Diese Vereinbarung über Auftragsverarbeitung („AVV“) wird geschlossen zwischen

Sebastian Spohr Media
Haydnstraße 17a
93053 Regensburg
Deutschland

– nachfolgend „Quolly“ oder „Auftragsverarbeiter“ –

und

dem jeweiligen Kunden, der mit Quolly einen Vertrag über die Nutzung des SaaS-Angebots Quolly abschließt, Quolly im Rahmen eines bestehenden Vertrags nutzt oder diese AVV wirksam elektronisch akzeptiert

– nachfolgend „Kunde“, „Auftraggeber“ oder, soweit einschlägig, „Verantwortlicher“ –

zusammen die „Parteien“.

Diese AVV ergänzt den zwischen den Parteien bestehenden Vertrag über Quolly, insbesondere AGB, Bestellung, Registrierung, Angebot, Dashboard-Bestätigung, Leistungsbeschreibung oder sonstige Vertragsunterlagen („Hauptvertrag“). Sie gilt nur, soweit Quolly personenbezogene Daten im Auftrag des Kunden im Sinne von Art. 28 DSGVO verarbeitet.

Handelt der Kunde gegenüber Dritten selbst als Auftragsverarbeiter, darf er Quolly nur einsetzen, wenn er hierzu berechtigt ist und die erforderlichen Genehmigungen für weitere Auftragsverarbeiter vorliegen. In diesem Fall gilt Quolly im Verhältnis zur jeweiligen Verarbeitungskette als weiterer Auftragsverarbeiter.

1. Gegenstand und Geltungsbereich

1. Quolly stellt ein SaaS-Angebot bereit, mit dem Kunden aus Notizen, bestehenden Dokumenten, Support-Antworten, Entwürfen oder vergleichbaren Inhalten strukturierte, teilbare How-to Guides, Schritt-für-Schritt-Anleitungen, Setup-Guides, Onboarding-Anleitungen, Kunden-Handoffs, Workflow-Guides, wiederverwendbare Support-Antworten, Community-Anleitungen oder vergleichbare Hilfs- und Informationsseiten erstellen, bearbeiten, veröffentlichen und über Links teilen können.

2. Diese AVV regelt die Verarbeitung personenbezogener Daten, die der Kunde, seine Nutzer oder Endnutzer in Quolly eingeben, importieren, hochladen, erzeugen, strukturieren, bearbeiten, veröffentlichen, teilen oder über Quolly abrufen lassen („Kundendaten“).

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 – Beschreibung der Verarbeitung beschrieben. Anlage 1 ist Bestandteil dieser AVV.

4. Nicht von dieser AVV umfasst sind Verarbeitungen, bei denen Quolly selbst über Zwecke und wesentliche Mittel entscheidet. Dazu gehören insbesondere Registrierung, Vertragsverwaltung, Abrechnung, Zahlungsabwicklung, Buchhaltung, Steuern, Rechtsverteidigung, allgemeine Geschäftskommunikation, eigene Website-, Newsletter- und Marketingverarbeitung sowie gesetzlich erforderliche Aufbewahrungen.

5. Verarbeitungen, die unmittelbar zur Bereitstellung, Absicherung, Wartung, Fehleranalyse, Supportleistung oder zum Betrieb von Quolly für den Kunden erforderlich sind, bleiben von dieser AVV umfasst, soweit Quolly dabei Kundendaten im Auftrag des Kunden verarbeitet.

6. Der Kunde entscheidet über Inhalt, Rechtmäßigkeit, Sichtbarkeit und Empfängerkreis seiner Guides, Seiten, Freigaben, Exporte und sonstigen Inhalte. Werden Inhalte öffentlich, per Link, eingebettet oder gegenüber bestimmten Personen bereitgestellt, geschieht dies auf Weisung und Verantwortung des Kunden. Je nach Konfiguration können veröffentlichte oder per Link geteilte Inhalte weltweit abrufbar sein.

2. Verantwortung des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Kundendaten und ihrer Verarbeitung verantwortlich. Das umfasst insbesondere Rechtsgrundlagen, Informationspflichten, Betroffenenrechte, Löschfristen, Veröffentlichungen, Freigaben, Einbettungen, Exporte, Integrationen und die eigene Konfiguration von Quolly.

