Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen

dem Lizenznehmer gemäß den Allgemeinen Nutzungsbedingungen Software as a Service orboto (nachfolgend "Verantwortlicher")

und

Daniel Schemann, Triebelsheide 37b, 42111 Wuppertal, Deutschland (nachfolgend "Auftragsverarbeiter")

(beide nachfolgend gemeinsam "Vertragsparteien")

Präambel

Die Vertragsparteien haben mit den Allgemeinen Nutzungsbedingungen Software as a Service orboto (nachfolgend "Hauptvertrag") einen Vertrag über die Nutzung der SaaS "orboto" einschließlich hinzugebuchter Zusatzleistungen (E-Mail-Service, KI-Funktionen) geschlossen. Nach Ziffer 7.5 und 10.2 des Hauptvertrags verarbeitet der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen ausschließlich in dessen Auftrag und auf Grundlage einer gesonderten Vereinbarung zur Auftragsverarbeitung. Um die sich hieraus ergebenden Rechte und Pflichten nach der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) und dem Bundesdatenschutzgesetz (BDSG) zu konkretisieren, schließen die Vertragsparteien die nachfolgende Vereinbarung.

§ 1 Anwendungsbereich

(1) Die Vereinbarung findet Anwendung auf die Verarbeitung (Art. 4 Nr. 2 DSGVO) aller personenbezogenen Daten (nachfolgend "Daten"), die Gegenstand des Hauptvertrags sind oder bei dessen Durchführung anfallen und die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet. Nicht unter den Anwendungsbereich fallen Daten von Beschäftigten des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem Auftragsverarbeiter betreffen.

(2) Diese Vereinbarung geht in Fragen des Datenschutzes dem Hauptvertrag und anderen Vereinbarungen und Abreden zwischen den Vertragsparteien vor, sofern die Vertragsparteien nicht ausdrücklich etwas anderes vereinbaren.

§ 2 Konkretisierung des Auftragsinhalts

(1) Gegenstand, Umfang, Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag und Anlage C. Die Vereinbarung gilt für die Laufzeit des Hauptvertrags und darüber hinaus bis zum Ende der Sicherungsfrist von 90 Tagen nach Ziffer 12.3 des Hauptvertrags sowie, soweit danach noch Daten des Verantwortlichen beim Auftragsverarbeiter vorhanden sind, bis zu deren Löschung nach § 7.

(2) Die Arten personenbezogener Daten, die Gegenstand der Verarbeitung sind, ergeben sich aus Anlage C.

(3) Die Kategorien betroffener Personen ergeben sich aus Anlage C.

(4) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen; die SaaS ist dafür nicht bestimmt. Da der Verantwortliche die Inhalte in der SaaS selbst bestimmt, können solche Daten gleichwohl in den Inhalten enthalten sein. In diesem Fall gelten diese Vereinbarung und Anlage B unverändert; die Zulässigkeit der Verarbeitung beurteilt der Verantwortliche.

(5) Die Vertragsparteien legen für die Daten nach Anlage C einen normalen Schutzbedarf zugrunde. Stellt der Verantwortliche für seine Daten einen hohen Schutzbedarf fest, teilt er dies dem Auftragsverarbeiter in Textform mit; die Vertragsparteien stimmen dann ab, ob die Maßnahmen nach Anlage B ausreichen.

§ 3 Verpflichtungen und Weisungsbefugnis

(1) Die Vertragsparteien sind verpflichtet, die ihnen durch datenschutzrechtliche Vorschriften, insbesondere die DSGVO, auferlegten Pflichten einzuhalten. Der Verantwortliche kann jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen; die SaaS stellt ihm dafür Funktionen zu Auskunft, Export, Berichtigung und Löschung bereit.

(2) Zur Gewährleistung der Rechte der betroffenen Personen nach Kapitel III DSGVO unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen mit geeigneten technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. e DSGVO).

