Vereinbarung zur Auftragsverarbeitung (DPA)

1. Gegenstand, Rahmen und vertragliches Zusammenspiel

Gegenstand der Vereinbarung. Die vorliegende Vereinbarung hat zum Gegenstand, die Bedingungen festzulegen, unter denen sich der Auftragsverarbeiter verpflichtet, im Auftrag des Verantwortlichen die in Anhang 1 beschriebenen Vorgänge der Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung des Service nullbot durchzuführen. Sie legt die jeweiligen Pflichten und Rechte der Parteien im Hinblick auf Artikel 28 der DSGVO sowie, allgemeiner, die anwendbaren Bestimmungen zum Schutz personenbezogener Daten fest.

Rechtsrahmen. Die vorliegende Vereinbarung steht im Rahmen der DSGVO, insbesondere ihrer Artikel 28 (Auftragsverarbeitung), 32 (Sicherheit der Verarbeitung), 33 und 34 (Datenschutzverletzungen), 35 (Datenschutz-Folgenabschätzung), 36 (vorherige Konsultation) sowie 44 ff. (Datenübermittlungen in Drittländer), sowie der loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

Vertragliche Einordnung und Rangfolge der Dokumente. Diese Vereinbarung stellt einen Anhang zum zwischen den Parteien geschlossenen Dienstleistungsvertrag dar und ist dessen fester Bestandteil. Sie hat Vorrang vor jeder entgegenstehenden Bestimmung der übrigen Vertragsdokumente, ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten. Bei Widersprüchen zwischen dieser Vereinbarung und den Allgemeinen Verkaufsbedingungen, den Allgemeinen Nutzungsbedingungen oder der Datenschutzerklärung gehen die Bestimmungen dieser Vereinbarung ausschließlich in Fragen des Schutzes personenbezogener Daten vor.

Annahme. Der Abschluss des Dienstes und dessen Nutzung bewirken die vollständige und uneingeschränkte Annahme der vorliegenden Vereinbarung durch den Kunden, der als Verantwortlicher handelt.

2. Begriffsbestimmungen

Die nachstehenden Begriffe haben, wenn sie in der vorliegenden Vereinbarung großgeschrieben verwendet werden, die folgende Bedeutung. Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ sind im Sinne von Artikel 4 der DSGVO zu verstehen.

• „Service“ bezeichnet die von dem Auftragsverarbeiter im SaaS-Modus bereitgestellte Software nullbot, einschließlich ihrer Agenten künstlicher Intelligenz, ihrer Schnittstellen, ihrer Funktionen und der zugehörigen Komponenten.
• „Agent“ bezeichnet jeden innerhalb des Dienstes eingesetzten Agenten künstlicher Intelligenz, der Aufgaben und Handlungen im Auftrag des Kunden gemäß den von diesem festgelegten Konfigurationen und Anweisungen ausführt.
• „Kundeninhalte“ bezeichnet alle Daten, Dateien, Anweisungen, Anfragen, Dokumente und Informationen, einschließlich personenbezogener Daten, die der Kunde den Agenten übermittelt oder in den Dienst integriert.
• „Personenbezogene Daten“ bezeichnet jede Information über eine identifizierte oder identifizierbare natürliche Person, die vom Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen dieser Vereinbarung verarbeitet wird.
• „Verarbeitung“ bezeichnet jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung, die Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung, den Abgleich, die Einschränkung, das Löschen oder die Vernichtung.
• „Verantwortlicher“ oder „Verantwortlicher für die Verarbeitung“ bezeichnet den Kunden, der die Zwecke und Mittel der Verarbeitung festlegt.
• „Auftragsverarbeiter“ bezeichnet MARA LABS, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• „Nachgeordneter Auftragsverarbeiter“ bezeichnet jeden Dritten, den der Auftragsverarbeiter hinzuzieht, um ganz oder teilweise spezifische Verarbeitungstätigkeiten im Auftrag des Verantwortlichen durchzuführen.
• „Betroffene Person“ bezeichnet die identifizierte oder identifizierbare natürliche Person, auf die sich die verarbeiteten personenbezogenen Daten beziehen.
• „Verletzung des Schutzes personenbezogener Daten“ oder „Verletzung“ bezeichnet eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von übermittelten, gespeicherten oder auf andere Weise verarbeiteten personenbezogenen Daten oder zum unbefugten Zugang zu solchen Daten führt.
• „SCC“ bezeichnet die Standardvertragsklauseln, die von der Europäischen Kommission mit ihrem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 angenommen wurden und die Übermittlung personenbezogener Daten in Drittländer regeln.
• „RGPD“ bezeichnet die Verordnung (EU) 2016/679 vom 27. April 2016.

