Zusatz zur Datenverarbeitung

Dieser Zusatz zur Datenverarbeitung (“DPA„) ist Teil des Abonnementvertrags zwischen dem Kunden (dem“Firma“) und RadiateCapital Limited (“Rebrandly“, das“Datenverarbeiter“) (zusammen als die“Parteien“) (der“Hauptvereinbarung“).

WOHINGEGEN

• Das Unternehmen fungiert als Datenverantwortlicher.

• Das Unternehmen hat Rebrandly mit der Erbringung bestimmter Dienstleistungen im Rahmen der Hauptvereinbarung beauftragt, die die Verarbeitung personenbezogener Unternehmensdaten durch Rebrandly als Datenverarbeiter erfordern.

• Diese DPA legt die zusätzlichen Bedingungen, Anforderungen und Bedingungen fest, unter denen Rebrandly personenbezogene Daten des Unternehmens verarbeitet, wenn es Dienstleistungen im Rahmen des Hauptvertrags erbringt. Diese Datenschutzvereinbarung enthält die obligatorischen Klauseln, die gemäß Artikel 28 Absatz 3 der in EU-Recht enthaltenen Fassung der Allgemeinen Datenschutzverordnung ((EU) 2016/679) (britische DSGVO) für Verträge zwischen für die Verarbeitung Verantwortlichen und Auftragsverarbeitern sowie der Allgemeinen Datenschutzverordnung ((EU) 2016/679) erforderlich sind.

ES WIRD WIE FOLGT VEREINBART:

• Definitionen und Interpretation

• Sofern hier nicht anders definiert, haben großgeschriebene Begriffe und Ausdrücke, die in diesem DPA verwendet werden, die folgende Bedeutung:

“Autorisierte Personen“ bezeichnet die Personen oder Kategorien von Personen, die das Unternehmen ermächtigt, Rebrandly Anweisungen zur Verarbeitung personenbezogener Daten zu erteilen, wie in Anlage 1 aufgeführt.

“Geschäftszwecke“ bezeichnet die in der Hauptvereinbarung beschriebenen Dienstleistungen oder jeden anderen in Anhang 2 ausdrücklich genannten Zweck.

„Personenbezogene Daten des Unternehmens“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und die von Rebrandly aufgrund oder in Verbindung mit der Erbringung der Dienstleistungen gemäß dem Hauptvertrag verarbeitet werden; eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere durch Bezugnahme auf eine Kennung wie einen Namen, eine Identifikationsnummer, Standortdaten, eine Online-Kennung oder auf einen oder mehrere spezifische physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle Faktoren oder die soziale Identität dieser natürlichen Person.

„Beauftragter Unterauftragsverarbeiter“ bezeichnet jede Person, die von oder im Namen von Rebrandly mit der Verarbeitung personenbezogener Unternehmensdaten im Namen des für die Verarbeitung Verantwortlichen im Zusammenhang mit dieser DPA beauftragt wurde.

„Datenschutzgesetze“ bedeutet:

• Soweit die britische DSGVO gilt, gilt das Recht des Vereinigten Königreichs oder eines Teils des Vereinigten Königreichs, das sich auf den Schutz personenbezogener Daten bezieht.
• Soweit die EU-DSGVO gilt, gilt das Recht der Europäischen Union oder eines Mitgliedstaats der Europäischen Union, dem der Kunde oder Anbieter unterliegt, das sich auf den Schutz personenbezogener Daten bezieht.

„Datenübertragung“ bedeutet:

• eine Übertragung personenbezogener Unternehmensdaten vom Unternehmen an einen beauftragten Unterauftragsverarbeiter; oder
• eine Weiterübertragung personenbezogener Unternehmensdaten von einem beauftragten Unterauftragsverarbeiter an einen anderen beauftragten Unterauftragsverarbeiter oder zwischen jeweils zwei Einrichtungen eines beauftragten Unterauftragsverarbeiters, sofern eine solche Übertragung durch Datenschutzgesetze (oder durch die Bedingungen von Datenübertragungsvereinbarungen, die zur Einhaltung der Datenübertragungsbeschränkungen der Datenschutzgesetze getroffen wurden) verboten wäre.

“DPA“ bedeutet diesen Zusatz zur Datenverarbeitung und alle Zeitpläne.

“EEA“ der Europäische Wirtschaftsraum.

„GDPR“ bedeutet die Allgemeine Datenschutzverordnung ((EU) 2016/679).

