1. DEFINITIONEN
„Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
„Audit“ sowie „Audit-Parameter“ sind in Ziffer 10.3 dieses AVV definiert.
„Audit-Bericht“ ist in Ziffer 10.2 dieses AVV definiert.
„Betroffene Person“ bezeichnet eine identifizierte oder identifizierbare natürliche Person, auf die sich Kundendaten beziehen.
„Datenschutzgesetze“ bezeichnet sämtliche Gesetze und Vorschriften, die auf die Verarbeitung von Kundendaten im Rahmen des Vertrags Anwendung finden, einschließlich, soweit anwendbar:(i) den California Consumer Privacy Act, in der Fassung des California Privacy Rights Act, sowie alle darauf beruhenden verbindlichen Verordnungen („CCPA“), (ii) die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung – „DSGVO“ oder „EU-DSGVO“), (iii) das Schweizer Bundesgesetz über den Datenschutz („Schweizer DSG“), (iv) die EU-DSGVO, soweit sie gemäß Section 3 des European Union (Withdrawal) Act 2018 Teil des Rechts von England und Wales ist („UK GDPR“), und (v) den UK Data Protection Act 2018; jeweils in der geltenden Fassung sowie in jeder geänderten oder ersetzenden Fassung.
„Details zur Verarbeitung“ bezeichnet die wesentlichen Einzelheiten zur vorgesehenen Verarbeitung von Kundendaten, wie von den Parteien in Ziffer 3 dieses AVV festgelegt.
„EWR“ bezeichnet den Europäischen Wirtschaftsraum.
„Kundendaten“ bezeichnet personenbezogene Daten in Nutzerdaten.
„Personenbezogene Daten“ bezeichnet alle Informationen über eine identifizierte oder identifizierbare natürliche Person oder solche Informationen, die im Sinne der Datenschutzgesetze als „personenbezogene Daten“, „persönliche Informationen“ oder vergleichbare Begriffe gelten.
„Übermittlung in ein Drittland“ bezeichnet: (i) soweit die EU-DSGVO Anwendung findet, eine Übermittlung von Kundendaten aus dem EWR in ein Land außerhalb des EWR, für das kein Angemessenheitsbeschluss besteht, (ii) soweit der UK GDPR Anwendung findet, eine Übermittlung von Kundendaten aus dem Vereinigten Königreich in ein anderes Land, für das kein Angemessenheitsbeschluss besteht, oder (iii) soweit das Schweizer DSG Anwendung findet, eine Übermittlung von Kundendaten aus der Schweiz in ein anderes Land, für das kein Angemessenheitsbeschluss besteht.
„Unterauftragsverarbeiter“ bezeichnet einen Dritten, den Perk ausschließlich in Zusammenhang mit der Erbringung der Dienste gemäß Vertrag zur Verarbeitung von Kundendaten einsetzt.
„Verarbeitung“ (einschließlich aller Flexionen dieses Begriffs) bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang im Zusammenhang mit personenbezogenen Daten, wie z. B. Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschung oder Vernichtung.
„Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
„Weisungen des Kunden“ sind in Ziffer 4.1 dieses AVV definiert.
2. GELTUNGSBEREICH UND DAUER
2.1 – Dieses AVV gilt für Perk als Auftragsverarbeiter von Kundendaten und für den Kunden als Verantwortlichen für diese Kundendaten.
2.2 – Dieses AVV tritt mit dem Wirksamkeitsdatum in Kraft und endet mit Ablauf oder Beendigung des Vertrags (oder, falls später, zu dem Zeitpunkt, an dem Perk die Verarbeitung sämtlicher Kundendaten eingestellt hat).
3. DETAILS ZUR VERARBEITUNG
3.1 – Kategorien betroffener Personen. Alle Nutzer, die vom Kunden zur Plattform eingeladen werden und/oder die vom Kunden eingeladen werden, die Dienste in Anspruch zu nehmen.
3.2 – Kategorien von Kundendaten.
