VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG

1. Gegenstand, Rollen und Anwendungsbereich

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) ergänzt den Vertrag über die Nutzung von SOF AI („Hauptvertrag“). Sie gilt, soweit Robert Kraft, handelnd unter „SOF Solutions Hub“ und „SOF AI“ („SOF AI“), personenbezogene Daten im Auftrag des Kunden verarbeitet.

Der Kunde kann im jeweiligen Verarbeitungsvorgang Verantwortlicher oder selbst Auftragsverarbeiter sein. Ist der Kunde Auftragsverarbeiter, bestätigt er, dass der jeweils zuständige Verantwortliche die Beauftragung von SOF AI als weiterem Auftragsverarbeiter sowie die in dieser AVV vorgesehenen Weisungen und Unterauftragsverarbeiter autorisiert hat.

Für Verarbeitungsvorgänge, bei denen SOF AI eigene Zwecke und Mittel bestimmt – insbesondere Kontoverwaltung, eigene Vertrags- und Abrechnungsverwaltung, IT-Sicherheit, Support, Missbrauchsabwehr und gesetzliche Pflichten – handelt SOF AI als eigener Verantwortlicher. Diese Verarbeitungsvorgänge fallen nicht unter diese AVV.

2. Parteien

Auftraggeber: der im Hauptvertrag bzw. im SOF-AI-Kundenkonto bezeichnete Geschäftskunde.

Auftragsverarbeiter: Robert Kraft, handelnd unter „SOF Solutions Hub“ und „SOF AI“, Schönefelder Chaussee 221, 12524 Berlin, Deutschland; E-Mail: contact@sofsolutionshub.com; Telefon: +49 160 6119180.

3. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der cloudbasierten SOF-AI-Plattform und der vom Kunden ausgewählten Funktionen. Die Einzelheiten ergeben sich aus dem Hauptvertrag, den vom Kunden genutzten Funktionen und Anlage 1 dieser AVV.

Die Auftragsverarbeitung beginnt mit der Nutzung einer SOF-AI-Funktion, bei der personenbezogene Daten im Auftrag verarbeitet werden, und dauert grundsätzlich für die Laufzeit des Hauptvertrags bzw. bis zur Löschung oder Rückgabe der betreffenden Auftragsdaten nach Maßgabe dieser AVV an.

4. Art und Zweck der Verarbeitung

SOF AI verarbeitet Kundeninhalte zur Erbringung der vom Kunden gewählten Leistungen. Dazu können insbesondere das Speichern und Organisieren von Projekten und Workspaces, die Verarbeitung von Keywords, URLs, Texten und Dateien, Recherche, Analyse, Content-Planung, Text- und Metadatengenerierung, Qualitätsprüfung, interne Verknüpfung sowie die Bereitstellung und Auslieferung von Ergebnissen gehören.

Nicht jede Anfrage wird an jeden externen KI- oder Recherchedienst übermittelt. Welche Verarbeitungsschritte ausgeführt werden, richtet sich nach der vom Kunden gewählten Funktion, Konfiguration und dokumentierten Weisung.

5. Weisungen des Kunden

SOF AI verarbeitet personenbezogene Daten im Anwendungsbereich dieser AVV ausschließlich auf dokumentierte Weisung des Kunden, einschließlich hinsichtlich einer Übermittlung in ein Drittland oder an eine internationale Organisation, soweit SOF AI nicht durch anwendbares Unionsrecht oder Recht eines Mitgliedstaats zu einer abweichenden Verarbeitung verpflichtet ist.

Die Nutzung der im Hauptvertrag, im Dashboard oder in einer vereinbarten technischen Schnittstelle vorgesehenen Funktionen und Einstellungen gilt als dokumentierte Weisung. Weitergehende Weisungen können in Textform erteilt werden, soweit sie den vereinbarten Leistungsumfang betreffen und technisch umsetzbar sind.

Ist SOF AI gesetzlich zu einer Verarbeitung verpflichtet, die von einer Kundenweisung abweicht, informiert SOF AI den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, soweit das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Ist SOF AI der Auffassung, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt, informiert SOF AI den Kunden unverzüglich. Die Durchführung der betreffenden Weisung darf bis zur Klärung ausgesetzt werden.

