Vertrag zur Auftragsverarbeitung (AVV) — Anlage 3 der AGB immobrayn

Parteien

• Kunde (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO): das Unternehmen, das immobrayn nach den AGB immobrayn bestellt hat, mit den Angaben aus seiner Bestellung.
• HyBrayn (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO): „ХАЙБРЕЙН“ ООД (HyBrayn ООД), eingetragen im bulgarischen Handelsregister unter EIK 208576740, Sitz: бул. „Владислав Варненчик“ 112, ет. 5, 9000 Varna, Bulgarien, vertreten durch die Geschäftsführer Jonas Moritz Lachowitzer und Alexander Peter Vallon, jeder einzeln vertretungsberechtigt.

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679. „Textform“ bedeutet eine lesbare Erklärung auf einem dauerhaften Datenträger, insbesondere E-Mail. „Werktage“ sind Montag bis Freitag mit Ausnahme der Feiertage nach Ziffer 16 der AGB (bundeseinheitliche deutsche und gesetzliche bulgarische Feiertage). Kontaktadresse von HyBrayn für alle Mitteilungen nach diesem AVV ist support@immobrayn.de. Kontaktadresse des Kunden ist die E-Mail-Adresse aus der Bestellung, bis der Kunde in Textform eine andere nennt.

Dieser AVV regelt, wie HyBrayn personenbezogene Daten verarbeitet, die HyBrayn für den Kunden bei der Einrichtung und beim Betrieb von immobrayn verarbeitet. Er wird zusammen mit dem Vertrag über immobrayn geschlossen und ist dessen Anlage 3.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand. HyBrayn stellt dem Kunden immobrayn bereit. immobrayn liest Belege, die im Google Workspace des Kunden eingehen oder hochgeladen werden, ordnet sie Firmen, Objekten und Belegarten zu, legt sie im Google Drive des Kunden ab, macht sie durchsuchbar und benachrichtigt die Nutzer des Kunden. Zum Gegenstand gehören außerdem die Einrichtung (Ziffer 6 Abs. 3), der Support und der technische Betrieb einschließlich Sicherungen. Die Einzelheiten der Leistung ergeben sich aus Anlage 1 der AGB (Leistungsbeschreibung).

(2) Art der Verarbeitung. Erheben (Abruf aus dem Postfach, Upload, Massenimport), Speichern, Auslesen, Ordnen, Abgleichen, Ablegen, Durchsuchen, Übermitteln an die in Anlage „Unterauftragsverarbeiter“ genannten Stellen, Bereitstellen, Protokollieren, Sichern, Einschränken und Löschen.

(3) Zweck. Die Verarbeitung dient ausschließlich folgenden Zwecken:

1. Lesen: Inhalte und Kernfelder der Belege erfassen (zum Beispiel Betrag, Datum, Fälligkeit, Absender).
2. Zuordnen: Belege der richtigen Firma, dem richtigen Objekt und der richtigen Belegart zuordnen und unklare Fälle zur Prüfliste des Kunden geben.
3. Ablegen: Belege in der Ordnerstruktur im Google Drive des Kunden ablegen, steuerrelevante Belege zusätzlich im Ordner für den Steuerberater.
4. Suchen: Belege über Filter, Volltextsuche und den Assistenten auffindbar machen.
5. Benachrichtigen: Nutzer des Kunden über Google Chat informieren und Antwort-Mails als Entwurf vorbereiten.
6. Einrichten, Betreiben, Unterstützen: Einrichtung, Support, Fehlerbehebung, Sicherung und Wiederherstellung.

(4) Dauer. Dieser AVV gilt ab dem ersten Zugriff von HyBrayn auf personenbezogene Daten des Kunden. Das ist insbesondere der Abruf der ausgefüllten Stammdaten-Vorlage oder die erste Anmeldung mit dem befristeten Einrichtungskonto nach Ziffer 6 Abs. 3, je nachdem, was früher liegt. Er gilt damit schon vor dem Beginn der Leistung nach Ziffer 4 der AGB. Er endet, wenn HyBrayn alle Daten nach Ziffer 11 gelöscht hat, also spätestens 90 Tage nach Vertragsende, vorbehaltlich Ziffer 11 Abs. 5 und Abs. 7. Endet der Vertrag vor dem Abschluss der Einrichtung, gilt Ziffer 11 entsprechend ab diesem Zeitpunkt.