„SCC“ bezeichnet den internationalen Datenübermittlungsvertrag des ICO für die Übertragung personenbezogener Daten aus dem Vereinigten Königreich und/oder den internationalen Datenübermittlungszusatz des ICO zu den Standardvertragsklauseln der EU-Kommission und/oder den Standardvertragsklauseln der Europäischen Kommission für die Übertragung personenbezogener Daten in Drittländer gemäß der Verordnung (EU) 2016/679, wie im Anhang zum Durchführungsbeschluss (EU) 2021/914 der Kommission dargelegt, und/oder die Standardvertragsklauseln der Europäischen Kommission für die Übertragung personenbezogener Daten aus dem Europäischen Raum Vereinigung von Verarbeitern in Drittländern ansässig (Übertragungen vom für die Verarbeitung Verantwortlichen an den Auftragsverarbeiter), wie im Anhang zum Beschluss 2010/87/EU der Kommission dargelegt, oder in alternativen Klauseln, die von Zeit zu Zeit von der Europäischen Kommission oder vom Vereinigten Königreich genehmigt werden können.

„Dienstleistungen“ bezeichnet das Link-Management-Dashboard und die Anwendungen, die Rebrandly anbietet. Die Dienste werden in Anlage 2 ausführlicher beschrieben.

“Abonnement-Vereinbarung“ bezeichnet die Nutzungsbedingungen, die von Zeit zu Zeit unter rebrandly.com/terms-conditions zur Verfügung gestellt werden, oder andere Geschäftsbedingungen, die einvernehmlich schriftlich vereinbart und zwischen dem Unternehmen und Rebrandly unterzeichnet wurden.

“BRITISCHE GDPR“ hat die Bedeutung, die ihm in Abschnitt 3 (10) (ergänzt durch Abschnitt 205 (4)) des Datenschutzgesetzes 2018 gegeben wird.

• Die Bedingungen, „Kommission“, „Verantwortlicher“, „Betroffene Person“, „Mitgliedstaat“, „Personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben dieselbe Bedeutung, die ihnen in den Datenschutzgesetzen gegeben wird, und ihre verwandten Begriffe sind entsprechend auszulegen.

• Diese DPA unterliegt den Bedingungen der Hauptvereinbarung und ist in die Hauptvereinbarung aufgenommen. Die in der Hauptvereinbarung dargelegten Interpretationen und definierten Begriffe gelten für die Auslegung dieser DPA, sofern der Kontext nichts anderes erfordert.

• Die Zeitpläne sind Teil dieses DPA und werden so wirksam, als ob sie im Hauptteil dieses DPA vollständig dargelegt wären. Jede Bezugnahme auf diese DPA schließt die Zeitpläne ein.

• Ein Hinweis auf Schriftlichkeit oder Schriftlichkeit beinhaltet eine E-Mail mit einer eindeutigen Empfangsbestätigung durch die andere Partei.

• Im Falle eines Konflikts oder einer Unklarheit zwischen:

• Für alle Bestimmungen im Hauptteil dieses DPA und für alle in den Anhängen enthaltenen Bestimmungen hat die Bestimmung im Hauptteil dieses DPA Vorrang;
• die Bedingungen aller beigefügten Rechnungen oder anderer Dokumente, die diesem DPA beigefügt sind, und alle in den Zeitplänen enthaltenen Bestimmungen, wobei die in den Anhängen enthaltenen Bestimmungen Vorrang haben;
• Für alle Bestimmungen dieses DPA und die Bestimmungen der Hauptvereinbarung haben die Bestimmungen dieses DPA Vorrang; und
• Für alle Bestimmungen dieser Vereinbarung und jedes ausgeführten SCC haben die Bestimmungen des ausgeführten SCC Vorrang.

• Verarbeitung personenbezogener Daten des Unternehmens

• Das Unternehmen und Rebrandly erkennen an, dass für die Zwecke der Datenschutzgesetze das Unternehmen der Verantwortliche und Rebrandly der Auftragsverarbeiter ist.

• Rebrandly muss die geltenden Datenschutzgesetze einhalten, die sich speziell auf die Verarbeitung personenbezogener Unternehmensdaten beziehen.

• Das Unternehmen behält die Kontrolle über die personenbezogenen Daten des Unternehmens und ist weiterhin für seine Verpflichtungen gemäß den geltenden Datenschutzgesetzen verantwortlich, einschließlich, aber nicht beschränkt auf die Bereitstellung aller erforderlichen Hinweise und die Einholung aller erforderlichen Einwilligungen sowie für die schriftlichen Verarbeitungsanweisungen, die es Rebrandly erteilt.

• Anlage 1 beschreibt den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung sowie die Kategorien und Arten der betroffenen Personen des Unternehmens, die Rebrandly verarbeiten darf, um die Geschäftszwecke der Hauptvereinbarung zu erfüllen.

