Auftragsverarbeitungsvereinbarung

Inhalt

1. 1. Geltungsbereich, Rollen und Begriffsbestimmungen
2. 2. Einzelheiten der Verarbeitung
3. 3. Die Weisungen des Kunden
4. 4. Vertraulichkeit befugter Personen
5. 5. Sicherheitsmaßnahmen
6. 6. Unterauftragsverarbeiter
7. 7. Speicherort der Daten und internationale Übermittlungen
8. 8. Unterstützung bei Anfragen betroffener Personen
9. 9. Meldung von Verletzungen des Schutzes personenbezogener Daten
10. 10. Datenschutz-Folgenabschätzungen und Konsultation von Aufsichtsbehörden
11. 11. Informationen und Audits
12. 12. Rückgabe und Löschung von Daten
13. 13. Behördliche Anfragen
14. 14. Haftung
15. 15. Laufzeit und Vorrang
16. 16. Datenschutzkontakt und Verzeichnis von Verarbeitungstätigkeiten
17. Anhang 1: Einzelheiten der Verarbeitung
18. Anhang 2: Technische und organisatorische Maßnahmen
19. Anhang 3: Unterauftragsverarbeiter

Fassung: 1.2 · Veröffentlicht: 16. Oktober 2026 · Wirksam: bei Annahme für neue Arbeitsbereiche; für Arbeitsbereiche, die eine frühere Fassung angenommen haben, an dem Datum, das STAK in seiner Mitteilung nach Ziffer 20 der Nutzungsbedingungen für Kunden nennt · Maßgeblicher Text: Englisch (Ziffer 23.9 der Nutzungsbedingungen für Kunden)

Ausgestellt von: STAK Global, LLC, eine nach dem Recht des Staates Delaware, Vereinigte Staaten von Amerika, gegründete Gesellschaft mit beschränkter Haftung (Aktennummer 10798493), der STAK (ستاك) und die Dienste gehören. Kontakt: [email protected].

1. Geltungsbereich, Rollen und Begriffsbestimmungen

1.1 Diese Auftragsverarbeitungsvereinbarung ist nach Ziffer 3.1 der STAK-Nutzungsbedingungen für Kunden (die „Bedingungen“) fester Bestandteil der Vereinbarung. Sie regelt die Verarbeitung personenbezogener Kundendaten durch STAK. In den Bedingungen definierte Begriffe haben in dieser Auftragsverarbeitungsvereinbarung dieselbe Bedeutung.

1.2 Der Kunde ist Verantwortlicher für personenbezogene Kundendaten, und STAK ist ein Auftragsverarbeiter, der sie im Namen und auf Weisung des Kunden verarbeitet.

• Verantwortlicher und Auftragsverarbeiter bezeichnen ihre Entsprechungen nach dem anwendbaren Datenschutzrecht, etwa die kontrollierende Stelle und die verarbeitende Stelle im Königreich Saudi-Arabien.
• Verarbeitet der Kunde die Daten als Auftragsverarbeiter im Namen eines anderen Verantwortlichen, verarbeitet STAK sie als Auftragsverarbeiter, der für den Kunden handelt, und ist kein Unterauftragsverarbeiter im Sinne von Ziffer 1.3. Der Kunde stellt sicher, dass seine Weisungen mit den Weisungen dieses Verantwortlichen übereinstimmen.
• STAK verarbeitet Kontodaten als Verantwortlicher, wie in der Datenschutzerklärung beschrieben, und diese Auftragsverarbeitungsvereinbarung gilt dafür nicht. Weder dieser Verweis noch der in Anhang 3 begründet vertragliche Pflichten nach Ziffer 3.2 der Bedingungen.

