Datenverarbeitungsvertrag
1. Parteien und Definitionen
KS Agents (P.IVA IT01430680320)
E-Mail: [email protected]
Website: ks-agents.com
Die Organisation (Unternehmen, Institution oder Einzelperson), die die KS Agents-Nutzungsbedingungen akzeptiert hat. Identifiziert durch den bei der Anmeldung registrierten Kontonamen und die E-Mail-Adresse.
Begriffe, die in der Verordnung (EU) 2016/679 („DSGVO“), der britischen DSGVO und gleichwertigen Datenschutzgesetzen definiert sind, haben hierin dieselbe Bedeutung. Insbesondere:
- Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person — wie in DSGVO Art. 4 definiert.
- Unterauftragsverarbeiter — jeder Auftragsverarbeiter, der von KS Agents beauftragt wird, Verarbeitungsaktivitäten im Auftrag des Verantwortlichen durchzuführen.
- Standardvertragsklauseln (SCCs) — Standardvertragsklauseln, verabschiedet durch den Kommissionsbeschluss 2021/914/EU.
- Dienstleistungen — die KS Agents-Plattform und alle in den Nutzungsbedingungen beschriebenen Funktionen.
- Kundeninhalte — alle personenbezogenen Daten, die vom Verantwortlichen über die Dienste hochgeladen, generiert oder verarbeitet werden.
2. Art und Zweck der Verarbeitung (Anhang A)
KS Agents verarbeitet personenbezogene Daten wie in Anhang A beschrieben ausschließlich, um dem Verantwortlichen die Dienste bereitzustellen. Die vollständige Beschreibung der Verarbeitung — einschließlich Kategorien betroffener Personen, Kategorien personenbezogener Daten und Dauer — ist in Anhang A am Ende dieses Dokuments aufgeführt.
3. Pflichten des Auftragsverarbeiters
KS Agents verarbeitet personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, KS Agents ist durch das Recht der Union oder der Mitgliedstaaten, dem KS Agents unterliegt, hierzu verpflichtet; in einem solchen Fall teilt KS Agents dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern dieses Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die Nutzungsbedingungen und dieser DPA bilden die vollständigen dokumentierten Anweisungen. Der Verantwortliche kann über die Verwaltungsoberfläche der Plattform oder schriftlich an [email protected] weitere Anweisungen erteilen. KS Agents wird den Verantwortlichen unverzüglich benachrichtigen, wenn nach seiner vernünftigen Einschätzung eine Anweisung gegen geltendes Datenschutzrecht verstößt.
KS Agents stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf Kundeninhalte ist auf das Personal und die Unterauftragsverarbeiter von KS Agents beschränkt, die für die Bereitstellung der Dienste Zugriff benötigen.
KS Agents wird die in Anhang C aufgeführten technischen und organisatorischen Maßnahmen umsetzen und aufrechterhalten. Diese Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten und die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. KS Agents kann die Maßnahmen in Anhang C von Zeit zu Zeit aktualisieren, vorausgesetzt, die aktualisierten Maßnahmen gewährleisten mindestens ein gleichwertiges Sicherheitsniveau.
Durch die Annahme dieses DPA erteilt der Verantwortliche KS Agents die allgemeine schriftliche Genehmigung zur Beauftragung der in Anhang B (Register der Unterauftragsverarbeiter) aufgeführten Unterauftragsverarbeiter.
Für die Zwecke dieser Klausel bedeutet Unterauftragsverarbeiter einen von KS Agents beauftragten Dritten, der im Zusammenhang mit der Bereitstellung der Dienste Zugriff auf Kundeninhalte hat. Zusätzliche Dienste, die einen solchen Zugriff nicht beinhalten – einschließlich Telekommunikation und Konnektivität, Post- und Versandanbieter, Wartungs- und Endbenutzer-Support-Tools sowie andere Maßnahmen zum Schutz der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Systeme von KS Agents – sind keine Unterauftragsverarbeiter im Sinne dieser Klausel und erfordern keine Mitteilung gemäß diesem Abschnitt.
KS Agents wird den Verantwortlichen mindestens 30 Tage im Voraus benachrichtigen, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird, der auf Kundeninhalte zugreifen kann, indem das Register der Unterauftragsverarbeiter unter ks-agents.com/legal/subprocessors/ aktualisiert und eine E-Mail-Benachrichtigung an die registrierte E-Mail-Adresse des Verantwortlichen gesendet wird.
