AVV

Auftragsverarbeitungsvereinbarung

MAD Tech GmbH · blankmile · Version 4.0 · Stand 12. Oktober 2026

gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

Diese Auftragsverarbeitungsvereinbarung („AVV“) wird zwischen dem jeweiligen Kunden als Verantwortlichem („Auftraggeber“) und der MAD Tech GmbH, Volksfeststraße 16, 4910 Ried im Innkreis, Österreich, FN 581762 h, als Auftragsverarbeiter („MAD Tech“) geschlossen. Die Identität des Auftraggebers ergibt sich aus dem jeweiligen Angebot, Bestellformular oder Hauptvertrag.

Diese AVV ergänzt den jeweiligen Vertrag über die Nutzung von blankmile („Hauptvertrag“). Sie wird durch ausdrückliche Einbeziehung in ein vom Auftraggeber angenommenes Angebot, Bestellformular oder einen sonstigen Hauptvertrag verbindlich vereinbart; eine gesonderte Unterzeichnung dieser AVV ist nicht erforderlich. Bei Widersprüchen hinsichtlich der Auftragsverarbeitung geht diese AVV vor; zwingendes Datenschutzrecht bleibt unberührt.

§ 1 Gegenstand und Vertragsdauer

1. MAD Tech verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zur Bereitstellung, zum Betrieb, zur Wartung und zur Absicherung der cloudbasierten Kommunikationsplattform blankmile einschließlich der vertraglich vereinbarten Funktionen, Schnittstellen, API-Funktionen und Integrationen mit bestehenden Systemen und Anwendungen. Art, Zweck, Datenkategorien und betroffene Personen sind in Anlage 1 beschrieben.

2. Die Verarbeitung beginnt mit Bereitstellung der vereinbarten Dienste und dauert grundsätzlich für die Laufzeit des Hauptvertrags sowie für eine anschließende, weisungsgemäße Rückgabe- und Löschphase. Gesetzlich zulässige Aufbewahrung und technisch bedingte Backup-Rotation bleiben nach Maßgabe von § 11 unberührt.

§ 2 Rollen und Weisungen

1. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; MAD Tech handelt bei den in Anlage 1 beschriebenen Tätigkeiten als Auftragsverarbeiter. Eigenständige Verarbeitungen von MAD Tech, etwa zur eigenen Vertrags- und Rechnungsverwaltung, sind nicht Gegenstand dieser AVV.

2. MAD Tech verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen in Drittländer, sofern nicht eine gesetzliche Pflicht zur Verarbeitung besteht. In diesem Fall informiert MAD Tech den Auftraggeber vorab, soweit gesetzlich zulässig.

3. Als dokumentierte Weisungen gelten insbesondere die vertraglich vereinbarte Leistung, kundenseitige Administrations- und Löschkonfigurationen sowie Weisungen in Textform an den benannten Supportkontakt. Weisungen außerhalb des vereinbarten Leistungsumfangs können einer gesonderten Vergütungs- und Umsetzungsvereinbarung bedürfen.

4. Hält MAD Tech eine Weisung für datenschutzrechtswidrig, weist MAD Tech den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen, soweit rechtlich geboten.

5. Soweit der Auftraggeber vertraglich vereinbarte Schnittstellen, APIs oder Integrationen nutzt, darf MAD Tech personenbezogene Daten im Rahmen der dokumentierten Weisungen des Auftraggebers aus angebundenen Systemen empfangen, an diese übermitteln oder mit diesen austauschen. Die vom Auftraggeber vorgenommene Konfiguration und Aktivierung entsprechender Funktionen sowie die vertraglich vereinbarte Einrichtung einer Integration gelten insoweit als dokumentierte Weisung, soweit die betreffenden Datenflüsse und Zwecke daraus hinreichend bestimmt hervorgehen. Der Auftraggeber ist für die datenschutzrechtliche Zulässigkeit der von ihm veranlassten Datenübermittlungen sowie für die Auswahl und datenschutzrechtliche Einbindung der angebundenen Systeme verantwortlich. Soweit MAD Tech für die Durchführung einer Integration eigene Unterauftragsverarbeiter einsetzt, gelten die Bestimmungen des § 6 dieser AVV. Die eigenen gesetzlichen und vertraglichen Datenschutzpflichten von MAD Tech bleiben unberührt.

