Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
zwischen
[Name der Versicherungsagentur]
[Straße, Hausnummer · PLZ Ort]
– nachstehend „Auftraggeber“ bzw. „Verantwortlicher“ genannt –
und
InsurScale360 GmbH
Wiesenau 2 · 60323 Frankfurt am Main
– nachstehend „Auftragnehmer“ bzw. „Auftragsverarbeiter“ genannt –
Präambel
Der Auftraggeber nutzt die vom Auftragnehmer bereitgestellte cloudbasierte KI-Plattform „InsurScale“ auf Grundlage des zwischen den Parteien geschlossenen Nutzungsvertrags (nachstehend „Hauptvertrag“). Im Rahmen dieser Nutzung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers, insbesondere Daten der Endkunden (Versicherungsnehmer) des Auftraggebers. Art. 28 DSGVO stellt an eine solche Auftragsverarbeitung bestimmte Anforderungen. Zur Wahrung dieser Anforderungen schließen die Parteien die nachfolgende Vereinbarung.
Klarstellung der Rollen: Der Auftraggeber ist hinsichtlich der über die Plattform verarbeiteten Endkundendaten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Auftragnehmer wird insoweit ausschließlich als Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO tätig. Hinsichtlich der Daten der Mitarbeiterinnen und Mitarbeiter des Auftraggebers (Nutzerkonten) ist der Auftragnehmer eigener Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieser Vereinbarung, sondern der Datenschutzerklärung des Auftragnehmers.
§ 1 Begriffsbestimmungen
Für die in dieser Vereinbarung verwendeten Begriffe, für die Art. 4 DSGVO eine Begriffsbestimmung vorsieht, gilt diese gesetzliche Definition in der zum Zeitpunkt des Vertragsschlusses geltenden Fassung.
§ 2 Zuständige Datenschutz-Aufsichtsbehörde
(1) Zuständige Aufsichtsbehörde für den Auftraggeber ist die für seinen Sitz zuständige Datenschutz-Aufsichtsbehörde.
(2) Zuständige Aufsichtsbehörde für den Auftragnehmer ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.
(3) Beide Parteien arbeiten auf Anfrage mit der jeweils zuständigen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
§ 3 Gegenstand, Art und Zweck der Verarbeitung; Laufzeit
(1) Der Auftragnehmer erbringt für den Auftraggeber die Bereitstellung und den Betrieb der KI-Plattform InsurScale auf Grundlage des Hauptvertrags. Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus dem Hauptvertrag und aus Anlage 1 zu diesem Vertrag. Der Auftragnehmer verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.
(2) Dem Auftraggeber obliegt die Beurteilung der rechtlichen Zulässigkeit der Verarbeitung sowie die Wahrung der Rechte der betroffenen Personen. Die Regelungen dieser Vereinbarung gehen im Zweifel den datenschutzbezogenen Regelungen des Hauptvertrags vor.
(3) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrags. Sie bleibt über dessen Ende hinaus so lange gültig, wie der Auftragnehmer über personenbezogene Daten verfügt, die ihm vom Auftraggeber zugeleitet wurden oder die er für diesen verarbeitet.
(4) Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder einem anderen Vertragsstaat des EWR statt. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO; die hierfür erforderliche Zustimmung des Auftraggebers gilt für die in Anlage 3 genannten Subunternehmer mit Drittlandbezug als erteilt (§ 9).
§ 4 Weisungsrecht des Auftraggebers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrags und nach den dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
(2) Die Weisungen werden anfänglich durch diesen Vertrag und den Hauptvertrag festgelegt und können vom Auftraggeber in Textform geändert, ergänzt oder ersetzt werden (Einzelweisung). Die weisungsberechtigten Personen ergeben sich aus Anlage 4.
(3) Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Weisungen, die über die nach dem Hauptvertrag geschuldete Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt; der Auftragnehmer kann den hierdurch entstehenden Mehraufwand nach seinen jeweils gültigen Sätzen vergüten lassen.
(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Soweit über die Plattform Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten verarbeitet werden (etwa bei Berufsunfähigkeits- oder Krankenversicherungen), ist allein der Auftraggeber als Verantwortlicher für das Vorliegen einer tragfähigen Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO – insbesondere die Einholung etwaiger ausdrücklicher Einwilligungen der betroffenen Endkunden – verantwortlich. Der Auftragnehmer verarbeitet solche Daten ausschließlich nach Weisung des Auftraggebers im Rahmen der Plattformfunktionen. Eine Verarbeitung besonderer Datenkategorien über die in § 9 genannten Workflow-Automatisierungsdienste hinaus findet nicht statt; der Auftragnehmer stellt durch geeignete Konfiguration sicher, dass derartige Daten nicht über solche Dienste verarbeitet werden.
§ 5 Art der Daten und Kreis der betroffenen Personen
Der Auftragnehmer erhält im Rahmen der Durchführung des Hauptvertrags Zugriff auf die in Anlage 1 näher spezifizierten Kategorien personenbezogener Daten der dort bezeichneten Kategorien betroffener Personen, einschließlich etwaiger besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Die Einzelheiten und die besonderen Pflichten bei Art.-9-Daten regelt § 6 Abs. 6 sowie Anlage 1.
§ 6 Technische und organisatorische Maßnahmen; Datenschutzbeauftragter
(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, mindestens jedoch die in Anlage 2 beschriebenen Maßnahmen. Eine Verbesserung der Maßnahmen bleibt vorbehalten; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Über wesentliche Änderungen informiert der Auftragnehmer den Auftraggeber.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer ist berechtigt, alternative gleichwertige Maßnahmen umzusetzen, sofern das Sicherheitsniveau der Anlage 2 nicht unterschritten wird.
(3) Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen auf die Vertraulichkeit (Art. 28 Abs. 3 UAbs. 1 S. 2 lit. b, Art. 29, 32 Abs. 4 DSGVO), soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über die Beendigung des Vertrags hinaus.
(4) Datenschutzbeauftragter bzw. Ansprechpartner für den Datenschutz beim Auftragnehmer ist: Es ist kein Datenschutzbeauftragter bestellt (keine gesetzliche Bestellpflicht nach Art. 37 DSGVO / § 38 BDSG). Ansprechpartner für den Datenschutz beim Auftragnehmer ist die Geschäftsführung, erreichbar unter support@insurscale.de.
(5) Der Auftragnehmer setzt zur Erbringung der Leistung Subunternehmer nach Maßgabe von § 9 und Anlage 3 ein. Diese sind ihrerseits auf ein dem vorliegenden Vertrag entsprechendes Schutzniveau verpflichtet.
§ 7 Informations- und Unterstützungspflichten des Auftragnehmers
(1) Bei einer Verletzung des Schutzes personenbezogener Daten, bei Störungen, beim Verdacht von Datenschutzverletzungen oder bei sonstigen sicherheitsrelevanten Vorfällen, die im Auftrag verarbeitete Daten des Auftraggebers betreffen, informiert der Auftragnehmer den Auftraggeber unverzüglich in Textform. Die Meldung enthält, soweit möglich:
a) eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
b) eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
c) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.
(2) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Auftraggeber als Verantwortlichem.
(3) Werden die Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (z. B. Pfändung, Beschlagnahme, Insolvenzverfahren) gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich, sofern dies nicht behördlich oder gerichtlich untersagt ist.
(4) Der Auftragnehmer führt ein Verzeichnis aller Kategorien der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es dem Auftraggeber auf Anforderung zur Verfügung.
(5) Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten, bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei etwaigen vorherigen Konsultationen nach Art. 36 DSGVO. Für Unterstützungsleistungen, die nicht auf ein Fehlverhalten des Auftragnehmers zurückzuführen und nicht von der vertraglichen Leistung umfasst sind, kann der Auftragnehmer eine angemessene Vergütung verlangen.
§ 8 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber hat das Recht, sich von der Einhaltung der technischen und organisatorischen Maßnahmen sowie der vertraglichen Pflichten des Auftragnehmers zu überzeugen. Der Nachweis erfolgt vorrangig durch geeignete Mittel, insbesondere durch aktuelle Testate, Zertifizierungen (z. B. nach ISO/IEC 27001) oder Berichte unabhängiger Stellen sowie durch Auskünfte des Auftragnehmers.