Der Verantwortliche kann einem solchen Hinzufügen oder Ersetzen innerhalb der 30-tägigen Kündigungsfrist aus berechtigten Datenschutzgründen schriftlich widersprechen. Wenn ein Widerspruch nicht innerhalb der Kündigungsfrist gelöst wird, kann der Verantwortliche die betroffenen Dienste ohne Vertragsstrafe kündigen, indem er vor dem geplanten Datum des Inkrafttretens des neuen Unterauftragsverarbeiters eine schriftliche Kündigung einreicht.
Wenn KS Agents einen Unterauftragsverarbeiter beauftragt, erlegt KS Agents diesem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem DPA festgelegt sind, und bietet insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht.
KS Agents unterstützt den Verantwortlichen bei der Beantwortung von Anfragen von betroffenen Personen, die ihre Rechte gemäß Kapitel III DSGVO ausüben (einschließlich des Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch).
KS Agents stellt Self-Service-Tools für Datenrechte (Löschung und Export) zur Verfügung, die für Benutzer innerhalb der Plattform zugänglich sind. KS Agents wird den Verantwortlichen über jede direkte Anfrage einer betroffenen Person informieren, die innerhalb von 5 Werktagen eingeht, und wird nicht ohne vorherige Genehmigung des Verantwortlichen auf eine solche Anfrage antworten, es sei denn, dies ist nach geltendem Recht erforderlich.
Die Unterstützung von KS Agents wird für Anfragen, die mit Standard-Plattformtools erfüllt werden können, kostenlos zur Verfügung gestellt. KS Agents kann für Anfragen, die eine benutzerdefinierte Extraktion oder einen ungewöhnlichen Aufwand erfordern, eine angemessene Gebühr erheben.
Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt KS Agents den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß den Artikeln 32–36 DSGVO, einschließlich: (a) Sicherheit der Verarbeitung; (b) Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde; (c) Benachrichtigung der betroffenen Personen über Verletzungen des Schutzes personenbezogener Daten; (d) Datenschutz-Folgenabschätzungen; und (e) vorherige Konsultation der Aufsichtsbehörden.
Bei Beendigung der Nutzungsbedingungen aus irgendeinem Grund wird KS Agents nach Wahl des Verantwortlichen und auf schriftliche Anfrage innerhalb von 30 Tagen nach Beendigung: (a) alle Kundeninhalte löschen und eine schriftliche Bestätigung der Löschung ausstellen; oder (b) alle Kundeninhalte in maschinenlesbarem Format (JSON/CSV) zurückgeben.
Wird innerhalb von 30 Tagen nach Beendigung keine Anweisung empfangen, löscht KS Agents alle Kundeninhalte. KS Agents kann personenbezogene Daten aufbewahren, sofern dies nach geltendem Recht der Union oder der Mitgliedstaaten erforderlich ist; in diesem Fall benachrichtigt KS Agents den Verantwortlichen über die Aufbewahrungspflicht und die Rechtsgrundlage.
Backup-Carve-out. Die oben genannte Löschpflicht erstreckt sich nicht auf Backup-Kopien, die ausschließlich für Disaster-Recovery-Zwecke vorhanden sind. Solche Backups werden für einen fortlaufenden Zeitraum von bis zu 7 Tagen ab ihrer Erstellung aufbewahrt, können im normalen Verlauf nicht abgerufen oder wiederhergestellt werden und verfallen automatisch. KS-Agents dürfen gelöschte Kundeninhalte nicht aus dem Backup wiederherstellen, es sei denn, dies ist gesetzlich vorgeschrieben. Personenbezogene Daten, deren Aufbewahrung zur Erfüllung gesetzlicher Pflichten (z. B. Steuerrecht) erforderlich ist, fallen ebenfalls nicht in den Geltungsbereich der Löschpflicht, unterliegen jedoch für die Dauer der Aufbewahrungsfrist angemessenen Verarbeitungsbeschränkungen.
KS Agents stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung seiner Pflichten als Auftragsverarbeiter nachzuweisen, und ermöglicht und trägt zu Audits, einschließlich Inspektionen, bei, die vom Verantwortlichen oder einem beauftragten externen Prüfer durchgeführt werden.
