VEREINBARUNG ZUR
AUFTRAGSVERARBEITUNG (AVV)

Diese Vereinbarung zur Auftragsverarbeitung (die „AVV“ ) ist Bestandteil des Hauptvertrags zwischen der Flip GmbH (der „Anbieter“ ) und dem im jeweiligen Bestellformular bezeichneten Kunden (der „Kunde“ ) und wird durch Verweis in diesen einbezogen. Sie gilt für jede Verarbeitung personenbezogener Daten, die der Anbieter im Auftrag des Kunden im Zusammenhang mit dem Softwaredienst durchführt, unabhängig vom Sitz des Kunden. Ein einheitliches Instrument gilt für alle Jurisdiktionen; jurisdiktionsspezifische Anforderungen greifen über die modularen Ziffern 10 bis 12 und die Anlagen und gelten nur insoweit, als das jeweilige Recht eine Verarbeitung oder Übermittlung erfasst.

1.  Gegenstand, Rollen der Parteien

1.1  Rollen. Hinsichtlich der vom Anbieter im Auftrag des Kunden verarbeiteten personenbezogenen Daten ist der Kunde Verantwortlicher (der „Verantwortliche“; unter US-Landesdatenschutzgesetzen „business“) und der Anbieter Auftragsverarbeiter (der „Auftragsverarbeiter“; unter US-Landesdatenschutzgesetzen „service provider“). Handelt der Kunde selbst als Auftragsverarbeiter für einen Dritten, handelt der Anbieter als Unterauftragsverarbeiter und diese AVV gilt entsprechend.

1.2  Vorrang. Diese AVV ergänzt den Hauptvertrag. Bei Widersprüchen zwischen dieser AVV und den übrigen Bestandteilen des Hauptvertrags in Datenschutzfragen geht diese AVV vor; die Standardvertragsklauseln, das UK-Addendum und die Schweizer Anpassungen (Ziff. 10) gehen dieser AVV hinsichtlich der von ihnen geregelten Übermittlungen vor. Im Übrigen gilt die Rangfolge nach Ziff. 18.1 der AGB. Die AVV kann nicht isoliert vom Hauptvertrag gekündigt werden.

1.3  Verbundene Unternehmen. Gestattet der Kunde verbundenen Unternehmen die Nutzung des Softwaredienstes nach dem Hauptvertrag, gilt diese AVV für jedes solche Unternehmen, das für seine eigenen personenbezogenen Daten Verantwortlicher ist; der Kunde stellt sicher, dass die erforderlichen datenschutzrechtlichen Vereinbarungen mit dem verbundenen Unternehmen vor Beginn der Verarbeitung bestehen.

2.  Anwendbares Datenschutzrecht

„Anwendbares Datenschutzrecht“ bezeichnet alle auf die Verarbeitung nach dieser AVV anwendbaren Datenschutz- und Privatsphärengesetze, insbesondere je nach Anwendbarkeit: (a) die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „ DSGVO “) und mitgliedstaatliche Ausführungsgesetze; (b) die UK-GDPR und den Data Protection Act 2018 („ UK-GDPR “); (c) das Schweizer Datenschutzgesetz („ DSG “); und (d) US-Landesdatenschutzgesetze, d. h. den California Consumer Privacy Act i. d. F. des CPRA („ CCPA/CPRA “), den Virginia VCDPA, den Colorado CPA, den Connecticut CTDPA, den Utah UCPA, den Texas TDPSA sowie jedes vergleichbare US-Landesgesetz; und (e) das EU-U.S. Data Privacy Framework, dessen UK-Extension und das Swiss-U.S. Data Privacy Framework (zusammen das „DPF“). Die materiellen Pflichten dieser AVV gelten unter jedem dieser Gesetze, soweit dieses die jeweilige Verarbeitung erfasst.

3.  Umfang der Verarbeitung; Weisungen

3.1  Dokumentierte Weisungen. Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unions-, mitgliedstaatlichem oder sonst anwendbarem Recht hierzu verpflichtet; in diesem Fall teilt der Anbieter dem Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht aus wichtigem öffentlichem Interesse verbietet. Der Hauptvertrag (einschließlich dieser AVV, der Servicebeschreibung und des Bestellformulars) bildet die vollständige Anfangsweisung des Verantwortlichen. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Einzelweisungen des Verantwortlichen, durch die der im Hauptvertrag vereinbarte Leistungsumfang geändert oder erweitert wird, bedürfen der vorherigen Zustimmung des Anbieters; unberührt bleiben Weisungen, zu deren Befolgung der Anbieter nach anwendbarem Datenschutzrecht verpflichtet ist.

3.2  Rechtswidrige Weisungen. Der Anbieter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstößt, und darf die Ausführung dieser Weisung bis zu deren Bestätigung durch den Verantwortlichen aussetzen, soweit gesetzlich erforderlich. Die Beurteilung der datenschutzrechtlichen Zulässigkeit der Verarbeitung obliegt dem Verantwortlichen und ist für den Anbieter bindend; die Prüfungs- und Hinweispflicht des Anbieters nach Satz 1 und seine Pflichten nach Art. 28 Abs. 3 UAbs. 2 DSGVO bleiben unberührt.