2. Art der Daten und Kreis der Betroffenen

(1) Arten personenbezogener Daten:

1. Inhalte von Belegen: Namen, Anschriften, Bankverbindungen (IBAN, Bank), Beträge, Vertrags- und Mietdaten, Kontaktdaten und alle weiteren Angaben, die in den Belegen stehen.
2. E-Mail-Metadaten der Nachrichten, die Belege enthalten: Absender, Empfänger, Betreff, Datum.
3. Stammdaten, die der Kunde für die Zuordnung bereitstellt: Firmen, Namensvarianten, Anschriften, Bankverbindungen, Absender, Objekte.
4. Nutzerkonten: Name, E-Mail-Adresse, Rollen und Rechte der Nutzer des Kunden.
5. Protokolle: wer wann welche Aktion in immobrayn ausgeführt hat, Zeitpunkt der Ablage im Ordner für den Steuerberater, Tätigkeitsprotokoll der Einrichtung.
6. Suchanfragen und Nachrichten der Nutzer an den Assistenten.

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses AVV. Enthält ein Beleg solche Daten, weil der Kunde ihn einreicht, verarbeitet HyBrayn ihn wie jeden anderen Beleg und mit denselben Maßnahmen.

(3) Kreis der Betroffenen: Mieter und Mietinteressenten, Vertragspartner (zum Beispiel Verkäufer, Käufer, Darlehensgeber, Versicherer, Hausverwaltungen), Handwerker, Dienstleister, Mitarbeiter und Nutzer des Kunden sowie weitere Personen, die in Belegen genannt sind.

3. Rechte und Pflichten des Kunden

(1) Der Kunde ist Verantwortlicher. Er ist für die Rechtmäßigkeit der Verarbeitung und für die Information der Betroffenen verantwortlich.

(2) Der Kunde entscheidet, welche Postfächer, Adressen und Ordner er für immobrayn freigibt. Er stellt sicher, dass er zu dieser Freigabe berechtigt ist, auch für verbundene Firmen, deren Belege immobrayn verarbeitet.

(3) Der Kunde ist berechtigt, Weisungen nach Ziffer 4 zu erteilen, Nachweise nach Ziffer 12 zu verlangen und Kontrollen nach Ziffer 12 durchzuführen.

(4) Der Kunde teilt HyBrayn unverzüglich in Textform mit, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(5) Der Kunde legt das befristete Einrichtungskonto nach Ziffer 6 Abs. 3 an und sperrt oder löscht es nach Abschluss der Einrichtung.

(6) Der Kunde nutzt immobrayn nicht für die Zwecke, die Ziffer 18 der AGB ausschließt, insbesondere nicht zur Bewertung der Kreditwürdigkeit natürlicher Personen und nicht für automatisierte Entscheidungen mit Rechtswirkung gegenüber Personen.

4. Weisungen

(1) HyBrayn verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation. Dies gilt nicht, soweit HyBrayn durch das Recht der Union oder der Mitgliedstaaten, dem HyBrayn unterliegt, zu einer Verarbeitung verpflichtet ist.

(2) Dokumentierte Weisungen sind:

1. dieser AVV, die AGB und die Leistungsbeschreibung (Grundweisung);
2. die Einstellungen, die der Kunde oder seine berechtigten Nutzer in immobrayn vornehmen;
3. Einzelweisungen des Kunden in Textform an support@immobrayn.de.

Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform; HyBrayn bestätigt ihren Erhalt und Inhalt ebenfalls in Textform. Weisungsberechtigt sind der Besteller und die Personen, die der Kunde in Textform benennt.

(3) Mit Abschluss dieses AVV weist der Kunde HyBrayn an, Belege und Anfragen an den Assistenten zum Lesen und Einordnen an Anthropic zu übermitteln (Ziffer 8). Andere Übermittlungen in Drittländer erfolgen nur nach Ziffer 7 und Ziffer 8.

(4) Ist HyBrayn nach Absatz 1 Satz 2 zu einer Verarbeitung verpflichtet, teilt HyBrayn dem Kunden diese rechtliche Anforderung vor der Verarbeitung in Textform mit. Das gilt nicht, wenn das betreffende Recht eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses verbietet.

