RECHTLICHES
Auftragsverarbeitungsvertrag
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO · SollMate GmbH · Version 1.7
Partei
Angaben
Auftraggeber
Der im Order Form bzw. in der Online-Bestellung bezeichnete Kunde
Auftragnehmer
SollMate GmbH, Schönhauser Allee 43a, 10435 Berlin, Amtsgericht Charlottenburg, HRB 284551 B, vertreten durch die Geschäftsführer Maurice Buettgenbach und Sandra Kuest
§ 1 Einleitung, Geltungsbereich, Definitionen
(1) Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (gemeinsam die „Parteien“) im Rahmen der Verarbeitung personenbezogener Daten im Auftrag.
(2) Er findet auf alle Tätigkeiten Anwendung, bei denen Beschäftigte des Auftragnehmers oder von ihm beauftragte Unterauftragnehmer personenbezogene Daten des Auftraggebers in dessen Auftrag verarbeiten.
(3) Die in diesem Vertrag verwendeten Begriffe sind entsprechend ihrer Definition in der Datenschutz-Grundverordnung (DSGVO) zu verstehen. Der Auftraggeber ist danach der Verantwortliche, der Auftragnehmer der Auftragsverarbeiter.
(4) Soweit Erklärungen nach diesem Vertrag „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in Textform erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.
(5) „Hauptvertrag“ im Sinne dieses Vertrags sind die Allgemeinen Nutzungsbedingungen (Master Service Agreement) der SollMate GmbH nebst Anlagen sowie die auf sie Bezug nehmenden Order Forms und Online-Bestellungen (§ 1 Abs. 2 des Hauptvertrags). Bei Widersprüchen zwischen dem Hauptvertrag und diesem Vertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.
(6) Vertragsschluss. Dieser Vertrag wird elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO), entweder durch Zeichnung durch beide Parteien oder im Rahmen einer Online-Bestellung nach § 1 Abs. 2 des Hauptvertrags. Im Fall der Online-Bestellung kommt er zusammen mit dem Hauptvertrag zustande; die Angaben zum Auftraggeber und zu Anlage 3 werden aus der Bestellung übernommen. Der Auftragnehmer übermittelt dem Auftraggeber diesen Vertrag mit den übernommenen Angaben zusammen mit der Bestellbestätigung auf einem dauerhaften Datenträger.
§ 2 Gegenstand und Dauer der Verarbeitung
(1) Gegenstand
Der Auftragnehmer erbringt für den Auftraggeber die im Hauptvertrag beschriebenen Leistungen. Dies umfasst je nach gebuchten Bausteinen:
- SollMate Connect: die Bereitstellung einer Schnittstelle (MCP-Server), über die der Auftraggeber eine von ihm selbst beschaffte Anwendung künstlicher Intelligenz an seine Fach- und Quellsysteme anbindet;
- dabei den lesenden Zugriff auf DATEV, Dokumentenmanagement, Bankkonten und Handelsregisterdaten sowie den schreibenden Zugriff auf DATEV (Buchungsstapel, Stammdaten), DATEV Unternehmen online (Belegübermittlung) und das Dokumentenmanagement, jeweils nach Maßgabe der Konfiguration und der Weisungen des Auftraggebers.
(2) Dauer
Die Verarbeitung beginnt mit Bereitstellung des Zugangs zu den Leistungen und erfolgt auf unbestimmte Zeit bis zur Beendigung dieses Vertrags oder des Hauptvertrags. Dieser Vertrag endet automatisch mit dem Hauptvertrag; die Pflichten nach § 11 bleiben davon unberührt.
§ 3 Art, Zweck und Betroffene der Verarbeitung
(1) Art der Verarbeitung
Die Verarbeitung umfasst folgende Vorgänge: Erheben, Erfassen, Organisieren, Ordnen, Speichern (getrennt je Kunde nach Anlage 1 Ziffer 3, Trennungskontrolle), Anpassen und Verändern, Auslesen, Abfragen, Verwenden, Auswerten und Aggregieren, Anzeigen, Übermitteln an die vom Auftraggeber bestimmten Empfänger und Zielsysteme, Einschränken sowie Löschen und Vernichten. Der Zugriff erfolgt ausschließlich authentifiziert und je Nutzer rollenbasiert.
(2) Zweck der Verarbeitung
Die Verarbeitung dient der Erbringung der im Hauptvertrag vereinbarten Leistungen. Hierzu gehören insbesondere die Erzeugung betriebswirtschaftlicher Auswertungen aus den Buchhaltungs- und Stammdaten des Auftraggebers (u. a. Bilanz, Gewinn- und Verlustrechnung, Summen- und Saldenliste, Cash- und Bank-Übersichten, Liquiditätsprognosen, Budget- und Planungsrechnungen, OP-Analysen für Kreditoren und Debitoren sowie Intercompany-Abstimmungen), die Beantwortung von Nutzerfragen zu diesen Daten in natürlicher Sprache durch einen KI-Assistenten, die Recherche in öffentlichen Registern sowie die Rückübermittlung von Buchungen und Belegen in die Systeme des Auftraggebers. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Eine Nutzung der Daten zum Training von Modellen, die auch anderen Kunden oder Dritten zur Verfügung stehen, findet nicht statt.
(3) Art der Daten
Es werden folgende Daten verarbeitet:
- Mandanten- und Stammdaten: Firmierung, Anschrift, Berater- und Mandantennummer, Rechtsform, gegebenenfalls Steuer- und Umsatzsteuernummern;
- Finanz- und Buchhaltungsdaten: Buchungssätze, Konten und Salden (SKR03/04), Belegdaten, OP-Listen Kreditoren und Debitoren, Bankverbindungen und IBAN, Kontoumsätze, Kostenstellen und Kostenträger;
- Dokumente aus dem Dokumentenmanagement des Auftraggebers sowie daraus abgeleitete Indexdaten;
- Registerdaten aus öffentlich zugänglichen Quellen, insbesondere Handelsregisterdaten zu Unternehmen und deren Beteiligten;
- Kommunikations- und Nutzungsdaten: Verläufe der Kommunikation mit dem KI-Assistenten, Nutzereinstellungen, Nutzungs- und Audit-Logs;
- Beschäftigten- und Nutzerdaten: Identitäten der Nutzer beim Auftraggeber (Login/SSO, Objektkennung, E-Mail-Adresse, Rolle).
Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nicht vorgesehen. Insbesondere sind Lohn- und Gehaltsdaten nicht Gegenstand der Verarbeitung. Der Auftraggeber stellt durch geeignete Auswahl der eingebrachten Daten sicher, dass solche Daten nicht übermittelt werden.
(4) Kategorien betroffener Personen
- Mandanten des Auftraggebers, soweit natürliche Personen oder Einzelunternehmer, sowie deren gesetzliche Vertreter;
- Beschäftigte der Mandanten, soweit sie in Buchhaltungskonten erscheinen, etwa als Empfänger von Reisekosten- oder Auslagenerstattungen;
- Dritte aus Belegen und Buchungen, insbesondere Kreditoren und Debitoren der Mandanten sowie deren Ansprechpartner;
- Beschäftigte des Auftraggebers, die die Leistungen als Nutzer bedienen.
§ 4 Pflichten des Auftragnehmers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, er ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Bestehen solche Verpflichtungen, teilt er sie dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Er verwendet die überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.
(2) Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind, und beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.
(3) Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren. Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.
(4) Soweit der Auftraggeber einer berufsspezifischen Geheimhaltungspflicht unterliegt, insbesondere als Berufsgeheimnisträger nach § 203 StGB, hat der Auftragnehmer die bei ihm zur Verarbeitung eingesetzten Personen einschließlich freier Mitarbeiter nachweislich auch auf die Geheimhaltungspflichten nach § 203 Abs. 3 und 4 StGB verpflichtet. Er legt dem Auftraggeber die Verpflichtungserklärungen auf Anforderung in anonymisierter Form vor, soweit dies zur Dokumentation der Einbindung nach § 62a StBerG, § 43e BRAO oder § 50a WPO erforderlich ist. Für eingesetzte Unterauftragnehmer gewährleistet der Auftragnehmer deren Verpflichtung nach Art. 28 DSGVO sowie zur Vertraulichkeit und setzt geeignete technische Maßnahmen, insbesondere Verschlüsselung und Mandantentrennung, ein, um eine Kenntnisnahme personenbezogener Daten im Klartext auszuschließen; eine darüber hinausgehende Gewähr für die Einhaltung des § 203 StGB durch Unterauftragnehmer übernimmt der Auftragnehmer nicht. Die Beurteilung, ob und in welchem Umfang die Einbindung des Auftragnehmers berufsrechtlich zulässig und erforderlich ist, obliegt dem Auftraggeber.
(5) Der Auftragnehmer sichert zu, dass die bei ihm eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Schulungs- und Sensibilisierungsmaßnahmen werden angemessen regelmäßig wiederholt. Der Auftragnehmer trägt dafür Sorge, dass die eingesetzten Personen hinsichtlich der Datenschutzanforderungen laufend angemessen angeleitet und überwacht werden.
(6) Der Auftragnehmer unterstützt den Auftraggeber im erforderlichen Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten, bei der Durchführung einer Datenschutz-Folgenabschätzung und bei einer erforderlichen Konsultation der Aufsichtsbehörde. Die erforderlichen Angaben und Dokumentationen hält er vor und leitet sie dem Auftraggeber auf Anforderung unverzüglich zu.
(7) Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, unterstützt der Auftragnehmer den Auftraggeber im erforderlichen Umfang, soweit die Verarbeitung im Auftrag betroffen ist.
(8) Auskünfte an Dritte oder an betroffene Personen erteilt der Auftragnehmer nur nach vorheriger Zustimmung des Auftraggebers. Direkt an ihn gerichtete Anfragen leitet er unverzüglich an den Auftraggeber weiter.
(9) Soweit gesetzlich verpflichtet, bestellt der Auftragnehmer eine fachkundige und zuverlässige Person als Datenschutzbeauftragten und stellt sicher, dass keine Interessenkonflikte bestehen. Er teilt dem Auftraggeber die Kontaktdaten unverzüglich mit oder begründet, weshalb kein Beauftragter bestellt wurde (Anlage 4). Änderungen teilt er unverzüglich mit.
(10) Verarbeitungsort. Die Verarbeitung und Speicherung personenbezogener Daten erfolgt ausschließlich auf Systemen, die in der Europäischen Union oder im Europäischen Wirtschaftsraum betrieben werden. Dies gilt auch dann, wenn ein Unterauftragnehmer seinen Sitz in einem Drittland hat; in diesem Fall stellt der Auftragnehmer durch Auswahl der EU- bzw. EWR-Region und durch vertragliche Vereinbarung sicher, dass Verarbeitung und Speicherung innerhalb der EU oder des EWR stattfinden. Der Verarbeitungsort je Unterauftragnehmer ist in Anlage 2 ausgewiesen.
(11) Zugriffe aus Drittländern. Kann ein Zugriff auf personenbezogene Daten aus einem Drittland im Einzelfall nicht ausgeschlossen werden, insbesondere im Rahmen von Support- und Wartungsleistungen eines Unterauftragnehmers, ist dieser nur zulässig, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Der Auftragnehmer schließt hierfür die EU-Standardvertragsklauseln ab, führt eine dokumentierte Übermittlungs-Folgenabschätzung durch und ergreift ergänzende Maßnahmen, insbesondere Verschlüsselung, Beschränkung auf das erforderliche Maß und Protokollierung der Zugriffe. Er weist dem Auftraggeber die getroffenen Garantien auf Anforderung nach.
(12) Vom Auftraggeber angebundene KI-Anwendungen. Bindet der Auftraggeber über SollMate Connect oder über eine vergleichbare Schnittstelle eine von ihm selbst beschaffte Anwendung künstlicher Intelligenz an, erfolgt die Übermittlung personenbezogener Daten an diese Anwendung auf Weisung des Auftraggebers. Der Anbieter dieser Anwendung ist kein Unterauftragnehmer des Auftragnehmers. Für die Rechtmäßigkeit der dortigen Verarbeitung, für den Abschluss der erforderlichen Verträge einschließlich etwaiger Auftragsverarbeitungsverträge, für die Einhaltung der Art. 44 ff. DSGVO sowie für die berufsrechtliche Zulässigkeit ist der Auftraggeber verantwortlich. Der Auftragnehmer weist den Auftraggeber auf erkennbare datenschutzrechtliche Bedenken hin.
(13) Ist der Auftragnehmer nicht in der Europäischen Union niedergelassen, bestellt er einen Ansprechpartner in der Europäischen Union nach Art. 27 DSGVO und teilt dessen Kontaktdaten sowie jede Änderung unverzüglich mit.
§ 5 Sicherheit der Verarbeitung
(1) Die in Anlage 1 beschriebenen Datensicherheitsmaßnahmen werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum. Die Beschreibung erfolgt so detailliert, dass für einen sachkundigen Dritten allein aufgrund der Beschreibung erkennbar ist, was das geschuldete Minimum ist. Ein Verweis auf Informationen, die diesem Vertrag oder seinen Anlagen nicht unmittelbar entnommen werden können, ist nicht zulässig.
(2) Die Maßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen setzt der Auftragnehmer unverzüglich um und teilt sie dem Auftraggeber unverzüglich mit. Wesentliche Änderungen sind zwischen den Parteien zu vereinbaren.
(3) Genügen die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.
(4) Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
(5) Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen sowie automatisierte Sicherungen im gewöhnlichen Geschäftsverlauf, soweit eine Beeinträchtigung des vereinbarten Datenschutzniveaus ausgeschlossen ist.
(6) Die Verarbeitung außerhalb der Betriebsstätten des Auftragnehmers, insbesondere im Rahmen von Telearbeit, ist zulässig, sofern der Auftragnehmer durch geeignete technische und organisatorische Maßnahmen sicherstellt, dass das nach diesem Vertrag vereinbarte Datenschutz- und Datensicherheitsniveau auch dort eingehalten wird und die Kontrollrechte des Auftraggebers uneingeschränkt ausgeübt werden können. Die Verarbeitung von Daten im Auftrag mit Privatgeräten ist nicht gestattet.
(7) Dedizierte Datenträger, die vom Auftraggeber stammen oder für ihn genutzt werden, werden besonders gekennzeichnet, unterliegen der laufenden Verwaltung, sind angemessen aufzubewahren und dürfen unbefugten Personen nicht zugänglich sein. Ein- und Ausgänge werden dokumentiert.
(8) Der Auftragnehmer führt den Nachweis der Erfüllung seiner Pflichten, insbesondere der vollständigen Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen sowie ihrer Wirksamkeit. Der Nachweis ist dem Auftraggeber auf begründete Anforderung, höchstens jedoch einmal in zwölf Monaten, unverzüglich zu überlassen. Er kann durch genehmigte Verhaltensregeln, ein genehmigtes Zertifizierungsverfahren, einen testierten Prüfbericht oder einen aktuellen Bericht des Auftragnehmers über die umgesetzten Maßnahmen erbracht werden. Nachweise sind mindestens bis zum Ablauf des dritten Kalenderjahres nach Beendigung der Auftragsverarbeitung aufzubewahren und dem Auftraggeber auf Verlangen vorzulegen.
§ 6 Berichtigung, Löschung und Einschränkung der Verarbeitung
(1) Im Rahmen des Auftrags verarbeitete Daten berichtigt, löscht oder schränkt der Auftragnehmer nur entsprechend der vertraglichen Vereinbarung oder nach Weisung des Auftraggebers ein.
(2) Entsprechenden Weisungen des Auftraggebers leistet der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrags hinaus Folge.
§ 7 Unterauftragsverhältnisse
(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, die in Anlage 2 aufgeführten Unterauftragnehmer mit der Verarbeitung personenbezogener Daten zu beauftragen. Der Auftragnehmer ist berechtigt, weitere Unterauftragnehmer hinzuzuziehen oder bestehende zu ersetzen. Er informiert den Auftraggeber über jede beabsichtigte Änderung mindestens 30 Tage im Voraus in Textform, insbesondere durch E-Mail an die nach Anlage 3 benannte weisungsberechtigte Person, und kündigt sie zugleich in der Übersicht der Unterauftragnehmer auf seiner Website an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund widersprechen. Im Fall eines berechtigten Widerspruchs suchen die Parteien eine einvernehmliche Lösung; kommt eine solche nicht zustande, ist jede Partei berechtigt, den betroffenen Leistungsteil oder den Hauptvertrag mit angemessener Frist zu kündigen.
