Auftragsverarbeitungsvertrag für Vavus Concierge

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen der DCI Brands LLC („Vavus“, „wir“, der Auftragsverarbeiter), 312 W 2nd Street, Casper, WY 82601, United States, und dem Unternehmen, das einen Arbeitsbereich in Vavus Concierge betreibt (der Mandant, der Verantwortliche). Er gilt für Besucherdaten, die Vavus auf Weisung des Mandanten über den Concierge-Dienst verarbeitet: die Konsole, das Website-Widget, gehostete Agent-Seiten, Telefon- und Nachrichtenkanäle sowie Buchungen.

Er ergänzt die Nutzungsbedingungen von Vavus Concierge, die der Mandant zusammen mit diesem AVV akzeptiert. Soweit dieser AVV hinsichtlich der Verarbeitung von Besucherdaten im Widerspruch zu den Concierge-Bedingungen steht, ist dieser AVV maßgeblich. Er ist so abgefasst, dass er Artikel 28 der DSGVO und der UK GDPR, Artikel 9 des schweizerischen Bundesgesetzes über den Datenschutz (DSG) sowie vergleichbaren Verpflichtungen für Auftragsverarbeiter in anderen Rechtsordnungen genügt; soweit örtliches Recht strengere Pflichten für Auftragsverarbeiter vorsieht, gehen diese für die Verarbeitung in der betreffenden Rechtsordnung vor. Anhang IV gilt zusätzlich, soweit ein Datenschutzgesetz eines US-Bundesstaats auf die Besucherdaten des Mandanten Anwendung findet.

Der Mandant ist der Verantwortliche für die Besucherdaten: Er entscheidet, was der Assistent tut, über welches Wissen er verfügt, welche Kanäle betrieben werden und was von Besuchern abgefragt wird. Vavus ist der Auftragsverarbeiter: Wir handeln ausschließlich auf Weisung des Mandanten über die Konsole und im Rahmen des regulären Betriebs des Dienstes und verarbeiten Besucherdaten ausschließlich, um Concierge bereitzustellen.

Wir informieren den Mandanten unverzüglich, wenn eine Weisung nach unserer Auffassung gegen anwendbares Datenschutzrecht verstößt, und wir führen keine offensichtlich rechtswidrige Weisung aus. Verlangt das Recht eine Verarbeitung außerhalb der dokumentierten Weisungen, informieren wir den Mandanten vor dieser Verarbeitung, sofern das Recht dies nicht verbietet. Wir verarbeiten Besucherdaten nicht für eigene Zwecke, und wir verwenden sie weder zum Training unserer Modelle noch verkaufen wir sie.

Dieser AVV, einschließlich der Übermittlungsbedingungen in Abschnitt 7 und in den Abschnitten 13 bis 15, erfasst einen Mandanten, der Verantwortlicher für seine Besucherdaten ist. Er erfasst keinen Mandanten, der die Daten im Auftrag eines anderen Verantwortlichen verarbeitet, da er Modul Drei (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter) der Klauseln nicht anbietet; ein solches Unternehmen darf ihn für diese Daten nicht akzeptieren.

Der Mandant ist für die Rechtmäßigkeit dessen verantwortlich, was er von uns verlangt. Er bestätigt, dass er über eine Rechtsgrundlage für die Verarbeitung verfügt, einschließlich nach den Artikeln 6, 9 und 10 der DSGVO, soweit diese anwendbar sind; dass er den Besuchern die nach den Artikeln 12 bis 14 erforderlichen Informationen erteilt und jede gesetzlich erforderliche Einwilligung eingeholt hat, einschließlich für das Aufzeichnen oder Übersetzen eines Anrufs; und dass seine Weisungen mit dem Datenschutzrecht im Einklang stehen. Sofern der Arbeitsbereich nicht für das Gesundheitswesen konfiguriert ist, wird der Mandant keine Besucherdaten in den Dienst leiten, die behördliche Identifikationsnummern, Zahlungskartennummern, Zugangsdaten zu Finanzkonten, Passwörter für andere Dienste, biometrische Daten, wissentlich von Kindern unter 16 Jahren erhobene Daten oder besondere Kategorien von Daten wie Gesundheit, rassische oder ethnische Herkunft, politische Meinungen, Religion oder sexuelle Orientierung enthalten, und er wird solche Daten, die versehentlich eingehen, entfernen. Der Mandant hält seine Zugangsdaten zur Konsole sicher, entscheidet, wer in seinem Team Zugriff hat, bewahrt eine eigene Kopie von allem auf, dessen Verlust er sich nicht leisten kann, und bestätigt, dass er die Maßnahmen in Abschnitt 5 und Anhang II geprüft hat und sie für die Daten, die er über Concierge verarbeitet, für angemessen hält.

Kategorien von Besucherdaten, wie sie durch die Konfiguration des Mandanten erhoben werden: Kennungen, die der Besucher angibt (Name, Telefonnummer, E-Mail-Adresse), Inhalte von Unterhaltungen (Nachrichten, Sprachaudio, Transkripte und etwaige vom Mandanten betriebene Aufzeichnungen), Kontakt- und Buchungsdatensätze, die der Assistent aufgrund von Handlungen des Besuchers anlegt, technische Sitzungsdaten (Zeitstempel, Kanal, Sprache) sowie personenbezogene Daten, die in Material enthalten sind, das der Mandant in das Wissen des Assistenten hochlädt, oder in Stimmproben, die der Mandant zur Erstellung einer individuellen Stimme bereitstellt.