3. Stellung und Rollen der Parteien

Eigenschaft des Kunden. Der Kunde handelt als Verantwortlicher im Sinne von Artikel 4 Nr. 7 der DSGVO. Er legt allein die Zwecke und Mittel der im Rahmen der Nutzung des Dienstes durchgeführten Verarbeitungen fest. Es obliegt ihm insoweit, die Rechtmäßigkeit der Verarbeitungen sicherzustellen, die er dem Auftragsverarbeiter anvertraut, insbesondere über eine geeignete Rechtsgrundlage im Sinne von Artikel 6 der DSGVO sowie gegebenenfalls über die in Artikel 9 vorgesehenen Garantien zu verfügen und seinen Informationspflichten gegenüber den betroffenen Personen nachgekommen zu sein.

Stellung des Auftragsverarbeiters. MARA LABS handelt als Auftragsverarbeiter im Sinne von Artikel 4 Nummer 8 der RGPD. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Auftrag des Verantwortlichen und auf der Grundlage seiner dokumentierten Anweisungen gemäß dieser Vereinbarung.

Zusicherungen des Auftragsverarbeiters. Der Auftragsverarbeiter erklärt, ausreichende Garantien hinsichtlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen zu bieten, damit die Verarbeitung den Anforderungen der DSGVO entspricht und den Schutz der Rechte der betroffenen Personen gewährleistet, gemäß Artikel 28 Absatz 1 der DSGVO.

Eigene Verantwortlichkeiten des Kunden. Der Kunde bleibt allein verantwortlich für:

• für die Rechtmäßigkeit, Redlichkeit und Transparenz der Verarbeitungen, die er über den Dienst durchführt;
• für die Richtigkeit, Qualität und Relevanz der den Agenten übermittelten Kundeninhalte;
• der Einhaltung seiner Informationspflichten und gegebenenfalls der Einholung der Einwilligung der betroffenen Personen;
• die Festlegung der angemessenen Aufbewahrungsdauer der Daten und die Minimierung der dem Dienst übermittelten Daten;
• für die Konfiguration und Überwachung der Agenten sowie für die von diesen in seinem Auftrag ausgeführten Aktionen.

4. Beschreibung und Umfang der Verarbeitung

Umfang. Der Auftragsverarbeiter ist berechtigt, im Auftrag des Verantwortlichen die für die Erbringung des Service erforderlichen personenbezogenen Daten zu verarbeiten, und zwar im Rahmen und nach den Modalitäten, die in Anhang 1 zu dieser Vereinbarung beschrieben sind und die Art und den Zweck der Verarbeitung, ihre Dauer, die Art der betroffenen personenbezogenen Daten und die Kategorien der betroffenen Personen gemäß Artikel 28 Absatz 3 der RGPD präzisieren.

Festlegung durch den Verantwortlichen. Der genaue Umfang der Verarbeitung ergibt sich aus den Konfigurationen, Einstellungen und Nutzungsweisen, die der Kunde innerhalb des Dienstes vornimmt, sowie aus den Kundeninhalten, die er den Agenten übermittelt. Der Verantwortliche erkennt an, dass es ihm obliegt, diesen Umfang festzulegen und zu begrenzen, da der Auftragsverarbeiter keine Kontrolle über den Inhalt der Daten hat, die der Kunde zu übermitteln wählt.

