VEREINBARUNG ZUR
AUFTRAGSVERARBEITUNG (AVV)

Diese Vereinbarung zur Auftragsverarbeitung (die „AVV“) ist Bestandteil des Hauptvertrags zwischen der Flip GmbH (der „Anbieter“) und dem im jeweiligen Bestellformular bezeichneten Kunden (der „Kunde“) und wird durch Verweis in diesen einbezogen. Sie gilt für jede Verarbeitung personenbezogener Daten, die der Anbieter im Auftrag des Kunden im Zusammenhang mit dem Softwaredienst durchführt, unabhängig vom Sitz des Kunden. Ein einheitliches Instrument gilt für alle Jurisdiktionen; jurisdiktionsspezifische Anforderungen greifen über die modularen Ziffern 10 und 11 und die Anlagen und gelten nur insoweit, als das jeweilige Recht eine Verarbeitung oder Übermittlung erfasst.

1.  Gegenstand, Rollen der Parteien

1.1  Rollen. Hinsichtlich der vom Anbieter im Auftrag des Kunden verarbeiteten personenbezogenen Daten ist der Kunde Verantwortlicher (der „Verantwortliche“; unter US-Landesdatenschutzgesetzen „business“) und der Anbieter Auftragsverarbeiter (der „Auftragsverarbeiter“; unter US-Landesdatenschutzgesetzen „service provider“). Handelt der Kunde selbst als Auftragsverarbeiter für einen Dritten, handelt der Anbieter als Unterauftragsverarbeiter und diese AVV gilt entsprechend.

1.2  Vorrang. Diese AVV ergänzt den Hauptvertrag. Bei Widersprüchen zwischen dieser AVV und den übrigen Bestandteilen des Hauptvertrags in Datenschutzfragen geht diese AVV vor; die Standardvertragsklauseln, das UK-Addendum und die Schweizer Anpassungen (Ziff. 10) gehen dieser AVV hinsichtlich der von ihnen geregelten Übermittlungen vor. Im Übrigen gilt die Rangfolge nach Ziff. 18.1 der AGB. Die AVV kann nicht isoliert vom Hauptvertrag gekündigt werden.

1.3  Verbundene Unternehmen. Gestattet der Kunde verbundenen Unternehmen die Nutzung des Softwaredienstes nach dem Hauptvertrag, gilt diese AVV für jedes solche Unternehmen, das für seine eigenen personenbezogenen Daten Verantwortlicher ist; der Kunde stellt sicher, dass die erforderlichen datenschutzrechtlichen Vereinbarungen mit dem verbundenen Unternehmen vor Beginn der Verarbeitung bestehen.

2.  Anwendbares Datenschutzrecht

„Anwendbares Datenschutzrecht“ bezeichnet alle auf die Verarbeitung nach dieser AVV anwendbaren Datenschutz- und Privatsphärengesetze, insbesondere je nach Anwendbarkeit: (a) die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“) und mitgliedstaatliche Ausführungsgesetze; (b) die UK-GDPR und den Data Protection Act 2018 („UK-GDPR“); (c) das Schweizer Datenschutzgesetz („DSG“); (d) US-Landesdatenschutzgesetze, d. h. den California Consumer Privacy Act i. d. F. des CPRA („CCPA/CPRA“), den Virginia VCDPA, den Colorado CPA, den Connecticut CTDPA, den Utah UCPA, den Texas TDPSA sowie jedes vergleichbare US-Landesgesetz; und (e) das EU-U.S. Data Privacy Framework, dessen UK-Extension und das Swiss-U.S. Data Privacy Framework (zusammen das „DPF“). Die materiellen Pflichten dieser AVV gelten unter jedem dieser Gesetze, soweit dieses die jeweilige Verarbeitung erfasst.

3.  Umfang der Verarbeitung; Weisungen

3.1  Dokumentierte Weisungen. Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unions-, mitgliedstaatlichem oder sonst anwendbarem Recht hierzu verpflichtet; in diesem Fall teilt der Anbieter dem Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht aus wichtigem öffentlichem Interesse verbietet. Der Hauptvertrag (einschließlich dieser AVV, der Servicebeschreibung und des Bestellformulars) bildet die vollständige Anfangsweisung des Verantwortlichen. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Einzelweisungen des Verantwortlichen, durch die der im Hauptvertrag vereinbarte Leistungsumfang geändert oder erweitert wird, bedürfen der vorherigen Zustimmung des Anbieters; unberührt bleiben Weisungen, zu deren Befolgung der Anbieter nach anwendbarem Datenschutzrecht verpflichtet ist.

3.2  Rechtswidrige Weisungen. Der Anbieter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstößt, und darf die Ausführung dieser Weisung bis zu deren Bestätigung durch den Verantwortlichen aussetzen, soweit gesetzlich erforderlich. Die Beurteilung der datenschutzrechtlichen Zulässigkeit der Verarbeitung obliegt dem Verantwortlichen und ist für den Anbieter bindend; die Prüfungs- und Hinweispflicht des Anbieters nach Satz 1 und seine Pflichten nach Art. 28 Abs. 3 UAbs. 2 DSGVO bleiben unberührt.