Betroffene Personen sind die Besucher, Kunden, potenziellen Kunden und Mitarbeiter des Mandanten, deren Informationen dem Dienst bereitgestellt werden. Die Verarbeitung umfasst das Erheben, Übermitteln, Organisieren, Speichern, Abrufen, Übersetzen, das Erzeugen von Antworten, die Offenlegung gegenüber befugten Mitarbeitern und verbundenen Anbietern sowie das Löschen. Zweck: Bereitstellung von Concierge nach den Weisungen des Mandanten. Die Dauer richtet sich nach den anwendbaren Aufbewahrungseinstellungen und nach Abschnitt 9, statt sich automatisch auf die gesamte Lebensdauer des Arbeitsbereichs zu erstrecken.

Zugriff haben nur Mitarbeiter, die ihn zum Betrieb oder zur Absicherung des Dienstes benötigen, und zwar unter Vertraulichkeitsverpflichtungen; bei Arbeitsbereichen, die für das Gesundheitswesen konfiguriert sind, wird der Zugriff protokolliert. Wir übernehmen keine Besucherinhalte in Analysedaten, Support-Chats oder öffentliche Tracker.

Der Dienst läuft auf unserer eigenen Infrastruktur unter den auf unserer Seite „Sicherheit“ beschriebenen Maßnahmen: TLS bei der Übertragung, Verschlüsselung im Ruhezustand, Zugriff nach dem Prinzip der geringsten Berechtigung, Audit-Protokollierung, sichere Löschung von Dateien nach Ablauf ihrer Aufbewahrungsfrist und gehärtete Endpunkte hinter einer Web Application Firewall. Aufzeichnungen werden in einem zugriffsgeschützten Objektspeicher gehalten; der Zugriff auf die Konsole ist authentifiziert und rollenbezogen beschränkt. Wir können diese Maßnahmen anpassen, wenn sich Technik und Bedrohungen ändern, sofern das Gesamtschutzniveau der Besucherdaten dadurch nicht wesentlich sinkt.

Wir setzen Unterauftragsverarbeiter nach Funktion ein: Cloud-Hosting und -Speicher (Google Cloud); Spracherkennung, Sprachsynthese, Übersetzung und KI-Modelle (Google, OpenAI, Anthropic, ElevenLabs und AssemblyAI); semantisches Routing von Gesprächsbeiträgen, soweit der Arbeitsbereich dies aktiviert (TypeSafe); Telefonie und Textnachrichten für Telefonnummern, die wir dem Mandanten zur Verfügung stellen (Twilio); Zahlungen für den eigenen Tarif und die eigene Nutzung des Mandanten (Stripe); E-Mail-Zustellung (Resend sowie unser selbst gehosteter Postal-Server auf unserer eigenen Infrastruktur); und – soweit der Mandant Telefonie-, Messaging-, Zahlungs-, Buchungs- oder Geschäftssysteme verbindet – die eigenen Anbieter des Mandanten (etwa sein eigenes Twilio-Konto, den Anbieter von WhatsApp, sein eigenes Stripe-Konto, seinen Kalender oder sein CRM), die der Mandant unmittelbar in eigener Verantwortung beauftragt. Anhang III nennt jeden Unterauftragsverarbeiter und seine Funktion.

Der Mandant erteilt eine allgemeine schriftliche Genehmigung für die Unterauftragsverarbeiter, die in der für seinen Dienst bereitgestellten aktuellen Liste aufgeführt sind. Wir erlegen jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleiben dem Mandanten gegenüber für dessen Leistung verantwortlich. Besucherinhalte dürfen ohne eine gesonderte rechtmäßige Weisung und vertragliche Grundlage nicht für das Modelltraining verwendet werden. Die aktuelle namentliche Liste ist Anhang III und ist außerdem auf Anfrage erhältlich; bevor ein neuer Unterauftragsverarbeiter Besucherdaten verarbeitet, informieren wir den Mandanten mindestens 30 Tage im Voraus in der Konsole oder per E-Mail, und innerhalb dieser Frist kann der Mandant aus berechtigten datenschutzrechtlichen Gründen widersprechen. Wir arbeiten dann nach Treu und Glauben mit dem Mandanten an einer Lösung des Widerspruchs; gelingt dies nicht, kann der Mandant den Arbeitsbereich beenden, bevor der neue Unterauftragsverarbeiter seine Daten verarbeitet, und dies ist der einzige Rechtsbehelf für den Widerspruch. Bereits fällige Entgelte bleiben zahlbar, und eine etwaige Erstattung richtet sich nach den Concierge-Bedingungen.

Der Dienst wird in den Vereinigten Staaten und, für geringere Latenz, an einem Edge-Standort in der Europäischen Union (Frankfurt) betrieben. Besucherdaten können daher in beiden Regionen verarbeitet werden, je nachdem, wie die Sitzungen geleitet werden. Bevor eine beschränkte internationale Übermittlung stattfindet, müssen die Parteien den anwendbaren rechtmäßigen Übermittlungsmechanismus festlegen und die Empfangsorte und Garantien dokumentieren. Soweit Standardvertragsklauseln verwendet werden, müssen die anwendbaren Klauseln, das Modul, die Optionen und die ausgefüllten Anhänge Bestandteil der Übermittlungsvereinbarung sein.

Für Übermittlungen von Besucherdaten an uns in den Vereinigten Staaten ist dieser AVV diese Übermittlungsvereinbarung, und der Mandant stützt sich ohne gesonderte Unterschrift darauf: für Übermittlungen, die der DSGVO unterliegen (aus dem Europäischen Wirtschaftsraum), die Klauseln in der Ausgestaltung nach Abschnitt 13 und seinen Anhängen; für Übermittlungen, die dem Datenschutzrecht des Vereinigten Königreichs unterliegen, die Klauseln zusammen mit dem International Data Transfer Addendum des Vereinigten Königreichs in der Ausgestaltung nach Abschnitt 14; und für Übermittlungen, die dem schweizerischen DSG unterliegen, die Klauseln mit den schweizerischen Anpassungen nach Abschnitt 15. Jede dieser Regelungen gilt für jede Übermittlung, die ihrem Recht unterliegt, unabhängig davon, welche Antwort der Mandant in der Konsole zu Daten aus dem Vereinigten Königreich oder der Schweiz gegeben hat. Unterliegt dieselbe Übermittlung mehr als einem dieser Rechte, gilt jede Regelung im Umfang ihres eigenen Rechts, und keine schmälert den Schutz, den eine andere gewährt.