(3) Wendet sich eine betroffene Person zur Geltendmachung eines Betroffenenrechts unmittelbar an den Auftragsverarbeiter, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(4) Der Auftragsverarbeiter verarbeitet Daten ausschließlich zur Durchführung des Hauptvertrags und im Rahmen der dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 Satz 2 lit. a DSGVO), sofern er nicht durch das Recht der Union oder des Mitgliedstaats, dem er unterliegt, zu einer anderen Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungen sind zunächst der Hauptvertrag, diese Vereinbarung und die Einstellungen, die der Verantwortliche in der SaaS vornimmt (zum Beispiel Löschungen, Exporte, Aufbewahrungs- und Verschlüsselungseinstellungen). Der Verantwortliche kann sie danach durch Einzelweisungen in Textform über die in Anlage D genannten Wege ändern, ergänzen oder ersetzen. Weisungen werden von beiden Vertragsparteien dokumentiert.

(5) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Durchführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert. Die weisungsberechtigten Personen auf Seiten des Verantwortlichen, die zum Empfang von Weisungen berechtigten Stellen auf Seiten des Auftragsverarbeiters und die Informationswege sind in Anlage D festgelegt.

(6) Änderungen des Verarbeitungsgegenstands mit Verfahrensänderungen stimmen die Vertragsparteien ab und dokumentieren sie. Anpassungen der SaaS nach Ziffer 1.4 des Hauptvertrags kündigt der Auftragsverarbeiter mit dem dort genannten Vorlauf an; ändert eine Anpassung Gegenstand, Art oder Zweck der Verarbeitung nach Anlage C, bietet er die geänderte Anlage C nach § 11 Abs. 1 an.

(7) Auskünfte an Dritte oder an die betroffene Person erteilt der Auftragsverarbeiter nur nach vorheriger ausdrücklicher Zustimmung des Verantwortlichen in Textform, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Herausgabe verpflichtet.

(8) Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und gibt sie nicht an Dritte weiter, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; § 12 und § 13 bleiben unberührt. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Mit Wissen des Verantwortlichen vereinbart sind die Sicherungskopien nach Anlage B Nr. 3 (stündliche Sicherung der Datenbank, Aufbewahrung nach Tarif) und die Exporte, die der Verantwortliche selbst anfordert.

(9) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt ihm auf Wunsch die Informationen zur Aufnahme in dieses Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt nach Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

(10) Die Verarbeitung erfolgt ausschließlich bei EU-Anbietern mit Auftragsverarbeitungsvertrag oder auf eigener Infrastruktur in Deutschland. Die Verarbeitung findet damit ausschließlich auf dem Gebiet der Europäischen Union statt. Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf Grundlage einer dokumentierten Weisung des Verantwortlichen oder zur Einhaltung einer Bestimmung nach dem Recht der Union oder eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V DSGVO im Einklang stehen. Die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(11) Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf Weisung des Verantwortlichen verarbeiten. Die Daten werden in den Rechenzentren der in Anlage A genannten Unterauftragsverarbeiter und auf der in Anlage A beschriebenen eigenen Infrastruktur verarbeitet. Der Zugriff der eingesetzten Personen auf diese Systeme kann auch außerhalb der Betriebsräume des Auftragsverarbeiters erfolgen (mobiles Arbeiten, Home Office), und zwar ausschließlich unter den technischen und organisatorischen Maßnahmen nach Anlage B. Der Verantwortliche stimmt dem mit Abschluss dieser Vereinbarung zu.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter

(1) Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO, Ziffer 10.1 des Hauptvertrags), und weist dies dem Verantwortlichen auf Wunsch nach. Die Verpflichtung umfasst die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung und gilt über das Ende der Tätigkeit hinaus.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und bei der Dokumentation ihrer Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu bei Bedarf die erforderlichen Informationen zur Verfügung, insbesondere die jeweils aktuelle Anlage B.

(3) Unterliegt der Auftragsverarbeiter der gesetzlichen Pflicht zur Benennung eines Datenschutzbeauftragten, teilt er dem Verantwortlichen dessen Kontaktdaten zur direkten Kontaktaufnahme mit. Unabhängig davon ist der Ansprechpartner des Auftragsverarbeiters für den Datenschutz unter [email protected] erreichbar.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen der Aufsichtsbehörden sowie darüber, dass eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit beim Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht, soweit dies die Verarbeitung nach dieser Vereinbarung betrifft.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in Anlage B niedergelegten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Anlage B ist Bestandteil dieser Vereinbarung und weist für jede Maßnahme aus, ob sie umgesetzt ist, sich in Umsetzung befindet oder noch nicht umgesetzt ist.

