Auftragsverarbeitungsvertrag

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Verarbeitung personenbezogener Daten durch Dinghy im Auftrag des Verantwortlichen bei der Erbringung des Dienstes Ask Sona nach Maßgabe der Allgemeinen Geschäftsbedingungen (die „AGB“) ergeben (der „Hauptvertrag“). Großgeschriebene Begriffe haben die in den AGB festgelegte Bedeutung; im Übrigen gelten die Begriffsbestimmungen des Art. 4 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“).

Dieser Vertrag gilt für alle personenbezogenen Daten, die in Kundeninhalten enthalten sind oder aus ihnen erzeugt werden, insbesondere in Projekten, Personas, Projektdateien, Chats und den E-Mail-Adressen eingeladener Projektmitglieder (die „Auftragsdaten“). Art, Zweck und Umfang der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Dieser Vertrag gilt nicht für personenbezogene Daten, die Dinghy als eigener Verantwortlicher verarbeitet, insbesondere Kontodaten, Abrechnungsdaten, Nutzungs- und Analysedaten, Support- und Kontaktanfragen sowie Daten des Anonymen Tests. Für diese Verarbeitungen gilt die Datenschutzerklärung von Dinghy.

Verantwortlicher für die Auftragsdaten eines Projekts ist der Kunde, der das Inhaber-Konto des Projekts innehat (Ziffer 12.3 AGB). Dies gilt auch für Chats, die andere Projektmitglieder in diesem Projekt anlegen. Projektmitglieder handeln bei der Nutzung des Projekts als vom Verantwortlichen zugelassene Personen. Dass der Inhaber nach Ziffer 12.4 AGB keinen Zugriff auf die Chats anderer Projektmitglieder hat, lässt seine Stellung als Verantwortlicher unberührt; Weisungen des Verantwortlichen hinsichtlich dieser Chats (z. B. Löschung oder Auskunft) setzt Dinghy auf Anfrage um.

Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Die Pflichten aus diesem Vertrag bestehen darüber hinaus fort, solange Dinghy Auftragsdaten verarbeitet.

Dinghy verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, Dinghy ist nach dem Recht der Union oder der Mitgliedstaaten, dem Dinghy unterliegt, zur Verarbeitung verpflichtet; in einem solchen Fall teilt Dinghy dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Die Weisungen des Verantwortlichen sind abschließend in den AGB, diesem Vertrag und der Nutzung der Funktionen des Dienstes durch den Verantwortlichen und die ihm zugeordneten Nutzer festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt; Dinghy kann für ihre Umsetzung eine angemessene Vergütung verlangen.

Ist Dinghy der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert Dinghy den Verantwortlichen unverzüglich. Dinghy ist berechtigt, die Durchführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

Dinghy verarbeitet die Auftragsdaten ausschließlich zur Erbringung des Dienstes. Dinghy verwendet Auftragsdaten nicht für eigene Zwecke, insbesondere nicht zum Training eigener oder fremder KI-Modelle, und verpflichtet die eingesetzten KI-Anbieter entsprechend (Ziffer 13.3 AGB).

Dinghy stellt sicher, dass die zur Verarbeitung der Auftragsdaten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Mitarbeiter von Dinghy greifen auf Auftragsdaten nur in den in Ziffer 16.3 AGB genannten Fällen zu; Zugriffe werden dokumentiert.

Dinghy trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus Anlage 3. Die Maßnahmen unterliegen dem technischen Fortschritt; Dinghy darf sie durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

Dinghy unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der Dinghy zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit der Verantwortliche die erforderlichen Informationen nicht selbst im Dienst oder aus dieser Dokumentation erlangen kann.

Dinghy benachrichtigt den Verantwortlichen unverzüglich, möglichst innerhalb von achtundvierzig (48) Stunden, nachdem Dinghy eine Verletzung des Schutzes der Auftragsdaten bekannt geworden ist. Die Benachrichtigung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Informationen; Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht. Dinghy ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die betroffenen Personen. Die Benachrichtigung erfolgt an die im Konto des Inhabers hinterlegte E-Mail-Adresse.

Dinghy führt ein Verzeichnis aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung (Art. 30 Abs. 2 DSGVO).

Dinghy hat keinen expliziten Datenschutzbeauftragten ernannt. Datenschutzfragen werden zentral unter hello@dinghy.studio behandelt.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der Auftragsdaten verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, die Erfüllung der Informationspflichten gegenüber den betroffenen Personen (z. B. Interviewteilnehmern) und die Wahrung ihrer Rechte (Ziffer 13.4 AGB).

Der Verantwortliche stellt sicher, dass keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO und keine Daten im Sinne von Art. 10 DSGVO in den Dienst eingebracht werden, sofern dies nicht ausdrücklich in Textform mit Dinghy vereinbart ist, und dass personenbezogene Daten in Kundeninhalten auf das erforderliche Maß beschränkt und, wo möglich, pseudonymisiert werden (§ 4 Nutzungsrichtlinie).

Der Verantwortliche entscheidet, welche Personen er als Projektmitglieder einlädt, und stellt sicher, dass diese zum Zugriff auf die Auftragsdaten berechtigt sind.

Der Verantwortliche informiert Dinghy unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung der Auftragsdaten feststellt.

Der Verantwortliche erteilt Dinghy die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2 und gelten als genehmigt.