2. Der Kunde stellt sicher, dass Kundendaten rechtmäßig erhoben und in Quolly verarbeitet werden dürfen. Der Kunde darf Quolly nur so nutzen, wie es mit seinen eigenen Datenschutzinformationen, Verträgen, Einwilligungen, berechtigten Interessen oder sonstigen Rechtsgrundlagen vereinbar ist.

3. Der Kunde ist für die sichere Verwaltung eigener Zugangsdaten, Rollen, Berechtigungen, Veröffentlichungsoptionen, Integrationen, Importschnittstellen, Exportdateien und Freigabelinks verantwortlich, soweit diese in seinem Einflussbereich liegen.

4. Der Kunde stellt sicher, dass Weisungen nur durch berechtigte Personen erteilt werden. Quolly darf davon ausgehen, dass Weisungen über das Kundenkonto, Administratoren, hinterlegte Kontaktadressen oder vereinbarte Kommunikationswege vom Kunden autorisiert sind, solange keine offensichtlichen Zweifel bestehen.

3. Weisungen des Kunden

1. Quolly verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, sofern Quolly nicht durch Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In einem solchen Fall informiert Quolly den Kunden vorab, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

2. Weisungen ergeben sich aus dem Hauptvertrag, dieser AVV, den Produktfunktionen, den Einstellungen des Kunden, den vom Kunden ausgelösten Handlungen sowie dokumentierten Support- oder Administrationsanfragen.

3. Zusätzliche oder abweichende Weisungen können in Textform, insbesondere per E-Mail oder über ein von Quolly bereitgestelltes Support- oder Administrationssystem, erteilt werden. Quolly darf eine angemessene Bestätigung verlangen, wenn Zweifel an Inhalt, Berechtigung oder Identität des Weisungsgebers bestehen.

4. Quolly informiert den Kunden unverzüglich, wenn Quolly der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Europäischen Union oder der Mitgliedstaaten verstößt. Quolly ist nicht verpflichtet, Weisungen umfassend rechtlich zu prüfen.

5. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, technisch nicht möglich sind, die Sicherheit, Stabilität oder Integrität von Quolly beeinträchtigen oder Rechte anderer Kunden oder Dritter berühren, müssen die Parteien gesondert abstimmen.

4. Pflichten von Quolly

1. Quolly verarbeitet Kundendaten ausschließlich nach Maßgabe dieser AVV, des Hauptvertrags und der dokumentierten Weisungen des Kunden.

2. Quolly stellt sicher, dass zur Verarbeitung von Kundendaten befugte Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht gilt auch nach Ende der jeweiligen Tätigkeit fort.

3. Quolly trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die Maßnahmen sind in Anlage 2 – Technische und organisatorische Maßnahmen beschrieben. Anlage 2 ist Bestandteil dieser AVV.

4. Quolly unterstützt den Kunden nach Maßgabe dieser AVV bei Betroffenenrechten, Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, vorheriger Konsultation sowie Nachweisen und Kontrollen, soweit dies unter Berücksichtigung der Art der Verarbeitung möglich ist und Quolly die erforderlichen Informationen zur Verfügung stehen.

5. Quolly verwendet Kundendaten nicht für eigene Werbung, verkauft oder vermietet Kundendaten nicht und stellt Kundendaten nicht Dritten für fremde Werbezwecke bereit.

6. Quolly verwendet Kundendaten nicht zum Training, zur Entwicklung oder zur Verbesserung eigener oder fremder KI- oder LLM-Grundmodelle, sofern der Kunde hierzu nicht ausdrücklich eine gesonderte Weisung erteilt oder eine gesonderte Vereinbarung getroffen wurde.

7. Quolly hält ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten, soweit Quolly hierzu gesetzlich verpflichtet ist.

5. Vertraulichkeit und Zugriffsbeschränkung

1. Kundendaten gelten als vertrauliche Informationen des Kunden. Quolly behandelt Kundendaten vertraulich und schützt sie gegen unbefugten Zugriff nach Maßgabe dieser AVV und der TOMs.

2. Quolly beschränkt den Zugriff auf Kundendaten auf Personen, die diesen Zugriff zur Erfüllung des Hauptvertrags, zur Sicherheit, Wartung, Fehleranalyse, Supportleistung, Missbrauchsabwehr oder Umsetzung dokumentierter Weisungen benötigen.

