Gültig ab: 22. April 2026

Präambel

Diese Vereinbarung zur Datenverarbeitung („DPA“) wird zwischen der Kolsetu GmbH („Auftragsverarbeiter“) und dem Kunden („Auftraggeber“) gemäß Art. 28 DSGVO geschlossen und ist integraler Bestandteil des Vertrags über die Bereitstellung der Elba AI-Plattform und zugehöriger Dienste („Vereinbarung“). Diese DPA gilt sowohl für Unternehmenskunden als auch für Self-Service-Kunden der Elba-Plattform.

Hinweis zum Geltungsbereich: Diese DPA regelt die Verarbeitung von personenbezogenen Daten des Kunden durch Kolsetu in seiner Eigenschaft als Auftragsverarbeiter. Kolsetu verarbeitet auch personenbezogene Daten von Plattformnutzern (Administratoren und Betreibern) in seiner Eigenschaft als Verantwortlicher; diese Verarbeitung ist in der Kolsetu Produkt-Datenschutzrichtlinie beschrieben, die auf der Homepage (www.kolsetu.com) verfügbar ist.

Der Auftraggeber bestimmt die Zwecke und Mittel der hierin beschriebenen Verarbeitung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und zu keinem anderen Zweck.

In dieser DPA verwendete, aber nicht definierte großgeschriebene Begriffe haben die Bedeutungen, die in den Allgemeinen Geschäftsbedingungen, den geltenden Elba Service-Bedingungen (Enterprise Service Terms oder Self-Serve Terms, je nach Anwendbarkeit) und, falls ein Bestellformular ausgeführt wurde, im Bestellformular angegeben sind.

1. Definitionen

In dieser DPA haben die folgenden Begriffe die unten aufgeführten Bedeutungen. Hier nicht definierte Begriffe haben die in Art. 4 DSGVO oder der Vereinbarung angegebenen Bedeutungen.

2. Allgemeines

2.1 Rollen. Die Parteien erkennen an, dass der Auftraggeber als Datenverantwortlicher und der Auftragsverarbeiter als Datenverarbeiter im Sinne der geltenden Datenschutzgesetze handeln. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Kunden ausschließlich im Auftrag des Auftraggebers.

2.2 Weisungen. Der Auftraggeber weist den Auftragsverarbeiter an, personenbezogene Daten des Kunden im erforderlichen Umfang für die Erbringung der Dienste und die Erfüllung seiner Rechte und Pflichten aus der Vereinbarung zu verarbeiten. Weisungen sind zunächst in dieser DPA festgelegt und können anschließend vom Auftraggeber schriftlich geändert werden.

2.3 CCPA. In Bezug auf personenbezogene Daten des Kunden, die für die Zwecke des California Consumer Privacy Act („CCPA“) „personenbezogene Informationen“ darstellen, darf der Auftragsverarbeiter nicht: (a) die personenbezogenen Informationen verkaufen oder weitergeben; (b) die personenbezogenen Informationen für andere Zwecke als die in der Vereinbarung genannten geschäftlichen Zwecke oder anderweitig gemäß dem CCPA zulässigen Zwecke aufbewahren, verwenden oder offenlegen; (c) die personenbezogenen Informationen außerhalb der direkten Geschäftsbeziehung zwischen dem Auftragsverarbeiter und dem Auftraggeber aufbewahren, verwenden oder offenlegen; oder (d) die vom Auftraggeber erhaltenen personenbezogenen Informationen mit personenbezogenen Informationen kombinieren, die von oder aus anderen Quellen stammen, es sei denn, dies ist gemäß dem CCPA zulässig. Der Auftragsverarbeiter bestätigt, dass er diese Beschränkungen versteht und einhalten wird.

3. Verarbeitungsdetails (Art. 28 Abs. 3 DSGVO)

3.1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Kunden für die Dauer der Vereinbarung oder bis der Auftraggeber etwas anderes anweist, ausschließlich zum Zweck der Erbringung der Dienste.

3.2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Kunden im Zusammenhang mit:

• Bereitstellung und Betrieb der Elba AI-Sprachautomatisierungsplattform

• Verarbeitung von Sprachinteraktionen, Erstellung von Transkripten und Bereitstellung von Konversationsanalysen

• Omnichannel-Orchestrierung (Sprache, Chat, E-Mail, SMS, WhatsApp) im Auftrag des Auftraggebers

• Integrationen mit den Unternehmenssystemen des Auftraggebers, einschließlich CRM, ERP, Telefonie und Kommunikationsplattformen, über native Konnektoren, REST-API und Webhook-Framework, wie vom Auftraggeber konfiguriert

• Verwaltung von Benutzerkonten, Zugriffskontrolle und Authentifizierung

• Sicherheitsüberwachung, Betrugsprävention und Incident Management

• Kundensupport und technische Fehlerbehebung

3.3 Kategorien personenbezogener Daten

Abhängig vom Anwendungsfall und der Konfiguration des Auftraggebers kann der Auftragsverarbeiter Folgendes verarbeiten:

• Kontaktinformationen (Name, Telefonnummer, E-Mail-Adresse)

• Sprachaufzeichnungen und abgeleitete Audiodaten

• Gesprächstranskripte und Interaktionsprotokolle

• Kundendienstaufzeichnungen und Falldaten

• Kontozugangsdaten und Authentifizierungsdaten

• Nutzungsdaten, Sitzungsprotokolle und Aktivitätsmetadaten

• Daten aus integrierten Unternehmenssystemen, wie vom Auftraggeber konfiguriert

3.4 Kategorien von betroffenen Personen

Zu den betroffenen Personen können gehören:

• Endkunden des Auftraggebers, die mit der Elba-Plattform interagieren

• Mitarbeiter des Auftraggebers und autorisierte Nutzer der Plattform

• Andere Personen, deren Daten über vom Auftraggeber konfigurierte Integrationen verarbeitet werden

3.5 Sensible Daten

Der Auftragsverarbeiter verarbeitet besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Auftraggeber ist allein dafür verantwortlich, sicherzustellen, dass jede Übermittlung von Daten besonderer Kategorien an die Plattform auf einer gültigen Rechtsgrundlage gemäß Art. 9 DSGVO beruht, dass alle erforderlichen Bedingungen erfüllt sind und dass vor der Übermittlung geeignete Schutzmaßnahmen getroffen werden. Der Auftragsverarbeiter wendet auf Daten besonderer Kategorien die gleichen technischen und organisatorischen Maßnahmen an wie auf alle anderen personenbezogenen Daten des Kunden.

3.6 Häufigkeit und Übermittlung

Personenbezogene Daten des Kunden werden während der Laufzeit der Vereinbarung periodisch an den Auftragsverarbeiter übermittelt, abhängig von der Nutzung der Dienste durch den Auftraggeber.

4. Pflichten des Auftragsverarbeiters

4.1 Verarbeitungsanweisungen

4.1.1 Verarbeitung von personenbezogenen Daten des Kunden nur auf dokumentierte Weisung des Auftraggebers, es sei denn, dies ist nach geltendem Recht erforderlich. In solchen Fällen informiert der Auftragsverarbeiter den Auftraggeber vor der Verarbeitung, es sei denn, dies ist gesetzlich untersagt.

4.1.2 Wenn der Auftragsverarbeiter der Ansicht ist, dass eine Weisung gegen Datenschutzgesetze verstößt, informiert er den Auftraggeber unverzüglich über seine rechtlichen Bedenken und kann die Weisung bis zur Klärung aussetzen.

4.2 Vertraulichkeit

4.2.1 Sicherstellen, dass alle zur Verarbeitung personenbezogener Daten des Kunden befugten Personen entsprechenden Vertraulichkeitsverpflichtungen (vertraglich oder gesetzlich) unterliegen und eine relevante Schulung zum Datenschutz erhalten.

4.3 Sicherheit

4.3.1 Implementierung und Aufrechterhaltung geeigneter technischer und organisatorischer Maßnahmen (TOMs) gemäß Anhang 2, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich der Anforderungen gemäß Art. 32 DSGVO. Der Auftragsverarbeiter kann die TOMs von Zeit zu Zeit aktualisieren, vorausgesetzt, dass solche Aktualisierungen nicht zu einer Verschlechterung des allgemeinen Sicherheitsniveaus führen.

4.4 Auftragsverarbeiter (Sub-processors)

4.4.1 Nicht Beauftragung eines neuen Sub-Prozessors oder wesentliche Änderung der Rolle eines bestehenden Sub-Prozessors ohne vorherige schriftliche Benachrichtigung (mindestens 30 Geschäftstage) an den Controller. Die Liste der Sub-Prozessoren in Abschnitt 6 dieses DPA stellt die maßgebliche und aktuelle Aufzeichnung der genehmigten Sub-Prozessoren dar.

4.4.2 Sicherstellen, dass jeder beauftragte Sub-Prozessor durch Datenschutzverpflichtungen gebunden ist, die nicht weniger schützend sind als die in diesem DPA, durch Vertrag oder einen anderen Rechtsakt. Der Auftragsverarbeiter bleibt voll verantwortlich für die Erfüllung der Datenschutzverpflichtungen seiner Sub-Prozessoren.

4.5 KI-Verarbeitungspflichten

4.5.1 Ausschluss von KI-Training. Weder der Auftragsverarbeiter noch einer seiner Sub-Prozessoren darf Kundendaten – einschließlich Sprachaufzeichnungen, Transkripte, Gesprächsdaten oder daraus abgeleitete Daten – zum Trainieren, Feinabstimmen oder Verbessern von KI- oder maschinellen Lernmodellen für allgemeine Zwecke verwenden. Diese Einschränkung gilt unabhängig davon, ob die Daten pseudonymisiert wurden. Der Auftragsverarbeiter stellt sicher, dass vergleichbare Einschränkungen vertraglich für alle KI-Sub-Prozessoren auferlegt werden.

4.5.2 Datenminimierung für KI-Inferenz. Wenn Kundendaten zur Inferenzverarbeitung an KI-Sub-Prozessoren übermittelt werden, stellt der Auftragsverarbeiter sicher, dass nur die für die spezifische Inferenzanfrage erforderlichen Mindestdaten übermittelt werden. KI-Sub-Prozessoren dürfen Kundendaten nicht länger als die Dauer der Inferenzsitzung speichern, es sei denn, dies ist gesetzlich vorgeschrieben.

4.5.3 Biometrische Daten. Der Auftragsverarbeiter leitet keine biometrischen Identifikatoren oder Stimmenabdrücke aus Sprachaufzeichnungen ab, die über die Elba-Plattform verarbeitet werden, und verarbeitet keine Sprachaufzeichnungen als biometrische Daten im Sinne von Art. 9 DSGVO oder gleichwertigen Bestimmungen nach geltendem Datenschutzrecht. Sprachaufzeichnungen werden ausschließlich zu den in Anhang I-B beschriebenen Zwecken der Transkription, Intent-Analyse und Gesprächsanalyse verarbeitet.

4.6 Rechte der betroffenen Personen

4.6.1 Unterstützung des Controllers bei der Erfüllung seiner Verpflichtungen zur Beantwortung von Anfragen betroffener Personen gemäß Kapitel III DSGVO (Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch). Direkt vom Auftragsverarbeiter erhaltene Anfragen von betroffenen Personen werden unverzüglich und in jedem Fall innerhalb von fünf (5) Geschäftstagen an den Controller weitergeleitet. Der Auftragsverarbeiter darf ohne vorherige Genehmigung des Controllers nicht direkt auf Anfragen betroffener Personen antworten, es sei denn, er ist gesetzlich dazu verpflichtet.

4.7 Regulatorische Unterstützung

4.7.1 Unterstützung des Controllers bei der Sicherstellung der Einhaltung der Art. 32–36 DSGVO (Sicherheit, Meldung von Verstößen, Datenschutz-Folgenabschätzungen und vorherige Konsultation mit Aufsichtsbehörden) unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

4.7.2 Wenn der Controller verpflichtet ist, einer zuständigen Aufsichtsbehörde Informationen zur Verfügung zu stellen, leistet er dem Controller gegen Kostenerstattung angemessene Unterstützung, indem er solche Informationen bereitstellt, soweit diese dem Auftragsverarbeiter vorliegen.

4.8 Datenrückgabe und -löschung

4.8.1 Nach Wahl des Controllers Löschung oder Rückgabe aller Kundendaten nach Beendigung der Dienste und Löschung bestehender Kopien, es sei denn, das Unions- oder Mitgliedstaatenrecht schreibt eine Aufbewahrung vor. Die Löschung muss innerhalb von 30 Tagen nach Beendigung oder Anweisung des Controllers abgeschlossen sein. Eine schriftliche Bestätigung der Löschung ist auf Anfrage erhältlich.

4.9 Prüfung und Informationen

4.9.1 Bereitstellung aller Informationen für den Controller, die zur Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Der Controller muss eine angemessene Vorankündigung für jede angeforderte Prüfung schriftlich (mindestens 30 Geschäftstage, außer im Falle eines vermuteten Verstoßes) geben. Prüfungen dürfen nicht öfter als einmal pro Jahr und nur durch eines der folgenden Mittel erfolgen: (a) der Auftragsverarbeiter liefert eine Kopie seiner aktuellen Prüfberichte, die von unabhängigen externen Prüfern erstellt wurden (z. B. ISO 27001-Zertifizierung, SOC 2 Typ II); (b) der Auftragsverarbeiter liefert schriftliche Antworten auf Fragebögen zur Informationssicherheit; oder (c) der Controller beauftragt eine gerichtete Inspektion vereinbarter TOMs, deren Ergebnisse der Auftragsverarbeiter in zusammengefasster Form teilt.

5. Pflichten des Controllers

5.1 Einhaltung aller geltenden Datenschutzgesetze in Bezug auf Kundendaten. Der Controller darf die Dienste nicht in einer Weise nutzen, die gegen Datenschutzgesetze verstößt.

5.2 Zusicherung und Gewährleistung, dass er eine gültige Rechtsgrundlage gemäß Art. 6 DSGVO (und Art. 9, falls zutreffend) für alle an den Auftragsverarbeiter übermittelten personenbezogenen Daten und für jede Übermittlung von Kundendaten an den Auftragsverarbeiter hat. Der Controller benachrichtigt den Auftragsverarbeiter unverzüglich, wenn sich Änderungen an den Rechtsgrundlagen für die Verarbeitung ergeben.

5.3 Sicherstellen, dass alle erforderlichen Mitteilungen an die betroffenen Personen erfolgt sind und, wo erforderlich, alle erforderlichen Einwilligungen von diesen eingeholt wurden, in Verbindung mit der im Rahmen dieses DPA durchgeführten Verarbeitung.

5.4 Alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit von Kundendaten und die Mittel, mit denen der Controller diese erwirbt.

5.5 Unverzügliche Benachrichtigung des Auftragsverarbeiters über jede Anfrage oder Beschwerde, die von einer betroffenen Person oder einer Aufsichtsbehörde in Bezug auf die Verarbeitung von Kundendaten im Rahmen dieses DPA eingeht.

5.6 Allgemeine Zustimmung zu Sub-Prozessoren. Der Controller erteilt eine allgemeine schriftliche Genehmigung für die Beauftragung von Sub-Prozessoren und verbundenen Unternehmen des Auftragsverarbeiters zur Verarbeitung von Kundendaten, vorbehaltlich des Benachrichtigungs- und Widerspruchsverfahrens in Abschnitt 6.

6. Sub-Prozessoren

6.1 Die maßgebliche Liste der vom Auftragsverarbeiter zum effektiven Datum dieses DPA beauftragten Sub-Prozessoren ist in Anhang I-C aufgeführt. Jede Änderung der Sub-Prozessoren unterliegt dem Benachrichtigungs- und Widerspruchsverfahren gemäß den Klauseln 6.2 und 6.3 und führt zur Ausgabe einer neuen Version von Anhang I-C an den Controller.

6.2 Der Auftragsverarbeiter gibt mindestens 30 Geschäftstage im Voraus schriftliche Benachrichtigung über jede beabsichtigte Hinzufügung oder Ersetzung von Sub-Prozessoren. Der Controller kann innerhalb von 10 Geschäftstagen nach Erhalt einer solchen Benachrichtigung aus begründeten Datenschutzgründen ("Legitime Gründe") einem neuen oder ersetzten Sub-Prozessor widersprechen. Wenn der Controller dem Auftragsverarbeiter keinen Widerspruch innerhalb dieser Frist mitteilt, gilt der Controller als Zustimmung zu dem neuen Sub-Prozessor.

6.3 Wenn der Controller einen Widerspruch erhebt, wird der Auftragsverarbeiter in gutem Glauben mit dem Controller zusammenarbeiten, um die legitimen Gründe zu adressieren. Wenn die Parteien sich nicht innerhalb von 20 Geschäftstagen nach Erhalt des Widerspruchs durch den Auftragsverarbeiter einigen können, kann der Controller durch schriftliche Mitteilung die Dienstkomponenten kündigen, die die Nutzung des vorgeschlagenen Sub-Prozessors erfordern.

6.4 Der Auftragsverarbeiter bleibt dem Controller gegenüber voll verantwortlich für die datenschutzrechtliche Leistung aller Sub-Prozessoren.

6.5 Vom Kunden bereitgestellte KI-Anbieter. Wenn der Controller die Dienste so konfiguriert, dass er KI-Modellanbieter von Drittanbietern unter eigenen Konten und Vereinbarungen des Controllers nutzt (einschließlich, aber nicht beschränkt auf selbst bereitgestellte LLM-API-Schlüssel), ist der Controller allein verantwortlich für die Einhaltung der geltenden Datenschutzgesetze in Bezug auf diese Anbieter, einschließlich des Abschlusses aller erforderlichen Datenverarbeitungsverträge. Solche Anbieter sind keine Sub-Prozessoren des Auftragsverarbeiters und fallen nicht unter dieses DPA.

7. Internationale Übermittlungen

7.1 Alle KI-Inferenzverarbeitungen von Kundendaten erfolgen ausschließlich über Azure OpenAI Service innerhalb der Azure EU-Region. Der Auftragsverarbeiter stellt sicher, dass jede Übermittlung von Kundendaten in Drittländer (außerhalb des EWR) Kapitel V DSGVO entspricht, indem er sich auf Folgendes stützt: (a) eine Angemessenheitsentscheidung der EU-Kommission; (b) EU-Standardvertragsklauseln (Beschluss 2021/914); oder (c) in Bezug auf US-Anbieter, die unter dem Data Privacy Framework zertifiziert sind, das Data Privacy Framework gemäß Beschluss (EU) 2023/1795 der Kommission.

7.2 Vorrang von Übertragungsmechanismen. Wenn mehr als ein Übertragungsmechanismus anwendbar ist, unterliegen Übermittlungen den Mechanismen in der folgenden Reihenfolge des Vorrangs: (a) das Data Privacy Framework; (b) EU-Standardvertragsklauseln; (c) andere alternative Übertragungsmechanismen, die nach geltendem Recht zulässig sind.

7.3 Transfer Impact Assessments (TIAs) werden vom Auftragsverarbeiter für alle Übermittlungen an Sub-Prozessoren in Drittländern durchgeführt. TIA-Dokumentation ist auf schriftliche Anfrage für den Controller verfügbar.

8. Sicherheit

Der Auftragsverarbeiter implementiert und unterhält geeignete technische und organisatorische Maßnahmen zum Schutz von Kundendaten vor versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder Zugriff. Vollständige Details sind in Anhang 2 aufgeführt. Zu den wichtigsten Maßnahmen gehören:

• Verschlüsselung von Kundendaten während der Übertragung und im Ruhezustand unter Verwendung von branchenüblichen Algorithmen

• Rollenbasierte Zugriffskontrollen und Multi-Faktor-Authentifizierung für alle privilegierten Zugriffe

• Logische Mandantenisolierung – die Daten jedes Kunden werden in einer dedizierten, logisch isolierten Umgebung verarbeitet

• Regelmäßige Penetrationstests und kontinuierliches Schwachstellenmanagement durch qualifizierte Anbieter

• Dokumentierte Verfahren zur Erkennung, Reaktion und Eskalation von Vorfällen

• Schulung zum Schutz personenbezogener Daten und entsprechende Hintergrundüberprüfungen des Personals

• Maßnahmen zur Geschäftskontinuität und Notfallwiederherstellung, die mindestens jährlich getestet werden

• Überwachung von Sub-Prozessoren zur Gewährleistung gleichwertiger Datenschutzstandards in der gesamten Lieferkette

9. Meldung von Datenschutzverletzungen

9.1 Im Falle einer Datenschutzverletzung benachrichtigt der Auftragsverarbeiter den Controller unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Bekanntwerden.

9.2 Die Benachrichtigung muss, soweit bekannt, Folgendes enthalten: die Art der Verletzung; die Kategorien und die ungefähre Anzahl der betroffenen Datenverarbeitungszwecke; die Kategorien und die ungefähre Anzahl der betroffenen Datensätze; wahrscheinliche Folgen; und ergriffene oder vorgeschlagene Maßnahmen. Wenn vollständige Informationen bei der Erstmitteilung nicht verfügbar sind, werden diese unverzüglich in Phasen bereitgestellt.