Weiterentwicklung. Anhang 1 kann ergänzt oder aktualisiert werden, um der Weiterentwicklung des Dienstes oder der Nutzung durch den Kunden Rechnung zu tragen, wobei diese Aktualisierung die Verarbeitung nicht über das für die zwischen den Parteien vereinbarte Erbringung des Dienstes erforderliche Maß hinaus ausdehnen darf.

5. Dokumentierte Anweisungen des Verantwortlichen

Verarbeitung auf dokumentierte Anweisung. Gemäß Artikel 28 Absatz 3 Buchstabe a) des RGPD verarbeitet der Auftragsverarbeiter personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, er ist hierzu nach dem Recht der Union oder dem Recht des Mitgliedstaats, dem er unterliegt, verpflichtet. In diesem Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Unterrichtung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Form der Anweisungen. Als dokumentierte Anweisungen des Verantwortlichen gelten: die vorliegende Vereinbarung und ihre Anhänge, der Dienstleistungsvertrag, die vom Kunden innerhalb des Service vorgenommenen Konfigurationen, der den Agenten übermittelte Kundeninhalt sowie jede zusätzliche schriftlich formalisierte Anweisung (einschließlich per E-Mail oder über die Schnittstelle des Service), die an den Auftragsverarbeiter gerichtet ist.

Offensichtlich rechtswidrige Anweisungen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn seiner Ansicht nach eine Anweisung einen Verstoß gegen die RGPD oder andere Bestimmungen des Unionsrechts oder des Rechts der Mitgliedstaaten zum Datenschutz darstellt. In diesem Fall ist der Auftragsverarbeiter berechtigt, die Ausführung der betreffenden Anweisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

Kein Einsatz zu eigenen Zwecken. Es ist dem Auftragsverarbeiter untersagt, personenbezogene Daten zu anderen als den für die Durchführung dieser Vereinbarung und die Erbringung des Dienstes erforderlichen Zwecken zu verarbeiten, insbesondere sie für eigene Zwecke oder für Zwecke Dritter zu nutzen.

6. Vertraulichkeit der zur Verarbeitung befugten Personen

Vertraulichkeitsverpflichtung. Gemäß Artikel 28 Absatz 3 Buchstabe b) der DSGVO stellt der Auftragsverarbeiter sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichten oder einer angemessenen gesetzlichen Vertraulichkeitsverpflichtung unterliegen.

Zugangsberechtigung und -beschränkung. Der Auftragsverarbeiter stellt sicher, dass der Zugang zu personenbezogenen Daten strikt auf die Mitglieder seines Personals und die befugten Personen beschränkt ist, die diesen Zugang zur Erfüllung ihrer Aufgaben benötigen, nach dem Grundsatz der Kenntnis nur bei Bedarf und der geringsten Rechtevergabe.

Sensibilisierung und Schulung. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen die erforderliche Schulung und Sensibilisierung in den Bereichen Schutz personenbezogener Daten und Informationssicherheit erhalten.

Fortdauer der Verpflichtung. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Funktion der betroffenen Personen und nach Ablauf dieser Vereinbarung fort.

7. Sicherheitsmaßnahmen (Artikel 32)

Sicherheitspflicht. Gemäß Artikel 28 Absatz 3 Buchstabe c) und Artikel 32 RGPD ergreift der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung, sowie der Risiken für die Rechte und Freiheiten natürlicher Personen.

Beurteilungskriterien. Die getroffenen Maßnahmen berücksichtigen, soweit erforderlich:

• der Pseudonymisierung und Verschlüsselung personenbezogener Daten;
• Mittel, mit denen die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste der Verarbeitung dauerhaft sichergestellt werden;
• Mittel, um die Verfügbarkeit personenbezogener Daten und den Zugang zu diesen im Falle eines physischen oder technischen Zwischenfalls innerhalb angemessener Fristen wiederherzustellen;
• ein Verfahren zur regelmäßigen Prüfung, Analyse und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Einzelheiten der Maßnahmen. Die vom Auftragsverarbeiter umgesetzten technischen und organisatorischen Maßnahmen sind in Anhang 2 zu dieser Vereinbarung beschrieben. Diese Maßnahmen können sich im Laufe der Zeit weiterentwickeln, sofern das Sicherheitsniveau dabei nicht verringert wird.

