Data Processing Agreement (DPA)

Screengood — schedule to the Terms of Service

This agreement is between the customer as controller and Zentrolink UG (haftungsbeschränkt) as processor. It forms part of the Terms of Service and takes effect when the customer accepts them. It applies only to personal data the customer submits for screening; Zentrolink does not act as the customer's processor for its independently maintained source database.

Zentrolink UG (haftungsbeschränkt) · HRB 106228 · VAT ID DE450306134 · [email protected]

1. Subject matter, duration and instructions

1.1 Zentrolink processes personal data submitted by the customer on the customer's behalf only for the duration of the agreement to use Screengood. Section 7 governs what happens when that agreement ends.

1.2 Zentrolink processes data only on the customer's documented instructions, including instructions on transfers to third countries, unless required to do otherwise by EU or Member State law. In that case, Zentrolink informs the customer of the legal requirement before processing unless that law prohibits such notice on important grounds of public interest. Use of the search, upload and monitoring functions constitutes a documented instruction. Further instructions may be sent to [email protected].

1.3 Zentrolink immediately informs the customer if, in its opinion, an instruction infringes the GDPR or other EU or Member State data protection law.

2. Nature and purpose of processing; data subjects

2.1 Nature and purpose: receive and compare names and identifiers against sanctions, PEP and other screening lists on the customer's behalf; return possible matches and provide saved searches, batch screening and monitoring where used by the customer. Zentrolink does not use customer queries to expand its own database.

2.2 Types of data: names, dates of birth, countries and other identifiers, as well as any other personal details submitted by the customer through searches, uploaded files or monitoring. Categories of data subjects: the customer's counterparties, customers and employees, and any other people the customer submits for screening.

2.3 The customer determines the purposes and means of the instructed processing, ensures a lawful basis and fulfils its duties to inform data subjects. Under this agreement the customer may issue instructions, request information and exercise its rights of audit and return or deletion.

3. Confidentiality and security

3.1 Zentrolink ensures that everyone authorised to process the data is committed to confidentiality or is under an appropriate statutory duty of confidentiality.

3.2 Zentrolink implements appropriate technical and organisational measures under Article 32 GDPR. The measures are summarised in Annex 1; a more detailed description is provided to the customer on request. Zentrolink ensures that people under its authority process data only on instructions, unless required by law to do otherwise.

4. Subprocessors

4.1 The customer gives general authorisation for the subprocessors listed in Annex 2. Zentrolink informs the customer before any intended addition or replacement of a subprocessor and gives the customer an opportunity to object within a reasonable period. If the customer objects, the parties will seek a solution; until a solution is found, the new subprocessor will not process the customer's data. If the service cannot be provided without that subprocessor, the parties may end the affected service.

4.2 Zentrolink contractually imposes the same data protection obligations in this agreement on every subprocessor, in particular sufficient guarantees of appropriate technical and organisational measures. Zentrolink remains responsible to the customer for the performance of those obligations.

5. Assistance and notifications

5.1 Taking into account the nature of the processing and the information available, Zentrolink assists the customer through appropriate technical and organisational means with responding to data subject requests and with meeting obligations under Articles 32–36 GDPR (security, breach notifications, data protection impact assessments and prior consultation).

5.2 Zentrolink notifies the customer of a personal data breach affecting data processed on its behalf without undue delay after becoming aware of it, and provides available information to help the customer meet its notification obligations.

6. Information and audits

Zentrolink makes available to the customer all information necessary to demonstrate compliance with Article 28 GDPR and allows for and contributes to audits, including inspections, by the customer or an auditor mandated by the customer. Audits take place on reasonable prior notice, during normal business hours and with due regard for other customers' confidentiality and security; these arrangements do not limit statutory audit rights.

7. End of processing

At the end of the service agreement, Zentrolink, at the customer's choice, deletes or returns all personal data processed on its behalf and deletes existing copies, unless EU or Member State law requires further storage. The customer communicates its choice to [email protected]. Any legally required further storage is limited to what the law requires.

