Auftragsverarbeitungsvertrag

Pretty verarbeitet personenbezogene Daten, für die der Verantwortliche verantwortlich ist, um den Pretty-Webeditor, das PowerPoint-Add-in und damit verbundene vertraglich vereinbarte Dienste bereitzustellen („Daten des Verantwortlichen“). Dieser AVV regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dieser Verarbeitung.

Pretty verarbeitet Daten des Verantwortlichen in dessen Auftrag und gemäß dessen dokumentierten Weisungen im Sinne von Artikel 28 DSGVO. Der Verantwortliche bleibt datenschutzrechtlich Verantwortlicher.

Anhang 1 beschreibt Zweck, Art, Dauer, Datenkategorien und betroffene Personen der Verarbeitung. Die Verarbeitung beschränkt sich auf das, was zur Bereitstellung, Absicherung, Unterstützung und Löschung des vertraglich vereinbarten Dienstes erforderlich ist.

Pretty verarbeitet Daten des Verantwortlichen nur auf dessen dokumentierte Weisung, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats eine andere Verarbeitung verlangt. Soweit rechtlich zulässig, informiert Pretty den Verantwortlichen vor einer gesetzlich vorgeschriebenen Verarbeitung.

Dieser AVV, der Hauptvertrag, die Produkteinstellungen des Verantwortlichen, Nutzeraktionen, Supportanfragen und schriftliche Weisungen bilden zusammen die dokumentierten Weisungen. Weisungen, die eine wesentliche Änderung des Standarddienstes erfordern, sind erst verbindlich, wenn die Parteien sie einschließlich etwaiger Entgelte oder technischer Bedingungen schriftlich vereinbart haben.

Pretty informiert den Verantwortlichen unverzüglich, wenn Pretty der Ansicht ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt. Pretty darf die betreffende Weisung aussetzen, bis die Parteien die Angelegenheit geklärt haben.

Der Verantwortliche ist für die Rechtmäßigkeit, Richtigkeit und den Umfang seiner Daten und Weisungen verantwortlich. Er muss erforderliche Informationen bereitstellen, eine Rechtsgrundlage sicherstellen und dafür sorgen, dass Nutzer nur Daten übermitteln, die der Verantwortliche über den Dienst verarbeiten darf.

Der Verantwortliche stellt Informationen bereit, die Pretty angemessenerweise für Verarbeitungsverzeichnisse, behördliche Anfragen oder die Erfüllung dieses AVV benötigt. Der Verantwortliche ist für die Konfiguration seines kundenseitig bereitgestellten KI-Gateways, der nachgelagerten Modellanbieter, der Nutzerberechtigungen und der Aufbewahrungsoptionen verantwortlich.

Pretty unterhält angemessene technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art und des Zwecks der Verarbeitung sowie der Risiken für betroffene Personen. Anhang 3 beschreibt die bei Inkrafttreten dieses AVV bestehenden Maßnahmen.

Pretty darf diese Maßnahmen bei Änderungen der Technik und der Risiken aktualisieren, sofern das Gesamtschutzniveau für die Daten des Verantwortlichen nicht wesentlich sinkt. Pretty dokumentiert wesentliche Änderungen.

Pretty beschränkt den Zugriff auf Daten des Verantwortlichen auf Personal, das ihn zur Erbringung des Dienstes, zur Unterstützung des Verantwortlichen oder zur Aufrechterhaltung der Sicherheit benötigt. Berechtigtes Personal ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet und erhält seiner Rolle entsprechende Sicherheits- und Datenschutzanweisungen.

Der Verantwortliche erteilt Pretty eine allgemeine Genehmigung zum Einsatz der in Anhang 2 aufgeführten Unterauftragsverarbeiter. Pretty bleibt in dem nach Artikel 28 Absatz 4 DSGVO erforderlichen Umfang für die Erfüllung der Datenschutzpflichten jedes Unterauftragsverarbeiters verantwortlich.

Pretty informiert den Verantwortlichen mindestens 14 Tage im Voraus, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird. Die Mitteilung kann an den Workspace-Administrator oder den vertraglichen Ansprechpartner erfolgen. Der Verantwortliche kann innerhalb dieser Frist aus konkreten und nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich nach Treu und Glauben um eine Lösung. Ist keine angemessene Lösung möglich, kann jede Partei den betroffenen Dienst mit einer Frist von 30 Tagen kündigen.

Pretty verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die im Wesentlichen denselben Schutz wie dieser AVV bieten. Pretty stellt sicher, dass ein geeigneter Übermittlungsmechanismus nach Kapitel V DSGVO gilt, wenn ein Unterauftragsverarbeiter Daten des Verantwortlichen in einem Drittland verarbeitet.