§ 3 Pflichten des Auftraggebers

1. Der Auftraggeber ist verantwortlich für Rechtmäßigkeit, Transparenz, Rechtsgrundlagen, Zweckbestimmung und Speicherbegrenzung der von ihm veranlassten Verarbeitung, einschließlich der Verarbeitung von Beschäftigten- und Endkundendaten sowie des Einsatzes aktivierter KI-Funktionen.

2. Der Auftraggeber stellt erforderliche Informationen bereit und prüft gegebenenfalls Einwilligungen oder sonstige Rechtsgrundlagen für Audioübertragung, Transkription, Übersetzung, Speicherung und sonstige Verarbeitung. Einschlägige nationale Straf- und Arbeitsrechtsvorschriften sind zu beachten.

3. Der Auftraggeber verwaltet Benutzerberechtigungen, aktiviert optionale Funktionen bewusst und konfiguriert Aufbewahrung und Löschung entsprechend seinen gesetzlichen Pflichten.

§ 4 Vertraulichkeit und Personal

1. MAD Tech stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind und personenbezogene Daten nur im erforderlichen Umfang einsehen. Zugriffsberechtigungen werden rollenbasiert vergeben und überprüft.

2. Die Parteien behandeln alle im Zusammenhang mit dieser AVV bekannt werdenden nicht öffentlichen geschäftlichen, technischen und organisatorischen Informationen der jeweils anderen Partei vertraulich. Dies gilt insbesondere für Sicherheitskonzepte, TOM-Dokumentationen, technische Infrastrukturangaben, Zugangsinformationen, Kundendaten und Geschäftsgeheimnisse. Eine Weitergabe ist nur zulässig, soweit sie zur Vertragserfüllung erforderlich oder gesetzlich vorgeschrieben ist; empfangende Personen sind angemessen zur Vertraulichkeit zu verpflichten. Die Pflicht besteht nach Vertragsende fort, solange ein berechtigtes Geheimhaltungsinteresse besteht. Gesetzliche Auskunfts-, Prüfungs- und Offenlegungspflichten bleiben unberührt. Ergänzend gilt die Geheimhaltungsregelung des Hauptvertrags.

§ 5 Technische und organisatorische Maßnahmen

1. MAD Tech setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um und hält diese während der Vertragslaufzeit aufrecht. Das Schutzniveau berücksichtigt insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie Risiken, Stand der Technik, Implementierungskosten und Art, Umfang, Umstände und Zwecke der Verarbeitung. Hierzu gehören insbesondere rollenbasierte Zugriffsbeschränkungen, Mandantentrennung, Verschlüsselung bei Übertragung und Speicherung, Datensicherungen, Protokollierung und Sicherheitsüberwachung.

2. Die konkreten Maßnahmen sind in einer gesonderten, von MAD Tech gepflegten TOM-Dokumentation beschrieben. MAD Tech stellt dem Auftraggeber diese Dokumentation auf Anfrage in der jeweils aktuellen Fassung zur Verfügung, auch vor Beginn der Verarbeitung, damit der Auftraggeber das Schutzniveau beurteilen kann. Die TOM-Dokumentation wird nicht Bestandteil der Anlagen dieser Vereinbarung.

3. MAD Tech darf Maßnahmen anpassen, ergänzen und durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das insgesamt zugesicherte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen mit möglichen nachteiligen Auswirkungen auf die Sicherheit der Auftragsverarbeitung werden dem Auftraggeber rechtzeitig in geeigneter Form mitgeteilt. Solche Änderungen erfordern keine Neufassung oder erneute Unterzeichnung dieser AVV. Gesetzliche Informations-, Nachweis- und Prüfungsrechte bleiben unberührt.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter. MAD Tech stellt mit diesen die erforderlichen vertraglichen Pflichten gemäß Art. 28 Abs. 4 DSGVO sicher und bleibt gegenüber dem Auftraggeber für deren datenschutzrechtliche Pflichterfüllung nach Maßgabe des Gesetzes verantwortlich.

