Auftragsverarbeitungsvertrag (Data Processing Agreement)

1.1 Begriffsbestimmungen. In diesem AVV gilt Folgendes:

(a) „Personenbezogene Kundendaten“ (Customer Personal Data) bezeichnet die in den Kundendaten enthaltenen personenbezogenen Daten, die Veliu bei der Erbringung der Dienste im Auftrag des Kunden verarbeitet.

(b) „Datenschutzrecht“ (Data Protection Law) bezeichnet die Verordnung (EU) 2016/679 (die „DSGVO“ (GDPR)), den irischen Data Protection Act 2018 und die sonstigen für die Verarbeitung geltenden Vorschriften der EU und der Mitgliedstaaten über personenbezogene Daten sowie, soweit anwendbar, die UK GDPR und das Schweizer Bundesgesetz über den Datenschutz.

(c) „Datenschutzverletzung“ (Personal Data Breach) bezeichnet eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die Personenbezogene Kundendaten betrifft.

(d) „Standardvertragsklauseln“ (Standard Contractual Clauses) bezeichnet die Klauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission.

(e) „Unterauftragsverarbeiter“ (Subprocessor) bezeichnet einen Auftragsverarbeiter, den Veliu mit der Verarbeitung Personenbezogener Kundendaten beauftragt.

1.2 Rollen. Der Kunde ist der Verantwortliche für die Personenbezogenen Kundendaten, und Veliu ist sein Auftragsverarbeiter.

1.3 Veliu als Verantwortlicher. Veliu ist Verantwortlicher für (a) die anonymisierte Telemetrie, die es nach Ziffer 11 ableitet, und (b) die personenbezogenen Daten der Nutzer, die es verarbeitet, um deren Konten zu verwalten, dem Kunden Rechnungen zu stellen, mit den Nutzern zu kommunizieren und zu verstehen, wie die Dienste genutzt werden, wie in der Datenschutzerklärung von Veliu beschrieben.

1.4 Pflichten des Kunden. Der Kunde stellt sicher, dass seine Weisungen dem Datenschutzrecht entsprechen, dass er über eine Rechtsgrundlage für die Verarbeitung verfügt und dass er seinen Besuchern und Kunden die gesetzlich vorgeschriebenen Informationen erteilt und die gesetzlich vorgeschriebenen Einwilligungen einholt, auch für den Veliu code auf seiner Website.

2.1 Gegenstand und Zweck. Veliu verarbeitet Personenbezogene Kundendaten, um die Dienste nach dem Vertrag und jeder Bestellung zu erbringen: um den Brand Agent auf der Website des Kunden und auf den weiteren in der Bestellung genannten Kanälen zu betreiben, um die vom Kunden freigegebenen Änderungen vorzubereiten und in die Systeme des Kunden zu schreiben, um die Software zu lesen, die der Kunde anbindet, und um Analysen, Empfehlungen, Support und Sicherheit bereitzustellen.

2.2 Art. Erheben, Erfassen, Organisieren, Speichern, Auslesen, Abfragen, Analysieren, Verwenden in Gesprächen und bei der Modellinferenz, Offenlegen gegenüber Unterauftragsverarbeitern und Löschen.

2.3 Dauer. Die Laufzeit des Vertrags und danach die in Ziffer 10 genannten Zeiträume.

2.4 Kategorien personenbezogener Daten.

(a) Katalog- und Produktdaten. Alle personenbezogenen Daten in den Katalog- und Produktdaten des Kunden.

(b) Daten von Besuchern und Kunden. Der Inhalt der Gespräche zwischen dem Brand Agent und den Besuchern und Kunden der Website des Kunden, Online-Kennungen, Geräte-, Browser- und Nutzungsdaten, IP-Adresse und ungefährer Standort sowie Bestelldaten wie Bestellnummern, Produkte und Beträge.

(c) Daten aus angebundener Software. Analyse- und Search-Console-Daten, soweit sie personenbezogene Daten enthalten, sowie die E-Mail-Adresse jedes angebundenen Kontos.

(d) Daten der Mitarbeiterkonten. Namen, geschäftliche E-Mail-Adressen und Funktionen der Nutzer des Kunden, wie sie innerhalb der Dienste im Auftrag des Kunden verwendet werden.

2.5 Kategorien betroffener Personen. Besucher der Website und der sonstigen Kanäle des Kunden, einschließlich der Personen, in deren Auftrag ein KI-Agent mit dem Brand Agent spricht; die Kunden des Kunden; die Mitarbeiter und Nutzer des Kunden; sowie alle sonstigen natürlichen Personen, deren personenbezogene Daten der Kunde in die Kundendaten aufnimmt.