(5) Anordnungen, Ersuchen oder Herausgabeverlangen von Behörden oder Gerichten gelten nicht als Weisung des Kunden. Erhält HyBrayn ein solches Verlangen, informiert HyBrayn den Kunden unverzüglich, soweit das rechtlich zulässig ist, und gibt Daten nur heraus, soweit HyBrayn nach Absatz 1 Satz 2 dazu verpflichtet ist.

(6) Hält HyBrayn eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten, informiert HyBrayn den Kunden unverzüglich in Textform. HyBrayn darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(7) Eine Weisung, die über die vereinbarte Leistung hinausgeht, führt HyBrayn nach Ziffer 9 der AGB gegen Vergütung aus, nachdem der Kunde den Aufwand freigegeben hat. Weisungen, die zur Einhaltung dieses AVV nötig sind, führt HyBrayn ohne zusätzliche Vergütung aus.

5. Vertraulichkeit und Schulung

(1) HyBrayn setzt für die Verarbeitung nur Personen ein, die sich schriftlich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit für HyBrayn und nach dem Ende dieses AVV fort.

(2) Zugriff auf personenbezogene Daten des Kunden erhalten nur Personen, die ihn für Einrichtung, Betrieb oder Support brauchen, und nur in diesem Umfang.

(3) HyBrayn schult diese Personen vor Aufnahme der Tätigkeit und danach mindestens einmal jährlich im Datenschutz und in der KI-Kompetenz nach Art. 4 der Verordnung (EU) 2024/1689 (KI-Verordnung). Die Schulungen sind im internen KI-Kompetenz-Register von HyBrayn dokumentiert.

6. Technische und organisatorische Maßnahmen; Zugang zur Einrichtung

(1) HyBrayn trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in der Anlage „Technische und organisatorische Maßnahmen“ (Anlage TOM) beschrieben, die Bestandteil dieses AVV ist.

(2) HyBrayn darf die Maßnahmen weiterentwickeln, wenn das Schutzniveau der Anlage TOM nicht unterschritten wird. Wesentliche Änderungen teilt HyBrayn dem Kunden in Textform mit und passt die Anlage TOM an.

(3) Zugang zur Einrichtung. HyBrayn richtet immobrayn ausschließlich über ein Konto ein, das der Kunde in seinem Google Workspace anlegt (befristetes Einrichtungskonto). Dafür gilt:

1. Das Konto ist namentlich gekennzeichnet (Vorname „immobrayn“, Nachname „Einrichtung“) und trägt die Adresse immobrayn-einrichtung@ mit der Domain des Kunden. Der Kunde weist ihm die Rolle Super-Administrator zu. Es ist nur für die Dauer der Einrichtung bestimmt.
2. HyBrayn nutzt das Konto ausschließlich für diese Einrichtungsschritte: Google-Cloud-Projekt im Google Workspace des Kunden anlegen, Schnittstellen freischalten, Dienstkonten und deren Delegation einrichten, die Chat-App einrichten, die Ordner anlegen, die Installation anbinden und die Stammdaten importieren. HyBrayn liest über das Konto keine Postfächer und keine Dateien der Nutzer des Kunden, ausgenommen die vom Kunden ausgefüllte Stammdaten-Vorlage (Anlage TOM Nr. 2.9).
3. Das Erstpasswort teilt der Kunde HyBrayn nur über einen Einmal-Link mit, den der Kunde selbst erzeugt (zum Beispiel mit Bitwarden Send), oder telefonisch. Das Passwort selbst wird nie im Text einer E-Mail übermittelt.
4. Der Kunde stellt ein, dass das Passwort bei der ersten Anmeldung geändert werden muss. HyBrayn ändert es bei der ersten Anmeldung und aktiviert sofort die Zwei-Faktor-Anmeldung.
5. HyBrayn nimmt niemals Zugangsdaten von Konten des Kunden oder seiner Nutzer an und nutzt keine solchen Konten.
6. Jede Aktion über das befristete Einrichtungskonto ist im Admin-Protokoll des Google Workspace des Kunden unter diesem Konto sichtbar.
7. HyBrayn führt für jede Einrichtung ein Tätigkeitsprotokoll (Datum, ausgeführte Schritte) und stellt es dem Kunden auf Anfrage bereit.
8. Nach Abschluss der Einrichtung sperrt oder löscht der Kunde das Konto. HyBrayn erinnert den Kunden daran nach 3 und nach 7 Tagen, solange das Konto aktiv ist.
9. Das Vorgespräch findet vor der Einrichtung über die Terminbuchung und Google Meet von HyBrayn statt; darin werden nur Kontakt- und Eignungsfragen besprochen, keine Belege gezeigt und keine Daten nach diesem AVV verarbeitet. Der Abschlussanruf und jede Bildschirmfreigabe, bei der Daten des Kunden sichtbar sind, finden in Google Meet im Google Workspace des Kunden statt. Eine Bildschirmfreigabe erfolgt nur ausnahmsweise; der Kunde teilt dabei seinen Bildschirm und behält die Steuerung.
10. Ein Fernwartungswerkzeug eines Drittanbieters setzt HyBrayn nur ein, wenn der Kunde das befristete Einrichtungskonto nicht anlegen kann, und erst nachdem der Anbieter nach Ziffer 7 als Unterauftragsverarbeiter mitgeteilt wurde und die Widerspruchsfrist verstrichen ist oder der Kunde dem Einsatz vorher in Textform zugestimmt hat.