Annex 1 — Technical and organisational measures (Article 32 GDPR)

Encryption in transit: all access to the Service uses HTTPS (TLS).
Hosting: dedicated servers in ISO 27001-certified data centres of Hetzner Online GmbH in the EU (Helsinki, Finland); physical access control is provided by the data centre operator.
Network isolation: the database is not reachable from the internet; the application is reachable only through a TLS reverse proxy.
Administrative access: server administration only via SSH keys, restricted to named administrators; repeated failed logins are blocked automatically.
Passwords: user passwords are stored only as salted hashes (Argon2).
Backups and recovery: daily backups to a separate server in the EU with rotation of daily, weekly and monthly copies.
Separation: customer data is logically separated by account; customer queries are not used to expand the source database.

A more detailed description is available on request to [email protected].

Annex 2 — Subprocessors

Hetzner Online GmbH (Gunzenhausen, Germany) — server hosting and backups; data centres in Helsinki, Finland (EU).
Cloudflare, Inc. (San Francisco, USA) — DNS, TLS termination and network protection in front of the Service; submitted data passes through its network. Transfers outside the EU are based on the provider's data processing addendum with standard contractual clauses (Art. 46(2)(c) GDPR).

Auftragsverarbeitungsvertrag (AVV)

Screengood — Anlage zu den Nutzungsbedingungen

Dieser Vertrag wird zwischen dem Kunden als Verantwortlichem und Zentrolink UG (haftungsbeschränkt) als Auftragsverarbeiter geschlossen. Er ist Bestandteil der Nutzungsbedingungen und gilt, sobald der Kunde diese akzeptiert. Er betrifft nur personenbezogene Daten, die der Kunde zur Prüfung in den Dienst eingibt; für die eigene, unabhängig vom Kundenauftrag betriebene Quelldatenbank handelt Zentrolink nicht als Auftragsverarbeiter des Kunden.

Zentrolink UG (haftungsbeschränkt) · HRB 106228 · USt-IdNr. DE450306134 · [email protected]

1. Gegenstand, Dauer und Weisungen

1.1 Zentrolink verarbeitet die vom Kunden übermittelten personenbezogenen Daten ausschließlich für die Dauer des Vertrags über die Nutzung von Screengood im Auftrag des Kunden. Die Pflichten bei Vertragsende richten sich nach Ziffer 7.

1.2 Zentrolink verarbeitet Daten nur auf dokumentierte Weisung des Kunden, einschließlich Weisungen zu Übermittlungen in Drittländer, es sei denn, das Recht der EU oder eines Mitgliedstaats verpflichtet Zentrolink zu einer anderen Verarbeitung. In diesem Fall informiert Zentrolink den Kunden vor der Verarbeitung über die gesetzliche Pflicht, sofern das Gesetz diese Information nicht aus wichtigem öffentlichem Interesse verbietet. Die Nutzung der Such-, Upload- und Monitoringfunktionen gilt als dokumentierte Weisung. Weitere Weisungen können an [email protected] gerichtet werden.

1.3 Zentrolink informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften der EU oder der Mitgliedstaaten verstößt.

2. Art und Zweck der Verarbeitung, betroffene Personen

2.1 Art und Zweck: Entgegennahme und Abgleich von Namen und Identifikationsmerkmalen mit Sanktions-, PEP- und anderen Prüflisten im Auftrag des Kunden; Ausgabe von möglichen Treffern sowie Bereitstellung von gespeicherten Suchen, Sammelprüfungen und Monitoring, soweit vom Kunden genutzt. Zentrolink verwendet Kundensuchanfragen nicht zum Ausbau seiner eigenen Datenbank.

2.2 Datenarten: Namen, Geburtsdaten, Länder und sonstige Identifikationsmerkmale sowie weitere personenbezogene Angaben, die der Kunde in Suchen, hochgeladenen Dateien oder im Monitoring übermittelt. Kategorien betroffener Personen: Vertragspartner, Kunden und Beschäftigte des Kunden sowie andere vom Kunden zur Prüfung eingegebene Personen.

2.3 Der Kunde bestimmt die Zwecke und Mittel der beauftragten Verarbeitung, sorgt für eine Rechtsgrundlage und erfüllt seine Informationspflichten gegenüber den betroffenen Personen. Er kann im Rahmen dieses Vertrags Weisungen erteilen, Auskunft verlangen und seine Rechte auf Prüfung und Rückgabe oder Löschung ausüben.