3. Quolly vergibt, überprüft und entzieht Zugriffsmöglichkeiten nach dem Erforderlichkeitsprinzip.

4. Die Vertraulichkeitspflicht gilt nicht, soweit eine Information ohne Verstoß gegen diese AVV öffentlich bekannt ist, der empfangenden Partei bereits rechtmäßig bekannt war, rechtmäßig von Dritten offengelegt wurde oder aufgrund gesetzlicher Pflichten offengelegt werden muss.

5. Die Vertraulichkeitspflichten gelten auch nach Beendigung dieser AVV fort.

6. Technische und organisatorische Maßnahmen

1. Quolly trifft geeignete technische und organisatorische Maßnahmen unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für betroffene Personen.

2. Die Maßnahmen in Anlage 2 dürfen weiterentwickelt und angepasst werden, solange das vereinbarte Schutzniveau insgesamt nicht wesentlich unterschritten wird.

3. Quolly darf Sicherheitsmaßnahmen kurzfristig anpassen, wenn dies zur Behebung von Sicherheitsrisiken, zur Wahrung der Verfügbarkeit, zur Fehlerbehebung oder zur Erfüllung gesetzlicher Anforderungen erforderlich ist.

4. Änderungen, die das Schutzniveau wesentlich nachteilig beeinflussen können, teilt Quolly dem Kunden rechtzeitig mit.

5. Der Kunde kann angemessene Nachweise über die Umsetzung der TOMs nach Ziffer 11 anfordern.

7. Unterauftragsverarbeiter

1. Der Kunde erteilt Quolly eine allgemeine vorherige Genehmigung zum Einsatz von Unterauftragsverarbeitern für die Verarbeitung von Kundendaten im Rahmen des Hauptvertrags.

2. Die genehmigten Unterauftragsverarbeiter sind in Anlage 3 – Unterauftragsverarbeiter benannt. Anlage 3 ist Bestandteil dieser AVV.

3. Quolly verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus dieser AVV im Sinne von Art. 28 Abs. 4 DSGVO entsprechen, soweit diese für die jeweilige Unterauftragsleistung einschlägig sind. Dazu gehören insbesondere angemessene technische und organisatorische Maßnahmen, Vertraulichkeit, Weisungsbindung, Unterstützungspflichten, Regelungen zu Löschung oder Rückgabe sowie Kontroll- und Nachweismöglichkeiten.

4. Quolly bleibt gegenüber dem Kunden für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter verantwortlich, soweit diese Kundendaten im Auftrag von Quolly verarbeiten.

5. Quolly darf Anlage 3 oder eine dort referenzierte Unterauftragsverarbeiter-Information aktualisieren, ohne dass der Hauptteil dieser AVV geändert werden muss, sofern die Informations- und Widerspruchsregelungen dieser Ziffer eingehalten werden.

6. Quolly informiert den Kunden über die beabsichtigte Hinzunahme oder Ersetzung von Unterauftragsverarbeitern mindestens 14 Tage vor dem Wirksamwerden der Änderung. Die Information erfolgt durch angemessene aktive Mitteilung, insbesondere per E-Mail, im Kundenkonto, über einen Benachrichtigungsmechanismus oder über einen im Hauptvertrag vorgesehenen elektronischen Änderungsmechanismus.

7. Der Kunde kann der Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Mitteilung in Textform widersprechen. Der Widerspruch ist zu begründen.

8. Im Fall eines berechtigten Widerspruchs stimmen die Parteien eine angemessene Lösung ab. Quolly kann insbesondere einen anderen Unterauftragsverarbeiter einsetzen, die betroffene Verarbeitung ohne den betreffenden Unterauftragsverarbeiter erbringen, zusätzliche Schutzmaßnahmen anbieten oder den Kunden auf eine zumutbare alternative Produktkonfiguration verweisen. Ist keine angemessene Lösung möglich, kann jede Partei den betroffenen Teil des Hauptvertrags aus wichtigem Grund kündigen.

9. Widerspricht der Kunde nicht innerhalb der Frist, darf Quolly den neuen oder ersetzten Unterauftragsverarbeiter nach Ablauf der Mitteilungsfrist einsetzen.

