Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen dem im Vocito.ai-Konto bezeichneten Kunden ("Verantwortlicher", "Kunde", "Sie") und Vocito.ai B.V. ("Auftragsverarbeiter", "Vocito", "wir") und ist integraler Bestandteil der Nutzungsbedingungen und der Vereinbarung zwischen den Parteien über die Bereitstellung des Vocito-Dienstes.

Dieser AVV regelt die Vereinbarung der Parteien über die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß den Anforderungen von Artikel 28 der Datenschutz-Grundverordnung (EU) 2016/679 ("DSGVO").

1. Begriffsbestimmungen

Soweit hierin nicht anders definiert, haben die definierten Begriffe die Bedeutung, die ihnen in der DSGVO oder den Nutzungsbedingungen zugewiesen wird. Die folgenden zusätzlichen Begriffsbestimmungen gelten:

• "Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und die vom Auftragsverarbeiter im Auftrag des Verantwortlichen über den Dienst verarbeitet werden.
• "Verarbeitung" bezeichnet jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit Personenbezogenen Daten im Sinne von Artikel 4 Nr. 2 DSGVO.
• "Verantwortlicher" bezeichnet den Kunden, der über die Zwecke und Mittel der Verarbeitung Personenbezogener Daten über den Dienst entscheidet.
• "Auftragsverarbeiter" bezeichnet Vocito.ai B.V., die Personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• "Unterauftragsverarbeiter" bezeichnet einen vom Auftragsverarbeiter beauftragten Dritten, der Personenbezogene Daten im Auftrag des Auftragsverarbeiters verarbeitet.
• "Betroffene Person" bezeichnet die identifizierte oder identifizierbare natürliche Person, auf die sich die Personenbezogenen Daten beziehen.
• "Verletzung des Schutzes Personenbezogener Daten" bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu Personenbezogenen Daten führt.
• "SCCs" bezeichnet die von der Europäischen Kommission mit Durchführungsbeschluss (EU) 2021/914 genehmigten Standardvertragsklauseln.
• "Dienst" bezeichnet die KI-Plattform für Telefonempfang von Vocito.ai sowie alle zugehörigen Funktionen und Dienste.
• "Kundendaten" bezeichnet alle Daten, einschließlich Personenbezogener Daten, die durch die Nutzung des Dienstes durch den Kunden verarbeitet werden.

2. Geltungsbereich und Rollen

2.1 Rollen der Parteien

Der Kunde ist Verantwortlicher und Vocito ist Auftragsverarbeiter in Bezug auf die über den Dienst verarbeiteten Personenbezogenen Daten. Der Auftragsverarbeiter verarbeitet Personenbezogene Daten ausschließlich im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen.

2.2 Umfang der Verarbeitung

Dieser AVV gilt für alle Personenbezogenen Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung des Dienstes verarbeitet, wie näher beschrieben in Anhang A.

2.3 Verhältnis zu den Nutzungsbedingungen

Dieser AVV ergänzt die Nutzungsbedingungen und ist Bestandteil davon. Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen in Datenschutzfragen hat dieser AVV Vorrang.

3. Einzelheiten der Verarbeitung

Die Einzelheiten der Verarbeitungstätigkeiten sind festgelegt in Anhang A und umfassen:

• Gegenstand: Bereitstellung der KI-Plattform für Telefonempfang von Vocito.
• Dauer: Für die Laufzeit der Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter zuzüglich etwaiger anwendbarer Aufbewahrungsfristen.
• Art und Zweck: Entgegennahme und Bearbeitung eingehender Telefonanrufe per KI, Aufzeichnung und Transkription von Anrufen, Versand von SMS-Nachfassnachrichten, Verwaltung von Leads und Buchungen, E-Mail-Integration, Verwaltung von CRM-Daten und Bereitstellung von Analysen.
• Arten Personenbezogener Daten: Namen, Telefonnummern, E-Mail-Adressen, Sprachaufzeichnungen, Gesprächstranskripte, SMS-Inhalte, E-Mail-Inhalte, Lead- und Buchungsinformationen, geschäftliche Kontaktdaten.
• Kategorien betroffener Personen: Endnutzer (Anrufer), Kunden und Interessenten des Verantwortlichen, Mitarbeitende und Vertreter des Verantwortlichen.

