Auftragsverarbeitungsvertrag

Einleitung

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Nutzungsbedingungen (die „Vereinbarung“) zwischen Connic („Auftragsverarbeiter“, „wir“, „uns“ oder „unser“) und dem Kunden, der diesen Bedingungen zustimmt („Kunde“, „Verantwortlicher“, „Sie“ oder „Ihr“).

Dieser DPA regelt die Bedingungen, unter denen Connic im Zusammenhang mit den Diensten personenbezogene Daten im Auftrag des Kunden verarbeitet. Dieser DPA gilt, soweit Connic bei der Erbringung der Dienste im Auftrag des Kunden personenbezogene Daten verarbeitet, die anwendbaren Datenschutzgesetzen unterliegen.

Dieser DPA soll die Einhaltung der Anforderungen anwendbarer Datenschutzgesetze gewährleisten, insbesondere der Datenschutz-Grundverordnung der Europäischen Union (EU) 2016/679 („GDPR“), der United Kingdom General Data Protection Regulation („UK GDPR“), des Schweizer Bundesgesetzes über den Datenschutz („FADP“), des California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung („CCPA/CPRA“) und anderer anwendbarer Datenschutzvorschriften.

Dieser DPA wird in die Nutzungsbedingungen einbezogen und ist deren Bestandteil. Indem Sie den Nutzungsbedingungen zustimmen (auch durch Anklicken von „Ich stimme zu“, „Registrieren“ oder einer vergleichbaren Schaltfläche oder durch Nutzung der Dienste), stimmen Sie automatisch auch diesem DPA zu. Eine gesonderte Unterschrift oder Annahme ist nicht erforderlich.

Indem der Kunde die Dienste zur Verarbeitung personenbezogener Daten nutzt, schließt er diesen DPA für sich selbst und, soweit nach anwendbaren Datenschutzgesetzen erforderlich, im Namen und im Auftrag seiner autorisierten verbundenen Unternehmen. Im Sinne dieses DPA werden der Kunde und seine autorisierten verbundenen Unternehmen zusammen als „Kunde“ bezeichnet.

1. Definitionen

In diesem DPA haben die nachstehenden Begriffe die jeweils angegebene Bedeutung. Begriffe, die hierin nicht gesondert definiert sind, haben die ihnen in der Vereinbarung zugewiesene Bedeutung.

• „Autorisiertes verbundenes Unternehmen“ bezeichnet jedes Unternehmen, das den Kunden unmittelbar oder mittelbar beherrscht, von ihm beherrscht wird oder mit ihm unter gemeinsamer Beherrschung steht, wobei „Beherrschung“ das Eigentum an mehr als 50 % der stimmberechtigten Wertpapiere oder gleichwertiger Stimmrechte des betreffenden Unternehmens bedeutet.
• „Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Im Sinne dieses DPA ist der Kunde der Verantwortliche für kundenbezogene personenbezogene Daten.
• „Kundenbezogene personenbezogene Daten“ bezeichnet alle personenbezogenen Daten, die Connic bei der Erbringung der Dienste im Auftrag des Kunden verarbeitet, einschließlich personenbezogener Daten in Eingaben an die vom Kunden bereitgestellten Agenten, von solchen Agenten erzeugter Ausgaben und aller sonstigen Daten, die der Kunde oder seine Endnutzer über die Dienste übermitteln.
• „Datenschutzgesetze“ bezeichnet alle anwendbaren Gesetze und Vorschriften zur Verarbeitung personenbezogener Daten und zum Schutz der Privatsphäre, insbesondere: (a) die GDPR; (b) die UK GDPR und den UK Data Protection Act 2018; (c) den Schweizer FADP; (d) den CCPA/CPRA; (e) den Virginia Consumer Data Protection Act; (f) den Colorado Privacy Act; (g) den Connecticut Data Privacy Act; (h) das brasilianische General Data Protection Law (LGPD); und (i) alle sonstigen anwendbaren Datenschutzvorschriften, jeweils in ihrer von Zeit zu Zeit geänderten, abgelösten oder ersetzten Fassung.
• „Betroffene Person“ bezeichnet eine identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen.
• „EWR/EEA“ bezeichnet den Europäischen Wirtschaftsraum, der aus den Mitgliedstaaten der Europäischen Union sowie Island, Liechtenstein und Norwegen besteht.
• „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die unmittelbar oder mittelbar, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind, identifiziert werden kann.
• „Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu kundenbezogenen personenbezogenen Daten führt, die Connic übermittelt, gespeichert oder auf sonstige Weise verarbeitet hat.
• „Verarbeitung“ (einschließlich der verwandten Formen „verarbeiten“ und „verarbeitet“) bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
• „Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im Sinne dieses DPA ist Connic der Auftragsverarbeiter für kundenbezogene personenbezogene Daten.
• „Dienste“ bezeichnet die Connic-Plattform und die damit verbundenen Dienste, die Connic dem Kunden gemäß der Vereinbarung bereitstellt, einschließlich Hosting, Deployment und Ausführung der KI-Agenten des Kunden.
• „Standardvertragsklauseln“ oder „SCCs“ bezeichnet: (a) für Übermittlungen personenbezogener Daten aus dem EWR/EEA die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß Commission Implementing Decision (EU) 2021/914; (b) für Übermittlungen aus dem Vereinigten Königreich das International Data Transfer Agreement oder das UK Addendum zu den EU SCCs; und (c) für Übermittlungen aus der Schweiz die anwendbaren Standardvertragsklauseln in der vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Form.
• „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den Connic oder seine verbundenen Unternehmen im Zusammenhang mit den Diensten zur Verarbeitung kundenbezogener personenbezogener Daten im Auftrag des Kunden einsetzt.
• „Aufsichtsbehörde“ bezeichnet eine von einem EU-Mitgliedstaat gemäß Artikel 51 der GDPR eingerichtete unabhängige staatliche Stelle, das UK Information Commissioner's Office oder jede andere Datenschutzbehörde, die für die Verarbeitung personenbezogener Daten nach diesem DPA zuständig ist.

