Zu diesem Dokument

Dieser Vertrag besteht aus den Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, die die Europäische Kommission mit dem Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 erlassen hat (ABl. L 199 vom 7.6.2021, S. 18). Die nachstehenden Klauseln sind wörtlich aus dem amtlichen Text auf EUR-Lex übernommen. Gemäß Klausel 2 wurde daran nichts geändert außer:

Die in den Klauseln offengelassenen Optionen wurden gewählt: Klausel 1 Buchstabe a und die Optionsangaben in Klausel 8 Buchstabe c Nummer 4, Klausel 9.1 Buchstaben b und c sowie Klausel 9.2 verweisen auf die Verordnung (EU) 2016/679 (DSGVO); die fakultative Klausel 5 (Kopplungsklausel) wird nicht verwendet; Klausel 7.7 Buchstabe a gilt in Option 2 (allgemeine schriftliche Genehmigung) mit einer Frist von 30 Tagen.
Die Anhänge I bis IV wurden ausgefüllt.

Wie der Vertrag geschlossen wird. Der Kunde nimmt diese Klauseln elektronisch in der Paloom-Web-App an (Artikel 28 Absatz 9 DSGVO). Paloom speichert, welches Paloom-Konto welche Version wann angenommen hat. Die jeweils aktuelle Fassung ist unter paloom.studio/dpa veröffentlicht; frühere Fassungen bleiben dort abrufbar.

Standardverstragsklauseln

ABSCHNITT I

Klausel 1

Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln“) soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sichergestellt werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2

Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3

Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4

Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 – fakultativ

Kopplungsklausel

[Nicht verwendet.]

ABSCHNITT II

PFLICHTEN DER PARTEIEN

Klausel 6

Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7

Pflichten der Parteien

7.1. Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3. Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4. Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5. Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten“), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6. Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7. Einsatz von Unterauftragsverarbeitern

a) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche – im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist – das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8. Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8

Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden „Datenschutz-Folgenabschätzung“), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;
Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft;
Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;
Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9

Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:

die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III

SCHLUSSBESTIMMUNGEN

Klausel 10

Verstöße gegen die Klauseln und Beendigung des Vertrags

a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche – unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 – den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn

der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde;
der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt;
der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I

Liste der Parteien

Verantwortliche(r):

Name: Der Paloom-Kunde, der diese Klauseln annimmt, d. h. das Unternehmen oder die Person, die das Paloom-Konto führt, wie in diesem Konto angegeben.

Anschrift: Wie vom Kunden in seinem Paloom-Konto oder in seinen Rechnungsdaten angegeben.

Name, Funktion und Kontaktdaten der Kontaktperson: Der Kontoinhaber, erreichbar unter der E-Mail-Adresse des Paloom-Kontos. Hat der Kunde einen Datenschutzbeauftragten benannt, teilt er dessen Kontaktdaten auf Anfrage mit.

Unterschrift und Beitrittsdatum: Elektronische Annahme in der Paloom-Web-App. Paloom speichert das Konto, die Version dieser Klauseln sowie Datum und Uhrzeit der Annahme.

Auftragsverarbeiter:

Name: T-NEX GmbH, Betreiberin von Paloom (Amtsgericht Lemgo, HRB 11526; USt-IdNr. DE451371242).

Anschrift: Freiligrathstraße 2, 32805 Horn-Bad Meinberg, Deutschland.

Name, Funktion und Kontaktdaten der Kontaktperson: Projektleitung Paloom, T-NEX GmbH, support@paloom.studio (für alle Datenschutzfragen). Allgemeiner Kontakt: info@t-nex.de, +49 151 54448451. Vertreten durch die Geschäftsführer Andreas Unruh und Christoph Gembruch. Datenschutzbeauftragter: nicht benannt.

Unterschrift und Beitrittsdatum: T-NEX bietet diese Klauseln in der Version 2026-10-v1 jedem Kunden an und ist ab dessen Annahme an sie gebunden.