3.3  Ort der Verarbeitung. Der Anbieter hostet und speichert personenbezogene Daten in Rechenzentren innerhalb der Europäischen Union bzw. des EWR. Eine Verarbeitung außerhalb des EWR erfolgt nur nach Maßgabe von Ziff. 10. Der Anbieter hostet den Softwaredienst standardmäßig . Eine hiervon abweichende Hosting-Region wird nur auf Anfrage des Verantwortlichen und nach gesonderter individueller Vereinbarung der Parteien bereitgestellt; in diesem Fall gilt Ziff. 10 für die hiermit verbundene Übermittlung. Abweichend von Satz 1 gilt für die Web- und Bildsuche in Flip Fusion: Die aus den Eingaben abgeleiteten Suchbegriffe werden an externe Such- und Bilddienste übermittelt, die insoweit nicht als Unterauftragsverarbeiter des Anbieters, sondern als eigenständige Verantwortliche nach ihren eigenen Bedingungen handeln und die Suchbegriffe auch außerhalb der EU bzw. des EWR verarbeiten können; der Anbieter stellt für diese Übermittlung keine Transfergrundlage nach Ziff. 10 bereit. Bei der Nutzungsanalyse wird mit den Ereignisdaten die IP-Adresse des Endgeräts an den Analysedienst übermittelt; die Übermittlung erfolgt nach Maßgabe von Ziff. 10. Diese Funktionen sind nicht für die Eingabe personenbezogener Daten bestimmt; der Verantwortliche stellt sicher, dass seine Nutzer hierbei keine personenbezogenen Daten eingeben. In mit Flip Fusion generierten Apps über Verweise eingebundene Bilder externer Bilddienste werden unmittelbar vom Endgerät des jeweiligen Nutzers geladen; dabei erhalten diese Dienste technisch bedingt insbesondere IP-Adresse, User-Agent und Referrer des Endgeräts. Für diese Übermittlung ist der Verantwortliche Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; der Anbieter handelt insoweit weder als Auftragsverarbeiter noch als Datenexporteur. Ebenfalls abweichend von Satz 1 gilt für die SCORM-Importfunktion des Moduls gyde (Flip Learning), für die Video- und Live-Streaming-Funktionen der Flip-Plattform sowie für das Quellcode-Repository und die modellgestützte Codegenerierung nach Anlage 2 (Flip Fusion): Diese Funktionen werden über Unterauftragsverarbeiter erbracht, die personenbezogene Daten auch außerhalb der Europäischen Union bzw. des EWR verarbeiten (Anlage 3); die Übermittlung erfolgt nach Maßgabe von Ziff. 10. Über diese Funktionen findet eine Verarbeitung nur statt, soweit der Verantwortliche sie nutzt. Das Quellcode-Repository und die modellgestützte Codegenerierung sind für die Erzeugung generierter Apps funktional erforderlich; sie werden nur genutzt, soweit der Verantwortliche Flip Fusion aktiviert hat. Ebenfalls abweichend von Satz 1 gilt für die LLM-Inferenz: Der Anbieter kann die hierfür genutzten Bereitstellungsregionen ändern. Er stellt sicher, dass für jede Verarbeitung außerhalb der EU bzw. des EWR durchgehend eine Übermittlungsgrundlage nach Ziff. 10 besteht und das nach dieser AVV vereinbarte Schutzniveau nicht unterschritten wird. Die jeweils genutzten Regionen weist der Anbieter im Trust Center aus. Änderungen teilt er nach Ziff. 5.3 mit. Von der Wahl der Bereitstellungsregion ist ausschließlich der Ort der Berechnung betroffen. Die Speicherung der Ein- und Ausgaben im Ruhezustand folgt der Region der vom Anbieter für den Verantwortlichen genutzten Ressource; bei einem Hosting innerhalb der EU bzw. des EWR erfolgt sie dort. Die vorstehenden Regelungen zum Quellcode-Repository bleiben unberührt.

Sprachnachrichten sind von den vorstehenden Ausnahmen nicht erfasst; sie werden durch den Anbieter selbst innerhalb der Europäischen Union verarbeitet. 

3.4  Eigenverarbeitung des Anbieters. Nutzungs- und Kontodaten, die der Anbieter als eigenständig Verantwortlicher zum Betrieb, zur Sicherheit und zur Verbesserung der Dienste verarbeitet (wie in den AGB und der Datenschutzerklärung beschrieben), fallen nicht unter die Auftragsverarbeitung dieser AVV; der Anbieter nutzt personenbezogene Daten des Kunden nicht zum Training, Fine-Tuning oder zur Verbesserung von KI-Modellen, soweit nicht gesondert vereinbart. Eine Nutzung anonymisierter Daten richtet sich nach Ziff. 9.4 der AGB.

3.5  Kein KI/ML-Training mit Daten des Kunden. Der Anbieter nutzt personenbezogene Daten des Kunden — einschließlich Prompts, Eingaben und Ausgaben, die über die Module Flip Fusion oder gyde verarbeitet werden — nicht, um KI- oder Machine-Learning-Modelle zu trainieren, nachzutrainieren, zu fine-tunen oder anderweitig zu entwickeln, und verpflichtet seine LLM- und KI-Unterauftragsverarbeiter vertraglich, die Ein- und Ausgaben ebenfalls nicht zum Training ihrer Modelle zu nutzen. Der Anbieter darf anonymisierte oder aggregierte Daten, die keine betroffene Person identifizieren, für Statistik, Sicherheit, Betrieb, Fehleranalyse, Kapazitätsplanung sowie die Verbesserung und Weiterentwicklung der Dienste nach Maßgabe von Ziff. 9.4 der AGB verarbeiten; eine Nutzung solcher Daten zum Training von KI-Modellen setzt eine gesonderte Vereinbarung voraus.

3.6  Eingabebeschränkungen des Kunden. Der Verantwortliche ist für die personenbezogenen Daten verantwortlich, die er oder seine Autorisierten Nutzer in die Dienste eingeben, insbesondere über Freitext-Prompts in KI-gestützten Modulen. Der Verantwortliche übermittelt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), keine Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO), keine Zahlungskarten- oder Kontonummern, Behördenkennzeichen oder Gesundheitsdaten, es sei denn, dies ist ausdrücklich schriftlich vereinbart und angemessen abgesichert. Werden gleichwohl besondere Kategorien personenbezogener Daten oder Daten über Straftaten und den Verdacht von Straftaten (Art. 10 DSGVO) in Kundeninhalte, Freitexteingaben, Vorfall- und Meldungs-Flows (Flip Flows) oder in nach Anlage 1 hochgeladene Referenzbilder (Flip Fusion) eingestellt, verarbeitet der Anbieter diese ausschließlich auf dokumentierte Weisung des Verantwortlichen und mit angemessenen Schutzmaßnahmen; die Verantwortung für das Vorliegen einer Rechtsgrundlage und, soweit einschlägig, einer Ausnahme nach Art. 9 Abs. 2 DSGVO sowie für die Zulässigkeit nach Art. 10 DSGVO liegt beim Verantwortlichen. Diese Verantwortungsverteilung mindert nicht die Sicherheitspflichten des Anbieters nach Ziff. 4.