Nutzerdaten - Travel und Spend Modul
Name, Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer, Geschäftsadresse), Angaben zur Funktion und Rolle
Identitätsdokumente und Verifikationsdaten (z. B. Reisepass, Personalausweis, Wohnsitznachweis, berufliche Informationen)
Kommunikation zwischen Nutzern und dem Perk-Kundensupport, einschließlich Korrespondenz, Feedback und Serviceanfragen
„Know Your Business“ (KYB) / „Know Your Customer“ (KYC)-Informationen (z. B. Name, Wohnsitznachweis, Identitätsdokumente, berufliche und geschäftliche Kontaktdaten)
Daten, die verarbeitet werden, um geltende Finanz-, Steuer- und Betrugsbekämpfungsvorschriften einzuhalten
Travel Modul
Angaben zur Bonus- und Treueprogrammen (z. B. Mitgliedsnummern in Treueprogrammen)
Reisehistorie (z. B. Hotelaufenthalte, Flüge, Mietwagen, Reisepläne)
Rechnungsbezogene Inhalte, die von einem Reiseanbieter übermittelt werden
Begrenzte Kartendetails, die im Zusammenhang mit einem Nutzerprofil oder einer zugewiesenen Kostenstelle gespeichert sind (z. B. Kartentyp, letzte vier Ziffern, Ablaufdatum, Bankkontoinformationen)
Spend Modul
Informationen zu Spesen und Ausgaben (z. B. Angaben zu Kostenstellen, Belege, vom Nutzer hochgeladene Inhalte, die personenbezogene Daten enthalten können)
Google-Standortdaten zur Geokodierung bei der Reiseerstellung (z. B. für die Berechnung von Kilometerpauschalen; kein Echtzeit-Tracking von Nutzern)
Begrenzte Kartendetails, die im Zusammenhang mit einem Nutzerprofil oder einer zugewiesenen Kostenstelle gespeichert sind (z. B. Kartentyp, letzte vier Ziffern, Ablaufdatum, Bankkontoinformationen)
Karteninhaberdaten (z. B. Name, Adresse, Telefonnummer, geschäftliche E-Mail-Adresse) zur Authentifizierung oder Tokenisierung
Kartendaten (z. B. teilweise Kontonummer, Ablaufdatum, CVV, Servicecode), Kontonummern und zugehörige Transaktionsdaten
Authentifizierungsdaten, soweit erforderlich (z. B. 3DS-Informationen, Kartenprüfcodes, PINs, sensible Authentifizierungsdaten, die von Dritten verarbeitet werden)
Mobile Payment-Daten (z. B. Apple Pay- oder Google Pay-Gerätenummern und Transaktionscodes)
3.3 – Besondere Kategorien personenbezogener Daten. Perk benötigt von den Nutzern keine besonderen Kategorien personenbezogener Daten. Der Kunde weist seine Nutzer an, solche Daten nur dann bereitzustellen, wenn dies unbedingt erforderlich ist. Perk wird derartige Daten löschen, es sei denn, ihre Verarbeitung ist erforderlich, um einer angemessenen Weisung des Kunden nachzukommen (z. B. bei einer Anforderung zu einem speziellen Menü).
3.4 – Art und Zweck der Verarbeitung. Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Dienste. Dazu gehören insbesondere die Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung oder Veränderung, das Auslesen, Abfragen, die Nutzung, Offenlegung durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung sowie die Löschung oder Vernichtung von Daten.
3.5 – Dauer der Verarbeitung. Perk löscht oder anonymisiert Kundendaten spätestens 30 Tage nach Beendigung des Vertrags, sofern eine längere Aufbewahrung nicht nach Datenschutzgesetzen erforderlich ist, zur Beilegung von Streitigkeiten dient oder zur Durchsetzung vertraglicher Ansprüche notwendig ist. Bestimmte Unterlagen (einschließlich Verträge, Einwilligungsprotokolle, Rechnungen und Kundenservice-Interaktionen) können bis zu sechs Jahre lang zur Erfüllung gesetzlicher Pflichten aufbewahrt werden. Eine längere Speicherung ist zulässig, wenn sie gesetzlich vorgeschrieben ist oder für Rechtsstreitigkeiten erforderlich wird. Auf Anfrage bestätigt Perk die Löschung oder Anonymisierung schriftlich. Dieses AVV bleibt in Kraft, bis sämtliche Daten gelöscht oder anonymisiert wurden.
