daten erhält, die von der anderen Partei verarbeitet werden, wird diese empfangende Partei die betroffene Person auf die Datenschutzrichtlinie der anderen Partei verweisen, die erklärt, wie sie ihre Anfrage bei der anderen Partei einreichen kann, um es dieser anderen Partei zu ermöglichen, direkt auf die Anfrage der betroffenen Person zu antworten.

8 Criteos Verpflichtungen

Criteo ist in Übereinstimmung mit und in dem Umfang, der durch das Datenschutzrecht vorgeschrieben ist, allein dafür verantwortlich, Informationen für betroffene Personen darüber zu enthalten, wie der Criteo-Service in allen auf den digitalen Flächen des

Soweit Criteo im Rahmen der Erfüllung der Vereinbarung eine "Third Party" im Sinne des CCPA ist: (a) Die Verwendung

9 Pflichten des Partners

9.1 Der Partner ist in Übereinstimmung mit und im vom Datenschutzrecht geforderten Umfang allein verantwortlich für:

(a) die Bereitstellung aller erforderlichen Informationen an die betroffenen Personen gemäß dem Datenschutzrecht, einschließlich in Übereinstimmung mit den Artikeln 13 und 14 der DSGVO, in Bezug auf die Verarbeitung der personenbezogenen Daten im Rahmen dieser DSV;

(b) die Bereitstellung eines angemessenen Hinweises in den digitalen Flächen des Partners für jede relevante Verarbeitung personenbezogener Daten durch Criteo, einschließlich der Bereitstellung eines Links zu den Datenschutzrichtlinien von Criteo (www.criteo.com/privacy);

(c) die Einholung und Dokumentation von Einwilligungs- oder Opt-Out-Erklärungen, die gegebenenfalls von betroffenen Personen erteilt wurden;

(d) die Umsetzung von Auswahlmechanismen, um – sofern erforderlich – eine gültige Einwilligung von betroffenen Personen einzuholen oder gültige Opt-Out-Mechanismen bereitzustellen, in Übereinstimmung mit dem Datenschutzrecht und gegebenenfalls mit den spezifischen Anforderungen der Regulierungsbehörden;

(e) sofern der Partner gemäß den Datenschutzgesetzen verpflichtet ist, vor der Verarbeitung personenbezogener Daten im Rahmen der Dienste eine gültige Einwilligung einzuholen, muss er den betroffenen Personen das Recht einräumen, diese Einwilligung zu widerrufen;

(f) sofern der Partner gemäß den Datenschutzgesetzen verpflichtet ist, vor der Verarbeitung personenbezogener Daten im Rahmen der Dienste gültige Opt-Out-Mechanismen anzubieten, muss er den betroffenen Personen das Recht einräumen, dem Verkauf und der Weitergabe ihrer personenbezogenen Daten sowie der Verwendung der personenbezogenen Daten für kontextübergreifende verhaltensbasierte Werbung zu widersprechen;

(g) die Einwilligung der betroffenen Personen erneut einzuholen, sobald die Gültigkeitsdauer dieser Einwilligung (gemäß den datenschutzrechtlichen Bestimmungen) abgelaufen ist;

(h) sofern zutreffend, sichert der Partner zu und gewährleistet, dass jeder seiner Drittanbieter im Bereich Werbetechnologie, dessen Werbefläche auf den digitalen Flächen über die Criteo-Plattform zum Verkauf angeboten wird (jeweils ein „Consented Third-party Vendor"), die Bestimmungen dieser DSV vollständig einhält; und

(i) auf Anfrage und jederzeit unverzüglich den Nachweis zu erbringen, dass der Partner die Einwilligung einer betroffenen Person eingeholt hat.