Verteilung der Verantwortlichkeiten. Der Verantwortliche bleibt zuständig für die Umsetzung der Sicherheitsmaßnahmen, die in seinen eigenen Verantwortungsbereich fallen, insbesondere die Verwaltung der Zugangsdaten und Berechtigungen seiner Nutzer, die Sicherheit seiner eigenen Informationssysteme sowie die Minimierung der an den Dienst übermittelten Daten.

8. Einsatz von Unterauftragsverarbeitern

Allgemeine Genehmigung. Gemäß Artikel 28 Absätze 2 und 4 des RGPD ermächtigt der Verantwortliche den Auftragsverarbeiter allgemein, für die Durchführung bestimmter, für die Erbringung des Dienstes erforderlicher Verarbeitungstätigkeiten auf nachgelagerte Auftragsverarbeiter zurückzugreifen. Die Liste der zum Datum dieser Vereinbarung genehmigten nachgelagerten Auftragsverarbeiter ist in Anhang 3 aufgeführt.

Vorabinformation und Widerspruchsrecht. Der Auftragsverarbeiter informiert den Verantwortlichen über jede geplante Änderung hinsichtlich der Hinzuziehung oder Ersetzung eines weiteren Unterauftragsverarbeiters auf geeignete Weise (insbesondere durch Veröffentlichung einer Aktualisierung von Anhang 3 und Information auf der Website oder innerhalb des Dienstes), wodurch der Verantwortliche die Möglichkeit erhält, innerhalb einer angemessenen Frist Einwände gegen diese Änderungen zu erheben. Im Falle eines berechtigten und begründeten Einwands des Verantwortlichen bemühen sich die Parteien um eine Lösung. Kommt keine Lösung zustande, kann der Verantwortliche den vom Rückgriff auf den strittigen weiteren Unterauftragsverarbeiter betroffenen Teil des Dienstes unter den vertraglich vorgesehenen Bedingungen kündigen.

Pflichten der nachgeordneten Auftragsverarbeiter. Gemäß Artikel 28 Absatz 4 RGPD erlegt der Auftragsverarbeiter, wenn er einen nachgeordneten Auftragsverarbeiter hinzuzieht, diesem durch Vertrag oder ein anderes Rechtsinstrument dieselben Datenschutzpflichten auf, die in der vorliegenden Vereinbarung festgelegt sind, insbesondere die Pflicht, hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zu bieten.

Haftung. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Datenschutzpflichten durch den nachgeordneten Auftragsverarbeiter in vollem Umfang haftbar. Kommt der nachgeordnete Auftragsverarbeiter seinen Pflichten nicht nach, bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten durch den nachgeordneten Auftragsverarbeiter in vollem Umfang haftbar.

9. Unterstützung bei der Ausübung der Rechte betroffener Personen

Unterstützungspflicht. Gemäß Artikel 28 Absatz 3 Buchstabe e) der DSGVO unterstützt der Auftragsverarbeiter den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge auf Ausübung der Rechte der betroffenen Personen zu beantworten.

Betroffene Rechte. Die Unterstützung erstreckt sich auf sämtliche in Kapitel III der RGPD vorgesehenen Rechte, insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie das Widerspruchsrecht.

Weiterleitung von Anfragen. Richtet eine betroffene Person einen Antrag auf Ausübung ihrer Rechte in Bezug auf eine im Auftrag des Verantwortlichen durchgeführte Verarbeitung direkt an den Auftragsverarbeiter, leitet der Auftragsverarbeiter diesen Antrag unverzüglich an den Verantwortlichen weiter und sieht davon ab, selbst darauf zu antworten, sofern der Verantwortliche keine anderslautende Anweisung erteilt.