KS-Agents können die Einhaltung durch eine der folgenden Beweisformen nachweisen:
- Einhaltung eines genehmigten Verhaltenskodex gemäß Art. 40 DSGVO;
- ein zugelassener Zertifizierungsmechanismus gemäß Art. 42 DSGVO;
- aktuelle Einschätzungen, Berichte oder Auszüge daraus von unabhängigen Stellen (externe Revision, interne Revision, Datenschutzbeauftragter, IT-Sicherheit, Qualitätskontrolle);
- Zertifizierungen von Unterauftragsverarbeitern gemäß anerkannten Rahmenwerken wie ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 2 Typ II oder gleichwertige IT-Sicherheitsaudits;
- das öffentliche Unterauftragsverarbeiterregister und die in Anhang C dieser DPA aufgeführten technischen und organisatorischen Maßnahmen.
Der Verantwortliche muss jedes Vor-Ort-Audit mindestens 30 Tage im Voraus schriftlich ankündigen. Vor-Ort-Audits werden durchgeführt: (a) während der normalen Geschäftszeiten; (b) nicht mehr als einmal pro Kalenderjahr, es sei denn, ein bestätigter Verstoß gegen den Schutz personenbezogener Daten erfordert eine zusätzliche Überprüfung; (c) auf Kosten des Controllers, einschließlich angemessener Personalzeit von KS Agents; und (d) einer Vertraulichkeitsvereinbarung unterliegen, die die Daten und Geschäftsgeheimnisse anderer Kunden von KS Agents schützt. Wenn der Controller einen externen Prüfer beauftragt, kann KS Agents aus berechtigten Gründen Einspruch erheben, auch wenn der Dritte ein direkter Konkurrent von KS Agents ist.
Die Parteien vereinbaren, dass die Überprüfung dieses DPA, des Registers der Unterauftragsverarbeiter, des Anhangs C (TOMs) und der anwendbaren Sicherheitszertifizierungen von Unterauftragsverarbeitern durch den Verantwortlichen einen ausreichenden Audit-Nachweis für routinemäßige Compliance-Zwecke darstellt.
4. Pflichten des Verantwortlichen
Der Verantwortliche sichert zu, gewährleistet und verpflichtet sich, dass:
- Er verfügt über eine Rechtsgrundlage für jede unter diesem DPA durchgeführte oder angewiesene Verarbeitungsaktivität (Art. 6 DSGVO oder ähnlich) und wird diese während der gesamten Laufzeit dieses DPA aufrechterhalten;
- Er hat den betroffenen Personen alle nach DSGVO Artikeln 13–14 erforderlichen Informationen bezüglich der Rolle von KS Agents als Auftragsverarbeiter zur Verfügung gestellt und wird dies auch weiterhin tun;
- Er wird KS Agents nicht anweisen, personenbezogene Daten in einer Weise zu verarbeiten, die gegen geltendes Datenschutzrecht verstoßen würde;
- Er wird keine besonderen Kategorien personenbezogener Daten (DSGVO Art. 9) hochladen — einschließlich Gesundheits-, biometrischer oder politischer Daten — ohne vorherige schriftliche Vereinbarung mit KS Agents und Dokumentation einer geeigneten Rechtsgrundlage;
- Er ist allein verantwortlich für die Richtigkeit und Rechtmäßigkeit der KS Agents zur Verfügung gestellten personenbezogenen Daten;
- Wenn der Verantwortliche außerhalb der EU/des EWR tätig ist, stellt er sicher, dass seine Nutzung der Dienste den geltenden lokalen Datenschutzgesetzen entspricht, einschließlich, aber nicht beschränkt auf CCPA/CPRA (Kalifornien), LGPD (Brasilien), britische DSGVO, PIPEDA (Kanada) und APPI (Japan).
5. Internationale Datenübermittlungen
Personenbezogene Daten, die im Rahmen dieses DPA verarbeitet werden, können in Länder außerhalb des Europäischen Wirtschaftsraums („EWR“) übertragen werden, soweit dies für die Erbringung der Dienste durch Unterauftragsverarbeiter erforderlich ist. Jede solche Übermittlung beruht auf einer oder mehreren der in den Artikeln 44–49 DSGVO aufgeführten Garantien:
- ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO);
- Mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission angenommene Standardvertragsklauseln – siehe Anhang D (Art. 46 Abs. 2 Buchst. c DSGVO);
- verbindliche Unternehmensregeln, die von einer Aufsichtsbehörde genehmigt wurden (Art. 47 DSGVO);
- genehmigte Verhaltenskodizes gemäß Art. Art. 40 DSGVO (Art. 46 Abs. 2 lit. e));
- genehmigte Zertifizierungsmechanismen gemäß Art. Art. 42 DSGVO (Art. 46 Abs. 2 lit. f);
- Ausnahmen für bestimmte Situationen gemäß Art. Die Verarbeitung erfolgt gemäß Art. 49 DSGVO nur dann, wenn eine andere Garantie nicht verfügbar ist.