• Verpflichtungen bei Rebrandly

• Rebrandly verarbeitet personenbezogene Daten des Unternehmens nur in dem Umfang und auf die Weise, wie dies für die Geschäftszwecke gemäß den schriftlichen Anweisungen des Unternehmens von autorisierten Personen zur Erbringung der Dienste erforderlich ist. Diese Anweisungen müssen im Voraus vereinbart und Rebrandly vom Unternehmen schriftlich zur Verfügung gestellt werden.

• Rebrandly wird allen im Voraus vereinbarten schriftlichen Anfragen oder Anweisungen des Unternehmens von autorisierten Personen nachkommen, die Rebrandly auffordern, die personenbezogenen Daten des Unternehmens nach Möglichkeit zu ändern, zu übertragen, zu löschen oder anderweitig zu verarbeiten.

• Rebrandly wahrt die Vertraulichkeit aller personenbezogenen Daten des Unternehmens und gibt keine personenbezogenen Daten des Unternehmens an unbefugte Dritte weiter, es sei denn, das Unternehmen oder diese DPA genehmigen die Offenlegung ausdrücklich oder wenn dies nach nationalem Recht, Gericht oder Aufsichtsbehörde vorgeschrieben ist.

• Rebrandly Personal

Rebrandly unternimmt angemessene Maßnahmen, um die Zuverlässigkeit aller Mitarbeiter, Vertreter, Auftragnehmer oder beauftragten Unterauftragsverarbeiter sicherzustellen, die möglicherweise Zugriff auf die personenbezogenen Daten des Unternehmens haben, und stellt in jedem Fall sicher, dass der Zugriff auf diejenigen Personen beschränkt ist, die die entsprechenden personenbezogenen Unternehmensdaten kennen bzw. darauf zugreifen müssen, soweit dies für die Zwecke des Hauptvertrags unbedingt erforderlich ist, und um die Datenschutzgesetze im Zusammenhang mit den Pflichten dieser Person gegenüber Rebrandly einzuhalten und sicherzustellen, dass alle diese Personen unterliegen an Vertraulichkeitsverpflichtungen oder professionelle oder gesetzliche Verschwiegenheitspflichten.

• Sicherheit

• Rebrandly ergreift angemessene technische und organisatorische Maßnahmen gegen die unbefugte oder unrechtmäßige Verarbeitung, den Zugriff, das Kopieren, die Änderung, die Reproduktion, Anzeige oder Verbreitung der personenbezogenen Daten des Unternehmens sowie gegen den versehentlichen oder unrechtmäßigen Verlust, die Zerstörung, Änderung, Offenlegung oder Beschädigung der personenbezogenen Daten des Unternehmens. In Anlage 3 finden Sie die technischen und organisatorischen Maßnahmen von Rebrandly zum Schutz von Daten vor unbefugter Zerstörung, Änderung, Verlust, Offenlegung oder Zugriff.

• Bei der Bewertung des angemessenen Sicherheitsniveaus berücksichtigt Rebrandly insbesondere die Risiken, die von der Verarbeitung ausgehen, insbesondere aufgrund einer Verletzung des Schutzes personenbezogener Daten.

• Unterverarbeitung

• Rebrandly ernennt keinen beauftragten Unterauftragsverarbeiter (oder gibt keine personenbezogenen Daten des Unternehmens an diesen weiter), es sei denn, das Unternehmen verlangt oder autorisiert es.

• Die zu Beginn dieses DPA zugelassenen beauftragten Unterauftragsverarbeiter sind auf dieser Webseite aufgeführt: https://rebrandly.com/SubProcessors (“Subprozessor Seite“).

• Aktuelle Unterauftragsverarbeiter und Benachrichtigung über Ergänzungen von Unterauftragsverarbeitern:

• Der Kunde ist sich bewusst, dass der effektive Betrieb der Dienste die Übertragung von Kundendaten an verbundene Unternehmen von Rebrandly oder an die Unterauftragsverarbeiter von Rebrandly erfordern kann. Der Kunde autorisiert hiermit die Übertragung von Kundendaten an Standorte außerhalb Europas (Rebrandlys Hauptverarbeitungseinrichtungen befinden sich in den Vereinigten Staaten von Amerika), einschließlich an mit Rebrandly verbundene Unternehmen und Unterauftragsverarbeiter, sofern diese DPA während der gesamten Dauer der Vereinbarung weiterhin eingehalten wird. Der Kunde erteilt Rebrandly hiermit die allgemeine Genehmigung, weitere Unterauftragsverarbeiter von Drittanbietern mit der Verarbeitung von Kundendaten innerhalb der Dienste für die zulässigen Zwecke zu beauftragen.