4. Pflichten des Auftragsverarbeiters

4.1 Verarbeitungsweisungen

Der Auftragsverarbeiter wird:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf die Übermittlung Personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
• Den Verantwortlichen unverzüglich informieren, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

4.2 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung Personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.3 Sicherheit

Der Auftragsverarbeiter ergreift geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie beschrieben in Anhang B und in Übereinstimmung mit Artikel 32 DSGVO.

4.4 Unterauftragsverarbeitung

Der Auftragsverarbeiter hält die Bedingungen ein, die festgelegt sind in Abschnitt 6 für die Beauftragung von Unterauftragsverarbeitern.

4.5 Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen, wie festgelegt in Abschnitt 9.

4.6 Unterstützung bei der Compliance

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der Artikel 32 bis 36 DSGVO, einschließlich der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen des Schutzes personenbezogener Daten, zu Datenschutz-Folgenabschätzungen und zur vorherigen Konsultation der Aufsichtsbehörden.

4.7 Löschung oder Rückgabe

Der Auftragsverarbeiter löscht nach Abschluss der Erbringung der Dienste nach Wahl des Verantwortlichen alle Personenbezogenen Daten oder gibt sie zurück, wie festgelegt in Abschnitt 13.

4.8 Prüfung und Information

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 DSGVO zur Verfügung und ermöglicht und unterstützt Überprüfungen, wie festgelegt in Abschnitt 12.

5. Pflichten des Verantwortlichen

Der Verantwortliche wird:

• Sicherstellen, dass eine Rechtsgrundlage für die Verarbeitung Personenbezogener Daten besteht, einschließlich der Einholung aller erforderlichen Einwilligungen der Betroffenen Personen (z. B. für die Gesprächsaufzeichnung).
• Dem Auftragsverarbeiter dokumentierte Verarbeitungsweisungen erteilen.
• Seine Pflichten nach der DSGVO und den anwendbaren Datenschutzgesetzen erfüllen.
• Sicherstellen, dass Betroffene Personen gemäß Artikel 13 und 14 DSGVO über die Verarbeitung ihrer Personenbezogenen Daten informiert werden, einschließlich des Einsatzes von KI-Systemen gemäß der EU-KI-Verordnung.
• Anfragen betroffener Personen mit Unterstützung des Auftragsverarbeiters beantworten.
• Den Auftragsverarbeiter über Änderungen seiner Verarbeitungsweisungen informieren.
• Sicherstellen, dass die dem Auftragsverarbeiter bereitgestellten Kundendaten keine Rechte Dritter verletzen.

6. Unterauftragsverarbeiter

6.1 Allgemeine Genehmigung

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die Beauftragung von Unterauftragsverarbeitern durch den Auftragsverarbeiter zur Unterstützung bei der Bereitstellung des Dienstes, vorbehaltlich der in diesem Abschnitt festgelegten Bedingungen. Die aktuelle Liste der genehmigten Unterauftragsverarbeiter ist enthalten in Anhang C.

6.2 Pflichten in Bezug auf Unterauftragsverarbeiter

Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter:

• Erlegt der Auftragsverarbeiter dem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen.
• Bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters haftbar.
• Enthält der Vertrag mit dem Unterauftragsverarbeiter Bestimmungen, die denen dieses AVV gleichwertig sind, auch in Bezug auf Vertraulichkeit, Sicherheit und Prüfrechte.

6.3 Mitteilung von Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen so die Möglichkeit, gegen solche Änderungen Einspruch zu erheben.

6.4 Einspruchsrecht

Hat der Verantwortliche berechtigte Gründe, der Beauftragung eines neuen Unterauftragsverarbeiters zu widersprechen, teilt er dies dem Auftragsverarbeiter innerhalb von 14 Tagen nach Erhalt der Mitteilung mit. Die Parteien erörtern die Bedenken des Verantwortlichen nach Treu und Glauben. Können die Parteien keine Lösung finden, kann der Verantwortliche die betroffenen Dienste durch schriftliche Mitteilung ohne Vertragsstrafe kündigen.