1.3 Die folgenden Begriffe haben die jeweils daneben angegebene Bedeutung:

• Personenbezogene Kundendaten: Personenbezogene Daten, die in Kundendaten enthalten sind, einschließlich Daten über die Endkunden, Beschäftigten, Lieferanten und Nutzer des Kunden, mit Ausnahme von Kontodaten.
• Sensible personenbezogene Daten: Gesundheits- und klinische Daten sowie alle Daten, die das anwendbare Datenschutzrecht als sensibel einstuft.
• Verarbeitung: jeder Vorgang, der mit personenbezogenen Daten ausgeführt wird, etwa Erheben, Aufzeichnen, Speichern, Abrufen, Verwenden, Offenlegen, Übermitteln und Löschen.
• Unterauftragsverarbeiter: jede Partei, die STAK mit der Verarbeitung personenbezogener Kundendaten zum Zweck der Erbringung der Dienste beauftragt.
• Betroffene Person: die natürliche Person, auf die sich personenbezogene Daten beziehen.
• Sicherheitsvorfall: jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit der Dienste bedroht oder im Verdacht steht, sie zu bedrohen.
• Verletzung des Schutzes personenbezogener Daten: jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust oder zur Veränderung personenbezogener Kundendaten oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Kundendaten führt.
• Backup: jede zu Wiederherstellungszwecken erstellte Kopie von Kundendaten, nach Ziffer 12.3 und Anhang 2.
• Produktivumgebung: die Systeme und Datenbanken, auf denen die Dienste laufen und die der Kunde nutzt, ausgenommen Backups.
• Anwendbares Datenschutzrecht: die Datenschutzgesetzgebung, die auf die Verarbeitung Anwendung findet, jeweils in der geltenden Fassung, einschließlich der folgenden:
  • im Staat Kuwait: das Gesetz Nr. 20 von 2014 über elektronische Transaktionen sowie die Verordnung zum Schutz der Datenprivatsphäre, der Regulierungsrahmen für Cloud Computing und die Datenklassifizierungsrichtlinie der Aufsichtsbehörde für Kommunikation und Informationstechnologie, jeweils in ihrem eigenen Anwendungsbereich;
  • das Gesetz zum Schutz personenbezogener Daten des Königreichs Saudi-Arabien, erlassen durch Königliches Dekret Nr. (M/19) vom 9/2/1443 AH, in der jeweils geänderten Fassung, seine Durchführungsverordnung und die Verordnung über die Übermittlung personenbezogener Daten außerhalb des Königreichs;
  • in den Vereinigten Arabischen Emiraten: das Bundesdekretgesetz Nr. (45) von 2021 über den Schutz personenbezogener Daten, das Bundesgesetz Nr. (2) von 2019 über die Nutzung von Informations- und Kommunikationstechnologie im Gesundheitswesen sowie die Datenschutzgesetze des Dubai International Financial Centre und des Abu Dhabi Global Market für die ihnen unterliegenden Personen;
  • Gesetz Nr. (30) von 2018 zur Erlassung des Gesetzes zum Schutz personenbezogener Daten des Königreichs Bahrain;
  • Gesetz Nr. (13) von 2016 über den Schutz der Privatsphäre personenbezogener Daten des Staates Katar;
  • das Gesetz zum Schutz personenbezogener Daten, erlassen durch Königliches Dekret Nr. (6/2022) des Sultanats Oman;
  • die Datenschutz-Grundverordnung der Europäischen Union (Verordnung (EU) 2016/679), soweit sie auf den Kunden Anwendung findet;
  • die Datenschutz-Grundverordnung des Vereinigten Königreichs und der Data Protection Act 2018; das Schweizerische Bundesgesetz über den Datenschutz; der California Consumer Privacy Act in seiner geänderten Fassung und die anderen umfassenden Datenschutzgesetze der Bundesstaaten der Vereinigten Staaten von Amerika; der Personal Information Protection and Electronic Documents Act von Kanada und die Gesetze der Provinzen; Brasiliens Lei Geral de Proteção de Dados (Gesetz Nr. 13.709/2018); Indiens Digital Personal Data Protection Act, 2023; das türkische Gesetz Nr. 6698 über den Schutz personenbezogener Daten; Ägyptens Gesetz Nr. 151 von 2020; Südafrikas Protection of Personal Information Act, 2013; Singapurs Personal Data Protection Act 2012; Australiens Privacy Act 1988; und jedes andere Datenschutzgesetz, das auf die Verarbeitung Anwendung findet.

2. Einzelheiten der Verarbeitung

Anhang 1 legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Kategorien personenbezogener Daten fest.

3. Die Weisungen des Kunden

3.1 STAK verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden. Diese Weisungen sind:

• die Vereinbarung;
• die Einstellungen des Arbeitsbereichs;
• die Handlungen der Nutzer innerhalb der Dienste;
• alle sonstigen schriftlichen Weisungen, auf die sich die Parteien einigen.

3.2 STAK darf die Daten abweichend von diesen Weisungen verarbeiten, wenn anwendbares Recht dies verlangt. Es benachrichtigt den Kunden vorab, sofern das Gesetz die Benachrichtigung nicht verbietet.

3.3 STAK benachrichtigt den Kunden, wenn es der Ansicht ist, dass eine Weisung gegen das anwendbare Datenschutzrecht verstößt. Es kann die Ausführung dieser Weisung ablehnen, bis der Kunde sie ändert, um den Verstoß zu beseitigen, oder sie schriftlich mit einer Angabe ihrer Rechtsgrundlage bestätigt, die STAK vernünftigerweise akzeptiert.

3.4 Der Kunde ist verantwortlich für die Rechtmäßigkeit seiner Weisungen und dafür, dass er eine Rechtsgrundlage hat, personenbezogene Kundendaten zu erheben und zu verarbeiten. Dazu gehört, betroffene Personen zu informieren und, soweit erforderlich, ihre Einwilligung einzuholen, einschließlich der Einwilligung in die Übermittlung ihrer Daten nach Ziffer 7.

4. Vertraulichkeit befugter Personen

STAK beschränkt den Zugriff auf personenbezogene Kundendaten auf die Beschäftigten und Auftragnehmer, die ihn für ihre Arbeit benötigen, und verpflichtet sie zur Vertraulichkeit. Beschäftigte und Auftragnehmer von STAK greifen nur in den folgenden Fällen auf Kundendaten zu, und der Beginn jedes solchen Zugriffs auf die Produktivumgebung wird protokolliert:

• (a) um den vom Kunden erbetenen Support zu leisten;
• (b) um die Dienste zu betreiben und zu warten und sie aus Backups wiederherzustellen;
• (c) um einen Sicherheitsvorfall oder einen vermuteten Verstoß gegen die Richtlinie zur zulässigen Nutzung zu untersuchen;
• (d) wenn das Gesetz dies verlangt.