3.1 Dokumentierte Weisungen. Veliu verarbeitet Personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland, sofern Veliu nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt Veliu dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Inhalt. Die dokumentierten Weisungen des Kunden sind dieser AVV, der Vertrag und jede Bestellung, die Einstellungen, die der Kunde in den Diensten wählt, die Freigaben, die er im Backoffice erteilt, sowie jede weitere schriftliche Weisung, die damit vereinbar ist. Der Kunde weist Veliu an, nach Ziffer 11 Telemetrie abzuleiten.

3.3 Rechtswidrige Weisungen. Veliu informiert den Kunden unverzüglich, falls eine Weisung seiner Auffassung nach gegen das Datenschutzrecht verstößt, und kann die Ausführung dieser Weisung aussetzen, bis sich die Parteien über das weitere Vorgehen verständigt haben.

4.1 Befugte Personen. Alle Arbeitnehmer und freien Mitarbeiter, die Veliu zur Verarbeitung Personenbezogener Kundendaten befugt, sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet und greifen auf diese Daten nur zu, soweit dies zur Erbringung der Dienste oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

5.1 Maßnahmen. Veliu trifft und unterhält die technischen und organisatorischen Maßnahmen nach Anlage 2, die ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 DSGVO gewährleisten.

5.2 Aktualisierungen. Veliu kann diese Maßnahmen aktualisieren, sofern das Gesamtschutzniveau erhalten bleibt oder verbessert wird.

6.1 Genehmigung. Der Kunde erteilt Veliu eine allgemeine schriftliche Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter sowie weitere Unterauftragsverarbeiter nach dieser Ziffer 6 in Anspruch zu nehmen.

6.2 Bedingungen und Haftung. Veliu beauftragt jeden Unterauftragsverarbeiter auf Grundlage eines schriftlichen Vertrags, dessen Datenschutzpflichten die Personenbezogenen Kundendaten mindestens ebenso gut schützen wie dieser AVV, und haftet gegenüber dem Kunden für die Leistung jedes Unterauftragsverarbeiters.

6.3 Mitteilung. Veliu teilt dem Kunden jeden hinzukommenden oder ersetzten Unterauftragsverarbeiter mindestens dreißig (30) Tage im Voraus per E-Mail oder im Konto des Kunden mit und nennt dabei den Unterauftragsverarbeiter, seinen Zweck und seinen Standort.

6.4 Einspruch und Kündigung. Innerhalb der Mitteilungsfrist kann der Kunde aus berechtigten datenschutzrechtlichen Gründen per E-Mail an admin@veliu.com Einspruch erheben, und die Parteien erörtern den Einspruch nach Treu und Glauben. Kann Veliu den Einspruch nicht vor dem Wirksamwerden der Änderung ausräumen, kann der Kunde die betroffene Bestellung mit Wirkung ab dem Zeitpunkt der Änderung durch Erklärung an admin@veliu.com kündigen und zahlt die Entgelte nur bis zu diesem Zeitpunkt; bei jährlicher Abrechnung erstattet Veliu die für den Zeitraum danach im Voraus gezahlten Entgelte auf Verlangen des Kunden nach Ziffer 8.9 des Vertrags. Erhebt der Kunde innerhalb der Mitteilungsfrist keinen Einspruch, gilt die Änderung als genehmigt.

7.1 Hosting in der EU. Veliu speichert Personenbezogene Kundendaten in der Europäischen Union und verarbeitet sie dort, wie in Ziffer 4.7 des Vertrags festgelegt. Die Modellinferenz erfolgt in EU-Regionen, soweit der Anbieter solche anbietet, andernfalls nach Ziffer 7.2.

7.2 Garantien. Veliu übermittelt Personenbezogene Kundendaten außerhalb des Europäischen Wirtschaftsraums oder gestattet einem Unterauftragsverarbeiter eine solche Übermittlung nur, wenn (a) ein Angemessenheitsbeschluss der Europäischen Kommission das Bestimmungsland erfasst, einschließlich des EU-US Data Privacy Framework für einen zertifizierten Empfänger, oder (b) die Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) Veliu und den Empfänger binden, mit den zusätzlichen Maßnahmen, die die Übermittlung erfordert. Soweit britisches oder schweizerisches Recht gilt, gelten die Standardvertragsklauseln mit dem UK Addendum bzw. mit den für die Schweiz vorgesehenen Anpassungen. Anlage 3 gibt die Garantien an.

8.1 Anträge betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt Veliu den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte. Veliu leitet jeden solchen Antrag, der bei ihm eingeht, unverzüglich an den Kunden weiter und antwortet der betroffenen Person nur auf Weisung des Kunden oder soweit gesetzlich vorgeschrieben.