10. In dringenden Fällen, insbesondere zur Sicherstellung der Sicherheit, Verfügbarkeit, Rechtskonformität oder Fortführung der Leistung, darf Quolly einen Unterauftragsverarbeiter kurzfristiger einsetzen, wenn eine vorherige Mitteilung praktisch nicht möglich oder nicht zumutbar ist. Quolly informiert den Kunden dann unverzüglich nachträglich.

11. Keine Unterauftragsverarbeiter im Sinne dieser AVV sind Stellen, die Quolly ohne Verarbeitung von Kundendaten im Auftrag des Kunden einsetzt oder die Quolly als eigenständig Verantwortlicher für eigene Vertrags-, Abrechnungs-, Zahlungs-, Steuer-, Rechts-, Buchhaltungs-, Marketing-, Newsletter-, Sicherheits- oder allgemeine Geschäftszwecke nutzt.

8. Drittlandübermittlungen

1. Eine Übermittlung von Kundendaten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums oder an eine internationale Organisation erfolgt nur, soweit dies zur Leistungserbringung erforderlich ist, auf dokumentierter Weisung des Kunden beruht, durch einen genehmigten Unterauftragsverarbeiter erfolgt oder rechtlich erforderlich ist und die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.

2. Besteht kein Angemessenheitsbeschluss der Europäischen Kommission, stellt Quolly sicher, dass geeignete Garantien bestehen, insbesondere EU-Standardvertragsklauseln nach Art. 46 DSGVO, soweit diese erforderlich sind und keine vorrangige gesetzliche Grundlage gilt.

3. Informationen zu etwaigen Drittlandübermittlungen durch Unterauftragsverarbeiter ergeben sich aus Anlage 3 oder aus dort referenzierten Anbieterinformationen.

4. Die bestimmungsgemäße Abrufbarkeit veröffentlichter oder per Link geteilter Kundeninhalte durch Empfänger außerhalb der EU oder des EWR erfolgt nach Konfiguration und Weisung des Kunden. Der Kunde bleibt dafür verantwortlich, keine personenbezogenen Daten weltweit bereitzustellen, wenn hierfür keine geeignete datenschutzrechtliche Grundlage besteht.

5. Erhält Quolly eine rechtlich bindende Anfrage einer Behörde oder öffentlichen Stelle auf Offenlegung von Kundendaten, informiert Quolly den Kunden unverzüglich, soweit dies rechtlich zulässig ist. Quolly prüft solche Anfragen angemessen und legt Kundendaten nur offen, soweit hierzu eine rechtliche Verpflichtung besteht oder die Offenlegung nach der DSGVO zulässig ist.

9. Betroffenenrechte

1. Quolly unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anfragen betroffener Personen nach Kapitel III DSGVO zu erfüllen.

2. Soweit Quolly Selbstbedienungsfunktionen bereitstellt, nutzt der Kunde diese vorrangig selbst, insbesondere für Auskunft, Export, Berichtigung, Löschung oder Einschränkung von Kundendaten.

3. Wendet sich eine betroffene Person unmittelbar an Quolly und betrifft die Anfrage erkennbar Kundendaten, leitet Quolly die Anfrage an den Kunden weiter oder weist die betroffene Person auf die Zuständigkeit des Kunden hin, soweit Quolly den Kunden zuordnen kann und keine gesetzliche Pflicht zur eigenen Bearbeitung besteht.

4. Quolly beantwortet Anfragen betroffener Personen zu Kundendaten nicht eigenständig inhaltlich, sofern Quolly hierzu nicht vom Kunden angewiesen wurde oder rechtlich verpflichtet ist.

10. Datenschutzverletzungen

1. Quolly informiert den Kunden unverzüglich, nachdem Quolly eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO bekannt geworden ist, soweit Kundendaten betroffen sind oder betroffen sein können. Soweit möglich, erfolgt eine Erstinformation innerhalb von 48 Stunden nach Bekanntwerden.

2. Die Mitteilung enthält, soweit Quolly die Informationen zur Verfügung stehen, insbesondere Art der Verletzung, betroffene oder voraussichtlich betroffene Daten- und Personenkategorien, ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle für Rückfragen.

3. Liegen einzelne Informationen noch nicht vollständig vor, darf Quolly diese schrittweise ohne unangemessene Verzögerung nachreichen.