2. Geltungsbereich und Rollen der Parteien

2.1 Rollen

Die Parteien erkennen an und vereinbaren, dass hinsichtlich der Verarbeitung kundenbezogener personenbezogener Daten: (a) der Kunde der Verantwortliche ist; (b) Connic der im Auftrag des Kunden handelnde Auftragsverarbeiter ist; und (c) Connic Unterauftragsverarbeiter gemäß den in Abschnitt 7 dieses DPA festgelegten Anforderungen einsetzen darf.

2.2 Verantwortlichkeiten des Kunden

Der Kunde ist als Verantwortlicher dafür verantwortlich:

• eine wirksame Rechtsgrundlage für die Verarbeitung kundenbezogener personenbezogener Daten zu gewährleisten und, soweit erforderlich, alle notwendigen Einwilligungen betroffener Personen einzuholen
• betroffenen Personen alle erforderlichen Hinweise zur Verarbeitung ihrer personenbezogenen Daten bereitzustellen, einschließlich Informationen über den Einsatz von Connic als Auftragsverarbeiter
• sicherzustellen, dass die Connic erteilten Verarbeitungsweisungen den anwendbaren Datenschutzgesetzen entsprechen
• sicherzustellen, dass kundenbezogene personenbezogene Daten richtig, vollständig und aktuell sind
• Anträge betroffener Personen zu beantworten und deren Rechte mit der in diesem DPA geregelten Unterstützung von Connic umzusetzen
• angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten in seinen eigenen Systemen und bei der Datenübermittlung an Connic zu treffen
• die Arten der zu verarbeitenden personenbezogenen Daten und die Kategorien betroffener Personen, deren Daten verarbeitet werden, festzulegen
• alle für Verantwortliche geltenden Datenschutzgesetze einzuhalten

2.3 Verantwortlichkeiten von Connic

Connic ist als Auftragsverarbeiter dafür verantwortlich:

• kundenbezogene personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten, auch hinsichtlich der Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern Connic nicht durch anwendbares Recht hierzu verpflichtet ist
• sicherzustellen, dass zur Verarbeitung kundenbezogener personenbezogener Daten befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen
• angemessene technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Abschnitt 5 dieses DPA beschrieben
• Unterauftragsverarbeiter nur gemäß Abschnitt 7 dieses DPA einzusetzen
• den Kunden bei der Beantwortung von Anträgen betroffener Personen und bei der Einhaltung seiner Pflichten nach anwendbaren Datenschutzgesetzen zu unterstützen
• den Kunden gemäß Abschnitt 6 dieses DPA über Verletzungen des Schutzes personenbezogener Daten zu informieren
• dem Kunden alle zum Nachweis der Einhaltung dieses DPA erforderlichen Informationen zur Verfügung zu stellen und Audits einschließlich Inspektionen gemäß Abschnitt 9 dieses DPA zu ermöglichen und dazu beizutragen
• nach Ende der Erbringung der Dienste nach Wahl des Kunden alle kundenbezogenen personenbezogenen Daten gemäß Abschnitt 11 dieses DPA zu löschen oder zurückzugeben

3. Einzelheiten der Verarbeitung

3.1 Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Dienste für den Kunden gemäß der Vereinbarung. Connic stellt eine Plattform für das Hosting und die Ausführung von KI-Agenten bereit und kann dabei kundenbezogene personenbezogene Daten verarbeiten, die an die vom Kunden bereitgestellten Agenten übermittelt, von ihnen verarbeitet oder ausgegeben werden.

3.2 Dauer der Verarbeitung

Connic verarbeitet kundenbezogene personenbezogene Daten für die Dauer der Vereinbarung, sofern nicht schriftlich etwas anderes vereinbart oder durch anwendbares Recht vorgeschrieben ist. Nach Beendigung der Vereinbarung behandelt Connic kundenbezogene personenbezogene Daten gemäß Abschnitt 11 dieses DPA.