ANHANG II

Beschreibung der Verarbeitung

Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden

Personen, die Beiträge oder Videos der Social-Media-Konten kommentieren, die der Kunde mit Paloom verbindet (derzeit Instagram, Facebook, YouTube und TikTok), und Personen, die diesen Konten Direktnachrichten senden (derzeit Instagram und Facebook).
Personen, die in diesen Kommentaren, Nachrichten und Anhängen genannt, erwähnt oder gezeigt werden.
Personen, die getrackte Kampagnen-Links öffnen, die der Kunde in Paloom erstellt.
Die Personen, die die verbundenen Konten betreiben (zum Beispiel der Creator oder Mitarbeitende des Kunden), soweit die eigenen Beiträge, Bildunterschriften und Antworten der Konten verarbeitet werden, auch um den Tonfall des Kontos zu lernen.

Die Daten des eigenen Paloom-Kontos des Kunden (Anmelde-, Kontakt-, Abo- und Rechnungsdaten) werden nicht im Auftrag des Kunden verarbeitet. T-NEX verarbeitet sie als Verantwortliche nach den Nutzungsbedingungen und der Datenschutzerklärung; sie fallen nicht unter diese Klauseln.

Kategorien personenbezogener Daten, die verarbeitet werden

Profildaten, wie sie die Plattform übermittelt: die Nutzerkennung der Plattform (zum Beispiel die Instagram-scoped ID, die Facebook-page-scoped ID, die YouTube-Kanal-ID oder die TikTok-Nutzer-ID), Benutzername bzw. Handle, Anzeigename und Profilbild (der Link und eine gespeicherte Kopie).
Inhalte: der Text von Kommentaren und Direktnachrichten; Anhänge von Direktnachrichten (etwa Bilder, Videos und Audio) und gespeicherte Kopien davon; Zeitstempel; die Struktur von Threads und Unterhaltungen.
Von Paloom abgeleitete Daten: die KI-Einordnung jedes Kommentars bzw. jeder Nachricht (zum Beispiel „Geschäftsanfrage“ oder „Spam“), die erkannte Sprache, der Grund, warum kein Entwurf erstellt wurde, KI-erstellte Antwortentwürfe und ihre früheren Fassungen sowie die über Paloom gesendeten Antworten.
Inhalte der verbundenen Konten selbst: Beiträge, Bildunterschriften, Video- und Medien-Metadaten und die eigenen Antworten der Konten sowie die daraus von Paloom abgeleiteten Tonfall- und Stilprofile.
Klicks auf getrackte Links: Zeitpunkt des Klicks, der User-Agent des Browsers, die verweisende Seite und ein mit einem Schlüssel gebildeter Einweg-Hash (HMAC-SHA256) der IP-Adresse der besuchenden Person. Die IP-Adresse selbst wird nicht gespeichert.
Wenn der Kunde ChatGPT mit Paloom verbindet: eine Aufzeichnung der über diese Verbindung ausgeführten Aktionen.

Verarbeitete sensible Daten (falls zutreffend) und angewandte Beschränkungen oder Garantien, die der Art der Daten und den verbundenen Risiken in vollem Umfang Rechnung tragen, z. B. strenge Zweckbindung, Zugangsbeschränkungen (einschließlich des Zugangs nur für Mitarbeiter, die eine spezielle Schulung absolviert haben), Aufzeichnungen über den Zugang zu den Daten, Beschränkungen für Weiterübermittlungen oder zusätzliche Sicherheitsmaßnahmen

Paloom fragt keine besonderen Kategorien personenbezogener Daten ab und zielt nicht auf sie ab. Kommentare und Nachrichten sind Freitext der betroffenen Personen; sie können solche Daten also enthalten, wenn die betroffenen Personen sie selbst offenlegen. Solche Inhalte werden wie alle anderen Inhalte und nur zu den unten genannten Zwecken verarbeitet. Die Garantien sind die in Anhang III, insbesondere, dass KI-Anfragen nur an Anbieter gehen, die die Daten nicht zum Training verwenden, dass die Daten nie für eigene Zwecke von T-NEX verwendet werden und dass die Daten jedes Kunden getrennt gehalten werden.

Art der Verarbeitung

Abruf von Kommentaren, Nachrichten und Profildaten über die offiziellen Schnittstellen (APIs und Webhooks) der Plattformen, die der Kunde verbindet; Speicherung; Anzeige im Paloom-Posteingang des Kunden und in der Paloom-App; automatisierte Einordnung, Spracherkennung und Erstellung von Antwortvorschlägen durch KI-Modelle; Versand von Antworten auf Veranlassung des Kunden; Berechnung von Statistiken; Zählung von Klicks auf getrackte Links; Weitergabe von Daten an Dienste, die der Kunde verbindet und anweist (siehe unten); Löschung.