6. Vertraulichkeit

SOF AI stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang Zugriff erhalten.

7. Technische und organisatorische Maßnahmen

SOF AI trifft unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Der gegenwärtig für diese AVV zugrunde gelegte Kernstand ist in Anlage 2 beschrieben.

SOF AI darf die technischen und organisatorischen Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird.

8. Unterstützung bei Betroffenenrechten

SOF AI unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anträge betroffener Personen auf Ausübung ihrer Rechte nach Kapitel III DSGVO zu erfüllen, soweit dies für die von SOF AI ausgeführte Auftragsverarbeitung möglich und erforderlich ist.

Erhält SOF AI eine Betroffenenanfrage, die erkennbar die im Auftrag verarbeiteten Daten betrifft, leitet SOF AI die Anfrage an den Kunden weiter, soweit keine gesetzliche Pflicht zur unmittelbaren Bearbeitung besteht.

9. Unterstützung nach Art. 32 bis 36 DSGVO

SOF AI unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der SOF AI verfügbaren Informationen angemessen bei der Erfüllung seiner Pflichten zur Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und – soweit erforderlich – bei vorherigen Konsultationen mit Aufsichtsbehörden.

10. Verletzungen des Schutzes personenbezogener Daten

SOF AI informiert den Kunden unverzüglich und ohne unangemessene Verzögerung, sobald SOF AI eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die die im Auftrag verarbeiteten Daten betrifft.

Die Mitteilung enthält die SOF AI verfügbaren Informationen über Art und Umfang des Vorfalls, betroffene Daten bzw. Personengruppen, mögliche Folgen, bereits ergriffene oder geplante Gegenmaßnahmen sowie einen Kontakt für Rückfragen, soweit diese Informationen zum Zeitpunkt der Mitteilung verfügbar sind. Fehlende Informationen können nachgereicht werden.

11. Unterauftragsverarbeiter

Der Kunde erteilt SOF AI eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

SOF AI informiert den Kunden in angemessener Frist vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, insbesondere per E-Mail oder über eine für den Kunden zugängliche Vertrags-/Account-Mitteilung, und gibt dem Kunden Gelegenheit, aus sachlich begründeten Datenschutzgründen Widerspruch zu erheben. Ist eine Vorabinformation aus zwingenden Sicherheits-, Rechts- oder Notfallgründen ausnahmsweise nicht möglich, erfolgt die Information unverzüglich, sobald dies zulässig und praktikabel ist.

SOF AI verpflichtet jeden Unterauftragsverarbeiter durch Vertrag oder einen anderen zulässigen Rechtsakt zu Datenschutzpflichten, die im Hinblick auf die übertragene Verarbeitung ein den Anforderungen dieser AVV und Art. 28 DSGVO entsprechendes Schutzniveau gewährleisten.

Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, bleibt SOF AI dem Kunden gegenüber für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters im gesetzlich vorgesehenen Umfang voll verantwortlich.

Kann ein begründeter Widerspruch nicht durch eine zumutbare Alternative gelöst werden, können die Parteien die betroffene Funktion deaktivieren oder – soweit die betroffene Verarbeitung für die Vertragserfüllung wesentlich ist – den Hauptvertrag nach den hierfür geltenden Regelungen beenden.

12. Drittlandübermittlungen

Soweit personenbezogene Daten im Rahmen dieser AVV außerhalb des Europäischen Wirtschaftsraums verarbeitet werden und kein Angemessenheitsbeschluss anwendbar ist, stellt SOF AI sicher, dass ein nach Kapitel V DSGVO zulässiger Übermittlungsmechanismus verwendet wird.

Ist SOF AI selbst Auftragsverarbeiter und wird ein weiterer Auftragsverarbeiter in einem Drittland eingesetzt, werden – soweit erforderlich – insbesondere die für Übermittlungen von Auftragsverarbeiter zu Auftragsverarbeiter vorgesehenen Standardvertragsklauseln oder ein anderer zulässiger Transfermechanismus verwendet.

13. Löschung und Rückgabe

Nach Beendigung der Auftragsverarbeitung löscht SOF AI nach Wahl des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie dem Kunden zurück und löscht anschließend vorhandene Kopien, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Speicherung verlangt.

