AVV mit eigener Anschrift

Für Firmenkunden stellen wir auf Anfrage gerne eine AVV mit der eigenen Anschrift aus.

Anfragen

Auftragsverarbeitungsvertrag | Safina AI

Zuletzt aktualisiert: 2026-10-13

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Stand: 13. Oktober 2026

Diese Fassung gilt für Verträge, die ab dem 9. Oktober 2026 geschlossen werden, sofort und für bestehende Verträge ab dem 12. November 2026. Für bestehende Verträge gilt bis dahin die bisherige Fassung vom 26. April 2025.

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV”) gilt zwischen dem Nutzer des Safina AI Dienstes, der als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO handelt (nachfolgend „Auftraggeber” oder „Kunde”),

und

der SK Thinking Ltd Anthypolochagou Georgiou M. Savva 26, Shop 1-2 8201 Geroskipou, Paphos, Zypern (nachfolgend „Auftragnehmer”).

Für Verträge, die vor dem 13. Oktober 2026 geschlossen wurden, ist bis zum 11. November 2026 die DK Tech Solutions UG (haftungsbeschränkt), Schwanthalerstr. 141, 80339 München, Auftragnehmer. Am 12. November 2026 tritt die SK Thinking Ltd nach Ziffer XI mit allen Rechten und Pflichten in diesen AVV ein.

Präambel

Dieser AVV ist Bestandteil der Nutzungsbedingungen für den Safina AI Dienst und regelt die Rechte und Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO. Er gilt für alle Auftraggeber, die den Dienst als Unternehmer nutzen und dabei personenbezogene Daten durch den Auftragnehmer verarbeiten lassen. Dieser AVV wird zusammen mit dem Nutzungsvertrag nach den Nutzungsbedingungen von Safina AI wirksam (Ziffer 7.3 der Nutzungsbedingungen). Ein gesonderter Abschluss ist nicht erforderlich. Auf Wunsch stellt der Auftragnehmer dem Auftraggeber eine unterzeichnete Fassung in Textform zur Verfügung.

Vor diesem Hintergrund vereinbaren die Parteien das Folgende:

I. Gegenstand des Auftrags, Anwendungsbereich und Verantwortlichkeit

Der Gegenstand dieses Auftrags ergibt sich aus den Nutzungsbedingungen von Safina AI und der Leistungsbeschreibung des Dienstes.

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die in den Nutzungsbedingungen und der Leistungsbeschreibung von Safina AI konkretisiert sind. Insbesondere geht es um die Bereitstellung und den Betrieb einer KI-gesteuerten Mailbox / eines KI-Telefonassistenten (Safina AI). Dies umfasst unter anderem:

  • Entgegennahme von Telefonanrufen im Namen des Auftraggebers.
  • Aufzeichnung von Telefongesprächen (Audio), sofern diese Funktion vom Auftraggeber explizit aktiviert wird (standardmäßig deaktiviert).
  • Transkription von Telefongesprächen.
  • Erstellung von Anrufzusammenfassungen und Analysen (z.B. Stimmungsbewertung, Erkennung von To-dos).
  • Erkennung und Markierung von potenziellen Spam- oder Phishing-Anrufen.
  • Speicherung der Anrufdaten (Audio, Transkript, Metadaten, Zusammenfassungen).
  • Bereitstellung der verarbeiteten Informationen für den Auftraggeber über die Safina AI Anwendung und konfigurierbare Benachrichtigungen (z.B. Push, E-Mail).
  • Verwaltung von Kontaktdaten und Konfigurationseinstellungen des Auftraggebers im Rahmen der Dienstleistung.
  • Weiterleitung von Anrufen an vom Auftraggeber festgelegte Rufnummern, einschließlich Ersatznummern.
  • Versand von SMS an Anrufer, sofern der Auftraggeber diese Funktion aktiviert.
  • Terminabfrage und Terminbuchung in vom Auftraggeber verbundenen Kalendern.
  • Auslesen öffentlich zugänglicher Inhalte der Website des Auftraggebers zur Einrichtung des KI-Assistenten, sofern der Auftraggeber dies veranlasst.
  • Bereitstellung des In-App-Assistenten sowie von Schnittstellen (z.B. API-Schlüssel, MCP), über die der Auftraggeber Daten abrufen und Einstellungen ändern kann.
  • Zugriff mehrerer Nutzer des Auftraggebers (Teammitglieder) auf die Daten seiner Organisation nach den vom Auftraggeber vergebenen Rollen.
  • Beantragung von Rufnummern beim Telefonie-Anbieter im Namen des Auftraggebers, soweit regulatorische Vorgaben Nachweise verlangen (z.B. Firmendaten, Registerauszug, Adressnachweis, Angaben zur vertretungsberechtigten Person).

Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenverarbeitung (z.B. Information der Anrufer über die Aufzeichnung, Einholung etwaiger Einwilligungen) und der Übermittlung der Daten an den Auftragnehmer allein verantwortlich („Verantwortlicher” im Sinne des Art. 4 Nr. 7 DS-GVO).

Die Weisungen werden initial durch die Nutzungsbedingungen und die Konfiguration des Dienstes durch den Auftraggeber festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) an den Auftragnehmer durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung), soweit dies die Funktionalität des Dienstes zulässt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

II. Dauer des Auftrags

Die Dauer dieses Auftrags (Laufzeit) ist an die Laufzeit der Nutzung des Dienstes Safina AI durch den Auftraggeber gemäß den akzeptierten Nutzungsbedingungen gekoppelt (z.B. durch aktive Zahlung eines Abonnements).

Der Vertrag gilt unbeschadet des vorstehenden Absatzes so lange, wie der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet (einschließlich systembedingter Backups).

Soweit sich aus anderen Vereinbarungen zwischen Auftraggeber und Auftragnehmer anderweitige Abreden zum Schutz personenbezogener Daten ergeben, soll dieser Auftragsverarbeitungsvertrag vorrangig gelten, es sei denn die Parteien vereinbaren ausdrücklich etwas anderes.

III. Konkretisierung

Art der Daten

Gegenstand der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten im Rahmen der Bereitstellung von Safina AI sind folgende Datenarten / -kategorien:

  • Kommunikationsdaten: Telefonnummern (Anrufer, Auftraggeber), E-Mail-Adressen (Auftraggeber für Benachrichtigungen/Login), Anruf-Metadaten (Datum, Uhrzeit, Dauer).
  • Audio-Daten: Dauerhaft gespeicherte Sprachaufzeichnungen (Audiodateien) der von Safina AI entgegengenommenen Anrufe (nur bei Aktivierung durch den Auftraggeber).
  • Inhaltsdaten: Gesprächstranskripte, Inhalte von Anrufzusammenfassungen, extrahierte Informationen (z.B. To-dos, Namen, falls im Gespräch genannt).
  • Personenstammdaten: Namen von Anrufern (falls im Gespräch genannt oder übermittelt), Name und Kontaktdaten der Nutzer des Auftraggebers.
  • Analyse- und Bewertungsdaten: Ergebnisse der Stimmungsanalyse, Spam-Klassifizierung.
  • Konfigurationsdaten: Vom Auftraggeber gewählte Einstellungen (z.B. Stimme, Tonalität, Weiterleitungsregeln, Benachrichtigungspräferenzen, Aktivierungsstatus der Audio-Aufzeichnung).
  • Kontaktdaten des Auftraggebers: Ggf. vom Auftraggeber in Safina AI hinterlegte oder synchronisierte Kontaktdaten zur Verwaltung von Anrufregeln.
  • Nutzerdaten des Auftraggebers: Login-Daten, Nutzerprofileinstellungen, Rollen von Teammitgliedern.
  • Nachweisdaten für Rufnummern: Firmendaten, Registerauszüge, Adressnachweise und Angaben zur vertretungsberechtigten Person des Auftraggebers, bei Einzelpersonen auch Ausweisdokumente, soweit für die Bereitstellung einer Rufnummer erforderlich.
  • Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Anrufer können im Gespräch z.B. Gesundheitsdaten nennen, insbesondere wenn der Auftraggeber eine Arztpraxis oder einen anderen Gesundheitsberuf betreibt. Der Auftragnehmer verarbeitet diese Daten nur im Rahmen dieses AVV.