3.3 Art und Zweck der Verarbeitung

Connic verarbeitet kundenbezogene personenbezogene Daten zu folgenden Zwecken:

• Hosting und Ausführung der KI-Agenten des Kunden, einschließlich der Verarbeitung von Eingaben und der Erzeugung von Ausgaben
• Speicherung von Agent-Konfigurationen, Deployment-Daten und Ausführungsprotokollen, soweit dies zur Erbringung der Dienste erforderlich ist
• Bereitstellung von Verbindungen, über die die Agenten des Kunden mittels Webhooks, WebSockets, Kafka und anderen Integrationsmechanismen Daten empfangen und senden können
• Aufrechterhaltung und Verbesserung der Dienste, einschließlich Fehleranalyse, Debugging und Leistungsoptimierung
• Bereitstellung technischen Supports für den Kunden
• Erfüllung anwendbarer rechtlicher Verpflichtungen

3.4 Arten personenbezogener Daten

Die Arten der verarbeiteten personenbezogenen Daten hängen von der Nutzung der Dienste durch den Kunden und der Art seiner bereitgestellten Agenten ab. Der Kunde bestimmt, welche personenbezogenen Daten an die Dienste übermittelt werden. Personenbezogene Daten können insbesondere umfassen:

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Anschrift)
• Kontozugangsdaten und Authentifizierungsdaten
• Berufliche Informationen (Berufsbezeichnung, Arbeitgeber, beruflicher Werdegang)
• Kommunikationsinhalte (Nachrichten, Anfragen, Support-Anfragen)
• von Nutzern erzeugte und an Agenten übermittelte Inhalte
• Technische Daten (IP-Adressen, Gerätekennungen, Nutzungsprotokolle)
• alle sonstigen personenbezogenen Daten, die der Kunde über die Dienste übermitteln möchte

Besondere Kategorien personenbezogener Daten: Der Kunde soll keine besonderen Kategorien personenbezogener Daten (im Sinne von Artikel 9 der GDPR) an die Dienste übermitteln, sofern er nicht sichergestellt hat, dass angemessene Garantien bestehen und eine wirksame Rechtsgrundlage für diese Verarbeitung vorliegt. Übermittelt der Kunde dennoch besondere Kategorien personenbezogener Daten, ist allein der Kunde dafür verantwortlich, die Einhaltung der für diese Daten anwendbaren Datenschutzgesetze sicherzustellen.

3.5 Kategorien betroffener Personen

Die Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden können, hängen von der Nutzung der Dienste durch den Kunden ab. Betroffene Personen können umfassen:

• Mitarbeiter, Auftragnehmer und Vertreter des Kunden
• Endnutzer des Kunden, die mit den von ihm bereitgestellten Agenten interagieren
• Kunden und potenzielle Kunden des Kunden
• Geschäftskontakte und Partner des Kunden
• alle sonstigen Personen, deren personenbezogene Daten der Kunde an die Dienste übermittelt

4. Weisungen des Kunden

4.1 Verarbeitungsweisungen

Connic verarbeitet kundenbezogene personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Kunden. Die Weisungen des Kunden sind dokumentiert in: (a) diesem DPA; (b) der Vereinbarung; (c) der Nutzung und Konfiguration der Dienste durch den Kunden; und (d) allen sonstigen schriftlichen Weisungen, die der Kunde erteilt und Connic bestätigt hat.

Der Kunde weist Connic an, kundenbezogene personenbezogene Daten zu verarbeiten, soweit dies zur Erbringung der Dienste gemäß der Vereinbarung erforderlich ist. Dies umfasst die Verarbeitung, die erforderlich ist, um die Agenten des Kunden zu hosten und auszuführen, Daten entsprechend den Konfigurationen des Kunden zu speichern und abzurufen, Daten über die vom Kunden konfigurierten Verbindungen zu übermitteln, technischen Support bereitzustellen sowie die Dienste aufrechtzuerhalten und zu sichern.

4.2 Zusätzliche Weisungen

Der Kunde kann zusätzliche Weisungen zur Verarbeitung kundenbezogener personenbezogener Daten erteilen, sofern diese mit der Vereinbarung und diesem DPA vereinbar sind. Stellt Connic fest, dass zusätzliche Weisungen Änderungen an den Diensten oder zusätzliche Ressourcen erfordern, verhandeln die Parteien nach Treu und Glauben über erforderliche Änderungen der Vereinbarung und damit verbundene Entgelte.