Übermittlungen, die den Übermittlungsvorschriften eines anderen Landes unterliegen, erfordern den nach diesem Recht vorgeschriebenen Mechanismus; wenden Sie sich an uns, bevor Sie eine Verarbeitung aktivieren, die einen solchen erfordert. Wir sind weder nach dem EU-US Data Privacy Framework noch nach dessen UK Extension noch nach dem Swiss-US Data Privacy Framework zertifiziert, und keine Übermittlung nach diesem AVV stützt sich darauf.

Besucher sind Kunden des Mandanten: Anträge eines Besuchers zu seinen Daten (Auskunft, Berichtigung, Löschung, Widerspruch) gehen an den Mandanten als Verantwortlichen, und der Mandant beantwortet sie mithilfe der Löschung je Kontakt in der Konsole. Unter Berücksichtigung der Art der Verarbeitung unterstützen wir durch geeignete technische und organisatorische Maßnahmen bei Anträgen nach Kapitel III der DSGVO und bei den entsprechenden Rechten nach der UK GDPR und dem DSG. Unter Berücksichtigung der uns zur Verfügung stehenden Informationen unterstützen wir außerdem bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation von Aufsichtsbehörden nach den Artikeln 32 bis 36 der DSGVO und den entsprechenden Bestimmungen der UK GDPR und des DSG. Unterstützung, die über das hinausgeht, was der Dienst bereits bietet, etwa das Zusammenstellen von Unterlagen für eine Datenschutz-Folgenabschätzung, kann zu unseren dann geltenden Sätzen für professionelle Dienstleistungen berechnet werden, die dem Mandanten vorab mitgeteilt werden.

Wenn uns ein Sicherheitsvorfall bekannt wird, der Besucherdaten in einem Arbeitsbereich betrifft, benachrichtigen wir den Mandanten unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Wir warten nicht auf den Abschluss einer Untersuchung und betrachten die aufsichtsrechtliche Meldefrist des Verantwortlichen nicht als unsere Benachrichtigungsfrist. Wir stellen die verfügbaren Angaben zur Verletzung, zu den betroffenen Daten und Personen, zu den wahrscheinlichen Folgen, zur Anlaufstelle und zu Abhilfemaßnahmen bereit und liefern weitere Informationen schrittweise, sobald sie verfügbar sind. Der Mandant übernimmt als Verantwortlicher etwaige Benachrichtigungen seiner eigenen Besucher oder von Aufsichtsbehörden.

Erfolglose Versuche, die Besucherdaten nicht gefährden, etwa blockierte Anmeldeversuche, Scans oder Pings, sind keine Vorfälle und werden nicht gemeldet. Eine Benachrichtigung ist kein Eingeständnis eines Verschuldens oder einer Haftung. Soweit das Gesetz es zulässt, informiert uns der Mandant, bevor er Vavus in einer Mitteilung über einen Vorfall gegenüber einer Aufsichtsbehörde, Besuchern oder der Öffentlichkeit nennt, und berücksichtigt nach Treu und Glauben jede Korrektur, um die wir hinsichtlich unserer Rolle bei dem Vorfall bitten.

Das Löschen eines Arbeitsbereichs entfernt dessen Konfiguration und Unterhaltungsmaterial, einschließlich der Aufzeichnungen im Objektspeicher, vorbehaltlich des Auslaufens verschlüsselter Sicherungskopien nach unserer Lebenszyklusrichtlinie und der Aufzeichnungen, die wir nach dem Gesetz aufbewahren müssen (Abrechnungsunterlagen für die gesetzliche steuerliche Aufbewahrungsfrist). Das Löschen je Kontakt entfernt das Unterhaltungsmaterial dieses Kontakts. Bei Beendigung geben wir die verbleibenden personenbezogenen Daten des Mandanten nach dessen Wahl in einem nutzbaren Format zurück oder löschen sie, und wir löschen vorhandene Kopien, sofern nicht anwendbares Recht eine Aufbewahrung verlangt. Ein Rückgabeverlangen muss vor einer unwiderruflichen Löschweisung erfolgen. Aufbewahrte Sicherungskopien bleiben geschützt, werden nicht für die reguläre Verarbeitung verwendet und nach dem anwendbaren dokumentierten Lebenszyklus gelöscht; werden sie wiederhergestellt, müssen die Löschweisungen erneut angewendet werden.

Erteilt der Mandant innerhalb von 30 Tagen nach dem Ende des Arbeitsbereichs keine Weisung, löschen wir die verbleibenden personenbezogenen Daten. Auf Anfrage bestätigen wir die Löschung schriftlich.

Wir stellen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, und ermöglichen Prüfungen, einschließlich Inspektionen, durch den Mandanten oder einen von ihm beauftragten unabhängigen Prüfer und tragen dazu bei. Diese Rechte stehen jedem Mandanten zu und setzen kein Enterprise-Abonnement voraus.