5. Sicherheitsmaßnahmen

5.1 STAK wendet geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Kundendaten an, unter Berücksichtigung von Art und Risiken der Verarbeitung. Dazu gehören mindestens die Maßnahmen in Anhang 2.

5.2 STAK kann diese Maßnahmen aktualisieren, sofern das Gesamtniveau des Schutzes nicht sinkt.

5.3 Der Kunde ist verantwortlich für die Sicherheitsmaßnahmen unter seiner eigenen Kontrolle, etwa die Verwaltung von Nutzern und Berechtigungen, die Aktivierung der Zwei-Schritt-Anmeldung, die Absicherung seiner Geräte und Ausrüstung und die sichere Aufbewahrung der Daten, die er exportiert.

6. Unterauftragsverarbeiter

6.1 Der Kunde ermächtigt STAK, die in Anhang 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

6.2 STAK muss mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag abschließen. Der Vertrag muss Datenschutzpflichten auferlegen, die ein der Verarbeitung angemessenes und dieser Auftragsverarbeitungsvereinbarung im Wesentlichen gleichwertiges Schutzniveau bieten. STAK bleibt gegenüber dem Kunden für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter verantwortlich.

6.3 STAK benachrichtigt den Kunden über jeden neuen Unterauftragsverarbeiter mindestens 30 Tage, bevor er mit der Verarbeitung personenbezogener Kundendaten beginnt, innerhalb der Dienste oder per E-Mail.

6.4 Während der Ankündigungsfrist kann der Kunde dem neuen Unterauftragsverarbeiter aus angemessenen datenschutzrechtlichen Gründen schriftlich widersprechen. Können sich die Parteien nicht auf eine Lösung einigen, kann der Kunde das betroffene Abonnement oder die Vereinbarung vor Beginn der Verarbeitung kündigen und erhält eine Erstattung der im Voraus gezahlten Entgelte für den verbleibenden Zeitraum.

6.5 Verbundene Anbieter, die der Kunde über seine eigenen Konten anbindet, sind keine Unterauftragsverarbeiter von STAK. Dazu gehören Zahlungsdienstleister, Meta in Bezug auf das eigene WhatsApp-Business-Konto des Kunden und Lieferplattformen. Das Senden von Daten an sie auf Weisung des Kunden ist eine Übermittlung, die auf Anweisung des Kunden und in dessen Namen erfolgt.

6.6 Daten werden nur dann an den Anbieter der KI-Funktionen gesendet, wenn ein Nutzer eine dieser Funktionen anfordert, wenn ein Nutzer ein Dokument hochlädt, das eine dieser Funktionen auslesen soll, etwa einen Beleg, oder wenn eine von einem Nutzer eingerichtete Automatisierung einen Schritt ausführt, der KI verwendet, und es werden nur die Daten gesendet, die zur Ausführung dieser Anfrage oder dieses Schritts erforderlich sind. Der Anbieter darf sie nicht zum Training seiner Modelle verwenden. Sensible personenbezogene Daten werden ihm nur gesendet, wenn die Anfrage oder der Schritt selbst sie enthält.

7. Speicherort der Daten und internationale Übermittlungen

7.1 Die Dienste werden in der Produktivumgebung von Amazon Web Services in der Region Frankfurt in der Bundesrepublik Deutschland gehostet, und personenbezogene Kundendaten werden dort primär gespeichert. Backups werden in derselben Region aufbewahrt, und Kopien davon werden in einer gesonderten Region von Amazon Web Services in der Republik Irland erstellt.

7.2 Der Kunde nimmt Folgendes zur Kenntnis und genehmigt die sich daraus ergebenden Übermittlungen ausdrücklich:

• (a) das Hosting findet in der Europäischen Union statt, die außerhalb des Landes liegen kann, in dem der Kunde niedergelassen ist oder geschäftlich tätig ist;
• (b) Cloudflare verarbeitet den Netzwerkverkehr jederzeit über sein globales Netzwerk;
• (c) die übrigen in Anhang 3 aufgeführten Unterauftragsverarbeiter verarbeiten Daten in anderen Ländern, einschließlich der Vereinigten Staaten von Amerika, nur dann, wenn der betreffende Dienst genutzt wird;
• (d) Beschäftigte von STAK können vom Staat Kuwait aus auf die Daten zugreifen, nur in den in Ziffer 4 genannten Fällen.

7.3 Für Übermittlungen personenbezogener Kundendaten außerhalb des Landes, in dem sie erhoben wurden, wendet STAK die folgenden Garantien an:

• (a) die in Ziffer 6.2 genannten Verträge, einschließlich der Standardvertragsklauseln, die STAK mit Unterauftragsverarbeitern außerhalb der Europäischen Union abgeschlossen hat;
• (b) Verschlüsselung bei der Übertragung und im Ruhezustand;
• (c) die von dem anwendbaren Datenschutzrecht anerkannten Übermittlungsmechanismen, soweit es sie verlangt, einschließlich derjenigen in Ziffer 7.6.

7.4 Der Kunde muss jede Einwilligung oder Genehmigung einholen, die das Recht seines Landes für die Übermittlung personenbezogener Kundendaten aus diesem Land verlangt, sei es von einer Aufsichtsbehörde oder von betroffenen Personen. STAK stellt die dafür erforderlichen Informationen auf Verlangen bereit.