7. Unterauftragsverarbeiter

(1) Allgemeine Genehmigung. Der Kunde genehmigt den Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) allgemein. Bei Abschluss dieses AVV setzt HyBrayn die Unterauftragsverarbeiter ein, die in der Anlage „Unterauftragsverarbeiter“ genannt sind. Diese gelten als genehmigt.

(2) Liste und Pflege. HyBrayn führt die Liste mit Firma, Anschrift, Kontakt für Datenschutz, Leistung, Verarbeitungsort und Grundlage einer Drittlandübermittlung. HyBrayn hält sie ohne Aufforderung aktuell und veröffentlicht die jeweils geltende Fassung unter immobrayn.de/avv.

(3) Änderungen. HyBrayn teilt dem Kunden jeden beabsichtigten neuen Unterauftragsverarbeiter und jeden Austausch in Textform mit, mindestens 10 Tage vor dem Einsatz. Die Mitteilung nennt die Angaben nach Absatz 2 und die Daten, die der neue Unterauftragsverarbeiter erhält. Den Einsatz beginnt HyBrayn frühestens nach Ablauf der Widerspruchsfrist nach Absatz 4. Früher nur, wenn der Kunde dem Einsatz vorher in Textform zugestimmt hat oder im Eilfall nach Absatz 5. Für Unterauftragsverarbeiter von Anthropic gilt Satz 3 nicht; HyBrayn leitet deren Mitteilung unverzüglich weiter, und der Kunde hat das Sonderkündigungsrecht nach Absatz 4 Nr. 2.

(4) Widerspruch. Der Kunde kann der Änderung binnen 10 Tagen nach Zugang der Mitteilung in Textform widersprechen. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt. Widerspricht er fristgerecht, gilt eine der beiden folgenden Folgen:

1. HyBrayn setzt den neuen Unterauftragsverarbeiter für die Daten des Kunden nicht ein und erbringt die Leistung unverändert weiter; oder
2. kann HyBrayn die Leistung ohne den neuen Unterauftragsverarbeiter nicht unverändert erbringen, teilt HyBrayn dies dem Kunden binnen 5 Werktagen nach Zugang des Widerspruchs in Textform mit und nennt den Tag des Einsatzes, frühestens 30 Tage nach dieser Mitteilung. Der Kunde kann den Vertrag bis zu diesem Tag in Textform mit Wirkung zu diesem Tag kündigen (Sonderkündigungsrecht). Bis dahin verarbeitet HyBrayn die Daten des Kunden nur mit den bisherigen Unterauftragsverarbeitern. Kündigt der Kunde nicht, darf HyBrayn den neuen Unterauftragsverarbeiter ab diesem Tag einsetzen.

Bei einer Kündigung nach Nr. 2 erstattet HyBrayn im Voraus gezahlte Entgelte für die Zeit nach dem Wirksamwerden der Kündigung anteilig; eine Pauschale nach Ziffer 13 der AGB fällt nicht an.