(2) Ergibt eine Prüfung des Verantwortlichen, dass die Maßnahmen das nach Art. 32 DSGVO erforderliche Schutzniveau nicht erreichen, setzt der Auftragsverarbeiter die zur Erreichung dieses Schutzniveaus erforderlichen Anpassungen um. Darüber hinausgehende Anpassungen vereinbaren die Vertragsparteien gesondert.

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf alternative adäquate Maßnahmen umsetzen, solange das Sicherheitsniveau der in Anlage B festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und stellt die aktuelle Fassung von Anlage B dem Verantwortlichen auf Anfrage zur Verfügung.

(4) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in dieser Vereinbarung und in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Er ermöglicht Überprüfungen nach Maßgabe der Absätze 5 und 6 sowie des § 9 und unterstützt deren Durchführung.

(5) Die Überprüfung kann auch auf Grundlage vorgelegter aktueller Testate, Berichte hinreichend qualifizierter und unabhängiger Stellen (zum Beispiel Wirtschaftsprüfer, unabhängige Datenschutzauditoren), der Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erfolgen. Die Rechenzentren der Unterauftragsverarbeiter werden über deren eigene Nachweise geprüft. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über den Ausschluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DSGVO und jede andere Aufhebung oder wesentliche Änderung der vorgelegten Nachweise.

(6) Der Verantwortliche hat grundsätzlich keinen Anspruch auf Zugang zu den Räumlichkeiten des Auftragsverarbeiters oder zu anderen Systemkomponenten (Ziffer 10.4 des Hauptvertrags). Unberührt bleibt das Recht des Datenschutzbeauftragten des Verantwortlichen, nach schriftlicher Ankündigung mit angemessener Vorlaufzeit Überprüfungen einschließlich Inspektionen vor Ort zur Einhaltung dieser Vereinbarung und des sonstigen gesetzes- und vertragskonformen Umgangs mit Daten im Rahmen des Betriebs der SaaS durchzuführen. Überprüfungen finden während der Servicezeiten nach Ziffer 4.2 des Hauptvertrags statt und dürfen den Betrieb für andere Kunden nicht beeinträchtigen.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforderlichen Informationen zur Verfügung, die dieser für Prüfungen nach Absatz 4 sowie für eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und eine vorherige Konsultation nach Art. 36 DSGVO benötigt.

(8) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO und ergreift im Benehmen mit dem Verantwortlichen unter Berücksichtigung des Stands der Technik alle erforderlichen Maßnahmen zur Sicherheit der Verarbeitung und zur Minderung möglicher nachteiliger Folgen für betroffene Personen.

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter

(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf Verstöße gegen diese Vereinbarung oder gegen Datenschutzvorschriften, bei solchen Verstößen sowie bei anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Die Unterrichtung erfolgt an den verantwortlichen Ansprechpartner des Verantwortlichen nach Anlage D.

(2) Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach, sobald sie vorliegen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen erforderlichenfalls angemessen bei dessen Pflichten nach Art. 33 und 34 DSGVO. Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen nimmt der Auftragsverarbeiter nur nach vorheriger Weisung nach § 3 vor.

§ 7 Löschung und Rückgabe von Daten

(1) Die Daten gehören ausschließlich dem Verantwortlichen (Ziffer 7.5 des Hauptvertrags). Überlassene Datenträger und Datensätze verbleiben in seinem Eigentum.

(2) Nach Ende des Hauptvertrags kann der Verantwortliche innerhalb der Sicherungsfrist von 90 Tagen nach Ziffer 12.3 des Hauptvertrags einen Vollexport seiner Daten im Kundenportal abrufen; damit erfolgt die Rückgabe. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten Daten des Verantwortlichen einschließlich der Verarbeitungsergebnisse, Kopien und Sicherungskopien, soweit nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Die Löschung umfasst die Datenbank der Instanz, den Objektspeicher der Instanz und sämtliche Sicherungsarchive und Exporte der Instanz beim Backup-Speicher. Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform und legt auf Anforderung ein Löschungsprotokoll vor.

(3) Daten, die der Verantwortliche während der Vertragslaufzeit löscht, sind noch bis zum Ablauf der Aufbewahrung der Sicherungen (Cloud Team 14 Tage, Cloud Business 30 Tage) in den Sicherungsarchiven enthalten und werden danach mit diesen gelöscht.

(4) Der Auftragsverarbeiter darf Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, entsprechend den jeweiligen Aufbewahrungsfristen auch über das Vertragsende hinaus aufbewahren oder sie dem Verantwortlichen bei Vertragsende übergeben. Für die aufbewahrten Daten gilt nach Ablauf der Aufbewahrungsfrist Absatz 2.

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Abschluss dieser Vereinbarung eingesetzten Unterauftragsverarbeiter sind in Anlage A aufgeführt; mit ihrem Einsatz ist der Verantwortliche einverstanden. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform und stellt ihm die Informationen zur Verfügung, die er zur Ausübung seines Widerspruchsrechts benötigt. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Auftragsverarbeiter keine zumutbare Alternative anbieten, darf der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

Keine Unterauftragsverarbeitung im Sinne dieser Vorschrift sind Nebenleistungen, die der Auftragsverarbeiter bei Dritten zur Unterstützung der Auftragsdurchführung in Anspruch nimmt und bei denen der Dienstleister keinen Zugriff auf Daten des Verantwortlichen erhält, insbesondere reine Telekommunikations-, Transport- und DNS-Leistungen. Der Auftragsverarbeiter trifft auch für solche Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen und Kontrollmaßnahmen zum Schutz der Daten des Verantwortlichen.

(2) Der Auftragsverarbeiter gestaltet seine vertraglichen Vereinbarungen mit jedem Unterauftragsverarbeiter so, dass das Datenschutzniveau mindestens dieser Vereinbarung entspricht und dieselben Datenschutzpflichten gelten (Art. 28 Abs. 4 DSGVO), insbesondere hinsichtlich geeigneter technischer und organisatorischer Maßnahmen.

(3) Der Auftragsverarbeiter stellt sicher, dass dem Verantwortlichen gegenüber Unterauftragsverarbeitern Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung zustehen; soweit ein Unterauftragsverarbeiter standardisierte Vereinbarungen verwendet, werden diese Rechte über dessen Nachweise nach § 5 Abs. 5 ausgeübt. Der Verantwortliche erhält auf Anforderung in Textform Auskunft über den Inhalt der mit dem Unterauftragsverarbeiter geschlossenen Vereinbarung zur Auftragsverarbeitung und die darin enthaltene Umsetzung der datenschutzrelevanten Pflichten.

(4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters. Der Auftragsverarbeiter beendet in diesem Fall auf Verlangen des Verantwortlichen den Einsatz des Unterauftragsverarbeiters ganz oder teilweise oder löst das Vertragsverhältnis mit ihm, wenn und soweit dies nicht unverhältnismäßig ist.

(5) Eine Übermittlung in ein Drittland findet nur nach § 3 Abs. 10 und unter den Voraussetzungen der Art. 44 ff. DSGVO statt. Die Grundlage je Unterauftragsverarbeiter nennt Anlage A.

§ 9 Datenschutzkontrolle

Der Auftragsverarbeiter gewährt dem Datenschutzbeauftragten des Verantwortlichen zur Erfüllung seiner gesetzlich zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag Zugang nach Maßgabe von § 5 Abs. 6 und Ziffer 10.4 des Hauptvertrags während der Servicezeiten nach Ziffer 4.2 des Hauptvertrags. Er beantwortet dessen Fragen wahrheitsgemäß und vollständig und weist die eingesetzten Personen an, mit ihm zu kooperieren. Gesetzliche Verschwiegenheitspflichten und die Vertraulichkeit der Daten anderer Kunden bleiben unberührt.

§ 10 Haftung und Schadenersatz

Für die Haftung und das Recht auf Schadenersatz gilt Art. 82 DSGVO. Im Verhältnis der Vertragsparteien zueinander gelten im Übrigen die Haftungsregeln des Hauptvertrags (Ziffer 11).