7.5 STAK kann das primäre Hosting oder die Backups in eine andere Region verlegen, nachdem es den Kunden mindestens 30 Tage im Voraus benachrichtigt hat, und der Kunde kann nach Ziffer 6.4 widersprechen, wobei eine Kündigung nach dieser Ziffer vor dem Datum der Verlegung wirksam wird. Der vorübergehende Betrieb der Dienste aus den Backups in der Republik Irland nach dem Verlust der primären Hosting-Region ist keine Verlegung im Sinne dieser Ziffer, und STAK benachrichtigt den Kunden unverzüglich darüber.

7.6 Gesetzlich erforderliche Übermittlungsmechanismen: unbeschadet von Ziffer 7.4:

• (a) Soweit die Datenschutz-Grundverordnung der Europäischen Union auf den Kunden Anwendung findet, sind die Standardvertragsklauseln, die durch den Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission angenommen wurden (die „EU-SCC“), durch Verweisung in diese Auftragsverarbeitungsvereinbarung einbezogen: Modul Zwei (Verantwortlicher an Auftragsverarbeiter), wenn der Kunde Verantwortlicher ist, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn er die Daten für einen anderen Verantwortlichen verarbeitet. Der Kunde ist der Datenexporteur und STAK der Datenimporteur. Klausel 7 (Kopplungsklausel) findet Anwendung. Nach Klausel 9(a) gilt Option 2 (allgemeine schriftliche Genehmigung) mit der Frist in Ziffer 6.3. Der optionale Wortlaut in Klausel 11(a) findet keine Anwendung. Nach den Klauseln 17 und 18 gelten das Recht und die Gerichte der Republik Irland. Die zuständige Aufsichtsbehörde bestimmt sich nach Klausel 13. Ihre Anhänge werden durch die Anhänge 1, 2 und 3 ausgefüllt. Sie gehen der Vereinbarung vor, wenn beide im Widerspruch stehen.
• (b) Soweit das Gesetz zum Schutz personenbezogener Daten des Königreichs Saudi-Arabien auf den Kunden Anwendung findet, sind die Standardvertragsklauseln für die Übermittlung personenbezogener Daten, herausgegeben von der Saudi Data and Artificial Intelligence Authority, Zweite Vorlage (Verantwortlicher an Auftragsverarbeiter), durch Verweisung in diese Auftragsverarbeitungsvereinbarung einbezogen. Der Kunde ist der Datenexporteur und STAK der Datenimporteur, und ihre Anlagen werden durch die Anhänge 1, 2 und 3 ausgefüllt. STAK stellt dem Kunden die Informationen zur Verfügung, die er für die Risikobewertung der Übermittlung benötigt, die er nach der Verordnung über die Übermittlung personenbezogener Daten außerhalb des Königreichs durchführen muss. Sie gehen der Vereinbarung vor, wenn beide im Widerspruch stehen.
• (c) Soweit das Bundesdekretgesetz Nr. (45) von 2021 der Vereinigten Arabischen Emirate auf den Kunden Anwendung findet, wendet STAK auf die übermittelten Daten die Bestimmungen, Maßnahmen und Kontrollen dieses Gesetzes an, soweit sie für einen Auftragsverarbeiter gelten.
• (d) Soweit die Datenschutz-Grundverordnung des Vereinigten Königreichs auf den Kunden Anwendung findet, ist der vom Information Commissioner des Vereinigten Königreichs herausgegebene International Data Transfer Addendum zu den EU-SCC (Version B1.0, in Kraft seit dem 21. März 2022, in der jeweils später geänderten Fassung) durch Verweisung einbezogen. Die Tabellen 1 bis 3 werden mit den Angaben der Parteien in der Vereinbarung und in den Anhängen 1 bis 3 ausgefüllt. Für Tabelle 4 kann jede Partei den Addendum so beenden, wie ihr Abschnitt 19 es zulässt.
• (e) Soweit das Schweizerische Bundesgesetz über den Datenschutz auf den Kunden Anwendung findet, gelten die EU-SCC mit folgenden Änderungen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die zuständige Aufsichtsbehörde für Übermittlungen, die diesem Gesetz unterliegen; Verweise auf die DSGVO schließen dieses Gesetz ein; und „Mitgliedstaat“ ist so zu verstehen, dass betroffene Personen in der Schweiz ihre Ansprüche in der Schweiz geltend machen können.
• (f) Verlangt ein anderes anwendbares Datenschutzrecht ein bestimmtes Übermittlungsinstrument, etwa die Standardvertragsklauseln der nationalen Datenschutzbehörde Brasiliens oder den Standardvertrag nach dem türkischen Gesetz Nr. 6698, unterzeichnet oder inkorporiert STAK dieses Instrument auf Verlangen des Kunden, wobei seine Angaben aus den Anhängen 1 bis 3 ergänzt werden.
• (g) Soweit der California Consumer Privacy Act oder ein ähnliches Datenschutzgesetz eines US-Bundesstaats Anwendung findet, handelt STAK als Dienstleister, Auftragnehmer oder Auftragsverarbeiter des Kunden. STAK verkauft personenbezogene Kundendaten nicht und gibt sie nicht für Zwecke der Weitergabe frei. STAK behält sie nicht ein, nutzt sie nicht und legt sie nicht offen für andere Zwecke als die Erbringung der Dienste nach der Vereinbarung oder außerhalb der unmittelbaren Geschäftsbeziehung zum Kunden. STAK führt sie nicht mit personenbezogenen Informationen aus anderen Quellen zusammen, außer soweit diese Gesetze es erlauben. STAK hält diese Gesetze ein und gewährt das gleiche Datenschutzniveau, das sie verlangen. STAK teilt dem Kunden mit, wenn es diese Pflichten nicht mehr erfüllen kann. Der Kunde kann angemessene Schritte ergreifen, um eine unbefugte Nutzung zu beenden und zu beheben. STAK bestätigt, dass es diese Beschränkungen versteht.

