Auftragsverarbeitungsvertrag

Verantwortlicher: das Unternehmen, das Kanesh beauftragt (der „Kunde“).

Auftragsverarbeiter: Number Studios SL (der „Auftragsverarbeiter“):

• Unternehmen: Number Studios SL, unter dem Handelsnamen Nexau.
• Steueridentifikationsnummer (NIF): B-14938864.
• Sitz: C/ Doce de Octubre 1, 2º 2, 14001 Córdoba, España.
• Kontakt-E-Mail: [email protected].

Dieser Vertrag gehört zu den Nutzungsbedingungen und wird mit ihnen durch Unterzeichnung oder Annahme der Bestellung angenommen. In Datenschutzfragen hat er Vorrang. Eine unterzeichnete Kopie erhalten Sie auf Anfrage an [email protected].

Verwendete Begriffe („personenbezogene Daten“, „Verarbeitung“, „Verletzung des Schutzes personenbezogener Daten“ usw.) haben die Bedeutung der Verordnung (EU) 2016/679 (DSGVO).

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Kundenauftrag ausschließlich zur Bereitstellung von Kanesh, insbesondere um:

• Gespräche angeschlossener Kanäle zu empfangen, zu speichern und im Posteingang anzuzeigen sowie Teamantworten zu senden;
• bei Aktivierung durch den Kunden KI-Antworten aus dessen Wissen, Regeln und Shopdaten zu erstellen und zu senden;
• vom Kunden konfigurierte Kampagnen, Flows und Nachfassnachrichten zu senden;
• Anrufe bei aktivierter Sprachfunktion zu bearbeiten;
• Dienstanalysen zu erstellen und technischen Support zu leisten.

Verarbeitungsvorgänge sind Erhebung, Erfassung, Speicherung, Abfrage, Strukturierung, automatisierte Analyse, Offenlegung an gewählte Empfänger und Löschung.

Dieser Vertrag gilt für die Dauer des Dienstvertrags und danach so lange wie zur Rückgabe oder Löschung nach „Dienstende“ erforderlich.

Arten personenbezogener Daten, je nach aktivierten Kanälen und Funktionen:

• Kontaktdaten und Kennungen der Endkunden: Name, Telefonnummer, E-Mail, Social-Media-Nutzername oder ID;
• Gesprächsinhalte einschließlich Dateien, Bildern und Sprachnachrichten;
• Bestell- und Kundendaten aus dem angeschlossenen Shop (z. B. Shopify): Produkte, Beträge, Versandstatus und Lieferdetails;
• Einwilligungsnachweise: akzeptierter Text, Art und Zeitpunkt der Erteilung;
• Anrufaufzeichnungen und Transkripte bei aktivierter Sprachfunktion;
• Daten der Kundennutzer: Name, geschäftliche E-Mail, Rolle und Plattformaktivität.

Der Dienst ist nicht für besondere Datenkategorien ausgelegt. Entscheidet sich der Kunde dafür, muss er Rechtmäßigkeit prüfen und nötige Schutzmaßnahmen umsetzen.

Betroffene Personen: Kunden und Interessenten des Kunden, die ihm schreiben oder denen er schreibt, sowie seine Nutzer.

Der Auftragsverarbeiter verarbeitet Daten ausschließlich nach dokumentierten Kundenanweisungen: diesem Vertrag, den Nutzungsbedingungen, der Bestellung und der Plattformkonfiguration, einschließlich der nachstehend beschriebenen internationalen Übermittlungen.

Er nutzt Daten nicht für eigene Zwecke. Erscheint eine Anweisung als Verstoß gegen DSGVO oder anderes Datenschutzrecht, informiert er den Kunden unverzüglich. Bei gesetzlich vorgeschriebener anderweitiger Verarbeitung informiert er vorher, soweit nicht verboten.

Der Auftragsverarbeiter stellt sicher, dass befugte Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und nur im für Dienst oder Support erforderlichen Umfang zugreifen.

Der Auftragsverarbeiter ergreift risikogerechte technische und organisatorische Maßnahmen nach Artikel 32 DSGVO, darunter:

• Isolation der Daten jedes Arbeitsbereichs auf Datenbankebene;
• verschlüsselte Speicherung der Zugangsdaten angeschlossener Kanäle;
• Verschlüsselung der Daten bei Übertragung (HTTPS);
• berechtigungsbeschränkte, widerrufbare API-Schlüssel.

Maßnahmen werden überprüft und aktualisiert, ohne das Schutzniveau zu senken. Sie stehen auch unter Sicherheit und Datenschutz.

Der Kunde verantwortet seine eigene Sicherheit: Teamzugänge verwalten, Zugangsdaten schützen und den Dienst datengerecht konfigurieren.

Nach Artikel 28.2 DSGVO erteilt der Kunde die allgemeine schriftliche Genehmigung für die auf der Seite Unterauftragsverarbeiter (Englisch) aufgeführten Anbieter mit Zweck, Daten, Standort, Übermittlungsgarantie, Status und Änderungsverlauf.

• Vorankündigung: Der Auftragsverarbeiter informiert per E-Mail an den Administrator und auf jener Seite mindestens 30 Tage vor Verarbeitung durch einen neuen oder ersetzenden Unterauftragsverarbeiter. Jeder kann die Hinweise wie dort beschrieben abonnieren.
• Widerspruch: Innerhalb dieser Frist kann der Kunde aus angemessenen Datenschutzgründen schriftlich widersprechen. Die Parteien suchen nach Treu und Glauben eine Lösung.
• Kündigung: Ohne Lösung kann der Kunde den betroffenen Dienst ohne Vertragsstrafe kündigen; der Auftragsverarbeiter erstattet vorausgezahlte Gebühren für ungenutzte Zeit anteilig.
• Dringlichkeit: Bei dringend notwendigem Ersatz aus Sicherheits- oder Kontinuitätsgründen informiert der Auftragsverarbeiter schnellstmöglich mit Begründung; das Widerspruchsrecht gilt ab Mitteilung gleichermaßen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu gleichwertigen Datenschutzpflichten und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich.