Kreis der Betroffenen

Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst:

  • Anrufer: Personen, die den Auftraggeber telefonisch kontaktieren und deren Anruf von Safina AI entgegengenommen wird.
  • Mitarbeiter/Nutzer des Auftraggebers: Personen, die den Safina AI Dienst im Auftrag des Auftraggebers nutzen und verwalten.
  • Kontakte des Auftraggebers: Personen, deren Kontaktdaten der Auftraggeber ggf. in Safina AI zur Konfiguration hinterlegt oder synchronisiert.

Ort der Verarbeitung und Verschwiegenheit

Der Auftragnehmer speichert die Daten des Auftraggebers, insbesondere Anrufdaten, Transkripte und Audioaufnahmen, auf Servern in Deutschland. Für einzelne Verarbeitungsschritte, vor allem während eines Anrufs (z.B. Telefonie, Spracherkennung, Sprachausgabe und KI-Modelle), setzt der Auftragnehmer Unterauftragnehmer ein, die Daten auch außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten können. Welche Unterauftragnehmer dies sind und wo sie die Daten verarbeiten, ergibt sich aus der Liste nach Ziffer VII. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z.B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln. Der Auftraggeber genehmigt die in der Liste genannten Übermittlungen. Für neue oder geänderte Übermittlungen gilt das Verfahren nach Ziffer VII.

Die Vertragsparteien sind verpflichtet, über sämtliche Geschäfts- und Betriebsgeheimnisse des jeweils anderen Stillschweigen zu bewahren, diese streng geheim zu halten und nicht an Dritte weiterzugeben – es sei denn, die jeweils andere Vertragspartei erteilt ausdrücklich ihre vorherige schriftliche Zustimmung oder es besteht eine gesetzliche Verpflichtung zur Weitergabe. Diese Geheimhaltungsverpflichtung betrifft alle nicht öffentlich bekannten Informationen, von denen die Vertragsparteien im Kontext der Durchführung der Zusammenarbeit Kenntnis erlangen.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der Weisungen des Auftraggebers und der Regelungen der Nutzungsbedingungen. Es ist dem Auftragnehmer untersagt, die Daten zu anderen als den vereinbarten Zwecken zu verwenden, insbesondere für eigene Zwecke zu analysieren oder an unbefugte Dritte weiterzugeben. Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten personenbezogenen Daten, insbesondere Audioaufnahmen und Transkripte, nicht zum Training eigener oder fremder KI-Modelle verwendet werden.

Unterliegt der Auftraggeber einer beruflichen Schweigepflicht (z.B. als Arzt, Rechtsanwalt oder Steuerberater), gilt zusätzlich: Der Auftragnehmer ist zur Verschwiegenheit über fremde Geheimnisse verpflichtet, die ihm bei der Durchführung dieses Auftrags bekannt werden. Er nimmt von ihnen nur Kenntnis, soweit dies für die Leistung erforderlich ist. Ihm ist bekannt, dass er sich nach § 203 Abs. 4 StGB strafbar machen kann, wenn er solche Geheimnisse unbefugt offenbart. Er verpflichtet seine Beschäftigten und Unterauftragnehmer in Textform entsprechend. Diese Regelung dient auch als Verpflichtung im Sinne von § 43e BRAO, § 62a StBerG und vergleichbarer berufsrechtlicher Vorschriften.

IV. Technisch-organisatorische Maßnahmen

Der Auftragnehmer ergreift in seinem Verantwortungsbereich alle erforderlichen technisch-organisatorischen Maßnahmen gemäß Art. 32 DS-GVO zum angemessenen Schutz der personenbezogenen Daten unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen. Eine Beschreibung der aktuellen TOMs wird dem Auftraggeber auf Anfrage oder als Anhang zu dieser Vereinbarung zur Verfügung gestellt.

Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen wird der Auftragnehmer dokumentieren und dem Auftraggeber auf Anfrage mitteilen.

V. Rechte von betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technisch-organisatorischer Maßnahmen bei der Erfüllung der Pflichten des Auftraggebers zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen (Art. 12-23 DS-GVO).

Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person (insbesondere ein Anrufer) sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

Soweit die Bereitstellung von Auskünften, die Löschung, Einschränkung oder Datenübertragbarkeit vom Leistungsumfang umfasst und durch den Auftraggeber über die Funktionalitäten von Safina AI selbst vorgenommen werden kann, obliegt dies dem Auftraggeber. Ansonsten unterstützt der Auftragnehmer nach Weisung.

VI. Qualitätssicherung und sonstige Pflichten des Auftragnehmers

Der Auftragnehmer hat, zusätzlich zu der Einhaltung der Regelungen dieses Vertrags, eigene gesetzliche Pflichten gemäß der DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.

Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Vertrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.

Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung durch den Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften im erforderlichen Umfang zu unterstützen.

Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.

Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach Ziffer VIII dieses Vertrags (z.B. durch geeignete Zertifizierungen, Testate, Berichte oder Selbstauskünfte).

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 33 und 34 DS-GVO (Meldung von Datenschutzverletzungen). Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten, die im Rahmen dieses Auftrags verarbeitet werden, unverzüglich an den Auftraggeber, nachdem er davon Kenntnis erlangt hat. Die Meldung enthält zumindest die in Art. 33 Abs. 3 DS-GVO geforderten Informationen.

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung seiner Informationspflichten gegenüber Betroffenen und stellt ihm die dafür notwendigen Informationen über die Verarbeitung durch den Auftragnehmer zur Verfügung.

Soweit der Auftraggeber zur Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DS-GVO hinsichtlich der Nutzung von Safina AI verpflichtet ist, unterstützt ihn der Auftragnehmer mit den ihm vorliegenden notwendigen Informationen. Gleiches gilt für eine etwaige Pflicht zur Konsultation der Aufsichtsbehörde gemäß Art. 36 DS-GVO.

Dieser Vertrag entbindet den Auftragnehmer nicht von der Einhaltung anderer Vorgaben der DS-GVO.

VII. Unterauftragsverhältnisse

Der Auftragnehmer ist berechtigt, zur Erbringung der vertraglich geschuldeten Leistung Unterauftragnehmer einzusetzen (Unterauftragsverhältnisse). Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung (Safina AI Service) beziehen. Hierzu zählen z.B. Hosting-Dienstleister, Anbieter von KI-Modellen zur Transkription oder Analyse, Kommunikationsdienstleister.

Die aktuelle Liste der eingesetzten Unterauftragnehmer mit Zweck, Ort der Verarbeitung und Grundlage für Übermittlungen in Drittländer veröffentlicht der Auftragnehmer unter safina.ai/de/legal/subprocessors. Der Auftraggeber genehmigt die bei Wirksamwerden dieses AVV dort genannten Unterauftragnehmer.

Über jeden beabsichtigten Einsatz oder Wechsel eines Unterauftragnehmers informiert der Auftragnehmer den Auftraggeber vorab per E-Mail an die im Nutzerkonto hinterlegte Adresse und aktualisiert die Liste. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information in Textform widersprechen. Erhebt er nicht fristgerecht Widerspruch, gilt der Einsatz als genehmigt. Widerspricht er fristgerecht und können sich die Parteien nicht auf eine Lösung einigen, kann jede Partei den Nutzungsvertrag ohne Einhaltung einer Frist zu dem Zeitpunkt kündigen, zu dem der Unterauftragnehmer eingesetzt werden soll. Bereits gezahlte Entgelte für die Zeit danach erstattet der Auftragnehmer anteilig.

Der Auftragnehmer stellt sicher, dass mit jedem Unterauftragnehmer eine vertragliche Vereinbarung gemäß Art. 28 Abs. 2-4 DS-GVO geschlossen wird, die im Wesentlichen den Pflichten aus dieser Vereinbarung entspricht, insbesondere hinsichtlich der technischen und organisatorischen Maßnahmen und der Vertraulichkeit.

Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst zulässig, wenn die Verpflichtung des Unterauftragnehmers gemäß Art. 28 Abs. 4 DS-GVO erfolgt ist.

Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch geeignete Garantien gemäß Art. 44 ff. DS-GVO sicher (z.B. EU-Standardvertragsklauseln), sofern kein Angemessenheitsbeschluss vorliegt. Der Auftragnehmer überprüft die Einhaltung der Pflichten durch den Unterauftragnehmer regelmäßig.

Eine weitere Auslagerung durch den Unterauftragnehmer (Sub-Sub-Beauftragung) bedarf der vorherigen Zustimmung des Auftragnehmers und, falls erforderlich, der Information des Auftraggebers gemäß dem oben beschriebenen Verfahren.

VIII. Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und der vertraglichen Vereinbarungen durch den Auftragnehmer im erforderlichen Umfang zu kontrollieren bzw. durch im Einzelfall zu benennende Prüfer kontrollieren zu lassen.

Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf dessen schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung der Kontrolle erforderlich sind. Dies kann insbesondere durch Vorlage von geeigneten Nachweisen wie Testaten, Berichten unabhängiger Stellen, Selbstauskünften oder geeigneten Zertifizierungen erfolgen.

Inspektionen vor Ort beim Auftragnehmer sind nach rechtzeitiger Ankündigung (in der Regel mindestens 10 Werktage) während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich. Der Auftragnehmer ist berechtigt, hierfür einen angemessenen Aufwendungsersatz zu verlangen, sofern die Inspektion nicht aufgrund eines konkreten Verdachts einer Datenschutzverletzung durch den Auftragnehmer erfolgt.

IX. Weisungsbefugnis des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der Vereinbarungen dieses Vertrages und nach dokumentierten Weisungen des Auftraggebers, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO). Die initialen Weisungen ergeben sich aus den Nutzungsbedingungen und der Nutzung/Konfiguration von Safina AI durch den Auftraggeber.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DS-GVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

X. Löschung und Rückgabe von personenbezogenen Daten

Nach Beendigung der Nutzung des Dienstes durch den Auftraggeber (z.B. durch Kündigung des Abonnements) oder jederzeit auf Weisung des Auftraggebers hat der Auftragnehmer sämtliche personenbezogenen Daten, die Gegenstand dieses Auftragsverarbeitungsvertrags sind und sich in seiner Verfügungsgewalt befinden, nach Wahl des Auftraggebers entweder datenschutzkonform zu löschen oder an den Auftraggeber zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen des Auftragnehmers der Löschung entgegenstehen.

Die Löschung umfasst auch alle vorhandenen Kopien, einschließlich systembedingter Sicherungskopien (Backups), wobei die Löschung aus Backups im Rahmen der technischen Möglichkeiten und üblichen Backup-Zyklen erfolgt.

Der Auftragnehmer bestätigt dem Auftraggeber die erfolgte Löschung bzw. Rückgabe auf Anfrage schriftlich.

XI. Wechsel des Auftragnehmers

Überträgt der Auftragnehmer den Nutzungsvertrag nach Ziffer 15.1 der Nutzungsbedingungen auf ein anderes Unternehmen, tritt dieses Unternehmen zugleich mit allen Rechten und Pflichten in diesen AVV ein. Der Auftragnehmer informiert den Auftraggeber darüber in der Ankündigung der Übertragung.

XII. Haftung

Für die Haftung der Parteien bei Datenschutzverstößen gelten die gesetzlichen Regelungen, insbesondere Art. 82 DS-GVO. Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen gemäß den Bestimmungen des Art. 82 DS-GVO.

XIII. Schriftformerfordernis, Salvatorische Klausel

Änderungen und Ergänzungen dieses Auftragsverarbeitungsvertrags und aller seiner Bestandteile bedürfen der Schriftform (Textform gemäß § 126b BGB ist ausreichend). Dies gilt auch für den Verzicht auf dieses Formerfordernis. Mündliche Nebenabreden bestehen nicht.

Dieser Auftragsverarbeitungsvertrag unterliegt deutschem Recht unter Ausschluss des UN-Kaufrechts.

Sollten einzelne Bestimmungen dieses Auftragsverarbeitungsvertrags ganz oder teilweise unwirksam sein oder werden, so wird hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt. Entsprechendes gilt für etwaige Vertragslücken.

Für den Auftragnehmer:

Paphos

SK Thinking Ltd David Schemm, Director