Prüfungen beginnen mit Unterlagen. Auf Anfrage stellen wir unsere Sicherheitsdokumentation, die Maßnahmen in Anhang II und Antworten auf einen angemessenen Sicherheitsfragebogen bereit, und soweit ein aktueller Bericht eines unabhängigen Prüfers die betreffenden Kontrollen abdeckt, stellen wir diesen Bericht anstelle einer neuen Prüfung dieser Kontrollen bereit. Wenn Unterlagen tatsächlich nicht ausreichen, nach einer bestätigten Verletzung, die Daten des Mandanten betrifft, oder wenn eine Aufsichtsbehörde es verlangt, kann der Mandant eine Inspektion durchführen: einmal innerhalb von 12 Monaten, sofern nicht eine Verletzung oder eine Aufsichtsbehörde mehr erfordert, nach schriftlicher Ankündigung mit einer Frist von 30 Tagen und einem vorgeschlagenen Prüfungsumfang, während der Geschäftszeiten, auf Grundlage einer Vertraulichkeitsvereinbarung, ohne Zugriff auf Daten anderer Kunden und durch einen Prüfer, der nicht unser Wettbewerber ist. Prüfungen erfolgen auf Kosten des Mandanten, und der Mandant teilt uns seine Feststellungen mit. Nichts davon verhindert eine Inspektion, die eine Aufsichtsbehörde rechtmäßig verlangt.

Dieser AVV gilt, solange der Arbeitsbereich des Mandanten besteht, und endet mit der Löschung des Arbeitsbereichs; seine Datenschutzpflichten gelten fort, solange wir oder unsere Unterauftragsverarbeiter personenbezogene Daten von Besuchern aufbewahren. Die Bestimmungen der Concierge-Bedingungen über Streitigkeiten, Haftung und anwendbares Recht gelten nur insoweit, als sie zwingende Datenschutzrechte, Befugnisse der Aufsichtsbehörden oder eine anwendbare Übermittlungsvereinbarung nicht einschränken; im Konfliktfall hat diese Vereinbarung Vorrang.

Datenschutzangelegenheiten, Listen der Unterauftragsverarbeiter, die Standardvertragsklauseln, das UK Addendum und die schweizerischen Anpassungen: support@vavusai.com.

Für Übermittlungen personenbezogener Daten von Besuchern aus dem Europäischen Wirtschaftsraum an uns in den Vereinigten Staaten bezieht dieser AVV die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer ein, die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 erlassen wurden (die „Klauseln“), Modul Zwei (Übermittlung von Verantwortlichen an Auftragsverarbeiter), ergänzt durch die nachfolgenden Anhänge. Für Übermittlungen, die der DSGVO unterliegen, werden die Klauseln ohne Änderung einbezogen; die Abschnitte 14 und 15 legen fest, wie dieselben Klauseln auf Übermittlungen anzuwenden sind, die dem Recht des Vereinigten Königreichs und der Schweiz unterliegen. Sie werden durch die aufgezeichnete Annahme der Concierge-Bedingungen zusammen mit diesem AVV durch den Mandanten abgeschlossen: Die Version und der Zeitstempel dieser Annahme, die der Dienst aufzeichnet, bilden zusammen mit unserer Veröffentlichung dieses AVV in dieser Version die schriftliche Vereinbarung der Parteien über die Klauseln, sodass keine gesonderte Unterschrift erforderlich ist.

Die Optionen der Klauseln werden wie folgt ausgeübt. Die fakultative Kopplungsklausel (Klausel 7) wird nicht verwendet. Klausel 9 Buchstabe a gilt in der Option der allgemeinen schriftlichen Genehmigung: Die Regelung zu Unterauftragsverarbeitern in Abschnitt 6 ist die vereinbarte Genehmigung, und ihre Vorankündigungsfrist von 30 Tagen füllt die Frist der Klausel aus. Die fakultative unabhängige Streitbeilegungsstelle nach Klausel 11 Buchstabe a wird nicht angeboten. Die zuständige Aufsichtsbehörde nach Klausel 13 bestimmt sich nach den Kriterien von Klausel 13 Buchstabe a, wie in Anhang I.C dargelegt. Nach Klausel 17 unterliegen die Klauseln dem Recht des Mitgliedstaats, in dem der Mandant niedergelassen ist, oder, wenn der Mandant nicht in einem Mitgliedstaat niedergelassen ist oder dieses Recht keine Rechte als Drittbegünstigte zulässt, dem Recht Irlands; nach Klausel 18 Buchstabe b sind die Gerichte dieses Mitgliedstaats bzw. in jenem Fall die Gerichte Irlands zuständig, und nach Klausel 18 Buchstabe c kann eine betroffene Person auch in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts Klage erheben. In den Klauseln, wie sie nach diesem Abschnitt gelten, umfassen Mitgliedstaaten auch die Staaten des Europäischen Wirtschaftsraums, die nicht Mitglied der Europäischen Union sind.

Soweit die Klauseln und dieser AVV im Widerspruch zueinander stehen, haben die Klauseln im Umfang des Widerspruchs Vorrang, im Einklang mit Abschnitt 11. Nach Klausel 8.3 (Modul Zwei) stellt der Mandant die Klauseln einschließlich dieser Anhänge einer betroffenen Person, die darum ersucht, zur Verfügung; wir stellen den Text auf Anfrage bereit, um dies zu ermöglichen.

Für Übermittlungen personenbezogener Daten von Besuchern, auf die das Datenschutzrecht des Vereinigten Königreichs anwendbar ist (eingeschränkte Übermittlungen – Restricted Transfers – nach der UK GDPR), bezieht dieser AVV das vom Information Commissioner nach Section 119A(1) des Data Protection Act 2018 herausgegebene International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (Zusatz für internationale Datenübermittlungen zu den Standardvertragsklauseln der EU-Kommission), Version B1.0, in Kraft seit dem 21. März 2022 (der „Zusatz“), ein, ergänzt durch die Tabellen in diesem Abschnitt. Er gilt für jede solche Übermittlung, unabhängig davon, welche Antwort der Mandant in der Konsole zu Daten aus dem Vereinigten Königreich gegeben hat. Wie Section 2 des Zusatzes es erlaubt, schließen die Parteien ihn durch die aufgezeichnete Annahme dieses AVV in dieser Version durch den Mandanten und unsere Veröffentlichung dieses AVV in dieser Version ab, wodurch er für beide Parteien rechtsverbindlich wird und betroffene Personen ihre Rechte daraus durchsetzen können; eine gesonderte Unterschrift ist nicht erforderlich.