(2) Soweit diese Nachweise zur Kontrolle nicht ausreichen, kann der Auftraggeber nach rechtzeitiger Ankündigung mit angemessener Frist und zu den üblichen Geschäftszeiten Überprüfungen vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragnehmer stehenden Dritten durchführen lassen. Kontrollen erfolgen nur im erforderlichen Umfang und ohne unverhältnismäßige Störung der Betriebsabläufe.
(3) Für den durch Kontrollen entstehenden Aufwand kann der Auftragnehmer eine angemessene Vergütung auf Basis seiner jeweils gültigen Stundensätze verlangen, soweit der Umfang den üblichen Kontrollrahmen übersteigt oder die Kontrolle nicht durch einen konkreten Anlass beim Auftragnehmer veranlasst ist.
(4) Der Auftraggeber dokumentiert das Ergebnis der Kontrolle und teilt es dem Auftragnehmer mit.
§ 9 Einsatz von Subunternehmern (weitere Auftragsverarbeiter)
(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 S. 1 DSGVO zur Beauftragung weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subunternehmer ergeben sich aus Anlage 3 und gelten als genehmigt; dies umfasst auch die dort genannten Subunternehmer mit Sitz in einem Drittland sowie die hierfür getroffenen Garantien nach Art. 44 ff. DSGVO.
(2) Beabsichtigt der Auftragnehmer, einen weiteren Subunternehmer hinzuzuziehen oder einen bestehenden zu ersetzen, zeigt er dies dem Auftraggeber zuvor in Textform an. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen ab Zugang der Anzeige aus wichtigem, datenschutzbezogenem Grund in Textform widersprechen. Widerspricht der Auftraggeber nicht innerhalb dieser Frist, gilt die Genehmigung als erteilt.
(3) Im Falle eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht. Lässt sich der Subunternehmer für die Leistungserbringung nicht vermeiden und kann dem Widerspruch nicht abgeholfen werden, ist jede Partei berechtigt, den Hauptvertrag mit angemessener Frist zu kündigen.
(4) Der Auftragnehmer verpflichtet jeden Subunternehmer vertraglich auf ein Datenschutzniveau, das den Anforderungen dieser Vereinbarung im Wesentlichen entspricht (Art. 28 Abs. 4 DSGVO), und stellt sicher, dass der Auftraggeber seine Kontrollrechte erforderlichenfalls auch gegenüber dem Subunternehmer wahrnehmen kann. Erbringt ein Subunternehmer seine Leistung außerhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch geeignete Garantien (insbesondere EU-Standardvertragsklauseln oder einen Angemessenheitsbeschluss) sicher.
(5) Kein Subunternehmerverhältnis im Sinne dieser Vorschrift sind reine Nebenleistungen (z. B. Telekommunikations-, Post- und Transportdienste, Reinigung), sofern sie keinen konkreten Bezug zu den für den Auftraggeber erbrachten Verarbeitungen aufweisen. Der Auftragnehmer trifft auch insoweit angemessene Schutzvorkehrungen.
§ 10 Anfragen und Rechte betroffener Personen
(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten zur Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO.
(2) Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung oder Einschränkung unmittelbar an den Auftragnehmer, leitet dieser den Antrag unverzüglich an den Auftraggeber weiter und wird nicht eigenmächtig tätig. Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der im Auftrag verarbeiteten Daten nur nach dokumentierter Weisung des Auftraggebers ein.
§ 11 Haftung
(1) Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei die Verantwortung für den Teil des Schadens, der auf einer Verletzung der ihr nach der DSGVO oder dieser Vereinbarung obliegenden Pflichten beruht; im Übrigen gilt Art. 82 Abs. 5 DSGVO.
(2) Hat eine Partei den vollständigen Schadenersatz geleistet, ist sie berechtigt, von der anderen Partei den Anteil zurückzufordern, der deren Verantwortung entspricht.
(3) Soweit in dieser Vereinbarung nicht abweichend geregelt, gelten die Haftungsregelungen des Hauptvertrags.
§ 12 Außerordentliches Kündigungsrecht
Der Auftraggeber kann den Hauptvertrag aus wichtigem Grund kündigen, wenn der Auftragnehmer seinen Pflichten aus dieser Vereinbarung nicht nachkommt, Bestimmungen der DSGVO vorsätzlich oder grob fahrlässig verletzt oder eine rechtmäßige Weisung des Auftraggebers nicht ausführt. Bei einfachen Verstößen setzt der Auftraggeber dem Auftragnehmer zuvor eine angemessene Frist zur Abhilfe.
§ 13 Beendigung; Rückgabe und Löschung
(1) Nach Beendigung des Hauptvertrags oder auf vorherige Anforderung des Auftraggebers gibt der Auftragnehmer alle überlassenen Daten und Unterlagen zurück oder löscht sie nach Wahl des Auftraggebers datenschutzgerecht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Dies gilt auch für Datensicherungen. Der Auftragnehmer weist die ordnungsgemäße Löschung auf Anforderung nach.
(2) Der Auftraggeber kann die vollständige und vertragsgemäße Rückgabe bzw. Löschung in geeigneter Weise kontrollieren.
(3) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.
§ 14 Schlussbestimmungen
(1) Dem Auftragnehmer steht hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger kein Zurückbehaltungsrecht zu.
(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform oder der Textform; dies gilt auch für die Aufhebung dieses Formerfordernisses. Individuelle Vertragsabreden haben Vorrang.
(3) Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(4) Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist – soweit zulässig – Frankfurt am Main.
Ort, Datum: __________________________
Auftraggeber
(Versicherungsagentur)
Auftragnehmer
InsurScale360 GmbH
Anlage 1 – Daten, betroffene Personen und Zwecke
Zweck der Verarbeitung
Bereitstellung und Betrieb der KI-Plattform InsurScale zur KI-gestützten Unterstützung der Versicherungsagentur, insbesondere Dokumentenanalyse, Korrespondenz, Beratungsunterstützung sowie Speicherung und Verarbeitung mittels Retrieval-Augmented Generation (RAG).
Kategorien betroffener Personen
Endkunden / Versicherungsnehmer des Auftraggebers
Interessenten und Antragsteller
Kontakt- und Ansprechpersonen der Endkunden
weitere natürliche Personen, deren Daten in hochgeladenen Dokumenten enthalten sind
Kategorien personenbezogener Daten
Kontakt- und Stammdaten (Name, Anschrift, Kommunikationsdaten)
Vertrags- und Versicherungsdaten (Policen, Anträge, Verträge)
Schaden- und Vorgangsdaten
in hochgeladenen Dokumenten enthaltene Inhaltsdaten
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)
Gesundheitsdaten können in Ausnahmefällen anfallen (z. B. bei Berufsunfähigkeits- oder Krankenversicherungen). Für die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO ist allein der Auftraggeber verantwortlich (§ 6 Abs. 6). Eine Verarbeitung dieser Daten über Workflow-Automatisierungsdienste (insbesondere Zapier) ist ausgeschlossen.
Anlage 2 – Technische und organisatorische Maßnahmen
Die technischen und organisatorischen Maßnahmen des Auftragnehmers sowie der eingesetzten Plattform (aven8.ai der Anova GmbH) richten sich nach Art. 32 DSGVO. Sie umfassen insbesondere die nachstehenden Maßnahmen. Maßgeblich sind ergänzend die TOM des Plattformbetreibers gemäß dessen Auftragsverarbeitungsvertrag (Anlage A des aven8-AVV).
Vertraulichkeit
Zutrittskontrolle: Rechenzentren nach ISO/IEC 27001 zertifiziert; Zutritt nur für berechtigte Personen
Zugangskontrolle: Authentifizierung mit Benutzername und Passwort, Berechtigungskonzepte, Firewalls
Zugriffskontrolle: rollenbasiertes Berechtigungskonzept, Protokollierung, sichere Datenlöschung
Trennungskontrolle: logische Mandantentrennung der Datenbestände
Integrität
Eingabekontrolle: Protokollierung von Eingabe, Änderung und Löschung über personalisierte Benutzerkonten
Weitergabekontrolle: TLS-Transportverschlüsselung, Verschlüsselung ruhender Daten
Verfügbarkeit und Belastbarkeit
Backup- und Recovery-Konzept, ausgelagerte Datensicherung
unterbrechungsfreie Stromversorgung und Überwachung der Rechenzentren
Verfahren zur regelmäßigen Überprüfung
Regelmäßige interne Audits sowie Überprüfung der Wirksamkeit der Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO).