3.7  Fehleranalyse, Absicherung und Qualitätssicherung. Der Verantwortliche weist den Anbieter an, personenbezogene Daten in pseudonymisierter Form auch zur Fehleranalyse und -behebung, zur Absicherung gegen Missbrauch und Angriffe sowie zur Qualitätssicherung der dem Verantwortlichen erbrachten Dienste zu verarbeiten. Diese Verarbeitung erfolgt innerhalb der Auftragsverarbeitung nach dieser AVV und ist beschränkt auf (a) einen eng begrenzten, dokumentierten Kreis berechtigter Personen, (b) die getrennte und gesicherte Aufbewahrung der Zuordnungsdaten, (c) das Verbot der Re-Identifizierung, (d) den Ausschluss jeder Nutzung zum Training, Fine-Tuning oder zur Entwicklung von KI- oder Machine-Learning-Modellen (Ziff. 3.5) sowie (e) die Löschung oder Anonymisierung, sobald der Zweck erreicht ist, spätestens jedoch zwölf Monate nach Erhebung. Eine darüber hinausgehende Verarbeitung zur Entwicklung oder Verbesserung von Produkten des Anbieters für andere Kunden erfolgt ausschließlich auf Grundlage anonymisierter Daten nach Ziff. 3.4 dieser AVV i.V.m. Ziff. 9.4 der AGB.

4.  Vertraulichkeit und Sicherheit der Verarbeitung

4.1  Vertraulichkeit. Der Anbieter gewährt Zugang zu personenbezogenen Daten nur Personal und Unterauftragsverarbeitern, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur soweit für die Dienste erforderlich.

4.2  Technische und organisatorische Maßnahmen. Der Anbieter trifft und erhält die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (und den entsprechenden Standards der UK-GDPR, des DSG und der US-Landesdatenschutzgesetze). Der Anbieter darf diese Maßnahmen während der Laufzeit anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Weitere Informationen enthält das Trust Center des Anbieters unter https://trust.getflip.com/.

5.  Unterauftragsverarbeiter

5.1  Allgemeine Genehmigung. Der Verantwortliche erteilt dem Anbieter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt, die als lebende Liste im Trust Center geführt wird.

5.2  Weitergabe der Pflichten. Der Anbieter erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag im Wesentlichen dieselben Datenschutzpflichten wie in dieser AVV auf, insbesondere hinreichende Garantien geeigneter technischer und organisatorischer Maßnahmen. Der Anbieter bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters voll verantwortlich.

5.3  Änderungen und Widerspruch. Der Anbieter informiert den Verantwortlichen mindestens 45 Tage vorab in Textform an die vom Verantwortlichen hierfür benannte Kontaktadresse über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters und stellt zusätzlich einen Benachrichtigungsdienst im Trust Center bereit. Die Mitteilung benennt den Unterauftragsverarbeiter, den Verarbeitungszweck, den Verarbeitungsort und die betroffenen Datenkategorien und gibt dem Verantwortlichen Gelegenheit, aus berechtigten datenschutzbezogenen Gründen zu widersprechen. Widerspricht der Verantwortliche nicht innerhalb von 30 Tagen nach Zugang der Mitteilung, gilt die Änderung als genehmigt. Widerspricht der Verantwortliche aus berechtigtem Grund und lässt sich die Angelegenheit nicht ausräumen, kann jede Partei den betroffenen Teil der Dienste mit einer Frist von drei Monaten kündigen; der Anbieter erstattet in diesem Fall vorausgezahlte Vergütung zeitanteilig.

5.4  Umfang der Offenlegung; Nebenleistungen. Die Offenlegung nach Ziff. 5.1 und 5.3 erfolgt nach folgenden Stufen: (a) Unmittelbare Unterauftragsverarbeiter des Anbieters werden stets namentlich in der Liste nach Anlage 3 geführt. (b) Für weitere Unterauftragsverarbeiter, die von einem Unterauftragsverarbeiter des Anbieters eingesetzt werden, gilt Folgendes: Die Liste nach Anlage 3 weist aus, ob und in welchem Umfang eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt. Die Identität dieser weiteren Unterauftragsverarbeiter, den Verarbeitungszweck, den Verarbeitungsort und die betroffenen Datenkategorien teilt der Anbieter dem Verantwortlichen auf Anfrage mit; entsprechend den Leitlinien 07/2020 des Europäischen Datenschutzausschusses stellt der Anbieter sicher, dass ihm diese Informationen für die gesamte Verarbeitungskette vorliegen und dass die Pflichten dieser AVV vertraglich entlang der Kette weitergegeben werden. Das Widerspruchsrecht nach Ziff. 5.3 gilt für Änderungen in der gesamten Kette entsprechend. (c) Im Übrigen genügt der Verweis auf die vom jeweiligen Unterauftragsverarbeiter veröffentlichte Liste; der Anbieter stellt vertraglich sicher, dass ihm Änderungen mitgeteilt werden und er sie nach Ziff. 5.3 weitergeben kann. Reine Nebenleistungen ohne konkreten Bezug zur Leistungserbringung gelten nicht als Unterauftragsverarbeitung; dies gilt insbesondere für Telekommunikations-, Post-, Transport- und Wartungsleistungen sowie für sonstige Leistungen ohne Zugriff auf personenbezogene Daten. Unabhängig von den Stufen (a) bis (c) teilt der Anbieter dem Verantwortlichen auf Anfrage die vollständige Verarbeitungskette einschließlich Name, Anschrift und Ansprechpartner der beteiligten Unterauftragsverarbeiter sowie einer Beschreibung der jeweiligen Verarbeitung mit.

5.5  Austausch von Unterauftragsverarbeitern. Der Anbieter ist berechtigt, Leistungen, die bislang durch einen Unterauftragsverarbeiter erbracht wurden, ganz oder teilweise selbst, durch ein verbundenes Unternehmen oder durch einen anderen Unterauftragsverarbeiter zu erbringen, wenn der bisherige Unterauftragsverarbeiter die Leistungen nicht mehr, nicht mehr vertragsgemäß oder nicht mehr in der vereinbarten Qualität erbringt. Dies umfasst insbesondere die Einstellung oder wesentliche Änderung des Dienstes, die Beendigung des zugrunde liegenden Vertrages, die Insolvenz, den Verlust einer erforderlichen Zertifizierung sowie die rechtliche Unzulässigkeit des weiteren Einsatzes. Erfolgt die Verarbeitung innerhalb der EU bzw. des EWR, kann der Anbieter die Leistungen zudem durch ein verbundenes Unternehmen erbringen.

Voraussetzung ist, dass der Funktionsumfang nach der jeweiligen Anlage im Wesentlichen gleichwertig bleibt, mindestens gleichwertige technische und organisatorische Maßnahmen gelten, die vereinbarten Service Levels unverändert bleiben und keine Erhöhung der Vergütung erfolgt. Der Anbieter teilt die Änderung nach Maßgabe von Ziff. 5.3 vorab mit. Ist eine vorherige Mitteilung aus den in Absatz 1 genannten Gründen nicht möglich, teilt der Anbieter unverzüglich nach der Vornahme mit; die Frist für den Widerspruch nach Ziff. 5.3 beginnt in diesem Fall mit Zugang der Mitteilung. Entsteht durch die Ersetzung eine Übermittlung in ein Drittland, bleibt es bei der vorherigen Mitteilung nach Ziff. 5.3.