9.3 Der Auftragsverarbeiter dokumentiert alle Verletzungen und Abhilfemaßnahmen gemäß Art. 33 Abs. 5 DSGVO.

10. Anfragen staatlicher Stellen

10.1 Der Auftragsverarbeiter hat Maßnahmen zur Regelung der Offenlegung von Kundendaten an staatliche Stellen implementiert. Diese Maßnahmen erfordern, dass der Auftragsverarbeiter seine Verpflichtungen zur Einhaltung behördlicher Anordnungen oder Aufforderungen und seine rechtlichen Verpflichtungen zum Schutz von Kundendaten berücksichtigt.

10.2 Soweit gesetzlich zulässig, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich über jede rechtlich bindende Aufforderung zur Offenlegung von Kundendaten durch eine Strafverfolgungs- oder Regierungsbehörde, bevor er auf eine solche Aufforderung reagiert. Wenn der Auftragsverarbeiter keine Benachrichtigung an den Verantwortlichen übermitteln darf, wird er um Erlaubnis bitten, dies zu tun, oder die ausstellende Behörde auffordern, die Informationen direkt vom Verantwortlichen einzuholen.

10.3 Der Auftragsverarbeiter wird eine behördliche Anordnung oder Aufforderung anfechten, wenn dies angemessen und rechtlich zulässig ist. Wenn eine Offenlegung zur Einhaltung einer gültigen gerichtlichen Anordnung oder Aufforderung erforderlich ist, gibt der Auftragsverarbeiter nur die geringste Menge an Kundendaten preis, die zur Einhaltung erforderlich ist.

10.4 In Bezug auf personenbezogene Daten von EU-Bürgern hält der Auftragsverarbeiter die Verpflichtungen ein, die in den EU-Standardvertragsklauseln in Bezug auf Anfragen von Regierungsbehörden festgelegt sind.

11. Datenschutz-Folgenabschätzungen

Wenn eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Datenverarbeitungszwecken birgt, leistet der Auftragsverarbeiter dem Verantwortlichen angemessene Unterstützung bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO, unter anderem durch Bereitstellung von Informationen über seine Verarbeitungstätigkeiten und Sicherheitsmaßnahmen.

12. Haftung

12.1 Die Haftung jeder Partei im Rahmen dieser Auftragsverarbeitungsvereinbarung unterliegt den in den AGB festgelegten Beschränkungen. Ansprüche, die im Rahmen dieser Auftragsverarbeitungsvereinbarung geltend gemacht werden, unterliegen den Bedingungen der Vereinbarung, einschließlich der darin enthaltenen Ausschlüsse und Beschränkungen; vorausgesetzt, dass keine Partei ihre Haftung im Rahmen der Vereinbarung in Bezug auf die Rechte eines Datenverarbeitungszwecks gemäß den Datenschutzgesetzen beschränkt hat, wo eine solche Beschränkung nach geltendem Recht verboten ist.

12.2 Im Falle eines Konflikts zwischen der Vereinbarung und dieser Auftragsverarbeitungsvereinbarung haben die Bestimmungen dieser Auftragsverarbeitungsvereinbarung Vorrang.

13. Laufzeit und Kündigung

Diese Auftragsverarbeitungsvereinbarung tritt mit der Unterzeichnung in Kraft (oder, wenn die Vereinbarung über ein Bestellformular abgeschlossen wird, mit der Unterzeichnung des Bestellformulars) und bleibt für die Dauer der Vereinbarung in Kraft. Mit der Kündigung der Vereinbarung endet diese Auftragsverarbeitungsvereinbarung automatisch. Die Verpflichtungen in den Abschnitten 4.2 (Vertraulichkeit), 4.8 (Rückgabe und Löschung von Daten) und 9 (Meldung von Verletzungen) bleiben nach der Kündigung bestehen.

14. Sonstiges

14.1 Anwendbares Recht. Diese Auftragsverarbeitungsvereinbarung unterliegt dem Recht der Bundesrepublik Deutschland. Streitigkeiten unterliegen den Streitbeilegungsbestimmungen der AGB.

14.2 Änderungen. Änderungen dieser Auftragsverarbeitungsvereinbarung bedürfen der Schriftform. Im Falle eines Konflikts hat diese Auftragsverarbeitungsvereinbarung Vorrang vor der Vereinbarung.

14.3 Mitteilungen. Alle Mitteilungen im Rahmen dieser Auftragsverarbeitungsvereinbarung sind an die in der Vereinbarung angegebenen Adressen zu senden.