3.3  Ort der Verarbeitung. Der Anbieter verarbeitet personenbezogene Daten innerhalb der Europäischen Union / des EWR. Eine Verarbeitung außerhalb des EWR erfolgt nur nach Maßgabe von Ziff. 10. Der Anbieter hostet den Softwaredienst in einem Rechenzentrum in Europa. Abweichend von Satz 1 gilt für die optionale Web- und Bildsuche in Flip Fusion: Die aus den Eingaben abgeleiteten Suchbegriffe werden an externe Such- und Bilddienste übermittelt, die insoweit nicht als Unterauftragsverarbeiter des Anbieters, sondern als eigenständige Verantwortliche nach ihren eigenen Bedingungen handeln und die Suchbegriffe auch außerhalb der EU bzw. des EWR verarbeiten können; der Anbieter stellt für diese Übermittlung keine Transfergrundlage nach Ziff. 10 bereit. Diese Funktionen sind nicht für die Eingabe personenbezogener Daten bestimmt; der Verantwortliche stellt sicher, dass seine Nutzer hierbei keine personenbezogenen Daten eingeben, und kann die Funktionen auf Tenant-Ebene deaktivieren lassen.

3.4  Eigenverarbeitung des Anbieters. Nutzungs- und Kontodaten, die der Anbieter als eigenständig Verantwortlicher zum Betrieb, zur Sicherheit und zur Verbesserung der Dienste verarbeitet (wie in den AGB und der Datenschutzerklärung beschrieben), fallen nicht unter die Auftragsverarbeitung dieser AVV; der Anbieter nutzt personenbezogene Daten des Kunden nicht zum Training, Fine-Tuning oder zur Verbesserung von KI-Modellen, soweit nicht gesondert vereinbart. Eine Nutzung anonymisierter Daten richtet sich nach Ziff. 9.4 der AGB.

3.5  Kein KI/ML-Training mit Daten des Kunden. Der Anbieter nutzt personenbezogene Daten des Kunden — einschließlich Prompts, Eingaben und Ausgaben, die über die Module Flip Fusion oder gyde verarbeitet werden — nicht, um KI- oder Machine-Learning-Modelle zu trainieren, nachzutrainieren, zu fine-tunen oder anderweitig zu entwickeln, und verpflichtet seine LLM- und KI-Unterauftragsverarbeiter vertraglich, die Ein- und Ausgaben ebenfalls nicht zum Training ihrer Modelle zu nutzen. Der Anbieter darf anonymisierte oder aggregierte Daten, die keine betroffene Person identifizieren, für Statistik, Sicherheit, Betrieb, Fehleranalyse, Kapazitätsplanung sowie die Verbesserung und Weiterentwicklung der Dienste nach Maßgabe von Ziff. 9.4 der AGB verarbeiten; eine Nutzung solcher Daten zum Training von KI-Modellen setzt eine gesonderte Vereinbarung voraus.

3.6  Eingabebeschränkungen des Kunden. Der Verantwortliche ist für die personenbezogenen Daten verantwortlich, die er oder seine Autorisierten Nutzer in die Dienste eingeben, insbesondere über Freitext-Prompts in KI-gestützten Modulen. Der Verantwortliche übermittelt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), keine Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO), keine Zahlungskarten- oder Kontonummern, Behördenkennzeichen oder Gesundheitsdaten, es sei denn, dies ist ausdrücklich schriftlich vereinbart und angemessen abgesichert. Werden gleichwohl besondere Kategorien personenbezogener Daten oder Daten über Straftaten und den Verdacht von Straftaten (Art. 10 DSGVO) in Kundeninhalte, Freitexteingaben, Vorfall- und Meldungs-Flows (Flip Flows) oder in nach Anlage 1 hochgeladene Referenzbilder (Flip Fusion) eingestellt, verarbeitet der Anbieter diese ausschließlich auf dokumentierte Weisung des Verantwortlichen und mit angemessenen Schutzmaßnahmen; die Verantwortung für das Vorliegen einer Rechtsgrundlage und, soweit einschlägig, einer Ausnahme nach Art. 9 Abs. 2 DSGVO sowie für die Zulässigkeit nach Art. 10 DSGVO liegt beim Verantwortlichen. Diese Verantwortungsverteilung mindert nicht die Sicherheitspflichten des Anbieters nach Ziff. 4.

3.7  Fehleranalyse, Absicherung und Qualitätssicherung. Der Verantwortliche weist den Anbieter an, personenbezogene Daten in pseudonymisierter Form auch zur Fehleranalyse und -behebung, zur Absicherung gegen Missbrauch und Angriffe sowie zur Qualitätssicherung der dem Verantwortlichen erbrachten Dienste zu verarbeiten. Diese Verarbeitung erfolgt innerhalb der Auftragsverarbeitung nach dieser AVV und ist beschränkt auf (a) einen eng begrenzten, dokumentierten Kreis berechtigter Personen, (b) die getrennte und gesicherte Aufbewahrung der Zuordnungsdaten, (c) das Verbot der Re-Identifizierung, (d) den Ausschluss jeder Nutzung zum Training, Fine-Tuning oder zur Entwicklung von KI- oder Machine-Learning-Modellen (Ziff. 3.5) sowie (e) die Löschung oder Anonymisierung, sobald der Zweck erreicht ist, spätestens jedoch zwölf Monate nach Erhebung. Eine darüber hinausgehende Verarbeitung zur Entwicklung oder Verbesserung von Produkten des Anbieters für andere Kunden erfolgt ausschließlich auf Grundlage anonymisierter Daten nach Ziff. 3.4 dieser AVV i.V.m. Ziff. 9.4 der AGB.