(2) Die Beauftragung setzt voraus, dass dem Unterauftragnehmer vertraglich mindestens Datenschutzpflichten auferlegt wurden, die den in diesem Vertrag vereinbarten vergleichbar sind. Der Auftraggeber erhält auf Verlangen Einsicht in die relevanten Vertragsregelungen zwischen Auftragnehmer und Unterauftragnehmer; Geschäftsgeheimnisse dürfen dabei geschwärzt werden.
(3) Die Rechte des Auftraggebers müssen auch gegenüber dem Unterauftragnehmer wirksam ausgeübt werden können. Der Nachweis der Einhaltung erfolgt bei Unterauftragnehmern vorrangig durch Vorlage aktueller Zertifizierungen oder testierter Prüfberichte. Bestehen im Einzelfall berechtigte Zweifel an deren Aussagekraft, wirkt der Auftragnehmer darauf hin, dem Auftraggeber die Ausübung seiner Kontrollrechte in dem nach § 8 festgelegten Umfang zu ermöglichen.
(4) Die Verantwortlichkeiten des Auftragnehmers und des Unterauftragnehmers sind eindeutig voneinander abzugrenzen.
(5) Eine weitere Unterbeauftragung ist zulässig, sofern dem weiteren Unterauftragnehmer im Wege eines Vertrags im Wesentlichen gleichwertige Datenschutzpflichten auferlegt werden und der Auftragnehmer gegenüber dem Auftraggeber für deren Einhaltung einsteht.
(6) Der Auftragnehmer wählt Unterauftragnehmer unter besonderer Berücksichtigung der Eignung der von ihnen getroffenen technischen und organisatorischen Maßnahmen sorgfältig aus.
(7) Die Weiterleitung von im Auftrag verarbeiteten Daten an einen Unterauftragnehmer ist erst zulässig, wenn sich der Auftragnehmer dokumentiert davon überzeugt hat, dass dieser seine Verpflichtungen erfüllt. Die Dokumentation legt er dem Auftraggeber auf Anforderung vor.
(8) Die Beauftragung von Unterauftragnehmern, die ihren Sitz außerhalb der EU oder des EWR haben, ist nur unter den Voraussetzungen des § 4 Abs. 10 und Abs. 11 zulässig. Der Auftragnehmer teilt dem Auftraggeber mit, welche konkreten Datenschutzgarantien der Unterauftragnehmer bietet und wie ein Nachweis hierüber zu erlangen ist.
(9) Der Auftragnehmer überprüft die Einhaltung der Pflichten der Unterauftragnehmer regelmäßig, spätestens alle zwölf Monate, angemessen. Prüfung und Ergebnis sind so aussagekräftig zu dokumentieren, dass sie für einen fachkundigen Dritten nachvollziehbar sind. Die Dokumentation ist dem Auftraggeber auf Anforderung vorzulegen und mindestens bis zum Ablauf des dritten Kalenderjahres nach Beendigung der Auftragsverarbeitung aufzubewahren.
(10) Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber nach Maßgabe des § 13.
(11) Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen wie Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdienstleistungen oder Benutzerservice sind nicht erfasst. Die Pflicht des Auftragnehmers, auch in diesen Fällen Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.
§ 8 Rechte und Pflichten des Auftraggebers
(1) Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte betroffener Personen ist allein der Auftraggeber verantwortlich.
(2) Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen dokumentiert. In Eilfällen können Weisungen mündlich erteilt werden; sie sind unverzüglich dokumentiert zu bestätigen.
(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
(4) Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst oder durch Dritte zu kontrollieren, insbesondere durch Einholung von Auskünften und Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme. Kontrollen vor Ort sind nur unter den Voraussetzungen des Abs. 5 zulässig. Den mit der Kontrolle betrauten Personen ermöglicht der Auftragnehmer, soweit erforderlich, Zutritt und Einblick. Er erteilt die erforderlichen Auskünfte, demonstriert Abläufe und führt die zur Durchführung einer Kontrolle erforderlichen Nachweise. Der Auftragnehmer ist berechtigt, Kontrollen durch Dritte zu verweigern, soweit diese mit ihm in einem Wettbewerbsverhältnis stehen oder ähnlich gewichtige Gründe vorliegen.
(5) Kontrollen haben ohne vermeidbare Störungen des Geschäftsbetriebs zu erfolgen. Der Nachweis der Einhaltung erfolgt vorrangig durch Vorlage aktueller Zertifizierungen, testierter Prüfberichte oder sonstiger geeigneter Nachweise nach § 5 Abs. 8. Kontrollen vor Ort finden nur statt, soweit im Einzelfall berechtigte Zweifel an der Aussagekraft vorgelegter Nachweise bestehen oder ein besonderer Anlass dies erfordert; sie sind mit einer Frist von mindestens 14 Tagen anzukündigen, erfolgen zu den Geschäftszeiten des Auftragnehmers und nicht häufiger als einmal jährlich. Der dem Auftragnehmer durch Vorbereitung und Begleitung von Vor-Ort-Kontrollen entstehende angemessene Aufwand ist nach Maßgabe des § 12 zu vergüten. Erbringt der Auftragnehmer den Nachweis nach § 5 Abs. 8, soll sich eine Kontrolle auf Stichproben beschränken.
§ 9 Mitteilungspflichten
(1) Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes im Auftrag verarbeiteter personenbezogener Daten unverzüglich mit; auch begründete Verdachtsfälle sind mitzuteilen. Die Mitteilung hat unverzüglich, spätestens jedoch innerhalb von 72 Stunden ab Kenntnis vom relevanten Ereignis, an die vom Auftraggeber benannte Adresse zu erfolgen und mindestens zu enthalten:
- a) eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Kategorien und der ungefähren Zahl der betroffenen Datensätze;
- b) den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
- c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
- d) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung sowie gegebenenfalls zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
(2) Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder gegen die Festlegungen dieses Vertrags.