14.4 Salvatorische Klausel. Sollte eine Bestimmung dieser Auftragsverarbeitungsvereinbarung für ungültig oder nicht durchsetzbar erklärt werden, bleiben die übrigen Bestimmungen in vollem Umfang in Kraft und wirksam.

14.5 EU-Standardvertragsklauseln. Soweit die EU-Standardvertragsklauseln mit einer Bestimmung dieser Auftragsverarbeitungsvereinbarung im Widerspruch stehen, haben die EU-Standardvertragsklauseln im Umfang dieses Widerspruchs Vorrang. Es ist nicht die Absicht der Parteien, Bestimmungen der EU-Standardvertragsklauseln zu widersprechen oder einzuschränken.

14.6 Sprache und Übersetzungen. Diese Auftragsverarbeitungsvereinbarung ist in englischer und deutscher Sprache verfügbar, beide wurden auf rechtliche Genauigkeit geprüft. Der englische Text ist die maßgebliche Fassung für alle Zwecke, einschließlich Auslegung, Streitbeilegung und Durchsetzung. Übersetzungen in andere Sprachen können nur zur einfacheren Referenz veröffentlicht werden und haben keine rechtliche Wirkung. Im Falle von Inkonsistenzen zwischen dem englischen Text und einer Übersetzung hat der englische Text Vorrang.

15. Kontakt

Datenschutzkontakt: privacy@kolsetu.com

Adresse: Kolsetu GmbH, Gaensemarkt 33, 20354 Hamburg, Deutschland

Anhang I-A Parteien

Verantwortlicher

Name: Wie im Bestellformular definiert oder wie bei der Kontoerstellung für Self-Service-Kunden angegeben

Adresse: Wie im Bestellformular definiert oder wie bei der Registrierung für Self-Service-Kunden angegeben

Kontakt: Wie im Bestellformular definiert oder wie bei der Registrierung für Self-Service-Kunden angegeben

Unterschrift: Unternehmenskunden akzeptieren diese Auftragsverarbeitungsvereinbarung durch Unterzeichnung des Bestellformulars. Self-Service-Kunden akzeptieren diese Auftragsverarbeitungsvereinbarung durch Abschluss der Kontoerstellung und Akzeptanz der Elba Self-Serve-Bedingungen. In beiden Fällen beinhaltet die Akzeptanz dieser Auftragsverarbeitungsvereinbarung, wo zutreffend, die Akzeptanz der EU-Standardvertragsklauseln.

Rolle: Verantwortlicher

Auftragsverarbeiter

Name: Kolsetu GmbH

Adresse: Gaensemarkt 33, 20354 Hamburg, Deutschland (HRB 191266)

Datenschutzkontakt: privacy@kolsetu.com

Rolle: Auftragsverarbeiter

Hinweis: Da die Kolsetu GmbH in Deutschland (EWR) ansässig ist, erfordert die primäre Verantwortlicher-Auftragsverarbeiter-Beziehung keine EU-Standardvertragsklauseln. EU-Standardvertragsklauseln gelten nur für Weiterleitungen an Subauftragsverarbeiter in Drittländern, wie in der Tabelle der Subauftragsverarbeiter in Abschnitt 6 und Anhang I-B aufgeführt.

Anhang I-B Beschreibung der Verarbeitung

Aufsichtsbehörde

Die zuständige Aufsichtsbehörde ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) gemäß Klausel 13 der EU-Standardvertragsklauseln, da die Kolsetu GmbH in Hamburg, Deutschland, ansässig ist.

Anhang I-C Liste der Subauftragsverarbeiter

Dieser Anhang listet alle von Kolsetu GmbH am Stichtag dieser DPA beauftragten Unterauftragsverarbeiter auf. Änderungen dieser Liste unterliegen dem Benachrichtigungs- und Widerspruchsverfahren gemäß Abschnitt 6. Eine neue Version dieses Anhangs wird dem Controller ausgestellt, wenn sich die Vereinbarungen mit den Unterauftragsverarbeitern ändern.

Anhang 2 Technische und Organisatorische Maßnahmen (TOMs)

Die Kolsetu GmbH unterhält ein ISMS gemäß ISO 27001 und überprüft und aktualisiert diese Maßnahmen mindestens jährlich. Die folgenden Maßnahmen sind ab dem Wirksamkeitsdatum dieser DPA vorhanden.