4.3 Rechtswidrige Weisungen

Ist Connic der Auffassung, dass eine Weisung des Kunden gegen anwendbare Datenschutzgesetze oder sonstiges anwendbares Recht verstößt, informiert Connic den Kunden unverzüglich. Connic ist nicht verpflichtet, Weisungen zu befolgen, von denen Connic vernünftigerweise annimmt, dass sie gegen anwendbares Recht verstoßen würden. Ist Connic nach anwendbarem Recht verpflichtet, kundenbezogene personenbezogene Daten abweichend von den Weisungen des Kunden zu verarbeiten, informiert Connic den Kunden vor der Verarbeitung über diese rechtliche Anforderung, sofern eine solche Mitteilung nicht gesetzlich verboten ist.

5. Sicherheitsmaßnahmen

5.1 Sicherheitspflichten

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen trifft Connic geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, gegebenenfalls einschließlich:

• der Pseudonymisierung und Verschlüsselung personenbezogener Daten
• der Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen
• der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen
• einem Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung

5.2 Konkrete Sicherheitsmaßnahmen

Connic unterhält ein umfassendes Sicherheitsprogramm mit folgenden Maßnahmen:

• Verschlüsselung: Verschlüsselung kundenbezogener personenbezogener Daten bei der Übertragung mittels TLS 1.2 oder höher sowie Verschlüsselung im Ruhezustand mittels AES-256 oder gleichwertiger Verschlüsselungsstandards
• Zugriffskontrollen: Rollenbasierte Zugriffskontrollen einschließlich des Least-Privilege-Prinzips, um den Zugriff auf kundenbezogene personenbezogene Daten auf autorisiertes Personal zu beschränken
• Authentifizierung: Starke Authentifizierungsmechanismen für den Zugriff auf Systeme, die kundenbezogene personenbezogene Daten enthalten, einschließlich der Unterstützung von Multi-Faktor-Authentifizierung
• Netzwerksicherheit: Firewalls, Intrusion-Detection-Systeme und Netzwerksegmentierung zum Schutz vor unbefugtem Zugriff
• Überwachung und Protokollierung: Kontinuierliche Überwachung der Systeme und Protokollierung von Zugriffen auf kundenbezogene personenbezogene Daten für Sicherheits- und Auditzwecke
• Schwachstellenmanagement: Regelmäßige Schwachstellenbewertungen, Penetrationstests und zeitnahe Behebung identifizierter Schwachstellen
• Mitarbeitersicherheit: Hintergrundprüfungen bei Mitarbeitern mit Zugriff auf kundenbezogene personenbezogene Daten, Schulungen zum Sicherheitsbewusstsein und Vertraulichkeitsvereinbarungen
• Physische Sicherheit: Physische Zutrittskontrollen in Rechenzentren einschließlich Überwachung, Zutrittsprotokollierung und Umgebungskontrollen
• Reaktion auf Sicherheitsvorfälle: Dokumentierte Verfahren zur Erkennung und Behandlung von Sicherheitsvorfällen sowie zur Wiederherstellung nach solchen Vorfällen
• Geschäftskontinuität: Pläne zur Geschäftsfortführung und Notfallwiederherstellung, um Verfügbarkeit und Belastbarkeit der Dienste zu gewährleisten

Eine ausführliche Beschreibung der Sicherheitsmaßnahmen von Connic ist verfügbar unter connic.co/legal/security.

5.3 Aktualisierungen der Sicherheitsmaßnahmen

Connic kann seine Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern solche Aktualisierungen die Gesamtsicherheit der Dienste nicht wesentlich verringern. Connic informiert den Kunden über alle wesentlichen Änderungen seiner Sicherheitsmaßnahmen, die kundenbezogene personenbezogene Daten beeinträchtigen können.

5.4 Sicherheitsverantwortung des Kunden

Der Kunde ist für die Umsetzung angemessener Sicherheitsmaßnahmen in seiner eigenen Umgebung verantwortlich, darunter: Schutz der Kontozugangsdaten und API-Schlüssel des Kunden; Konfiguration angemessener Zugriffskontrollen für seine Nutzer; Umsetzung von Sicherheitsmaßnahmen im Agent-Code und in den Tools des Kunden; Schutz von Daten bei der Übertragung zwischen den Systemen des Kunden und den Diensten; sowie Bewertung, ob die von Connic bereitgestellten Sicherheitsmaßnahmen für die Verarbeitungstätigkeiten des Kunden angemessen sind.

6. Meldung von Verletzungen des Schutzes personenbezogener Daten

6.1 Meldung einer Verletzung

Connic benachrichtigt den Kunden unverzüglich, nachdem Connic eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die kundenbezogene personenbezogene Daten betrifft. Unter Berücksichtigung der Art der Verarbeitung und der Connic zur Verfügung stehenden Informationen bemüht sich Connic in angemessenem Umfang, die Benachrichtigung innerhalb von zweiundsiebzig (72) Stunden nach Bekanntwerden der Verletzung vorzunehmen.