7.7 Daten, die in einem bestimmten Land verbleiben müssen: der Kunde darf in den Diensten keine Daten speichern, die nach anwendbarem Recht innerhalb eines bestimmten Landes gespeichert oder verarbeitet werden müssen, es sei denn, die Dienste zeigen nach Ziffer 9.5 der Bedingungen an, dass das Hosting in diesem Land für die betreffende App verfügbar ist. Dies folgt aus Ziffer 13.4 der Bedingungen und Ziffer 5.4 der Richtlinie zur zulässigen Nutzung.

8. Unterstützung bei Anfragen betroffener Personen

8.1 Die Dienste geben dem Kunden Werkzeuge zum Einsehen, Exportieren und Berichtigen der personenbezogenen Daten seiner Endkunden, ein Werkzeug zu ihrer Löschung durch Ersetzen ihrer Identität durch ein Pseudonym unter Beibehaltung der Aufzeichnungen, die das Gesetz aufzubewahren verlangt, sowie Werkzeuge zum Einsehen und Berichtigen der Daten seiner Beschäftigten. Der Kunde verwendet diese Werkzeuge, um Anfragen betroffener Personen zu beantworten, und STAK unterstützt nach Ziffer 8.3 bei allem, was sie nicht abdecken, einschließlich Export und Löschung von Beschäftigtendaten.

8.2 Erhält STAK eine Anfrage einer betroffenen Person direkt zu personenbezogenen Kundendaten, leitet es sie unverzüglich an den Kunden weiter und antwortet nur auf Weisung des Kunden.

8.3 STAK unterstützt den Kunden angemessen bei allem, was die verfügbaren Werkzeuge nicht abdecken.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

9.1 STAK benachrichtigt den Kunden unverzüglich, nachdem es von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die personenbezogene Kundendaten betrifft. Es tut dies nach Möglichkeit innerhalb von 24 Stunden nach Kenntniserlangung und in jedem Fall innerhalb von 48 Stunden.

9.2 Die Mitteilung enthält, soweit die Informationen verfügbar sind:

• (a) die Art der Verletzung;
• (b) die Kategorien der Daten und der betroffenen Personen sowie deren ungefähre Anzahl;
• (c) die wahrscheinlichen Folgen;
• (d) die ergriffenen und vorgeschlagenen Maßnahmen zur Behebung der Verletzung;
• (e) eine Kontaktstelle bei STAK.

STAK stellt weitere Informationen bereit, sobald sie verfügbar sind.

9.3 STAK ergreift sofort angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen. Es wirkt mit dem Kunden bei der Benachrichtigung von Aufsichtsbehörden und betroffenen Personen mit, soweit der Kunde dazu verpflichtet ist, unter Berücksichtigung der Fristen, die das Gesetz dem Kunden setzt. Verlangt anwendbares Recht, dass STAK selbst eine Aufsichtsbehörde über die Verletzung benachrichtigt, tut STAK dies innerhalb der vorgeschriebenen Frist und teilt es dem Kunden mit.

9.4 Die Mitteilung von STAK über eine Verletzung oder seine Mitwirkung bei deren Bewältigung ist kein Eingeständnis eines Verschuldens oder einer Haftung.

10. Datenschutz-Folgenabschätzungen und Konsultation von Aufsichtsbehörden

Auf Verlangen des Kunden stellt STAK die angemessenen Informationen bereit, die für die Durchführung einer Datenschutz-Folgenabschätzung oder die Konsultation einer Aufsichtsbehörde erforderlich sind, soweit sie die Dienste betreffen.

11. Informationen und Audits

11.1 Auf Verlangen des Kunden stellt STAK die Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung dieser Auftragsverarbeitungsvereinbarung nachzuweisen. Dazu gehören Sicherheitsdokumentation und die Beantwortung eines Sicherheitsfragebogens pro Jahr.

11.2 Der Kunde kann auf eigene Kosten ein Audit durchführen oder von einem unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen, in den folgenden Fällen:

• (a) wenn eine Regulierungsbehörde dies verlangt;
• (b) nach einer Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft;
• (c) wenn die nach Ziffer 11.1 bereitgestellten Informationen nicht ausreichen.

Das Audit unterliegt diesen Bedingungen:

• Der Kunde teilt STAK das Audit mindestens 30 Tage im Voraus mit.
• Sie findet während der Geschäftszeiten an Geschäftstagen statt.
• Ein Audit nach Absatz (c) findet höchstens einmal im Jahr statt.
• Kein Audit erstreckt sich auf die Einrichtungen von Unterauftragsverarbeitern. Stattdessen genügen deren Zertifizierungen und unabhängige Berichte.
• Kein Audit umfasst den Zugriff auf Daten anderer Kunden oder auf irgendetwas, das deren Sicherheit beeinträchtigt.