4.  Vertraulichkeit und Sicherheit der Verarbeitung

4.1  Vertraulichkeit. Der Anbieter gewährt Zugang zu personenbezogenen Daten nur Personal und Unterauftragsverarbeitern, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur soweit für die Dienste erforderlich.

4.2  Technische und organisatorische Maßnahmen. Der Anbieter trifft und erhält die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (und den entsprechenden Standards der UK-GDPR, des DSG und der US-Landesdatenschutzgesetze). Der Anbieter darf diese Maßnahmen während der Laufzeit anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Weitere Informationen enthält das Trust Center des Anbieters unter https://trust.getflip.com/.

5.  Unterauftragsverarbeiter

5.1  Allgemeine Genehmigung. Der Verantwortliche erteilt dem Anbieter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt, die als lebende Liste im Trust Center geführt wird.

5.2  Weitergabe der Pflichten. Der Anbieter erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag im Wesentlichen dieselben Datenschutzpflichten wie in dieser AVV auf, insbesondere hinreichende Garantien geeigneter technischer und organisatorischer Maßnahmen. Der Anbieter bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters voll verantwortlich.

5.3  Änderungen und Widerspruch. Der Anbieter informiert den Verantwortlichen mindestens 30 Tage vorab in Textform an die vom Verantwortlichen hierfür benannte Kontaktadresse über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters und stellt zusätzlich einen Benachrichtigungsdienst im Trust Center bereit. Die Mitteilung benennt den Unterauftragsverarbeiter, den Verarbeitungszweck, den Verarbeitungsort und die betroffenen Datenkategorien und gibt dem Verantwortlichen Gelegenheit, aus berechtigten datenschutzbezogenen Gründen zu widersprechen. Widerspricht der Verantwortliche nicht innerhalb von 30 Tagen nach Zugang der Mitteilung, gilt die Änderung als genehmigt. Widerspricht der Verantwortliche aus berechtigtem Grund und lässt sich die Angelegenheit nicht ausräumen, kann jede Partei den betroffenen Teil der Dienste mit einer Frist von drei Monaten kündigen; der Anbieter erstattet in diesem Fall vorausgezahlte Vergütung zeitanteilig.

5.4  Umfang der Offenlegung; Nebenleistungen. Die Offenlegung nach Ziff. 5.1 und 5.3 erfolgt nach folgenden Stufen: (a) Unmittelbare Unterauftragsverarbeiter des Anbieters werden stets namentlich in Anlage 3 geführt. (b) Von einem Unterauftragsverarbeiter eingesetzte weitere Unterauftragsverarbeiter werden ebenfalls namentlich geführt, wenn sie personenbezogene Daten außerhalb der EU bzw. des EWR verarbeiten oder von dort auf sie zugreifen können, oder wenn sie eine eigenständige, für die Leistungserbringung wesentliche Verarbeitungsfunktion übernehmen, insbesondere als Anbieter von KI- oder Sprachmodellen oder von Kommunikationsdiensten. (c) Im Übrigen genügt der Verweis auf die vom jeweiligen Unterauftragsverarbeiter veröffentlichte Liste; der Anbieter stellt vertraglich sicher, dass ihm Änderungen mitgeteilt werden und er sie nach Ziff. 5.3 weitergeben kann. Reine Nebenleistungen ohne konkreten Bezug zur Leistungserbringung gelten nicht als Unterauftragsverarbeitung; dies gilt insbesondere für Telekommunikations-, Post-, Transport- und Wartungsleistungen sowie für sonstige Leistungen ohne Zugriff auf personenbezogene Daten. Unabhängig von den Stufen (a) bis (c) teilt der Anbieter dem Verantwortlichen auf Anfrage die vollständige Verarbeitungskette einschließlich Name, Anschrift und Ansprechpartner der beteiligten Unterauftragsverarbeiter sowie einer Beschreibung der jeweiligen Verarbeitung mit.

6.  Unterstützung bei Betroffenenrechten und Pflichten des Verantwortlichen

6.1  Betroffenenanfragen. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern nicht dazu berechtigt.

6.2  Unterstützung nach Art. 32–36. Der Anbieter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) sowie der entsprechenden Pflichten nach den übrigen anwendbaren Datenschutzgesetzen, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen. Die zur Erfüllung der gesetzlichen Pflichten des Verantwortlichen angemessen erforderliche Unterstützung ist eingeschlossen; Unterstützung, die die üblichen Prozesse des Anbieters wesentlich übersteigt (etwa maßgeschneiderte DSFA-Unterstützung oder eine ungewöhnliche Vielzahl von Einzelanfragen), kann gegen angemessenen, belegten Aufwand erbracht werden, soweit eine Vergütung nach anwendbarem Datenschutzrecht zulässig ist.