Vom Kunden selbst verbundene und genehmigte Dienste wie Shopify, Klaviyo oder sein Postfach sind keine Unterauftragsverarbeiter: Er steht direkt mit ihnen nach ihren Bedingungen in Beziehung.

Der Kunde weist die für den Dienst mit genehmigten Unterauftragsverarbeitern nötigen internationalen Übermittlungen an. Mehrere haben einen US-Sitz oder eine US-Muttergesellschaft; die entsprechende Seite nennt sie. Auch bei EU-Speicherung gelten diese Fälle als Übermittlungen wegen möglicher Zugriffe von außerhalb.

• Unterauftragsverarbeiter mit EU-US-Datenschutzrahmen-Zertifizierung: Grundlage ist die Angemessenheitsentscheidung der Kommission, Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 (DSGVO Artikel 45).
• Nicht zertifizierte Unterauftragsverarbeiter: Grundlage sind die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914 vom 4. Juni 2021 (DSGVO Artikel 46) im einschlägigen Modul (normalerweise Auftragsverarbeiter an Auftragsverarbeiter), Bestandteil des Vertrags mit dem Anbieter.
• Bei Wegfall einer Zertifizierung gelten Standardvertragsklauseln oder die Übermittlung endet.

Bei Übermittlungen auf Grundlage solcher Klauseln dokumentiert der Auftragsverarbeiter eine Folgenabschätzung unter Berücksichtigung des Ziellandrechts und der geltenden technischen und organisatorischen Maßnahmen und ergreift nötige Zusatzmaßnahmen. Auf Anfrage erhält der Kunde eine Zusammenfassung und Kopien der Garantien.

Unter Berücksichtigung der Verarbeitungsart unterstützt der Auftragsverarbeiter den Kunden dabei:

• Betroffenenanträge zu Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung und Übertragbarkeit zu beantworten. Bei direkter Anfrage leitet er diese unverzüglich an den Kunden weiter und antwortet nur auf dessen Anweisung selbst;
• Pflichten zu Sicherheit, Verletzungsmeldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsicht (DSGVO Artikel 32 bis 36) durch verfügbare Informationen zu erfüllen.

Der Auftragsverarbeiter meldet Verletzungen von Kundendaten unverzüglich nach Bekanntwerden. Die Mitteilung geht an die Administrator-E-Mail und enthält soweit bekannt die Angaben nach DSGVO Artikel 33.3: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und Kontakt ([email protected]). Fehlende Informationen werden schrittweise nachgereicht.

Der Auftragsverarbeiter ergreift angemessene Eindämmungs- und Minderungsmaßnahmen und kooperiert mit dem Kunden. Dieser ist als Verantwortlicher für erforderliche Meldungen an Aufsicht und Betroffene zuständig.

Vor Vertragsende kann der Kunde eine Datenkopie in einem strukturierten, gängigen Format verlangen. Nach Kündigung löscht der Auftragsverarbeiter Daten einschließlich Kopien innerhalb von 90 Tagen.

Nur gesetzlich aufzubewahrende Daten bleiben gesperrt für die gesetzliche Dauer erhalten.

Der Auftragsverarbeiter stellt Informationen zum Nachweis der Einhaltung dieses Vertrags und DSGVO Artikel 28 bereit. Anfragen werden zunächst mit Dokumentation und schriftlichen Antworten bearbeitet.

Reicht dies nicht oder verlangt es eine Aufsicht, darf der Kunde selbst oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer auditieren: mindestens 30 Tage Vorankündigung, Geschäftszeiten, kein Zugang zu Fremdkundendaten und höchstens jährlich, außer nach einer Datenschutzverletzung. Jede Partei trägt eigene Kosten.

Dieser Vertrag hat eine eigene Haftungsregelung mit Vorrang vor den Nutzungsbedingungen:

• Jede Partei haftet für Schäden aus ihren Verstößen gegen diesen Vertrag oder Datenschutzpflichten nach DSGVO Artikel 82.
• Bußgelder und Ansprüche Betroffener oder Dritter wegen Verstößen einer Partei trägt diese im Umfang ihrer Verantwortung. Bei gemeinsam verursachtem Schaden trägt jede ihren Verantwortungsanteil.
• Zwischen den Parteien ist die Gesamthaftung des Auftragsverarbeiters bei Vertragsverletzung auf das Doppelte der allgemeinen Grenze beschränkt (also das Doppelte der Kundenzahlungen der zwölf Monate vor dem Ereignis), sofern die Bestellung nichts anderes bestimmt. Diese Grenze ersetzt hierfür die allgemeine; der Ausschluss mittelbarer Schäden verhindert nicht die Rückforderung von Zahlungen an Betroffene oder Behörden wegen Verstößen der anderen Partei.
• Keine dieser Grenzen gilt bei Vorsatz oder grober Fahrlässigkeit.
• Nichts beschränkt die Haftung gegenüber Betroffenen oder gesetzlich nicht beschränkbare Haftung.

• Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten im Kundenauftrag (DSGVO Artikel 30.2).
• Der Kunde gewährleistet eine Rechtsgrundlage der beauftragten Verarbeitung und Information der Betroffenen.
• Es gelten Recht und Gerichtsstand der Nutzungsbedingungen.