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung und ihrer Anlagen bedürfen der Textform und des ausdrücklichen Hinweises, dass es sich um eine Änderung oder Ergänzung dieser Vereinbarung handelt. Ziffer 13.3 des Hauptvertrags (Änderungsangebot in der SaaS) gilt entsprechend. Die Mitteilung neuer Unterauftragsverarbeiter nach § 8 Abs. 1 und die Fortschreibung von Anlage B nach § 5 Abs. 3 bleiben unberührt.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein oder werden, wird die Wirksamkeit der übrigen Regelungen davon nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Regelung, deren Wirkungen der Zielsetzung am nächsten kommen, die die Vertragsparteien mit der unwirksamen oder undurchführbaren Regelung verfolgt haben. Dies gilt entsprechend, wenn sich die Vereinbarung als lückenhaft erweist.

(3) Gerichtsstand und anwendbares Recht richten sich nach Ziffer 13.1 und 13.4 des Hauptvertrags.

(4) Diese Vereinbarung wird zusammen mit dem Hauptvertrag geschlossen. Mit dem Klick auf den Button "Kostenpflichtig Buchen" (Ziffer 1.1 des Hauptvertrags) gibt der Verantwortliche zugleich sein Angebot zum Abschluss dieser Vereinbarung in der beim Bestellvorgang angezeigten Fassung ab; die Vereinbarung kommt mit dem Hauptvertrag zustande. Der Auftragsverarbeiter protokolliert die angenommene Fassung dieser Vereinbarung und des Hauptvertrags mit dem Zeitpunkt der Annahme. Einer Unterschrift bedarf es nicht.

(5) Diese Vereinbarung wird in deutscher Sprache geschlossen. Eine englische Fassung dient der Information; im Zweifel ist die deutsche Fassung maßgeblich.

§ 12 KI-Funktionen und anonymisierte Auswertungen

(1) KI-Anfragen des Verantwortlichen werden über das KI-Gateway des Auftragsverarbeiters an die in Anlage A genannten KI-Anbieter geleitet; die Such-Embeddings berechnet Scaleway (Anlage A Nr. 4), bei dessen Störung OVHcloud (Anlage A Nr. 7). Das Gateway lässt technisch nur die in Anlage A genannten Anbieter-Endpunkte zu.

(2) Daten des Verantwortlichen werden nur zum Training von KI-Modellen verwendet, wenn der Verantwortliche nach Ziffer 3.5 des Hauptvertrags eingewilligt hat.

(3) Auswertungen nach Ziffer 7.6 des Hauptvertrags erfolgen nur mit Daten, die keinen Personenbezug haben oder deren Personenbezug durch Aggregation entfallen ist.

§ 13 E-Mail-Service

Soweit der Verantwortliche den E-Mail-Service nutzt, verarbeitet der Auftragsverarbeiter Empfängeradressen, Absender, Betreff und Inhalt zur Zustellung sowie Zustellmetadaten. Sperrlisten nach Ziffer 10.3 des Hauptvertrags führt der Auftragsverarbeiter zur Verhinderung erneuter Zustellungen an Personen, die ihre Einwilligung verneint oder widerrufen haben.

Anlage A - Unterauftragsverarbeiter (zu § 8)

Die bei Abschluss dieser Vereinbarung eingesetzten Unterauftragsverarbeiter sind nachfolgend bezeichnet; nach § 8 Abs. 1 ist der Verantwortliche mit ihrem Einsatz einverstanden. Die Anbieter Nr. 1 bis 4, 6 und 7 sind über die SilentFuture UG (haftungsbeschränkt) (Nr. 5) eingebunden, die die Verträge mit ihnen in eigenem Namen geschlossen hat; die Vereinbarung zwischen dem Auftragsverarbeiter und der UG legt ihr und über sie den Anbietern dieselben Datenschutzpflichten auf wie diese Vereinbarung (Art. 28 Abs. 4 DSGVO).

Kein Unterauftragsverarbeiter: Cloudflare, Inc., San Francisco, löst als DNS-Anbieter die Domainnamen der SaaS auf und leitet nur die öffentliche Website (orboto.io) und die Statusseite weiter. Kundenportal, Control Plane, Instanzen, Objektspeicher, E-Mail-Service und Support-Postfach laufen nicht über Cloudflare; Cloudflare erhält keine Daten des Verantwortlichen und ist daher kein Unterauftragsverarbeiter (§ 8 Abs. 1, Nebenleistungen).