Führt der Anbieter die Leistungen selbst oder durch ein verbundenes Unternehmen innerhalb der EU bzw. des EWR fort, bedarf es keiner Mitteilung nach Ziff. 5.3; der Anbieter weist die Änderung in der Liste nach Anlage 3 aus. Ziff. 5.3 und Art. 28 Abs. 2 Satz 2 DSGVO bleiben im Übrigen unberührt.

6.  Unterstützung bei Betroffenenrechten und Pflichten des Verantwortlichen

6.1  Betroffenenanfragen. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern nicht dazu berechtigt.

6.2  Unterstützung nach Art. 32–36. Der Anbieter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) sowie der entsprechenden Pflichten nach den übrigen anwendbaren Datenschutzgesetzen, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen. Die zur Erfüllung der gesetzlichen Pflichten des Verantwortlichen angemessen erforderliche Unterstützung ist eingeschlossen; Unterstützung, die die üblichen Prozesse des Anbieters wesentlich übersteigt (etwa maßgeschneiderte DSFA-Unterstützung oder eine ungewöhnliche Vielzahl von Einzelanfragen), kann gegen angemessenen, belegten Aufwand erbracht werden, soweit eine Vergütung nach anwendbarem Datenschutzrecht zulässig ist.

6.3  Behördliche Kontrollhandlungen. Soweit eine Partei gesetzlich verpflichtet ist, im Zusammenhang mit der Verarbeitung nach dieser AVV Auskünfte zu erteilen oder mit einer Aufsichtsbehörde oder sonstigen staatlichen Stelle zusammenzuarbeiten, werden die Parteien, soweit rechtlich zulässig, (a) einander unterstützen und (b) einander unverzüglich über Kontrollhandlungen der Aufsichtsbehörde oder sonstige staatliche Maßnahmen informieren, soweit sich diese auf die Verarbeitung nach dieser AVV beziehen. Ziff. 10.4 bleibt unberührt.

7.  Verletzung des Schutzes personenbezogener Daten

7.1  Meldung. Der Anbieter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der personenbezogenen Daten des Verantwortlichen bekannt geworden ist, und stellt die ihm vernünftigerweise verfügbaren Informationen bereit, damit der Verantwortliche seine eigenen Meldepflichten erfüllen kann; er ergänzt diese Informationen, sobald sie verfügbar werden. Die Mitteilung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Anbieter unterstützt den Verantwortlichen bei der Eindämmung und Aufklärung des Vorfalls sowie bei der Kommunikation mit Aufsichtsbehörden und betroffenen Personen; Meldungen nach Art. 33 und Art. 34 DSGVO nimmt er nicht ohne Weisung des Verantwortlichen in dessen Namen vor. Eine Verletzung des Schutzes personenbezogener Daten umfasst keine erfolglosen Versuche oder Aktivitäten, die die Sicherheit personenbezogener Daten nicht beeinträchtigen (etwa fehlgeschlagene Anmeldungen, Pings, Portscans oder Denial-of-Service-Versuche).

8.  Rückgabe und Löschung

8.1  Löschung. Bei Beendigung oder Ablauf des Hauptvertrags löscht oder anonymisiert der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde kann seine Daten während der Laufzeit sowie innerhalb des im Hauptvertrag geregelten Abrufzeitraums und der Wechselunterstützung exportieren und bis zum Ablauf dieses Zeitraums eine Kopie verlangen; die Löschung erfolgt unverzüglich nach Ablauf des Abrufzeitraums, soweit die jeweilige Servicebeschreibung für einzelne Datenkategorien keine längere Höchstfrist ausweist. Solche Höchstfristen sind in der Servicebeschreibung abschließend benannt, gehen dieser Ziffer vor und überschreiten sechs Monate ab Beendigung des Hauptvertrags nicht. Der Anbieter weist die Löschung auf Verlangen nach. Kopien in routinemäßigen Sicherungen werden nach Maßgabe der in der jeweiligen Servicebeschreibung ausgewiesenen Sicherungsfristen überschrieben; bis zur Überschreibung sind sie gegen wahlfreien Zugriff gesperrt und unterliegen den Pflichten dieser AVV; Dokumentation zum Nachweis vertragsgemäßer Verarbeitung darf aufbewahrt werden.

9.  Prüfungen und Nachweise

9.1  Nachweise. Der Anbieter stellt dem Verantwortlichen die zum Nachweis der Einhaltung von Art. 28 DSGVO (und der entsprechenden Vorschriften der übrigen anwendbaren Datenschutzgesetze) erforderlichen Informationen bereit, einschließlich – soweit verfügbar – seiner ISO/IEC-27001-Zertifizierung und SOC-2-Berichte über das Trust Center.

9.2  Vor-Ort-Prüfungen. Der Verantwortliche darf einmal je Vertragsjahr sowie darüber hinaus anlassbezogen nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer zuständigen Aufsichtsbehörde eine Prüfung durchführen. Hierzu darf der Verantwortliche (oder ein von ihm beauftragter unabhängiger Prüfer, der kein Wettbewerber des Anbieters sein und zur Vertraulichkeit verpflichtet sein muss) während der üblichen Geschäftszeiten des Anbieters nach rechtzeitiger Vorankündigung (in der Regel mindestens zwei Wochen) eine Prüfung durchführen, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit der Daten des Anbieters und anderer Kunden. Der Anbieter muss keine Informationen zu anderen Kunden oder für die Prüfung nicht unmittelbar relevante Geschäftsgeheimnisse offenlegen. Der Anbieter kann die Prüfung ganz oder teilweise durch Vorlage aktueller Zertifizierungen und Prüfberichte nach Ziff. 9.1 ersetzen, soweit diese den Prüfungsgegenstand abdecken; hierüber entscheidet der Verantwortliche nach billigem Ermessen. Prüfungen, die über den vorstehenden Umfang hinausgehen, erfolgen gegen Erstattung des angemessenen, belegten Aufwands des Anbieters.