2. Beabsichtigte Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern werden grundsätzlich mindestens 30 Kalendertage vorher über einen vereinbarten Kommunikationskanal mitgeteilt. Der Auftraggeber kann innerhalb dieser Frist aus sachlich begründeten datenschutzrechtlichen Gründen widersprechen.

3. Bei Widerspruch bemühen sich die Parteien um eine zumutbare Alternative. Ist diese nicht möglich, kann der Auftraggeber den betroffenen Dienstteil vor Wirksamwerden der Änderung außerordentlich beenden, soweit die Fortführung unzumutbar wäre. Notfallbedingte Änderungen zur Gewährleistung von Sicherheit oder Kontinuität können ausnahmsweise kurzfristiger erfolgen; MAD Tech informiert unverzüglich.

4. Eine weitere Unterbeauftragung durch genehmigte Dienstleister ist zulässig, soweit die datenschutzrechtlich erforderlichen Verpflichtungen und Transparenzpflichten in der Unterauftragskette eingehalten werden.

§ 7 Drittlandübermittlungen

1. Die reguläre persistente Speicherung produktiver blankmile-Kundendaten erfolgt nach den dokumentierten technischen Angaben in Microsoft Azure-Rechenzentren innerhalb der EU. Dies ist keine Zusicherung, dass jede Echtzeitübertragung, Dienstleisterverarbeitung oder jeder technisch notwendige Zugriff ausschließlich innerhalb der EU stattfindet.

2. Übermittlungen in Drittländer einschließlich relevanter Fernzugriffe erfolgen nur bei Vorliegen einer zulässigen Grundlage nach Kapitel V DSGVO, insbesondere Angemessenheitsbeschluss (gegebenenfalls EU-US Data Privacy Framework bei gültiger Zertifizierung) oder geeigneten Standardvertragsklauseln samt erforderlichen ergänzenden Maßnahmen.

3. Die eingesetzten Unterauftragsverarbeiter und ihre Leistungen sind in Anlage 3 aufgeführt. MAD Tech stellt die Einhaltung der für die jeweiligen Übermittlungen anwendbaren Anforderungen nach Kapitel V DSGVO sicher und stellt auf berechtigte Anfrage geeignete Informationen zu den eingesetzten Schutzmechanismen bereit.

§ 8 Unterstützung und Betroffenenrechte

1. MAD Tech unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und verfügbarer Informationen angemessen bei Betroffenenrechten gemäß Kapitel III DSGVO, bei Datenschutz-Folgenabschätzungen, Konsultationen sowie den Pflichten aus Art. 32 bis 36 DSGVO.

2. Anfragen betroffener Personen, die MAD Tech in seiner Rolle als Auftragsverarbeiter erreichen, werden an den Auftraggeber weitergeleitet, soweit rechtlich zulässig. MAD Tech beantwortet diese nicht eigenständig inhaltlich, sofern keine Weisung oder gesetzliche Pflicht besteht.

3. Über den üblichen Leistungsumfang hinausgehende Unterstützungsleistungen können nach vorheriger Abstimmung angemessen vergütet werden; gesetzlich zwingende Mitwirkungspflichten bleiben unberührt.

§ 9 Datenschutzverletzungen

1. MAD Tech informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO. Soweit zu diesem Zeitpunkt verfügbar, umfasst die Meldung Art und Umfang des Vorfalls, betroffene Daten und Personen, mögliche Folgen, getroffene oder geplante Maßnahmen und einen Kontakt für Rückfragen.

2. Fehlende Einzelinformationen werden ohne unangemessene Verzögerung nachgereicht. MAD Tech unterstützt den Auftraggeber bei der Bewertung und Erfüllung etwaiger Melde- und Benachrichtigungspflichten; die Entscheidung über behördliche Meldungen des Verantwortlichen obliegt dem Auftraggeber.