8.2 Folgenabschätzungen. Veliu stellt dem Kunden die ihm vorliegenden Informationen zur Verfügung, die der Kunde vernünftigerweise für Datenschutz-Folgenabschätzungen und vorherige Konsultationen nach Art. 35 und 36 DSGVO benötigt.

8.3 Datenschutzverletzungen. Veliu meldet dem Kunden eine Datenschutzverletzung unverzüglich und spätestens zweiundsiebzig (72) Stunden, nachdem ihm diese bekannt geworden ist, per E-Mail an den Nutzer, der das Konto des Kunden verwaltet. Die Meldung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die betroffenen Personen und Datensätze, ihre wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Veliu ergänzt die Meldung, sobald weitere Tatsachen bekannt werden, und ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen.

9.1 Zertifizierungen und Berichte. Auf Anfrage stellt Veliu die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV und des Art. 28 DSGVO erforderlich sind, einschließlich der Zertifizierungen und Prüfberichte seiner Unterauftragsverarbeiter, soweit die Anbieter deren Offenlegung gestatten, sowie schriftlicher Antworten auf angemessene Sicherheitsfragebögen. Der Kunde stützt sich vorrangig auf diese Informationen.

9.2 Überprüfungen. Weisen diese Informationen die Einhaltung nicht nach, kann der Kunde Veliu selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer überprüfen, auch vor Ort, einmal innerhalb von zwölf (12) Monaten oder häufiger, wenn eine Aufsichtsbehörde dies verlangt, mit einer Ankündigungsfrist von mindestens dreißig (30) Tagen per E-Mail an admin@veliu.com. Überprüfungen finden während der Geschäftszeiten und mit möglichst geringer Beeinträchtigung des Betriebs von Veliu statt und gewähren keinen Zugang zu Daten anderer Kunden oder zu Einrichtungen von Unterauftragsverarbeitern. Veliu behebt jede bei der Überprüfung festgestellte Nichteinhaltung.

10.1 Rückgabe. Innerhalb von dreißig (30) Tagen nach dem Ende einer Bestellung kann der Kunde Kundendaten, einschließlich Personenbezogener Kundendaten, in den von den Diensten angebotenen Formaten nach Ziffer 4.8 des Vertrags exportieren oder Veliu per E-Mail auffordern, sie in einem gängigen, maschinenlesbaren Format zurückzugeben.

10.2 Löschung. Innerhalb von sechzig (60) Tagen nach dem Ende der Bestellung löscht Veliu die im Rahmen dieser Bestellung verarbeiteten Personenbezogenen Kundendaten, auch soweit Unterauftragsverarbeiter sie vorhalten, mit Ausnahme der Daten, deren Aufbewahrung Veliu nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, und zwar so lange, wie dieses Recht es vorschreibt. Personenbezogene Kundendaten in Datensicherungen werden im Zuge der Rotation der Sicherungen gelöscht, innerhalb von neunzig (90) Tagen nach dem Ende der Bestellung. Bis zur Löschung schützt dieser AVV sie weiterhin.

10.3 Frühere Löschung. Der Kunde kann per E-Mail an admin@veliu.com eine frühere Löschung verlangen, und Veliu bestätigt die Löschung auf Anfrage schriftlich.

11.1 Nur auf Weisung des Kunden. Veliu verwendet Kundendaten ausschließlich, um die Dienste für den Kunden zu erbringen und um Telemetrie abzuleiten, auf Weisung des Kunden nach Ziffer 3. Veliu verwendet Kundendaten, einschließlich Personenbezogener Kundendaten, nicht, um ein Modell, einen Agenten oder ein System der künstlichen Intelligenz zu trainieren, feinabzustimmen, zu evaluieren oder anderweitig zu verbessern, das einer anderen Person als dem Kunden zur Verfügung gestellt oder für eine andere Person als den Kunden betrieben wird.

11.2 Was Veliu vom Kunden lernt, bleibt beim Kunden. Modelle, Prompts, Konfigurationen, Wissen und Gedächtnis, die Veliu aus Kundendaten ableitet, dienen ausschließlich dem eigenen Brand Agent und den eigenen Diensten des Kunden, und Veliu überträgt sie nicht auf einen anderen Kunden und verwendet sie nicht für einen anderen Kunden.

11.3 Modellanbieter. Die in Anlage 3 aufgeführten Modellanbieter verarbeiten Personenbezogene Kundendaten zu Unternehmensbedingungen, die es ihnen nicht gestatten, diese zum Training ihrer Modelle zu verwenden.