Nicht in dieser Liste: Der Zahlungsdienstleister Polar Software, Inc. (Ziffer 6.3 des Hauptvertrags) verarbeitet Rechnungs- und Zahlungsdaten des Lizenznehmers als Vertragspartner der Zahlung, nicht Daten aus den Instanzen; er ist kein Unterauftragsverarbeiter dieser Vereinbarung.

Anlage B - Technische und organisatorische Maßnahmen (zu § 5)

§ 1 Technische und organisatorische Sicherheitsmaßnahmen. Der Auftragsverarbeiter führt geeignete technische und organisatorische Maßnahmen so durch, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Personen angemessen gewährleistet ist.

§ 2 Innerbetriebliche Organisation. Der Auftragsverarbeiter gestaltet seine innerbetriebliche Organisation so, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird, und trifft insbesondere Maßnahmen, die je nach Art der zu schützenden Daten geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen.

(1) Im Einzelnen werden die folgenden Maßnahmen zur Umsetzung von Art. 32 DSGVO bestimmt. Status "umgesetzt" bedeutet, dass die Maßnahme im Betrieb wirkt. Status "in Umsetzung" bedeutet, dass die Maßnahme begonnen und noch nicht abgeschlossen ist. Status "nicht umgesetzt" bedeutet, dass die Maßnahme fehlt.

(2) Das Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen beschreibt Nr. 4.

(3) Nachweise nach § 5 Abs. 5 der Vereinbarung und den aktuellen Stand jeder Maßnahme legt der Auftragsverarbeiter auf Anfrage vor.

Nr. 1 - Maßnahmen der Pseudonymisierung und Verschlüsselung personenbezogener Daten

Nr. 2 - Maßnahmen zur fortdauernden Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste

Nr. 3 - Maßnahmen zur Sicherstellung der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen

Nr. 4 - Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen

Nr. 5 - Maßnahmen zur Identifizierung und Autorisierung der Nutzer

Nr. 6 - Maßnahmen zum Schutz der Daten während der Übermittlung

Nr. 7 - Maßnahmen zum Schutz der Daten während der Speicherung

Verschlüsselung gespeicherter Daten: siehe Nr. 1.

Nr. 8 - Maßnahmen zur Gewährleistung der physischen Sicherheit von Orten, an denen personenbezogene Daten verarbeitet werden

Nr. 9 - Maßnahmen zur Gewährleistung der Protokollierung von Ereignissen

Nr. 10 - Maßnahmen zur Gewährleistung der Systemkonfiguration, einschließlich der Standardkonfiguration

Nr. 11 - Maßnahmen für die interne Governance und Verwaltung der IT und der IT-Sicherheit

Informationssicherheits-Managementsystem: siehe Nr. 4.

Nr. 12 - Maßnahmen zur Zertifizierung / Qualitätssicherung von Prozessen und Produkten

Zertifikate der Rechenzentrumsanbieter: siehe Nr. 8.

Nr. 13 - Maßnahmen zur Gewährleistung der Datenminimierung

Der Auftragsverarbeiter verarbeitet nur die Daten, die der Verantwortliche in der SaaS erfasst oder über ihre Funktionen auslöst (§ 3 Abs. 4). An das Embedding-Modell wird nur der für Such-Embeddings benötigte Text gesendet (Anlage A). Auswertungen nach § 12 Abs. 3 erfolgen nur ohne Personenbezug.

Nr. 14 - Maßnahmen zur Gewährleistung der Datenqualität

Berichtigung durch den Verantwortlichen in der SaaS (§ 3 Abs. 1); Integritätsschutz durch das manipulationssichere Audit-Log (Nr. 9) und signierte Exporte (Nr. 6).

Nr. 15 - Maßnahmen zur Gewährleistung einer begrenzten Speicherdauer

Aufbewahrung der Sicherungen nach Tarif (Nr. 3, § 7 Abs. 3); Löschung aller Daten der Instanz nach Ablauf der 90-tägigen Sicherungsfrist nach Vertragsende (Nr. 17, § 7 Abs. 2).