4. VERARBEITUNG VON KUNDENDATEN
4.1 – Perk verarbeitet Kundendaten als Auftragsverarbeiter ausschließlich:
gemäß den Weisungen des Kunden; und
soweit erforderlich zur Erfüllung der gesetzlichen Pflichten von Perk nach den geltenden Datenschutzgesetzen.
„Weisungen des Kunden“ bezeichnet: (i) die Verarbeitung zur Erbringung der Dienste und zur Erfüllung der Verpflichtungen von Perk aus dem Vertrag; sowie (ii) alle angemessenen Weisungen des Kunden, die im Wesentlichen mit den Bestimmungen des Vertrags übereinstimmen.
4.2 – Perk informiert den Kunden, wenn Perk eine Weisung erhält, die nach vernünftiger Einschätzung gegen Datenschutzgesetze verstößt (Perk ist jedoch nicht verpflichtet, die Einhaltung der Datenschutzgesetze durch den Kunden aktiv zu überwachen).
4.3 – Perk schützt Kundendaten entsprechend seinen im Vertrag geregelten Vertraulichkeitsverpflichtungen. Perk stellt sicher, dass Mitarbeiter, die Kundendaten verarbeiten, entweder schriftliche Vertraulichkeitsvereinbarungen unterzeichnet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
4.4 – Perk und der Kunde halten die Datenschutzgesetze jeweils in Bezug auf ihre Verarbeitung von Kundendaten ein. Der Kunde gewährleistet insbesondere, dass die erforderlichen Rechtsgrundlagen vorliegen, damit Perk die Kundendaten rechtmäßig für die im Vertrag (einschließlich dieses AVV) vorgesehenen Zwecke verarbeiten darf – einschließlich, soweit erforderlich, durch Einholung aller erforderlichen Einwilligungen und Erteilung sämtlicher gesetzlich vorgeschriebenen Hinweise an betroffene Personen.
4.5 – Die Parteien werden in gutem Glauben zusammenarbeiten, um dieses AVV bei Bedarf anzupassen, wenn eine der Parteien dies vernünftigerweise zur Einhaltung der Anforderungen der Datenschutzgesetze für erforderlich hält.
5. UNTERAUFTRAGSVERARBEITER
5.1 – Der Kunde erteilt Perk eine allgemeine Genehmigung, Unterauftragsverarbeiter zur Verarbeitung von Kundendaten einzusetzen. Der Kunde stimmt außerdem zu, dass Perk verbundene Unternehmen als Unterauftragsverarbeiter einsetzen darf.
5.2 – Perk wird:
mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung abschließen, die im Wesentlichen die gleichen Datenschutzpflichten enthält wie dieses AVV; und
für die Einhaltung der Verpflichtungen aus diesem AVV sowie für Handlungen oder Unterlassungen der Unterauftragsverarbeiter verantwortlich bleiben, die zu einem Verstoß gegen dieses AVV führen.
5.3 – Perk veröffentlicht eine aktuelle Liste seiner Unterauftragsverarbeiter im Trust Center (die „Liste der Unterauftragsverarbeiter“).
5.4 – Perk kann die Liste der Unterauftragsverarbeiter von Zeit zu Zeit aktualisieren. Mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter Kundendaten verarbeitet, wird Perk diesen in die Liste aufnehmen und den Kunden per E-Mail oder auf eine andere im Auftragsformular vorgesehene Weise benachrichtigen.
5.5 – Widerspricht der Kunde innerhalb von 30 Tagen nach Mitteilung schriftlich dem Einsatz eines neuen Unterauftragsverarbeiters aus berechtigten datenschutzrechtlichen Gründen, werden die Parteien die Einwände in gutem Glauben erörtern.