Die zentralen verwalteten Anwendungs-, Datenbank- und Objektspeicherressourcen sind in der Europäischen Union konfiguriert. Begrenzte Konto-, Transaktions-E-Mail-, Support-, Betriebsüberwachungs- oder technische Daten können durch einen Unterauftragsverarbeiter außerhalb des EWR verarbeitet werden, wie in Anhang 2 beschrieben.

Pretty übermittelt Daten des Verantwortlichen nur auf dessen Weisung oder soweit für den Einsatz eines genehmigten Unterauftragsverarbeiters erforderlich außerhalb des EWR und nur auf Grundlage eines rechtmäßigen Mechanismus gemäß den Artikeln 44 bis 49 DSGVO. Je nach Übermittlung kann dies ein Angemessenheitsbeschluss, das EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln mit ergänzenden Maßnahmen sein.

Ein kundenseitig bereitgestelltes KI-Gateway wird vom Verantwortlichen kontrolliert. Der Verantwortliche bestimmt dessen Standort, Anbieter, Zugangsdaten und Übermittlungsgarantien. Die Weiterleitung einer Anfrage an dieses Gateway stellt eine dokumentierte Weisung des Verantwortlichen dar.

Unter Berücksichtigung der Art der Verarbeitung unterstützt Pretty den Verantwortlichen bei seinen Pflichten nach Kapitel III DSGVO. Pretty stellt verfügbare Produktfunktionen und Informationen bereit, die zur Identifizierung, zum Zugriff, zur Berichtigung, zum Export, zur Einschränkung oder zur Löschung von Daten des Verantwortlichen erforderlich sind. Kann der Verantwortliche einer Anfrage nicht über den Dienst nachkommen, führt Pretty die zur Beantwortung erforderlichen dokumentierten Weisungen aus, auch im Fall eines Widerspruchs.

Erhält Pretty eine Anfrage einer betroffenen Person zu Daten des Verantwortlichen, leitet Pretty sie unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbstständig, sofern der Verantwortliche Pretty nicht dazu anweist oder eine gesetzliche Antwortpflicht besteht. Pretty darf routinemäßige Anfragen zur Kontoverifizierung oder Kontolöschung direkt beantworten, wenn der Verantwortliche diesen Ablauf aktiviert hat und die Identität der anfragenden Person überprüft wurde.

Pretty benachrichtigt den Verantwortlichen unverzüglich, nachdem Pretty eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Verantwortlichen betrifft. Pretty wartet nicht auf den Abschluss seiner Untersuchung. Die erste Mitteilung enthält die zu diesem Zeitpunkt verfügbaren Informationen; Pretty stellt im Verlauf der Untersuchung wesentliche Aktualisierungen bereit.

Pretty stellt die verfügbaren Informationen bereit, die der Verantwortliche für Meldungen gemäß den Artikeln 33 und 34 DSGVO benötigt, einschließlich Art und wahrscheinlicher Folgen der Verletzung, betroffener Daten und Personen sowie ergriffener oder vorgeschlagener Maßnahmen. Pretty stellt Beschreibungen der Verarbeitung sowie der technischen und organisatorischen Maßnahmen bereit, die für Datenschutz-Folgenabschätzungen gemäß Artikel 35 DSGVO erforderlich sind. Für eine vorherige Konsultation gemäß Artikel 36 DSGVO stellt Pretty relevante Verarbeitungs- und Sicherheitsunterlagen bereit, beantwortet angemessene Fragen der Aufsichtsbehörde und wirkt mit, soweit seine Beteiligung vernünftigerweise erforderlich ist.

Pretty erbringt die nach diesem AVV erforderliche Unterstützung ohne zusätzliches Entgelt. Verlangt der Verantwortliche Leistungen, die über Prettys Pflichten nach diesem AVV oder geltendem Recht hinausgehen, vereinbaren die Parteien Umfang und Entgelt vor Beginn dieser Leistungen.

Nutzer und Workspace-Administratoren können gespeicherte Daten des Verantwortlichen über verfügbare Produktfunktionen löschen. Pretty speichert Präsentationsdateien und Quelldokumente, wenn Nutzer sie hochladen oder speichern. Chat-Prompts und generierte Antworten werden als Teil des Chatverlaufs aufbewahrt. Temporäre Verarbeitungskopien hochgeladener Inhalte werden nach 14 Tagen automatisch gelöscht.

Nach Beendigung des Hauptvertrags entscheidet der Verantwortliche, wie Pretty mit seinen Daten umgeht. Nach Wahl des Verantwortlichen gibt Pretty entweder sämtliche Daten des Verantwortlichen zurück oder löscht sie vollständig. Pretty gibt Daten über verfügbare Exportfunktionen oder ein anderes zwischen den Parteien vereinbartes sicheres Verfahren zurück. Nach der Rückgabe löscht Pretty alle vorhandenen Kopien innerhalb von 30 Tagen aus aktiven Systemen.

Entscheidet sich der Verantwortliche für die Löschung, löscht Pretty dessen Daten und vorhandene Kopien innerhalb von 30 Tagen aus aktiven Systemen. Sicherungskopien werden der gewöhnlichen Nutzung entzogen und laufen im Rahmen von Prettys 30-tägigem Aufbewahrungszyklus für Backups aus. Pretty darf Daten nur aufbewahren, soweit das Unionsrecht oder das Recht eines Mitgliedstaats dies verlangt. Pretty isoliert aufbewahrte Daten und verarbeitet sie ausschließlich für diesen gesetzlichen Zweck.

Pretty bestätigt auf schriftliche Anfrage den Abschluss der Löschung.

Pretty stellt Informationen bereit, die angemessenerweise zum Nachweis der Einhaltung dieses AVV und von Artikel 28 DSGVO erforderlich sind. Routinemäßige Anfragen kann Pretty durch aktuelle Richtlinien, Unterlagen zur Auditvorbereitung, unabhängige Berichte, Sicherheitsfragebögen oder verfügbare Zertifizierungen erfüllen.

Prettys Informationssicherheitsmanagementsystem ist auditbereit; die Zertifizierungsarbeiten laufen. Pretty erklärt nicht, dass bereits ein ISO-27001-Zertifikat ausgestellt wurde.

Der Verantwortliche kann selbst oder durch einen unabhängigen Prüfer ein Audit durchführen, einschließlich einer Fernprüfung oder einer Vor-Ort-Inspektion. Pretty ermöglicht das Audit und wirkt daran mit, indem Pretty Aufzeichnungen, Nachweise und Personalinterviews bereitstellt, die angemessenerweise zur Prüfung der Einhaltung dieses AVV und von Artikel 28 DSGVO erforderlich sind. Soweit erforderlich, ermöglicht Pretty unter angemessenen Sicherheits- und Vertraulichkeitsvorkehrungen auch die Prüfung relevanter Verarbeitungsorte und -verfahren.

Audits finden während der üblichen Geschäftszeiten mit angemessener Vorankündigung statt, sofern nicht ein dringender Vorfall oder eine Behörde etwas anderes erfordert. Sie müssen unangemessene Störungen vermeiden und Daten anderer Kunden, Sicherheitsinformationen und Geschäftsgeheimnisse schützen. Ein externer Prüfer muss unabhängig, kein Wettbewerber von Pretty und zur Vertraulichkeit verpflichtet sein.

Die Haftungsregelungen des Hauptvertrags gelten auch für diesen AVV, einschließlich vereinbarter Ausschlüsse und Begrenzungen. Dieser AVV beschränkt keine zwingende Haftung nach Artikel 82 DSGVO oder nach anderen Gesetzen, die eine Beschränkung nicht zulassen.

Dieser AVV beginnt mit der erstmaligen Verarbeitung von Daten des Verantwortlichen durch Pretty im Rahmen des Hauptvertrags und gilt so lange, wie Pretty Daten des Verantwortlichen aufbewahrt. Die Beendigung des Hauptvertrags beendet diesen AVV, nachdem Pretty die erforderliche Rückgabe oder Löschung der Daten des Verantwortlichen abgeschlossen hat. Eine gesonderte Kündigung dieses AVV ist ausgeschlossen, solange Pretty weiterhin Daten für den Verantwortlichen verarbeitet.

Für Angelegenheiten, die dieser AVV nicht regelt, einschließlich anwendbaren Rechts und Gerichtsstands, gilt der Hauptvertrag. Bei Widersprüchen zu Bestimmungen des Hauptvertrags hat dieser AVV in Datenschutzfragen Vorrang. Standardvertragsklauseln haben Vorrang, soweit ihr zwingender Wortlaut diesem AVV widerspricht.

Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Regelung, die ihren Zweck bestmöglich wahrt und Artikel 28 DSGVO entspricht.

Ein kundenseitig bereitgestelltes KI-Gateway wird vom Verantwortlichen kontrolliert und ausgewählt. Es ist kein von Pretty beauftragter Unterauftragsverarbeiter. Der Verantwortliche kontrolliert Standort, Zugangsdaten, nachgelagerte Modellanbieter, Protokollierung, Aufbewahrung und Übermittlungsgarantien.

Kontaktieren Sie support@make-pretty.com für aktuelle Anbieterunterlagen oder Übermittlungsgarantien.