6.3  Behördliche Kontrollhandlungen. Soweit eine Partei gesetzlich verpflichtet ist, im Zusammenhang mit der Verarbeitung nach dieser AVV Auskünfte zu erteilen oder mit einer Aufsichtsbehörde oder sonstigen staatlichen Stelle zusammenzuarbeiten, werden die Parteien, soweit rechtlich zulässig, (a) einander unterstützen und (b) einander unverzüglich über Kontrollhandlungen der Aufsichtsbehörde oder sonstige staatliche Maßnahmen informieren, soweit sich diese auf die Verarbeitung nach dieser AVV beziehen. Ziff. 10.4 bleibt unberührt.

7.  Verletzung des Schutzes personenbezogener Daten

7.1  Meldung. Der Anbieter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes der personenbezogenen Daten des Verantwortlichen bekannt geworden ist, und stellt die ihm vernünftigerweise verfügbaren Informationen bereit, damit der Verantwortliche seine eigenen Meldepflichten erfüllen kann; er ergänzt diese Informationen, sobald sie verfügbar werden. Die Mitteilung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Anbieter unterstützt den Verantwortlichen bei der Eindämmung und Aufklärung des Vorfalls sowie bei der Kommunikation mit Aufsichtsbehörden und betroffenen Personen; Meldungen nach Art. 33 und Art. 34 DSGVO nimmt er nicht ohne Weisung des Verantwortlichen in dessen Namen vor. Eine Verletzung des Schutzes personenbezogener Daten umfasst keine erfolglosen Versuche oder Aktivitäten, die die Sicherheit personenbezogener Daten nicht beeinträchtigen (etwa fehlgeschlagene Anmeldungen, Pings, Portscans oder Denial-of-Service-Versuche).

8.  Rückgabe und Löschung

8.1  Löschung. Bei Beendigung oder Ablauf des Hauptvertrags löscht oder anonymisiert der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde kann seine Daten während der Laufzeit sowie innerhalb des Abrufzeitraums nach Ziff. 16.2 der AGB und der Wechselunterstützung exportieren und bis zum Ablauf dieses Zeitraums eine Kopie verlangen; die Löschung erfolgt nach Ablauf des Abrufzeitraums. Der Anbieter weist die Löschung auf Verlangen nach. In routinemäßigen Backups enthaltene Kopien werden im gewöhnlichen Backup-Zyklus gelöscht; Dokumentation zum Nachweis vertragsgemäßer Verarbeitung darf aufbewahrt werden.

9.  Prüfungen und Nachweise

9.1  Nachweise. Der Anbieter stellt dem Verantwortlichen die zum Nachweis der Einhaltung von Art. 28 DSGVO (und der entsprechenden Vorschriften der übrigen anwendbaren Datenschutzgesetze) erforderlichen Informationen bereit, einschließlich – soweit verfügbar – seiner ISO/IEC-27001-Zertifizierung und SOC-2-Berichte über das Trust Center.

9.2  Vor-Ort-Prüfungen. Der Verantwortliche darf einmal je Vertragsjahr sowie darüber hinaus anlassbezogen nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer zuständigen Aufsichtsbehörde eine Prüfung durchführen. Hierzu darf der Verantwortliche (oder ein von ihm beauftragter unabhängiger Prüfer, der kein Wettbewerber des Anbieters sein und zur Vertraulichkeit verpflichtet sein muss) während der üblichen Geschäftszeiten des Anbieters nach rechtzeitiger Vorankündigung (in der Regel mindestens zwei Wochen) eine Prüfung durchführen, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit der Daten des Anbieters und anderer Kunden. Der Anbieter muss keine Informationen zu anderen Kunden oder für die Prüfung nicht unmittelbar relevante Geschäftsgeheimnisse offenlegen. Der Anbieter kann die Prüfung ganz oder teilweise durch Vorlage aktueller Zertifizierungen und Prüfberichte nach Ziff. 9.1 ersetzen, soweit diese den Prüfungsgegenstand abdecken; hierüber entscheidet der Verantwortliche nach billigem Ermessen. Prüfungen, die über den vorstehenden Umfang hinausgehen, erfolgen gegen Erstattung des angemessenen, belegten Aufwands des Anbieters.

10.  Internationale Übermittlungen (modular)

Diese Ziffer gilt nur, soweit von der DSGVO, der UK-GDPR oder dem DSG geschützte personenbezogene Daten in ein Land ohne anerkannt angemessenes Schutzniveau übermittelt oder von dort abgerufen werden. Das jeweils einschlägige Modul gilt als vereinbart und einbezogen und wird durch Anlage 4 vervollständigt; können mehrere Mechanismen gelten, gilt für die jeweiligen Daten ein einziger in der Reihenfolge DPF (bei zertifiziertem Importeur) → EU-SCC → UK-Addendum → Schweizer Anpassungen.

10.0  Data Privacy Framework (vorrangig, soweit verfügbar)

Werden personenbezogene Daten an einen Unterauftragsverarbeiter in den USA übermittelt, der für die betreffende Datenkategorie unter dem DPF selbstzertifiziert ist, erfolgt die Übermittlung gestützt auf das DPF; die Mechanismen der Ziff. 10.1 bis 10.3 gelten hilfsweise, falls das DPF keine gültige Grundlage mehr bietet. Die wesentlichen aktuellen KI- und Hosting-Unterauftragsverarbeiter (Microsoft / Azure OpenAI; Google Cloud) verarbeiten innerhalb der EU und sind für einen etwaigen US-Zugriff DPF-zertifiziert.

10.1  EU/EWR — Standardvertragsklauseln

Für Übermittlungen von der DSGVO unterliegenden personenbezogenen Daten an den Anbieter aus einem Drittland sowie für Übermittlungen aus dem EWR an den Anbieter, soweit dieser ausnahmsweise außerhalb des EWR verarbeitet, werden die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, die „ EU-SCC “) einbezogen und gemäß Anlage 4 vervollständigt, wobei Modul 2 (Verantwortlicher an Auftragsverarbeiter) für die Auftragsverarbeitung gilt, Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde selbst Auftragsverarbeiter ist, und Modul 1 (Verantwortlicher an Verantwortlichen) für die eigenverantwortliche Verarbeitung nach Ziff. 3.4. Klausel 17: Die EU-SCC unterliegen dem Recht Deutschlands. Klausel 18(b): die Gerichte Deutschlands. Die Beitrittsklausel (Klausel 7) gilt. Für Übermittlungen des Anbieters an Unterauftragsverarbeiter in Drittländern schließt der Anbieter die EU-SCC (Modul 3) unmittelbar mit dem jeweiligen Unterauftragsverarbeiter ab; der Verantwortliche bevollmächtigt den Anbieter hierzu und weist ihn hierzu an. Anlage 4 gilt für diese Übermittlungen entsprechend.

10.2  Vereinigtes Königreich — UK-Addendum / IDTA

Für der UK-GDPR unterliegende personenbezogene Daten schließen die Parteien das vom UK Information Commissioner herausgegebene International Data Transfer Addendum zu den EU-SCC (Version B1.0, in Kraft seit 21. März 2022, das „ UK-Addendum “) ab, das gemäß Anlage 4 vervollständigt wird und den EU-SCC nach Ziff. 10.1 beitritt. Alternativ gilt, soweit in Anlage 4 vereinbart, die IDTA des Information Commissioner anstelle des UK-Addendums.

10.3  Schweiz — DSG-Anpassungen

Für dem DSG unterliegende personenbezogene Daten gelten die EU-SCC mit den in Anlage 4 genannten Anpassungen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zuständige Aufsichtsbehörde für Schweizer Übermittlungen; Verweise auf die DSGVO gelten als Verweise auf das DSG; die SCC schützen die Daten juristischer Personen und natürlicher Personen, bis das revidierte DSG vollständig in Kraft ist.

10.4  Behördlicher und strafverfolgungsbezogener Zugriff (ergänzende Maßnahmen)

Der Anbieter hat keinen Backdoor-Zugang oder ähnliche Zugriffsmöglichkeiten für Behörden geschaffen und ist hierzu auch nicht verpflichtet. Erhält der Anbieter oder ein Unterauftragsverarbeiter ein rechtlich bindendes Auskunftsersuchen einer Behörde (auch nach US-FISA § 702, Executive Order 12333 oder dem CLOUD Act) zu nach dieser AVV verarbeiteten personenbezogenen Daten, so wird der Anbieter, sofern rechtlich nicht untersagt: (a) den Verantwortlichen unverzüglich und möglichst vor der Offenlegung benachrichtigen; (b) die Behörde darauf hinweisen, dass er als Auftragsverarbeiter für den Verantwortlichen handelt, und das Ersuchen, soweit zulässig, an den Verantwortlichen verweisen; (c) die Rechtmäßigkeit des Ersuchens prüfen und es anfechten, wenn es rechtswidrig, zu weitgehend ist oder rechtsstaatliche Anforderungen missachtet, und verfügbare Rechtsmittel ausschöpfen; und (d) nur die rechtlich zwingend erforderlichen Mindestdaten offenlegen. Ist eine Benachrichtigung untersagt, unternimmt der Anbieter rechtlich zulässige Anstrengungen zur Erwirkung einer Freigabe und dokumentiert seine rechtliche Bewertung für den Verantwortlichen. Der Anbieter erfasst die erhaltenen bindenden Zugriffsersuchen, stellt auf Anfrage zusammenfassende Transparenzinformationen bereit und erlegt Unterauftragsverarbeitern, die außerhalb des EWR verarbeiten, im Wesentlichen gleichwertige Pflichten auf.

10.5  Transfer-Folgenabschätzung (TIA)

Der Anbieter unterstützt die Transfer-Folgenabschätzungen des Verantwortlichen entsprechend den EDSA-Empfehlungen 01/2020, indem er Informationen zu den Diensten, den Unterauftragsverarbeitern, dem Verarbeitungsort und den technischen, vertraglichen und organisatorischen ergänzenden Maßnahmen (einschließlich Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und den Maßnahmen in Anlage 2) sowie zur Erfahrung des Anbieters mit behördlichen Zugriffsersuchen bereitstellt. Da der Anbieter innerhalb der EU/des EWR verarbeitet, benötigen Verantwortliche aus der EU/dem EWR für die Verarbeitung des Anbieters keine Transfer-Folgenabschätzung; für Verantwortliche aus dem UK oder der Schweiz betrifft die Abschätzung die Ausfuhr aus dem UK bzw. der Schweiz zum Anbieter in der EU.