4. Die Verantwortung für gesetzliche Meldungen oder Benachrichtigungen gegenüber Aufsichtsbehörden oder betroffenen Personen liegt beim Kunden, soweit dieser Verantwortlicher ist. Quolly unterstützt den Kunden hierbei nach Maßgabe dieser AVV.

5. Maßnahmen zur Sicherung, Untersuchung, Eindämmung oder Behebung eines Vorfalls gelten nicht als Anerkennung eines Rechtsverstoßes oder einer Haftung.

11. Nachweise, Kontrollen und Unterstützung

1. Quolly stellt dem Kunden alle erforderlichen Informationen zur Verfügung, die zur Demonstration der Einhaltung der Pflichten aus Art. 28 DSGVO und dieser AVV erforderlich sind, soweit diese Informationen Quolly vorliegen und keine Rechte anderer Kunden, Geschäftsgeheimnisse, Sicherheitsinteressen oder gesetzlichen Pflichten entgegenstehen.

2. Geeignete Nachweise können insbesondere TOM-Beschreibungen, Unterauftragsverarbeiter-Informationen, Sicherheits-, Compliance- oder Datenschutznachweise, Zertifizierungen, Prüfberichte, Selbstauskünfte oder Auskünfte zu konkreten Verarbeitungen oder Vorfällen sein.

3. Der Kunde ist berechtigt, die Einhaltung dieser AVV selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer zu überprüfen. Prüfungen erfolgen vorrangig durch Auskunft, Dokumentation, Remote-Audit oder Drittprüfberichte.

4. Vor-Ort-Prüfungen sind zulässig, wenn die vorrangigen Nachweismittel nicht ausreichen, ein konkreter Anlass besteht oder gesetzliche Anforderungen dies erfordern.

5. Prüfungen sind mit angemessener Frist, in der Regel mindestens 30 Tage im Voraus, anzukündigen und während üblicher Geschäftszeiten so durchzuführen, dass Betrieb, Sicherheit, Vertraulichkeit und Rechte anderer Kunden nicht unangemessen beeinträchtigt werden. Anlassbezogene Prüfungen, insbesondere nach einem Sicherheitsvorfall, können mit kürzerer Frist erfolgen, soweit dies erforderlich ist.

6. Der Kunde trägt seine eigenen Prüfungskosten. Soweit eine Prüfung erheblichen Aufwand bei Quolly verursacht und kein von Quolly zu vertretender Datenschutzverstoß festgestellt wird, kann Quolly eine angemessene Vergütung für den zusätzlichen Aufwand verlangen, sofern Quolly den Kunden hierauf vorab hinweist.

7. Quolly darf Informationen schwärzen oder beschränken, soweit dies zum Schutz von Geschäftsgeheimnissen, Sicherheitsarchitektur, personenbezogenen Daten Dritter oder Rechten anderer Kunden erforderlich ist. Die Nachweis- und Kontrollrechte des Kunden dürfen dadurch nicht unangemessen entwertet werden.

8. Quolly unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Quolly verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde.

9. Soweit Unterstützungsleistungen nicht bereits durch den Hauptvertrag oder zwingende gesetzliche Pflichten von Quolly abgedeckt sind und nicht auf einem von Quolly zu vertretenden Umstand beruhen, kann Quolly eine angemessene Vergütung verlangen, sofern Quolly den Kunden hierauf vorab hinweist.

12. Rückgabe und Löschung

1. Während der Laufzeit des Hauptvertrags kann der Kunde Kundendaten im Rahmen der bereitgestellten Funktionen berichtigen, löschen oder exportieren. Je nach Datenart und Produktfunktion kann dies über einzelne Produktfunktionen, Datei- oder Mediendownloads, Exporte, Schnittstellen, Support- oder Administrationsprozesse oder andere angemessene elektronische Bereitstellungswege erfolgen. Eine einheitliche Exportfunktion für sämtliche Kundendaten wird nur geschuldet, soweit sie ausdrücklich bereitgestellt oder zwingend gesetzlich erforderlich ist.