(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.
(4) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO im erforderlichen Umfang.
§ 10 Weisungen
(1) Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.
(2) Die zur Erteilung und Annahme von Weisungen ausschließlich befugten Personen benennen die Parteien in Anlage 3. Bei einer Online-Bestellung benennt der Auftraggeber sie im Bestellprozess; benennt er keine abweichende Person, gilt die bestellende Person als zur Erteilung von Weisungen befugt und als Kontakt für Meldungen nach § 9.
(3) Bei Wechsel oder längerfristiger Verhinderung der benannten Personen sind der anderen Partei Nachfolger oder Vertreter unverzüglich mitzuteilen. Der Auftraggeber kann die Angaben jederzeit in Textform ändern, insbesondere per E-Mail an dataprotection@sollmate.eu; die Änderung gilt als Änderung der Anlage 3 und wird vom Auftragnehmer mit Zeitpunkt und Absender protokolliert.
(4) Der Auftragnehmer macht den Auftraggeber unverzüglich darauf aufmerksam, wenn eine Weisung nach seiner Auffassung gegen gesetzliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie vom Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
(5) Der Auftragnehmer dokumentiert die ihm erteilten Weisungen und deren Umsetzung. Konfigurationseinstellungen, die der Auftraggeber in der Anwendung oder über die Schnittstelle selbst vornimmt — insbesondere zu Rollen und Berechtigungen, zu schreibenden Vorgängen und zur Anbindung eigener KI-Anwendungen —, gelten als dokumentierte Weisung.
§ 11 Beendigung des Auftrags
(1) Befinden sich bei Beendigung des Auftragsverhältnisses im Auftrag verarbeitete Daten oder Kopien davon noch in der Verfügungsgewalt des Auftragnehmers, hat dieser die Daten nach Wahl des Auftraggebers entweder zu vernichten oder an den Auftraggeber zu übergeben. Die Wahl trifft der Auftraggeber innerhalb von zwei Wochen nach entsprechender Aufforderung durch den Auftragnehmer.
(2) Die Übergabe erfolgt in einem gängigen, maschinenlesbaren Format (CSV oder JSON je Datenbereich). Der Auftragnehmer hält die Daten hierfür für 30 Tage ab Beendigung bereit und löscht sie anschließend innerhalb von weiteren 30 Tagen. Ein über die Bereitstellung im Standardformat hinausgehender Export wird nach § 12 vergütet.
(3) Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Bei elektronischer Speicherung erfolgt die Löschung nach dem Stand der Technik einschließlich der Löschung in den Sicherungsmechanismen der eingesetzten Plattformen nach deren technischen Vorhaltefristen (Anlage 1). Eine physische Vernichtung dedizierter Datenträger erfolgt gemäß DIN 66399, mindestens Schutzklasse 3, Sicherheitsstufe H-5 bzw. E-4.
(4) Protokoll- und Audit-Daten nach Anlage 1 werden nach Ablauf der dort genannten Aufbewahrungsfristen automatisiert gelöscht. Sie werden bis dahin ausschließlich zu Zwecken der Nachweisführung und der Informationssicherheit vorgehalten.
(5) Der Auftragnehmer ist verpflichtet, die unverzügliche Vernichtung oder Rückgabe auch bei Unterauftragnehmern herbeizuführen, und hat den Nachweis der ordnungsgemäßen Vernichtung zu führen und dem Auftraggeber unverzüglich vorzulegen.
(6) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, bewahrt der Auftragnehmer mindestens bis zum Ablauf des dritten Kalenderjahres nach Vertragsende auf. Er kann sie zu seiner Entlastung dem Auftraggeber übergeben.
§ 12 Vergütung
Die Vergütung des Auftragnehmers für die vertraglich geschuldete Leistung ist abschließend im Hauptvertrag geregelt. Für Leistungen, die über die Erfüllung seiner eigenen gesetzlichen und vertraglichen Datenschutzpflichten hinausgehen, kann der Auftragnehmer eine angemessene Vergütung nach seinen jeweils gültigen Sätzen verlangen. Hierzu zählen insbesondere die Unterstützung nach § 4 Abs. 6 und Abs. 7, die Vorbereitung und Begleitung von Vor-Ort-Kontrollen nach § 8 sowie ein über § 11 Abs. 2 hinausgehender Export von Daten, soweit der erforderliche Aufwand nicht auf einer vom Auftragnehmer zu vertretenden Pflichtverletzung beruht.
§ 13 Haftung
(1) Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer gegenüber der betroffenen Person nach Maßgabe des Art. 82 Abs. 4 DSGVO gesamtschuldnerisch.
(2) Der Auftragnehmer stellt den Auftraggeber von Ansprüchen Dritter frei, soweit diese auf einer vom Auftragnehmer zu vertretenden Verletzung seiner Pflichten aus diesem Vertrag beruhen. Notwendige Kosten einer angemessenen Rechtsverteidigung trägt der Auftragnehmer in demselben Umfang. Die Beweislastregelung des Art. 82 Abs. 3 DSGVO bleibt unberührt; im Übrigen richtet sich die Verteilung der Haftung im Innenverhältnis nach den jeweiligen Verantwortungsbeiträgen (Art. 82 Abs. 5 DSGVO).
(3) Der Auftragnehmer haftet dem Auftraggeber für Schäden, die er, seine Beschäftigten, die von ihm mit der Vertragsdurchführung Beauftragten oder die von ihm eingesetzten Unterauftragnehmer im Zusammenhang mit der Erbringung der beauftragten Leistung schuldhaft verursachen.
(4) Die Absätze 2 und 3 gelten nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Leistung oder einer vom Auftraggeber erteilten Weisung entstanden ist.