11.4 Telemetrie. Veliu verbessert seine Modelle, Agenten und Dienste ausschließlich mit Telemetrie (Ziffer 4.4 des Vertrags). Aus Personenbezogenen Kundendaten abgeleitete Telemetrie erfüllt drei Bedingungen: (a) Niemand kann aus ihr mit den Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, allein oder in Verbindung mit anderen Daten eine natürliche Person, den Kunden oder seine Marke re-identifizieren; (b) sie ist markenübergreifend aggregiert; (c) sie nennt keine Marke und keine Person und legt keine unveröffentlichten Daten des Kunden offen. Veliu versucht nicht, Telemetrie zu re-identifizieren, und gestattet dies auch niemandem sonst.

11.5 Öffentliche Informationen. Für die Informationen, die der Kunde auf seiner eigenen Website oder in seinen Feeds veröffentlicht und die die Analysewerkzeuge von Veliu von außen lesen, wie es jeder KI-Shopping-Agent tut, gilt Ziffer 4.6(e) des Vertrags.

11.6 Fortgeltung. Diese Ziffer 11 gilt fort, solange Veliu Kundendaten besitzt.

12.1 Grenzen. Die Haftung jeder Partei nach diesem AVV unterliegt Ziffer 12 des Vertrags und wird auf die dort festgelegten Grenzen angerechnet. Keine Bestimmung dieses AVV beschränkt die Rechte betroffener Personen nach dem Datenschutzrecht.

13.1 Laufzeit. Dieser AVV tritt mit der ersten Bestellung des Kunden in Kraft und gilt, solange Veliu Personenbezogene Kundendaten verarbeitet, einschließlich während der in Ziffer 10 genannten Zeiträume.

13.2 Rangfolge. Ziffer 18.11 des Vertrags legt die Rangfolge fest, und dieser AVV hat in Fragen der Verarbeitung personenbezogener Daten Vorrang vor dem Vertrag und jeder Bestellung. Die Standardvertragsklauseln haben, soweit sie gelten, Vorrang vor allen übrigen Bestimmungen.

13.3 Sprache. Ziffer 18.13 des Vertrags gilt für diesen AVV.

(a) Verantwortlicher. Der Kunde, wie in der Bestellung angegeben.

(b) Auftragsverarbeiter. Veliu Limited, admin@veliu.com.

(c) Betroffene Personen und personenbezogene Daten. Ziffern 2.5 und 2.4.

(d) Besondere Kategorien. Für die Dienste nicht erforderlich; ein Besucher kann sie in einem Gespräch von sich aus mitteilen, zum Beispiel ein gesundheitliches Bedürfnis hinter einer Produktfrage.

(e) Art, Zweck, Dauer und Aufbewahrung. Ziffern 2.1 bis 2.3 und Ziffer 10.

(f) Häufigkeit. Fortlaufend, für die Laufzeit des Vertrags.

(g) Unterauftragsverarbeiter. Anlage 3.

(h) Federführende Aufsichtsbehörde von Veliu. Data Protection Commission, Irland.

(a) Hosting in der EU. Kundendaten werden auf Infrastruktur in der Europäischen Union gespeichert und verarbeitet, die von Cloud-Anbietern betrieben wird, die über SOC-2-Type-II-Berichte und, soweit vorhanden, über eine Zertifizierung nach ISO/IEC 27001 verfügen: Amazon Web Services, Google Cloud, Vercel und Supabase, jeweils in EU-Regionen.

(b) Verschlüsselung. Bei der Übertragung mit TLS 1.2 oder höher; im Ruhezustand mit AES-256.

(c) Datensicherungen und Ausfallsicherheit. Tägliche Datensicherungen und Redundanz über mehrere Verfügbarkeitszonen; Überwachung der Verfügbarkeit von mindestens zwei Standorten in der Europäischen Union aus.

(d) Zugriffskontrolle. Zugriff nach dem Prinzip der minimalen Rechte mit Multi-Faktor-Authentifizierung, protokolliert; Zugangsdaten für die vom Kunden angebundene Software werden verschlüsselt gespeichert.

(e) Schwachstellen und Vorfälle. Schwachstellenmanagement sowie Reaktion auf Sicherheitsvorfälle mit Meldung an den Kunden nach Ziffer 8.3.

(f) Modellinferenz. In EU-Regionen, soweit der Anbieter solche anbietet, andernfalls auf Grundlage der Standardvertragsklauseln (Ziffern 7 und 11).

Unterauftragsverarbeiter, die außerhalb des Europäischen Wirtschaftsraums niedergelassen sind oder von dort aus Zugriff haben, stützen sich auf die Standardvertragsklauseln oder auf einen Angemessenheitsbeschluss, einschließlich des EU-US Data Privacy Framework, soweit sie zertifiziert sind.