Tabelle 1 – Parteien. Beginndatum: das Datum, an dem die Konsole die Annahme dieser Version durch den Mandanten aufzeichnet. Exporteur: der Mandant, mit dem vollständigen rechtlichen Namen, dem Handelsnamen, der Hauptanschrift, der amtlichen Registernummer und der wichtigsten Kontaktperson (Name und Funktion der annehmenden Person sowie die geschäftliche Datenschutz-Kontakt-E-Mail-Adresse), die mit seiner Annahme in der Konsole aufgezeichnet werden. Importeur: DCI Brands LLC, handelnd als Vavus; Hauptanschrift 312 W 2nd Street, Casper, WY 82601, United States; amtliche Registernummer: Wyoming Secretary of State filing ID 2017-000762309; wichtigste Kontaktperson: Dragos Ignat, Inhaber und Gründer, support@vavusai.com. Unterschrift: nicht erforderlich, wie oben dargelegt.

Tabelle 2 – Ausgewählte SCC, Module und ausgewählte Klauseln. Die genehmigten EU-SCC (Approved EU SCCs), einschließlich der Anhanginformationen, wobei für die Zwecke des Zusatzes nur die folgenden Module, Klauseln und fakultativen Bestimmungen in Kraft gesetzt werden: Modul 2 (Übermittlung von Verantwortlichen an Auftragsverarbeiter) ist in Kraft, die Module 1, 3 und 4 sind es nicht; Klausel 7 (Kopplungsklausel) wird nicht verwendet; die Option nach Klausel 11 (unabhängige Streitbeilegungsstelle) wird nicht verwendet; Klausel 9 Buchstabe a gilt in der Option der allgemeinen schriftlichen Genehmigung, mit einer Frist von 30 Tagen vorheriger Ankündigung.

Tabelle 3 – Anhanginformationen. Anhang 1A (Liste der Parteien): Anhang I.A dieses AVV. Anhang 1B (Beschreibung der Übermittlung): Anhang I.B dieses AVV. Anhang II (technische und organisatorische Maßnahmen, einschließlich derjenigen zur Gewährleistung der Sicherheit der Daten): Anhang II dieses AVV. Anhang III (Liste der Unterauftragsverarbeiter): Anhang III dieses AVV.

Tabelle 4 – Beendigung dieses Zusatzes bei Änderung des genehmigten Zusatzes. Welche Parteien diesen Zusatz nach Section 19 des Zusatzes beenden können: keine Partei. Wenn der Information Commissioner nach Section 18 des Zusatzes einen überarbeiteten genehmigten Zusatz (Approved Addendum) herausgibt, wird dieser Zusatz ab dem darin festgelegten Beginndatum so geändert, wie es die Überarbeitung vorsieht.

Verbindliche Klauseln: Part 2: Mandatory Clauses des genehmigten Zusatzes, nämlich des vom ICO herausgegebenen und am 2. Februar 2022 gemäß s119A des Data Protection Act 2018 dem Parlament vorgelegten Muster-Zusatzes B.1.0, in seiner jeweils nach Section 18 dieser Mandatory Clauses überarbeiteten Fassung. Nach diesen Mandatory Clauses unterliegt der Zusatz dem Recht von England und Wales, Streitigkeiten werden von den Gerichten von England und Wales entschieden, eine betroffene Person kann auch vor den Gerichten jedes Landesteils des Vereinigten Königreichs gegen jede Partei Klage erheben, und der Information Commissioner ist die Aufsichtsbehörde. Wir stellen den Text des Zusatzes auf Anfrage bereit.

Risikobewertung für Übermittlungen aus dem Vereinigten Königreich. Für die Übermittlung an uns in den Vereinigten Staaten stützt sich der Mandant als Exporteur bei der Bewertung des Rechts und der Praxis der Vereinigten Staaten hinsichtlich des Zugriffs von Behörden auf personenbezogene Daten und der Durchsetzbarkeit des Zusatzes auf die vom Department for Science, Innovation and Technology erstellte Analyse der britischen Regierung zu den einschlägigen Gesetzen und Praktiken der Vereinigten Staaten, wie es die Leitlinien des Information Commissioner zur Durchführung einer Risikobewertung für Übermittlungen in die Vereinigten Staaten erlauben, auch bei einem Empfänger, der nicht nach der UK Extension to the EU-US Data Privacy Framework zertifiziert ist. Nach dieser Analyse ist der Schutz der übermittelten Daten bei Geltung des Zusatzes nicht wesentlich geringer als nach dem Datenschutzrecht des Vereinigten Königreichs. Wir sind nicht nach diesem Rahmen zertifiziert, und diese Bewertung stützt sich nicht auf eine Zertifizierung. Die von ihr erfasste Übermittlung ist die in Anhang I.B beschriebene, mit den Weiterübermittlungen in Anhang III und den Garantien in Anhang II und der Zusammenfassung der Übermittlungsfolgenabschätzung. Wir informieren den Mandanten unverzüglich, wenn die britische Regierung diese Analyse zurückzieht oder wesentlich ändert oder wenn wir den Zusatz nicht mehr einhalten können, und die Parteien überprüfen diese Bewertung dann.