(5) Bei einfacher Fahrlässigkeit haftet der Auftragnehmer nur für die Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), also einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden und der Höhe nach auf die Vergütung begrenzt, die der Auftraggeber in den zwölf Monaten vor dem schadensauslösenden Ereignis aufgrund des betroffenen Order Form gezahlt hat. Für die einfach fahrlässige Verletzung sonstiger Pflichten haftet der Auftragnehmer nicht.
(6) Die Freistellungsansprüche nach Abs. 2 unterliegen den Beschränkungen des Abs. 5.
(7) Unbeschränkt haftet der Auftragnehmer für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie in Fällen zwingender gesetzlicher Haftung, insbesondere nach Art. 82 DSGVO gegenüber betroffenen Personen. Die gesamtschuldnerische Außenhaftung nach Art. 82 DSGVO bleibt unberührt.
(8) Eine doppelte Inanspruchnahme wegen desselben Schadens nach diesem Vertrag und nach dem Hauptvertrag findet nicht statt; die Haftungshöchstbeträge gelten insgesamt nur einmal.
§ 14 Sonderkündigungsrecht
(1) Der Auftraggeber kann den Hauptvertrag und diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder gegen die Bestimmungen dieses Vertrags vorliegt, der Auftragnehmer eine rechtmäßige Weisung nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert.
(2) Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die in diesem Vertrag bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen, in erheblichem Maße nicht erfüllt.
(3) Bei unerheblichen Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, ist der Auftraggeber zur außerordentlichen Kündigung berechtigt.
(4) Der Auftragnehmer hat dem Auftraggeber die angemessenen Kosten zu erstatten, die diesem durch die verfrühte Beendigung entstehen, soweit die Kündigung auf einem vom Auftragnehmer schuldhaft verursachten schwerwiegenden Verstoß beruht. § 13 Abs. 5 gilt entsprechend.
§ 15 Sonstiges
(1) Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrags hinaus vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur Freigabe durch die andere Partei in Textform als vertraulich zu behandeln. Ergänzend gilt § 12 des Hauptvertrags.
(2) Wird Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter, etwa durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet, verständigt der Auftragnehmer den Auftraggeber unverzüglich.
(3) Nebenabreden bedürfen der Textform und der ausdrücklichen Bezugnahme auf diesen Vertrag.
(4) Die Einrede des Zurückbehaltungsrechts im Sinne des § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
(5) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, berührt dies die Wirksamkeit des Vertrags im Übrigen nicht.
(6) Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist Berlin, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Unterschriften
Bei Abschluss im Rahmen einer Online-Bestellung ersetzen die elektronische Zustimmung des Auftraggebers im Bestellprozess und die Annahme der Bestellung durch den Auftragnehmer mit der Bestellbestätigung die Unterschriften (§ 1 Abs. 6). In der dem Auftraggeber übermittelten Fassung ist die nachstehende Tabelle mit diesen Angaben ausgefüllt.
Für den Auftraggeber
Für den Auftragnehmer
Unterschrift
Name
Funktion
Ort, Datum
Anlage 1 — Technische und organisatorische Maßnahmen
Im Folgenden werden die auftragsbezogenen technischen und organisatorischen Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit festgelegt, die der Auftragnehmer mindestens einzurichten und laufend aufrechtzuerhalten hat. Ziel ist die Gewährleistung insbesondere der Vertraulichkeit, Integrität und Verfügbarkeit der im Auftrag verarbeiteten Informationen.
1. Pseudonymisierung (Art. 32 Abs. 1 lit. a, Art. 25 Abs. 1 DSGVO)
Eine Pseudonymisierung erfolgt, soweit sie mit dem Verarbeitungszweck — der betriebswirtschaftlichen Auswertung konkreter Mandantendaten — vereinbar ist. Der funktionsnotwendige Personenbezug in Belegen und Buchungen wird durch strenge Zugriffs- und Mandantentrennung geschützt.
2. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)
Gespeicherte Daten werden durchgängig nach dem Stand der Technik verschlüsselt, mindestens mit AES-256. Die Übertragung erfolgt ausschließlich verschlüsselt, mindestens mit TLS 1.2; unverschlüsselte Verbindungen sind technisch unterbunden. Kryptografische Schlüssel werden in einem hardwaregestützten Schlüsselverwaltungsdienst mit rollenbasierter Zugriffssteuerung verwaltet und regelmäßig rotiert.
3. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Zutrittskontrolle. Kein unbefugter Zutritt zu Datenverarbeitungsanlagen. Umgesetzt durch den Betrieb ausschließlich in Rechenzentren der in Anlage 2 genannten Infrastrukturanbieter in der EU bzw. im EWR, die den physischen Zutrittsschutz nach anerkannten Standards (u. a. ISO/IEC 27001) gewährleisten. Der Auftragnehmer betreibt keine eigenen Serverräume.
Zugangskontrolle. Keine unbefugte Systembenutzung. Umgesetzt durch personengebundene, authentifizierte Zugänge über Single Sign-on (Microsoft Entra ID), verpflichtende Multi-Faktor-Authentifizierung für alle Nutzer, den Verzicht auf geteilte Benutzerkonten sowie rollenbasierte Verwaltungszugriffe.