• Rebrandly kann die Subprozessor-Seite erweitern, indem es dem Kunden eine angemessene Frist setzt. Rebrandly wird den Kunden mindestens 10 Tage vor solchen Änderungen über die Subprozessor-Seite informieren, wenn es beabsichtigt, Subprozessoren hinzuzufügen oder zu ersetzen. Um eine solche Benachrichtigung zu erhalten, müssen Kunden dem Link https://rebrandly.com/SubProcessors-notification folgen, um in die Verteilerliste von Rebrandly aufgenommen zu werden. Wenn der Kunde innerhalb von zehn (10) Kalendertagen nach einer solchen Mitteilung aus triftigen Gründen im Zusammenhang mit dem Schutz der personenbezogenen Daten Einwände gegen die Ernennung eines weiteren Unterauftragsverarbeiters erhebt, wird Rebrandly in gutem Glauben mit dem Kunden zusammenarbeiten, um eine alternative Lösung zu finden. Für den Fall, dass die Parteien keine solche Lösung finden, kann der Kunde den Vertrag ohne zusätzliche Kosten kündigen.

• Rechte der betroffenen Person

• Unter Berücksichtigung der Art der Verarbeitung unterstützt Rebrandly das Unternehmen bei der Umsetzung geeigneter technischer und organisatorischer Maßnahmen, soweit dies möglich ist, und auf Kosten des Unternehmens, um die Verpflichtungen des Unternehmens zu erfüllen, die das Unternehmen vernünftigerweise versteht, um Anfragen zur Ausübung der Rechte der betroffenen Person gemäß den Datenschutzgesetzen zu beantworten.

• Rebrandly wird:

• das Unternehmen benachrichtigen, wenn es eine Anfrage von einer betroffenen Person gemäß einem Datenschutzgesetz in Bezug auf personenbezogene Unternehmensdaten erhält; und

• stellt sicher, dass es auf diese Anfrage nur auf Grundlage der dokumentierten Anweisungen des Unternehmens oder gemäß den geltenden Gesetzen, denen Rebrandly unterliegt, reagiert. In diesem Fall wird Rebrandly das Unternehmen, soweit nach geltendem Recht zulässig, über diese gesetzliche Anforderung informieren, bevor es auf die Anfrage reagiert.

• Verletzung personenbezogener Daten

• Rebrandly benachrichtigt das Unternehmen unverzüglich, sobald Rebrandly Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt, die sich auf die personenbezogenen Daten des Unternehmens auswirken, und stellt dem Unternehmen ausreichende Informationen zur Verfügung, damit das Unternehmen allen Verpflichtungen zur Meldung oder Information der betroffenen Personen gemäß den Datenschutzgesetzen nachkommen kann.

• Rebrandly wird mit dem Unternehmen zusammenarbeiten und angemessene kommerzielle Maßnahmen ergreifen, die vom Unternehmen angewiesen werden, um bei der Untersuchung, Abschwächung und Behebung jeder dieser Verletzungen des Schutzes personenbezogener Daten zu helfen.

• Datenschutzfolgenabschätzung und vorherige Konsultation

Rebrandly unterstützt das Unternehmen (auf Kosten des Unternehmens) in angemessener Weise bei allen Datenschutzfolgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden, die das Unternehmen nach vernünftigem Ermessen für erforderlich hält, gemäß Artikel 35 oder 36 der DSGVO, der britischen DSGVO oder gleichwertigen Bestimmungen anderer Datenschutzgesetze, jeweils ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten des Unternehmens und unter Berücksichtigung der Art der Verarbeitung und der Informationen, die dem Vertragspartner zur Verfügung stehen Subprozessoren.

• Löschung oder Rückgabe personenbezogener Unternehmensdaten

Auf Anfrage des Unternehmens löscht Rebrandly unverzüglich und in jedem Fall innerhalb von 10 Werktagen nach dem Datum der Einstellung aller Dienste, die die Verarbeitung personenbezogener Daten des Unternehmens beinhalten (das „Datum der Einstellung“), die personenbezogenen Daten des Unternehmens und veranlasst deren Löschung.

• Rechte prüfen

• Rebrandly stellt dem Unternehmen auf Anfrage Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Datenschutzvereinbarung erforderlich sind.
• Informations- und Prüfungsrechte des Unternehmens ergeben sich nur aus Abschnitt 9.1, soweit die Datenschutzbehörde ihnen nicht anderweitig Auskunfts- und Prüfungsrechte einräumt, die den einschlägigen Anforderungen der Datenschutzgesetze entsprechen.