Anlage 3 – Genehmigte Subunternehmer
Die nachfolgenden Unternehmen sind nach § 9 genehmigte Subunternehmer (weitere Auftragsverarbeiter) des Auftragnehmers. Die Verarbeitung erfolgt jeweils auf Grundlage eines Vertrags nach Art. 28 DSGVO; bei Drittlandbezug auf Grundlage der angegebenen Garantien.
A. Plattformbetrieb (KI-Plattform aven8.ai)
Anova GmbH, Schweppermannpark 1, 84539 Ampfing, Deutschland – Betrieb der White-Label-KI-Plattform aven8.ai (Hosting, Wartung, Support). Keine Drittlandübermittlung. Die Anova GmbH setzt ihrerseits die nachfolgenden Unterauftragnehmer ein (genehmigt):
Subunternehmer
Sitz / Land
Leistung
Drittland / Rechtsgrundlage
Vusyon GmbH
Marlener Str. 2, 77656 Offenburg, DE
Bereitstellung der KI-Logik
Keine
avenit AG
Marlener Str. 2, 77656 Offenburg, DE
Interne Infrastruktur
Keine
Amazon Web Services EMEA SARL
Marcel-Breuer-Str. 12, 80807 München, DE
File Storage, KI-Schnittstellen
Art. 45 (DPF) bzw. Art. 46 II c (SCC)
Hetzner Online GmbH
Industriestr. 25, 91710 Gunzenhausen, DE
File Storage
Keine
Anthropic PBC
548 Market Street, San Francisco, CA 94104, USA
Sprachmodell (Claude)
Art. 46 II c (SCC)
OpenAI Ireland Ltd.
117–126 Sheriff Street Upper, Dublin 1, IE
Sprachmodell (GPT)
Art. 46 II c (SCC), b. Drittlandbezug
Microsoft Ireland Operations Ltd.
One Microsoft Place, Dublin 18, IE
Azure / Sprachmodell
Art. 45 (DPF) bzw. Art. 46 II c (SCC)
Mistral AI
15 Rue des Halles, 75001 Paris, FR
KI-Infrastruktur
Keine
Google Ireland Ltd.
Gordon House, Barrow Street, Dublin 4, IE
Dokumentenaufbereitung
Art. 45 (DPF) bzw. Art. 46 II c (SCC)
ElevenLabs Poland sp. z o.o.
Lipska 27/22, 03-908 Warschau, PL
Sprachgenerierung
Art. 45 (DPF) bzw. Art. 46 II c (SCC)
B. Direkte Dienstleister des Auftragnehmers
Subunternehmer
Sitz / Land
Leistung
Drittland / Rechtsgrundlage
Stripe Payments Europe, Ltd.
One Wilton Park, Dublin 2, D02 FX04, IE
Zahlungs-/Abrechnungsabwicklung
Art. 45 (DPF) bzw. Art. 46 II c (SCC), b. Konzernbezug
Zapier, Inc.
548 Market Street #62411, San Francisco, CA 94104, USA
Workflow-/E-Mail-Automatisierung (keine Art.-9-Daten)
Art. 45 (DPF) + Art. 46 II c (SCC)
Pipedrive OÜ
Mustamäe tee 3a, 10615 Tallinn, EE
CRM / Kundenverwaltung
EU-Hosting; b. Sub-AV Art. 45/46 II c
Hinweis: Stripe, Zapier und Pipedrive werden vom Auftragnehmer in erster Linie zur Verwaltung des Vertragsverhältnisses mit dem Auftraggeber eingesetzt. Soweit hierbei personenbezogene Daten betroffener Endkunden des Auftraggebers verarbeitet werden, gelten sie als genehmigte Subunternehmer im Sinne des § 9.
Anlage 4 – Weisungsberechtigte Personen
Weisungsberechtigte des Auftraggebers
[Name, Funktion, Kontaktdaten – bitte ergänzen]
Weisungsempfänger beim Auftragnehmer
[Name, Funktion, Kontaktdaten – bitte ergänzen]