Zugriffskontrolle. Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems. Umgesetzt durch rollenbasierte Zugriffssteuerung nach dem Least-Privilege-Prinzip; technisch erzwungen wird, dass ein Nutzer nur die für ihn berechtigten Einheiten und Datensätze sieht, in der SollMate-Anwendung auf Datenbankebene, bei SollMate Connect bei jedem Zugriff in der Schnittstelle. Administrative Zugriffe auf Kundendaten erfolgen über dedizierte Rollen, ausschließlich durch Beschäftigte oder freie Mitarbeiter des Auftragnehmers und grundsätzlich nur nach vorheriger Freigabe durch den Auftraggeber. Ist ein administrativer Zugriff zur Beseitigung einer Störung, zur Abwehr eines akuten Sicherheitsrisikos oder zur Erfüllung einer Weisung des Auftraggebers unaufschiebbar, darf er ohne vorherige Freigabe erfolgen; der Auftragnehmer beschränkt ihn auf das erforderliche Maß, protokolliert ihn und informiert den Auftraggeber unverzüglich, spätestens innerhalb von zwei Werktagen, unter Angabe von Anlass, Umfang und Zeitpunkt.
Trennungskontrolle. Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden. Umgesetzt je Produkt wie folgt. In der SollMate-Anwendung durch physische Mandantentrennung je Kunde (eigene Datenbank, eigene Anwendungsinstanz, eigene Schlüssel). Bei SollMate Connect durch logische Mandantentrennung: Die Kunden nutzen eine gemeinsame Anwendungsinstanz, gemeinsame Datenspeicher und eine gemeinsame Schlüsselverwaltung; jeder gespeicherte Datensatz ist über die Kennung des Kunden diesem zugeordnet, und jeder Zugriff wird gegen die Identität des angemeldeten Nutzers (Microsoft Entra ID) und dessen Zugehörigkeit zum Kunden geprüft. In beiden Produkten sind die Umgebungen für Entwicklung und Produktion getrennt.
4. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Weitergabekontrolle. Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung. Umgesetzt durch ausschließlich verschlüsselte Übertragung und verschlüsselte Datenhaltung (Ziffer 2).
Eingabekontrolle. Feststellung, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind. Umgesetzt durch Protokollierung der Datenzugriffe auf Datenbankebene (Aufbewahrung 365 Tage), Infrastruktur- und Betriebsprotokolle (Aufbewahrung 30 Tage) sowie Ablaufprotokolle der KI-Verarbeitung (Aufbewahrung 400 Tage), die Inhalte der Ein- und Ausgaben enthalten können und denselben Vertraulichkeits- und Löschpflichten unterliegen wie die übrigen im Auftrag verarbeiteten Daten. Schreibende Vorgänge in Quell- und Drittsysteme werden mit auslösendem Nutzer, Zeitpunkt und Zielsystem protokolliert.
5. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)
Verfügbarkeitskontrolle. Schutz gegen zufällige oder mutwillige Zerstörung und Verlust. Umgesetzt durch Betrieb auf redundanter Cloud-Infrastruktur der in Anlage 2 genannten Anbieter in der EU bzw. im EWR sowie plattformseitige Wiederherstellungsmechanismen (Ziffer 6).
Belastbarkeitskontrolle. Fähigkeit der Systeme, mit risikobedingten Veränderungen umzugehen. Umgesetzt durch Nutzung der Skalierungs- und Ausfallsicherheitsmechanismen der eingesetzten Cloud-Plattformen.
6. Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)
Wiederherstellung über die plattformseitigen Mechanismen der Datenhaltung (bis zu sieben Tage) und der Schlüsselverwaltung (bis zu 90 Tage). Die Quelldaten verbleiben in den Systemen des Auftraggebers bzw. bei DATEV.
7. Verfahren zur regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d, Art. 25 Abs. 1 DSGVO)
Datenschutz-Management. Änderungen an Anwendung und Infrastruktur durchlaufen vor dem Deployment ein Vier-Augen-Prinzip mit automatisierten Prüfungen. Die Wirksamkeit der Maßnahmen wird mindestens einmal jährlich überprüft.
Incident-Response-Management. Sicherheitsvorfälle werden unverzüglich an dataprotection@sollmate.eu gemeldet; die Geschäftsführung bewertet die Schwere des Vorfalls und eine etwaige Meldepflicht und veranlasst die erforderlichen Meldungen (§ 9).
Datenschutzfreundliche Voreinstellungen. Mandantentrennung und Least-Privilege-Zugriff sind technisch voreingestellt; ein Zugriff erfolgt nur nach expliziter Berechtigung. Schreibende Vorgänge in Quell- und Drittsysteme sind standardmäßig deaktiviert und werden erst durch eine Konfiguration des Auftraggebers freigeschaltet.
Auftragskontrolle. Einsatz von Unterauftragnehmern nur nach Maßgabe des § 7 und der Anlage 2; vertragliche Verpflichtung der Unterauftragnehmer nach Art. 28 DSGVO.
Datenschutzbeauftragter. Siehe Anlage 4.
Anlage 2 — Zugelassene Unterauftragnehmer
Unternehmen
Sitz
Auftragsinhalt
Verarbeitungs- und Speicherort
Snowflake Computing Netherlands B.V.