Die spezifischen Schutzmaßnahmen, auf die sich jeder Unterauftragsverarbeiter stützt, sind in der nachstehenden Übertragungstabelle und im öffentlichen Unterauftragsverarbeiterregister aufgeführt. Wenn mehrere Schutzmaßnahmen gelten, ist die stärkste anwendbare Schutzmaßnahme maßgebend.
| Unterauftragsverarbeiter | Ziel | Übermittlungsmechanismus |
|---|---|---|
| Hetzner Online GmbH | Helsinki, Finnland (EU) | Keine Übermittlung außerhalb des EWR |
| Cloudflare, Inc. | R2: EU-Jurisdiktion. CDN/DNS: globaler Edge. | SCCs 2021 Modul 2 + Cloudflare DPA |
| OpenAI, L.L.C. | USA | SCCs 2021 Modul 3 + OpenAI DPA + Null Datenaufbewahrung |
| Anthropic PBC | USA | SCCs 2021 Modul 3 + Anthropic DPA + Null Datenaufbewahrung |
| Google LLC (Gemini API) | USA | SCCs 2021 Modul 3 + Google Cloud DPA |
| Google LLC (Vertex AI, EU live audio) | Niederlande (EU) | Intra-EU-Verarbeitung (europe-west4) + Google Cloud DPA — keine Datenübermittlung in Drittländer |
| Microsoft Corporation (Azure OpenAI) | EU (Westeuropa / Schweden Zentral) | Intra-EU-Verarbeitung + Microsoft DPA – keine Drittlandübertragung |
| OpenRouter Inc. | USA | SCCs 2021 Modul 3 + OpenRouter-Datenschutzbestimmungen + Keine Datenaufbewahrung |
| Requesty (EU) | EU | Verarbeitung innerhalb der EU + angeforderte Bedingungen + keine Datenspeicherung |
| Stripe, Inc. | USA / Irland | SCCs 2021 Modul 3 + Stripe DPA |
| E-Mail-Anbieter (Postmark / Resend) | USA | SCCs 2021 Modul 3 + Anbieter-DPA |
Bei den oben genannten Standardvertragsklauseln handelt es sich um diejenigen, die durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 angenommen wurden. Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) gilt, wenn KS Agents als Auftragsverarbeiter für den Verantwortlichen einen Unterauftragsverarbeiter außerhalb des EWR beauftragt. Modul 2 (Verantwortlicher zum Auftragsverarbeiter) gilt, wenn der Verantwortliche seinen Sitz außerhalb des EWR hat und KS Agents als Auftragsverarbeiter einsetzt. Durch den Abschluss dieses DPA wird davon ausgegangen, dass die Parteien das entsprechende SCC-Modul gemäß Anhang D ausgeführt haben. Im Falle eines Konflikts zwischen den SCCs und diesem DPA ausschließlich im Hinblick auf internationale Transferverpflichtungen haben die SCCs Vorrang.
6. Benachrichtigung bei Datenschutzverletzungen
Im Falle einer Verletzung des Schutzes personenbezogener Daten, die Kundeninhalte betrifft, wird KS Agents den Verantwortlichen ohne unangemessene Verzögerung und innerhalb von 48 Stunden nach Bekanntwerden der Verletzung benachrichtigen. Diese Benachrichtigung umfasst, soweit dann bekannt:
- Eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der Kategorien und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze;
- Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder eines anderen Datenschutzansprechpartners;
- Eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
- Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, einschließlich Maßnahmen zur Minderung ihrer möglichen negativen Auswirkungen.
KS Agents kooperiert mit dem Verantwortlichen und leistet angemessene Unterstützung bei der Untersuchung und Behebung der Verletzung, einschließlich eines schriftlichen Berichts nach dem Vorfall innerhalb von 14 Tagen nach Benachrichtigung des Verantwortlichen.