• Internationale Überweisungen

• Der Kunde erkennt an und stimmt zu, dass Rebrandly und seine Unterauftragsverarbeiter personenbezogene Daten in und in die Vereinigten Staaten von Amerika und an andere Orte, an denen Rebrandly, seine verbundenen Unternehmen oder seine Unterauftragsverarbeiter Datenverarbeitungsvorgänge durchführen, übertragen und verarbeiten können, wie auf der Seite für Unterauftragsverarbeiter genauer beschrieben. Rebrandly stellt sicher, dass solche Übertragungen in Übereinstimmung mit den geltenden Datenschutzgesetzen und dieser DPA erfolgen.

• Rebrandly darf personenbezogene Unternehmensdaten außerhalb des EWR nur verarbeiten oder deren Verarbeitung zulassen, sofern die Übertragung ansonsten den Datenschutzgesetzen und dieser DPA entspricht.

• Wenn das Unternehmen der Ernennung eines beauftragten Unterauftragsverarbeiters mit Sitz außerhalb des EWR gemäß den Bestimmungen von Klausel 10 durch Rebrandly zustimmt, ermächtigt das Unternehmen Rebrandly, in seinem Namen die SCCs mit dem beauftragten Unterauftragsverarbeiter abzuschließen.

• Allgemeine Bedingungen

Hinweise. Alle Mitteilungen und Mitteilungen im Rahmen dieser DPA müssen schriftlich erfolgen. Die Empfangsbestätigung per E-Mail wird von der anderen Partei gesendet. Das Unternehmen wird per E-Mail an die Adresse informiert, die für die Nutzung des Dienstes im Rahmen des Hauptvertrags relevant ist. Rebrandly wird per E-Mail an folgende Adresse benachrichtigt: legal@rebrandly.com.

• Geltendes Recht und Gerichtsstand

Diese Datenschutzvereinbarung unterliegt den Gesetzen der Republik Irland.

Alle Streitigkeiten im Zusammenhang mit diesem DPA, die die Parteien nicht lösen können

einvernehmlich, wird der ausschließlichen Zuständigkeit der Gerichte von Dublin unterstellt, vorbehaltlich

mögliche Berufung bei den irischen High Courts.

Anlage 1: Zwecke und Einzelheiten der Verarbeitung personenbezogener Daten

Gegenstand der Verarbeitung: Linkmanagement und Analytik

Dauer der Verarbeitung: Für die Dauer des Hauptvertrags

Art der Verarbeitung: Erfassung und Aggregation von IP-Adressen

Kategorien personenbezogener Daten: Technische Daten

Das Unternehmen erklärt sich damit einverstanden, keine personenbezogenen Daten des Unternehmens in eine URL/einen Link aufzunehmen, der durch die Nutzung der Dienste erstellt wurde, noch in irgendeinen Teil der Plattform (z. B.: Notizen, Tags usw.). Es liegt in der Verantwortung des Unternehmens, Rebrandly im Voraus und schriftlich zu informieren (und Rebrandly muss dies schriftlich autorisieren), falls das Unternehmen personenbezogene Daten des Unternehmens in eine URL/einen Link einfügt, der während der Nutzung der Dienste oder eines anderen Teils der Rebrandly-Plattform erstellt wurde.

Arten von Datensubjekten: Kunden

Autorisierte Personen:

Liste der zugelassenen Unterauftragsverarbeiter des Unternehmens: https://rebrandly.com/SubProcessors

Identifizieren Sie die Rechtsgrundlage von Rebrandly für die Verarbeitung personenbezogener Unternehmensdaten außerhalb des EWR, um die Beschränkungen für grenzüberschreitende Übertragungen einzuhalten: Die AWS-Server von Rebrandly befinden sich hauptsächlich in den Vereinigten Staaten von Amerika. AWS ist ein zugelassener Unterauftragsverarbeiter und kann personenbezogene Daten des Unternehmens (d. h. personenbezogene Daten von EU-Unternehmen) bei der Erbringung der Dienste für das Unternehmen verarbeiten.

Schedule 2: Servicebeschreibung

Die Dienstleistungen werden von RadiateCapital Limited angeboten (“Rebrandly“).

Rebrandly ist eine Link-Management-Plattform, mit der kurze URLs mithilfe eines benutzerdefinierten Domainnamens gebrandet, verfolgt und geteilt werden können. Rebrandly bietet eine komplette Plattform, die ein webbasiertes Dashboard, Anwendungen für Mobiltelefone (iOS und Android), Software für Mac und Windows sowie Browsererweiterungen umfasst.