Gustav Mahlerlaan 300, 1082 ME Amsterdam, Niederlande
Datenhaltung und -speicherung (je Mandant getrennte Datenbankumgebung)
EU (Microsoft Azure West Europe, Niederlande)
Microsoft Ireland Operations Limited
One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
Cloud-Infrastruktur und KI-Inferenz (Microsoft Azure / Azure OpenAI Service)
EU (Microsoft Azure Germany West Central, Deutschland)
Mistral AI SAS
15 rue des Halles, 75001 Paris, Frankreich
KI-Inferenz (Sprachmodelle, Texterkennung in hochgeladenen Dokumenten)
EU (Frankreich)
maesn GmbH
Kasernenstraße 67, 40213 Düsseldorf, Deutschland (Amtsgericht Köln, HRB 111285)
Übermittlung von Belegen an DATEV Unternehmen online (Unified API, Schnittstellenpartnerstatus); Durchleitung ohne dauerhafte Speicherung
EU (Deutschland)
Klardaten GmbH
Kolonnenstraße 8, 10827 Berlin, Deutschland (Amtsgericht Charlottenburg, HRB 265931)
Schnittstelle zu DATEV: Abruf von Buchhaltungs- und Stammdaten sowie Rückübermittlung von Buchungen; Durchleitung ohne dauerhafte Speicherung
EU (Deutschland)
North Data GmbH
Hermannstraße 22, 20095 Hamburg, Deutschland (Amtsgericht Hamburg, HRB 116737)
Recherche in öffentlichen Registern zu Unternehmen und natürlichen Personen (Handelsregister, Beteiligungsstrukturen)
EU (Deutschland)
finAPI GmbH
Adams-Lehmann-Straße 44, 80797 München, Deutschland (Amtsgericht München, HRB 175250)
Kontoinformationsdienst: Abruf von Kontoständen und Umsätzen der vom Auftraggeber freigegebenen Bankkonten, einschließlich der Namen von Zahlungspartnern und der Verwendungszwecke
EU (Deutschland)
LangChain, Inc.
2261 Market Street, Suite 22961, San Francisco, CA 94114, USA
Tracing und Observability der KI-Verarbeitung (LangSmith)
EU (LangSmith EU-Region); Zugriffe aus den USA nur nach § 4 Abs. 11
dbt Labs, Inc.
915 Spring Garden Street, Suite 500, Philadelphia, PA 19123, USA
Datentransformation und -modellierung
EU (EMEA-Region); Zugriffe aus den USA nur nach § 4 Abs. 11
Arcade Software, Inc.
445 Bush Street, Suite 400, San Francisco, CA 94108, USA
Tool- und Integrationsaufrufe sowie Authentifizierung gegenüber Drittsystemen des Auftraggebers
EU (EU-Region des Anbieters); Zugriffe aus den USA nur nach § 4 Abs. 11
Perplexity AI, Inc.
2261 Market Street, Suite 14441, San Francisco, CA 94114, USA
Recherche im Internet zu Anfragen der Nutzer
EU (EU-Region des Anbieters); Zugriffe aus den USA nur nach § 4 Abs. 11
Temporal Technologies Inc.
2337 148th Avenue NE, Suite 1335, Bellevue, WA 98007, USA
Orchestrierung von Verarbeitungsabläufen (Workflow-Engine)
EU (EU-Region des Anbieters); Zugriffe aus den USA nur nach § 4 Abs. 11
Diese Anlage gibt den Stand bei Vertragsschluss wieder. Die jeweils aktuelle Übersicht einschließlich angekündigter Änderungen veröffentlicht der Auftragnehmer auf seiner Website; der Auftraggeber kann sich dort für Benachrichtigungen über Änderungen registrieren. Nach § 7 Abs. 1 wirksam gewordene Änderungen ergeben sich aus dieser Übersicht.
Für Unterauftragnehmer mit Sitz außerhalb der EU oder des EWR hat der Auftragnehmer die EU-Standardvertragsklauseln abgeschlossen und eine Übermittlungs-Folgenabschätzung dokumentiert. Verarbeitung und Speicherung personenbezogener Daten finden ausschließlich in der ausgewiesenen EU- bzw. EWR-Region statt (§ 4 Abs. 10). Die Nachweise legt der Auftragnehmer dem Auftraggeber auf Anforderung vor.
Unterauftragnehmer, deren Auftragsinhalt als Durchleitung bezeichnet ist, übermitteln personenbezogene Daten zwischen den Systemen des Auftraggebers und dem Auftragnehmer, ohne sie dauerhaft zu speichern. Auch diese Übermittlung ist eine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO; die Pflichten dieses Vertrags gelten für sie unverändert.
Nicht als Unterauftragnehmer geführt werden Dienste, bei denen keine personenbezogenen Daten des Auftraggebers verarbeitet werden. Dies betrifft derzeit die eingesetzte Graphdatenbank, in der keine Kundendaten gespeichert werden. Anbieter von Anwendungen künstlicher Intelligenz, die der Auftraggeber selbst beschafft und über SollMate Connect anbindet, sind keine Unterauftragnehmer des Auftragnehmers (§ 4 Abs. 12).
Anlage 3 — Weisungsberechtigte Personen, Meldeadresse
Rolle
Auftraggeber
Auftragnehmer
Zur Erteilung von Weisungen befugt
gemäß Order Form bzw. Online-Bestellung
—
Zur Entgegennahme von Weisungen befugt
—
dataprotection@sollmate.eu
Kontakt für Meldungen über Verletzungen des Schutzes personenbezogener Daten
gemäß Order Form bzw. Online-Bestellung
dataprotection@sollmate.eu
Bei Abschluss im Rahmen einer Online-Bestellung werden die Angaben des Auftraggebers aus der Bestellung übernommen und können in Textform geändert werden (§ 10 Abs. 2 und 3).
Anlage 4 — Datenschutzbeauftragter
Beim Auftragnehmer ist derzeit kein Datenschutzbeauftragter bestellt. Eine Benennungspflicht besteht nach Art. 37 DSGVO und § 38 BDSG derzeit nicht: Der Auftragnehmer beschäftigt in der Regel weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind; seine Kerntätigkeit besteht weder in einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) noch in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen. Der Auftragnehmer überprüft diese Einordnung mindestens jährlich sowie bei wesentlichem Wachstum und benennt bei Erreichen der gesetzlichen Schwellenwerte unverzüglich einen Datenschutzbeauftragten. Datenschutzanfragen sind bis dahin an dataprotection@sollmate.eu zu richten.