7. Sicherheitsmaßnahmen

Der Auftragsverarbeiter setzt die technischen und organisatorischen Sicherheitsmaßnahmen um und hält sie aufrecht, die beschrieben sind in Anhang Bund die mindestens Folgendes umfassen:

7.1 Verschlüsselung

• Verschlüsselung Personenbezogener Daten bei der Übertragung mit TLS 1.2 oder höher.
• Verschlüsselung Personenbezogener Daten im Ruhezustand mit AES-256 oder gleichwertig.
• Verschlüsselung von Gesprächsaufzeichnungen im Ruhezustand.

7.2 Zugriffskontrolle

• Rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der geringsten Rechte.
• Multi-Faktor-Authentifizierung (MFA) für administrative Zugriffe und Zugriffe auf Produktionssysteme.
• Eindeutige Benutzerkonten für alle Mitarbeitenden; keine geteilten Zugangsdaten.
• Regelmäßige Überprüfung der Zugriffsrechte (mindestens vierteljährlich).
• Automatischer Entzug der Zugriffsrechte beim Ausscheiden von Mitarbeitenden.

7.3 Infrastruktursicherheit

• Hosting auf Infrastruktur mit einer in der EU gehosteten, DSGVO-konformen Konfiguration.
• Netzwerksegmentierung und Firewall-Schutz.
• Regelmäßige Schwachstellenscans und Penetrationstests.
• Zeitnahes Einspielen von Sicherheitsupdates.
• DDoS-Schutz.

7.4 Überwachung und Protokollierung

• Zentrale Protokollierung des Zugriffs auf Personenbezogene Daten.
• Echtzeitüberwachung und Alarmierung bei Sicherheitsereignissen.
• Aufbewahrung der Protokolle für mindestens 12 Monate.

7.5 Personal

• Vertraulichkeitsvereinbarungen mit allen Mitarbeitenden, die auf Personenbezogene Daten zugreifen.
• Schulungen zum Sicherheitsbewusstsein für alle Mitarbeitenden.
• Hintergrundprüfungen für Mitarbeitende mit Zugriff auf Produktionssysteme (soweit gesetzlich zulässig).

7.6 Geschäftskontinuität

• Regelmäßige Backups der Kundendaten mit getesteten Wiederherstellungsverfahren.
• Notfallwiederherstellungsverfahren mit definierten Wiederherstellungszeitzielen.
• Redundante Infrastruktur für kritische Komponenten.

7.7 Laufende Bewertung

Der Auftragsverarbeiter bewertet und aktualisiert die Sicherheitsmaßnahmen regelmäßig, um sicherzustellen, dass sie den mit der Verarbeitung verbundenen Risiken weiterhin angemessen sind. Der Auftragsverarbeiter wird das Gesamtsicherheitsniveau während der Laufzeit dieses AVV nicht wesentlich verringern.

8. Meldung von Datenschutzverletzungen

8.1 Meldung an den Verantwortlichen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes Personenbezogener Daten unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden. Die Meldung wird an die mit dem Konto des Verantwortlichen verknüpfte E-Mail-Adresse gesendet und enthält, soweit verfügbar:

• Eine Beschreibung der Art der Verletzung des Schutzes Personenbezogener Daten, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze.
• Name und Kontaktdaten einer Anlaufstelle beim Auftragsverarbeiter.
• Eine Beschreibung der wahrscheinlichen Folgen der Verletzung.
• Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, einschließlich Maßnahmen zur Abmilderung ihrer nachteiligen Auswirkungen.

8.2 Pflichten des Auftragsverarbeiters

Nach Bekanntwerden einer Verletzung des Schutzes Personenbezogener Daten wird der Auftragsverarbeiter:

• Sofortige Schritte unternehmen, um die Verletzung einzudämmen und ihre Auswirkungen zu minimieren.
• Die Verletzung untersuchen und dem Verantwortlichen aktualisierte Informationen bereitstellen, sobald diese verfügbar sind.
• Mit dem Verantwortlichen zusammenarbeiten und ihn bei der Erfüllung seiner Meldepflichten nach Artikel 33 und 34 DSGVO angemessen unterstützen.
• Die Verletzung dokumentieren, einschließlich der Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen.