(5) Eilfall. Nur wenn ein bisheriger Unterauftragsverarbeiter seine Leistung unvorhersehbar einstellt oder eine Datenschutzverletzung bei ihm eine unmittelbare Gefahr für die Daten des Kunden begründet, darf HyBrayn ihn vor Ablauf der Frist nach Absatz 4 durch einen anderen Anbieter ersetzen, und zwar nur durch einen Anbieter mit Verarbeitungsort in der Europäischen Union oder im Europäischen Wirtschaftsraum. HyBrayn teilt den Ersatz unverzüglich, spätestens binnen 48 Stunden, in Textform mit. Der Kunde kann dem Ersatz binnen 10 Tagen nach Zugang dieser Mitteilung in Textform widersprechen. Folge eines solchen Widerspruchs ist allein das Sonderkündigungsrecht: Der Kunde kann den Vertrag binnen 10 Tagen nach seinem Widerspruch in Textform mit sofortiger Wirkung kündigen; Absatz 4 Nr. 1 und Nr. 2 gelten im Eilfall nicht. Der Satz im Anschluss an Absatz 4 Nr. 2 (Erstattung im Voraus gezahlter Entgelte, keine Pauschale) gilt entsprechend.

(6) Gleiche Pflichten. HyBrayn schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV und die Pflichten nach Art. 28 Abs. 4 DSGVO erfüllt, insbesondere die Pflicht, geeignete technische und organisatorische Maßnahmen zu treffen. Auf Verlangen des Kunden legt HyBrayn die Datenschutzbestimmungen dieser Verträge vor; Geschäftsgeheimnisse darf HyBrayn dabei schwärzen.

(7) Haftung für Unterauftragsverarbeiter. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet HyBrayn dem Kunden für die Einhaltung dieser Pflichten wie für eigenes Handeln.

(8) Keine Unterauftragsverarbeiter von HyBrayn sind Anbieter, mit denen der Kunde selbst einen Vertrag hat, insbesondere Google für das Google Workspace des Kunden (Postfach, Drive, Chat, Anmeldung). Die Ablage im Google Drive des Kunden unterliegt dem Vertrag des Kunden mit Google. Das Google-Cloud-Projekt für die Anbindung von immobrayn liegt im Google Workspace des Kunden und unterliegt ebenfalls seinem Vertrag mit Google. Der Abschlussanruf und jede Bildschirmfreigabe, bei der Daten des Kunden sichtbar sind, finden in Google Meet im Google Workspace des Kunden statt (Ziffer 6 Abs. 3 Nr. 9).

(9) Keine Belege per E-Mail an HyBrayn. Der Kunde schickt HyBrayn keine Belege und keine anderen personenbezogenen Daten aus seinen Belegen per E-Mail, auch nicht an support@immobrayn.de; Belege gelangen nur über immobrayn zu HyBrayn. Gehen sie dennoch ein, löscht HyBrayn sie unverzüglich und informiert den Kunden in Textform.

8. Übermittlung in Drittländer

(1) HyBrayn übermittelt personenbezogene Daten nur dann in ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums, wenn dies in der Anlage „Unterauftragsverarbeiter“ genannt ist und die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(2) Bei Abschluss dieses AVV betrifft das nur das Lesen und Einordnen der Belege durch Anthropic: Vertragspartner von HyBrayn ist Anthropic Ireland, Limited; die Verarbeitung erfolgt durch Anthropic, PBC in den USA. Grundlage sind die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), die über den Datenverarbeitungsvertrag von Anthropic einbezogen sind. HyBrayn hat für diese Übermittlung eine Transfer-Folgenabschätzung erstellt und aktualisiert sie mindestens einmal jährlich sowie bei jeder wesentlichen Änderung der Rechtslage oder der Verarbeitung.

(3) Anthropic ist vertraglich untersagt, Inhalte des Kunden zum Training von KI-Modellen zu verwenden. HyBrayn nutzt die Daten des Kunden selbst weder zum Training noch zur Produktverbesserung.

(4) HyBrayn stellt dem Kunden auf Anfrage die Übermittlungsdokumentation zur Verfügung: die einschlägigen Standardvertragsklauseln und eine Kurzfassung der Transfer-Folgenabschätzung. Ändert sich die Bewertung wesentlich, informiert HyBrayn den Kunden unverzüglich in Textform.