10.  Internationale Übermittlungen (modular)

Diese Ziffer gilt nur, soweit von der DSGVO, der UK-GDPR oder dem DSG geschützte personenbezogene Daten in ein Land ohne anerkannt angemessenes Schutzniveau übermittelt oder von dort abgerufen werden. Das jeweils einschlägige Modul gilt als vereinbart und einbezogen und wird durch Anlage 4 vervollständigt; können mehrere Mechanismen gelten, gilt für die jeweiligen Daten ein einziger in der Reihenfolge DPF (bei zertifiziertem Importeur) → EU-SCC → UK-Addendum → Schweizer Anpassungen.

10.0  Data Privacy Framework (vorrangig, soweit verfügbar)

Werden personenbezogene Daten an einen Unterauftragsverarbeiter in den USA übermittelt, der für die betreffende Datenkategorie unter dem DPF selbstzertifiziert ist, erfolgt die Übermittlung gestützt auf das DPF; die Mechanismen der Ziff. 10.1 bis 10.3 gelten hilfsweise, falls das DPF keine gültige Grundlage mehr bietet. Erfolgt die Verarbeitung durch einen Unterauftragsverarbeiter ausschließlich innerhalb der EU bzw. des EWR, liegt keine Übermittlung im Sinne dieser Ziff. 10 vor; diese Ziff. 10 gilt jedoch, soweit der Unterauftragsverarbeiter oder ein mit ihm verbundenes Unternehmen aus einem Drittland auf personenbezogene Daten zugreifen kann. Welche Unterauftragsverarbeiter außerhalb der EU bzw. des EWR verarbeiten oder von dort zugreifen können, weist die Liste nach Anlage 3 aus.

10.1  EU/EWR — Standardvertragsklauseln

Für Übermittlungen von der DSGVO unterliegenden personenbezogenen Daten an den Anbieter aus einem Drittland sowie für Übermittlungen aus dem EWR an den Anbieter, soweit dieser ausnahmsweise außerhalb des EWR verarbeitet, werden die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, die „EU-SCC“) einbezogen und gemäß Anlage 4 vervollständigt, wobei Modul 2 (Verantwortlicher an Auftragsverarbeiter) für die Auftragsverarbeitung gilt, Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde selbst Auftragsverarbeiter ist, und Modul 1 (Verantwortlicher an Verantwortlichen) für die eigenverantwortliche Verarbeitung nach Ziff. 3.4. Klausel 17: Die EU-SCC unterliegen dem Recht Deutschlands. Klausel 18(b): die Gerichte Deutschlands. Die Beitrittsklausel (Klausel 7) gilt. Für Übermittlungen des Anbieters an Unterauftragsverarbeiter in Drittländern schließt der Anbieter die EU-SCC (Modul 3) unmittelbar mit dem jeweiligen Unterauftragsverarbeiter ab; der Verantwortliche bevollmächtigt den Anbieter hierzu und weist ihn hierzu an. Anlage 4 gilt für diese Übermittlungen entsprechend.

10.2  Vereinigtes Königreich — UK-Addendum / IDTA

Für der UK-GDPR unterliegende personenbezogene Daten schließen die Parteien das vom UK Information Commissioner herausgegebene International Data Transfer Addendum zu den EU-SCC (Version B1.0, in Kraft seit 21. März 2022, das „UK-Addendum“) ab, das gemäß Anlage 4 vervollständigt wird und den EU-SCC nach Ziff. 10.1 beitritt. Alternativ gilt, soweit in Anlage 4 vereinbart, die IDTA des Information Commissioner anstelle des UK-Addendums.

10.3  Schweiz — DSG-Anpassungen

Für dem DSG unterliegende personenbezogene Daten gelten die EU-SCC mit den in Anlage 4 genannten Anpassungen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zuständige Aufsichtsbehörde für Schweizer Übermittlungen; Verweise auf die DSGVO gelten als Verweise auf das DSG; die SCC schützen ausschließlich Personendaten natürlicher Personen im Sinne von Art. 5 lit. a DSG.

10.4  Behördlicher und strafverfolgungsbezogener Zugriff (ergänzende Maßnahmen)

Der Anbieter hat keinen Backdoor-Zugang oder ähnliche Zugriffsmöglichkeiten für Behörden geschaffen und ist hierzu auch nicht verpflichtet. Erhält der Anbieter oder ein Unterauftragsverarbeiter ein rechtlich bindendes Auskunftsersuchen einer Behörde (auch nach US-FISA § 702, Executive Order 12333 oder dem CLOUD Act) zu nach dieser AVV verarbeiteten personenbezogenen Daten, so wird der Anbieter, sofern rechtlich nicht untersagt: (a) den Verantwortlichen unverzüglich und möglichst vor der Offenlegung benachrichtigen; (b) die Behörde darauf hinweisen, dass er als Auftragsverarbeiter für den Verantwortlichen handelt, und das Ersuchen, soweit zulässig, an den Verantwortlichen verweisen; (c) die Rechtmäßigkeit des Ersuchens prüfen und es anfechten, wenn es rechtswidrig, zu weitgehend ist oder rechtsstaatliche Anforderungen missachtet, und verfügbare Rechtsmittel ausschöpfen; und (d) nur die rechtlich zwingend erforderlichen Mindestdaten offenlegen. Ist eine Benachrichtigung untersagt, unternimmt der Anbieter rechtlich zulässige Anstrengungen zur Erwirkung einer Freigabe und dokumentiert seine rechtliche Bewertung für den Verantwortlichen. Der Anbieter erfasst die erhaltenen bindenden Zugriffsersuchen, stellt auf Anfrage zusammenfassende Transparenzinformationen bereit und erlegt Unterauftragsverarbeitern, die außerhalb des EWR verarbeiten, im Wesentlichen gleichwertige Pflichten auf.

10.5  Transfer-Folgenabschätzung (TIA)

Der Anbieter unterstützt die Transfer-Folgenabschätzungen des Verantwortlichen entsprechend den EDSA-Empfehlungen 01/2020, indem er Informationen zu den Diensten, den Unterauftragsverarbeitern, dem Verarbeitungsort und den technischen, vertraglichen und organisatorischen ergänzenden Maßnahmen (einschließlich Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und den Maßnahmen in Anlage 2) sowie zur Erfahrung des Anbieters mit behördlichen Zugriffsersuchen bereitstellt. Soweit der Anbieter innerhalb der EU/des EWR verarbeitet, benötigen Verantwortliche aus der EU/dem EWR für die Verarbeitung des Anbieters keine Transfer-Folgenabschätzung; für die in Ziff. 3.3 genannten Funktionen mit Verarbeitung außerhalb des EWR stellt der Anbieter die Informationen nach Satz 1 bereit; für Verantwortliche aus dem UK oder der Schweiz betrifft die Abschätzung die Ausfuhr aus dem UK bzw. der Schweiz zum Anbieter in der EU.