8.3 Meldung des Verantwortlichen an die Aufsichtsbehörde

Der Verantwortliche ist dafür verantwortlich zu entscheiden, ob die Verletzung des Schutzes Personenbezogener Daten nach Artikel 33 und 34 DSGVO einer Aufsichtsbehörde und/oder den Betroffenen Personen gemeldet werden muss. Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei dieser Entscheidung und bei der Erfüllung dieser Pflichten.

9. Anfragen betroffener Personen

9.1 Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anfragen betroffener Personen zur Ausübung ihrer Rechte nach Kapitel III der DSGVO zu beantworten, darunter:

• Auskunftsrecht (Artikel 15)
• Recht auf Berichtigung (Artikel 16)
• Recht auf Löschung (Artikel 17)
• Recht auf Einschränkung der Verarbeitung (Artikel 18)
• Mitteilungspflicht (Artikel 19)
• Recht auf Datenübertragbarkeit (Artikel 20)
• Widerspruchsrecht (Artikel 21)

9.2 Benachrichtigung

Erhält der Auftragsverarbeiter eine Anfrage direkt von einer Betroffenen Person, verweist er diese umgehend (und in jedem Fall innerhalb von 5 Werktagen) an den Verantwortlichen und informiert den Verantwortlichen über die Anfrage. Der Auftragsverarbeiter beantwortet eine solche Anfrage nicht direkt, sofern er nicht vom Verantwortlichen dazu ermächtigt oder gesetzlich dazu verpflichtet ist.

9.3 Datenexport

Der Auftragsverarbeiter stellt über das Dashboard des Dienstes Funktionen bereit, mit denen der Verantwortliche Kundendaten in gängigen maschinenlesbaren Formaten (JSON, CSV) exportieren kann. Der Verantwortliche kann diese Werkzeuge nutzen, um Anfragen zur Datenübertragbarkeit zu erfüllen.

10. Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei der Durchführung von Datenschutz-Folgenabschätzungen ("DSFA") und vorherigen Konsultationen der Aufsichtsbehörden nach Artikel 35 und 36 DSGVO, soweit diese in Bezug auf die Verarbeitung Personenbezogener Daten über den Dienst erforderlich sind. Diese Unterstützung umfasst die Bereitstellung von Informationen über die Verarbeitungstätigkeiten des Auftragsverarbeiters, die technischen und organisatorischen Maßnahmen und die Vereinbarungen mit Unterauftragsverarbeitern.

11. Internationale Übermittlungen

11.1 Primäre Speicherung

Der Auftragsverarbeiter speichert Kundendaten, einschließlich Personenbezogener Daten, primär im Europäischen Wirtschaftsraum (EWR), konkret auf Supabase-Infrastruktur in der Region Irland (eu-west-1).

11.2 Übermittlungen in Drittländer

Bestimmte vom Auftragsverarbeiter beauftragte Unterauftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten. Werden Personenbezogene Daten in ein Land außerhalb des EWR übermittelt, für das kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt, gelten die folgenden Garantien:

• Standardvertragsklauseln (SCCs): Der Auftragsverarbeiter hat mit jedem Unterauftragsverarbeiter außerhalb des EWR SCCs (Durchführungsbeschluss (EU) 2021/914 der Kommission) unter Verwendung der Klauseln des Moduls 3 (Auftragsverarbeiter an Unterauftragsverarbeiter) abgeschlossen.
• EU-U.S. Data Privacy Framework: Soweit anwendbar, stützt sich der Auftragsverarbeiter als zusätzliche Garantie auf die Zertifizierung des Unterauftragsverarbeiters nach dem EU-U.S. Data Privacy Framework.
• Zusätzliche Maßnahmen: Gemäß den Empfehlungen 01/2020 des EDSA setzt der Auftragsverarbeiter zusätzliche technische, organisatorische und vertragliche Maßnahmen um, darunter:
  • Verschlüsselung Personenbezogener Daten bei der Übertragung und im Ruhezustand.
  • Minimierung der übermittelten Daten (z. B. Echtzeit-Streaming statt Massenübertragungen, wo möglich).
  • Vertragliche Verpflichtungen der Unterauftragsverarbeiter, unverhältnismäßige behördliche Zugriffsersuchen anzufechten.
  • Regelmäßige Transfer-Folgenabschätzungen.

