Ihre Datenverarbeitungsvereinbarung, im Selbstbedienungsmodus.

1 · Rollen und Gegenstand

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung von AIOProductOS, für die Dauer des Abonnements. Der Verantwortliche ist Verantwortlicher dieser personenbezogenen Daten; der Auftragsverarbeiter ist Auftragsverarbeiter.

2 · Art, Zweck und Daten

Art und Zweck der Verarbeitung sind das Hosting, die Speicherung, die Analyse, die KI-Unterstützung und die Kommunikation, die der Verantwortliche im Produkt konfiguriert. Die personenbezogenen Daten und Kategorien betroffener Personen sind diejenigen, die der Verantwortliche zu verarbeiten wählt — typischerweise die eigenen Mitarbeitenden des Verantwortlichen und die Endnutzer seines Produkts, sowie Identifikatoren, Kontaktdaten, Nutzungs-/Ereignisdaten und Inhalte.

3 · Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3)

• Personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen verarbeiten, einschließlich für Übermittlungen, sofern nicht gesetzlich vorgeschrieben.
• Sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.
• Angemessene technische und organisatorische Maßnahmen nach Art. 32 umsetzen — Verschlüsselung während der Übertragung und im Ruhezustand, mandantenspezifische Isolierung über zeilenbasierte Sicherheit, Zugriffskontrolle und Protokollierung.
• Unterauftragsverarbeiter nur gemäß §4 unten einbinden.
• Den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen unterstützen.
• Den Verantwortlichen bei Sicherheit, der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33–34) und Datenschutz-Folgenabschätzungen (Art. 35–36) unterstützen.
• Nach Wahl des Verantwortlichen personenbezogene Daten am Ende der Dienste löschen oder zurückgeben, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Die zum Nachweis der Einhaltung erforderlichen Informationen bereitstellen und Audits ermöglichen und dazu beitragen.

4 · Unterauftragsverarbeiter

Der Verantwortliche autorisiert die unter status.aioproductos.com/subprocessors aufgeführten, laufend aktualisierten Unterauftragsverarbeiter. Vor der Beauftragung eines neuen Unterauftragsverarbeiters, der personenbezogene Daten verarbeitet, veröffentlicht der Auftragsverarbeiter die Änderung dort mindestens 30 Tage im Voraus und benachrichtigt den Verantwortlichen über den Änderungs-Feed für Unterauftragsverarbeiter unter status.aioproductos.com/subscribe (E-Mail, RSS oder Atom). Der Verantwortliche kann innerhalb dieser Frist widersprechen; kann ein berechtigter Widerspruch nicht ausgeräumt werden, kann der Verantwortliche den betroffenen Dienst kündigen. Jeder Unterauftragsverarbeiter ist an Datenschutzbedingungen gebunden, die nicht weniger schützend sind als diese DPA.

5 · Internationale Übermittlungen

Werden personenbezogene Daten außerhalb des EWR übermittelt, stützen sich die Parteien auf die Standardvertragsklauseln der Europäischen Kommission, die durch Verweis einbezogen werden. Der Verantwortliche wählt im Produkt eine EU- oder US-Datenregion; die Daten liegen in der gewählten Region.

6 · Meldung von Verletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, Kenntnis erlangt hat, mit den Informationen, die der Verantwortliche zur Erfüllung seiner eigenen Pflichten benötigt.

7 · Löschung und Rückgabe

Bei Beendigung löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen die personenbezogenen Daten zurück, unter anderem über den vollständigen Organisationsexport und die Löschung im Produkt, sofern keine gesetzliche Aufbewahrungspflicht besteht.

8 · Vorrang

Diese DPA ergänzt den Dienstleistungsvertrag. Im Falle eines Widerspruchs bei der Verarbeitung personenbezogener Daten hat diese DPA Vorrang.