Auftragsverarbeitungszusatz (DPA) — serp.cheap

Datum des Inkrafttretens: 15. Juni 2026

Gilt, wenn die Nutzung des Dienstes durch den Kunden die Verarbeitung personenbezogener Daten umfasst. Strukturiert nach dem LGPD (mit Bezug auf die GDPR für EU-Kunden, einschließlich SCCs, soweit zutreffend). Er ist Bestandteil der Nutzungsbedingungen. Der englische Text ist die offizielle Fassung; Übersetzungen werden aus Gründen der Zweckmäßigkeit bereitgestellt.

Dieser DPA wird abgeschlossen zwischen WILLIAM BITTENCOURT MORAES SOLUÇÕES EM DESENVOLVIMENTO, CNPJ 29.785.688/0001-44 („serp.cheap” oder „Auftragsverarbeiter”), und dem im Konto identifizierten Kunden („Verantwortlicher”). Durch die Annahme der Nutzungsbedingungen und die Nutzung des Dienstes in einer Weise, die personenbezogene Daten umfasst, akzeptiert der Kunde diesen DPA.

1. Rollen

Der Kunde ist der Verantwortliche und serp.cheap ist der Auftragsverarbeiter nach geltendem Datenschutzrecht in Bezug auf personenbezogene Daten, die im Namen des Kunden bei der Bereitstellung des Dienstes verarbeitet werden. Soweit serp.cheap Daten für eigene Zwecke verarbeitet (z. B. Verwaltung der Geschäftsbeziehung), handelt es als Verantwortlicher, vorbehaltlich der Datenschutzrichtlinie.

2. Gegenstand und Anweisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur in Übereinstimmung mit den dokumentierten Anweisungen des Verantwortlichen (diese Bedingungen, dieser DPA und die Nutzung des Dienstes), außer wenn dies gesetzlich vorgeschrieben ist. Der Auftragsverarbeiter wird den Verantwortlichen informieren, wenn er der Ansicht ist, dass eine Anweisung gegen das Datenschutzrecht verstößt.

3. Pflichten des Verantwortlichen

Der Verantwortliche sichert zu, dass er: über eine gültige Rechtsgrundlage für die aus seiner Nutzung des Dienstes resultierende Verarbeitung verfügt und diese aufrechterhält; die gegenüber den betroffenen Personen erforderlichen Datenschutzhinweise bereitgestellt hat; und den Dienst nicht in einer Weise nutzen wird, die gegen das Datenschutzrecht verstößt. Der Verantwortliche erkennt an, dass er durch das Einreichen von Abfragen an die API die Infrastruktur des Auftragsverarbeiters dazu veranlassen kann, personenbezogene Daten zu verarbeiten, die in den zurückgegebenen öffentlichen Inhalten enthalten sind, und ist allein dafür verantwortlich, die Rechtmäßigkeit dieser Tätigkeit sicherzustellen.

4. Pflichten des Auftragsverarbeiters

• Vertraulichkeit: sicherstellen, dass befugtes Personal einer Vertraulichkeitspflicht unterliegt.
• Sicherheit: dem Risiko angemessene technische und organisatorische Maßnahmen treffen (Verschlüsselung bei der Übertragung, Zugangskontrolle, Zugangsprotokollierung, Überwachung).
• Unterauftragsverarbeiter: der Verantwortliche genehmigt die Nutzung der erforderlichen Unterauftragsverarbeiter (z. B. Hosting, Zahlungsabwicklung, Überwachung) unter gleichwertigen Schutzpflichten. Wir werden relevante Änderungen mit angemessener Vorankündigung mitteilen, mit einem Recht auf begründeten Widerspruch.
• Rechte betroffener Personen: angemessene Unterstützung bereitstellen, damit der Verantwortliche Anfragen betroffener Personen (Zugang, Berichtigung, Löschung usw.) bearbeiten kann, und alle direkt eingegangenen Anfragen an den Verantwortlichen weiterleiten.
• Vorfälle: den Verantwortlichen ohne unangemessene Verzögerung benachrichtigen, nachdem er von einem Sicherheitsvorfall Kenntnis erlangt hat, der unter diesem DPA verarbeitete Daten betrifft, mit den dann verfügbaren Informationen.
• Löschung: bei Beendigung die im Namen des Verantwortlichen verarbeiteten personenbezogenen Daten löschen oder zurückgeben, außer wenn eine zwingende gesetzliche Aufbewahrung gilt.
• Zusammenarbeit: mit der ANPD und anderen zuständigen Behörden zusammenarbeiten, wie gesetzlich vorgeschrieben.

5. Internationale Übermittlung

Sofern eine internationale Übermittlung vorliegt, wird der Auftragsverarbeiter geeignete Schutzmaßnahmen nach dem LGPD treffen; für EU-Daten GDPR-Mechanismen (z. B. SCCs Modul 2, Verantwortlicher-an-Auftragsverarbeiter).

6. Aggregierte technische Daten

Der Auftragsverarbeiter kann aggregierte und anonymisierte technische und Leistungsdaten (Antwortzeiten, Fehlerquoten, Nutzungsmuster) erheben und verwenden, um den Zustand des Dienstes zu überwachen und ihn zu verbessern, ohne personenbezogene Daten für einen anderen Zweck als die Bereitstellung des Dienstes zu verarbeiten.

7. Haftung

Die Haftung nach diesem DPA unterliegt den in den geltenden Nutzungsbedingungen festgelegten Grenzen. Der Auftragsverarbeiter haftet nicht für Schäden, die sich aus den Anweisungen des Verantwortlichen, aus der Nichteinhaltung des Datenschutzrechts durch den Verantwortlichen oder aus der rechtswidrigen Nutzung des Dienstes durch den Kunden ergeben.

8. Laufzeit

Dieser DPA bleibt für die Dauer der Vertragsbeziehung in Kraft und endet mit ihr, vorbehaltlich der Löschungs-/Aufbewahrungspflichten. Im Falle eines Widerspruchs zwischen diesem DPA und den Bedingungen hinsichtlich der Verarbeitung personenbezogener Daten hat dieser DPA Vorrang.

Kontakt: [email protected]

Anlage I — Beschreibung der Verarbeitung

• Gegenstand: Bereitstellung der Such-API.
• Art/Zweck: Ausführung der vom Kunden eingereichten Anfragen; Protokolle, Abrechnung, Support, Sicherheit.
• Datenarten: (a) Konto-/API-Daten (Schlüssel, IP, Anfrage-Metadaten, Protokolle); (b) Daten, die in den zurückgegebenen öffentlichen Inhalten enthalten sind, ausschließlich vom Kunden festgelegt; (c) Support-Daten.
• Betroffene Personen: die autorisierten Nutzer des Kunden; Personen, deren Daten in den zurückgegebenen Inhalten erscheinen können (vom Kunden festgelegt); die Kontakte des Kunden.
• Ort der Verarbeitung: Brasilien (Verwaltung) und im Ausland — Hosting in Deutschland (Contabo) und den Vereinigten Staaten (AWS Lambda) sowie im Ausland ansässige Zahlungs-, Analyse-, Marketing- und CRM-Auftragsverarbeiter.

Anlage II — Unterauftragsverarbeiter