KS Agents benachrichtigt keine Aufsichtsbehörde oder betroffene Person im Namen des Verantwortlichen über eine Verletzung, ohne die vorherige schriftliche Zustimmung des Verantwortlichen einzuholen, es sei denn, dies ist nach geltendem Recht erforderlich. Das 48-Stunden-Meldefenster ist so konzipiert, dass der Verantwortliche seine eigene 72-Stunden-Meldepflicht gegenüber den Aufsichtsbehörden gemäß DSGVO Art. 33 erfüllen kann.
7. Haftung
Die Haftung jeder Partei im Rahmen oder in Verbindung mit diesem DPA unterliegt den in den Nutzungsbedingungen dargelegten Ausschlüssen und Einschränkungen. Nichts in diesem DPA schränkt die Haftung einer der Parteien gegenüber betroffenen Personen oder Aufsichtsbehörden nach geltendem Datenschutzrecht ein.
Wenn eine Partei Schadensersatz oder Geldbußen an eine betroffene Person, Aufsichtsbehörde oder Dritte gezahlt hat, die aus einer Verletzung dieses DPA oder der Datenschutzgesetze resultieren, und die andere Partei eine teilweise oder vollständige Verantwortung trägt, hat die zahlende Partei ein Recht auf Erstattung.
8. Laufzeit und Kündigung
Dieser DPA tritt in Kraft, sobald der Verantwortliche die Nutzungsbedingungen akzeptiert, und bleibt für die Dauer der Nutzungsbedingungen in Kraft, zuzüglich der Nachkündigungsfrist, die für die Löschung oder Rückgabe von Kundeninhalten gemäß Abschnitt 3.7 erforderlich ist.
Die Beendigung der Nutzungsbedingungen beendet diesen DPA automatisch, vorbehaltlich Abschnitt 3.7 und aller gesetzlich vorgeschriebenen Aufbewahrungspflichten. Klauseln, die ihrer Natur nach die Beendigung überdauern sollten, bleiben bestehen.
9. Geltendes Recht und Gerichtsstand
Dieser DPA unterliegt den Gesetzen Italiens. Streitigkeiten, die nicht gütlich gelöst werden können, unterliegen der ausschließlichen Zuständigkeit der zuständigen Gerichte der Stadt des eingetragenen Sitzes von KS Agents, sofern die in Anhang D aufgenommenen SCC nichts anderes vorschreiben.
Wenn der Verantwortliche in einem anderen EU-Mitgliedstaat als Italien niedergelassen ist, ist die Aufsichtsbehörde dieses Mitgliedstaats die federführende Aufsichtsbehörde für die Verpflichtungen des Verantwortlichen, während die italienische Datenschutzbehörde (Garante) für die Verpflichtungen von KS Agents als Auftragsverarbeiter zuständig ist.
Anhänge
Anhang A — Beschreibung der Verarbeitung
Art der Verarbeitung
Speicherung, Abruf, Anzeige, KI-gestützte Analyse, Erstellung von Zusammenfassungen und Erkenntnissen sowie Übermittlung an autorisierte Benutzer des Verantwortlichen.
Zweck der Verarbeitung
Bereitstellung der KS Agents-Plattform für den Wissensaustausch, das Leistungsmanagement und die organisatorische Intelligenz, wie in den Nutzungsbedingungen beschrieben.
Dauer der Verarbeitung
Für die Dauer der Nutzungsbedingungen zuzüglich 30 Tagen nach Beendigung zur Löschung/Rückgabe. Längere Aufbewahrung nur, wenn gesetzlich vorgeschrieben.
Kategorien betroffener Personen
- Mitarbeiter und Auftragnehmer des Verantwortlichen
- Teilnehmer an Umfragen und 360°-Bewertungen
- Teilnehmer an KI-Interviews
- CRM-Kontakte und Leads
- Empfänger von E-Mail-Kampagnen
- Benutzer der Konten der KS Agents-Plattform
Kategorien personenbezogener Daten
- Identität: Name, E-Mail, Berufsbezeichnung, Abteilung
- Leistung: Antworten, 360°-Scores, Kommentare und Pläne
- Verhalten: Aktivitätsprotokolle und Chatverläufe
- Beruflich: Fähigkeitsbewertungen und Struktur
- Kontakt: Telefon, LinkedIn-Profil
- Sprache / Audio: Echtzeit-Spracheingabe aus Live-KI-Gesprächen und KI-Interviews. Für Tenants in der EU-Zone exklusiv in europe-west4 (Niederlande) über Google Cloud Vertex AI verarbeitet; Caching auf Projektebene deaktiviert; kein Modelltraining mit Inhalten der Tenants.