3. Vertraulichkeit und Sicherheit

3.1 Zentrolink stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.2 Zentrolink trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen sind in Anlage 1 zusammengefasst; eine ausführlichere Beschreibung erhält der Kunde auf Anfrage. Zentrolink stellt sicher, dass Personen unter seiner Verantwortung Daten nur nach Weisung verarbeiten, soweit keine gesetzliche Pflicht entgegensteht.

4. Weitere Auftragsverarbeiter

4.1 Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Zentrolink informiert den Kunden vor dem beabsichtigten Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters über die Änderung und gibt ihm Gelegenheit, innerhalb einer angemessenen Frist zu widersprechen. Bei Widerspruch suchen beide Seiten eine Lösung; solange keine Lösung gefunden ist, erfolgt kein Einsatz des betroffenen neuen Unterauftragsverarbeiters für Kundendaten. Wenn die Leistung ohne ihn nicht erbracht werden kann, können die Parteien die betroffene Leistung beenden.

4.2 Zentrolink verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag, insbesondere zu ausreichenden Garantien für geeignete technische und organisatorische Maßnahmen. Zentrolink bleibt gegenüber dem Kunden für die Erfüllung dieser Pflichten verantwortlich.

5. Unterstützung und Meldungen

5.1 Zentrolink unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen mit geeigneten technischen und organisatorischen Mitteln bei der Beantwortung von Anträgen betroffener Personen und bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation).

5.2 Zentrolink meldet dem Kunden eine Verletzung des Schutzes der in seinem Auftrag verarbeiteten personenbezogenen Daten ohne unangemessene Verzögerung nach Bekanntwerden und stellt die verfügbaren Informationen zur Verfügung, damit der Kunde seine Meldepflichten erfüllen kann.

6. Nachweise und Prüfungen

Zentrolink stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung und ermöglicht Prüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten Prüfer und wirkt daran mit. Prüfungen erfolgen nach angemessener Vorankündigung, zu üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit und Sicherheit anderer Kunden; diese Modalitäten schränken gesetzliche Prüfungsrechte nicht ein.

7. Ende der Verarbeitung

Nach Ende des Nutzungsvertrags löscht Zentrolink nach Wahl des Kunden alle in dessen Auftrag verarbeiteten personenbezogenen Daten oder gibt sie dem Kunden zurück und löscht vorhandene Kopien, sofern nicht EU-Recht oder das Recht eines Mitgliedstaats eine weitere Speicherung vorschreibt. Der Kunde teilt seine Wahl an [email protected] mit. Eine gesetzlich vorgeschriebene weitere Speicherung wird auf das rechtlich Erforderliche beschränkt.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Transportverschlüsselung: jeder Zugriff auf den Dienst erfolgt über HTTPS (TLS).
Hosting: dedizierte Server in ISO-27001-zertifizierten Rechenzentren der Hetzner Online GmbH in der EU (Helsinki, Finnland); die physische Zutrittskontrolle stellt der Rechenzentrumsbetreiber sicher.
Netztrennung: die Datenbank ist aus dem Internet nicht erreichbar; die Anwendung ist nur über einen TLS-Reverse-Proxy erreichbar.
Administrativer Zugang: Serveradministration nur per SSH-Schlüssel und nur durch namentlich bestimmte Administratoren; wiederholte Fehlanmeldungen werden automatisch gesperrt.
Passwörter: Nutzerpasswörter werden ausschließlich als gesalzene Hashes (Argon2) gespeichert.
Datensicherung und Wiederherstellung: tägliche Sicherungen auf einen getrennten Server in der EU mit Rotation täglicher, wöchentlicher und monatlicher Stände.
Trennung: Kundendaten sind je Konto logisch getrennt; Kundenabfragen werden nicht zur Erweiterung der Quelldatenbank verwendet.

Eine ausführlichere Beschreibung ist auf Anfrage an [email protected] erhältlich.

Anlage 2 — Unterauftragsverarbeiter

Hetzner Online GmbH (Gunzenhausen, Deutschland) — Serverhosting und Datensicherung; Rechenzentren in Helsinki, Finnland (EU).
Cloudflare, Inc. (San Francisco, USA) — DNS, TLS-Terminierung und Netzwerkschutz vor dem Dienst; übermittelte Daten durchlaufen dessen Netz. Übermittlungen außerhalb der EU erfolgen auf Grundlage des Auftragsverarbeitungsvertrags des Anbieters mit Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).