10.6  Fallback

Wird ein nach dieser Ziffer herangezogener Übermittlungsmechanismus für ungültig erklärt, ausgesetzt oder untersagt, arbeiten die Parteien nach Treu und Glauben unverzüglich an der Umsetzung eines alternativen zulässigen Mechanismus; bis dahin darf der Anbieter die betroffenen Übermittlungen und die damit verbundene Verarbeitung aussetzen, ohne dadurch gegen den Hauptvertrag zu verstoßen.

11.  US-Landesdatenschutzgesetze (Modul)

11.1  Rollen. Soweit ein US-Landesdatenschutzgesetz auf die Nutzung des Softwaredienstes durch den Kunden anwendbar ist, ist der Kunde „business“/„controller“ und der Anbieter „service provider“/„processor“ hinsichtlich der in Kundeninhalten enthaltenen personenbezogenen Informationen. Begriffe wie „business“, „service provider“, „sell“ und „share“ haben die Bedeutung nach dem CCPA/CPRA (Cal. Civ. Code § 1798.140) und die entsprechenden Bedeutungen der übrigen US-Landesdatenschutzgesetze.

11.2  Zweckbindung. Der Anbieter verarbeitet solche personenbezogenen Informationen ausschließlich zur Erbringung der Dienste nach dem Hauptvertrag und zu den dort genannten geschäftlichen Zwecken, auf dokumentierte Weisung des Kunden, und zu keinem anderen Zweck.

11.3  Kein Verkauf / keine Weitergabe. Der Anbieter verkauft und teilt Kundeninhalte oder darin enthaltene personenbezogene Informationen nicht i.S.d. US-Landesdatenschutzgesetze, bewahrt, nutzt oder offenbart sie nicht für kontextübergreifende oder zielgerichtete Werbung, für eigene, nicht mit den Diensten zusammenhängende Geschäftszwecke oder außerhalb der unmittelbaren Geschäftsbeziehung mit dem Kunden und kombiniert sie nicht mit Informationen aus anderen Quellen, jeweils außer soweit diese Gesetze es gestatten.

11.4  Unterstützung, Unterauftragsverarbeiter, Kontrolle. Der Anbieter teilt dem Kunden mit, wenn er diese Pflichten nicht mehr erfüllen kann, unterstützt den Kunden bei Verbraucherrechtsanfragen, erlegt seinen Unterauftragsverarbeitern im Wesentlichen gleichwertige Pflichten auf und räumt dem Kunden das Recht ein, angemessene Schritte zu unternehmen, um sicherzustellen, dass die Nutzung durch den Anbieter mit den Pflichten des Kunden im Einklang steht, und unbefugte Nutzung zu unterbinden und zu beheben. Gelten diese AVV und diese Ziffer nebeneinander, geht der Standard mit dem höheren Schutzniveau vor.

12.  Haftung, Rechtswahl und Schlussbestimmungen

12.1  Haftung. Die Haftung nach dieser AVV unterliegt den Beschränkungen und Ausschlüssen der Ziff. 15 der AGB (einschließlich der 200 %-Höchstbetragsbegrenzung für Verletzungen datenschutzrechtlicher Pflichten und des Vorbehalts, der gesetzliche Ansprüche betroffener Personen nach Art. 82 DSGVO unberührt lässt). Ansprüche gegen den Anbieter aus dieser AVV kann nur der als Vertragspartei des Hauptvertrags handelnde Kunde geltend machen; diese AVV beschränkt keine Rechte betroffener Personen oder Aufsichtsbehörden.

12.2  Rechtswahl. Diese AVV unterliegt dem Recht, das den jeweiligen Hauptvertrag regelt, an den sie angebunden ist — deutsches Recht, das Recht von England und Wales oder das Recht des Staates New York, je nach Anwendbarkeit — mit der Maßgabe, dass für die EU-SCC (Deutschland), das UK-Addendum (Recht von England und Wales) und die Schweizer Anpassungen deren zwingendes Recht sowie für Streitigkeiten über die von ihnen geregelten Übermittlungen gilt.

12.3  Einbeziehung. Diese AVV ist die in der Datenschutzziffer (Ziff. 11) der deutschen AGB des Anbieters in Bezug genommene Vereinbarung zur Auftragsverarbeitung und ist unter https://www.getflip.com/de/legal/avv/ veröffentlicht. Die inhaltsgleichen englischsprachigen Fassungen für Kunden im Vereinigten Königreich und in den USA sind unter https://www.getflip.com/legal/dpa-uk/ bzw. https://www.getflip.com/legal/dpa-us/ veröffentlicht. Enthält eine gesondert veröffentlichte Modul-AVV abweichende Regelungen, geht diese AVV vor, soweit die Modul-AVV kein höheres Schutzniveau vorsieht. Die Anlagen sind integraler Bestandteil dieser AVV.