Zur Verfügung gestellte Mittel. Soweit der Dienst dies zulässt, stellt der Auftragsverarbeiter dem Verantwortlichen die Funktionen und Werkzeuge zur Verfügung, die es ihm ermöglichen, auf Anfragen der betroffenen Personen zu reagieren.

10. Unterstützung bei Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzung (DSFA) und vorheriger Konsultation

Allgemeine Unterstützungspflicht. Gemäß Artikel 28 Absatz 3 Buchstabe f) der DSGVO unterstützt der Auftragsverarbeiter den Verantwortlichen dabei, die Einhaltung der in den Artikeln 32 bis 36 der DSGVO vorgesehenen Pflichten zu gewährleisten, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

Sicherheit der Verarbeitung (Artikel 32). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Artikel 32 der DSGVO festgelegten Sicherheitsanforderungen, insbesondere durch die Übermittlung von Informationen zu den umgesetzten technischen und organisatorischen Maßnahmen.

Meldung von Verletzungen (Artikel 33 und 34). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten zur Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und gegebenenfalls zur Benachrichtigung der betroffenen Personen über diese Verletzung, unter den in der Rubrik „Meldung von Verletzungen des Schutzes personenbezogener Daten“ dieser Vereinbarung vorgesehenen Bedingungen.

Datenschutz-Folgenabschätzung (Artikel 35). Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit erforderlich und im Rahmen der ihm zur Verfügung stehenden Informationen, bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA) hinsichtlich der mittels des Dienstes durchgeführten Verarbeitungen.

Vorherige Konsultation (Artikel 36). Der Auftragsverarbeiter unterstützt den Verantwortlichen gegebenenfalls im Rahmen der in Artikel 36 der DSGVO vorgesehenen vorherigen Konsultation der Aufsichtsbehörde.

Kosten der Unterstützung. Die in diesem Abschnitt vorgesehene Unterstützung wird unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen erbracht. Übersteigen die Unterstützungsanfragen das, was vernünftigerweise im Dienst enthalten ist, kann der Auftragsverarbeiter dem Verantwortlichen die hierfür angemessen entstandenen Kosten nach vorheriger Information in Rechnung stellen.

11. Meldung von Verletzungen des Schutzes personenbezogener Daten

Information des Verantwortlichen. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem er davon Kenntnis erlangt hat, damit der Verantwortliche gegebenenfalls seiner Pflicht zur Meldung an die Aufsichtsbehörde innerhalb der in Artikel 33 der RGPD vorgesehenen Frist von zweiundsiebzig (72) Stunden nachkommen kann.

Inhalt der Meldung. Im Rahmen der ihm vorliegenden Informationen teilt der Auftragsverarbeiter dem Verantwortlichen, gegebenenfalls schrittweise, Folgendes mit:

• die Beschreibung der Art der Verletzung, einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und der betroffenen Datensätze;
• die voraussichtlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur Minderung ihrer negativen Folgen;
• die Kontaktdaten einer Ansprechstelle, bei der weitere Informationen eingeholt werden können.

Zusammenarbeit. Der Auftragsverarbeiter arbeitet mit dem Verantwortlichen zusammen und ergreift angemessene Maßnahmen, um bei der Untersuchung, Eindämmung und Behebung der Verletzung zu unterstützen. Vorbehaltlich einer entgegenstehenden gesetzlichen Verpflichtung nimmt der Auftragsverarbeiter keine Meldung an die Aufsichtsbehörde oder an die betroffenen Personen im Namen des Verantwortlichen vor, außer auf dessen ausdrückliche Anweisung.

12. Übermittlungen außerhalb der Europäischen Union

Grundsatz. Der Auftragsverarbeiter nimmt keine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder an eine internationale Organisation vor, ohne den Verantwortlichen darüber informiert und die in Kapitel V der DSGVO vorgesehenen geeigneten Garantien eingerichtet zu haben.

Geeignete Garantien. Einige nachgeordnete Auftragsverarbeiter, die der Auftragsverarbeiter hinzuzieht, sind außerhalb des Europäischen Wirtschaftsraums ansässig, insbesondere in den Vereinigten Staaten. Übermittlungen an diese nachgeordneten Auftragsverarbeiter erfolgen im Rahmen der Standardvertragsklauseln (SCC), die von der Europäischen Kommission mit ihrem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 angenommen wurden, sowie gegebenenfalls im Rahmen jedes anderen als gültig anerkannten Übermittlungsmechanismus (insbesondere Angemessenheitsbeschluss oder Zertifizierung im Rahmen eines anerkannten Datenschutzrahmens).

Zusätzliche Maßnahmen. Soweit erforderlich, setzt der Auftragsverarbeiter geeignete zusätzliche Maßnahmen (technischer, organisatorischer und vertraglicher Art) um oder stellt sicher, dass die betroffenen Unterauftragsverarbeiter solche Maßnahmen umsetzen, um ein Schutzniveau für personenbezogene Daten zu gewährleisten, das im Wesentlichen dem innerhalb der Europäischen Union garantierten Niveau entspricht.

Information des Verantwortlichen. Auf Anfrage übermittelt der Auftragsverarbeiter dem Verantwortlichen die Informationen zu den Garantien, die zur Absicherung der Übermittlungen eingerichtet wurden. Die Liste der Unterauftragsverarbeiter und deren Standort sind in Anhang 3 aufgeführt.

13. Audits und Inspektionen

Bereitstellung von Informationen. Gemäß Artikel 28 Absatz 3 Buchstabe h) der DSGVO stellt der Auftragsverarbeiter dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in Artikel 28 der DSGVO vorgesehenen Pflichten nachzuweisen und um die Durchführung von Audits, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten anderen Prüfer zu ermöglichen, und wirkt an diesen Audits mit.

Modalitäten des Audits. Der Verantwortliche kann auf eigene Kosten ein Audit zur Überprüfung der Einhaltung der Verpflichtungen des Auftragsverarbeiters aus dieser Vereinbarung durchführen lassen, unter den folgenden Bedingungen:

• das Audit erfolgt auf der Grundlage einer angemessenen schriftlichen Vorankündigung, die nicht weniger als dreißig (30) Kalendertage betragen darf, außer im Falle einer nachgewiesenen Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde;
• das Audit findet während der Geschäftszeiten und an Werktagen statt und erfolgt so, dass die Tätigkeit des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt wird;
• die Prüfung ist auf einmal (1) pro Zeitraum von zwölf (12) Monaten begrenzt, außer bei außergewöhnlichen Umständen (nachgewiesener Verstoß, Anfrage einer Aufsichtsbehörde);
• der vom Verantwortlichen beauftragte Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und muss einer Vertraulichkeitspflicht unterliegen;
• die im Rahmen des Audits gewonnenen Feststellungen und Informationen sind streng vertraulich.

Dokumentation und Zertifizierungen. Der Auftragsverarbeiter kann seiner Pflicht zum Nachweis der Einhaltung der Vorschriften nachkommen, indem er dem Verantwortlichen die einschlägige Dokumentation, Prüfberichte, Bescheinigungen oder Zertifizierungen, über die er verfügt, zur Verfügung stellt, sofern diese Unterlagen in angemessener Weise die Einhaltung seiner Pflichten belegen.

Kosten. Die mit der Durchführung des Audits verbundenen Kosten trägt der Verantwortliche. Die vom Auftragsverarbeiter angemessen für die Unterstützung und Begleitung des Audits aufgewendete Zeit kann dem Verantwortlichen nach vorheriger Information in Rechnung gestellt werden, sofern sie über das im Dienst angemessen enthaltene Maß hinausgeht.