§ 10 Nachweise und Kontrollen

1. MAD Tech stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht angemessene Prüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer.

2. Vorrangig können aktuelle geeignete Prüfberichte, Zertifizierungen, Sicherheitsdokumentationen und Fragebogenantworten verwendet werden. Reichen diese im konkreten Fall nicht aus, sind nach angemessener Vorankündigung weitergehende Prüfungen während üblicher Geschäftszeiten möglich. Bei begründetem Verdacht auf erhebliche Pflichtverletzungen oder Datenschutzvorfällen kann eine kürzere Frist erforderlich sein.

3. Prüfungen sind so durchzuführen, dass Sicherheit, Betriebsabläufe, Geschäftsgeheimnisse und Rechte anderer Kunden gewahrt bleiben. Die Parteien stimmen Umfang und Aufwand vorab ab. Reguläre, vom Auftraggeber veranlasste individuelle Prüfungen finden grundsätzlich höchstens einmal innerhalb von zwölf Monaten statt. Zusätzliche Prüfungen bleiben zulässig, soweit ein konkreter datenschutzrechtlicher Anlass besteht, insbesondere bei erheblichen Sicherheitsvorfällen, begründeten Zweifeln an der Einhaltung dieser AVV oder gesetzlichen bzw. behördlichen Verpflichtungen. Die gesetzlichen Nachweis- und Kontrollrechte gemäß Art. 28 Abs. 3 lit. h DSGVO bleiben uneingeschränkt unberührt.

§ 11 Rückgabe, Löschung und Aufbewahrung

1. Der Auftraggeber bestimmt im Rahmen der verfügbaren Produktfunktionen die Aufbewahrungsdauer persistierter Einsatzinhalte und kann Löschintervalle festlegen oder Inhalte durch berechtigte Benutzer manuell löschen. Ohne aktivierte automatische Löschung können Inhalte bis zur manuellen Löschung oder Vertragsbeendigung bestehen bleiben. Die Einhaltung des Grundsatzes der Speicherbegrenzung obliegt dem Auftraggeber.

2. Nach Vertragsende gibt MAD Tech personenbezogene Daten nach Wahl des Auftraggebers in einem technisch üblichen Format zurück oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber muss einen Datenexport innerhalb einer angemessenen, vertraglich bestimmten Übergangsfrist veranlassen können.

3. Gelöschte Produktivdaten können vorübergehend in verschlüsselten, zugriffsbeschränkten Sicherungskopien fortbestehen und werden nach dem jeweils dokumentierten Backup-Rotationszyklus überschrieben. MAD Tech stellt die hierfür maßgeblichen Angaben auf Anfrage in der aktuellen TOM-Dokumentation zur Verfügung.

4. Technisch erforderliche Sicherheits- und Auditprotokolle sowie Verarbeitungsdaten bei Unterauftragsverarbeitern unterliegen gesonderten, zweckgebundenen Aufbewahrungsregeln. Die Angaben in der gesonderten TOM-Dokumentation und Anlage 3 sind zu beachten; soweit konkrete Fristen nicht verifiziert sind, dürfen keine weitergehenden Zusicherungen angenommen werden.

§ 12 KI-gestützte Funktionen

1. Die in Anlage 2 beschriebenen KI-Funktionen werden ausschließlich im Rahmen der vom Auftraggeber beauftragten und aktivierten Leistungsmerkmale eingesetzt. MAD Tech stellt die jeweiligen Datenflüsse und Unterauftragsverarbeiter transparent dar.

2. Für die OpenAI API ist nach Angabe von MAD Tech die Verwendung übermittelter Kundendaten zum Training allgemeiner KI-Modelle deaktiviert. MAD Tech hat die freiwillige Datenfreigabe unter „Sharing“ sowie die zusätzliche API-call-Protokollierung deaktiviert. Diese Einstellungen werden im laufenden Betrieb beibehalten, soweit die Parteien nichts anderes vereinbaren.