Eine Rückgabe erfolgt in einem für die betreffende SOF-AI-Funktion vorhandenen bzw. angemessen verfügbaren elektronischen Format. Soweit der Kunde während der Vertragslaufzeit über Export- oder Downloadfunktionen verfügt, kann er diese zur Rückgabe der Daten nutzen.

Aus aktiven Systemen gelöschte Daten können vorübergehend noch in automatisierten Sicherungskopien enthalten sein. Für die regulären Systemsicherungen gilt derzeit eine rotierende Restic-Aufbewahrung mit 7 täglichen, 4 wöchentlichen und 12 monatlichen Sicherungsständen. Abgelaufene Sicherungsstände werden im Rahmen der regulären Repository-Bereinigung entfernt und stehen nicht für den regulären Produktivzugriff zur Verfügung.

Soweit Daten aufgrund einer gesetzlichen Aufbewahrungspflicht nicht gelöscht werden dürfen, werden sie nur noch für den gesetzlich erforderlichen Zweck verarbeitet.

14. Nachweise und Prüfungen

SOF AI stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen, und ermöglicht Prüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer sowie die erforderliche Mitwirkung daran.

Vorrangig sollen vorhandene Sicherheits-, Vertrags- und Compliance-Unterlagen sowie geeignete technische Nachweise genutzt werden. Weitergehende Prüfungen sind mit angemessener Vorankündigung durchzuführen, sofern kein Datenschutzvorfall, eine behördliche Anordnung oder ein vergleichbarer dringender Grund eine kurzfristigere Prüfung erforderlich macht. Sicherheitsinteressen anderer Kunden, Geschäftsgeheimnisse und die Integrität der Systeme sind angemessen zu schützen.

15. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Erhebung, Nutzung und Übermittlung der von ihm bereitgestellten personenbezogenen Daten sowie für die Zulässigkeit seiner Weisungen verantwortlich. Er stellt insbesondere sicher, dass erforderliche Informationspflichten erfüllt und geeignete Rechtsgrundlagen vorhanden sind.

SOF AI ist nicht bestimmungsgemäß für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten ausgelegt. Der Kunde soll solche Daten nur bereitstellen, wenn dies für einen geeigneten und rechtlich zulässigen Anwendungsfall erforderlich ist und die hierfür notwendigen zusätzlichen Schutzvoraussetzungen erfüllt sind.

16. Vorrang, Wirksamwerden und elektronische Form

Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen die Regelungen dieser AVV für die Verarbeitung personenbezogener Daten im Auftrag vor.

Diese AVV wird wirksam, sobald sie in Textform oder elektronisch durch den Kunden angenommen oder anderweitig zwischen den Parteien vereinbart wird. Eine elektronische Vereinbarung erfüllt die Formanforderung des Art. 28 DSGVO.

Bei elektronischer Annahme sind mindestens die betroffene Kunden-/Vertragskennung, der Geltungsstand bzw. die Version dieser AVV und der Zeitpunkt der Annahme so zu dokumentieren, dass die Annahme später nachvollzogen werden kann.

Im Übrigen gelten die Bestimmungen des Hauptvertrags. Änderungen dieser AVV bedürfen mindestens der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist.

ANLAGE 1 – Einzelheiten der Auftragsverarbeitung

ANLAGE 2 – Technische und organisatorische Maßnahmen (TOMs)

ANLAGE 3 – Genehmigte Unterauftragsverarbeiter

Diese Anlage betrifft nur Anbieter, die im Rahmen der Auftragsverarbeitung Kundeninhalte verarbeiten können. Paddle ist nicht als Unterauftragsverarbeiter für Kundeninhalte aufgeführt, da Paddle Zahlungs- und Käuferdaten als Merchant of Record in eigener datenschutzrechtlicher Verantwortlichkeit verarbeitet.

Elektronische Annahme / Vertragsnachweis

Wird diese AVV elektronisch angenommen, ist die Annahme mit Kunden-/Vertragskennung, Version/Geltungsstand und Annahmezeitpunkt nachvollziehbar zu dokumentieren.