12. Rückgabe und Löschung von Daten

12.1 Der Kunde kann personenbezogene Kundendaten jederzeit und für 30 Tage nach Ende der Vereinbarung exportieren, gemäß Ziffer 19.5 der Bedingungen.

12.2 Nach Ablauf der Exportfrist löscht STAK die personenbezogenen Kundendaten innerhalb von 30 Tagen aus der Produktivumgebung, es sei denn, anwendbares Recht verlangt ihre Aufbewahrung, und vorbehaltlich der Sperre nach Ziffer 19.5 der Bedingungen, solange STAK über einen Rechtsstreit, eine Untersuchung oder eine Anfrage einer zuständigen Behörde benachrichtigt worden ist.

12.3 Backups werden für die folgenden Aufbewahrungsfristen gespeichert:

• (a) Wiederherstellung zu einem beliebigen Zeitpunkt und tägliche Backups: 35 Tage ab dem Datum, an dem das jeweilige Backup erstellt wird;
• (b) nächtliche logische Backups der Datenbank (Datenbank-Dumps): 35 Tage;
• (c) monatliche Backups: 12 Monate ab dem Datum, an dem das jeweilige Backup erstellt wird;
• (d) frühere Versionen hochgeladener Dateien: 90 Tage ab dem Datum, an dem sie ersetzt oder gelöscht werden.

Regeln, die für diese Backups gelten:

• Tägliche und monatliche Backups und ihre Kopien werden in Backup-Tresoren gehalten, deren Richtlinie verhindert, dass jemand, auch die eigenen Beschäftigten von STAK, ein Backup vor Ablauf seiner Aufbewahrungsfrist löscht oder diese Frist ändert, und deren Sperre im Compliance-Modus des Hosting-Anbieters die Löschung jedes Backups zumindest während seiner ersten 35 Tage verhindert.
• Nächtliche logische Backups sind bis zum Ablauf ihrer Aufbewahrungsfrist vor Änderung und Löschung geschützt.
• STAK löscht kein Backup vor Ablauf seiner Aufbewahrungsfrist, auch nicht auf Wunsch des Kunden.
• Alle Backups werden außer Gebrauch gesetzt und nur zur technischen Wiederherstellung verwendet, vorbehaltlich Ziffer 12.4, oder wenn das Gesetz es verlangt.
• Alle Backups, die gelöschte Daten enthalten, laufen mit dem Ende dieser Fristen ab, das heißt spätestens innerhalb von 12 Monaten, und die gelöschten Daten werden dann endgültig vernichtet.
• Auf Verlangen teilt STAK dem Kunden das Datum mit, an dem das letzte Backup, das gelöschte Daten enthält, abläuft, damit der Kunde es der betroffenen Person mitteilen kann.

12.4 Stellt STAK in diesen Zeiträumen ein Backup wieder her, wendet es vor der Bereitstellung der Daten die nach Ziffer 8.1 durchgeführten Löschungen und die nach Ziffer 12.2 nach dem Datum dieses Backups vorgenommenen Löschungen anhand der Aufzeichnungen, die es über diese Vorgänge führt, erneut an.

13. Behördliche Anfragen

Erhält STAK von einer Regierungs- oder Justizbehörde ein verbindliches Verlangen auf Offenlegung personenbezogener Kundendaten, benachrichtigt es den Kunden, sofern das Gesetz die Benachrichtigung nicht verbietet. STAK beschränkt die Offenlegung auf das Minimum, das das Verlangen erfordert. Es ficht Verlangen, die es vernünftigerweise für rechtswidrig hält, mit den verfügbaren Rechtsmitteln an.

14. Haftung

Die Haftung jeder Partei nach dieser Auftragsverarbeitungsvereinbarung, einschließlich ihrer Haftung gegenüber der anderen Partei nach den Standardvertragsklauseln in Ziffer 7.6, unterliegt den Haftungsbeschränkungen in Ziffer 16 der Bedingungen, soweit diese Ziffern dies zulassen und ohne die Rechte betroffener Personen aus ihnen zu berühren.

15. Laufzeit und Vorrang

15.1 Diese Auftragsverarbeitungsvereinbarung gilt, solange STAK personenbezogene Kundendaten verarbeitet.

15.2 Steht diese Auftragsverarbeitungsvereinbarung im Widerspruch zu den Bedingungen, geht sie diesen in Angelegenheiten vor, die personenbezogene Kundendaten betreffen.

15.3 Auferlegt das anwendbare Datenschutzrecht eine zwingende Pflicht, die strenger ist als diese Auftragsverarbeitungsvereinbarung, gilt diese Pflicht in ihrem Anwendungsbereich.

16. Datenschutzkontakt und Verzeichnis von Verarbeitungstätigkeiten

STAK hat einen Datenschutzkontakt benannt, der per E-Mail unter [email protected] erreichbar ist. STAK führt ein Verzeichnis der Verarbeitungstätigkeiten, die es im Auftrag von Kunden durchführt, und stellt es der zuständigen Aufsichtsbehörde zur Verfügung, wenn das Gesetz dies verlangt.

