Auftragsverarbeitungsvertrag

Einleitung

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Nutzungsbedingungen (die „Vereinbarung“) zwischen der connic GmbH, Joseph-Dollinger-Bogen 28, 80807 München, Deutschland („connic“, „Auftragsverarbeiter“, „wir“, „uns“ oder „unser“) und dem Kunden, der diesen Bedingungen zustimmt („Kunde“, „Verantwortlicher“, „Sie“ oder „Ihr“).

Dieser DPA regelt die Bedingungen, unter denen connic im Zusammenhang mit den Diensten personenbezogene Daten im Auftrag des Kunden verarbeitet. Dieser DPA gilt, soweit connic bei der Erbringung der Dienste im Auftrag des Kunden personenbezogene Daten verarbeitet, die anwendbaren Datenschutzgesetzen unterliegen.

Dieser DPA soll die Einhaltung der Anforderungen anwendbarer Datenschutzgesetze gewährleisten, insbesondere der Datenschutz-Grundverordnung der Europäischen Union (EU) 2016/679 („GDPR“), der United Kingdom General Data Protection Regulation („UK GDPR“), des Schweizer Bundesgesetzes über den Datenschutz („FADP“).

Dieser DPA wird in die Nutzungsbedingungen einbezogen und ist deren Bestandteil. Indem Sie den Nutzungsbedingungen zustimmen (auch durch Anklicken von „Ich stimme zu“, „Registrieren“ oder einer vergleichbaren Schaltfläche), stimmen Sie automatisch auch diesem DPA zu. Eine gesonderte Unterschrift oder Annahme ist nicht erforderlich.

Indem der Kunde die Dienste zur Verarbeitung personenbezogener Daten nutzt, schließt er diesen DPA für sich selbst und, soweit nach anwendbaren Datenschutzgesetzen erforderlich, im Namen und im Auftrag seiner autorisierten verbundenen Unternehmen. Im Sinne dieses DPA werden der Kunde und seine autorisierten verbundenen Unternehmen zusammen als „Kunde“ bezeichnet.

1. Definitionen

In diesem DPA haben die nachstehenden Begriffe die jeweils angegebene Bedeutung. Begriffe, die hierin nicht gesondert definiert sind, haben die ihnen in der Vereinbarung zugewiesene Bedeutung.

• „Autorisiertes verbundenes Unternehmen“ bezeichnet jedes Unternehmen, das den Kunden unmittelbar oder mittelbar beherrscht, von ihm beherrscht wird oder mit ihm unter gemeinsamer Beherrschung steht, wobei „Beherrschung“ das Eigentum an mehr als 50 % der stimmberechtigten Wertpapiere oder gleichwertiger Stimmrechte des betreffenden Unternehmens bedeutet.
• „Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Im Sinne dieses DPA ist der Kunde der Verantwortliche für kundenbezogene personenbezogene Daten.
• „Kundenbezogene personenbezogene Daten“ bezeichnet alle personenbezogenen Daten, die connic bei der Erbringung der Dienste im Auftrag des Kunden verarbeitet, einschließlich personenbezogener Daten in Eingaben an die vom Kunden bereitgestellten Agenten, von solchen Agenten erzeugter Ausgaben und aller sonstigen Daten, die der Kunde oder seine Endnutzer über die Dienste übermitteln.
• „Datenschutzgesetze“ bezeichnet alle anwendbaren Gesetze und Vorschriften zur Verarbeitung personenbezogener Daten und zum Schutz der Privatsphäre, insbesondere: (a) die GDPR; (b) die UK GDPR und den UK Data Protection Act 2018; (c) den Schweizer FADP; (d) das Bundesdatenschutzgesetz (BDSG); und (e) alle sonstigen anwendbaren Datenschutzvorschriften, jeweils in ihrer von Zeit zu Zeit geänderten, abgelösten oder ersetzten Fassung.
• „Betroffene Person“ bezeichnet eine identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen.
• „EWR/EEA“ bezeichnet den Europäischen Wirtschaftsraum, der aus den Mitgliedstaaten der Europäischen Union sowie Island, Liechtenstein und Norwegen besteht.
• „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die unmittelbar oder mittelbar, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind, identifiziert werden kann.
• „Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu kundenbezogenen personenbezogenen Daten führt, die connic übermittelt, gespeichert oder auf sonstige Weise verarbeitet hat.
• „Verarbeitung“ (einschließlich der verwandten Formen „verarbeiten“ und „verarbeitet“) bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
• „Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im Sinne dieses DPA ist connic der Auftragsverarbeiter für kundenbezogene personenbezogene Daten.
• „Dienste“ bezeichnet die connic-Plattform und die damit verbundenen Dienste, die connic dem Kunden gemäß der Vereinbarung bereitstellt, einschließlich Hosting, Deployment und Ausführung der KI-Agenten des Kunden.
• „Standardvertragsklauseln“ oder „SCCs“ bezeichnet: (a) für Übermittlungen personenbezogener Daten aus dem EWR/EEA die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß Commission Implementing Decision (EU) 2021/914; (b) für Übermittlungen aus dem Vereinigten Königreich das International Data Transfer Agreement oder das UK Addendum zu den EU SCCs; und (c) für Übermittlungen aus der Schweiz die anwendbaren Standardvertragsklauseln in der vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Form.
• „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den connic oder seine verbundenen Unternehmen im Zusammenhang mit den Diensten zur Verarbeitung kundenbezogener personenbezogener Daten im Auftrag des Kunden einsetzt.
• „Aufsichtsbehörde“ bezeichnet eine von einem EU-Mitgliedstaat gemäß Artikel 51 der GDPR eingerichtete unabhängige staatliche Stelle, das UK Information Commissioner's Office oder jede andere Datenschutzbehörde, die für die Verarbeitung personenbezogener Daten nach diesem DPA zuständig ist.

2. Geltungsbereich und Rollen der Parteien

2.1 Rollen

Die Parteien erkennen an und vereinbaren, dass hinsichtlich der Verarbeitung kundenbezogener personenbezogener Daten: (a) der Kunde der Verantwortliche ist; (b) connic der im Auftrag des Kunden handelnde Auftragsverarbeiter ist; und (c) connic Unterauftragsverarbeiter gemäß den in Abschnitt 7 dieses DPA festgelegten Anforderungen einsetzen darf.

2.2 Verantwortlichkeiten des Kunden

Der Kunde ist als Verantwortlicher dafür verantwortlich:

• eine wirksame Rechtsgrundlage für die Verarbeitung kundenbezogener personenbezogener Daten zu gewährleisten und, soweit erforderlich, alle notwendigen Einwilligungen betroffener Personen einzuholen
• betroffenen Personen alle erforderlichen Hinweise zur Verarbeitung ihrer personenbezogenen Daten bereitzustellen, einschließlich Informationen über den Einsatz von connic als Auftragsverarbeiter
• sicherzustellen, dass die connic erteilten Verarbeitungsweisungen den anwendbaren Datenschutzgesetzen entsprechen
• sicherzustellen, dass kundenbezogene personenbezogene Daten richtig, vollständig und aktuell sind
• Anträge betroffener Personen zu beantworten und deren Rechte mit der in diesem DPA geregelten Unterstützung von connic umzusetzen
• angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten in seinen eigenen Systemen und bei der Datenübermittlung an connic zu treffen
• die Arten der zu verarbeitenden personenbezogenen Daten und die Kategorien betroffener Personen, deren Daten verarbeitet werden, festzulegen
• alle für Verantwortliche geltenden Datenschutzgesetze einzuhalten

2.3 Verantwortlichkeiten von connic

connic ist als Auftragsverarbeiter dafür verantwortlich:

• kundenbezogene personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten, auch hinsichtlich der Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern connic nicht durch das Recht der Union oder der Mitgliedstaaten, dem connic unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt connic dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet
• sicherzustellen, dass zur Verarbeitung kundenbezogener personenbezogener Daten befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen
• angemessene technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Abschnitt 5 dieses DPA beschrieben
• Unterauftragsverarbeiter nur gemäß Abschnitt 7 dieses DPA einzusetzen
• den Kunden bei der Beantwortung von Anträgen betroffener Personen und bei der Einhaltung seiner Pflichten nach anwendbaren Datenschutzgesetzen zu unterstützen
• den Kunden gemäß Abschnitt 6 dieses DPA über Verletzungen des Schutzes personenbezogener Daten zu informieren
• dem Kunden alle zum Nachweis der Einhaltung dieses DPA erforderlichen Informationen zur Verfügung zu stellen und Audits einschließlich Inspektionen gemäß Abschnitt 9 dieses DPA zu ermöglichen und dazu beizutragen
• nach Ende der Erbringung der Dienste nach Wahl des Kunden alle kundenbezogenen personenbezogenen Daten gemäß Abschnitt 11 dieses DPA zu löschen oder zurückzugeben

3. Einzelheiten der Verarbeitung

3.1 Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Dienste für den Kunden gemäß der Vereinbarung. connic stellt eine Plattform für das Hosting und die Ausführung von KI-Agenten bereit und kann dabei kundenbezogene personenbezogene Daten verarbeiten, die an die vom Kunden bereitgestellten Agenten übermittelt, von ihnen verarbeitet oder ausgegeben werden.

3.2 Dauer der Verarbeitung

connic verarbeitet kundenbezogene personenbezogene Daten für die Dauer der Vereinbarung, sofern nicht schriftlich etwas anderes vereinbart oder durch das Recht der Union oder der Mitgliedstaaten vorgeschrieben ist. Nach Beendigung der Vereinbarung behandelt connic kundenbezogene personenbezogene Daten gemäß Abschnitt 11 dieses DPA.

3.3 Art und Zweck der Verarbeitung

connic verarbeitet kundenbezogene personenbezogene Daten zu folgenden Zwecken:

• Hosting und Ausführung der KI-Agenten des Kunden, einschließlich der Verarbeitung von Eingaben und der Erzeugung von Ausgaben
• Speicherung von Agent-Konfigurationen, Deployment-Daten und Ausführungsprotokollen, soweit dies zur Erbringung der Dienste erforderlich ist
• Bereitstellung von Verbindungen, über die die Agenten des Kunden mittels Webhooks, WebSockets, Kafka und anderen Integrationsmechanismen Daten empfangen und senden können
• Aufrechterhaltung und Absicherung der Dienste, einschließlich Fehleranalyse, Debugging und Leistungsoptimierung, soweit dies zur Erbringung der Dienste für den Kunden erforderlich ist
• Bereitstellung technischen Supports für den Kunden
• Erfüllung von Pflichten nach dem Recht der Union oder der Mitgliedstaaten, dem connic unterliegt

connic nutzt kundenbezogene personenbezogene Daten nicht zum Training von KI-Modellen.

3.4 Arten personenbezogener Daten

Die Arten der verarbeiteten personenbezogenen Daten hängen von der Nutzung der Dienste durch den Kunden und der Art seiner bereitgestellten Agenten ab. Der Kunde bestimmt, welche personenbezogenen Daten an die Dienste übermittelt werden. Personenbezogene Daten können insbesondere umfassen:

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Anschrift)
• Kontozugangsdaten und Authentifizierungsdaten
• Berufliche Informationen (Berufsbezeichnung, Arbeitgeber, beruflicher Werdegang)
• Kommunikationsinhalte (Nachrichten, Anfragen, Support-Anfragen)
• von Nutzern erzeugte und an Agenten übermittelte Inhalte
• Technische Daten (IP-Adressen, Gerätekennungen, Nutzungsprotokolle)
• alle sonstigen personenbezogenen Daten, die der Kunde über die Dienste übermitteln möchte

Besondere Kategorien personenbezogener Daten: Der Kunde soll keine besonderen Kategorien personenbezogener Daten (im Sinne von Artikel 9 der GDPR) an die Dienste übermitteln, sofern er nicht sichergestellt hat, dass angemessene Garantien bestehen und eine wirksame Rechtsgrundlage für diese Verarbeitung vorliegt. Übermittelt der Kunde dennoch besondere Kategorien personenbezogener Daten, ist allein der Kunde dafür verantwortlich, die Einhaltung der für diese Daten anwendbaren Datenschutzgesetze sicherzustellen.

3.5 Kategorien betroffener Personen

Die Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden können, hängen von der Nutzung der Dienste durch den Kunden ab. Betroffene Personen können umfassen:

• Mitarbeiter, Auftragnehmer und Vertreter des Kunden
• Endnutzer des Kunden, die mit den von ihm bereitgestellten Agenten interagieren
• Kunden und potenzielle Kunden des Kunden
• Geschäftskontakte und Partner des Kunden
• alle sonstigen Personen, deren personenbezogene Daten der Kunde an die Dienste übermittelt

4. Weisungen des Kunden

4.1 Verarbeitungsweisungen

connic verarbeitet kundenbezogene personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Kunden. Die Weisungen des Kunden sind dokumentiert in: (a) diesem DPA; (b) der Vereinbarung; (c) der Nutzung und Konfiguration der Dienste durch den Kunden; und (d) allen sonstigen schriftlichen Weisungen, die der Kunde erteilt und connic bestätigt hat.

Der Kunde weist connic an, kundenbezogene personenbezogene Daten zu verarbeiten, soweit dies zur Erbringung der Dienste gemäß der Vereinbarung erforderlich ist. Dies umfasst die Verarbeitung, die erforderlich ist, um die Agenten des Kunden zu hosten und auszuführen, Daten entsprechend den Konfigurationen des Kunden zu speichern und abzurufen, Daten über die vom Kunden konfigurierten Verbindungen zu übermitteln, technischen Support bereitzustellen sowie die Dienste aufrechtzuerhalten und zu sichern.

4.2 Zusätzliche Weisungen

Der Kunde kann zusätzliche Weisungen zur Verarbeitung kundenbezogener personenbezogener Daten erteilen, sofern diese mit der Vereinbarung und diesem DPA vereinbar sind. Stellt connic fest, dass zusätzliche Weisungen Änderungen an den Diensten oder zusätzliche Ressourcen erfordern, verhandeln die Parteien nach Treu und Glauben über erforderliche Änderungen der Vereinbarung und damit verbundene Entgelte.

4.3 Rechtswidrige Weisungen

Ist connic der Auffassung, dass eine Weisung des Kunden gegen anwendbare Datenschutzgesetze oder sonstiges anwendbares Recht verstößt, informiert connic den Kunden unverzüglich. connic ist nicht verpflichtet, Weisungen zu befolgen, von denen connic vernünftigerweise annimmt, dass sie gegen anwendbares Recht verstoßen würden. Ist connic nach dem Recht der Union oder der Mitgliedstaaten verpflichtet, kundenbezogene personenbezogene Daten abweichend von den Weisungen des Kunden zu verarbeiten, informiert connic den Kunden vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5. Sicherheitsmaßnahmen

5.1 Sicherheitspflichten

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen trifft connic geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, gegebenenfalls einschließlich:

• der Pseudonymisierung und Verschlüsselung personenbezogener Daten
• der Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen
• der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen
• einem Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung

5.2 Konkrete Sicherheitsmaßnahmen

connic unterhält ein umfassendes Sicherheitsprogramm mit folgenden Maßnahmen:

• Verschlüsselung: Verschlüsselung kundenbezogener personenbezogener Daten bei der Übertragung mittels TLS 1.2 oder höher sowie Verschlüsselung im Ruhezustand mittels AES-256 oder gleichwertiger Verschlüsselungsstandards
• Zugriffskontrollen: Rollenbasierte Zugriffskontrollen einschließlich des Least-Privilege-Prinzips, um den Zugriff auf kundenbezogene personenbezogene Daten auf autorisiertes Personal zu beschränken
• Authentifizierung: Starke Authentifizierungsmechanismen für den Zugriff auf Systeme, die kundenbezogene personenbezogene Daten enthalten, einschließlich der Unterstützung von Multi-Faktor-Authentifizierung
• Netzwerksicherheit: Firewalls, Intrusion-Detection-Systeme und Netzwerksegmentierung zum Schutz vor unbefugtem Zugriff
• Überwachung und Protokollierung: Kontinuierliche Überwachung der Systeme und Protokollierung von Zugriffen auf kundenbezogene personenbezogene Daten für Sicherheits- und Auditzwecke
• Schwachstellenmanagement: Regelmäßige Schwachstellenbewertungen, Penetrationstests und zeitnahe Behebung identifizierter Schwachstellen
• Mitarbeitersicherheit: Hintergrundprüfungen bei Mitarbeitern mit Zugriff auf kundenbezogene personenbezogene Daten, Schulungen zum Sicherheitsbewusstsein und Vertraulichkeitsvereinbarungen
• Physische Sicherheit: Physische Zutrittskontrollen in Rechenzentren einschließlich Überwachung, Zutrittsprotokollierung und Umgebungskontrollen
• Reaktion auf Sicherheitsvorfälle: Dokumentierte Verfahren zur Erkennung und Behandlung von Sicherheitsvorfällen sowie zur Wiederherstellung nach solchen Vorfällen
• Geschäftskontinuität: Pläne zur Geschäftsfortführung und Notfallwiederherstellung, um Verfügbarkeit und Belastbarkeit der Dienste zu gewährleisten

Eine ausführliche Beschreibung der Sicherheitsmaßnahmen von connic ist verfügbar unter connic.co/legal/security.

5.3 Aktualisierungen der Sicherheitsmaßnahmen

connic kann seine Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern solche Aktualisierungen die Gesamtsicherheit der Dienste nicht wesentlich verringern. connic informiert den Kunden über alle wesentlichen Änderungen seiner Sicherheitsmaßnahmen, die kundenbezogene personenbezogene Daten beeinträchtigen können.

5.4 Sicherheitsverantwortung des Kunden

Der Kunde ist für die Umsetzung angemessener Sicherheitsmaßnahmen in seiner eigenen Umgebung verantwortlich, darunter: Schutz der Kontozugangsdaten und API-Schlüssel des Kunden; Konfiguration angemessener Zugriffskontrollen für seine Nutzer; Umsetzung von Sicherheitsmaßnahmen im Agent-Code und in den Tools des Kunden; Schutz von Daten bei der Übertragung zwischen den Systemen des Kunden und den Diensten; sowie Bewertung, ob die von connic bereitgestellten Sicherheitsmaßnahmen für die Verarbeitungstätigkeiten des Kunden angemessen sind.

6. Meldung von Verletzungen des Schutzes personenbezogener Daten

6.1 Meldung einer Verletzung

connic benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von achtundvierzig (48) Stunden, nachdem connic eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die kundenbezogene personenbezogene Daten betrifft. Soweit zu diesem Zeitpunkt noch nicht alle Informationen vorliegen, stellt connic sie ohne weitere unangemessene Verzögerung schrittweise zur Verfügung.

6.2 Inhalt der Meldung

Soweit bekannt, enthält die Benachrichtigung von connic:

• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich einschließlich der Kategorien und ungefähren Zahl der betroffenen Personen sowie der Kategorien und ungefähren Zahl der betroffenen Datensätze personenbezogener Daten
• den Namen und die Kontaktdaten des Datenschutzbeauftragten von connic oder einer sonstigen Anlaufstelle, bei der weitere Informationen erhältlich sind
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten
• eine Beschreibung der von connic ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen

Soweit es nicht möglich ist, sämtliche Informationen gleichzeitig bereitzustellen, können die Informationen ohne weitere unangemessene Verzögerung schrittweise bereitgestellt werden.

6.3 Unterstützung durch connic

connic arbeitet mit dem Kunden zusammen und ergreift wirtschaftlich angemessene Maßnahmen, um bei der Untersuchung, Eindämmung und Behebung jeder Verletzung des Schutzes personenbezogener Daten zu unterstützen. connic unterstützt den Kunden außerdem bei der Erfüllung seiner Pflichten nach anwendbaren Datenschutzgesetzen hinsichtlich der Meldung von Verletzungen des Schutzes personenbezogener Daten an Aufsichtsbehörden und betroffene Personen.

6.4 Kein Schuldanerkenntnis

Die Meldung einer Verletzung des Schutzes personenbezogener Daten oder die Reaktion darauf durch connic nach diesem Abschnitt 6 ist nicht als Anerkenntnis eines Verschuldens oder einer Haftung von connic hinsichtlich der Verletzung auszulegen.

7. Unterauftragsverarbeiter

7.1 Genehmigung des Einsatzes von Unterauftragsverarbeitern

Der Kunde erteilt connic die allgemeine Genehmigung, Unterauftragsverarbeiter zur Verarbeitung kundenbezogener personenbezogener Daten im Zusammenhang mit den Diensten einzusetzen. Die aktuelle Liste der vom Kunden genehmigten Unterauftragsverarbeiter ist verfügbar unter connic.co/legal/sub-processors.

7.2 Vereinbarungen mit Unterauftragsverarbeitern

connic stellt sicher, dass jeder Unterauftragsverarbeiter durch eine schriftliche Vereinbarung gebunden ist, die mindestens ebenso weitreichende Datenschutzpflichten vorsieht wie die connic nach diesem DPA auferlegten Pflichten. connic bleibt dem Kunden gegenüber für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter aus solchen Vereinbarungen voll verantwortlich.

7.3 Änderungen bei Unterauftragsverarbeitern

connic informiert den Kunden vorab über jede beabsichtigte Änderung hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, einschließlich des Namens des Unterauftragsverarbeiters und der vorgesehenen Verarbeitungstätigkeiten. connic erteilt diese Mitteilung mindestens dreißig (30) Tage vor dem Einsatz eines neuen Unterauftragsverarbeiters, sodass der Kunde Gelegenheit hat, dem Einsatz zu widersprechen.

Die Mitteilung über neue Unterauftragsverarbeiter erfolgt durch: (a) Aktualisierung der Liste der Unterauftragsverarbeiter unter connic.co/legal/sub-processors; und (b) Versand einer E-Mail-Benachrichtigung an die mit dem Konto des Kunden verknüpfte E-Mail-Adresse. Der Kunde kann Benachrichtigungen über Änderungen bei Unterauftragsverarbeitern abonnieren.

7.4 Widerspruch gegen Unterauftragsverarbeiter

Der Kunde kann dem Einsatz eines neuen Unterauftragsverarbeiters durch connic widersprechen, indem er connic innerhalb von dreißig (30) Tagen nach Erhalt der Mitteilung über den neuen Unterauftragsverarbeiter schriftlich benachrichtigt, sofern der Widerspruch auf nachvollziehbaren datenschutzbezogenen Gründen beruht. Widerspricht der Kunde, erörtern die Parteien seine Bedenken nach Treu und Glauben mit dem Ziel einer wirtschaftlich angemessenen Lösung.

Können die Parteien keine Lösung erzielen, kann der Kunde als ausschließliches Rechtsmittel die betroffenen Dienste durch schriftliche Mitteilung an connic kündigen. connic erstattet dem Kunden im Voraus gezahlte Entgelte für die gekündigten Dienste, soweit sie den Zeitraum nach Wirksamwerden der Kündigung betreffen.

7.5 Haftung für Unterauftragsverarbeiter

connic haftet für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in demselben Umfang, in dem connic bei unmittelbarer Erbringung der Dienste nach diesem DPA haften würde, vorbehaltlich der in der Vereinbarung festgelegten Haftungsbeschränkungen.

8. Rechte betroffener Personen

8.1 Anträge betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt connic den Kunden, soweit möglich, durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen, die ihre Rechte nach anwendbaren Datenschutzgesetzen ausüben, insbesondere ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

8.2 Reaktion auf Anträge betroffener Personen

Erhält connic einen Antrag einer betroffenen Person in Bezug auf kundenbezogene personenbezogene Daten, wird connic:

• den Kunden unverzüglich über den Antrag informieren, sofern dies nicht gesetzlich verboten ist
• der betroffenen Person nicht unmittelbar antworten, außer um den Eingang zu bestätigen und die betroffene Person an den Kunden zu verweisen, sofern der Kunde keine andere Weisung erteilt oder das Gesetz keine andere Antwort verlangt
• dem Kunden unter Berücksichtigung der Art der Verarbeitung angemessene Zusammenarbeit und Unterstützung bei der Beantwortung solcher Anträge bieten

8.3 Self-Service-Funktionen des Kunden

connic stellt dem Kunden über die Dienste Self-Service-Funktionen bereit, mit denen der Kunde auf kundenbezogene personenbezogene Daten zugreifen, diese exportieren, berichtigen und löschen kann. Der Kunde verpflichtet sich, solche Self-Service-Funktionen, soweit praktikabel, zur Bearbeitung von Anträgen betroffener Personen zu nutzen, bevor er Unterstützung von connic anfordert.

8.4 Kosten der Unterstützung

connic leistet angemessene Unterstützung bei Anträgen betroffener Personen ohne zusätzliches Entgelt. Erfordern Anfragen des Kunden jedoch eine unverhältnismäßige oder exzessive Unterstützung, kann connic ein angemessenes, auf seinem Verwaltungsaufwand beruhendes Entgelt verlangen. connic informiert den Kunden vorab über solche Entgelte.

9. Audits und Überprüfung der Compliance

9.1 Auditrechte

connic stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise zum Nachweis der Einhaltung dieses DPA erforderlich sind, und ermöglicht Audits einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei, vorbehaltlich der Bedingungen dieses Abschnitts 9.

9.2 Auditverfahren

Der Kunde übt seine Auditrechte wie folgt aus:

• Dokumentenprüfung: Der Kunde kann Kopien der einschlägigen Richtlinien und Verfahren von connic sowie der Zertifizierungen und Auditberichte der Unterauftragsverarbeiter von connic anfordern, um die Einhaltung dieses DPA durch connic zu überprüfen. connic stellt diese Unterlagen innerhalb einer angemessenen Frist und vorbehaltlich angemessener Vertraulichkeitsvorkehrungen bereit.
• Sicherheitsfragebögen: Im Enterprise-Tarif kann der Kunde connic angemessene Sicherheitsfragebögen übermitteln, die connic innerhalb einer angemessenen Frist (üblicherweise dreißig (30) Tage) ausfüllt. In anderen Tarifen stellt connic die zum Nachweis der Einhaltung dieses DPA erforderlichen Informationen über seine veröffentlichten Unterlagen bereit und beantwortet konkrete Fragen schriftlich, soweit diese Unterlagen nicht ausreichen.
• Audits durch Dritte: Auf Anfrage des Kunden stellt connic Kopien einschlägiger Auditberichte, Zertifizierungen und Bewertungen Dritter vorbehaltlich etwaiger Vertraulichkeitsbeschränkungen bereit.
• Vor-Ort-Audits: Reichen die vorstehenden Maßnahmen zur Überprüfung der Compliance nicht aus, kann der Kunde, soweit nach anwendbaren Datenschutzgesetzen erforderlich, ein Vor-Ort-Audit der Einrichtungen und Tätigkeiten von connic durchführen oder beauftragen, vorbehaltlich folgender Bedingungen: (a) der Kunde kündigt das Audit mindestens sechzig (60) Tage vorher schriftlich an; (b) das Audit findet während der üblichen Geschäftszeiten statt und beeinträchtigt den Betrieb von connic nicht unangemessen; (c) die Prüfer des Kunden stimmen angemessenen Vertraulichkeitspflichten zu und sind keine Wettbewerber von connic; (d) der Kunde trägt die Kosten des Audits einschließlich angemessener Kosten von connic; und (e) Audits finden höchstens einmal innerhalb von zwölf (12) Monaten statt, sofern nicht eine Aufsichtsbehörde etwas anderes verlangt oder eine Verletzung des Schutzes kundenbezogener personenbezogener Daten eingetreten ist.

9.3 Vertraulichkeit der Auditergebnisse

Alle durch Audits nach diesem Abschnitt 9 erlangten Informationen sind als vertrauliche Informationen von connic zu behandeln. Der Kunde verpflichtet sich, Auditergebnisse ohne vorherige schriftliche Einwilligung von connic nicht an Dritte offenzulegen, sofern dies nicht nach anwendbarem Recht oder durch eine Aufsichtsbehörde verlangt wird.

9.4 Behördliche Audits

connic arbeitet bei jedem Audit und jeder Untersuchung durch eine Aufsichtsbehörde oder sonstige Regulierungsstelle mit, soweit sich das Audit oder die Untersuchung auf kundenbezogene personenbezogene Daten bezieht.

10. Internationale Datenübermittlungen

10.1 Datenstandort

connic bietet Optionen zur Datenspeicherung in mehreren Regionen an. Der Kunde kann vorbehaltlich der in seiner Abonnementstufe verfügbaren Optionen die geografische Region oder Regionen wählen, in denen kundenbezogene personenbezogene Daten gespeichert und verarbeitet werden. Die verfügbaren Regionen und die vom Kunden ausgewählten Regionen sind in seinen Kontoeinstellungen angegeben.

Unabhängig von der vom Kunden ausgewählten Region können bestimmte Verarbeitungen an anderen Standorten erfolgen, an denen connic oder seine Unterauftragsverarbeiter Einrichtungen unterhalten, soweit dies zur Erbringung der Dienste erforderlich ist (etwa für technischen Support oder die Wartung der Infrastruktur).

10.2 Übermittlungsmechanismen

connic hat seinen Sitz in der Europäischen Union. Für die Übermittlung kundenbezogener personenbezogener Daten vom Kunden an connic sind daher keine Standardvertragsklauseln zwischen dem Kunden und connic erforderlich. Soweit connic oder seine Unterauftragsverarbeiter kundenbezogene personenbezogene Daten in einem Land außerhalb des EWR verarbeiten, für das kein angemessenes Datenschutzniveau anerkannt wurde, stellt connic sicher, dass geeignete Garantien nach Kapitel V der GDPR bestehen. Diese Garantien umfassen:

• EU-U.S. Data Privacy Framework: Für Unterauftragsverarbeiter in den Vereinigten Staaten, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, beruhen Übermittlungen auf dem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 GDPR).
• Standardvertragsklauseln: Mit sonstigen Unterauftragsverarbeitern in Drittländern schließt connic die Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) ab (Art. 46 GDPR).
• Vereinigtes Königreich und Schweiz: Für kundenbezogene personenbezogene Daten, die der UK GDPR oder dem Schweizer FADP unterliegen, verwendet connic, soweit einschlägig, das UK Addendum zu den Standardvertragsklauseln oder die an das Schweizer Recht angepassten Standardvertragsklauseln.

10.3 Kunden außerhalb des EWR

Hat der Kunde seinen Sitz in einem Land außerhalb des EWR, für das kein angemessenes Datenschutzniveau anerkannt wurde, und übermittelt connic kundenbezogene personenbezogene Daten an den Kunden (zum Beispiel durch die Rückgabe von Ausgaben oder Exporten), gilt für diese Übermittlungen Modul 4 (Auftragsverarbeiter an Verantwortlichen) der Standardvertragsklauseln, das durch Verweis in diesen DPA einbezogen wird, mit folgenden Angaben:

• Annex I.A (Liste der Parteien): Datenexporteur ist connic; Datenimporteur ist der Kunde
• Annex I.B (Beschreibung der Übermittlung): Wie in Abschnitt 3 dieses DPA beschrieben
• Für Clause 7 gilt die optionale Docking-Klausel
• Für Clause 11 gilt die optionale Formulierung nicht
• Für Clause 17 unterliegen die Standardvertragsklauseln deutschem Recht
• Für Clause 18 werden Streitigkeiten von den Gerichten in München, Deutschland, entschieden

10.4 Transfer Impact Assessments

connic führt Folgenabschätzungen für Übermittlungen durch, soweit dies nach anwendbaren Datenschutzgesetzen und Leitlinien von Aufsichtsbehörden erforderlich ist. Auf Anfrage des Kunden stellt connic einschlägige Informationen bereit, um den Kunden bei der Durchführung seiner eigenen Transfer Impact Assessments zu unterstützen.

10.5 Alternative Übermittlungsmechanismen

Wird nach anwendbaren Datenschutzgesetzen ein alternativer Datenübermittlungsmechanismus verfügbar, der die rechtmäßige Übermittlung kundenbezogener personenbezogener Daten gestattet, können die Parteien vereinbaren, diesen alternativen Mechanismus anstelle der oder zusätzlich zu den Standardvertragsklauseln zu verwenden.

11. Laufzeit, Beendigung und Rückgabe/Löschung von Daten

11.1 Laufzeit

Dieser DPA bleibt in Kraft, solange connic kundenbezogene personenbezogene Daten im Auftrag des Kunden verarbeitet. Vorbehaltlich des nachstehenden Abschnitts 11.3 endet der DPA automatisch, wenn die Vereinbarung gekündigt wird oder ausläuft.

11.2 Wirkung der Beendigung

Bei Kündigung oder Ablauf der Vereinbarung stellt connic die Verarbeitung kundenbezogener personenbezogener Daten ein, soweit eine Verarbeitung nicht nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben oder zum Abschluss einer bei Beendigung laufenden Verarbeitung erforderlich ist.

11.3 Rückgabe und Löschung von Daten

Bei Kündigung oder Ablauf der Vereinbarung wird connic nach Wahl des Kunden (die innerhalb von dreißig (30) Tagen nach Beendigung schriftlich mitzuteilen ist):

• Rückgabe: alle kundenbezogenen personenbezogenen Daten in einem gängigen, maschinenlesbaren Format an den Kunden zurückgeben; oder
• Löschung: alle kundenbezogenen personenbezogenen Daten löschen und die erfolgte Löschung schriftlich bestätigen.

Erteilt der Kunde innerhalb von dreißig (30) Tagen nach Beendigung keine Weisung, löscht connic die kundenbezogenen personenbezogenen Daten. Die Löschung wird innerhalb von neunzig (90) Tagen nach Beendigung abgeschlossen; connic darf kundenbezogene personenbezogene Daten jedoch insoweit aufbewahren, wie dies nach dem Recht der Union oder der Mitgliedstaaten erforderlich ist. In diesem Fall isoliert und schützt connic diese Daten und beschränkt jede weitere Verarbeitung auf den gesetzlich erforderlichen Umfang.

11.4 Datenexport während der Laufzeit

Während der Laufzeit der Vereinbarung kann der Kunde kundenbezogene personenbezogene Daten jederzeit mithilfe der von den Diensten bereitgestellten Exportfunktion oder über die API aus den Diensten exportieren.

12. Haftung

12.1 Haftungsbeschränkung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem DPA (einschließlich der Standardvertragsklauseln, soweit anwendbar) unterliegt in dem nach anwendbarem Recht zulässigen Umfang den in der Vereinbarung festgelegten Haftungsbeschränkungen und -ausschlüssen.

12.2 Freistellung

Jede Partei stellt die andere Partei von sämtlichen Ansprüchen, Schäden, Verlusten, Kosten und Aufwendungen (einschließlich angemessener Rechtsanwaltskosten) frei und hält sie schadlos, die aus einer Verletzung der Pflichten der freistellenden Partei nach diesem DPA oder anwendbaren Datenschutzgesetzen entstehen, soweit diese Verletzung zu einem Anspruch gegen die freigestellte Partei führt.

13. Unterstützung bei der Compliance

13.1 Datenschutz-Folgenabschätzungen

Unter Berücksichtigung der Art der Verarbeitung und der connic zur Verfügung stehenden Informationen unterstützt connic den Kunden in angemessenem Umfang bei der Durchführung von Datenschutz-Folgenabschätzungen („DPIAs“), soweit diese nach anwendbaren Datenschutzgesetzen erforderlich sind. Diese Unterstützung kann die Bereitstellung von Informationen über die Verarbeitung, Sicherheitsmaßnahmen und Unterauftragsverarbeiter umfassen.

13.2 Vorherige Konsultation

connic unterstützt den Kunden bei der vorherigen Konsultation von Aufsichtsbehörden, soweit diese nach anwendbaren Datenschutzgesetzen erforderlich ist und sich auf eine von connic nach diesem DPA durchgeführte Verarbeitung bezieht.

13.3 Zusammenarbeit mit Behörden

connic arbeitet mit dem Kunden und jeder Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen, einschließlich der Beantwortung von Anfragen zur Verarbeitung kundenbezogener personenbezogener Daten.

14. Allgemeine Bestimmungen

14.1 Vorrang

Im Falle eines Widerspruchs zwischen diesem DPA und der Vereinbarung geht dieser DPA hinsichtlich der Verarbeitung kundenbezogener personenbezogener Daten im Umfang des Widerspruchs vor. Im Falle eines Widerspruchs zwischen diesem DPA und den Standardvertragsklauseln gehen die Standardvertragsklauseln vor.

14.2 Änderungen

connic kann diesen DPA unter denselben Voraussetzungen und nach demselben Mitteilungs- und Widerspruchsverfahren ändern wie die Nutzungsbedingungen (Abschnitt 14 der Nutzungsbedingungen).

14.3 Salvatorische Klausel

Sollte eine Bestimmung dieses DPA unwirksam oder nicht durchsetzbar sein, bleiben die übrigen Bestimmungen in vollem Umfang wirksam. Die Parteien verhandeln nach Treu und Glauben, um eine unwirksame oder nicht durchsetzbare Bestimmung durch eine wirksame Bestimmung zu ersetzen, die den ursprünglichen Willen der Parteien verwirklicht.

14.4 Anwendbares Recht

Dieser DPA unterliegt dem in der Vereinbarung bestimmten Recht und ist nach diesem auszulegen, soweit anwendbare Datenschutzgesetze nicht die Anwendung eines anderen Rechts verlangen. Für die Standardvertragsklauseln gilt das darin bestimmte Recht.

14.5 Gesamte Vereinbarung

Dieser DPA bildet zusammen mit der Vereinbarung und allen durch Verweis einbezogenen Dokumenten die gesamte Vereinbarung zwischen den Parteien über die Verarbeitung kundenbezogener personenbezogener Daten und ersetzt alle früheren oder gleichzeitigen Vereinbarungen, Erklärungen und Absprachen über diese Verarbeitung.

15. Kontaktinformationen

Bei Fragen oder Bedenken zu diesem DPA oder zur Verarbeitung kundenbezogener personenbezogener Daten durch connic kontaktieren Sie bitte: