Vereinbarung zur Auftragsverarbeitung — OAZEE

Diese Vereinbarung zur Auftragsverarbeitung (AVV) ist Bestandteil der OAZEE-Nutzungsbedingungen zwischen Arti Group s.r.o., Unternehmensnummer (IČO) 27930432, Umsatzsteuer-ID (DIČ) CZ27930432, Sitz Schulhoffova 793/3, Háje, 149 00 Prag 4, Tschechische Republik (OAZEE), und dem Kunden, der OAZEE zur Verarbeitung personenbezogener Daten in seinem Auftrag nutzt (Kunde).

Sie gilt, soweit OAZEE personenbezogene Daten in Website-Inhalten, Besucheranfragen oder beim zugehörigen Hosting und der Zustellung ausschließlich für den Kunden verarbeitet. Normalerweise ist der Kunde Verantwortlicher; handelt er als Agentur für einen Verantwortlichen, ist OAZEE sein Unterauftragsverarbeiter. Der Kunde muss zur Erteilung der jeweiligen Weisungen befugt sein.

Für Verantwortlicher, Auftragsverarbeiter, personenbezogene Daten, Verarbeitung und Verletzung des Schutzes personenbezogener Daten gelten die Begriffsbestimmungen der DSGVO. Für Verarbeitungen in ihrem Geltungsbereich geht diese AVV entgegenstehenden allgemeinen Bedingungen vor. Sie regelt nicht die gesonderten Zwecke, für die OAZEE bei Konten, Abrechnung, Sicherheit oder Support als Verantwortlicher handelt und die in der Datenschutzerklärung beschrieben sind. Geltendes Datenschutzrecht hat Vorrang vor jeder vertraglichen Beschränkung.

• Gegenstand: Hosting und Betrieb der Website des Kunden sowie Umgang mit personenbezogenen Daten, die der Kunde über die unterstützten Funktionen aufnehmen oder erheben möchte.
• Art und Zweck: Speicherung, Abruf, Anzeige und Veröffentlichung angewiesener Website-Inhalte; Empfang, Spamprüfung, Speicherung und E-Mail-Zustellung von Besucheranfragen; technischer Support, Sicherheit sowie Löschung oder Rückgabe, soweit für diese Funktionen erforderlich.
• Betroffene Personen: Website-Besucher des Kunden, potenzielle und bestehende Kunden, Ansprechpartner, Personal und andere Personen, deren Daten der Kunde rechtmäßig bereitstellt.
• Datenarten: angewiesene Website-Texte und Bilder, Namen, geschäftliche Kontaktdaten, E-Mail-Adressen, Telefonnummern, Nachrichten, gegebenenfalls Dienstleistungs- oder Termininformationen, Absendezeiten, gehashte IP-Informationen, Browser-/User-Agent-Informationen sowie relevante Sicherheits- oder Spamkennzeichen. Infrastruktur- und Schutzanbieter können für Zustellung und Sicherheit erforderliche Verbindungsdaten verarbeiten.
• Dauer: solange die betreffende Verarbeitungsleistung und rechtmäßige Aufbewahrungsweisungen fortbestehen, anschließend Rückgabe oder Löschung nach Abschnitt 10. Eine weitere Kontospeicherung berechtigt nicht zur zweckfremden Wiederverwendung.

Der Standarddienst ist nicht dafür ausgelegt, besondere Kategorien personenbezogener Daten, Daten über Straftaten, Ausweisdokumente oder andere hochsensible Informationen über allgemeine Formulare oder KI-Prompts zu erheben. Der Kunde darf eine solche Verarbeitung nicht ohne Rechtsgrundlage und ausdrücklich vereinbarte geeignete Regelung anweisen. Eine unaufgefordert eingehende sensible Nachricht bleibt geschütztes personenbezogenes Datum und steht nicht für eigenständige Nutzung zur Verfügung.

Der Kunde weist OAZEE an, Daten nur zur Bereitstellung der vertraglich gewählten Funktionen, gemäß den dokumentierten Einstellungen und Anfragen des Kunden und dieser AVV zu verarbeiten. Ein Auftrag zur Veröffentlichung von Website-Inhalten ist die Weisung, diese Inhalte öffentlich zugänglich zu machen; eine private Formularanfrage ist keine Veröffentlichungsweisung.

OAZEE verarbeitet Daten ausschließlich auf rechtmäßige dokumentierte Weisung, auch bei internationalen Übermittlungen, sofern das geltende Unionsrecht oder das Recht eines Mitgliedstaats nichts anderes verlangt. In diesem Fall informiert OAZEE den Kunden vor der Verarbeitung, sofern dies nicht gesetzlich untersagt ist. Erscheint eine Weisung datenschutzwidrig, informiert OAZEE den Kunden unverzüglich und kann deren Ausführung bis zur Klärung aussetzen.

OAZEE verwendet Besucherdaten im Verantwortungsbereich des Kunden nicht für eigene Werbung, eigenständiges Modelltraining, Verkauf oder sachfremde Produktentwicklung. Die Erlaubnis, ein Formular zu hosten, berechtigt nicht zur Übermittlung seiner Nachrichten an einen KI-Anbieter für dessen eigenständige Zwecke. KI-Verarbeitung im Rahmen dieser AVV erfordert eine entsprechende Kundenweisung und eine mit dieser AVV vereinbare Anbieterregelung.

Der Kunde bestimmt die Rechtsgrundlage, stellt erforderliche Besucherhinweise bereit, beschränkt die Erhebung auf notwendige Daten und erteilt rechtmäßige Aufbewahrungsweisungen. Diese Verantwortung entbindet OAZEE nicht von seinen eigenen Pflichten als Auftragsverarbeiter.

OAZEE stellt sicher, dass zur Datenverarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind und nur den für ihre Aufgaben erforderlichen Zugang erhalten. OAZEE setzt geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO unter Berücksichtigung von Risiken, Umfang, Umständen, Stand der Technik und Implementierungskosten ein.

Dazu gehören Zugangsbeschränkung und Authentifizierung, Schutz bei der Datenübertragung, sicherer Umgang mit Zugangsdaten, Trennung der Kundenzugriffe, verhältnismäßiger Missbrauchs- und Spamschutz, geeignete Protokollierung und Vorfallbearbeitung sowie gegebenenfalls Maßnahmen zur Verfügbarkeit und Datenwiederherstellung. Schutzmechanismen verwalteter Infrastruktur und Aufbewahrung werden für die jeweilige Verarbeitung bewertet. Diese AVV behauptet weder eine bestimmte Zertifizierung noch eine ausschließliche Speicherregion, eine feste Wiederherstellungszeit aus Sicherungen oder absolute Sicherheit.

OAZEE stellt dem Kunden die für eine Bewertung der jeweiligen Maßnahmen angemessen erforderlichen Informationen bereit und senkt das gesetzlich erforderliche Gesamtschutzniveau während der Verarbeitungsleistung nicht wesentlich ab.

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die für die jeweilige Verarbeitung ordnungsgemäß benannten Unterauftragsverarbeiter. Das Anbieterverzeichnis in Abschnitt 12 muss die tatsächlichen Anbieter, Funktionen, Orte und geltenden Übermittlungsregelungen benennen, bevor ihnen die betreffende Verarbeitung übertragen wird. Eine ungenutzte Softwareeinbindung allein besagt nicht, dass der Anbieter Kundendaten erhält.

Vor Hinzufügung oder Austausch eines Unterauftragsverarbeiters für Kundendaten informiert OAZEE den Kunden über die geplante Änderung an dessen hinterlegte Kontaktadresse, soweit praktikabel mindestens 30 Tage im Voraus, damit der Kunde tatsächlich Gelegenheit hat, aus begründeten Datenschutzgründen zu widersprechen. Eine wirklich dringende sicherheitsbedingte oder rechtliche Änderung wird so früh wie möglich mitgeteilt; sie beseitigt nicht das Erfordernis rechtmäßiger Genehmigung und Schutzmaßnahmen.