6.2 Inhalt der Meldung

Soweit bekannt, enthält die Benachrichtigung von Connic:

• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich einschließlich der Kategorien und ungefähren Zahl der betroffenen Personen sowie der Kategorien und ungefähren Zahl der betroffenen Datensätze personenbezogener Daten
• den Namen und die Kontaktdaten des Datenschutzbeauftragten von Connic oder einer sonstigen Anlaufstelle, bei der weitere Informationen erhältlich sind
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten
• eine Beschreibung der von Connic ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen

Soweit es nicht möglich ist, sämtliche Informationen gleichzeitig bereitzustellen, können die Informationen ohne weitere unangemessene Verzögerung schrittweise bereitgestellt werden.

6.3 Unterstützung durch Connic

Connic arbeitet mit dem Kunden zusammen und ergreift wirtschaftlich angemessene Maßnahmen, um bei der Untersuchung, Eindämmung und Behebung jeder Verletzung des Schutzes personenbezogener Daten zu unterstützen. Connic unterstützt den Kunden außerdem bei der Erfüllung seiner Pflichten nach anwendbaren Datenschutzgesetzen hinsichtlich der Meldung von Verletzungen des Schutzes personenbezogener Daten an Aufsichtsbehörden und betroffene Personen.

6.4 Kein Schuldanerkenntnis

Die Meldung einer Verletzung des Schutzes personenbezogener Daten oder die Reaktion darauf durch Connic nach diesem Abschnitt 6 ist nicht als Anerkenntnis eines Verschuldens oder einer Haftung von Connic hinsichtlich der Verletzung auszulegen.

7. Unterauftragsverarbeiter

7.1 Genehmigung des Einsatzes von Unterauftragsverarbeitern

Der Kunde erteilt Connic die allgemeine Genehmigung, Unterauftragsverarbeiter zur Verarbeitung kundenbezogener personenbezogener Daten im Zusammenhang mit den Diensten einzusetzen. Die aktuelle Liste der vom Kunden genehmigten Unterauftragsverarbeiter ist verfügbar unter connic.co/legal/sub-processors.

7.2 Vereinbarungen mit Unterauftragsverarbeitern

Connic stellt sicher, dass jeder Unterauftragsverarbeiter durch eine schriftliche Vereinbarung gebunden ist, die mindestens ebenso weitreichende Datenschutzpflichten vorsieht wie die Connic nach diesem DPA auferlegten Pflichten. Connic bleibt dem Kunden gegenüber für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter aus solchen Vereinbarungen voll verantwortlich.

7.3 Änderungen bei Unterauftragsverarbeitern

Connic informiert den Kunden vorab über jede beabsichtigte Änderung hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, einschließlich des Namens des Unterauftragsverarbeiters und der vorgesehenen Verarbeitungstätigkeiten. Connic erteilt diese Mitteilung mindestens dreißig (30) Tage vor dem Einsatz eines neuen Unterauftragsverarbeiters, sodass der Kunde Gelegenheit hat, dem Einsatz zu widersprechen.

Die Mitteilung über neue Unterauftragsverarbeiter erfolgt durch: (a) Aktualisierung der Liste der Unterauftragsverarbeiter unter connic.co/legal/sub-processors; und (b) Versand einer E-Mail-Benachrichtigung an die mit dem Konto des Kunden verknüpfte E-Mail-Adresse. Der Kunde kann Benachrichtigungen über Änderungen bei Unterauftragsverarbeitern abonnieren.

7.4 Widerspruch gegen Unterauftragsverarbeiter

Der Kunde kann dem Einsatz eines neuen Unterauftragsverarbeiters durch Connic widersprechen, indem er Connic innerhalb von dreißig (30) Tagen nach Erhalt der Mitteilung über den neuen Unterauftragsverarbeiter schriftlich benachrichtigt, sofern der Widerspruch auf nachvollziehbaren datenschutzbezogenen Gründen beruht. Widerspricht der Kunde, erörtern die Parteien seine Bedenken nach Treu und Glauben mit dem Ziel einer wirtschaftlich angemessenen Lösung.

Können die Parteien keine Lösung erzielen, kann der Kunde als ausschließliches Rechtsmittel die betroffenen Dienste durch schriftliche Mitteilung an Connic kündigen. Connic erstattet dem Kunden im Voraus gezahlte Entgelte für die gekündigten Dienste, soweit sie den Zeitraum nach Wirksamwerden der Kündigung betreffen.

7.5 Haftung für Unterauftragsverarbeiter

Connic haftet für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in demselben Umfang, in dem Connic bei unmittelbarer Erbringung der Dienste nach diesem DPA haften würde, vorbehaltlich der in der Vereinbarung festgelegten Haftungsbeschränkungen.