Für Übermittlungen personenbezogener Daten von Besuchern, auf die das schweizerische Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG) anwendbar ist, gelten die nach Abschnitt 13 einbezogenen Klauseln als vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannte Standarddatenschutzklauseln nach Art. 16 Abs. 2 Bst. d DSG, mit den nachstehenden Anpassungen. Sie gelten für jede solche Übermittlung, unabhängig davon, welche Antwort der Mandant in der Konsole zu Daten aus der Schweiz gegeben hat. Unterliegt eine Übermittlung sowohl dem DSG als auch der DSGVO, behalten die Parteien getrennte Regelungen bei: Diese Anpassungen gelten nur, soweit die Übermittlung dem DSG unterliegt, und Abschnitt 13 gilt ohne Änderung weiter, soweit sie der DSGVO unterliegt.

• Verweise auf die Verordnung (EU) 2016/679 sind als Verweise auf das DSG zu verstehen, soweit die Übermittlung dem DSG unterliegt.
• Der EDÖB ist für Übermittlungen, die dem DSG unterliegen, die zuständige Aufsichtsbehörde nach Klausel 13 und Anhang I.C; unterliegt eine Übermittlung auch der DSGVO, bleibt die nach Klausel 13 Buchstabe a bestimmte Behörde für diesen Teil parallel zuständig.
• Für Übermittlungen, die ausschließlich dem DSG unterliegen, unterliegen die Klauseln nach Klausel 17 schweizerischem Recht, und Streitigkeiten zwischen den Parteien nach Klausel 18 Buchstabe b werden von den Gerichten der Schweiz am Sitz des Mandanten entschieden.
• Der Begriff „Mitgliedstaat“ in den Klauseln darf nicht so ausgelegt werden, dass betroffene Personen in der Schweiz von der Möglichkeit ausgeschlossen werden, ihre Rechte an ihrem Ort des gewöhnlichen Aufenthalts, der Schweiz, nach Klausel 18 Buchstabe c gerichtlich geltend zu machen.
• Die Zusammenfassung der Übermittlungsfolgenabschätzung gilt für diese Übermittlungen, gelesen mit Bezug auf das DSG. Wir sind nicht nach dem Swiss-US Data Privacy Framework zertifiziert, sodass die Anerkennung der Vereinigten Staaten durch den Bundesrat für zertifizierte Unternehmen Übermittlungen an uns nicht erfasst. Das DSG verlangt nicht, dass die Verwendung dieser Klauseln dem EDÖB gemeldet wird.

Datenexporteur: der Mandant, der Verantwortliche für die Besucherdaten, niedergelassen in dem für den Arbeitsbereich in der Konsole aufgezeichneten Land, bei dem es sich um einen Mitgliedstaat des Europäischen Wirtschaftsraums, das Vereinigte Königreich, die Schweiz oder ein anderes Land handeln kann; unterliegt ein anderswo niedergelassener Mandant bei seiner Verarbeitung von Besucherdaten der DSGVO, dem Datenschutzrecht des Vereinigten Königreichs oder dem DSG, ist er Datenexporteur für die Übermittlungen, die diesem Recht unterliegen. Seine für die Übermittlung relevanten Tätigkeiten sind der Betrieb seines Unternehmens und die Steuerung des Concierge-Arbeitsbereichs über die Konsole. Sein vollständiger rechtlicher Name, sein Handelsname, seine Anschrift, seine Registernummer, seine Datenschutz-Kontakt-E-Mail-Adresse sowie Name und Funktion der Person, die für ihn angenommen hat, sind die mit seiner Annahme in der Konsole aufgezeichneten Angaben. Rolle: Verantwortlicher.

Datenimporteur: DCI Brands LLC („Vavus“, der Auftragsverarbeiter), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State filing ID 2017-000762309); für die Übermittlung relevante Tätigkeiten: Bereitstellung des Concierge-Dienstes nach diesem AVV; Kontakt in Datenschutzangelegenheiten: support@vavusai.com. Rolle: Auftragsverarbeiter.

Unterschrift und Datum: für den Datenexporteur seine in der Konsole aufgezeichnete Annahme dieses AVV (Version, Datum und Uhrzeit sowie die annehmende Person); für den Datenimporteur unsere Veröffentlichung dieses AVV in dieser Version, wie in Abschnitt 13 vorgesehen.

Kategorien betroffener Personen: die Besucher, Kunden, potenziellen Kunden und Mitarbeiter des Mandanten, deren Informationen dem Dienst bereitgestellt werden.

Kategorien personenbezogener Daten: Kennungen, die der Besucher angibt (Name, Telefonnummer, E-Mail-Adresse), Inhalte von Unterhaltungen (Nachrichten, Sprachaudio, Transkripte und etwaige vom Mandanten betriebene Aufzeichnungen), Kontakt- und Buchungsdatensätze, die der Assistent aufgrund von Handlungen des Besuchers anlegt, technische Sitzungsdaten (Zeitstempel, Kanal, Sprache) sowie personenbezogene Daten, die in Material enthalten sind, das der Mandant in das Wissen des Assistenten hochlädt, oder in Stimmproben, die der Mandant zur Erstellung einer individuellen Stimme bereitstellt.

Sensible Daten: Der Dienst erhebt nicht routinemäßig Daten besonderer Kategorien. Soweit die Konfiguration eines Mandanten Gesundheitsinformationen vorhersehbar macht (für das Gesundheitswesen konfigurierte Arbeitsbereiche), ist der Zugriff auf Mitarbeiter beschränkt, die ihn benötigen, und wird protokolliert, und der Mandant bleibt dafür verantwortlich, dass deren Erhebung auf seiner eigenen Rechtsgrundlage und seinen eigenen Weisungen beruht.