Der Kunde kann innerhalb der Mitteilungsfrist widersprechen. Die Parteien suchen eine angemessene Alternative oder Schutzmaßnahme. Kann der Widerspruch nicht gelöst werden und gibt es keine rechtmäßige Alternative, darf der Kunde die betroffene Verarbeitungsleistung vor Wirksamwerden der Änderung ohne vorzeitige Beendigungsgebühr beenden und erhält eine gesetzlich oder vertraglich geschuldete Erstattung für die betroffene ungenutzte Leistung. Damit wird die weitere Nutzung eines rechtswidrigen oder nicht verfügbaren Anbieters nicht zugesagt.

OAZEE verpflichtet Unterauftragsverarbeiter schriftlich zu denselben einschlägigen Datenschutzpflichten wie in dieser AVV und bleibt dem Kunden gegenüber nach Artikel 28 DSGVO für deren Erfüllung verantwortlich. Ein nachgelagerter KI-Modellanbieter ist nicht ausgenommen, nur weil der Zugriff über eine andere Plattform erfolgt.

Die Kundenweisung ist kein Verzicht auf die DSGVO-Beschränkungen für Übermittlungen außerhalb des EWR. Vor einer beschränkten Drittlandübermittlung muss OAZEE einen gültigen Mechanismus für den tatsächlichen Empfänger und die Verarbeitung sowie erforderliche Bewertungen und ergänzende Maßnahmen feststellen und dokumentieren.

Die Verarbeitung nach Abschnitt 12 umfasst Übermittlungen in die Vereinigten Staaten. Diese stützen sich auf das EU-U.S. Data Privacy Framework (DPF), soweit Empfänger und Tätigkeit von einer gültigen Zertifizierung erfasst sind, und/oder auf die nach der jeweiligen Anbieter-AVV geltenden Standardvertragsklauseln (SCC). Die Datenschutzerklärung, Abschnitte 8–9, nennt die Orte, Empfängergesellschaften und Links zu deren Übermittlungsbedingungen. Ein europäischer Vertragspartner schließt Zugriff oder Verarbeitung in den Vereinigten Staaten nicht aus.

Ein Angemessenheitsbeschluss darf nur genutzt werden, wenn seine Voraussetzungen vorliegen. Die Berufung auf das EU-U.S. Data Privacy Framework setzt voraus, dass der jeweilige Empfänger und die Tätigkeit von einer gültigen Zertifizierung erfasst sind. Bei Standardvertragsklauseln müssen die passenden Parteien, das Modul, die Anhänge, die Verarbeitungsbeschreibung und Maßnahmen ausgefüllt sein; ein allgemeiner Verweis in dieser AVV ist kein abgeschlossener Satz von Übermittlungsklauseln.

OAZEE stellt auf Anfrage Informationen zum tatsächlichen Mechanismus und Zugang zu den Schutzmaßnahmen bereit, vorbehaltlich des rechtmäßigen Schutzes vertraulicher Informationen und personenbezogener Daten Dritter. Kann eine Übermittlung nicht rechtmäßig fortgeführt werden, muss sie eingestellt oder eine andere rechtmäßige Regelung getroffen werden.

Unter Berücksichtigung der Verarbeitung unterstützt OAZEE den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und gegebenenfalls Datenübertragbarkeit. Anfragen können über E-Mail-Adresse anzeigen koordiniert werden.

Erhält OAZEE einen Antrag zu Daten im Verantwortungsbereich des Kunden, leitet es ihn unverzüglich weiter und entscheidet nicht selbst über die Antwort des Kunden, soweit gesetzlich nicht anders vorgeschrieben. Der Kunde bleibt für die Prüfung verantwortlich; OAZEE leistet rechtzeitig Unterstützung zur Einhaltung der geltenden gesetzlichen Frist. Die Rückgabe von Daten kann auf Anfrage erfolgen und ist nicht auf die im Dashboard sichtbaren Informationen beschränkt.

OAZEE benachrichtigt den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die nach dieser AVV verarbeitete Daten betrifft. Die Benachrichtigung enthält, soweit verfügbar, Art des Vorfalls, betroffene Kategorien und ungefähre Zahlen, eine Kontaktstelle, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

Während der Sachverhaltsaufklärung können Informationen ohne unangemessene Verzögerung schrittweise bereitgestellt werden. OAZEE wirkt bei Eindämmung, Abhilfe und den Bewertungs- und Meldepflichten des Kunden mit. Die mögliche 72-Stunden-Frist des Verantwortlichen zur Meldung an die Aufsichtsbehörde ist keine vertragliche Frist, während der OAZEE die Kundenbenachrichtigung verzögern darf.

Unter Berücksichtigung der Verarbeitungsart und der verfügbaren Informationen unterstützt OAZEE den Kunden bei Sicherheitspflichten, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlicher vorheriger Konsultation.

OAZEE stellt die zur Darlegung der Einhaltung von Artikel 28 DSGVO erforderlichen Informationen bereit und ermöglicht und unterstützt Audits, einschließlich Inspektionen durch den Kunden oder einen beauftragten unabhängigen Prüfer. Die Parteien vereinbaren angemessene Ankündigung, Umfang, Vertraulichkeit und Schutz der Daten anderer Kunden; diese Regelungen dürfen gesetzliche Prüfungsrechte nicht aushöhlen oder eine zuständige Behörde behindern. Vorhandene unabhängige Berichte können gegebenenfalls verwendet werden, werden aber nicht fälschlich als von OAZEE gehaltene Zertifizierungen dargestellt.

Die übliche Zusammenarbeit gehört zu den jeweiligen gesetzlichen Pflichten. Ein gesondert vereinbartes Entgelt für tatsächlich zusätzliche Arbeiten muss angemessen sein und darf zwingende Rechte oder die Behebung eigener Rechtsverstöße durch OAZEE nicht behindern.

Am Ende der jeweiligen Verarbeitungsleistung kann der Kunde zwischen Rückgabe und Löschung seiner personenbezogenen Daten einschließlich Kopien wählen, sofern das Unionsrecht oder das Recht eines Mitgliedstaats keine Speicherung verlangt. Anträge werden an E-Mail-Adresse anzeigen gerichtet; OAZEE unterstützt unverzüglich und stellt bei gewünschter Rückgabe ein für die Daten geeignetes nutzbares, gängiges Format bereit. Nach der Rückgabe löscht OAZEE verbliebene Kopien, sofern das Unionsrecht oder das Recht eines Mitgliedstaats keine Aufbewahrung verlangt, vorbehaltlich des nachfolgend beschriebenen begrenzten Sicherungszyklus.

Behält der Kunde ein Konto und weist weitere Speicherung zur Wiederherstellung an, kann dieser festgelegte Speicherzweck unter dieser AVV fortbestehen. Die Beendigung bezahlten Hostings bei gleichzeitiger Aufbewahrung wiederherstellbarer Inhalte ist nicht dieselbe Weisung wie die Löschung sämtlicher gespeicherter Inhalte. Die betrieblichen Aufbewahrungsfristen der Datenschutzerklärung unterliegen weiter rechtmäßigen Kundenweisungen und dem Erforderlichkeitsgrundsatz der DSGVO.

Gesetzlich aufzubewahrende Unterlagen werden auf den vorgeschriebenen Zweck beschränkt und getrennt gehalten. Sicherungskopien, die auf den jeweiligen Löschzyklus warten, bleiben geschützt, werden nicht für neue Zwecke verwendet und gelöscht oder anonymisiert, sobald diese begrenzte Aufbewahrung nicht mehr erforderlich ist. OAZEE erläutert auf Anfrage eine einschlägige Aufbewahrungsausnahme oder einen Zyklus.

Für Auftragsverarbeitungsweisungen und Datenschutzfragen ist E-Mail-Adresse anzeigen die Kontaktadresse. Mitteilungen zu Kundendaten gehen an den aktuellen Kontokontakt des Kunden, sofern kein anderer Kontakt vereinbart ist. Der Kunde muss diese Kontaktdaten aktuell halten.

Diese AVV folgt der tschechischen Rechtswahl der Nutzungsbedingungen, ohne die DSGVO, zuständige Aufsichtsbehörden, Rechte betroffener Personen oder andere unabdingbare Schutzrechte einzuschränken. Sie zwingt einen Verbraucher nicht entgegen geltendem Recht zur ausschließlichen Nutzung eines tschechischen Gerichts.

Die Datenschutzerklärung, Abschnitt 8 nennt einschlägige Dienstleistermarken und Funktionen. Für die tatsächliche Verarbeitung des Kunden muss das Verzeichnis unterscheiden zwischen:

• Vercel Inc. (Vereinigte Staaten): Hosting, Blob-Speicherung und BotID-bezogener Schutz einschließlich einschlägiger Kasada-Verarbeitung;
• Neon: Datenbankspeicherung; die aktuellen öffentlichen Bedingungen benennen Databricks, Inc. und dessen verbundenes Unternehmen Neon, LLC (Vereinigte Staaten);
• Resend / Plus Five Five, Inc. (Vereinigte Staaten): Zustellung von Anfragen und Service-E-Mails einschließlich Speicherung der Nachrichtendaten in den Vereinigten Staaten;
• konfigurierte KI- oder Sprachanbieter, soweit Kundendaten rechtmäßig einbezogen werden: Google (einschließlich Google Cloud EMEA Limited, Irland, für Gemini API Paid Services bei einer tschechischen Rechnungsadresse), OpenAI, OpenRouter mit dem jeweiligen nachgelagerten Anbieter oder Recraft;
• andere Anbieter nur, soweit sie tatsächlich mit der erforderlichen Genehmigung im Kundenauftrag tätig sind.

Die eigenständige Zahlungsabwicklung von Stripe, Registeroffenlegungen an Gransy / Subreg oder das zuständige Domainregister und eigene Supportbenachrichtigungen von OAZEE werden anhand ihrer tatsächlichen Rollen bewertet; sie sind nicht automatisch sämtlich Unterauftragsverarbeiter für Besucherformulardaten.

Die Datenbankregion ist AWS US East 1, Northern Virginia, Vereinigte Staaten (us-east-1). Die Standardregion für OAZEE-Funktionen bei Vercel ist Washington, D.C., Vereinigte Staaten (iad1); statische Inhalte werden über ein globales CDN ausgeliefert. Logos, Fotos und Uploads nutzen Vercel Blob; die Funktionsregion bestimmt nicht sämtliche Speicherorte für Blob, Caches und Sicherungen oder Fernzugriffsorte. Resend speichert E-Mail-Daten in den Vereinigten Staaten; die Wahl einer Versandregion ändert diesen Speicherort nicht.

Die Empfänger- und Übermittlungsbedingungen in der Datenschutzerklärung, Abschnitte 8–9, sind Bestandteil dieses Verzeichnisses. Für jeden aktiven Unterauftragsverarbeiter stellt OAZEE unter E-Mail-Adresse anzeigen den jeweiligen vertraglichen Rechtsträger, die Funktion, Datenkategorien, geltenden Verarbeitungs- und Fernzugriffsorte sowie Übermittlungsgarantien bereit und teilt Änderungen nach Abschnitt 5 mit. Zusätzliche oder nachgelagerte Anbieter müssen für die tatsächliche Verarbeitung benannt werden; die aufgeführten Infrastrukturregionen bedeuten nicht, dass sämtliche Verarbeitung auf diese Regionen beschränkt ist.