5.6 – Können die Parteien keine einvernehmliche Lösung finden, ist der Kunde berechtigt, den betroffenen Dienst außerordentlich zu kündigen. Perk erstattet in diesem Fall die im Voraus gezahlten, aber nicht genutzten Gebühren für den betroffenen Dienst anteilig zurück.
6. SICHERHEITSMAßNAHMEN
6.1 – Perk trifft angemessene technische und organisatorische Maßnahmen, die der Art der Kundendaten entsprechen, um deren Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten und Sicherheitsvorfälle zu verhindern. Die jeweils geltenden Maßnahmen sind im Trust Center von Perk beschrieben.
6.2 – Perk setzt Verfahren ein, um Sicherheitsvorfälle zu erkennen und darauf zu reagieren. Im Falle eines Sicherheitsvorfalls wird Perk:
den Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden informieren; und
angemessene Maßnahmen ergreifen, um die Ursache des Sicherheitsvorfalls zu ermitteln, die Auswirkungen zu begrenzen und die Ursache im Rahmen der zumutbaren Möglichkeiten zu beheben.
6.3 – Auf Anfrage unterstützt Perk den Kunden – soweit verfügbar und unter Berücksichtigung der Art der Verarbeitung – mit den Informationen, die erforderlich sind, damit der Kunde seine gesetzlichen Meldepflichten in Bezug auf Sicherheitsvorfälle erfüllen kann. Der Kunde bleibt allein verantwortlich für die Erfüllung dieser Pflichten sowie für die Abgabe von Meldungen an Behörden, betroffene Personen oder sonstige Dritte.
6.4 – Eine Mitteilung von Perk über einen Sicherheitsvorfall stellt kein Anerkenntnis von Verschulden oder Haftung durch Perk dar.
6.5 – Nicht als Sicherheitsvorfälle gelten erfolglose Versuche oder Vorfälle ohne Auswirkungen auf die Sicherheit der Kundendaten, wie z. B. fehlgeschlagene Login-Versuche, Pings, Port-Scans, Denial-of-Service-Angriffe oder sonstige Netzwerkangriffe auf Firewalls oder Systeme.
6.6 – Der Kunde ist dafür verantwortlich, die von Perk bereitgestellten Informationen zur Datensicherheit zu prüfen und selbst festzustellen, ob die Dienste die Anforderungen und rechtlichen Verpflichtungen des Kunden nach den Datenschutzgesetzen erfüllen.
7. DATENSCHUTZ-FOLGENABSCHÄTZUNG
Auf Anfrage des Kunden und unter Berücksichtigung der Art der jeweiligen Verarbeitung unterstützt Perk den Kunden – soweit entsprechende Informationen verfügbar sind – bei der Erfüllung seiner Pflichten nach den Datenschutzgesetzen zur Durchführung einer Datenschutz-Folgenabschätzung oder einer vergleichbaren Risikobewertung im Zusammenhang mit der Nutzung der Dienste. Soweit gesetzlich erforderlich, umfasst dies auch die Unterstützung bei Konsultationen mit den zuständigen Aufsichtsbehörden.
8. BETROFFENENRECHTE
8.1 – Auf Anfrage des Kunden und unter Berücksichtigung der Art der jeweiligen Verarbeitung unterstützt Perk den Kunden bei der Erfüllung seiner Pflichten nach den Datenschutzgesetzen, Anfragen betroffener Personen zur Ausübung ihrer Rechte zu beantworten – soweit der Kunde solche Anfragen (einschließlich über die Dienste) nicht in zumutbarer Weise selbst erfüllen kann.
8.2 – Erhält Perk direkt eine Anfrage einer betroffenen Person in Bezug auf deren Kundendaten, informiert Perk den Kunden und weist die betroffene Person darauf hin, das Ersuchen an den Kunden zu richten. Perk wird in diesem Zusammenhang nicht unmittelbar mit der betroffenen Person kommunizieren, es sei denn, dies ist gesetzlich vorgeschrieben. Der Kunde ist für die Beantwortung sämtlicher Anfragen der betroffenen Personen verantwortlich.