8. Rechte betroffener Personen

8.1 Anträge betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Connic den Kunden, soweit möglich, durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen, die ihre Rechte nach anwendbaren Datenschutzgesetzen ausüben, insbesondere ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

8.2 Reaktion auf Anträge betroffener Personen

Erhält Connic einen Antrag einer betroffenen Person in Bezug auf kundenbezogene personenbezogene Daten, wird Connic:

• den Kunden unverzüglich über den Antrag informieren, sofern dies nicht gesetzlich verboten ist
• der betroffenen Person nicht unmittelbar antworten, außer um den Eingang zu bestätigen und die betroffene Person an den Kunden zu verweisen, sofern der Kunde keine andere Weisung erteilt oder das Gesetz keine andere Antwort verlangt
• dem Kunden unter Berücksichtigung der Art der Verarbeitung angemessene Zusammenarbeit und Unterstützung bei der Beantwortung solcher Anträge bieten

8.3 Self-Service-Funktionen des Kunden

Connic stellt dem Kunden über die Dienste Self-Service-Funktionen bereit, mit denen der Kunde auf kundenbezogene personenbezogene Daten zugreifen, diese exportieren, berichtigen und löschen kann. Der Kunde verpflichtet sich, solche Self-Service-Funktionen, soweit praktikabel, zur Bearbeitung von Anträgen betroffener Personen zu nutzen, bevor er Unterstützung von Connic anfordert.

8.4 Kosten der Unterstützung

Connic leistet angemessene Unterstützung bei Anträgen betroffener Personen ohne zusätzliches Entgelt. Erfordern Anfragen des Kunden jedoch eine unverhältnismäßige oder exzessive Unterstützung, kann Connic ein angemessenes, auf seinem Verwaltungsaufwand beruhendes Entgelt verlangen. Connic informiert den Kunden vorab über solche Entgelte.

9. Audits und Überprüfung der Compliance

9.1 Auditrechte

Connic stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise zum Nachweis der Einhaltung dieses DPA erforderlich sind, und ermöglicht Audits einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei, vorbehaltlich der Bedingungen dieses Abschnitts 9.

9.2 Auditverfahren

Der Kunde übt seine Auditrechte wie folgt aus:

• Dokumentenprüfung: Der Kunde kann Kopien der einschlägigen Richtlinien, Verfahren, Zertifizierungen und Auditberichte von Connic (etwa SOC 2-Berichte) anfordern, um die Einhaltung dieses DPA durch Connic zu überprüfen. Connic stellt diese Unterlagen innerhalb einer angemessenen Frist und vorbehaltlich angemessener Vertraulichkeitsvorkehrungen bereit.
• Sicherheitsfragebögen: Der Kunde kann Connic angemessene Sicherheitsfragebögen übermitteln, die Connic innerhalb einer angemessenen Frist (üblicherweise dreißig (30) Tage) ausfüllt.
• Audits durch Dritte: Auf Anfrage des Kunden stellt Connic Kopien einschlägiger Auditberichte, Zertifizierungen und Bewertungen Dritter vorbehaltlich etwaiger Vertraulichkeitsbeschränkungen bereit.
• Vor-Ort-Audits: Reichen die vorstehenden Maßnahmen zur Überprüfung der Compliance nicht aus, kann der Kunde, soweit nach anwendbaren Datenschutzgesetzen erforderlich, ein Vor-Ort-Audit der Einrichtungen und Tätigkeiten von Connic durchführen oder beauftragen, vorbehaltlich folgender Bedingungen: (a) der Kunde kündigt das Audit mindestens sechzig (60) Tage vorher schriftlich an; (b) das Audit findet während der üblichen Geschäftszeiten statt und beeinträchtigt den Betrieb von Connic nicht unangemessen; (c) die Prüfer des Kunden stimmen angemessenen Vertraulichkeitspflichten zu; und (d) der Kunde trägt die Kosten des Audits.

9.3 Vertraulichkeit der Auditergebnisse

Alle durch Audits nach diesem Abschnitt 9 erlangten Informationen sind als vertrauliche Informationen von Connic zu behandeln. Der Kunde verpflichtet sich, Auditergebnisse ohne vorherige schriftliche Einwilligung von Connic nicht an Dritte offenzulegen, sofern dies nicht nach anwendbarem Recht oder durch eine Aufsichtsbehörde verlangt wird.

9.4 Behördliche Audits

Connic arbeitet bei jedem Audit und jeder Untersuchung durch eine Aufsichtsbehörde oder sonstige Regulierungsstelle mit, soweit sich das Audit oder die Untersuchung auf kundenbezogene personenbezogene Daten bezieht.

10. Internationale Datenübermittlungen

10.1 Datenstandort

Connic bietet Optionen zur Datenspeicherung in mehreren Regionen an. Der Kunde kann vorbehaltlich der in seiner Abonnementstufe verfügbaren Optionen die geografische Region oder Regionen wählen, in denen kundenbezogene personenbezogene Daten gespeichert und verarbeitet werden. Die verfügbaren Regionen und die vom Kunden ausgewählten Regionen sind in seinen Kontoeinstellungen angegeben.

Unabhängig von der vom Kunden ausgewählten Region können bestimmte Verarbeitungen an anderen Standorten erfolgen, an denen Connic oder seine Unterauftragsverarbeiter Einrichtungen unterhalten, soweit dies zur Erbringung der Dienste erforderlich ist (etwa für technischen Support oder die Wartung der Infrastruktur).