Anhang 1: Einzelheiten der Verarbeitung

• Gegenstand: Erbringung der Dienste für den Kunden nach den Bedingungen.
• Dauer: die Laufzeit der Vereinbarung, die Export- und Löschfrist danach nach Ziffer 12, die Backup-Aufbewahrungsfristen in Ziffer 12.3 und die Aufbewahrungsfristen der Unterauftragsverarbeiter nach Anhang 3.
• Art und Zweck:
  • Speicherung und Hosting von Kundendaten;
  • Verarbeitung von Verkäufen, Bestellungen, Buchungen und Rechnungen;
  • Verwaltung von Lagerbestand, Buchhaltung, Personalwesen und Lohnabrechnung;
  • Versand der Nachrichten, die der Kunde über seine eigenen Konten bei Verbundenen Anbietern oder über die von STAK eingesetzten Nachrichtenanbieter anfordert, sobald diese in Anhang 3 aufgeführt sind;
  • Bereitstellung von KI-Funktionen, wenn sie genutzt werden;
  • Backups, Sicherheit und Support.
• Kategorien betroffener Personen:
  • die Endkunden, Gäste und Patienten des Kunden;
  • seine Beschäftigten und Stellenbewerber;
  • Nutzer;
  • seine Lieferanten und deren Kontakte;
  • Fahrer und Kuriere.
• Kategorien personenbezogener Daten:
  • Identitäts- und Kontaktdaten, etwa Name, Telefon, E-Mail, Adresse und Lieferort;
  • Aufzeichnungen über Transaktionen, Bestellungen, Buchungen und Rechnungen;
  • mit Zahlungen verknüpfte Referenzen, ohne vollständige Kartennummern;
  • Treuedaten, Präferenzen und Einwilligungen;
  • Daten über die Beschäftigten des Kunden, etwa Zivilausweisnummer, Aufenthaltsangaben, Gehalt, internationale Bankkontonummer (IBAN), Anwesenheit und Urlaub;
  • vom Kunden hochgeladene Fotos und Dokumente;
  • Nachrichtenprotokolle und der Prüfpfad.
• Sensible personenbezogene Daten: Gesundheits- und klinische Daten bei Nutzung der Klinik-Apps, vorbehaltlich Ziffer 7.7 und Ziffer 13.4 der Bedingungen, wonach die Patientenakten-Funktionen nicht für Patienten verwendet werden dürfen, die im Staat Kuwait oder in den Vereinigten Arabischen Emiraten Gesundheitsleistungen erhalten; sowie Gesundheitsdaten in Personalakten, etwa Krankmeldungen. Klinische Aufzeichnungen und Personalakten werden mit gesonderten Schlüsseln verschlüsselt, und diese Daten sind nur für Nutzer sichtbar, die die zur Einsicht berechtigten Rollen innehaben. Diagnose- und Verfahrenscodes in Versicherungsansprüchen und Vorabgenehmigungen sowie Bilder von Versicherungskarten sind durch die Verschlüsselung von Datenbank und Speicher in Anhang 2 geschützt.