Zweck(e), für den/die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden

Bereitstellung eines gemeinsamen Posteingangs für die Kommentare und Direktnachrichten der verbundenen Konten des Kunden.
KI-gestützte Einordnung von Kommentaren und Nachrichten und Erstellung von Antwortvorschlägen, einschließlich des Lernens des Tonfalls der Konten des Kunden aus deren eigenen Inhalten.
Statistiken und Auswertungen zu den Konten, Kommentaren und Nachrichten des Kunden.
Kampagnen, Angebote und getrackte Links, einschließlich der Zählung der Klicks auf diese Links.
Weitergabe von Daten an Dienste, die der Kunde mit Paloom verbindet und an die Paloom auf seine Anweisung Daten senden soll: derzeit ChatGPT über den MCP-Connector von Paloom, und eine CRM-Integration, sobald Paloom sie anbietet.

T-NEX verarbeitet die Daten nicht für eigene Zwecke, verwendet sie nicht zum Training von KI-Modellen und verkauft sie nicht.

Dauer der Verarbeitung

Solange das Paloom-Konto des Kunden besteht. Im Einzelnen:

Das Löschen des Paloom-Kontos oder der Daten eines verbundenen Kontos löscht die betroffenen Kommentare, Nachrichten, Entwürfe, Medien und Tonfallprofile sofort aus der Datenbank und dem Dateispeicher. Danach bleiben sie in den Datenbank-Backups, bis diese nach 8 Tagen ablaufen.
Name, Benutzername und Profilbild einer Person, die ein verbundenes Konto kommentiert oder ihm geschrieben hat, werden von allen Paloom-Kunden gemeinsam genutzt, denen diese Person geschrieben hat. Sie werden innerhalb von 14 Tagen gelöscht, nachdem kein Paloom-Posteingang mehr einen Kommentar oder eine Unterhaltung dieser Person zeigt.
Klicks auf getrackte Links werden zusammen mit dem zugehörigen Angebot oder mit dem Konto gelöscht.
Server-Logs werden höchstens 14 Tage (Logs der KI-Worker) bzw. 30 Tage (System-Journal) aufbewahrt. Die Aufzeichnung der Aktionen über die ChatGPT-Verbindung wird 90 Tage aufbewahrt.
Endet das Abonnement, werden die Daten 90 Tage aufbewahrt, damit der Kunde das Abonnement wieder aufnehmen kann, und danach gelöscht. Der Kunde kann die Daten jederzeit früher löschen, indem er sein Paloom-Konto in der Web-App löscht (Einstellungen); mit der Kontolöschung übt er seine Wahl der Löschung nach Klausel 10 Buchstabe d aus. Wählt der Kunde stattdessen die Rückgabe, stellt T-NEX auf Anfrage an support@paloom.studio eine Kopie der Daten in einem maschinenlesbaren Format bereit.

Bei der Verarbeitung durch (Unter-)Auftragsverarbeiter sind auch Gegenstand, Art und Dauer der Verarbeitung anzugeben.

Siehe Anhang IV. Unterauftragsverarbeiter verarbeiten die Daten nur so lange, wie es für ihre Leistung gegenüber T-NEX nötig ist, und nicht länger als nach den obigen Fristen, außer wo Anhang IV eine längere Speicherdauer des Unterauftragsverarbeiters nennt.

Dienste, die der Kunde verbindet

Verbindet der Kunde einen Dienst eines Dritten mit Paloom und weist Paloom an, Daten an diesen Dienst zu senden, handelt dieser Dienst für den Kunden auf Grundlage des eigenen Vertrags des Kunden mit dessen Anbieter. Das gilt für ChatGPT (OpenAI), das über den MCP-Connector von Paloom verbunden wird, und für jedes CRM-System (etwa HubSpot), das der Kunde verbindet, sobald Paloom diese Integration anbietet. Ein solcher Dienst ist ein eigener Auftragsverarbeiter des Kunden oder selbst Verantwortlicher und kein Unterauftragsverarbeiter von T-NEX. T-NEX sendet ihm Daten nur auf Anweisung des Kunden und ist für die eigene Verarbeitung des Dienstes nicht verantwortlich. Dasselbe gilt für die Social-Media-Plattformen selbst (Meta, Google/YouTube und TikTok), zu denen der Kunde eine eigene Beziehung hat.