10.6  Fallback

Wird ein nach dieser Ziffer herangezogener Übermittlungsmechanismus für ungültig erklärt, ausgesetzt oder untersagt, arbeiten die Parteien nach Treu und Glauben unverzüglich an der Umsetzung eines alternativen zulässigen Mechanismus; bis dahin darf der Anbieter die betroffenen Übermittlungen und die damit verbundene Verarbeitung aussetzen, ohne dadurch gegen den Hauptvertrag zu verstoßen.

11.  US-Landesdatenschutzgesetze (Modul)

11.1  Rollen. Soweit ein US-Landesdatenschutzgesetz auf die Nutzung des Softwaredienstes durch den Kunden anwendbar ist, ist der Kunde „business“/„controller“ und der Anbieter „service provider“/„processor“ hinsichtlich der in Kundeninhalten enthaltenen personenbezogenen Informationen. Begriffe wie „business“, „service provider“, „sell“ und „share“ haben die Bedeutung nach dem CCPA/CPRA (Cal. Civ. Code § 1798.140) und die entsprechenden Bedeutungen der übrigen US-Landesdatenschutzgesetze.

11.2  Zweckbindung. Der Anbieter verarbeitet solche personenbezogenen Informationen ausschließlich zur Erbringung der Dienste nach dem Hauptvertrag und zu den dort genannten geschäftlichen Zwecken, auf dokumentierte Weisung des Kunden, und zu keinem anderen Zweck.

11.3  Kein Verkauf / keine Weitergabe. Der Anbieter verkauft und teilt Kundeninhalte oder darin enthaltene personenbezogene Informationen nicht i.S.d. US-Landesdatenschutzgesetze, bewahrt, nutzt oder offenbart sie nicht für kontextübergreifende oder zielgerichtete Werbung, für eigene, nicht mit den Diensten zusammenhängende Geschäftszwecke oder außerhalb der unmittelbaren Geschäftsbeziehung mit dem Kunden und kombiniert sie nicht mit Informationen aus anderen Quellen, jeweils außer soweit diese Gesetze es gestatten.

11.4  Unterstützung, Unterauftragsverarbeiter, Kontrolle. Der Anbieter teilt dem Kunden mit, wenn er diese Pflichten nicht mehr erfüllen kann, unterstützt den Kunden bei Verbraucherrechtsanfragen, erlegt seinen Unterauftragsverarbeitern im Wesentlichen gleichwertige Pflichten auf und räumt dem Kunden das Recht ein, angemessene Schritte zu unternehmen, um sicherzustellen, dass die Nutzung durch den Anbieter mit den Pflichten des Kunden im Einklang steht, und unbefugte Nutzung zu unterbinden und zu beheben. Gelten diese AVV und diese Ziffer nebeneinander, geht der Standard mit dem höheren Schutzniveau vor.

12.  Haftung, Rechtswahl und Schlussbestimmungen

12.1  Haftung. Die Haftung nach dieser AVV unterliegt den Beschränkungen und Ausschlüssen der Ziff. 15 der AGB (einschließlich der 200 %-Höchstbetragsbegrenzung für Verletzungen datenschutzrechtlicher Pflichten und des Vorbehalts, der gesetzliche Ansprüche betroffener Personen nach Art. 82 DSGVO unberührt lässt). Ansprüche gegen den Anbieter aus dieser AVV kann nur der als Vertragspartei des Hauptvertrags handelnde Kunde geltend machen; diese AVV beschränkt keine Rechte betroffener Personen oder Aufsichtsbehörden.

12.2  Rechtswahl. Diese AVV unterliegt dem Recht, das den jeweiligen Hauptvertrag regelt, an den sie angebunden ist — deutsches Recht, das Recht von England und Wales oder das Recht des Staates New York, je nach Anwendbarkeit — mit der Maßgabe, dass für die EU-SCC (Deutschland), das UK-Addendum (Recht von England und Wales) und die Schweizer Anpassungen deren zwingendes Recht sowie für Streitigkeiten über die von ihnen geregelten Übermittlungen gilt.

12.3  Einbeziehung. Diese AVV ist die in der Datenschutzziffer (Ziff. 11) der deutschen AGB des Anbieters in Bezug genommene Vereinbarung zur Auftragsverarbeitung und ist unter https://www.getflip.com/de/legal/avv/ veröffentlicht. Die inhaltsgleiche englischsprachige Fassung ist für Kunden mit Sitz in der Europäischen Union oder im EWR außerhalb Deutschlands unter https://www.getflip.com/legal/dpa-eu/, für Kunden mit Sitz in den Vereinigten Staaten unter https://www.getflip.com/legal/dpa-us/ und für Kunden mit Sitz im Vereinigten Königreich sowie in sonstigen Staaten außerhalb der Europäischen Union und des EWR unter https://www.getflip.com/legal/dpa-uk/ veröffentlicht. Enthält eine gesondert veröffentlichte Modul-AVV abweichende Regelungen, geht diese AVV vor, soweit die Modul-AVV kein höheres Schutzniveau vorsieht. Die Anlagen sind integraler Bestandteil dieser AVV.

12.4  Datenschutzbeauftragter. Der Datenschutzbeauftragte des Anbieters ist erreichbar unter: Datenschutzbeauftragter, Flip GmbH, Rotebühlstraße 50, 70178 Stuttgart, Deutschland, datenschutz@getflip.com.

12.5  Änderungen dieser AVV. Änderungen dieser AVV bedürfen der Vereinbarung der Parteien in Textform. Abweichend hiervon darf der Anbieter diese AVV einseitig anpassen, soweit dies zur Umsetzung zwingender rechtlicher Vorgaben, zur Befolgung einer Entscheidung einer Aufsichtsbehörde oder eines Gerichts oder zur Ersetzung eines für ungültig erklärten Übermittlungsmechanismus erforderlich ist und das vereinbarte Schutzniveau nicht unterschritten wird; er informiert den Verantwortlichen hierüber unverzüglich in Textform. Im Übrigen gilt Ziff. 17 der AGB entsprechend.