11.3 Transfer-Folgenabschätzungen

Der Auftragsverarbeiter führt für jede internationale Übermittlung Transfer-Folgenabschätzungen durch und hält sie aktuell; dabei bewertet er den Rechtsrahmen des Empfängerlandes und die Wirksamkeit der bestehenden Garantien. Diese Bewertungen werden dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

12. Prüfrechte

12.1 Information

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Artikel 28 DSGVO und in diesem AVV festgelegten Pflichten erforderlich sind.

12.2 Überprüfung

Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, unter den folgenden Bedingungen:

• Der Verantwortliche kündigt eine Überprüfung mindestens 30 Tage im Voraus schriftlich an und gibt dabei Umfang und Dauer an.
• Überprüfungen finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb des Auftragsverarbeiters nicht unangemessen stören.
• Der Verantwortliche und seine Prüfer halten die angemessenen Sicherheits- und Vertraulichkeitsanforderungen des Auftragsverarbeiters ein.
• Der Prüfer schließt vor Beginn der Überprüfung eine Geheimhaltungsvereinbarung mit dem Auftragsverarbeiter ab.
• Der Verantwortliche trägt die Kosten jeder Überprüfung, es sei denn, die Überprüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen AVV.
• Überprüfungen sind auf eine pro Kalenderjahr beschränkt, sofern nicht eine Aufsichtsbehörde dies verlangt oder eine Verletzung des Schutzes Personenbezogener Daten vorausgegangen ist.

12.3 Zertifizierungen und Berichte

Soweit verfügbar, kann der Auftragsverarbeiter einschlägige Zertifizierungen, Prüfberichte (z. B. SOC 2 Type II-Berichte) oder Zusammenfassungen unabhängiger Prüfungen Dritter vorlegen, um die Prüfanforderungen des Verantwortlichen zu erfüllen. Der Verantwortliche erklärt sich bereit, solche Unterlagen anstelle einer Vor-Ort-Prüfung zu berücksichtigen, soweit sie seine Anliegen angemessen abdecken.

13. Löschung und Rückgabe von Daten

13.1 Bei Beendigung

Bei Beendigung oder Ablauf der Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter:

• Kann der Verantwortliche innerhalb von 30 Tagen nach Beendigung die Rückgabe der Kundendaten (einschließlich Personenbezogener Daten) in einem gängigen, maschinenlesbaren Format verlangen.
• Löscht der Auftragsverarbeiter nach Ablauf der 30-Tage-Frist (oder sofort auf schriftliche Weisung des Verantwortlichen) alle Kundendaten und vorhandenen Kopien, sofern nicht das Recht der Union oder eines Mitgliedstaats die Speicherung der Personenbezogenen Daten verlangt.
• Stellt der Auftragsverarbeiter auf Anfrage eine schriftliche Löschbestätigung aus.

13.2 Ausnahmen von der Löschung

Der Auftragsverarbeiter darf Personenbezogene Daten nach Beendigung nur aufbewahren, wenn:

• Dies nach geltendem Recht erforderlich ist (z. B. niederländische steuerliche Aufbewahrungspflichten für Abrechnungsdaten · 7 Jahre).
• Die Daten in Backup-Systemen enthalten sind und nach dem regulären Backup-Rotationsplan des Auftragsverarbeiters gelöscht werden (höchstens 90 Tage).

In jedem Fall schützt der Auftragsverarbeiter diese aufbewahrten Daten weiterhin gemäß diesem AVV und beschränkt die Verarbeitung auf die gesetzlich vorgeschriebenen Zwecke.

13.3 Während der Laufzeit

Während der Laufzeit der Vereinbarung kann der Verantwortliche die Löschung bestimmter Kundendaten über das Dashboard des Dienstes oder durch schriftliche Anfrage an den Auftragsverarbeiter verlangen. Der Auftragsverarbeiter kommt solchen Anfragen innerhalb von 30 Tagen nach, vorbehaltlich technischer Machbarkeit und gesetzlicher Aufbewahrungspflichten.