ANHANG III

Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten

1. Standorte und physische Sicherheit. Der Anwendungsserver von Paloom (Webserver, Backend und KI-Worker) läuft bei IONOS in Deutschland. Datenbank und Dateispeicher laufen bei Supabase in der AWS-Region eu-west-1 (Irland). Die physische Sicherheit der Rechenzentren gewährleisten diese Unterauftragsverarbeiter mit ihren eigenen Maßnahmen.

2. Verschlüsselung bei der Übertragung. paloom.studio nimmt nur HTTPS-Verbindungen an (TLS 1.2 und TLS 1.3); unverschlüsselte HTTP-Anfragen werden auf HTTPS umgeleitet. Die Aufrufe der Paloom-Server an die Schnittstellen von Supabase, an OpenRouter und an die Schnittstellen der Plattformen erfolgen über HTTPS. Verbindungen zur Supabase-Datenbank sind immer verschlüsselt („Enforce SSL“ ist eingeschaltet).

3. Verschlüsselung bei der Speicherung. Supabase verschlüsselt alle Kundendaten bei der Speicherung mit AES-256.

4. Pseudonymisierung. IP-Adressen von Personen, die getrackte Links anklicken, werden nur als mit einem Schlüssel gebildeter Einweg-Hash (HMAC-SHA256) gespeichert. Der Schlüssel liegt in der Serverkonfiguration der jeweiligen Umgebung, nie bei den Daten.

5. Trennung der Kunden und Zugriffskontrolle.

Kunden melden sich über Supabase Auth an; jede Anfrage an das Backend wird mit einem signierten Token (JWT) authentifiziert und liefert nur die Daten des angemeldeten Kunden.
Row-Level-Security ist für jede Datenbanktabelle aktiviert. Die Richtlinien erlauben den Apps nur das Lesen von Zeilen, die zum angemeldeten Kunden gehören.
Administrative Funktionen sind auf Konten in der Administratorliste von Paloom beschränkt.
Interne Aufrufe der KI-Worker an das Backend werden mit einem Dienstschlüssel authentifiziert.
Eingehende Webhooks von Meta und TikTok werden nur mit gültiger Signatur angenommen.
Die ChatGPT-Verbindung nutzt OAuth 2.1 mit Freigaben pro Kunde und getrennten Lese- und Schreibrechten, die der Kunde in Paloom jederzeit widerrufen kann.
Entwicklerwerkzeuge (API-Explorer, Job-Dashboard) sind in der Produktion nicht erreichbar.

6. Personal. Zugriff auf den Produktionsserver und die Datenbank haben nur die Personen, die an Paloom arbeiten (Klausel 7.4 Buchstabe b: nur soweit unbedingt erforderlich). Jede Person mit Zugriff ist durch ihren Arbeitsvertrag mit T-NEX zur Vertraulichkeit verpflichtet.

7. Datenminimierung und Zweckbindung.

KI-Anfragen gehen nur an Anbieter, die die Daten nicht zum Training verwenden. Paloom erzwingt das bei jeder Anfrage, unabhängig von Kontoeinstellungen (OpenRouter data_collection: deny).
An die KI-Modelle wird nur gesendet, was für die Aufgabe nötig ist (der Kommentar bzw. die Nachricht, der jüngste Gesprächsverlauf mit den Benutzernamen der Beteiligten, das Tonfallprofil des Kontos und gegebenenfalls Bilder).
Datenbankabfragen werden außerhalb der Entwicklung nie mit den Werten der Daten protokolliert.
Die Logs der KI-Worker enthalten Kennungen, Anzahlen und Textlängen, nie den Inhalt von Kommentaren, Nachrichten oder Entwürfen.

8. Protokollierung. Die Anwendung schreibt Betriebsprotokolle auf dem Server. Die Logs der KI-Worker werden täglich rotiert und 14 Tage aufbewahrt; das System-Journal wird 30 Tage aufbewahrt. Aktionen über die ChatGPT-Verbindung werden 90 Tage in einem Audit-Log festgehalten.