10.2 Übermittlungsmechanismen

Soweit Connic kundenbezogene personenbezogene Daten aus dem EWR/EEA, dem Vereinigten Königreich oder der Schweiz in einem Land verarbeitet, für das kein angemessenes Datenschutzniveau anerkannt wurde, stellt Connic sicher, dass geeignete Garantien zum Schutz dieser Daten bestehen. Diese Garantien umfassen:

• Standardvertragsklauseln: Connic bietet an, mit dem Kunden für Übermittlungen kundenbezogener personenbezogener Daten an Drittländer die Standardvertragsklauseln abzuschließen. Mit Abschluss dieses DPA gelten die anwendbaren Standardvertragsklauseln zwischen dem Kunden und Connic als abgeschlossen und werden durch Verweis einbezogen.
• UK Addendum: Für Übermittlungen aus dem Vereinigten Königreich gilt, soweit einschlägig, das UK Addendum zu den EU SCCs oder das UK International Data Transfer Agreement.
• Swiss Addendum: Für Übermittlungen aus der Schweiz sind die Standardvertragsklauseln gemäß den Leitlinien des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten auszulegen.

10.3 Einzelheiten der Standardvertragsklauseln

Soweit die Standardvertragsklauseln gelten, gelten sie wie folgt als ausgefüllt:

• Module Two (Controller to Processor) gilt, wenn der Kunde ein Verantwortlicher und Connic ein Auftragsverarbeiter ist
• Für Clause 7 gilt die optionale Docking-Klausel
• Für Clause 9 gilt Option 2 (allgemeine schriftliche Genehmigung), und die Frist für die vorherige Mitteilung von Änderungen bei Unterauftragsverarbeitern beträgt dreißig (30) Tage
• Für Clause 11 gilt die optionale Formulierung nicht
• Für Clause 17 gilt Option 1, und Mitgliedstaat ist Irland
• Für Clause 18(b) werden Streitigkeiten von den Gerichten Irlands entschieden
• Annex I.A (Liste der Parteien): Datenexporteur ist der Kunde; Datenimporteur ist Connic
• Annex I.B (Beschreibung der Übermittlung): Wie in Abschnitt 3 dieses DPA beschrieben
• Annex I.C (Zuständige Aufsichtsbehörde): Die Irish Data Protection Commission oder die Aufsichtsbehörde der Niederlassung des Kunden im EWR/EEA
• Annex II (Technische und organisatorische Maßnahmen): Wie in Abschnitt 5 dieses DPA und unter connic.co/legal/security

10.4 Transfer Impact Assessments

Connic führt Folgenabschätzungen für Übermittlungen durch, soweit dies nach anwendbaren Datenschutzgesetzen und Leitlinien von Aufsichtsbehörden erforderlich ist. Auf Anfrage des Kunden stellt Connic einschlägige Informationen bereit, um den Kunden bei der Durchführung seiner eigenen Transfer Impact Assessments zu unterstützen.

10.5 Alternative Übermittlungsmechanismen

Wird nach anwendbaren Datenschutzgesetzen ein alternativer Datenübermittlungsmechanismus verfügbar, der die rechtmäßige Übermittlung kundenbezogener personenbezogener Daten gestattet, können die Parteien vereinbaren, diesen alternativen Mechanismus anstelle der oder zusätzlich zu den Standardvertragsklauseln zu verwenden.

11. Laufzeit, Beendigung und Rückgabe/Löschung von Daten

11.1 Laufzeit

Dieser DPA bleibt in Kraft, solange Connic kundenbezogene personenbezogene Daten im Auftrag des Kunden verarbeitet. Vorbehaltlich des nachstehenden Abschnitts 11.3 endet der DPA automatisch, wenn die Vereinbarung gekündigt wird oder ausläuft.

11.2 Wirkung der Beendigung

Bei Kündigung oder Ablauf der Vereinbarung stellt Connic die Verarbeitung kundenbezogener personenbezogener Daten ein, soweit eine Verarbeitung nicht nach anwendbarem Recht vorgeschrieben oder zum Abschluss einer bei Beendigung laufenden Verarbeitung erforderlich ist.

11.3 Rückgabe und Löschung von Daten

Bei Kündigung oder Ablauf der Vereinbarung wird Connic nach Wahl des Kunden (die innerhalb von dreißig (30) Tagen nach Beendigung schriftlich mitzuteilen ist):

• Rückgabe: alle kundenbezogenen personenbezogenen Daten in einem gängigen, maschinenlesbaren Format an den Kunden zurückgeben; oder
• Löschung: alle kundenbezogenen personenbezogenen Daten löschen und die erfolgte Löschung schriftlich bestätigen.