9. RÜCKGABE ODER LÖSCHUNG VON DATEN
9.1 – Während der Laufzeit kann der Kunde über seine administrativen Nutzer und die Funktionen der Plattform auf die Kundendaten zugreifen, sich diese zurückgeben oder löschen.
9.2 – Nach Beendigung oder Ablauf des Vertrags wird Perk – entsprechend den vertraglichen Verpflichtungen – sämtliche Kundendaten nach Wahl des Kunden zurückgeben oder löschen. Die Löschung erfolgt nach branchenüblichen, sicheren Löschverfahren. Auf Anfrage stellt Perk dem Kunden eine Löschbestätigung aus.
9.3 – Ungeachtet der vorstehenden Regelungen darf Perk Kundendaten aufbewahren:
soweit dies durch Datenschutzgesetze vorgeschrieben ist; oder
im Rahmen der üblichen Backup- oder Aufbewahrungsrichtlinien von Perk, vorausgesetzt, dass Perk in beiden Fällen (i) die Vertraulichkeit wahrt und die einschlägigen Bestimmungen dieses AVV auf die aufbewahrten Kundendaten anwendet, und (ii) die Kundendaten nicht weiterverarbeitet, außer für die in den Datenschutzgesetzen vorgesehenen Zwecke und für die dort vorgeschriebene Dauer.
10. AUDITS
10.1 – Perk führt Aufzeichnungen über die Verarbeitung in Übereinstimmung mit den Datenschutzgesetzen und stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten von Perk aus diesem AVV und den Datenschutzgesetzen nachzuweisen.
10.2 – Perk informiert den Kunden über bestehende externe Audit- und Zertifizierungsprogramme (sofern vorhanden) und stellt dem Kunden auf schriftliche Anfrage in angemessenen Abständen zusammenfassende Auditberichte (jeweils ein „Audit-Bericht“) zur Verfügung, vorbehaltlich bestehender Vertraulichkeitsverpflichtungen. Der Kunde darf Audit-Berichte auf Anfrage an die zuständigen Behörden weitergeben. Der Kunde erkennt an, dass gesetzlich eingeräumte Prüfungsrechte durch die Audit-Berichte und die in Ziffer 10.3 (Kundenaudit) beschriebenen Verfahren erfüllt werden.
10.3 – Vorbehaltlich dieser Ziffer 10.3 ist der Kunde berechtigt, auf eigene Kosten ein Audit von angemessenem Umfang und Dauer durchzuführen, das auf einem mit Perk abgestimmten Auditplan basiert und den Audit-Parametern entspricht (ein „Audit“). Der Kunde darf sein Audit-Recht ausüben:
soweit die Bereitstellung eines Audit-Berichts durch Perk nicht ausreicht, um die Einhaltung dieses AVV oder der Datenschutzgesetze zu überprüfen;
soweit dies erforderlich ist, damit der Kunde auf eine behördliche Prüfung oder ein Auskunftsersuchen einer betroffenen Person reagieren kann; oder
im Zusammenhang mit einem Sicherheitsvorfall.
10.4 – Jedes Audit muss den folgenden Parametern („Audit-Parameter“) entsprechen:
es wird von einem unabhängigen Dritten durchgeführt, der mit Perk eine Vertraulichkeitsvereinbarung schließt;
es ist auf das Maß beschränkt, das vernünftigerweise erforderlich ist, um die Einhaltung dieses AVV und der Datenschutzgesetze zu überprüfen;
es findet zu einem einvernehmlich festgelegten Termin und nur während der regulären Geschäftszeiten von Perk statt;
es erfolgt höchstens einmal jährlich (außer wenn die Datenschutzgesetze oder ein Sicherheitsvorfall eine zusätzliche Prüfung erfordern);
es umfasst ausschließlich Einrichtungen, die von Perk kontrolliert werden;
die Prüfungsergebnisse beziehen sich ausschließlich auf Kundendaten; und
sämtliche Ergebnisse sind nach Maßgabe der Datenschutzgesetze vertraulich zu behandeln.