9. Verfügbarkeit und Wiederherstellung. Supabase sichert die Datenbank täglich und bewahrt jede Sicherung 8 Tage auf. Vor jeder Produktionsauslieferung werden die Anwendungsdateien gesichert, damit eine Version zurückgerollt werden kann.

10. Tests. Automatisierte Testsuiten (Backend-Tests und Ende-zu-Ende-Tests im Browser) laufen in der Build-Pipeline. Eine externe Sicherheitsprüfung oder ein Penetrationstest wurde bisher nicht durchgeführt.

11. Löschung. Daten werden wie in Anhang II (Dauer der Verarbeitung) beschrieben gelöscht. Die Kontolöschung ist eine sofortige, endgültige Löschung in Datenbank und Dateispeicher. Löschanfragen, die Meta für eine Person weiterleitet, die ein verbundenes Konto verwendet hat, werden automatisch bearbeitet. Profildaten von Kommentierenden, die kein Posteingang mehr zeigt, entfernt ein regelmäßig laufender Job.

12. Unterstützung des Verantwortlichen (Klauseln 8 und 9).

Anfragen betroffener Personen, die T-NEX erreichen (support@paloom.studio), werden innerhalb von 5 Arbeitstagen an den Kunden weitergeleitet.
Der Kunde kann Daten in der Web-App selbst löschen. Für eine Anfrage zu einer einzelnen Person (etwa das Löschen der Daten eines Kommentierenden) weist der Kunde T-NEX über support@paloom.studio an, und T-NEX führt sie aus.
T-NEX meldet dem Kunden eine Verletzung des Schutzes seiner personenbezogenen Daten unverzüglich, spätestens 48 Stunden, nachdem T-NEX davon Kenntnis erlangt, per E-Mail an die Adresse des Paloom-Kontos, mit den in Klausel 9.2 genannten Angaben. Die Projektleitung von Paloom koordiniert die Reaktion.
Kontakt für alle Datenschutzfragen: siehe Anhang I.

ANHANG IV

Liste der Unterauftragsverarbeiter

Der Verantwortliche hat die Inanspruchnahme folgender Unterauftragsverarbeiter genehmigt (Klausel 7.7 Buchstabe a, Option 2: dies ist die vereinbarte Liste).

Unterrichtung über Änderungen. T-NEX unterrichtet den Kunden mindestens 30 Tage im Voraus über jedes beabsichtigte Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters, per E-Mail an die Adresse des Paloom-Kontos und durch einen Hinweis in der Paloom-Web-App. Eine bloße Veröffentlichung auf der Website gilt nicht als Unterrichtung. Der Kunde kann der Änderung innerhalb dieser 30 Tage widersprechen. Widerspricht der Kunde schriftlich mit Gründen des Datenschutzes, bemüht sich T-NEX innerhalb von 30 Tagen um eine Lösung, etwa indem der neue Unterauftragsverarbeiter für diesen Kunden nicht eingesetzt wird. Ist keine Lösung möglich, kann der Kunde das Abonnement mit Wirkung vor der Änderung ohne Vertragsstrafe kündigen und erhält im Voraus gezahlte Entgelte für den nicht genutzten Zeitraum anteilig zurück. Ohne Widerspruch innerhalb der 30 Tage gilt die Änderung als genehmigt.

Name: Supabase Pte. Ltd.

Anschrift: 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Die Daten werden in der AWS-Region eu-west-1 (Irland, EU) gespeichert und verarbeitet.

Name, Funktion und Kontaktdaten der Kontaktperson: Wie im Auftragsverarbeitungsvertrag von Supabase angegeben.

Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Datenbank, Dateispeicher (Medien, Anhänge, Profilbilder), Authentifizierung und Echtzeit-Aktualisierungen für alle Datenkategorien aus Anhang II. Garantie für die Übermittlung: Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) im Auftragsverarbeitungsvertrag von Supabase, der Teil seiner Nutzungsbedingungen ist.

Name: IONOS SE (Amtsgericht Montabaur, HRB 24498)

Anschrift: Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Verarbeitung in Deutschland.

