zwischen dem
Shopbetreiber
– nachfolgend „Auftraggeber“ genannt –
und der
Pickware GmbH
Goebelstraße 21
64293 Darmstadt
– nachfolgend „Auftragnehmer“ genannt –
wird ein Vertrag über die Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen gemäß Art. 28 DSGVO folgenden Inhalts geschlossen:
Im Rahmen der Leistungserbringung nach dem über den Pickware Account abgeschlossenen Nutzungsvertrag über die Pickware-Produkte (Software-as-a-Service; nachfolgend „Hauptvertrag“ genannt) ist es erforderlich, dass der Auftragnehmer mit personenbezogenen Daten umgeht, für die der Auftraggeber als verantwortliche Stelle im Sinne der datenschutzrechtlichen Vorschriften fungiert (nachfolgend „Auftraggeber-Daten“ genannt). Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dem Umgang des Auftragnehmers mit Auftraggeber-Daten zur Durchführung des Hauptvertrags.
Gegenstand der Verarbeitung personenbezogener Daten im Auftrag sind Stammdaten, Kontaktdaten, Personal- und Identifikationsnummern, Kundenverhaltensdaten (Nutzungsdaten und Verbindungsdaten), Vertragsdaten, Benutzerkennungen und andere auf die Nutzung der Pickware-Produkte (insbesondere E-Commerce-, Warenwirtschafts-, Lager- und Kassensystem-Funktionalitäten) bezogene personenbezogene Daten. Im Rahmen der Nutzung der Zusatzfunktion Pickware AI können ergänzend Anfragen (Prompts) und Antworten (Responses) der eingesetzten KI-Modelle als personenbezogene Daten verarbeitet werden, soweit diese im Kontext einer KI-Funktion durch den Auftraggeber oder dessen Mitarbeitende ausgelöst werden. Zweck der Datenverarbeitung ist die Erfüllung der Pflichten von Pickware aus dem Hauptvertrag im Zusammenhang mit der Bereitstellung und dem Betrieb der Pickware-Produkte. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrages.
Der Auftragnehmer verarbeitet die Auftraggeber-Daten im Auftrag und nach Weisung des Auftraggebers i.S.v. Art. 28 DSGVO (Auftragsverarbeitung). Der Auftraggeber bleibt Verantwortlicher im datenschutzrechtlichen Sinn.
Die Verarbeitung von Auftraggeber-Daten durch den Auftragnehmer erfolgt in der Art, dem Umfang und zu dem Zweck wie im Hauptvertrag samt Anlagen spezifiziert; die Verarbeitung betrifft die darin bezeichneten Arten personenbezogener Daten und Kategorien betroffener Personen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.
Dem Auftragnehmer bleibt es vorbehalten, die Auftraggeber-Daten zu anonymisieren oder zu aggregieren, so dass eine Identifizierung einzelner betroffener Personen nicht mehr möglich ist, und in dieser Form zum Zweck der bedarfsgerechten Gestaltung, der Weiterentwicklung und der Optimierung sowie der Erbringung des nach Maßgabe des Hauptvertrags vereinbarten Dienstes zu verwenden. Die Parteien stimmen darin überein, dass anonymisierte bzw. nach obiger Maßgabe aggregierte Auftraggeber-Daten nicht mehr als Auftraggeber-Daten im Sinne dieses Vertrags gelten.
Der Auftragnehmer darf die Auftraggeber-Daten im Rahmen des datenschutzrechtlich Zulässigen für eigene Zwecke auf eigene Verantwortung verarbeiten und nutzen, wenn eine gesetzliche Erlaubnisvorschrift das gestattet. Auf solche Datenverarbeitungen findet dieser Vertrag keine Anwendung.
Die Verarbeitung der Auftraggeber-Daten durch den Auftragnehmer findet grundsätzlich innerhalb der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Es ist dem Auftragnehmer gleichwohl gestattet, Auftraggeber-Daten unter Einhaltung der Bestimmungen dieses Vertrags auch außerhalb des EWR zu verarbeiten, wenn er den Auftraggeber vorab über den Ort der Datenverarbeitung mindestens in Textform informiert und die Voraussetzungen der Art. 44 – 48 DSGVO erfüllt sind oder eine Ausnahme nach Art. 49 DSGVO vorliegt.
Der Auftragnehmer verarbeitet die Auftraggeber-Daten gemäß den Weisungen des Auftraggebers, sofern der Auftragnehmer nicht gesetzlich zu einer anderweitigen Verarbeitung verpflichtet ist. In letzterem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die Weisungen des Auftraggebers sind grundsätzlich abschließend in den Bestimmungen dieses Vertrags festgelegt und dokumentiert. Einzelweisungen, die von den Festlegungen dieses Vertrags abweichen oder zusätzliche Anforderungen aufstellen, bedürfen einer vorherigen Zustimmung des Auftragnehmers. Die Zustimmung des Auftragnehmers ist mindestens in Textform einzuholen.
Der Auftragnehmer gewährleistet, dass er die Auftraggeber-Daten im Einklang mit den Weisungen des Auftraggebers verarbeitet. Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen diesen Vertrag oder das geltende Datenschutzrecht verstößt oder in sonstiger Weise rechtswidrig ist, ist er nach einer entsprechenden unverzüglichen Mitteilung an den Auftraggeber berechtigt, die Ausführung der Weisung bis zu einer Bestätigung der Weisung durch den Auftraggeber auszusetzen. Die Mitteilung erfolgt mindestens in Textform. Die Parteien stimmen darin überein, dass die alleinige Verantwortung für die weisungsgemäße Verarbeitung der Auftraggeber-Daten beim Auftraggeber liegt.
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der Auftraggeber-Daten sowie für die Wahrung der Rechte der Betroffenen im Verhältnis der Parteien zueinander verantwortlich. Der Auftragnehmer unterstützt den Auftraggeber bei der Gewährleistung der Einhaltung der Bestimmungen über die Rechte der betroffenen Person.
Der Auftraggeber hat dem Auftragnehmer auf Anforderung die in Art. 30 Abs. 2 DSGVO genannten Angaben zur Verfügung zu stellen, soweit sie dem Auftragnehmer nicht selbst vorliegen.
Ist der Auftragnehmer gegenüber einer staatlichen Stelle oder einer Person verpflichtet, Auskünfte über die Verarbeitung von Auftraggeber-Daten zu erteilen oder mit diesen Stellen anderweitig zusammenzuarbeiten, so ist der Auftraggeber verpflichtet, den Auftragnehmer auf erstes Anfordern bei der Erteilung solcher Auskünfte bzw. der Erfüllung anderweitiger Verpflichtungen zur Zusammenarbeit zu unterstützen.
Der Auftragnehmer hat alle Personen, die Auftraggeber-Daten verarbeiten, bezüglich der Verarbeitung von Auftraggeber-Daten zur Vertraulichkeit zu verpflichten.
Der Auftragnehmer wird gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ergreifen, die unter Berücksichtigung des Standes der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der Auftraggeber-Daten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind, um ein dem Risiko angemessenes Schutzniveau für die Auftraggeber-Daten zu gewährleisten (Anlage 2).
Dem Auftragnehmer ist es gestattet, technische und organisatorische Maßnahmen während der Laufzeit des Vertrages zu ändern oder anzupassen, solange sie weiterhin den gesetzlichen Anforderungen genügen.
Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter hinsichtlich der Verarbeitung von Auftraggeber-Daten hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses hinzugezogenen weiteren Auftragsverarbeiter ergeben sich aus Anlage 1. Von dieser allgemeinen Genehmigung sind auch Vertragsverhältnisse mit Dienstleistern, die die Prüfung oder Wartung von Datenverarbeitungsverfahren oder -anlagen durch andere Stellen oder andere Nebenleistungen zum Gegenstand haben, umfasst, auch wenn dabei ein Zugriff auf Auftraggeber-Daten nicht ausgeschlossen werden kann, solange der Auftragnehmer angemessene Regelungen zum Schutz der Vertraulichkeit der Auftraggeber-Daten trifft.
Der Auftragnehmer wird den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter mindestens 30 Tage im Voraus in Textform informieren. Dem Auftraggeber steht das Recht zu, gegen die Beauftragung eines potentiellen weiteren Auftragsverarbeiters Einspruch zu erheben, wenn dieser keinen ausreichenden Schutz der zu verarbeitenden Daten gewährleisten kann. Im Falle eines Einspruchs ist der Auftragnehmer berechtigt, den Hauptvertrag einschließlich dieses Vertrages mit einer Frist von 14 Tagen ab dem Zeitpunkt der Kündigung zu kündigen.
Der Vertrag zwischen dem Auftragnehmer und dem weiteren Auftragsverarbeiter muss letzterem dieselben Pflichten auferlegen, wie sie dem Auftragnehmer kraft dieses Vertrages obliegen. Die Parteien stimmen überein, dass diese Anforderung erfüllt ist, wenn der Vertrag ein diesem Vertrag entsprechendes Schutzniveau aufweist bzw. dem weiteren Auftragsverarbeiter die in Art. 28 Abs. 3 DSGVO festgelegten Pflichten auferlegt sind. Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragnehmer gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.
Unter Einhaltung der Anforderungen der Ziffer 2.5 dieses Vertrags gelten die Regelungen in dieser Ziffer 7 auch, wenn ein weiterer Auftragsverarbeiter in einem Drittstaat eingeschaltet wird. Der Auftraggeber bevollmächtigt den Auftragnehmer hiermit, in Vertretung des Auftraggebers mit einem weiteren Auftragsverarbeiter einen Vertrag unter Einbeziehung der EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 zu schließen. Der Auftraggeber erklärt sich bereit, an der Erfüllung der Voraussetzungen nach Art. 49 DSGVO im erforderlichen Maße mitzuwirken.
Soweit der Auftragnehmer im Rahmen der Funktion Pickware AI KI-Modellanbieter als weitere Auftragsverarbeiter einsetzt, stellt der Auftragnehmer vertraglich sicher, dass diese die im Auftrag des Auftraggebers verarbeiteten Daten weder zum Training noch zur Verbesserung ihrer Modelle nutzen. Diese Verpflichtung ist Bestandteil der jeweiligen Data Processing Addenda zwischen dem Auftragnehmer und den eingesetzten KI-Anbietern.
Der Auftragnehmer wird den Auftraggeber im Rahmen des Zumutbaren dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der ihnen zustehenden Rechte betroffener Personen nachzukommen.
Soweit eine betroffene Person einen Antrag auf Wahrnehmung der ihr zustehenden Rechte unmittelbar gegenüber dem Auftragnehmer geltend macht, wird der Auftragnehmer dieses Ersuchen zeitnah und mindestens in Textform an den Auftraggeber weiterleiten.
Der Auftragnehmer wird dem Auftraggeber Informationen über die gespeicherten Auftraggeber-Daten, die Empfänger von Auftraggeber-Daten, an die der Auftragnehmer sie auftragsgemäß weitergibt, und den Zweck der Speicherung mitteilen, sofern dem Auftraggeber diese Informationen nicht selbst vorliegen oder er sie sich selbst beschaffen kann.
Der Auftragnehmer wird es dem Auftraggeber ermöglichen, im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten, Auftraggeber-Daten zu berichtigen, zu löschen oder ihre weitere Verarbeitung einzuschränken oder auf Verlangen des Auftraggebers die Berichtigung, Sperrung oder Einschränkung der weiteren Verarbeitung selbst vornehmen, wenn und soweit das dem Auftraggeber selbst unmöglich ist.
Soweit die betroffene Person gegenüber dem Auftraggeber ein Recht auf Datenübertragbarkeit bezüglich der Auftraggeber-Daten nach Art. 20 DSGVO besitzt, wird der Auftragnehmer den Auftraggeber im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten bei der Bereitstellung der Auftraggeber-Daten in einem gängigen und maschinenlesbaren Format unterstützen, wenn der Auftraggeber sich die Daten nicht anderweitig beschaffen kann.
Soweit den Auftraggeber eine gesetzliche Melde- oder Benachrichtigungspflicht wegen einer Verletzung des Schutzes von Auftraggeber-Daten (insbesondere nach Art. 32-36 DSGVO) trifft, wird der Auftragnehmer den Auftraggeber zeitnah über etwaige meldepflichtige Ereignisse in seinem Verantwortungsbereich informieren. Der Auftragnehmer wird den Auftraggeber bei der Erfüllung der Melde- und Benachrichtigungspflichten auf dessen Ersuchen im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten unterstützen.
Der Auftragnehmer wird den Auftraggeber im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten bei etwa vom Auftraggeber durchzuführenden Datenschutz-Folgenabschätzungen und sich gegebenenfalls anschließenden Konsultationen der Aufsichtsbehörden nach Art. 35, 36 DSGVO unterstützen.
Der Auftragnehmer wird die Auftraggeber-Daten nach Beendigung dieses Vertrages nach Wahl des Verantwortlichen löschen oder zurückgeben sowie bestehende Kopien vernichten, sofern nicht gesetzlich eine Verpflichtung des Auftragnehmers zur weiteren Speicherung der Auftraggeber-Daten besteht. In Absprache zwischen den Parteien speichert der Auftragnehmer die Daten weiter; die datenschutzrechtliche Verantwortlichkeit trägt der Auftragnehmer.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung von Auftraggeber-Daten dienen, dürfen durch den Auftragnehmer auch nach Vertragsende aufbewahrt werden.
Der Auftragnehmer wird dem Auftraggeber auf dessen Anforderung alle erforderlichen und beim Auftragnehmer vorhandenen Informationen zum Nachweis der Einhaltung seiner Pflichten nach diesem Vertrag zur Verfügung stellen.
Der Auftraggeber ist berechtigt, den Auftragnehmer bezüglich der Einhaltung der Regelungen dieses Vertrages, insbesondere der Umsetzung der technischen und organisatorischen Maßnahmen, zu überprüfen; einschließlich durch Inspektionen. Der Auftragnehmer wird die Inspektionen ermöglichen und zu ihnen beitragen.
Zur Durchführung von Inspektionen nach Ziffer 11.2 ist der Auftraggeber berechtigt, im Rahmen der üblichen Geschäftszeiten (montags bis freitags von 10 bis 18 Uhr) nach rechtzeitiger Vorankündigung gemäß Ziffer 11.5 auf eigene Kosten, ohne Störung des Betriebsablaufs und unter strikter Geheimhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragnehmers die Geschäftsräume des Auftragnehmers zu betreten, in denen Auftraggeber-Daten verarbeitet werden.
Der Auftragnehmer ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte des Auftragnehmers sind oder wenn der Auftragnehmer durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Auftraggeber ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten, zu Qualitätsprüfungs- und Vertrags-Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragnehmers, die nicht unmittelbar relevant für die vereinbarten Überprüfungszwecke sind, zu erhalten.
Der Auftraggeber hat den Auftragnehmer rechtzeitig (in der Regel mindestens zwei Wochen vorher) über alle mit der Durchführung der Überprüfung zusammenhängenden Umstände zu informieren. Der Auftraggeber darf eine Überprüfung pro Kalenderjahr durchführen. Weitere Überprüfungen erfolgen gegen Kostenerstattung und nach Abstimmung mit dem Auftragnehmer. Unbenommen bleibt das Recht des Auftraggebers zu anlassbezogenen Prüfungen bei begründetem Verdacht einer Verletzung des Schutzes von Auftraggeber-Daten.
Beauftragt der Auftraggeber einen Dritten mit der Durchführung der Überprüfung, hat der Auftraggeber den Dritten schriftlich ebenso zu verpflichten, wie auch der Auftraggeber aufgrund von dieser Ziffer 11 dieses Vertrags gegenüber dem Auftragnehmer verpflichtet ist. Zudem hat der Auftraggeber den Dritten auf Verschwiegenheit und Geheimhaltung zu verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Auf Verlangen des Auftragnehmers hat der Auftraggeber ihm die Verpflichtungsvereinbarungen mit dem Dritten unverzüglich vorzulegen. Der Auftraggeber darf keinen Wettbewerber des Auftragnehmers mit der Kontrolle beauftragen.
Nach Wahl des Auftragnehmers kann der Nachweis der Einhaltung der Pflichten nach diesem Vertrage anstatt durch eine Inspektion auch durch die Vorlage eines geeigneten, aktuellen Testats oder Berichts einer unabhängigen Instanz (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit – z.B. nach BSI-Grundschutz – („Prüfungsbericht“) erbracht werden, wenn der Prüfungsbericht es dem Auftraggeber in angemessener Weise ermöglicht, sich von der Einhaltung der Vertragspflichten zu überzeugen.
Die Laufzeit und Kündigung dieses Vertrags richtet sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen.
Der Auftragnehmer haftet nur für Vorsatz und grobe Fahrlässigkeit. Diese Haftungsbeschränkung gilt auch für seine Erfüllungs- und Verrichtungsgehilfen. Für leichte Fahrlässigkeit haftet der Auftragnehmer nur, bei der Verletzung vertragswesentlicher Pflichten. Wesentliche Vertragspflichten sind solche, deren Erfüllung zur Erreichung des Ziels des Vertrages notwendig ist. Hiervon ausgenommen sind Schadensersatzansprüche aus der Verletzung des Lebens, des Körpers oder der Gesundheit.
Soweit Dritte Ansprüche gegen den Auftragnehmer geltend machen, die ihre Ursache in einem schuldhaften Verstoß des Auftraggebers gegen diesen Vertrag oder gegen eine seiner Pflichten als datenschutzrechtlich Verantwortlicher haben, stellt der Auftraggeber den Auftragnehmer von diesen Ansprüchen auf erstes Anfordern frei.
Der Auftraggeber verpflichtet sich, den Auftragnehmer auch von allen etwaigen Geldbußen, die gegen den Auftragnehmer verhängt werden, in dem Umfang auf erstes Anfordern freizustellen, in dem der Auftraggeber Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.
Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden oder eine Lücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und dabei den Anforderungen des Art. 28 DSGVO genügt.
Im Fall von Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen zwischen den Parteien, insbesondere dem Hauptvertrag, gehen die Regelungen dieses Vertrags vor.
Anlage 1: Sub-Auftragnehmer
Anlage 2: TOMs
Firma, Anschrift: fiskaly GmbH, Stutterheimstraße 16–18/2/20e, A-1150 Wien
Art der Verarbeitung: Fiskalisierungsdienst
Zweck: Erfüllung der Kassensicherungsverordnung
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten, Lieferanten und Dienstleister
Firma, Anschrift: Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105
Art der Verarbeitung: Application Monitoring and Error Tracking Software
Zweck: Monitoring
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten, Lieferanten und Dienstleister
Firma, Anschrift: Google Ireland Limited, Gordon House, 4 Barrow St, Dublin, D04 E5W5
Art der Verarbeitung: Cloud-Dienst
Zweck: Infrastruktur- und Plattform
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten, Lieferanten und Dienstleister
Firma, Anschrift: Twilio Inc., 375 Beale Street, San Francisco, CA 94105
Art der Verarbeitung: Kommunikationsplattform
Zweck: Mailversand
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten, Lieferanten und Dienstleister
Firma, Anschrift: Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107
Art der Verarbeitung: Content Delivery Network und Reverse-Proxy für KI-Anfragen (Pickware AI)
Zweck: Betrieb eines Reverse-Proxy sowie serverseitige Weiterleitung von KI-Anfragen an OpenAI (und ggf. weitere KI-Modellanbieter) im Rahmen von Pickware AI
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten, Lieferanten und Dienstleister
Firma, Anschrift: Salesforce.com Germany GmbH, Erika-Mann-Str. 31, 80636 München
Art der Verarbeitung: Hosting-Dienst „heroku“
Zweck: Betrieb der Hosting-Plattform für die Pickware-Produkte (Infrastructure-as-a-Service / Platform-as-a-Service)
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten, Lieferanten und Dienstleister
Firma, Anschrift: Stripe Payments Europe, Ltd., The One Building, Lower Grand Canal St, Dublin 2, Ireland
Art der Verarbeitung: Abwicklung Abonnementgebühren
Zweck: Infrastruktur und Plattform
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten
Firma, Anschrift: OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
Art der Verarbeitung: Generative KI-Inferenzdienste (Large Language Models)
Zweck: Bereitstellung der KI-Funktionen von Pickware AI
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten der Auftraggeber
Firma, Anschrift: Braintrust Data, Inc., 548 Market St, PMB 96611, San Francisco, CA 94104-5401, USA
Art der Verarbeitung: Logging und Tracing von KI-Interaktionen
Zweck: Qualitätssicherung, Fehleranalyse und Monitoring der Pickware-AI-Funktionen
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten der Auftraggeber
Firma, Anschrift: Intercom R&D Unlimited Company, 2nd Floor, Stephen Court, 18-21 St Stephen’s Green, Dublin 2, D02 PH42, Irland
Art der Verarbeitung: Customer-Support- und In-App-Messaging-Plattform
Zweck: Support-Kommunikation, In-App-Hinweise und Vertriebskontakt mit den Auftraggebern
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten der Auftraggeber
Firma, Anschrift: Google Ireland Limited, Gordon House, 4 Barrow St, Dublin, D04 E5W5
Art der Verarbeitung: Mobile-Backend-Plattform „Firebase“ (Google LLC, USA als Konzernmutter)
Zweck: Authentifizierung, Push-Benachrichtigungen, Crash-Reporting und Performance-Monitoring mobiler Anwendungen
Kategorien der betroffenen Personen: Beschäftigte, Kunden, Interessenten der Auftraggeber
Vertraulichkeit
Zutrittskontrolle: Biometrische Zugangssperren, Schlüsselliste, Manuelles Schließsystem, Empfang/Pförtner, Sicherheitsschlösser, Protokoll der Besucher, Türen mit Knauf Außenseite, Besucher in Begleitung durch Mitarbeiter, Klingelanlage mit Kamera, Sorgfalt bei Auswahl der Reinigungsdienste, Videoüberwachung der Eingänge;
Zugangskontrolle: Login mit Benutzername und Passwort, Verwalten von Benutzerberechtigungen, Firewall, Erstellen von Benutzerprofilen, Verschlüsselung von Datenträgern, Richtlinien für sichere Passwörter, Automatische Desktopsperre, Richtlinien für das Löschen von Daten, Verschlüsselung von Notebooks, Allg. Richtlinien bzgl. Datenschutz, Verwendung von digitalen Passworttresoren, Vorgabe zur manuellen Desktopsperre, Vorgabe zur automatischen Desktopsperre;
Zugriffskontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, Einsatz von Berechtigungskonzepten, Minimale Anzahl von Administratoren, Verwaltung der Benutzerrechte durch Administratoren, Protokollierung von Zugriffen auf Anwendungen über einen Passwort-Manager, Aktenschredder (mind. Stufe 3, cross cut);
Trennungskontrolle: Trennung von Produktiv- und Testumgebung, Steuerung über Berechtigungskonzept, Physikalische Trennung, Festlegung von Datenbankrechten, Mandantenfähigkeit relevanter Anwendungen;
Pseudonymisierung: Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Aufbewahrung in getrenntem und abgesicherten System (mögl. verschlüsselt); Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist möglichst zu anonymisieren / pseudonymisieren;
Integrität
Weitergabekontrolle: Email-Verschlüsselung, Dokumentation der Datenempfänger, Protokollierung der Zugriffe und Abrufe, Übersicht regelmäßiger Abruf- und Übermittlungsverfahren, Bereitstellung über verschlüsselte Verbindungen über HTTPS, Weitergabe in anonymisierter oder pseudonymisierter Form, Nutzung von Signaturverfahren, Übergabe mit Protokoll;
Eingabekontrolle: Technische Protokollierung der Eingabe, Änderung und Löschung von Daten, Übersicht, mit welchem Programmen welche Daten eingegeben, geändert oder gelöscht werden können, Manuelle oder automatisierte Kontrolle der Protokolle, Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen), Sichere Transportbehälter, Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts, Bereitstellung über verschlüsselte Verbindungen über HTTPS, Klare Zuständigkeiten für Löschungen, Nutzung von Signaturverfahren;
Verfügbarkeit und Belastbarkeit
Verfügbarkeitskontrolle: Feuer- und Rauchmeldeanlagen, Backup- und Recovery-Konzept, Feuerlöscher, Kontrolle des Sicherungsvorgangs, Schutzsteckdosenleisten, Regelmäßige Tests zur Datenwiederherstellung, Festplattensicherung bzw. Cloud-Backups, Aufbewahrung der Sicherungsmedien an einem sicheren Ort, Alarmmeldung bei unberechtigtem Zutritt zum Serverraum, Existenz eines Notfallplans;
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
Datenschutz-Management, einschließlich regelmäßiger Mitarbeiter-Schulungen;
Datenschutzfreundliche Voreinstellungen;
Auftragskontrolle: Keine Auftragsdatenverarbeitung im Sinne von Art 28 DSGVO ohne entsprechende Weisung des Auftraggebers.
Ergänzende Maßnahmen für KI-gestützte Verarbeitungen (Pickware AI)
Zusätzlich zu den oben genannten Maßnahmen gelten für die KI-gestützten Funktionen (Pickware AI) ergänzende technische und organisatorische Maßnahmen — insbesondere Datenminimierung vor Übermittlung an KI-Anbieter, vertraglicher Ausschluss der Trainingsnutzung, Output-Validierung, Prompt-Injection-Schutz und begrenzte Logging-Aufbewahrung. Die vollständige Beschreibung dieser Maßnahmen ist im Dokument „TOMs Pickware AI“ enthalten und auf Anfrage einsehbar.