14. Schicksal der Daten nach Beendigung der Verarbeitung

Wahl des Verantwortlichen. Gemäß Artikel 28 Absatz 3 Buchstabe g) der RGPD löscht oder übergibt der Auftragsverarbeiter nach Beendigung der mit der Verarbeitung verbundenen Dienstleistungserbringung, nach Wahl des Verantwortlichen, sämtliche personenbezogenen Daten an den Verantwortlichen und vernichtet vorhandene Kopien, sofern nicht das Recht der Union oder eines Mitgliedstaats die Aufbewahrung der personenbezogenen Daten vorschreibt.

Fristen. Der Verantwortliche verfügt über eine angemessene Frist, die dreißig (30) Kalendertage ab Beendigung der Dienstleistung nicht unterschreiten darf, um seine Wahl zwischen Rückgabe und Löschung zu treffen. Erteilt der Verantwortliche nach Ablauf dieser Frist keine Weisung, nimmt der Auftragsverarbeiter die Löschung der personenbezogenen Daten vor.

Modalitäten der Rückgabe. Im Falle einer Rückgabe werden die Daten dem Verantwortlichen in einem strukturierten, gängigen Format zurückübermittelt, im Rahmen der Exportfunktionen des Dienstes.

Löschung. Die Löschung erfolgt innerhalb einer angemessenen Frist, auch bei den betroffenen nachgelagerten Auftragsverarbeitern, und betrifft die bestehenden Kopien, vorbehaltlich gesetzlicher Aufbewahrungspflichten und Sicherungskopien, die einem automatischen Löschzyklus nach einer festgelegten Rotation unterliegen.

Bestätigung. Auf Anfrage des Verantwortlichen bestätigt der Auftragsverarbeiter schriftlich die tatsächliche Löschung der personenbezogenen Daten.

15. Haftung, Gewährleistung und Aufteilung zwischen den Parteien

Haftungsgrundsatz. Jede Partei haftet für Schäden, die durch die Verarbeitung verursacht werden, wenn sie die ihr speziell obliegenden Pflichten aus der DSGVO nicht eingehalten hat oder außerhalb der rechtmäßigen Anweisungen des Verantwortlichen oder diesen zuwider gehandelt hat, gemäß Artikel 82 der DSGVO.

Haftung des Auftragsverarbeiters. Der Auftragsverarbeiter haftet nur für Schäden, die durch die Verarbeitung infolge eines Verstoßes gegen seine eigenen Pflichten aus dieser Vereinbarung oder gegen die ihm spezifisch als Auftragsverarbeiter im Sinne der DSGVO obliegenden Pflichten verursacht wurden.

Haftung des Verantwortlichen. Der Verantwortliche stellt den Auftragsverarbeiter von jeglichen Ansprüchen, Klagen oder Forderungen Dritter frei, einschließlich betroffener Personen und Aufsichtsbehörden, die sich aus einer Verletzung der eigenen Pflichten des Verantwortlichen ergeben, insbesondere in Bezug auf die Rechtmäßigkeit der Verarbeitungen, die Information der betroffenen Personen, die Rechtsgrundlage, die Datenminimierung und die Rechtmäßigkeit der den Agenten übermittelten Kundeninhalte.

Haftungsbeschränkung. Die in den Allgemeinen Verkaufsbedingungen vorgesehenen Haftungsbeschränkungen und -ausschlüsse gelten für diese Vereinbarung, soweit dies nach anwendbarem Recht zulässig ist und vorbehaltlich der zwingenden Bestimmungen der DSGVO zum Ersatz von Schäden, die betroffenen Personen entstanden sind.

16. Laufzeit und Kündigung der Vereinbarung

Laufzeit. Diese Vereinbarung tritt mit dem Datum der Annahme durch den Kunden in Kraft und bleibt für die gesamte Dauer des Dienstleistungsvertrags in Kraft, in dessen Rahmen der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Akzessorischer Charakter. Die vorliegende Vereinbarung ist ein Nebenbestandteil des Dienstleistungsvertrags. Sie endet automatisch mit Ablauf des Dienstleistungsvertrags, unbeschadet der Bestimmungen über den Umgang mit den Daten nach Beendigung der Verarbeitung sowie der Verpflichtungen, deren Art es mit sich bringt, dass sie die Beendigung der Vereinbarung überdauern (insbesondere die Vertraulichkeit).

