Auftragsverarbeitungsvertrag (AVV / DPA)

1.Gegenstand, Geltungsbereich und Rang

Dieser AVV gilt ausschließlich, soweit Baldux im Rahmen von XGait personenbezogene Daten im Auftrag des Kunden verarbeitet. Er konkretisiert insbesondere Art. 9 DSG sowie – soweit anwendbar – Art. 28 DSGVO. Für rein private/haushaltsbezogene Nutzungen eines Verbrauchers gilt der AVV nur, wenn nach dem anwendbaren Datenschutzrecht tatsächlich eine Auftragsverarbeitung vorliegt.

Der AVV gilt für die Dauer der auftragsbezogenen Verarbeitung und geht dem Hauptvertrag bei Widersprüchen in Fragen der Auftragsverarbeitung vor. Im Übrigen gelten die XGait SaaS-AGB.

Die Annahme der XGait SaaS-AGB durch einen hierzu berechtigten Geschäftskunden bzw. Verantwortlichen schließt diesen AVV mit ein, soweit eine Auftragsverarbeitung stattfindet.

2.Gegenstand, Dauer, Art und Zweck

Gegenstand sind Hosting, Speicherung, Bereitstellung, Verarbeitung, Analyse, KI-gestützte Verarbeitung, Automatisierung, Integrationen, Backups, Support, Betrieb und Sicherheit der vom Kunden in XGait verarbeiteten personenbezogenen Daten.

Verarbeitungsarten können insbesondere Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Analysieren, Generieren, Übermitteln, Bereitstellen, Abgleichen, Einschränken, Sichern, Löschen und Vernichten umfassen.

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags bzw. der vereinbarten Abruf-/Löschfristen und ausschließlich zur Bereitstellung der vom Kunden beauftragten XGait-Funktionen.

3.Kategorien betroffener Personen und Daten

Betroffene Personen können insbesondere Mitarbeiter, Bewerber, Kunden, Interessenten, Lieferanten, Ansprechpartner, Geschäftspartner, Nutzer, Endkunden und sonstige Personen sein, deren Daten der Kunde in XGait verarbeitet.

Datenkategorien können insbesondere Identitäts-/Stammdaten, Kontaktdaten, Vertrags-/Bestelldaten, Kommunikationsdaten, Artikel-/Produktbezüge, Transaktionsdaten, Mitarbeiterdaten, Supportdaten, Dokumentinhalte, Nutzungs-/Protokolldaten, Integrationsdaten und vom Kunden definierte Felder umfassen.

Der Kunde soll besondere Kategorien personenbezogener Daten bzw. besonders schützenswerte Personendaten nur verarbeiten, wenn der konkrete XGait-Einsatz dafür ausdrücklich vorgesehen und ein angemessener Sicherheitsrahmen vereinbart ist. Der Kunde informiert Baldux, wenn seine Verarbeitung regelmäßig Daten mit erhöhtem Schutzbedarf umfasst.

4.Weisungen

Baldux verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verpflichtung eine andere Verarbeitung verlangt. Die Nutzung und Konfiguration von XGait, API-Aufrufe, Supportanfragen und administrativ dokumentierte Einstellungen gelten als Weisungen im Rahmen des Hauptvertrags.

Hält Baldux eine Weisung für datenschutzrechtswidrig, informiert Baldux den Kunden und darf die Ausführung bis zur Klärung aussetzen, soweit rechtlich zulässig.

Ist Baldux nach anwendbarem Recht zu einer Verarbeitung verpflichtet, die über die Weisungen des Kunden hinausgeht, teilt Baldux dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, einschließlich der zugrunde liegenden Rechtsgrundlage — es sei denn, das betreffende Recht verbietet eine solche Mitteilung aus wichtigem Grund des öffentlichen Interesses.

Der Kunde ist als Verantwortlicher/Auftraggeber für Rechtmäßigkeit, Zweck, Datenminimierung, Transparenz, Rechtsgrundlagen, Einwilligungen, Geheimhaltungsbefugnisse, Betroffeneninformationen, Aufbewahrungsfristen und den Inhalt seiner Weisungen verantwortlich. Dies umfasst insbesondere die Entscheidung, ob und welche personenbezogenen Daten in KI-gestützte XGait-Funktionen einbezogen werden dürfen.

5.Vertraulichkeit und Personal

Baldux stellt sicher, dass Personen mit Zugang zu personenbezogenen Kundendaten zur Vertraulichkeit verpflichtet und über Datenschutz-/Sicherheitsanforderungen informiert sind.

Zugriffsrechte werden nach Need-to-know und Least-Privilege vergeben und bei Wegfall des Bedarfs zeitnah entzogen.

6.Technische und organisatorische Maßnahmen

Baldux setzt angemessene technische und organisatorische Maßnahmen ein, die Risiko, Stand der Technik, Art, Umfang und Zweck der Verarbeitung berücksichtigen. Die vereinbarte Baseline ist in Anlage 1 dieses AVV und unter /security beschrieben.

Baldux darf Maßnahmen an technische Entwicklungen anpassen, sofern das vereinbarte Schutzniveau insgesamt nicht wesentlich abgesenkt wird.

7.Unterauftragsbearbeiter

Der Kunde erteilt Baldux eine allgemeine Genehmigung zum Einsatz von Unterauftragsbearbeitern, die zur Bereitstellung von XGait erforderlich sind.

Die aktuelle Liste wesentlicher Unterauftragsbearbeiter wird unter /unterauftragsbearbeiter geführt. Baldux informiert Kunden über neue oder ersetzte Unterauftragsbearbeiter, die personenbezogene Kundendaten verarbeiten, mit angemessenem Vorlauf, z. B. per E-Mail oder im Kundenbereich.

Der Kunde kann innerhalb von 14 Tagen aus objektiv berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Parteien keine zumutbare Lösung finden, kann Baldux die betroffene Funktion ändern oder der betroffene Leistungsteil von jeder Partei außerordentlich beendet werden.

Baldux verpflichtet Unterauftragsbearbeiter zu einem im Wesentlichen gleichwertigen Datenschutzniveau und bleibt nach Maßgabe des anwendbaren Rechts für die Erfüllung seiner Auftragsverarbeitungspflichten verantwortlich.

8.KI-Unterauftragsverarbeitung

Der Kunde erteilt Baldux die allgemeine Genehmigung, für vom Kunden aktivierte KI-Funktionen die unter /unterauftragsbearbeiter aufgeführten KI-/Modellanbieter als Unterauftragsbearbeiter einzusetzen. Die Aktivierung bzw. Nutzung einer KI-Funktion gilt als dokumentierte Weisung, die hierfür erforderlichen Eingaben, Kontextdaten, Dokumentinhalte und Metadaten im erforderlichen Umfang an die freigegebenen Anbieter zu übermitteln.

Baldux verwendet Customer Content nicht zum Training allgemeiner eigener Foundation-/Basismodelle, sofern kein ausdrückliches Opt-in des Kunden vorliegt. Bei externen KI-Anbietern hat Baldux vor produktiver Verarbeitung angemessene vertragliche/technische Vorkehrungen gegen eine Nutzung von Kundendaten für allgemeines Modelltraining zu treffen.

Die konkrete Anbieter- und Transferlage ergibt sich aus /unterauftragsbearbeiter. Für besonders sensible Verarbeitungen können die Parteien zusätzliche Einschränkungen vereinbaren.

9.Drittlandübermittlungen

Personenbezogene Daten werden außerhalb von Staaten mit anerkannt angemessenem Datenschutzniveau nur verarbeitet, wenn die gesetzlichen Transferanforderungen erfüllt sind. Dies kann insbesondere anerkannte Standardvertragsklauseln, Angemessenheitsmechanismen und – soweit erforderlich – zusätzliche technische/organisatorische Maßnahmen umfassen.

Soweit Schweizer DSG anwendbar ist, berücksichtigt Baldux Art. 16 ff. DSG; soweit DSGVO anwendbar ist, Kapitel V DSGVO.

10.Unterstützung des Kunden

Baldux unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, vorherigen Konsultationen und Nachweispflichten.

Erhält Baldux eine Betroffenenanfrage, die erkennbar Daten des Kunden betrifft, leitet Baldux diese grundsätzlich an den Kunden weiter und handelt nicht ohne Weisung, soweit keine eigene gesetzliche Pflicht besteht.

Zusätzlicher Aufwand, der über die Standardfunktionen hinausgeht und nicht auf einer Pflichtverletzung von Baldux beruht, kann nach vorheriger Abstimmung nach Aufwand berechnet werden.

11.Datensicherheitsverletzungen

Baldux informiert den Kunden über jede Verletzung der Datensicherheit, die personenbezogene Kundendaten betrifft, ohne unangemessene Verzögerung nach Kenntniserlangung. Die Meldung hängt nicht davon ab, ob Baldux das Risiko für meldepflichtig hält — ob eine Behörden- oder Betroffenenmeldung nötig ist, entscheidet der Kunde als Verantwortlicher.

Die Mitteilung enthält, soweit verfügbar, Beschreibung des Vorfalls, betroffene Daten-/Personengruppen, wahrscheinliche Folgen, bereits ergriffene bzw. geplante Maßnahmen und einen Kontaktpunkt. Fehlende Informationen können nachgereicht werden.

Baldux unterstützt den Kunden angemessen bei gesetzlichen Melde- und Benachrichtigungspflichten.

12.Nachweise und Audits

Baldux stellt dem Kunden auf angemessene Anfrage Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.

Der Kunde kann Überprüfungen einschließlich Inspektionen durchführen oder durchführen lassen. Um den laufenden Betrieb zu schonen, sollen sie vorrangig über aktuelle Sicherheitsdokumentationen, Zertifizierungen, Prüfberichte, Fragebögen oder Remote-Prüfungen erfolgen. Das Recht auf eine Vor-Ort-Prüfung bleibt davon unberührt; sie erfolgt nach angemessener Vorankündigung, zu üblichen Geschäftszeiten, unter Wahrung der Vertraulichkeit und Sicherheit anderer Kunden und in verhältnismäßigem Umfang.

Der Kunde trägt seine Auditkosten und angemessenen Zusatzaufwand von Baldux, soweit die Prüfung keinen wesentlichen Verstoß von Baldux ergibt und zwingendes Recht nichts anderes verlangt.

13.Rückgabe, Export und Löschung

Nach Ende der Auftragsverarbeitung stellt Baldux dem Kunden seine personenbezogenen Customer Contents nach Maßgabe der verfügbaren Exportfunktionen und zwingender gesetzlicher Switching-Regeln zur Verfügung oder löscht sie entsprechend der Weisung und dem Hauptvertrag.

Soweit zwingendes Recht keine längere Frist verlangt, werden exportierbare Kundendaten mindestens 30 Kalendertage nach dem maßgeblichen Vertrags-/Switching-Zeitpunkt abrufbar gehalten. Anschließend werden produktive Daten gelöscht oder anonymisiert, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Backups können bis zum regulären Überschreibungszyklus fortbestehen; sie bleiben bis dahin gegen reguläre produktive Nutzung geschützt und werden anschließend gelöscht.

14.Lösch- und Weisungskonflikte

Soweit gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen, beschränkt Baldux die weitere Verarbeitung auf den gesetzlichen Zweck. Bei widersprüchlichen Weisungen mehrerer Nutzer des Kunden darf Baldux die Ausführung bis zur Klärung durch einen autorisierten Account-Administrator aussetzen.

15.Haftung und Schlussbestimmungen

Haftung, Rechtswahl und Gerichtsstand richten sich nach dem Hauptvertrag, soweit zwingendes Datenschutzrecht keine abweichende Regelung vorsieht.

Änderungen dieses AVV bedürfen mindestens der Textform. Aktualisierungen der TOM und Unterauftragsbearbeiterliste sind nach Maßgabe dieses AVV zulässig.

Anlage 1 zum AVV – Technische und organisatorische Maßnahmen (TOM)

Diese Anlage beschreibt das vereinbarte Mindestniveau. Baldux darf die Maßnahmen an technische Entwicklungen anpassen, sofern das Schutzniveau insgesamt nicht wesentlich abgesenkt wird (Ziffer 6).