(5) Eine weitere Übermittlung in ein Drittland ist ein Wechsel nach Ziffer 7 Abs. 3 und bedarf der dort geregelten Mitteilung.

9. Unterstützung des Kunden

(1) Rechte der Betroffenen. HyBrayn unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge Betroffener nach Kapitel III DSGVO zu beantworten (zum Beispiel Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Suche, Filter und Export in immobrayn ermöglichen dem Kunden, Daten einer Person zu finden und herauszugeben. Auf Weisung löscht HyBrayn einzelne Belege einschließlich der zugehörigen Einträge im Suchverzeichnis.

(2) Wendet sich eine betroffene Person direkt an HyBrayn, leitet HyBrayn die Anfrage binnen 3 Werktagen an den Kunden weiter. HyBrayn antwortet der Person nicht selbst in der Sache, außer der Kunde weist dies an.

(3) Pflichten nach Art. 32 bis 36 DSGVO. HyBrayn unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde. Dazu stellt HyBrayn insbesondere eine Beschreibung der Verarbeitung, die Anlage TOM und die Kurzfassung der Transfer-Folgenabschätzung bereit.

(4) Die Unterstützung nach den Absätzen 1 bis 3 ist im Entgelt enthalten, soweit sie mit den Funktionen von immobrayn oder mit vorhandenen Unterlagen möglich ist. Darüber hinausgehenden Aufwand vergütet der Kunde nach Ziffer 9 der AGB nach vorheriger Freigabe. Beruht der Aufwand auf einem Verstoß von HyBrayn gegen diesen AVV, trägt HyBrayn ihn selbst.

10. Meldung von Datenschutzverletzungen

(1) HyBrayn meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, spätestens 48 Stunden nachdem HyBrayn davon Kenntnis erlangt hat. Das gilt auch für Verletzungen bei einem Unterauftragsverarbeiter ab Kenntnis von HyBrayn. Die Meldung erfolgt in Textform an die Kontaktadresse des Kunden; bei schwerwiegenden Verletzungen informiert HyBrayn den Kunden zusätzlich telefonisch, soweit eine Telefonnummer vorliegt.

(2) Die Meldung enthält, soweit bekannt:

1. die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze;
2. die wahrscheinlichen Folgen;
3. die ergriffenen oder vorgeschlagenen Maßnahmen, auch zur Abmilderung nachteiliger Folgen;
4. einen Ansprechpartner bei HyBrayn.

Was bei der ersten Meldung noch nicht bekannt ist, reicht HyBrayn schrittweise und ohne unangemessene weitere Verzögerung nach.

(3) HyBrayn ergreift unverzüglich die nötigen Maßnahmen, um die Daten zu sichern und nachteilige Folgen zu mindern, und dokumentiert die Verletzung.

(4) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen (Art. 33, 34 DSGVO) nimmt der Kunde vor. HyBrayn unterstützt ihn dabei nach Ziffer 9 Abs. 3 und benachrichtigt Dritte nur auf Weisung des Kunden, außer HyBrayn ist nach Ziffer 4 Abs. 1 Satz 2 dazu verpflichtet.

11. Rückgabe und Löschung nach Vertragsende

(1) Exportfrist. Nach Vertragsende kann der Kunde 30 Tage lang seine Daten nach der Liste exportierbarer Daten in Anlage 2 der AGB abrufen (Rückgabe). HyBrayn hält den Export in dieser Zeit bereit.

(2) Wahlrecht. Der Kunde wählt bis zum Ende der Exportfrist in Textform zwischen Rückgabe und Löschung. Wählt er die Löschung ohne Rückgabe, beginnt die Frist nach Absatz 3 mit Zugang seiner Wahl. Trifft er keine Wahl, stellt HyBrayn den Export bereit und löscht danach.

(3) Löschung. Nach Ablauf der Exportfrist löscht HyBrayn binnen 30 Tagen alle personenbezogenen Daten des Kunden und alle vorhandenen Kopien: Datenbank, Belegkopien, Suchverzeichnis, Protokolle, die Stammdaten und das Tätigkeitsprotokoll der Einrichtung. Aus Sicherungen werden die Daten spätestens 90 Tage nach Vertragsende gelöscht; bis dahin sind sie dort vor jeder Nutzung geschützt.