Anhang 2: Technische und organisatorische Maßnahmen

1. Verschlüsselung:
   • Daten bei der Übertragung werden mit TLS in Version 1.2 oder höher verschlüsselt, und die Identität des Datenbankservers wird bei jeder Verbindung überprüft.
   • Ruhende Daten in Datenbanken, auf Datenträgern, in Dateien, in Backups und im Speicher für Geheimnisse werden mit AES-256 verschlüsselt, mit Schlüsseln, die über den AWS Key Management Service (AWS KMS) oder durch den Hosting-Anbieter verwaltet werden.
   • Personalakten und klinische Aufzeichnungen werden zusätzlich innerhalb der Anwendung mit gesonderten Schlüsseln verschlüsselt, und Verbindungsdaten für Verbundene Anbieter werden in einem gesonderten Speicher für Geheimnisse gehalten, der mit einem gesonderten Schlüssel verschlüsselt ist.
2. Trennung der Daten jedes Kunden: jeder Kundendatensatz trägt die Kennung des Unternehmens, zu dem er gehört. Sicherheitsrichtlinien auf Zeilenebene in der Datenbank gelten für die Rolle der Anwendung, und die Rolle der Anwendung hat keine Berechtigung, sie zu umgehen. Beschränkungen mit zusammengesetzten Schlüsseln verhindern, dass Datensätze eines Unternehmens mit Datensätzen eines anderen verknüpft werden.
3. Zugriffskontrolle:
   • Der Zugriff wird nach dem Prinzip der minimalen Rechtevergabe gewährt.
   • Der Zugriff auf die Produktivumgebung ist auf namentlich benannte Beschäftigte von STAK beschränkt, erfordert eine Multi-Faktor-Authentifizierung, und der Beginn jedes Zugriffs wird protokolliert.
   • Der administrative Zugriff auf Server erfolgt ausschließlich über AWS Systems Manager, ohne direkte Anmeldung (SSH).
4. Sicherheit der Nutzeranmeldung:
   • Für Nutzer bieten die Dienste Passkeys, Authenticator-Apps und Bestätigungscodes, die an ein verifiziertes Telefon gesendet werden.
   • Für den Kunden bieten sie anpassbare Rollen und Berechtigungen, nach Filialen eingeschränkten Zugriff und, in den Tarifen, die sie enthalten, Regeln für Sitzungsinaktivität sowie Warnungen an Inhaber bei Anmeldungen von neuen Geräten.
5. Prüfpfad: es wird ein Prüfpfad von Änderungen geführt, den kein Nutzer ändern oder löschen kann. Er zeichnet Akteur, Zeitpunkt, Quelle und IP-Adresse auf. Löscht der Kunde nach Ziffer 8.1 die personenbezogenen Daten eines Endkunden, verlieren die Einträge die identifizierenden Angaben dieser Person, behalten aber, was getan wurde, von wem und wann. Der Prüfpfad wird nach Ziffer 12 zusammen mit den Kundendaten gelöscht. Buchungseinträge sind in einer Kette verknüpft, die jede Manipulation offenlegt.
6. Backups und Wiederherstellung:
   • automatisierte, laufende Backups ermöglichen eine Wiederherstellung zu einem beliebigen Zeitpunkt innerhalb von 35 Tagen;
   • tägliche Backups werden 35 Tage und monatliche Backups 12 Monate aufbewahrt und in eine gesonderte geografische Region in der Republik Irland kopiert. Die Richtlinie der Backup-Tresore verhindert ihre Löschung vor Ablauf der Aufbewahrungsfrist oder jede Änderung dieser Frist, und eine Sperre im Compliance-Modus verhindert die Löschung jedes Backups zumindest während seiner ersten 35 Tage;
   • jede Nacht wird ein logisches Backup der Datenbank erstellt und 35 Tage lang in einem vor Änderung und Löschung geschützten Speicher aufbewahrt;
   • die Wiederherstellung der Datenbank aus Backups wird jeden Monat getestet.
7. Zahlungsdaten: die Dienste sind so gestaltet, dass STAK keine vollständigen Kartennummern speichert. Zahlungen erfolgen auf Seiten, die von Zahlungsdienstleistern gehostet werden, oder auf deren zertifizierten Kartenakzeptanzterminals und -Apps. Die Bildschirme der Dienste enthalten keine Felder zur Eingabe von Kartendaten, und die Dienste ermöglichen es dem Kunden, Freitextfelder auf versehentlich eingegebene Kartennummern zu durchsuchen, damit diese entfernt werden können.
8. Netzwerk und Infrastruktur: Datenbanken laufen in privaten Netzwerken, die nicht öffentlich erreichbar sind, hinter Firewalls. Eine Web Application Firewall und ein Schutz vor Denial-of-Service-Angriffen werden über Cloudflare bereitgestellt.
9. Schwachstellenmanagement und sichere Entwicklung: Code wird geprüft, und automatisierte Tests laufen vor jeder Veröffentlichung. Softwarebibliotheken werden geprüft, und Sicherheitsupdates werden unverzüglich eingespielt.
10. Überwachung und Reaktion auf Vorfälle:
    • die Cloud-Infrastruktur wird automatisch rund um die Uhr überwacht, mit sofortigen Warnmeldungen;
    • jede administrative Handlung an der Cloud-Infrastruktur wird protokolliert, und Bedrohungen und überschüssige Berechtigungen werden automatisch durch spezielle Amazon-Dienste erkannt (AWS CloudTrail, GuardDuty und IAM Access Analyzer);
    • es gelten dokumentierte Verfahren für die Reaktion auf Sicherheitsvorfälle und für die Benachrichtigung nach Ziffer 9.
11. Geschäftskontinuität: es gelten Kontinuitäts- und Wiederherstellungspläne entsprechend den Wiederherstellungszielen in der Service-Level-Vereinbarung.
12. Personal: Die Beschäftigten und Auftragnehmer von STAK sind zur Vertraulichkeit verpflichtet und erhalten Schulungen zum Sicherheitsbewusstsein.
13. Sichere Löschung: Daten werden nach Ziffer 12 gelöscht, und der Hosting-Anbieter vernichtet Datenträger nach seinen Standards.

Anhang 3: Unterauftragsverarbeiter

Anbieter, die nur bei Aktivierung eingesetzt werden. STAK hat die folgenden Anbieter eingerichtet, setzt sie aber heute nicht zur Verarbeitung personenbezogener Kundendaten ein. STAK beginnt erst nach einer Mitteilung gemäß Ziffer 6.3, mindestens 30 Tage im Voraus, mit der Nutzung eines von ihnen, und die Mitteilung gibt an, wo der Anbieter die Daten verarbeitet und wie lange er sie aufbewahrt.

Sobald STAK seine eigene WhatsApp-Nummer aktiviert, sendet Meta von dort Anmeldecodes an Nutzer und Bestätigungscodes an Endkunden, die auf den Öffentlichen Seiten ihre Telefonnummer bestätigen. Dabei verarbeitet es Daten, die STAK nach der Datenschutzerklärung als Verantwortlicher verarbeitet, keine personenbezogenen Kundendaten.

Abgesehen von den oben genannten Anbietern setzt STAK keine Anbieter für Textnachrichten, Push-Benachrichtigungen, digitale Wallets oder Adresssuche, -prüfung und -kartierung ein, um personenbezogene Kundendaten zu verarbeiten.