- Sensible Daten (Art. 9): NICHT ohne schriftliche Vereinbarung hochladen.
Anhang B — Genehmigte Unterauftragsverarbeiter
Die Liste der Unterauftragsverarbeiter wird unter ks-agents.com/legal/subprocessors/ gepflegt. Sie wird bei Hinzufügungen oder Entfernungen aktualisiert, mit 30 Tagen Vorlauf.
Mit der Annahme des DPA genehmigt der Verantwortliche alle unter dieser URL aufgeführten Unterauftragsverarbeiter.
Anhang C — Sicherheitsmaßnahmen (TOMs)
1. Zugangskontrolle
- Multi-Faktor-Authentifizierung für das gesamte Personal
- Rollenbasierte Zugriffskontrolle (RBAC) pro Mandant
- Prinzip der geringsten Rechte; regelmäßige Überprüfungen
- Eindeutige individuelle Anmeldeinformationen; keine freigegebenen Passwörter
2. Verschlüsselung
- Daten bei der Übertragung: TLS 1.2+ für alle Verbindungen
- Ruhende Daten: Serverseitige AES-256-Verschlüsselung (Cloudflare R2)
- Audit-Modul: Verschlüsselung auf Feldebene mit rotierender Key-Encryption-Key-Hierarchie (KEK) — Tenant-spezifische Schlüssel via HKDF-SHA256
- LLM-API-Aufrufe: Zero Data Retention (ZDR)
3. Logische Mandantenisolation
- Strikte Trennung für jeden Mandanten.
- Ein mandantenübergreifender Zugriff ist nicht möglich.
4. Verfügbarkeit und Ausfallsicherheit
- Primäres Hosting: Hetzner Online GmbH, Helsinki, Finnland (EU), ISO 27001-zertifiziertes Rechenzentrum
- Automatisierte Datenbanksicherungen (täglich, die letzten 7 werden aufbewahrt)
- Gesundheitsüberwachung
- Dokumentierte Verfahren
5. Verwaltung der Unterauftragsverarbeiter
- Schriftliche Vereinbarungen
- ZDR aktiviert für LLM
- Regelmäßige Überprüfung
6. Personalmaßnahmen
- Vertraulichkeitsvereinbarungen für alle Mitarbeiter
- Datenschutzschulung
- Dokumentiertes Runbook
Anhang D — Standardvertragsklauseln (SCCs)
Wenn personenbezogene Daten mit Ursprung im EWR an einen Unterauftragsverarbeiter mit Sitz außerhalb des EWR übermittelt werden, werden die durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021, Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) angenommenen Standardvertragsklauseln hiermit durch Verweis einbezogen und bilden einen integralen Bestandteil dieser DPA.
Für die Zwecke von Modul 3: (a) KS Agents fungiert als Datenexporteur (Auftragsverarbeiter) im Namen des Verantwortlichen; (b) jeder relevante Nicht-EWR-Unterauftragsverarbeiter fungiert als Datenimporteur (Unterauftragsverarbeiter); (c) Anhang I der Standardvertragsklauseln wird durch Anhang A dieses DPA erfüllt; (d) Anhang II der Standardvertragsklauseln wird durch Anhang C dieses DPA erfüllt; (e) Anhang III der Standardvertragsklauseln wird durch Anhang B (Unterauftragsverarbeiterregister)dieses DPA erfüllt. Die SCCs sind vollständig verfügbar unter: EUR-Lex 2021/914/EU.
Wenn der Verantwortliche seinen Sitz außerhalb des EWR hat, gilt Modul 2 (Verantwortlicher-zu-Verarbeiter) derselben Standardvertragsklauseln zwischen dem Verantwortlichen (Datenexporteur) und den KS-Agents (Datenimporteur/-verarbeiter), soweit dies nach geltendem Recht erforderlich ist.
Fragen zu diesem DPA?
Für DPA-Verhandlungen (Enterprise), Compliance-Anfragen, Breach-Benachrichtigungen oder Einwände gegen Sub-Processors, kontaktieren Sie uns unter [email protected]. Enterprise-Kunden mit Jahresverträgen können eine unterzeichnete PDF-Version anfordern oder individuelle Klauseln verhandeln.