Dinghy informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens vier (4) Wochen vorher per E-Mail an die im Konto hinterlegte Adresse und durch Aktualisierung der Liste auf der Dinghy Webseite. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen; im Voraus gezahlte Entgelte für die Zeit nach Wirksamwerden der Kündigung werden anteilig erstattet. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

Bei den KI-Anbietern ist Unterauftragsverarbeiter die OpenRouter Inc., die Anfragen an nachgelagerte Modell- und Infrastrukturanbieter weiterleitet. Diese nachgelagerten Anbieter sind weitere Unterauftragsverarbeiter. Da die eingesetzten Modelle im laufenden Betrieb wechseln, führt Dinghy den jeweils zugelassenen Kreis nachgelagerter Anbieter in der Liste nach Ziffer 5.2. Die Pflicht zur Vorabinformation nach Ziffer 5.2 gilt für die Aufnahme eines neuen nachgelagerten Anbieters in diesen Kreis, nicht für den Wechsel zwischen bereits gelisteten Anbietern oder deren Modellen.

Dinghy wählt Unterauftragsverarbeiter sorgfältig aus und schließt mit ihnen Verträge, die ihnen im Wesentlichen dieselben Datenschutzpflichten auferlegen wie dieser Vertrag, insbesondere hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen getroffen werden (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Dinghy gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die Dinghy bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf Auftragsdaten erhalten (z. B. Telekommunikationsleistungen). Zahlungsdienstleister verarbeiten keine Auftragsdaten.

Eine Verarbeitung der Auftragsdaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (z. B. des EU-US Data Privacy Framework für zertifizierte Empfänger) oder der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) einschließlich etwaig erforderlicher zusätzlicher Maßnahmen.

Die jeweilige Übermittlungsgrundlage ist für jeden Unterauftragsverarbeiter in Anlage 2 angegeben.

Macht eine betroffene Person Rechte nach Kapitel III DSGVO unmittelbar gegenüber Dinghy geltend, verweist Dinghy sie an den Verantwortlichen, sofern eine Zuordnung nach den Angaben der betroffenen Person möglich ist, und leitet die Anfrage unverzüglich an den Verantwortlichen weiter.

Dinghy unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Soweit der Verantwortliche Anträge nicht selbst mit den Funktionen des Dienstes erfüllen kann (z. B. Löschen von Projektdateien und Chats), setzt Dinghy auf Weisung des Verantwortlichen die erforderlichen Maßnahmen um, insbesondere die Berichtigung, Löschung, Einschränkung und Herausgabe von Auftragsdaten.

Dinghy stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Der Nachweis kann insbesondere durch Selbstauskünfte, aktuelle Dokumentation der technischen und organisatorischen Maßnahmen sowie Zertifizierungen und Prüfberichte der Unterauftragsverarbeiter erbracht werden.

Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags durch Überprüfungen einschließlich Inspektionen zu kontrollieren oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren zu lassen, der kein Wettbewerber von Dinghy ist (Art. 28 Abs. 3 lit. h DSGVO). Inspektionen vor Ort sind mit einer Frist von mindestens vier (4) Wochen anzukündigen, finden während der üblichen Geschäftszeiten statt, dürfen den Betriebsablauf nicht unverhältnismäßig stören und sind, außer bei konkretem Anlass (insbesondere einer Verletzung des Schutzes personenbezogener Daten), auf einmal pro Kalenderjahr beschränkt. Kann der Nachweis nach Ziffer 8.1 erbracht werden, ist eine Inspektion nur bei begründeten Zweifeln erforderlich.

Die Kosten von Überprüfungen trägt der Verantwortliche, es sei denn, die Überprüfung ergibt einen nicht unerheblichen Verstoß von Dinghy gegen diesen Vertrag. Dinghy kann für den eigenen Aufwand eine angemessene Vergütung verlangen.

Kontrollen bei Unterauftragsverarbeitern, insbesondere bei großen Cloud-Anbietern, erfolgen grundsätzlich durch Vorlage von deren Zertifizierungen und Prüfberichten.

Nach Beendigung des Hauptvertrags oder Löschung des Kontos löscht Dinghy die Auftragsdaten nach Ziffer 11.2 AGB innerhalb von sieben (7) Tagen; in Datensicherungen enthaltene Auftragsdaten werden innerhalb von sieben (7) Tagen im Rahmen der regulären Rotation überschrieben. Dies gilt nicht, soweit nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht.

Bis zur Löschung kann der Verantwortliche die Auftragsdaten mithilfe der im Dienst bereitgestellten Funktionen herunterladen. Verlangt der Verantwortliche vor Ablauf der Frist nach Ziffer 9.1 in Textform die Rückgabe von Auftragsdaten, die er nicht selbst herunterladen kann, stellt Dinghy sie ihm in einem gängigen, maschinenlesbaren Format zur Verfügung (Art. 28 Abs. 3 lit. g DSGVO).

Auf Anfrage bestätigt Dinghy die Löschung in Textform.

Auftragsdaten, die ein Projektmitglied zu einem Projekt eines anderen Inhabers beigetragen hat, sind Auftragsdaten dieses Inhabers und werden nach Ziffer 12.5 AGB nicht mit dem Konto des Projektmitglieds gelöscht.

Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.

Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen der AGB, soweit Art. 82 DSGVO nicht entgegensteht.

Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen, soweit es um den Schutz personenbezogener Daten geht, die Regelungen dieses Vertrags vor.

Änderungen dieses Vertrags richten sich nach Ziffer 21 AGB. Änderungen der Anlagen 2 und 3 richten sich nach §§ 3.3 und 5.

Für diesen Vertrag gelten das anwendbare Recht und der Gerichtsstand nach Ziffer 23 AGB.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften, insbesondere Art. 28 DSGVO.