Vereinbarung zur Auftragsverarbeitung

Dieser Auftragsverarbeitungsvertrag (der „AVV“) ergänzt die Vereinbarung zwischen CITATIONS IO LTD (handelnd unter Citations.io, „Auftragsverarbeiter“; beim britischen Information Commissioner's Office unter der Registrierungsnummer ZC187049 registriert) und dem in dieser Vereinbarung genannten Kunden („Verantwortlicher“) über die Bereitstellung der Citations.io-Dienste (die „Hauptvereinbarung“). Er gilt, wenn der Auftragsverarbeiter im Zusammenhang mit der Hauptvereinbarung personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im Konfliktfall hat dieser AVV hinsichtlich personenbezogener Daten Vorrang vor der Hauptvereinbarung.

• „Anwendbares Datenschutzrecht“ bezeichnet die UK GDPR, die EU-DSGVO, den UK Data Protection Act 2018, den California Consumer Privacy Act (in der durch den CPRA geänderten Fassung) sowie alle weiteren Datenschutzgesetze, die auf die Verarbeitung personenbezogener Daten durch eine Partei anwendbar sind.
• „Verantwortlicher“, „Auftragsverarbeiter“, „Personenbezogene Daten“, „Verarbeitung“, „Unterauftragsverarbeiter“ und „Betroffene Person“ haben die ihnen in der UK GDPR / EU-DSGVO zugewiesene Bedeutung.
• „Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt.
• „Standardvertragsklauseln“ oder „SCCs“ bezeichnet die von der Europäischen Kommission mit dem Beschluss 2021/914 genehmigten Klauseln des Moduls 2 (Verantwortlicher an Auftragsverarbeiter).
• „UK-Zusatz“ bezeichnet den vom Information Commissioner herausgegebenen britischen Zusatz für internationale Datenübermittlungen zu den SCCs.

Der Verantwortliche ist der Verantwortliche und der Auftragsverarbeiter ist der Auftragsverarbeiter der im Rahmen der Hauptvereinbarung verarbeiteten personenbezogenen Daten. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Hauptvereinbarung, dieses AVV und der Nutzung des Dienstes durch den Verantwortlichen. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Ansicht ist, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt.

Gegenstand und Dauer

Bereitstellung des Citations.io-Dienstes für die Laufzeit der Hauptvereinbarung sowie für einen nach deren Beendigung erforderlichen Zeitraum zur Rückgabe oder Löschung personenbezogener Daten.

Art und Zweck

Hosting, Verarbeitung und Analyse personenbezogener Daten, damit der Verantwortliche die Markensichtbarkeit in KI-Suchmaschinen überwachen sowie Prompts, Zitierungen, Wettbewerber, Integrationen, Berichte und zugehörige Workflows verwalten kann.

Kategorien betroffener Personen

Autorisierte Nutzer des Verantwortlichen; Kunden, Interessenten oder Kontakte des Verantwortlichen (sofern der Verantwortliche solche Daten in den Dienst importiert); Personen, die in öffentlich zugänglichen, vom Dienst analysierten KI-generierten Ausgaben genannt werden.

Kategorien personenbezogener Daten

Identifikatoren (Name, E-Mail, Rolle), berufliche Informationen, Zugangsdaten (gehasht), Nutzungsprotokolle, Inhalte von Prompts und Berichten sowie alle weiteren personenbezogenen Daten, die der Verantwortliche übermittelt. Der Dienst erfordert keine besonderen Kategorien personenbezogener Daten; der Verantwortliche darf weder solche Daten noch Daten über strafrechtliche Verurteilungen und Straftaten übermitteln.

Der Auftragsverarbeiter stellt sicher, dass das zur Verarbeitung personenbezogener Daten befugte Personal zur Vertraulichkeit verpflichtet ist und angemessene Schulungen zu Datenschutz und Informationssicherheit erhalten hat.

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, darunter:

• Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256);
• rollenbasierte Zugriffskontrolle und Zugriffsverwaltung nach dem Prinzip der geringsten Berechtigung;
• Multi-Faktor-Authentifizierung für administrative Zugriffe;
• Netzwerksegmentierung und verwaltete Cloud-Infrastruktur;
• zentrale Protokollierung und Audit-Trails;
• regelmäßige Schwachstellenscans und Patch-Management;
• sicherer Entwicklungslebenszyklus einschließlich Code-Reviews und Scans von Abhängigkeiten;
• dokumentierte Pläne zur Reaktion auf Sicherheitsvorfälle und zur Aufrechterhaltung des Geschäftsbetriebs;
• jährliche Sicherheitsüberprüfungen und Personalschulungen.