Häufigkeit und Dauer: fortlaufend, für die Lebensdauer des Arbeitsbereichs, je nachdem, wann Sitzungen, Buchungen und Nutzung der Konsole stattfinden; die Aufbewahrung richtet sich nach den Abschnitten 3 und 9. Art und Zweck: Erheben, Übermitteln, Organisieren, Speichern, Abrufen, Übersetzen, Erzeugen von Antworten, Offenlegung gegenüber befugten Mitarbeitern und den Unterauftragsverarbeitern in Anhang III sowie Löschen, um Concierge nach den Weisungen des Mandanten bereitzustellen. Weiterübermittlungen sind auf Klausel 9, Abschnitt 6 und die Liste in Anhang III beschränkt.

Für Übermittlungen, die der DSGVO unterliegen, bestimmt sich die zuständige Aufsichtsbehörde nach Klausel 13 Buchstabe a: Ist der Mandant (als Datenexporteur) in einem Mitgliedstaat niedergelassen, die Aufsichtsbehörde, die dafür verantwortlich ist, die Einhaltung der DSGVO durch den Mandanten in Bezug auf die Übermittlung sicherzustellen; ist der Mandant nicht in einem Mitgliedstaat niedergelassen, fällt er aber unter Artikel 3 Absatz 2 der DSGVO und hat er einen Vertreter nach Artikel 27 Absatz 1 benannt, die Aufsichtsbehörde des Mitgliedstaats, in dem dieser Vertreter niedergelassen ist; und ist der Mandant nicht in einem Mitgliedstaat niedergelassen, fällt er unter Artikel 3 Absatz 2 und ist er nach Artikel 27 Absatz 2 nicht verpflichtet, einen Vertreter zu benennen, die Aufsichtsbehörde eines der Mitgliedstaaten, in denen sich die betroffenen Personen befinden, deren personenbezogene Daten im Zusammenhang mit den ihnen angebotenen Waren oder Dienstleistungen übermittelt werden oder deren Verhalten beobachtet wird.

Für Übermittlungen, die dem Datenschutzrecht des Vereinigten Königreichs unterliegen, der Information Commissioner, wie in Abschnitt 14 vorgesehen. Für Übermittlungen, die dem DSG unterliegen, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, wie in Abschnitt 15 vorgesehen, parallel zu der oben genannten Behörde, soweit die Übermittlung auch der DSGVO unterliegt.

Die Maßnahmen, die der Datenimporteur zum Schutz der Daten anwendet, wie in den Abschnitten 4, 5, 8 und 9 dieses AVV beschrieben:

• TLS für Daten bei der Übertragung und Verschlüsselung im Ruhezustand im gesamten Dienst
• Rollenbezogener Zugriff nach dem Prinzip der geringsten Berechtigung über die authentifizierte Konsole; Mitarbeiter unterliegen Vertraulichkeitsverpflichtungen
• Protokollierung von Zugriffen bei für das Gesundheitswesen konfigurierten Arbeitsbereichen und Audit-Protokollierung administrativer Handlungen
• Aufzeichnungen werden in einem zugriffsgeschützten Objektspeicher gehalten
• Sichere Löschung von Dateien nach Ablauf ihrer Aufbewahrungsfrist; verschlüsselte Sicherungskopien nach einem dokumentierten Lebenszyklus
• Stündliche verschlüsselte Sicherungskopien mit Wiederherstellungsprüfungen für Kontinuität und Wiederherstellung
• Überwachung der Software und der Abhängigkeiten des Dienstes auf Schwachstellen, mit Einspielen von Patches
• Änderungen werden über Versionskontrolle und ein skriptgesteuertes Deployment mit Zustandsprüfungen und Rollback ausgeliefert
• Passwörter werden ausschließlich als gesalzene Hashes gespeichert; Konten werden nach wiederholten fehlgeschlagenen Anmeldeversuchen gesperrt
• Physische Sicherheit der Rechenzentren, bereitgestellt von Google Cloud im Rahmen seiner Zertifizierungen
• Gehärtete Endpunkte hinter einer Web Application Firewall mit Ratenbegrenzung
• Benachrichtigung des Mandanten über Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem diese bekannt geworden sind, mit Einzelheiten und schrittweisen Folgeinformationen
• Unterstützung bei Anträgen betroffener Personen und bei den Pflichten des Mandanten nach den Artikeln 32 bis 36 der DSGVO und den entsprechenden Bestimmungen der UK GDPR und des DSG
• Schriftliche Verträge mit Unterauftragsverarbeitern, die im Wesentlichen dieselben Datenschutzpflichten wie dieser AVV enthalten

Die nach Klausel 9 Buchstabe a (allgemeine schriftliche Genehmigung) und Abschnitt 6 genehmigten Unterauftragsverarbeiter, nach Funktion. Änderungen richten sich nach den Ankündigungs- und Widerspruchsbestimmungen in Abschnitt 6.

Anbieter, die der Mandant selbst verbindet – seine eigenen Telefonie- oder Messaging-Konten (etwa sein eigenes Twilio-Konto oder der Anbieter von WhatsApp), sein eigenes Stripe-Konto für Zahlungen, die er von seinen Kunden entgegennimmt, sowie die Kalender-, CRM-, Ticket- oder Shop-Systeme, die er verbindet –, werden vom Mandanten unmittelbar in eigener Verantwortung beauftragt und sind nicht unsere Unterauftragsverarbeiter.