Anlage 3: Technische und organisatorische Maßnahmen

Die neuesten SOC 2 Type II-Berichte und jährlichen Penetrationstestberichte von Rebrandly werden Kunden und Interessenten über das Rebrandly Trust Center zur Verfügung gestellt. Fordern Sie den Zugang hier an: www.trust.rebrandly.com.

Rebrandly implementiert und unterhält angemessene technische und organisatorische Maßnahmen, um die personenbezogenen Daten des Unternehmens vor unbefugter Zerstörung, Änderung, Verlust, Offenlegung oder unbefugtem Zugriff zu schützen, wie in diesem Anhang dargelegt.

Großgeschriebene Begriffe, die in diesem Anhang oder in der DPA nicht anderweitig definiert sind, haben dieselbe Bedeutung wie in der Hauptvereinbarung.

“Informationsressourcen“ bezeichnet alle Computer- und sonstigen Netzwerke, Systeme, Anwendungen und Netzwerkelemente, durch oder mit denen personenbezogene Daten des Unternehmens gemäß der Vereinbarung gespeichert, übertragen oder verarbeitet werden.

“Starke Verschlüsselung“ bedeutet die Verwendung von Verschlüsselungstechnologien mit einer Mindestschlüssellänge von 128 Bit für symmetrische Verschlüsselung und 1024 Bit für asymmetrische Verschlüsselung.

• Anforderungen an die Systemsicherheit

Überwachung von Sicherheitswarnungen: Überwachen Sie aktiv die Ressourcen der Branche (z. B. Mailinglisten oder Websites von Softwareanbietern), um rechtzeitig über alle relevanten Sicherheitswarnungen im Zusammenhang mit den Informationsressourcen von Rebrandly informiert zu werden.

Systemscans: Scannen Sie sowohl externe als auch interne Informationsressourcen mit der entsprechenden branchenüblichen Software zum Scannen von Sicherheitslücken (einschließlich, aber nicht beschränkt auf Tools zum Scannen von Netzwerken, Servern, Anwendungen und Datenbanken).

Bereitstellung von Systemen zur Erkennung und Abwehr von Eindringlingen: Stellen Sie ein oder mehrere Systeme zur Erkennung und Abwehr von Eindringlingen (IDS oder IPS) in einem aktiven Betriebsmodus bereit.

Behebung von Sicherheitslücken im Service: Verwenden Sie einen dokumentierten Prozess, um Sicherheitslücken in den Informationsressourcen zu beheben, unter anderem durch Branchenpublikationen, Schwachstellensuche, Virenscans und die Überprüfung von Sicherheitsprotokollen, und wenden Sie umgehend geeignete Sicherheitspatches an, je nachdem, mit welcher Wahrscheinlichkeit eine solche Sicherheitslücke ausgenutzt werden kann oder gerade ausgenutzt wird.

Sicherheitsadministration: Weisen Sie bestimmten Personen die Verantwortung für die Sicherheitsadministration für die Konfiguration der Host-Betriebssysteme zu und stellen Sie sicher, dass das Sicherheitspersonal über angemessene und notwendige Erfahrung im Bereich Informations-/Netzwerksicherheit verfügt. Verwalten Sie IAM-Benutzer und ihre Berechtigungen durch autorisiertes Personal und folgen Sie dem Prinzip der geringsten Zugriffsrechte.

Serverhärtung: Stellen Sie sicher, dass alle Server von Rebrandly „gehärtet“ sind und bleiben, indem Sie den Zugriff auf das Unternehmens-VPN einschränken und gegebenenfalls den Besitz eines SSH-Schlüssels für den Zugriff auf sie verlangen.

Benutzerrechte und Zugriff einschränken: Beschränken Sie den Zugriff von Benutzern nur auf die Befehle, Daten und Informationsressourcen, die für die Ausführung autorisierter Funktionen erforderlich sind. Der Zugriff auf Systemadministratoren/Root (oder privilegierte Benutzer, Superuser oder dergleichen) sollte auf Personen beschränkt werden, die für die Ausübung ihrer Aufgaben einen derart hohen Zugriff benötigen, und Systemadministratoren sollten keine Aufgaben für Benutzer ohne Rechte ausführen, die Systemadministratorkonten oder Anmeldeinformationen verwenden.

• Anforderungen an die physische Sicherheit

Sichere Einrichtungen: Stellen Sie sicher, dass sich alle Informationsressourcen von Rebrandly in sicheren physischen Einrichtungen befinden, deren Zugriff beschränkt und nur autorisierten Personen vorbehalten ist. AWS kontrolliert und überwacht den Zugriff auf alle Rechenzentren.