12.4  Datenschutzbeauftragter. Der Datenschutzbeauftragte des Anbieters ist erreichbar unter: Datenschutzbeauftragter, Flip GmbH, Rotebühlstraße 50, 70178 Stuttgart, Deutschland, datenschutz@getflip.com.

12.5  Änderungen dieser AVV. Änderungen dieser AVV bedürfen der Vereinbarung der Parteien in Textform. Abweichend hiervon darf der Anbieter diese AVV einseitig anpassen, soweit dies zur Umsetzung zwingender rechtlicher Vorgaben, zur Befolgung einer Entscheidung einer Aufsichtsbehörde oder eines Gerichts oder zur Ersetzung eines für ungültig erklärten Übermittlungsmechanismus erforderlich ist und das vereinbarte Schutzniveau nicht unterschritten wird; er informiert den Verantwortlichen hierüber unverzüglich in Textform. Im Übrigen gilt Ziff. 17 der AGB entsprechend.

Anlage 1 — Einzelheiten der Verarbeitung

Gegenstand und Dauer

Gegenstand und Dauer der Verarbeitung bestimmen sich nach dem Hauptvertrag. Für die Bereitstellung des Flip-Softwaredienstes als Software-as-a-Service erhält der Anbieter im erforderlichen begrenzten Umfang Zugriff auf personenbezogene Daten des Verantwortlichen, insbesondere: Empfang und Verarbeitung der Stammdaten der Nutzer (Titel, Vorname, Nachname, geschäftliche E-Mail-Adresse); Erstellung und Pflege der Nutzerliste, Einrichtung von Nutzern, Rollen und Berechtigungen sowie Erstellung von Zugangsinformationen; Betrieb der Kommunikations- und Kollaborationsfunktionen der Plattform einschließlich Newsfeed, Chats, Aufgaben und Formularen sowie Verarbeitung der hierbei von Nutzern erzeugten Inhalte; Betrieb der gebuchten Module (Flip Flows, Frontline Identity, Flip Fusion, gyde/Flip Learning) nach Maßgabe der nachstehenden Tabelle; Erbringung von Support- und Wartungsleistungen einschließlich Ferndiagnose; Löschung von Nutzern und Daten auf Anforderung; sowie Hosting und Datensicherung des Systems. Der Umfang der Verarbeitung ergibt sich abschließend aus dem Hauptvertrag, dem Bestellformular und der Servicebeschreibung.

Zweck

Verarbeitung personenbezogener Daten der Beschäftigten und sonstiger Autorisierter Nutzer des Verantwortlichen zum Zweck der Bereitstellung des Flip-Softwaredienstes nach dem Hauptvertrag, einschließlich gebuchter Module (Flip-Plattform, Flip Flows, Frontline Identity, Flip Fusion, gyde/Flip Learning).

Modulspezifische Verarbeitung

Die folgende Tabelle gibt die durch einzelne Module hinzukommende Verarbeitung wieder; sie wird durch die jeweilige Servicebeschreibung ergänzt. Abweichungen von dieser Anlage bedürfen einer Vereinbarung der Parteien nach Ziff. 12.5.

Arten personenbezogener Daten: allgemeine Daten (Name; Kontaktdaten wie E-Mail-Adresse oder Telefonnummer; Profilinformationen der Nutzer, z. B. Abteilung, Standort, Position); Dienst-/IT-Nutzungsdaten (Geräte-IDs; Zugangsdaten; Identifikationsdaten/IDs; Telekommunikationsdaten/Nachrichteninhalte; Nutzungs- und Verbindungsdaten/Metadaten); nutzergenerierte Inhalte (Bild-/Videodaten; Audio-/Sprachdaten; Formulardaten, soweit die jeweiligen Funktionen genutzt werden).

Kategorien betroffener Personen: Beschäftigte und sonstige Autorisierte Nutzer des Verantwortlichen (sowie ggf. dem Verantwortlichen besonders verbundene Personen, z. B. Bewerbende, Alumni, Leiharbeitnehmende und beauftragte externe Dienstleister).

Besondere Datenkategorien: nicht Gegenstand des Auftrags; gemäß Ziff. 3.6 übermittelt der Verantwortliche keine besonderen Datenkategorien, keine Daten über Straftaten, keine Gesundheits-, Konto- oder Behördenkennzeichendaten, außer ausdrücklich vereinbart und abgesichert. Soweit solche Daten gleichwohl in Kundeninhalten, Freitexteingaben, Vorfall- und Meldungs-Flows (Flip Flows) oder hochgeladenen Referenzbildern (Flip Fusion) enthalten sind, verarbeitet der Anbieter sie ausschließlich nach Maßgabe von Ziff. 3.6. Die zur Passkey-Anmeldung (Frontline Identity) genutzte biometrische Bestätigung erfolgt auf dem Endgerät und wird nicht an den Anbieter übermittelt oder von ihm verarbeitet; es liegt daher keine Verarbeitung besonderer Datenkategorien durch den Anbieter vor.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit — Zutritt & Zugang

• Regelmäßige Mitarbeiterschulungen (mindestens jährlich) zu Informationssicherheit und Umgang mit personenbezogenen Kundendaten

• Zutrittskontrollsystem mit Badge-Scanner; Schlüsselmanagement; Videoüberwachung der Eingänge; Besucherregelung und Begleitung; zentrale Autorisierung und sofortige Sperrung verlorener Zutrittskarten