Erteilt der Kunde innerhalb von dreißig (30) Tagen nach Beendigung keine Weisung, löscht Connic die kundenbezogenen personenbezogenen Daten. Die Löschung wird innerhalb von neunzig (90) Tagen nach Beendigung abgeschlossen; Connic darf kundenbezogene personenbezogene Daten jedoch insoweit aufbewahren, wie dies nach anwendbarem Recht erforderlich ist. In diesem Fall isoliert und schützt Connic diese Daten und beschränkt jede weitere Verarbeitung auf den gesetzlich erforderlichen Umfang.

11.4 Datenexport während der Laufzeit

Während der Laufzeit der Vereinbarung kann der Kunde kundenbezogene personenbezogene Daten jederzeit mithilfe der von den Diensten bereitgestellten Exportfunktion oder über die API aus den Diensten exportieren.

12. Haftung

12.1 Haftungsbeschränkung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem DPA (einschließlich der Standardvertragsklauseln, soweit anwendbar) unterliegt in dem nach anwendbarem Recht zulässigen Umfang den in der Vereinbarung festgelegten Haftungsbeschränkungen und -ausschlüssen.

12.2 Freistellung

Jede Partei stellt die andere Partei von sämtlichen Ansprüchen, Schäden, Verlusten, Kosten und Aufwendungen (einschließlich angemessener Rechtsanwaltskosten) frei und hält sie schadlos, die aus einer Verletzung der Pflichten der freistellenden Partei nach diesem DPA oder anwendbaren Datenschutzgesetzen entstehen, soweit diese Verletzung zu einem Anspruch gegen die freigestellte Partei führt.

13. Unterstützung bei der Compliance

13.1 Datenschutz-Folgenabschätzungen

Unter Berücksichtigung der Art der Verarbeitung und der Connic zur Verfügung stehenden Informationen unterstützt Connic den Kunden in angemessenem Umfang bei der Durchführung von Datenschutz-Folgenabschätzungen („DPIAs“), soweit diese nach anwendbaren Datenschutzgesetzen erforderlich sind. Diese Unterstützung kann die Bereitstellung von Informationen über die Verarbeitung, Sicherheitsmaßnahmen und Unterauftragsverarbeiter umfassen.

13.2 Vorherige Konsultation

Connic unterstützt den Kunden bei der vorherigen Konsultation von Aufsichtsbehörden, soweit diese nach anwendbaren Datenschutzgesetzen erforderlich ist und sich auf eine von Connic nach diesem DPA durchgeführte Verarbeitung bezieht.

13.3 Zusammenarbeit mit Behörden

Connic arbeitet mit dem Kunden und jeder Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen, einschließlich der Beantwortung von Anfragen zur Verarbeitung kundenbezogener personenbezogener Daten.

14. Allgemeine Bestimmungen

14.1 Vorrang

Im Falle eines Widerspruchs zwischen diesem DPA und der Vereinbarung geht dieser DPA hinsichtlich der Verarbeitung kundenbezogener personenbezogener Daten im Umfang des Widerspruchs vor. Im Falle eines Widerspruchs zwischen diesem DPA und den Standardvertragsklauseln gehen die Standardvertragsklauseln vor.

14.2 Änderungen

Connic kann diesen DPA von Zeit zu Zeit aktualisieren, um Änderungen der Datenschutzgesetze, behördlicher Leitlinien oder der Verarbeitungspraktiken von Connic abzubilden. Wesentliche Änderungen werden dem Kunden vorab mitgeteilt. Die weitere Nutzung der Dienste durch den Kunden nach Inkrafttreten solcher Änderungen gilt als Annahme des aktualisierten DPA.

14.3 Salvatorische Klausel

Sollte eine Bestimmung dieses DPA unwirksam oder nicht durchsetzbar sein, bleiben die übrigen Bestimmungen in vollem Umfang wirksam. Die Parteien verhandeln nach Treu und Glauben, um eine unwirksame oder nicht durchsetzbare Bestimmung durch eine wirksame Bestimmung zu ersetzen, die den ursprünglichen Willen der Parteien verwirklicht.

14.4 Anwendbares Recht

Dieser DPA unterliegt dem in der Vereinbarung bestimmten Recht und ist nach diesem auszulegen, soweit anwendbare Datenschutzgesetze nicht die Anwendung eines anderen Rechts verlangen. Für die Standardvertragsklauseln gilt das darin bestimmte Recht.

14.5 Gesamte Vereinbarung

Dieser DPA bildet zusammen mit der Vereinbarung und allen durch Verweis einbezogenen Dokumenten die gesamte Vereinbarung zwischen den Parteien über die Verarbeitung kundenbezogener personenbezogener Daten und ersetzt alle früheren oder gleichzeitigen Vereinbarungen, Erklärungen und Absprachen über diese Verarbeitung.

15. Kontaktinformationen

Bei Fragen oder Bedenken zu diesem DPA oder zur Verarbeitung kundenbezogener personenbezogener Daten durch Connic kontaktieren Sie bitte: