Auftragsverarbeitungsvertrag

In diesem Auftragsverarbeitungsvertrag ("AVV") haben großgeschriebene Begriffe, die nicht anderweitig definiert sind, die unten stehende Bedeutung. Begriffe wie "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person" und "Verletzung des Schutzes personenbezogener Daten" haben die in den geltenden Datenschutzgesetzen, einschließlich der DSGVO, festgelegte Bedeutung.

• "Vereinbarung" bedeutet die zugrunde liegenden Nutzungsbedingungen oder den Abonnementvertrag zwischen dem Kunden und Georithm, der die Nutzung von Georithm regelt.
• "Kundendaten" bezeichnet personenbezogene Daten, die im Auftrag des Kunden an Georithm übermittelt oder von Georithm verarbeitet werden.
• "Datenschutzgesetze" bezeichnet die geltenden Gesetze in Bezug auf die Verarbeitung personenbezogener Daten, einschließlich der DSGVO, der UK GDPR, PIPEDA und des CCPA/CPRA, soweit anwendbar.
• "Unterauftragsverarbeiter" bezeichnet einen von Georithm beauftragten Dritten zur Verarbeitung von Kundendaten.

Die Parteien erkennen an, dass in Bezug auf Kundendaten der Kunde als Verantwortlicher (oder gegebenenfalls als Unternehmen) und Georithm als Auftragsverarbeiter (oder gegebenenfalls als Dienstleister) gemäß den Datenschutzgesetzen agiert.

Georithm wird Kundendaten nur in Übereinstimmung mit den dokumentierten Weisungen des Kunden, diesem AVV und der Vereinbarung verarbeiten, sofern nicht nach geltendem Recht etwas anderes vorgeschrieben ist.

Gegenstand: die Bereitstellung der Georithm Location-Intelligence-Plattform, einschließlich Hosting, Authentifizierung, Kartierung, KI-generierter Erkenntnisse und damit verbundener Support-Dienstleistungen.

Dauer: die Verarbeitung dauert für die Laufzeit der Vereinbarung und für jeden Zeitraum danach an, in dem Georithm Kundendaten gemäß diesem AVV aufbewahrt.

Art und Zweck: Erhebung, Speicherung, Organisation, Abfrage, Nutzung und Löschung von Kundendaten, soweit dies erforderlich ist, um den Georithm-Dienst bereitzustellen, einschließlich der Erstellung von Karten, Suchergebnissen und KI-gestützten Standortanalysen, die von den autorisierten Nutzern des Kunden angefordert wurden.

Kategorien betroffener Personen:

• Autorisierte Nutzer des Kunden (Mitarbeiter, Auftragnehmer, Bevollmächtigte).
• Personen, deren Informationen in Standort-, Adress- oder Geschäftsdaten erscheinen, die von den Nutzern des Kunden in die Plattform eingegeben werden.

Kategorien personenbezogener Daten:

• Kontakt- und Identifikationsdaten (Name, E-Mail-Adresse, Geschäftsrolle).
• Authentifizierungsdaten (Anmeldemethode, Kontokennungen).
• Nutzungs- und Abfragedaten, die in die Plattform eingegeben werden.
• Abrechnungs- und Kontoverwaltungsdaten.

Besondere Kategorien von Daten: Die Parteien beabsichtigen nicht, dass besondere Kategorien personenbezogener Daten oder sensible Daten an Georithm übermittelt werden; der Kunde ist dafür verantwortlich sicherzustellen, dass er solche Daten nicht übermittelt, sofern dies nicht gesondert schriftlich vereinbart wurde.

Georithm wird:

1. Kundendaten nur auf dokumentierte Weisung des Kunden verarbeiten, auch im Hinblick auf internationale Übermittlungen, sofern nicht gesetzlich etwas anderes vorgeschrieben ist.
2. Sicherstellen, dass zur Verarbeitung der Kundendaten befugtes Personal zur Vertraulichkeit verpflichtet ist.
3. Geeignete technische und organisatorische Maßnahmen gemäß Anhang II umsetzen.
4. Den Kunden benachrichtigen, wenn eine Weisung nach Meinung von Georithm gegen geltende Datenschutzgesetze verstößt.
5. Den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Einhaltung seiner Pflichten in Bezug auf die Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzungen und die Konsultation von Aufsichtsbehörden unterstützen.

Georithm stellt sicher, dass jede zur Verarbeitung von Kundendaten befugte Person zur Vertraulichkeit verpflichtet wurde, sei es vertraglich oder gesetzlich, und beschränkt den Zugriff auf Kundendaten auf Personal, das diesen zur Erfüllung seiner Aufgaben im Zusammenhang mit der Vereinbarung benötigt.

Georithm unterhält technische und organisatorische Maßnahmen zum Schutz von Kundendaten, darunter:

• Verschlüsselung der Daten während der Übertragung zwischen Clients und der Georithm-Infrastruktur.
• Verschlüsselung der ruhenden Daten innerhalb der von Supabase gestützten Datenbank.
• Sichere Authentifizierungsmechanismen, einschließlich E-Mail/Passwort und Google-Anmeldung.
• Ratenbegrenzung (Rate Limiting) zur Minderung von Missbrauch und unbefugten Zugriffsversuchen.
• Protokollierung (Audit Logging) sicherheitsrelevanter und administrativer Aktionen.
• Rollenbasierte Zugriffsberechtigungen, die den internen Zugriff auf Kundendaten beschränken.
• Trennung von Umgebungen und Zugriffskontrollen entsprechend der Sensibilität der verarbeiteten Daten.

Diese Maßnahmen werden regelmäßig überprüft und aktualisiert, stellen jedoch keine Garantie für ununterbrochene oder absolute Sicherheit dar.

Der Kunde erteilt die allgemeine Genehmigung für Georithm, die folgenden Kategorien von Unterauftragsverarbeitern zur Unterstützung der Erbringung von Georithm zu beauftragen:

• Hosting und Datenbank — Supabase (Datenbank-Hosting und Authentifizierung).
• Zahlungen — Stripe (Zahlungsabwicklung und Abrechnung).
• Mapping — Mapbox (Kartenrendering und Geokodierung).
• KI-Modellanbieter — das KI-Modell-Gateway, das zur Erstellung von standortbasierten Erkenntnissen verwendet wird.
• E-Mail — Anbieter für den Versand transaktionaler E-Mails für Konto- und Abrechnungsbenachrichtigungen.

Georithm wird Unterauftragsverarbeitern Datenschutzpflichten auferlegen, die im Wesentlichen denen in diesem AVV entsprechen. Beabsichtigt Georithm, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, wird Georithm den Kunden benachrichtigen, und der Kunde kann aus begründeten Datenschutzgründen widersprechen. Können die Parteien den Einspruch nicht beilegen, kann der Kunde den betroffenen Dienst gemäß der Vereinbarung kündigen.

Unter Berücksichtigung der Natur der Verarbeitung wird Georithm dem Kunden durch geeignete technische und organisatorische Maßnahmen sowie In-App-Tools angemessene Unterstützung leisten, um den Kunden bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte (wie Auskunft, Berichtigung, Löschung oder Übertragbarkeit) gemäß geltenden Datenschutzgesetzen zu unterstützen. Der Kunde bleibt als Verantwortlicher für die Beantwortung von Anfragen betroffener Personen zuständig.

Georithm wird den Kunden ohne unangemessene Verzögerung und in jedem Fall innerhalb von 72 Stunden, nachdem Georithm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die Kundendaten betrifft, benachrichtigen. Georithm stellt dabei Informationen zur Verfügung, die Georithm vernünftigerweise vorliegen, um den Kunden bei der Erfüllung seiner eigenen Benachrichtigungspflichten gemäß den geltenden Datenschutzgesetzen zu unterstützen. Georithm wird mit dem Kunden kooperieren und angemessene Schritte unternehmen, um die Auswirkungen einer solchen Verletzung zu mildern.

Georithm stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, und ermöglicht Audits, einschließlich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Dies unterliegt einer angemessenen Vorankündigung, Vertraulichkeitspflichten und erfolgt nicht häufiger als einmal pro Jahr, es sei denn, eine Aufsichtsbehörde verlangt dies oder ein Sicherheitsvorfall ist eingetreten.

Sofern die Verarbeitung von Kundendaten eine Übermittlung aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land beinhaltet, das nicht als ein Land mit angemessenem Schutzniveau angesehen wird, vereinbaren die Parteien, dass solche Übermittlungen den Standardvertragsklauseln der Europäischen Kommission und, falls zutreffend, dem UK International Data Transfer Addendum unterliegen. Diese werden durch Verweis in diesen AVV aufgenommen und gehen im Falle widersprüchlicher Bestimmungen vor, soweit dies zur Gewährleistung eines rechtmäßigen Übermittlungsmechanismus erforderlich ist.

Bei Beendigung oder Ablauf der Vereinbarung wird Georithm nach Wahl des Kunden alle Kundendaten löschen oder zurückgeben und vorhandene Kopien innerhalb eines angemessenen Zeitraums löschen, sofern das geltende Recht nicht die Aufbewahrung einiger oder aller Kundendaten erfordert; in diesem Fall wird Georithm diese Daten isolieren und vor weiterer Verarbeitung schützen.

Die Haftung jeder Partei, die sich aus oder im Zusammenhang mit diesem AVV ergibt, unterliegt den in der Vereinbarung festgelegten Haftungsbeschränkungen und -ausschlüssen, es sei denn, geltende Datenschutzgesetze untersagen eine solche Beschränkung.

Im Falle eines Konflikts zwischen diesem AVV und der Vereinbarung bezüglich der Verarbeitung personenbezogener Daten hat dieser AVV im Umfang des Konflikts Vorrang. Im Falle eines Konflikts zwischen diesem AVV und den gemäß Abschnitt 12 einbezogenen Standardvertragsklauseln oder dem UK Addendum haben die Standardvertragsklauseln oder das UK Addendum Vorrang.

Dieser AVV soll mit der Annahme durch beide Parteien Teil der Vereinbarung zwischen dem Kunden und Georithm werden. Um diesen AVV abzuschließen oder eine gegengezeichnete Kopie anzufordern, kontaktieren Sie jerogz@georithm.info. Soweit erforderlich, können die Parteien ein Unterschriftsfeld ausfüllen oder eine Click-Through-Akzeptanz unter Bezugnahme auf diesen AVV sowie dessen Version und Datum des Inkrafttretens verwenden.