Überwachung und Aufzeichnung des Zugangs: Überwachen und protokollieren Sie zu Prüfungszwecken den Zugang zu den physischen Einrichtungen, die Informationsressourcen enthalten, die Rebrandly im Zusammenhang mit der Erfüllung seiner Verpflichtungen aus der Vereinbarung verwendet.

• Anforderungen an die Netzwerksicherheit

Erkennung und Behandlung von unberechtigtem Zugriff: Halten Sie einen dokumentierten Prozess und Kontrollen bereit, um unbefugte Versuche, auf Kundeninformationen zuzugreifen, zu erkennen und zu behandeln. Die globale Verwaltung der Rebrandly-Infrastruktur erfolgt über ein primäres AWS-Konto, das Teil einer AWS-Organisation mit aktivierten Governance-Diensten (Security Hub, GuardDuty, CloudTrail, Config) ist, um Cloud-Zugriffe und Bedrohungen sowie die kontinuierliche Einhaltung der Vorschriften zu überwachen.

Verschlüsselung von Informationen sowohl bei der Übertragung als auch im Ruhezustand: Verwenden Sie eine starke Verschlüsselung für die Übertragung personenbezogener Unternehmensdaten außerhalb von Einrichtungen, die vom Unternehmen kontrolliert werden oder von Rebrandly kontrolliert werden, oder wenn Sie personenbezogene Unternehmensdaten über ein nicht vertrauenswürdiges Netzwerk übertragen oder wenn Sie personenbezogene Unternehmensdaten speichern.

Fernzugriff: Für jede Verwendung von Informationsressourcen per Fernzugriff sind Authentifizierung und Verschlüsselung erforderlich. Trennen Sie das interne Netzwerk vom Internet mithilfe von Firewalls, die so konfiguriert sind, dass sie nur autorisierten Datenverkehr zulassen, wie in der Sicherheitsrichtlinie von Rebrandly definiert. Überwachen und überprüfen Sie den Datenverkehr, der in das Produktionsnetzwerk von Rebrandly gelangt, mithilfe einer Firewall und von AWS implementierten und von Rebrandly konfigurierten Überwachungstools wie VPC-Logs und CloudTrail.

• Anforderungen an personenbezogene Daten des Unternehmens

Trennung personenbezogener Unternehmensdaten: Trennen Sie die Anwendungen des Unternehmens und die personenbezogenen Daten des Unternehmens von allen anderen Anwendungen und Informationen von Rebrandly oder den Kunden von Rebrandly, indem Sie logische Zugriffskontrollen verwenden.

Dokumentation der sicheren Sicherung, Übertragung, Speicherung und Entsorgung von Kundeninformationen: Halten Sie ein dokumentiertes Verfahren für die sichere Sicherung, den Transport, die Speicherung und die Entsorgung personenbezogener Daten des Unternehmens bereit und stellen Sie dem Unternehmen auf Anfrage des Unternehmens ein solches dokumentiertes Verfahren zur Verfügung.

Plan für Geschäftskontinuität und Notfallwiederherstellung: Halten Sie Pläne für Geschäftskontinuität und Notfallwiederherstellung ein, um sicherzustellen, dass Rebrandly seinen vertraglichen Verpflichtungen aus der Vereinbarung nachkommen kann.

• Identifikations- und Authentifizierungsanforderungen

Eindeutige Anmeldeinformationen und Passwörter: Anmeldeinformationen, Benutzer-IDs und Passwörter werden nicht weitergegeben und von keiner anderen Person als dem zugewiesenen einzelnen Benutzer verwendet.

Fehlgeschlagene Anmeldungen einschränken: Beschränken Sie fehlgeschlagene Anmeldeversuche auf nicht mehr als sechs (6) aufeinanderfolgende Versuche und sperren Sie das Benutzerkonto, wenn dieses Limit erreicht ist. Der Zugriff auf das Benutzerkonto kann anschließend durch einen manuellen Prozess, der eine Überprüfung der Benutzeridentität erfordert, reaktiviert werden. Falls eine solche Möglichkeit besteht, kann er mindestens drei (3) Minuten nach dem letzten fehlgeschlagenen Anmeldeversuch automatisch reaktiviert werden.

Inaktive interaktive Sitzungen beenden: Beenden Sie interaktive Sitzungen oder aktivieren Sie einen sicheren, sperrenden Bildschirmschoner, der eine Authentifizierung erfordert, nach einer Inaktivitätsdauer von höchstens fünfzehn (15) Minuten.