Anlage 1 — Einzelheiten der Verarbeitung

Gegenstand und Dauer

Gegenstand und Dauer der Verarbeitung bestimmen sich nach dem Hauptvertrag. Für die Bereitstellung des Flip-Softwaredienstes als Software-as-a-Service erhält der Anbieter im erforderlichen begrenzten Umfang Zugriff auf personenbezogene Daten des Verantwortlichen, insbesondere: Empfang und Verarbeitung der Stammdaten der Nutzer (Titel, Vorname, Nachname, geschäftliche E-Mail-Adresse); Erstellung und Pflege der Nutzerliste, Einrichtung von Nutzern, Rollen und Berechtigungen sowie Erstellung von Zugangsinformationen; Betrieb der Kommunikations- und Kollaborationsfunktionen der Plattform einschließlich Newsfeed, Chats, Aufgaben und Formularen sowie Verarbeitung der hierbei von Nutzern erzeugten Inhalte; Betrieb der gebuchten Module (Flip Flows, Frontline Identity, Flip Fusion, gyde/Flip Learning) nach Maßgabe der nachstehenden Tabelle; Erbringung von Support- und Wartungsleistungen einschließlich Ferndiagnose; Löschung von Nutzern und Daten auf Anforderung; sowie Hosting und Datensicherung des Systems. Der Umfang der Verarbeitung ergibt sich abschließend aus dem Hauptvertrag, dem Bestellformular und der Servicebeschreibung.

Zweck

Verarbeitung personenbezogener Daten der Beschäftigten und sonstiger Autorisierter Nutzer des Verantwortlichen zum Zweck der Bereitstellung des Flip-Softwaredienstes nach dem Hauptvertrag, einschließlich gebuchter Module (Flip-Plattform, Flip Flows, Frontline Identity, Flip Fusion, gyde/Flip Learning).

Modulspezifische Verarbeitung

Die folgende Tabelle gibt die durch einzelne Module hinzukommende Verarbeitung wieder; sie wird durch die jeweilige Servicebeschreibung ergänzt. Abweichungen von dieser Anlage bedürfen einer Vereinbarung der Parteien nach Ziff. 12.5.

Arten personenbezogener Daten: allgemeine Daten (Name; Kontaktdaten wie E-Mail-Adresse oder Telefonnummer; Profilinformationen der Nutzer, z. B. Abteilung, Standort, Position); Dienst-/IT-Nutzungsdaten (Geräte-IDs; Zugangsdaten; Identifikationsdaten/IDs; Telekommunikationsdaten/Nachrichteninhalte; Nutzungs- und Verbindungsdaten/Metadaten); nutzergenerierte Inhalte (Bild-/Videodaten; Audio-/Sprachdaten; Formulardaten, soweit die jeweiligen Funktionen genutzt werden).

Kategorien betroffener Personen: Beschäftigte und sonstige Autorisierte Nutzer des Verantwortlichen (sowie ggf. dem Verantwortlichen besonders verbundene Personen, z. B. Bewerbende, Alumni, Leiharbeitnehmende und beauftragte externe Dienstleister) sowie externe Teilnehmende und Anmeldende von Seminaren, Terminen und Lernangeboten (gyde/Flip Learning) und externe Teilnehmende von Videokonferenzen, die ohne Flip-Konto über einen vom Verantwortlichen bzw. seinen Nutzern verbreiteten Einladungslink beitreten; die Entscheidung über die Weitergabe des Einladungslinks trifft der Verantwortliche. Hinzu kommen Personen, die in den aus SharePoint übernommenen Inhalten genannt oder abgebildet sind, auch wenn sie keine Autorisierten Nutzer sind.

Besondere Datenkategorien: nicht Gegenstand des Auftrags; gemäß Ziff. 3.6 übermittelt der Verantwortliche keine besonderen Datenkategorien, keine Daten über Straftaten, keine Gesundheits-, Konto- oder Behördenkennzeichendaten, außer ausdrücklich vereinbart und abgesichert. Soweit solche Daten gleichwohl in Kundeninhalten, Freitexteingaben, Vorfall- und Meldungs-Flows (Flip Flows) oder hochgeladenen Referenzbildern (Flip Fusion) enthalten sind, verarbeitet der Anbieter sie ausschließlich nach Maßgabe von Ziff. 3.6. Die zur Passkey-Anmeldung (Frontline Identity) genutzte biometrische Bestätigung erfolgt auf dem Endgerät und wird nicht an den Anbieter übermittelt oder von ihm verarbeitet; es liegt daher keine Verarbeitung besonderer Datenkategorien durch den Anbieter vor.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit — Zutritt & Zugang

• Regelmäßige Mitarbeiterschulungen (mindestens jährlich) zu Informationssicherheit und Umgang mit personenbezogenen Kundendaten

• Zutritts- und Besucherkontrolle an den Standorten des Anbieters: Zutrittskontrollsystem mit Badge-Scanner; Schlüsselmanagement; Videoüberwachung der Eingänge; Besucherregelung und Begleitung; zentrale Autorisierung sowie Sperrung von Zutrittskarten nach Meldung eines Verlusts oder Diebstahls

• Persönliche Log-ins; Mehr-Faktor-Authentifizierung; rollenbasierte Berechtigungen nach dem Need-to-know-Prinzip; Passwortvorgaben und Passwortmanager; gesonderte privilegierte Administrationskonten; regelmäßige Überprüfung der Zugriffsrechte

Vertraulichkeit — Trennung & Pseudonymisierung

• Trennung der Kundendaten auf Tenant-/Mandantenebene; Berechtigungen nach funktionaler Zuständigkeit; getrennte Entwicklungs- und Produktionsumgebungen.