• Google Cloud – Cloud-Hosting und -Speicher (primäre Region in den Vereinigten Staaten, EU-Edge-Standort in Frankfurt)
• Google – Spracherkennung, Sprachsynthese, Übersetzung und KI-Modelle
• OpenAI – KI-Modelle, Spracherkennung und Sprachsynthese
• Anthropic – KI-Modelle
• ElevenLabs – Spracherkennung, Sprachsynthese und individuelle Stimmen (nicht für Arbeitsbereiche verwendet, die für das Gesundheitswesen konfiguriert sind)
• AssemblyAI – Spracherkennung, soweit die Spracheinstellung des Arbeitsbereichs sie verwendet
• TypeSafe – semantisches Routing von Gesprächsbeiträgen, soweit die Assistenteneinstellungen des Arbeitsbereichs dies aktivieren
• Twilio – Telefonie und Textnachrichten für Telefonnummern, die wir dem Mandanten zur Verfügung stellen
• Stripe – Zahlungen für den eigenen Concierge-Tarif und die eigene Nutzung des Mandanten
• Resend – E-Mail-Zustellung
• Selbst gehostetes Postal auf unserer eigenen Infrastruktur – E-Mail-Zustellung

Soweit der California Consumer Privacy Act oder ein anderes Datenschutzgesetz eines US-Bundesstaats auf Besucherdaten anwendbar ist, ist der Mandant das Unternehmen (Business) bzw. der Verantwortliche (Controller) und Vavus dessen Dienstleister (Service Provider), Auftragnehmer (Contractor) bzw. Auftragsverarbeiter (Processor), und die Begriffe in diesem Anhang haben die Bedeutung, die ihnen diese Gesetze geben. Der Mandant legt uns Besucherdaten nur für den begrenzten und festgelegten Zweck offen, Concierge so bereitzustellen, wie es dieser AVV und die Concierge-Bedingungen beschreiben.

Wir werden: Besucherdaten nur für diesen Zweck und nach den Weisungen des Mandanten verarbeiten und sie niemals verkaufen oder weitergeben (sell or share); sie nicht für einen anderen Zweck, einschließlich eines kommerziellen Zwecks, oder außerhalb unserer unmittelbaren Geschäftsbeziehung mit dem Mandanten aufbewahren, verwenden oder offenlegen; sie nicht mit personenbezogenen Informationen zusammenführen, die wir von anderen erhalten oder selbst erheben, außer soweit diese Gesetze dies zur Erbringung des Dienstes erlauben; die Pflichten einhalten, die diese Gesetze Dienstleistern auferlegen, und Besucherdaten dasselbe Datenschutzniveau gewähren, das diese Gesetze verlangen; den Mandanten schriftlich informieren, wenn wir feststellen, dass wir diese Pflichten nicht mehr erfüllen können; dem Mandanten erlauben, angemessene und geeignete Schritte zu unternehmen, um zu überprüfen, dass wir Besucherdaten im Einklang mit seinen eigenen Pflichten verwenden, auch über Abschnitt 10, und jede unbefugte Verwendung zu unterbinden und abzustellen; und den Mandanten nach Abschnitt 6 über neue Unterauftragsverarbeiter informieren, womit die nach diesen Gesetzen erforderliche Mitteilung erfolgt. Wir bestätigen, dass wir diese Beschränkungen verstehen und einhalten werden.

Anträge von Besuchern nach diesen Gesetzen gehen an den Mandanten, und wir unterstützen wie in Abschnitt 8 beschrieben.

Das Recht der Vereinigten Staaten erlaubt Behörden, unter festgelegten Umständen die Offenlegung personenbezogener Daten zu erzwingen, die von Dienstleistern gehalten werden (insbesondere Section 702 des FISA und Executive Order 12333). Vor der Vereinbarung dieser Klauseln haben wir die Übermittlung, wie von Klausel 14 verlangt, anhand dieser Gesetze und Gepflogenheiten bewertet und dabei die besonderen Umstände der Übermittlung berücksichtigt: Daten zur Geschäftsunterstützung (Kennungen, Inhalte von Unterhaltungen, Buchungsdatensätze, technische Sitzungsdaten), eine kurze Verarbeitungskette (der Mandant, wir und die Unterauftragsverarbeiter in Anhang III), unsere Einschätzung, dass wir bei der Bereitstellung von Concierge für diesen Datenverkehr nicht als Anbieter elektronischer Kommunikationsdienste (electronic communication service provider) handeln, sowie die bestehenden vertraglichen, technischen und organisatorischen Garantien. Wir überprüfen diese Bewertung fortlaufend, dokumentieren sie und stellen sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.

Zusätzliche Maßnahmen: die technischen und organisatorischen Maßnahmen in Anhang II, Datenminimierung durch eine vom Mandanten konfigurierte Erhebung, die Prüfungsrechte in Abschnitt 10 und die Pflichten, die wir nach den Klauseln 14 und 15 übernehmen – den Mandanten über ein rechtlich bindendes Ersuchen um Offenlegung zu benachrichtigen, soweit das Recht dies erlaubt, eine Aufhebung eines etwaigen Benachrichtigungsverbots anzustreben und in regelmäßigen Abständen aggregierte Informationen bereitzustellen, die Rechtmäßigkeit eines Ersuchens zu prüfen und es anzufechten, wenn hinreichende Gründe für die Annahme bestehen, dass es rechtswidrig ist, und nur die zulässige Mindestmenge an Informationen offenzulegen. Kommen wir zu dem Schluss, dass wir die Klauseln nicht mehr einhalten können, benachrichtigen wir den Mandanten umgehend, und der Mandant kann die Übermittlung aussetzen, wie es die Klauseln vorsehen. Erfasst ein Angemessenheitsbeschluss künftig eine Übermittlung (zum Beispiel, wenn wir nach dem EU-US Data Privacy Framework zertifiziert werden), gelten die Klauseln für diese Übermittlung nur insoweit, als der Angemessenheitsbeschluss sie nicht erfasst.

Für Übermittlungen aus dem Vereinigten Königreich gilt die Risikobewertung in Abschnitt 14. Für Übermittlungen aus der Schweiz gilt diese Bewertung, gelesen mit Bezug auf das DSG, wie in Abschnitt 15 vorgesehen.