11. DATENÜBERMITTLUNGEN IN DRITTLÄNDER
11.1 – Perk verarbeitet Kundendaten:
in Irland, Deutschland, Spanien und der Schweiz für Kunden mit Sitz im EWR;
zusätzlich in den Vereinigten Staaten für Kunden mit Sitz in den Vereinigten Staaten; und
zusätzlich im Vereinigten Königreich für Kunden mit Sitz im Vereinigten Königreich.
11.2 – Perk (und seine verbundenen Unternehmen) darf Kundendaten weltweit verarbeiten und übertragen, soweit dies für die Erbringung der Dienste erforderlich ist. Erfolgt eine Übermittlung in ein Drittland, wird Perk geeignete Garantien umsetzen, einschließlich:
Sicherstellung, dass das Empfängerland von einer zuständigen Behörde als Land mit angemessenem Datenschutzniveau anerkannt wurde; oder
Abschluss der von der Europäischen Kommission genehmigten Standardvertragsklauseln (oder eines gleichwertigen, von einer zuständigen Behörde genehmigten Instruments) sowie Durchführung eines Transfer Impact Assessment.
12. REGIONALE BESONDERHEITEN
12.1 – Soweit Perk Kundendaten in Kalifornien verarbeitet, gelten im Zusammenhang mit dem CCPA folgende Begriffsbestimmungen:
„business purpose“, „commercial purpose“, „personal information“, „sell“, „service provider“ und „share“ haben die in CCPA festgelegten Bedeutungen;
die Definition von „Betroffene Person“ umfasst auch den Begriff „consumer“ im Sinne des CCPA;
die Definition von „Verantwortlicher“ umfasst auch den Begriff „business“ im Sinne des CCPA; und
die Definition von „Auftragsverarbeiter“ umfasst auch den Begriff „service provider“ im Sinne des CCPA.
12.2 – Der Kunde stellt Perk die Kundendaten im Rahmen des Vertrags ausschließlich zu den spezifischen Geschäftszwecken („business purposes“) zur Verfügung, die in dem Auftragsformular und den Details zur Verarbeitung (Ziffer 3 dieses AVV) sowie im Vertrag beschrieben sind.
13.3 – Perk wird seine Verpflichtungen nach dem CCPA erfüllen und gewährt für die Kundendaten denselben Schutz der Privatsphäre, wie im CCPA vorgeschrieben.
12.4 – Perk erkennt an, dass der Kunde berechtigt ist: (i) gemäß Ziffer 10 (Audits) angemessene und geeignete Maßnahmen zu ergreifen, um sicherzustellen, dass die Verwendung der Kundendaten durch Perk mit den Verpflichtungen des Kunden nach dem CCPA im Einklang steht; (ii) gemäß Ziffer 8 (Betroffenenrechte) Benachrichtigungen und Unterstützung von Perk im Zusammenhang mit Anfragen von Verbrauchern zur Ausübung ihrer Rechte nach dem CCPA zu erhalten; und (iii) nach Benachrichtigung angemessene und geeignete Maßnahmen zu ergreifen, um eine unbefugte Nutzung von Kundendaten zu beenden und abzustellen.
12.5 – Perk informiert den Kunden unverzüglich, wenn Perk feststellt, dass es seine Pflichten nach dem CCPA nicht mehr erfüllen kann.
12.6 – Perk wird Kundendaten nicht aufbewahren, nutzen oder offenlegen: (i) für andere Zwecke – einschließlich kommerzieller Zwecke – als die in Ziffer 12.2 genannten Geschäftszwecke; oder (ii) außerhalb der unmittelbaren Geschäftsbeziehung zwischen Perk und dem Kunden; es sei denn, dies ist nach dem CCPA erlaubt.
12.7 – Perk wird Kundendaten, die im Rahmen des Vertrags bereitgestellt werden, weder verkaufen noch im Sinne des CCPA „teilen“.
12.8 – Perk wird Kundendaten nicht mit anderen personenbezogenen Daten zusammenführen, außer soweit dies einem „service provider“ nach dem CCPA ausdrücklich gestattet ist.