Fortbestehen bestimmter Verpflichtungen. Die Verpflichtungen zur Vertraulichkeit, zur Löschung oder Rückgabe der Daten sowie zur Mitwirkung bei einer Anfrage einer Aufsichtsbehörde bestehen über die Beendigung dieser Vereinbarung hinaus für die zu ihrer Erfüllung erforderliche Dauer fort.

17. Verschiedene Bestimmungen

Rangfolge der Dokumente. Im Falle eines Widerspruchs zwischen den Bestimmungen dieser Vereinbarung und denen anderer Vertragsdokumente betreffend die Verarbeitung personenbezogener Daten haben die Bestimmungen dieser Vereinbarung Vorrang. Für alle Fragen, die nicht den Datenschutz betreffen, gelten weiterhin die Allgemeinen Verkaufsbedingungen und die Allgemeinen Nutzungsbedingungen.

Teilnichtigkeit. Sollten eine oder mehrere Bestimmungen dieser Vereinbarung für nichtig, rechtswidrig oder unanwendbar erklärt werden, bleiben die übrigen Bestimmungen in vollem Umfang gültig und wirksam. Die Parteien bemühen sich, die ungültige Bestimmung durch eine gültige Bestimmung mit gleichwertiger Zielsetzung zu ersetzen.

Änderung. Der Auftragsverarbeiter kann veranlasst sein, die vorliegende Vereinbarung zu aktualisieren, insbesondere um Entwicklungen der geltenden Regulierung, der Leitlinien der Aufsichtsbehörden oder des Dienstes Rechnung zu tragen. Der Verantwortliche wird darüber auf geeignete Weise informiert.

Anwendbares Recht und Gerichtsstand. Diese Vereinbarung unterliegt französischem Recht und dem Recht der Europäischen Union. Jede Streitigkeit im Zusammenhang mit ihrer Auslegung oder Erfüllung fällt in die Zuständigkeit der gemäß den Allgemeinen Verkaufsbedingungen bestimmten Gerichte, vorbehaltlich zwingender Zuständigkeitsregeln, insbesondere solcher zum Schutz der betroffenen Personen.

18. Anhang 1 — Beschreibung der Verarbeitung

Der vorliegende Anhang präzisiert die von Artikel 28 Absatz 3 der DSGVO geforderten Elemente der Verarbeitung. Der tatsächliche Umfang der Verarbeitung hängt von den Nutzungen und Konfigurationen des Kunden sowie vom Kundeninhalt ab, der den Agenten übermittelt wird.

19. Anhang 2 — Technische und organisatorische Sicherheitsmaßnahmen

Der Auftragsverarbeiter setzt gemäß Artikel 32 der DSGVO die folgenden technischen und organisatorischen Maßnahmen um. Diese Maßnahmen können sich weiterentwickeln, ohne dass das Sicherheitsniveau gesenkt wird.

Der Verantwortliche bleibt für die Sicherheitsmaßnahmen verantwortlich, die in seinen eigenen Verantwortungsbereich fallen, insbesondere die Verwaltung seiner Zugangsdaten und die Sicherheit seiner eigenen Systeme.

20. Anhang 3 — Liste der zugelassenen weiteren Auftragsverarbeiter

Der Verantwortliche genehmigt zum Zeitpunkt dieser Vereinbarung den Einsatz der folgenden weiteren Auftragsverarbeiter. Jede Änderung dieser Liste wird dem Verantwortlichen vorab mitgeteilt; dieser verfügt über ein Widerspruchsrecht zu den in dieser Vereinbarung vorgesehenen Bedingungen.

Für weitere Informationen zu nachgeordneten Auftragsverarbeitern und den Garantien für Übermittlungen kann der Verantwortliche eine Anfrage per Post an den Sitz des Auftragsverarbeiters richten. Eine eigens dafür eingerichtete E-Mail-Adresse wird nach Eröffnung der Domain in Betrieb genommen und hier veröffentlicht.