Name, Funktion und Kontaktdaten der Kontaktperson: Wie im Auftragsverarbeitungsvertrag von IONOS angegeben.

Beschreibung der Verarbeitung: Hosting des Anwendungsservers von Paloom (Webserver, Backend und KI-Worker). Alle Datenkategorien aus Anhang II durchlaufen diesen Server während der Verarbeitung; dort werden Server-Logs gespeichert (siehe Anhang III). Keine Übermittlung außerhalb der EU. Der Auftragsverarbeitungsvertrag von IONOS ist Teil der IONOS-AGB, die für den Vertrag von T-NEX gelten.

Name: OpenRouter, Inc. (Vereinigte Staaten)

Anschrift: 169 Madison Avenue, New York, NY 10016, Vereinigte Staaten.

Name, Funktion und Kontaktdaten der Kontaktperson: Wie im Auftragsverarbeitungsvertrag von OpenRouter angegeben.

Beschreibung der Verarbeitung: Leitet KI-Anfragen an die unter 4 genannten Modellanbieter weiter. OpenRouter erhält den Text des Kommentars bzw. der Nachricht, den jüngsten Gesprächsverlauf mit den Benutzernamen der Beteiligten, Bilder, das Tonfallprofil des Kontos und die erzeugten Entwürfe. OpenRouter löscht Eingaben und Ausgaben umgehend nach Erzeugung der Ausgabe, sofern für das Konto nicht die optionale Protokollierung eingeschaltet ist; Paloom nutzt sie nicht. Das OpenRouter-Konto, über das Paloom KI-Anfragen sendet, gehört dem Unternehmen, das Paloom bei T-NEX in Auftrag gegeben hat und dessen Nutzung bezahlt; der Auftragsverarbeitungsvertrag von OpenRouter ist Teil der für dieses Konto akzeptierten Nutzungsbedingungen. Garantie für die Übermittlung: Standardvertragsklauseln im Auftragsverarbeitungsvertrag von OpenRouter. OpenRouter ist nicht nach dem EU-US-Datenschutzrahmen (Data Privacy Framework) zertifiziert.

Name: KI-Modellanbieter, an die OpenRouter Anfragen weiterleitet. Paloom lässt nur Anbieter zu, die die Daten nicht zum Training verwenden, und nur die unten genannten Hosts.

Microsoft (Azure, Regionen in den Vereinigten Staaten und der EU) und Amazon Web Services (Bedrock, Vereinigte Staaten): betreiben die Modelle von OpenAI für Antwortentwürfe (Standardmodell), die Analyse beim Onboarding und die abschließende Überarbeitung schwieriger Antworten. Laut OpenRouter speichern sie keine Anfragen. OpenAI selbst erhält keine Daten: Paloom lässt die eigenen Server von OpenAI nicht als Host zu.
Google (Vertex AI, globale, EU- und US-Regionen; sowie Google AI Studio): Einordnung von Kommentaren und Nachrichten, Bildanalyse, das kostenlose Ersatzmodell, das bei aufgebrauchtem Guthaben verwendet wird, und Websuchen nach aktuellen Fakten mit der Google-Suche (Google erhält eine aus der Nachricht abgeleitete Suchfrage). Laut OpenRouter speichert Vertex AI keine Anfragen und Google AI Studio speichert sie 55 Tage.
Die Modelle von Anthropic (Claude), nur wenn eines als Modell für Entwürfe ausgewählt ist: laufen bei Amazon Web Services (Bedrock), Google (Vertex AI) oder Microsoft (Azure). Derzeit ist keines ausgewählt. Anthropic selbst erhält keine Daten.

Anschrift: wie vom jeweiligen Anbieter veröffentlicht.

Name, Funktion und Kontaktdaten der Kontaktperson: wie vom jeweiligen Anbieter veröffentlicht.

Beschreibung der Verarbeitung: wie oben je Anbieter angegeben. Die Modellanbieter werden von OpenRouter auf Grundlage der Verträge von OpenRouter mit ihnen beauftragt. Garantien für die Übermittlung: Google LLC, Microsoft Corporation und Amazon.com, Inc. sind nach dem EU-US-Datenschutzrahmen zertifiziert. Paloom lässt keinen anderen Host zu, sodass jede Übermittlung unter dieser Nummer davon erfasst ist.