Alle Einzelheiten findest du unter /security.

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die unter folgender Adresse aufgeführten Unterauftragsverarbeiter zu beauftragen: /subprocessors. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens das gleiche Schutzniveau wie dieser AVV gewährleisten. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters (per E-Mail an Abonnenten und über die Seite zu Unterauftragsverarbeitern). Der Verantwortliche kann innerhalb dieser Mitteilungsfrist aus berechtigten datenschutzrechtlichen Gründen widersprechen. In diesem Fall bemühen sich die Parteien nach Treu und Glauben um eine Lösung des Einwands. Wird keine Lösung gefunden, kann der Verantwortliche den betroffenen Teil des Dienstes ohne weiteren Grund kündigen. Der Auftragsverarbeiter bleibt für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter haftbar.

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen im angemessenen Umfang durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, damit der Verantwortliche Anfragen betroffener Personen beantworten kann. Der Dienst bietet Self-Service-Tools für den Zugriff auf sowie den Export und die Löschung von personenbezogenen Daten; weitere Unterstützung ist verfügbar unter privacy@citations.io.

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, in jedem Fall jedoch innerhalb von 72 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten des Verantwortlichen betrifft. Die Benachrichtigung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden, die gemäß Artikel 35 und 36 DSGVO erforderlich sind, jeweils ausschließlich im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter.

Übermittelt der Auftragsverarbeiter personenbezogene Daten aus dem Vereinigten Königreich oder dem EWR in ein Land, für das kein Angemessenheitsbeschluss vorliegt, vereinbaren die Parteien, dass die Standardvertragsklauseln (SCCs) durch Verweis einbezogen werden (Modul 2, mit der Kopplungsklausel gemäß Klausel 7, Klausel 9(a) Option 2 mit einer Ankündigungsfrist von 30 Tagen, Klausel 11 ohne unabhängige Streitbeilegung, Klausel 17 Option 1 unter Anwendung irischen Rechts, Klausel 18(b) mit Zuständigkeit der Gerichte Irlands). Für Übermittlungen aus dem Vereinigten Königreich wird das UK Addendum einbezogen und die SCCs werden entsprechend geändert. Die Anhänge I-III der SCCs entsprechen den in diesem Auftragsverarbeitungsvertrag beschriebenen Anhängen.

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Auftragsverarbeitungsvertrags erforderlich sind. Der Verantwortliche darf höchstens einmal pro Jahr und auf eigene Kosten ein Audit durchführen, das mindestens 30 Tage im Voraus schriftlich anzukündigen ist, während der Geschäftszeiten stattfindet und Vertraulichkeitspflichten unterliegt. Anstelle eines Vor-Ort-Audits kann der Auftragsverarbeiter dem Verantwortlichen Auditberichte Dritter (z. B. SOC 2, ISO 27001, sobald verfügbar) und Antworten auf einen Sicherheitsfragebogen bereitstellen. Vor-Ort-Audits aufgrund einer Verletzung des Schutzes personenbezogener Daten unterliegen nicht der Beschränkung auf einmal pro Jahr.

Bei Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie innerhalb dieser Frist zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden entsprechend dem Backup-Aufbewahrungszyklus des Auftragsverarbeiters überschrieben oder gelöscht und unterliegen bis dahin weiterhin den Sicherheits- und Vertraulichkeitspflichten dieses Auftragsverarbeitungsvertrags.

In Bezug auf personenbezogene Daten, die dem CCPA unterliegen, ist der Auftragsverarbeiter ein „Service Provider“ und der Verantwortliche ein „Business“. Der Auftragsverarbeiter darf (a) personenbezogene Daten weder verkaufen noch weitergeben; (b) personenbezogene Daten nicht für andere Zwecke als den konkreten Geschäftszweck der Bereitstellung des Dienstes aufbewahren, verwenden oder offenlegen; (c) personenbezogene Daten nicht außerhalb der direkten Geschäftsbeziehung zwischen den Parteien aufbewahren, verwenden oder offenlegen; oder (d) vom Verantwortlichen erhaltene personenbezogene Daten nicht mit personenbezogenen Daten aus anderen Quellen zusammenführen, es sei denn, dies ist nach den CCPA-Vorschriften zulässig. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn er seine Pflichten gemäß CCPA nicht mehr erfüllen kann.

Die Haftung jeder Partei gemäß diesem Auftragsverarbeitungsvertrag unterliegt den Haftungsbeschränkungen des Hauptvertrags, sofern das anwendbare Recht eine solche Beschränkung zulässt.