• Pseudonymisierung der Kundendaten, wo möglich; im Falle der Pseudonymisierung: getrennte und gesicherte Speicherung der Zuordnungsdaten; Löschung/Anonymisierung bei Unterauftragsverarbeitern bei Löschverlangen oder Kundenabgang

Integrität

• Rollenbasierte Zugriffsrechte; Verschlüsselung der Daten bei der Übertragung (TLS nach dem Stand der Technik) und im Ruhezustand (Datenbank- und Objektspeicherverschlüsselung, mindestens AES-256); systemseitige Protokollierung von Zugriffen und Abrufen; Dokumentenmanagementsystem mit Änderungshistorie; Protokollierung von Datenübermittlungen; Vier-Augen-Prinzip; Löschung nach dokumentiertem Löschkonzept, sodass die Daten nicht mehr vorhanden oder nicht mehr erkennbar sind; gesichertes Löschen und Neuaufsetzen von Endgeräten vor Wiederverwendung oder Aussonderung

Verfügbarkeit & Belastbarkeit

• Sicherheitskonzept für Software und IT-Anwendungen; Backup-Verfahren und Aufbewahrung für Kundendaten; Virenschutz und Firewall; Notfallwiederherstellungsplan; regelmäßige Datenwiederherstellungstests mit Protokollierung

Überprüfung, Bewertung & Evaluierung

• Konzept für regelmäßige interne und externe Audits der TOM; regelmäßiges Management-Reporting; Notfalltests; jährliche Penetrationstests; dokumentierter Incident-Response-Prozess

Weisungs- und Auftragskontrolle

• Art.-28-Verträge mit Unterauftragsverarbeitern; Prozess zur Erteilung/Befolgung von Weisungen; benannte Ansprechpartner; Verschwiegenheitsverpflichtungen; DSB (Art. 37 DSGVO) und Informationssicherheitsbeauftragter; Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO); Dokumentation und Eskalation von Datenschutzverletzungen; Prozess zur Weiterleitung von Betroffenenanfragen; regelmäßige Überprüfung kritischer Auftragnehmer

Die vorstehenden Maßnahmen gelten für alle Module. Ergänzend gelten für einzelne Module die nachstehenden Maßnahmen.

Modulspezifische Maßnahmen — Flip Fusion

• Über die hierfür vorgesehene Verbindungsfunktion hinterlegte API-Schlüssel werden gesichert gespeichert und grundsätzlich nicht in Eingaben an das Sprachmodell übernommen; hiervon ausgenommen sind Schnittstellen, bei denen der Schlüssel technisch Bestandteil der Aufruf-URL ist und deshalb im Kontext der generierten Anwendung verarbeitet wird. Ergänzend prüft der Anbieter Eingaben automatisiert auf offenliegende Zugangsdaten; eine vollständige Erkennung wird nicht zugesichert. Entsprechendes gilt für E-Mail-Adressen in Eingaben. Der Verantwortliche stellt sicher, dass Zugangsdaten ausschließlich über diese Funktion und nicht über Freitextfelder hinterlegt werden. 

• Soweit der Anbieter Konnektoren bereitstellt: Bei Verbindungen über Konnektoren meldet sich jeder Nutzer mit seinem eigenen Konto beim Drittsystem an; Handlungen der generierten Anwendung erfolgen und werden dort unter der Identität des jeweiligen Nutzers protokolliert. Den Berechtigungsumfang legt der Verantwortliche fest. Wird abweichend ein für alle Nutzer gemeinsamer Zugang hinterlegt, entfällt diese Zuordnung. Zugriffs- und Erneuerungstoken werden gesichert gespeichert und bei Trennung der Verbindung gelöscht.

• Übergabe der Chat-Historie an das Sprachmodell nur, soweit für die Generierung oder Anpassung der jeweiligen generierten App erforderlich.

• Der Zugriff auf das Sprachmodell erfolgt über ein zentrales AI-Gateway; die Verarbeitung im Sprachmodell erfolgt zustandslos und ohne Nutzung der Kundendaten zum Training von Modellen. Am Gateway werden technische Metadaten (Zeitstempel, Statusinformationen) protokolliert.

• Löschung Fusion-bezogener Daten aus Sicherungskopien spätestens 30 Tage nach der Löschung im Produktivsystem; der generierte Quellcode wird zusammen mit einer daraus abgeleiteten Änderungsbeschreibung und einer Referenzkennung zusätzlich in einem Quellcode-Repository (Unterauftragsverarbeiter gemäß Anlage 3) gespeichert; der eingegebene Prompt wird dort nicht gespeichert. Mit Löschung der jeweiligen Fusion-Sitzung wird das zugehörige Repository-Projekt zur Löschung vorgemerkt und spätestens 60 Tage danach endgültig gelöscht; die ersten 30 Tage dienen als Wiederherstellungsfenster.

Modulspezifische Maßnahmen, Flip SharePoint Sync: 

• lesender Zugriff auf die vom Verantwortlichen konfigurierten Websites und deren Unterwebsites sowie auf den Terminologiespeicher, der sich technisch nicht auf einzelne Websites beschränken lässt; Dokumentbibliotheken werden nicht durchsucht;

• Authentifizierung über Zertifikat, Zugangsdaten verschlüsselt gespeichert; je Verantwortlichem eine eigene Instanz in getrennten Namensräumen, Container ohne erweiterte Rechte und mit schreibgeschütztem Dateisystem; 

• die Datenbank der Synchronisation enthält ausschließlich Zuordnungs- und Steuerungsdaten, keine Inhalte aus SharePoint; 

• Protokolle fehlgeschlagener Synchronisationen werden spätestens zwölf Monate nach ihrer Entstehung gelöscht; 

• bei Trennung der Verbindung oder Beendigung des Vertrages werden Instanz, Namensraum und Datenbank gelöscht.

Anlage 3 — Unterauftragsverarbeiter

Die maßgebliche, lebende Liste der Unterauftragsverarbeiter wird im Trust Center des Anbieters geführt: https://trust.getflip.com/. Die dort bei Vertragsschluss veröffentlichte Liste bildet die nach Ziff. 5.1 genehmigten Unterauftragsverarbeiter. Jede Änderung unterliegt Ziff. 5.3 und, soweit hierdurch eine Drittlandübermittlung entsteht, Ziff. 10.

Anlage 4 — Auswahl der Transfermechanismus-Module

A. Parteien

B. EU-SCC (Ziff. 10.1)

C. UK-Addendum (Ziff. 10.2)

D. Schweiz (Ziff. 10.3)

Zuständige Behörde: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB); Verweise auf die DSGVO gelten als Verweise auf das DSG; der Schutz erstreckt sich ausschließlich auf Personendaten natürlicher Personen im Sinne von Art. 5 lit. a DSG.

E. Data Privacy Framework (Ziff. 10.0)

Ist ein US-Unterauftragsverarbeiter für die betreffende Datenkategorie DPF-selbstzertifiziert, stützen sich Übermittlungen vorrangig auf das DPF; die vorstehenden SCC / das UK-Addendum / die Schweizer Anpassungen gelten hilfsweise. Der Anbieter überwacht die fortdauernde Gültigkeit des DPF-Angemessenheitsbeschlusses und die aktive Zertifizierung jedes Unterauftragsverarbeiters.