Nr. 16 - Maßnahmen zur Gewährleistung der Rechenschaftspflicht

Dokumentation von Weisungen: § 3 Abs. 4 und Anlage D. Audit-Logs: Nr. 9.

Nr. 17 - Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur Gewährleistung der Löschung

Nr. 18 - Spezifische technische und organisatorische Maßnahmen zur Unterstützung des Verantwortlichen

Funktionen zu Auskunft, Export, Berichtigung und Löschung zur Unterstützung bei Betroffenenrechten: § 3 Abs. 1 bis 3.

Anlage C - Gegenstand, Art und Zweck der Verarbeitung, Datenarten, Betroffene (zu § 2)

Gegenstand und Zweck: Bereitstellung und Betrieb der SaaS orboto für den Verantwortlichen: Projekt- und Aufgabenverwaltung, Dokumente, Kommunikation in der Instanz, Versand von Systemmails, E-Mail-Service, KI-Funktionen, Datensicherung und Export, Support.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an Empfänger, die der Verantwortliche bestimmt (zum Beispiel E-Mail-Empfänger), Sichern, Löschen.

Arten personenbezogener Daten:

• Nutzerdaten: Name, E-Mail-Adresse, Rolle, Anmelde- und Sitzungsdaten, Einstellungen, Zwei-Faktor-Daten
• Inhalte: Tickets, Kommentare, Dokumente, Anhänge und alle weiteren Inhalte, die Nutzer in der Instanz erfassen, einschließlich darin genannter Personen
• Protokolldaten: Audit-Log, technische Protokolle, Nutzungs- und Telemetriedaten der Instanz
• E-Mail-Daten: Empfänger, Absender, Betreff, Inhalt, Zustellstatus
• KI-Daten: Anfragen und Antworten der KI-Funktionen, Embeddings der Inhalte

Kategorien betroffener Personen: Beschäftigte und Beauftragte des Verantwortlichen (Nutzer), Kunden, Lieferanten und sonstige Kontakte des Verantwortlichen, deren Daten in der Instanz erfasst werden, Empfänger von E-Mails des Verantwortlichen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): nicht vorgesehen; die SaaS ist dafür nicht bestimmt. Verarbeitet der Verantwortliche solche Daten in seinen Inhalten dennoch, gelten diese Vereinbarung und Anlage B unverändert (§ 2 Abs. 4).

Schutzbedarf: normal (§ 2 Abs. 5).

Anlage D - Weisungsbefugnis (zu § 3)

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, eine Weisung verstoße gegen Datenschutzvorschriften, und darf die Durchführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert (§ 3 Abs. 5). Die weisungsberechtigten Personen, die Empfangsstellen und die Informationswege sind nachfolgend festgelegt.

Weisungsberechtigte Personen auf Seiten des Verantwortlichen:

• der verantwortliche Ansprechpartner, den der Verantwortliche nach Ziffer 4.4 des Hauptvertrags bei Vertragsschluss benennt und in Textform ändern kann
• die Administratoren des Workspace des Verantwortlichen, soweit sie Weisungen durch Einstellungen in der SaaS erteilen (§ 3 Abs. 4)

Zum Empfang von Weisungen berechtigte Stellen auf Seiten des Auftragsverarbeiters:

• Datenschutz: [email protected]
• Betrieb und technische Störungen: [email protected] (Ziffer 4.1 des Hauptvertrags)

Informationswege für Weisungen und für Mitteilungen nach § 3 Abs. 5, § 6 und § 8 Abs. 1:

• elektronisch per E-Mail an die vorstehenden Adressen bzw. an die E-Mail-Adresse des verantwortlichen Ansprechpartners
• über das Kundenportal

Weisungen werden von beiden Vertragsparteien in Textform dokumentiert; Weisungen durch Einstellungen in der SaaS sind durch die jeweilige Einstellung und das Audit-Log der Instanz dokumentiert. Änderungen bei den weisungsberechtigten Personen, den Empfangsstellen und den Informationswegen teilen die Vertragsparteien einander unverzüglich in Textform mit.