Passwörter: Passwörter müssen die Mindestanforderungen von (i) mindestens acht (8) Zeichen lang sein; (ii) wenn das Passwort weniger als zwölf Zeichen lang ist, muss es Zeichen aus mindestens drei (3) dieser Gruppierungen enthalten: Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen; (iii) dürfen nicht mit der Benutzer-ID übereinstimmen, mit der sie verknüpft sind; und (iv) müssen komplex sein und enthalten keine Namen oder Wörterbuchwörter.

Sichere Übertragung von Benutzer-IDs und Passwörtern: Verwenden Sie eine sichere Methode für die Übertragung von Authentifizierungsdaten (z. B. Passwörter) und Authentifizierungsmechanismen (z. B. Token oder Smartcards). Stellen Sie sicher, dass die Authentifizierung der Benutzersitzung durch die Verwendung der TLS-Verschlüsselung auf den Websites der Anbieter geschützt ist.

• Anforderungen an die Software- und Datenintegrität

Viren scannen und entfernen: Installieren und starten Sie aktuelle Antivirensoftware, um nach Viren zu suchen und diese umgehend zu entfernen.

Separate Produktions- und Nichtproduktionsressourcen: Trennen Sie Entwicklungs- und Testaktivitäten von den Betriebsumgebungen und schränken Sie den Zugriff der Entwickler auf Betriebsumgebungen ein, um das Risiko unbeabsichtigter oder unbefugter Änderungen am Betriebssystem zu verringern, die die Integrität oder Verfügbarkeit des Systems gefährden könnten.

Prozess zur Steuerung von Softwareänderungen: Implementieren Sie einen dokumentierten Prozess zur Steuerung von Softwareänderungen, einschließlich Backout-Verfahren.

Verwenden Sie die Datenbanktransaktionsprotokollierung: Für Anwendungen, die eine Datenbank verwenden, die Änderungen an personenbezogenen Unternehmensdaten ermöglicht, sollten Sie die Funktionen zur Protokollierung von Datenbanktransaktionen aktivieren und die Datenbanktransaktionsprotokolle mindestens sechs (6) Monate lang aufbewahren.

Überprüfen Sie den Code auf Sicherheitslücken und die Einhaltung der branchenüblichen Sicherheitsanforderungen: Überprüfen Sie alle im Rahmen dieser Vereinbarung entwickelten, verwendeten, bereitgestellten und/oder unterstützten Software, um Sicherheitslücken bei der ersten Implementierung und bei Änderungen und Aktualisierungen zu finden und zu beheben und die OWASP-Richtlinien umzusetzen.

Qualitätssicherungstest für Anwendungs- und Sicherheitslücken: Führen Sie während der ersten Implementierung und bei Änderungen und Aktualisierungen Qualitätssicherungstests für die Anwendungsfunktionalität und Sicherheitskomponenten durch (z. B. Testen der Authentifizierungs-, Autorisierungs- und Abrechnungsfunktionen sowie alle anderen Aktivitäten zur Validierung der Sicherheitsarchitektur).

• Überwachungs- und Auditkontrollen

Zugriff auf Sicherheitsprotokolle einschränken: Beschränken Sie den Zugriff auf Sicherheitsprotokolle auf autorisierte Personen.

Sicherheitsprotokolle überprüfen und Sicherheitsprobleme lösen: Überprüfen Sie die Sicherheitsprotokolle routinemäßig auf Anomalien und dokumentieren und beheben Sie alle protokollierten Sicherheitsprobleme zeitnah.

Aufbewahrung von Aufzeichnungen: Bewahren Sie vollständige und genaue Aufzeichnungen über die Erfüllung der Verpflichtungen von Rebrandly aus diesem Anhang und die Einhaltung der Vorschriften durch Rebrandly in einem Format auf, das eine Prüfung für einen Zeitraum von mindestens drei (3) Jahren oder länger, je nachdem, wie dies aufgrund eines Gerichtsbeschlusses oder eines zivil- oder behördlichen Verfahrens erforderlich ist, ermöglicht.

Jährliche Konformitätsprüfung: Überprüfen Sie diesen Zeitplan mindestens einmal jährlich, um sicherzustellen, dass Rebrandly die Anforderungen dieser Vereinbarung erfüllt.

• Verfahren zur Sicherheit und Integrität des Personals

Personalverfahren und -praktiken: Setzen Sie angemessene Verfahren für Rebrandly-Mitarbeiter ein, einschließlich, aber nicht beschränkt auf die Durchführung von Hintergrundüberprüfungen, die dem geltenden Recht entsprechen.

Schulung des Personals: Bieten Sie den Mitarbeitern von Rebrandly, die Zugriff auf personenbezogene Daten oder Systeme von Kunden haben, angemessene Schulungen zum Datenschutz und zur Informationssicherheit an.