Auftragsverarbeitung (AVV)

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Plattform Nudgence gemäß dem zugrundeliegenden Hauptvertrag (AGB). Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten zum Zweck der Bereitstellung der Nudging- und KI-Coaching-Funktionalität, insbesondere: Versand von Nudges/Erinnerungen, Bereitstellung des KI-gestützten Dialogs über die Infrastruktur von melious.ai, Speicherung und Verwaltung von Nutzerkonten (frei zu vergebender Name, Telefonnummer, eMail Adresse), Team-Zuordnungen, Feedbacks und Nutzungsdaten innerhalb der Plattform.

Vom Kunden bereitgestellte Dokumente und die im Rahmen des KI-Coachings eingegebenen Inhalte werden ausschließlich zur Erbringung der vertraglich vereinbarten Funktionen verarbeitet. Sie werden nicht zum Training allgemein verfügbarer KI-Modelle verwendet und nicht zur Entwicklung oder Verbesserung von KI-Modellen für andere Kunden verwendet. Eine Verwendung zu anderen Zwecken erfolgt nur auf dokumentierte Weisung des Kunden oder aufgrund einer gesetzlichen Verpflichtung.

Mitarbeitende des Verantwortlichen, die als Nutzer der Plattform angelegt werden (Team-Mitglieder, Team Leads).

Name (frei definierbar), geschäftliche E-Mail-Adresse, geschäftliche Mobilfunknummer, Team-/Rollenzuordnung, Nutzungs- und Interaktionsdaten innerhalb der Plattform (z. B. Reaktion auf Nudges, Dialoghistorie mit dem KI-Coach). Keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, sofern nicht vom Verantwortlichen eigenständig eingebracht.

Nudgence dient ausdrücklich nicht der automatisierten Bewertung, Überwachung oder Beurteilung der individuellen Arbeitsleistung von Beschäftigten. Der Anbieter erstellt keine Mitarbeiterprofile zu Zwecken von Personalentscheidungen, Leistungsbeurteilungen oder vergleichbaren Maßnahmen, sofern dies nicht ausdrücklich als gesonderte Funktion vereinbart und datenschutzrechtlich zulässig ausgestaltet wurde.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet. Er gewährleistet, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben. Er trifft die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, wie in Anlage 1 (TOM) beschrieben.

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

melious.ai (Saarbrücken, Deutschland): KI-Infrastruktur; Datenverarbeitung innerhalb der EU

Brevo GmbH (Berlin, Deutschland): Versand von E-Mails und sms; Datenverarbeitung innerhalb der EU

Neon Databricks GmbH (München, Deutschland, Hauptsitz Databricks Inc. San Francisco, CA 94105, USA): Bereitstellung und Hosting der serverlosen PostgreSQL-Datenbank sowie Vektordatenbank für die SaaS-Plattform; Datenverarbeitung innerhalb der EU

Vercel GmbH (München, Hauptsitz Vercel Inc. Walnut, CA 91789, USA): Website, App-Hosting, Speicherung hochgeladener Dokumente; Datenverarbeitung innerhalb der EU

Integrtr GmbH (Mannheim, Deutschland): Technische Entwicklung, Operations und Maintenance der Nudgence Plattform, inklusive Anwendungsentwicklung, Infrastrukturmanagement und technischem Support. Abhängig von der jeweiligen Servicekonfiguration kann integrtr zum Zweck der Erbringung der vertraglich vereinbarten Leistungen Zugriff auf personenbezogene Daten haben, die über die Plattform verarbeitet werden. Der Zugriff von integrtr auf personenbezogene Daten ist auf das für die Erbringung der vertraglich vereinbarten Leistungen erforderliche Maß beschränkt.

Eine Verarbeitung durch weitere Unterauftragsverarbeiter erfolgt ausschließlich nach Maßgabe dieses AVV und der darin geregelten Änderungs- und Widerspruchsmechanismen.

Der Auftragsverarbeiter informiert vorab über beabsichtigte Änderungen bei Unterauftragsverarbeitern; der Verantwortliche kann der Änderung aus wichtigem Grund innerhalb von 14 Tagen widersprechen.

Stripe wird ausschließlich zur Zahlungsabwicklung für den Vertragsschluss zwischen Anbieter und Kunde eingesetzt und verarbeitet dabei Zahlungs-, nicht Mitarbeiterdaten des Kunden; Stripe wird daher nicht als Unterauftragsverarbeiter im Sinne dieses AVV geführt. Stripe verarbeitet Zahlungs- und Abrechnungsdaten im Rahmen der Zahlungsabwicklung grundsätzlich in eigener datenschutzrechtlicher Verantwortlichkeit. Stripe verarbeitet hierbei keine Mitarbeiterdaten des Kunden im Rahmen der Nudgence-Leistung.

Der Verantwortliche ist berechtigt, sich von der Einhaltung der in diesem Vertrag festgelegten Pflichten des Auftragsverarbeiters zu überzeugen, z. B. durch Einholung von Auskünften oder Nachweisen (Zertifikate, Selbstauskünfte).

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten, die die Verarbeitung im Rahmen dieses Vertrags betreffen.

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten einschließlich bestehender Sicherungskopien, soweit technisch möglich und keine gesetzliche Aufbewahrungspflicht entgegensteht, wobei in Sicherungskopien enthaltene Daten im Rahmen des regulären Backup-Löschzyklus gelöscht werden, oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Dies erfolgt innerhalb von 30 Tagen nach Vertragsende.

Es gelten die Haftungsregelungen des Hauptvertrags entsprechend, soweit gesetzlich zulässig.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag in Bezug auf die Verarbeitung personenbezogener Daten geht dieser AVV vor. Es gilt deutsches Recht.

Nudgence wird vom Anbieter als Software-as-a-Service-Plattform betrieben.

Der Anbieter trifft angemessene organisatorische Maßnahmen zum Schutz personenbezogener Daten, darunter Zugriffsberechtigungen, Geheimhaltungspflichten, das Vorfallmanagement und die Verwaltung von Datenverarbeitungsvereinbarungen.

Der Zugriff auf personenbezogene Daten ist auf Personen und Dienstleister beschränkt, die diesen Zugriff zur Erfüllung ihrer vertraglichen Pflichten benötigen.

Zugriffsrechte werden nach dem Prinzip der geringsten Berechtigungen gewährt.

Nudgence nutzt qualifizierte technische Dienstleister für Softwareentwicklung, Hosting, Infrastruktur, Datenbankdienste, KI-/RAG-Funktionalitäten und Kommunikation gemäß dieser Vereinbarung. Soweit diese Dienstleister personenbezogene Daten im Auftrag von Nudgence verarbeiten, werden sie gemäß Artikel 28 DSGVO vertraglich als Unterauftragsverarbeiter gebunden.

Technische Sicherheitsmaßnahmen für die Anwendung und die zugrunde liegende Infrastruktur werden gemeinsam von Nudgence und seinen beauftragten technischen Dienstleistern, darunter integrtr, sowie den jeweiligen Infrastrukturanbietern umgesetzt.

Zu den Maßnahmen gehören:

• Authentifizierung und Autorisierung
• rollenbasierte Zugriffskontrolle
• Verschlüsselung während der Übertragung
• Verschlüsselung der gespeicherten Daten
• sichere Softwareentwicklungspraktiken
• Schwachstellen- und Patch-Management
• Protokollierung und Überwachung
• Sicherungs- und Wiederherstellungsmechanismen
• Trennung der Umgebungen.

Daten werden logisch zwischen den einzelnen Kundenumgebungen und -konten getrennt.

Der Zugriff eines Kunden auf die Daten eines anderen Kunden wird durch geeignete Zugriffskontrollmechanismen technisch verhindert.

Datensicherungen werden unter Nutzung der Infrastruktur und der Dienste der benannten technischen Anbieter durchgeführt.

Die Aufbewahrungsfristen für Sicherungskopien und die Löschverfahren richten sich nach der jeweiligen Infrastrukturkonfiguration.

Nudgence verfügt über Verfahren zur Erkennung, Bewertung und Reaktion auf Sicherheitsvorfälle und Verletzungen des Schutzes personenbezogener Daten.

Unterauftragsverarbeiter sind vertraglich verpflichtet, Nudgence relevante Vorfälle unverzüglich zu melden.

Personenbezogene Daten werden nach Beendigung des Vertragsverhältnisses gemäß dem geltenden Datenschutzgesetz und den konfigurierten Lösch- und Sicherungsverfahren gelöscht.