(4) Belege und Ordner im Google Drive und im Postfach des Kunden bleiben beim Kunden. HyBrayn löscht dort nichts.

(5) Aufbewahrungspflicht. Soweit HyBrayn nach dem Recht der Union oder der Mitgliedstaaten zur Speicherung verpflichtet ist, schränkt HyBrayn die Verarbeitung dieser Daten ein und verarbeitet sie nur für diesen Zweck. Nach Ablauf der Pflicht löscht HyBrayn sie.

(6) Bestätigung. Auf Anfrage bestätigt HyBrayn dem Kunden die Löschung in Textform.

(7) Der Anthropic-Arbeitsbereich des Kunden (Anlage TOM Nr. 5.4) wird mit der Löschung nach Absatz 3 geschlossen. Für die bei Anthropic verarbeiteten Inhalte gelten die Löschfristen, die in der Anlage „Unterauftragsverarbeiter“ genannt sind.

12. Nachweise und Kontrollen

(1) HyBrayn stellt dem Kunden auf Anfrage binnen 10 Werktagen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem AVV erforderlich sind. Das sind insbesondere die aktuelle Anlage TOM, das Tätigkeitsprotokoll der Einrichtung, Auszüge aus den Protokollen, Berichte über Sicherungen und Probe-Wiederherstellungen sowie die Nachweise der Unterauftragsverarbeiter.

(2) Genügen diese Nachweise nicht, ermöglicht HyBrayn Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei. Dafür gilt:

1. Der Kunde kündigt die Überprüfung mindestens 30 Tage vorher in Textform an, außer bei einem konkreten Anlass wie einer Datenschutzverletzung oder einer Anfrage der Aufsichtsbehörde.
2. Überprüfungen finden während der üblichen Geschäftszeiten am Sitz von HyBrayn oder, wenn möglich, per Videokonferenz statt, in der Regel höchstens einmal jährlich.
3. Der Prüfer ist zur Vertraulichkeit verpflichtet und steht nicht im Wettbewerb mit HyBrayn.
4. Rechenzentren der Unterauftragsverarbeiter sind nicht zugänglich; an ihre Stelle treten deren Prüfberichte und Nachweise.
5. Die Kosten der Überprüfung trägt der Kunde. Ergibt die Überprüfung einen wesentlichen Verstoß von HyBrayn gegen diesen AVV, trägt HyBrayn seine eigenen Kosten und die angemessenen Kosten des Kunden.

(3) Befugnisse der Aufsichtsbehörden bleiben unberührt.

13. Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis zwischen Kunde und HyBrayn gilt Ziffer 22 der AGB. Art. 82 Abs. 4 und 5 DSGVO, insbesondere der Ausgleich unter den Beteiligten nach ihrem Anteil an der Verantwortung, bleiben unberührt.

14. Rangfolge und Schlussbestimmungen

(1) Rangfolge. Bei Widersprüchen zwischen diesem AVV und den AGB oder anderen Vereinbarungen der Parteien geht dieser AVV in allen Fragen des Datenschutzes vor.

(2) Dieser AVV gilt, solange HyBrayn personenbezogene Daten des Kunden verarbeitet (Ziffer 1 Abs. 4). Pflichten, die ihrer Natur nach über das Vertragsende hinaus wirken, insbesondere Ziffer 5 Abs. 1 und Ziffer 11, gelten fort.

(3) Änderungen dieses AVV erfolgen nach Ziffer 6 bzw. Ziffer 25 der AGB. Änderungen der Anlage „Unterauftragsverarbeiter“ richten sich allein nach Ziffer 7.

(4) Dieser AVV wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Für Rechtswahl und Gerichtsstand gilt Ziffer 27 der AGB, soweit die DSGVO nichts anderes bestimmt.

(5) Ist eine Bestimmung dieses AVV unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht und dem Zweck der unwirksamen Bestimmung am nächsten kommt.

Anlagen

• Anlage „Technische und organisatorische Maßnahmen“ (AVV-v1-Anlage-TOM)
• Anlage „Unterauftragsverarbeiter“ (AVV-v1-Anlage-Unterauftragsverarbeiter)