• Persönlicher, individueller Log-in; State-of-the-Art-Authentifizierung (Multi-Faktor); rollenbasierter Berechtigungsprozess; Need-to-know-Beschränkung; Passwortvorgaben; Passwortmanager; separates privilegiertes Admin-Konto mit Hardware-Authentifizierung; regelmäßige Kontoüberprüfungen; automatische Sperre; Firewall; Antivirus; Richtlinie für mobiles Arbeiten; Verschlüsselung mobiler Geräte

Vertraulichkeit — Trennung & Pseudonymisierung

• Trennung der Kundendaten auf Tenant-/Mandantenebene; Berechtigungen nach funktionaler Zuständigkeit; getrennte Entwicklungs- und Produktionsumgebungen; Einsatz von Testdaten

• Pseudonymisierung der Kundendaten, wo möglich; Trennung und gesicherte Speicherung von Zuordnungsdaten; Löschung/Anonymisierung bei Unterauftragsverarbeitern bei Löschverlangen oder Kundenabgang

Integrität

• Rollenbasierte Zugriffsrechte; Verschlüsselung der Daten bei der Übertragung (TLS nach dem Stand der Technik) und im Ruhezustand (Datenbank- und Objektspeicherverschlüsselung, mindestens AES-256) einschließlich getrennter Schlüsselverwaltung; systemseitige Protokollierung von Zugriffen und Abrufen; Dokumentenmanagementsystem mit Änderungshistorie; Protokollierung von Datenübermittlungen; Vier-Augen-Prinzip; Datenträgervernichtung nach DIN 66399; nicht wiederherstellbare Löschung

Verfügbarkeit & Belastbarkeit

• Sicherheitskonzept für Software und IT-Anwendungen; Backup-Verfahren und Aufbewahrung für Kundendaten; Virenschutz und Firewall; Notfallwiederherstellungsplan; regelmäßige Datenwiederherstellungstests mit Protokollierung

Überprüfung, Bewertung & Evaluierung

• Konzept für regelmäßige interne und externe Audits der TOM; regelmäßiges Management-Reporting; Notfalltests; jährliche Penetrationstests; dokumentierter Incident-Response-Prozess

Weisungs- und Auftragskontrolle

• Art.-28-Verträge mit Unterauftragsverarbeitern; Prozess zur Erteilung/Befolgung von Weisungen; benannte Ansprechpartner; Verschwiegenheitsverpflichtungen; DSB (Art. 37 DSGVO) und Informationssicherheitsbeauftragter; Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO); Dokumentation und Eskalation von Datenschutzverletzungen; Prozess zur Weiterleitung von Betroffenenanfragen; regelmäßige Überprüfung kritischer Auftragnehmer

Modulspezifische Maßnahmen — Flip Fusion

• Über die hierfür vorgesehene Verbindungsfunktion hinterlegte API-Schlüssel werden gesichert gespeichert und nicht in Eingaben an das Sprachmodell übernommen; der Verantwortliche stellt sicher, dass Zugangsdaten ausschließlich über diese Funktion und nicht über Freitextfelder hinterlegt werden

• Übergabe der Chat-Historie an das Sprachmodell nur, soweit für die Generierung oder Anpassung der jeweiligen generierten App erforderlich

• Am AI-Gateway werden die Inhalte von Eingaben und Ausgaben nicht protokolliert; technische Metadaten (Zeitstempel, Statusinformationen) bleiben unberührt

• Löschung Fusion-bezogener Daten aus Sicherungskopien spätestens 30 Tage nach der Löschung im Produktivsystem

Anlage 3 — Unterauftragsverarbeiter

Die maßgebliche, lebende Liste der Unterauftragsverarbeiter wird im Trust Center des Anbieters geführt: https://trust.getflip.com/. Die dort bei Vertragsschluss veröffentlichte Liste bildet die nach Ziff. 5.1 genehmigten Unterauftragsverarbeiter. Jede Änderung unterliegt Ziff. 5.3 und, soweit hierdurch eine Drittlandübermittlung entsteht, Ziff. 10.

Anlage 4 — Auswahl der Transfermechanismus-Module

A. Parteien

B. EU-SCC (Ziff. 10.1)

C. UK-Addendum (Ziff. 10.2)

D. Schweiz (Ziff. 10.3)

Zuständige Behörde: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB); Verweise auf die DSGVO gelten als Verweise auf das DSG; der Schutz erstreckt sich auf Daten juristischer Personen, bis das revidierte DSG vollständig in Kraft ist.

E. Data Privacy Framework (Ziff. 10.0)

Ist ein US-Unterauftragsverarbeiter für die betreffende Datenkategorie DPF-zertifiziert (derzeit die KI- und Hosting-Unterauftragsverarbeiter, die zudem innerhalb der EU verarbeiten), stützen sich Übermittlungen vorrangig auf das DPF; die vorstehenden SCC / das UK-Addendum / die Schweizer Anpassungen gelten hilfsweise. Der Anbieter überwacht die fortdauernde Gültigkeit des DPF-Angemessenheitsbeschlusses und die aktive Zertifizierung jedes Unterauftragsverarbeiters.