2. Nach Beendigung des Hauptvertrags gibt Quolly Kundendaten nach Wahl des Kunden zurück oder löscht sie, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Die Rückgabe kann, soweit keine andere rechtlich erforderliche Form besteht, über eine oder mehrere Export- oder Downloadfunktionen, elektronische Dateien, Schnittstellen, einen Support- oder Administrationsprozess oder einen anderen angemessenen elektronischen Bereitstellungsweg erfolgen. Soweit rechtlich erforderlich, erfolgt die Rückgabe in einem gängigen, maschinenlesbaren elektronischen Format. Quolly ist nicht verpflichtet, Kundendaten in ein kundenspezifisches Schema oder in ein bestimmtes Drittsystem zu übertragen, soweit dies nicht gesetzlich vorgeschrieben oder gesondert vereinbart ist.

3. Soweit der Kunde keine abweichende Weisung erteilt, stellt Quolly für 30 Tage nach Vertragsende eine vorhandene Export- oder Rückgabemöglichkeit für Kundendaten bereit, sofern der Zugang zu Quolly oder eine andere elektronische Bereitstellung hierfür noch verfügbar ist. Danach darf Quolly Kundendaten in aktiven Systemen innerhalb angemessener Frist, spätestens innerhalb von 30 Tagen, löschen, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht.

4. Kundendaten in Backups und Sicherungskopien werden nach dem regulären Backup-Zyklus überschrieben oder gelöscht, spätestens innerhalb von 90 Tagen nach Löschung in aktiven Systemen, sofern keine gesetzliche Aufbewahrungspflicht besteht oder die weitere Speicherung im Einzelfall zur Abwehr, Geltendmachung oder Verteidigung von Rechtsansprüchen erforderlich ist.

5. Bis zur endgültigen Löschung dürfen in Backups enthaltene Kundendaten nur für Wiederherstellungs-, Sicherheits-, Nachweis- oder Compliance-Zwecke verarbeitet werden.

6. Quolly ist nicht verpflichtet, Kundendaten aus Systemen, Archiven, Caches oder Kopien Dritter zu löschen, die nicht von Quolly kontrolliert werden, insbesondere wenn der Kunde Inhalte öffentlich bereitgestellt, exportiert, geteilt, eingebettet oder an Dritte weitergegeben hat.

7. Gesetzliche Aufbewahrungspflichten und eigenständige Verarbeitungen von Quolly als Verantwortlicher bleiben unberührt.

13. Optionale KI-, Import-, Automatisierungs- und Strukturierungsfunktionen

1. Soweit Quolly KI-, Import-, Automatisierungs- oder Strukturierungsfunktionen bereitstellt, verarbeitet Quolly Kundendaten in diesen Funktionen nur zur Erbringung der vom Kunden genutzten oder veranlassten Leistung.

2. Soweit Quolly hierfür KI- oder LLM-Unterauftragsverarbeiter einsetzt, werden diese nach Ziffer 7 eingebunden und in Anlage 3 benannt.

3. Der Kunde ist dafür verantwortlich, keine Inhalte in KI-, Import-, Automatisierungs- oder Strukturierungsfunktionen einzugeben oder verarbeiten zu lassen, wenn dies gegen gesetzliche Vorgaben, Rechte Dritter, Vertraulichkeitspflichten oder eigene Datenschutzinformationen des Kunden verstößt.

4. Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen oder Straftaten im Sinne von Art. 10 DSGVO sowie sonstige besonders schutzbedürftige oder regulierte Daten sind nicht Zweck der KI-, Import-, Automatisierungs- oder Strukturierungsfunktionen. Der Kunde darf solche Daten nur verarbeiten lassen, wenn dies rechtmäßig ist und Quolly hierfür ausdrücklich vorgesehen oder gesondert vereinbart wurde.

14. Haftung

1. Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags, soweit diese wirksam sind.

2. Zwingende gesetzliche Haftungsregelungen, insbesondere nach Art. 82 DSGVO, bleiben unberührt.

3. Quolly bleibt gegenüber dem Kunden nach Maßgabe von Art. 28 Abs. 4 DSGVO für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter verantwortlich.

4. Keine Partei beschränkt ihre Haftung, soweit eine Haftungsbeschränkung nach zwingendem Recht unzulässig ist.

15. Laufzeit, Änderungen und Rangfolge

1. Diese AVV tritt mit wirksamer Einbeziehung in den Hauptvertrag, mit Abschluss des Hauptvertrags oder mit elektronischer Akzeptanz durch den Kunden in Kraft und gilt für die Dauer der Auftragsverarbeitung.

2. Mit Beendigung des Hauptvertrags endet auch diese AVV, sofern Quolly keine Kundendaten mehr im Auftrag des Kunden verarbeitet. Regelungen, die ihrer Natur nach fortgelten müssen, insbesondere zu Vertraulichkeit, Rückgabe, Löschung, Nachweisen, Kontrollen und Haftung, bleiben unberührt.

3. Quolly darf diese AVV anpassen, soweit dies aufgrund geänderter gesetzlicher Anforderungen, behördlicher Vorgaben, Rechtsprechung, technischer oder organisatorischer Weiterentwicklungen, Sicherheitsanforderungen oder Änderungen der Quolly-Leistungen erforderlich oder zweckmäßig ist und die Änderung den Kunden nicht unangemessen benachteiligt.

4. Wesentliche Änderungen dieser AVV teilt Quolly dem Kunden in Textform oder über einen im Hauptvertrag vorgesehenen elektronischen Änderungsmechanismus mit. Änderungen, die das Datenschutzniveau wesentlich nachteilig beeinflussen, Hauptleistungspflichten wesentlich ändern oder Weisungsrechte des Kunden wesentlich beschränken, bedürfen der Zustimmung des Kunden, soweit nicht zwingendes Recht etwas anderes erfordert.

5. Änderungen der technischen und organisatorischen Maßnahmen richten sich nach Ziffer 6. Änderungen bei Unterauftragsverarbeitern richten sich nach Ziffer 7.

6. Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag geht diese AVV vor, soweit der Widerspruch die Auftragsverarbeitung von Kundendaten betrifft. Bei Widersprüchen zwischen Anlagen und Hauptteil geht der Hauptteil vor. Zwingende gesetzliche Datenschutzvorschriften gehen abweichenden vertraglichen Regelungen vor.

16. Schlussbestimmungen

1. Änderungen und Ergänzungen dieser AVV bedürfen der Textform, soweit nicht in dieser AVV, im Hauptvertrag oder in zwingenden gesetzlichen Vorschriften etwas anderes geregelt ist. Der elektronische Abschluss, die elektronische Einbeziehung und elektronische Änderungsmechanismen sind zulässig.

2. Sollte eine Bestimmung dieser AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame oder undurchführbare Bestimmung durch eine wirksame und durchführbare Regelung ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der ursprünglichen Regelung möglichst nahekommt.

3. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss kollisionsrechtlicher Vorschriften. Zwingende datenschutzrechtliche Vorschriften der Europäischen Union und der Mitgliedstaaten bleiben unberührt.

4. Gerichtsstand ist, soweit gesetzlich zulässig, Regensburg. Für Kunden, die Verbraucher sind, gelten die gesetzlichen Gerichtsstände.

Anlage 1 – Beschreibung der Verarbeitung

Diese Anlage beschreibt die Auftragsverarbeitung, die Quolly im Rahmen des Hauptvertrags für den Kunden durchführt. Sie ist Bestandteil der AVV.

Anlage 2 – Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen (TOMs) von Quolly zum Schutz von Kundendaten im Rahmen der Auftragsverarbeitung. Die Maßnahmen gelten für den Betrieb des SaaS-Angebots Quolly und werden risikobasiert weiterentwickelt.

Anlage 3 – Unterauftragsverarbeiter

Diese Anlage benennt die Unterauftragsverarbeiter, die Quolly zur Verarbeitung von Kundendaten im Sinne dieser AVV einsetzen darf. Soweit ein Dienst optional ist, erfolgt eine Verarbeitung nur, wenn die entsprechende Produktfunktion genutzt wird oder die Verarbeitung für Betrieb, Sicherheit, Support oder Fehlerbehebung erforderlich ist.

Quolly kann Unterauftragsverarbeiter nach Maßgabe der AVV hinzufügen, ersetzen oder entfernen. Aktualisierungen dieser Anlage gelten nicht als Änderung des Hauptteils der AVV, soweit die Änderung nach der AVV zulässig ist und das vereinbarte Datenschutzniveau nicht wesentlich nachteilig beeinträchtigt wird.