14. Haftung

14.1 Haftungsverteilung

Jede Partei haftet gemäß Artikel 82 DSGVO für Schäden, die durch eine gegen die DSGVO verstoßende Verarbeitung verursacht werden:

• Der Verantwortliche haftet für Schäden, die durch eine Verarbeitung verursacht werden, die nicht der DSGVO entspricht oder auf rechtswidrigen Weisungen beruht.
• Der Auftragsverarbeiter haftet für Schäden, die durch eine Verarbeitung verursacht werden, bei der er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder bei der er außerhalb der rechtmäßigen Weisungen des Verantwortlichen oder gegen diese gehandelt hat.

14.2 Haftungsbeschränkung

Die Gesamthaftung jeder Partei aus diesem AVV unterliegt den in den Nutzungsbedingungen festgelegten Haftungsbeschränkungen, wobei diese Beschränkungen nicht gelten für:

• Haftung gegenüber Betroffenen Personen nach Artikel 82 DSGVO.
• Geldbußen und Sanktionen, die von Aufsichtsbehörden verhängt werden.
• Haftung aufgrund grober Fahrlässigkeit oder vorsätzlichen Fehlverhaltens einer Partei in Bezug auf ihre Datenschutzpflichten.

14.3 Freistellung

Jede Partei stellt die andere Partei von allen Kosten, Ansprüchen, Schäden oder Aufwendungen frei, die infolge eines Verstoßes der freistellenden Partei gegen diesen AVV oder ihre Pflichten nach der DSGVO entstehen, sofern die Freistellung begehrende Partei die andere Partei unverzüglich benachrichtigt und angemessen mit ihr zusammenarbeitet.

15. Laufzeit und Beendigung

15.1 Laufzeit

Dieser AVV tritt an dem Tag in Kraft, an dem der Verantwortliche den Dienst erstmals nutzt, und bleibt in Kraft, solange der Auftragsverarbeiter Personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

15.2 Fortgeltung

Die Pflichten des Auftragsverarbeiters aus diesem AVV gelten nach Beendigung der Vereinbarung fort, soweit dies zur Erfüllung seiner Pflichten zur Rückgabe oder Löschung Personenbezogener Daten und etwaiger fortbestehender Vertraulichkeitspflichten erforderlich ist.

16. Allgemeine Bestimmungen

16.1 Anwendbares Recht

Dieser AVV unterliegt dem Recht der Niederlandeund ist nach diesem auszulegen, ohne Rücksicht auf dessen Grundsätze des Kollisionsrechts. Alle Streitigkeiten aus diesem AVV unterliegen der ausschließlichen Zuständigkeit der zuständigen Gerichte in Amsterdam, Niederlande.

16.2 Salvatorische Klausel

Sollte eine Bestimmung dieses AVV ungültig oder nicht durchsetzbar sein, bleiben die übrigen Bestimmungen in vollem Umfang wirksam. Die ungültige Bestimmung wird durch eine gültige Bestimmung ersetzt, die der ursprünglichen Absicht am nächsten kommt.

16.3 Änderungen

Dieser AVV kann vom Auftragsverarbeiter geändert werden, um Änderungen des geltenden Rechts oder der Datenverarbeitungspraktiken des Auftragsverarbeiters abzubilden. Wesentliche Änderungen werden dem Verantwortlichen mindestens 30 Tage im Voraus mitgeteilt. Die weitere Nutzung des Dienstes nach einer solchen Mitteilung gilt als Annahme des geänderten AVV.

16.4 Gesamte Vereinbarung

Dieser AVV bildet zusammen mit den Nutzungsbedingungen, der Datenschutzerklärung und etwaigen anwendbaren Bestellformularen die gesamte Vereinbarung zwischen den Parteien in Bezug auf den Vertragsgegenstand.

16.5 Kontakt

Fragen zu diesem AVV richten Sie bitte an: privacy@vocito.ai

Anhang A: Einzelheiten der Verarbeitung

Anhang B: Technische und organisatorische Maßnahmen

Anhang C: Liste der Unterauftragsverarbeiter