3. Eine Nichtverwendung für Modelltraining ist nicht gleichbedeutend mit einer Zusage, dass der KI-Dienstleister keinerlei Daten für Betriebs-, Missbrauchs- oder Sicherheitszwecke vorübergehend aufbewahrt. Solche Aufbewahrung richtet sich nach den jeweils vereinbarten und dokumentierten Bedingungen.

4. DSGVO-Rollen und Rollen nach der Verordnung (EU) 2024/1689 (KI-Verordnung) sind eigenständig zu bestimmen. Die Parteien erfüllen ihre jeweils einschlägigen gesetzlichen Pflichten. Eine pauschale Einordnung sämtlicher kundenseitiger Einsatzszenarien als nicht-hochriskant wird nicht vereinbart.

§ 13 Haftung

1. Für Ansprüche betroffener Personen gelten die zwingenden gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis gelten die wirksam vereinbarten Haftungsregelungen des Hauptvertrags, soweit sie mit zwingendem Datenschutzrecht vereinbar sind. Gesetzliche Rückgriffsansprüche bleiben unberührt.

2. Der Auftraggeber ist für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung und seiner Weisungen verantwortlich. Verletzt der Auftraggeber schuldhaft seine datenschutzrechtlichen oder vertraglichen Pflichten, stellt er MAD Tech von berechtigten Ansprüchen Dritter und den damit verbundenen angemessenen Kosten frei, soweit diese auf der Pflichtverletzung des Auftraggebers beruhen. Dies gilt nicht, soweit MAD Tech den Schaden durch eine eigene Pflichtverletzung verursacht oder mitverursacht hat. Zwingende gesetzliche Haftungs- und Rückgriffsregelungen, insbesondere Art. 82 DSGVO, bleiben unberührt.

§ 14 Einbeziehung, Geltungsfassung und Vertragsänderungen

1. Diese AVV kann durch ausdrücklichen Verweis im Angebot, Bestellformular oder Hauptvertrag einschließlich eines vor Vertragsschluss zugänglichen elektronischen Links vereinbart werden. Die Annahme des jeweiligen Angebots oder die elektronische Bestätigung des Bestellvorgangs umfasst bei wirksamer Einbeziehung auch diese AVV. Die zum Zeitpunkt des Vertragsschlusses bezeichnete oder bereitgestellte Fassung ist maßgeblich; MAD Tech archiviert die veröffentlichten Fassungen und deren Geltungszeiträume.

2. MAD Tech darf diese AVV bei sachlichem Anlass, insbesondere zur Anpassung an geänderte gesetzliche Vorgaben, behördliche Anforderungen, Sicherheitsstandards oder die technische Weiterentwicklung der Dienste, für die Zukunft aktualisieren. Beabsichtigte Änderungen teilt MAD Tech dem Auftraggeber mindestens 30 Kalendertage vor dem vorgesehenen Wirksamwerden in Textform (z. B. per E-Mail an die hinterlegte Vertragskontaktadresse) unter Angabe des Änderungsdatums und mit Zugang zum vollständigen neuen Text mit. Eine bloße Änderung der Website begründet keine Vertragsänderung.

3. Änderungen, die ausschließlich redaktioneller Art sind, der Klarstellung dienen oder die Rechtsposition des Auftraggebers nicht nachteilig verändern, können nach Ablauf der Ankündigungsfrist wirksam werden, sofern der Hauptvertrag ein entsprechendes wirksames Änderungsverfahren vorsieht. Sonstige Änderungen dieser AVV bedürfen einer ausdrücklichen Zustimmung des Auftraggebers in Textform oder über einen dokumentierten elektronischen Zustimmungsprozess. Schweigen, bloße Weiternutzung oder ein unterbliebener Widerspruch gelten für solche Änderungen nicht als Zustimmung.

4. Ohne Änderung dieser AVV zulässig bleiben Anpassungen der TOMs nach § 5 sowie Änderungen der Unterauftragsverarbeiter nach § 6, jeweils unter Einhaltung der dort vorgesehenen Voraussetzungen und Informationspflichten. Zwingende Rechte und Pflichten aus Art. 28 DSGVO dürfen durch ein Änderungsverfahren nicht eingeschränkt werden.

§ 15 Schlussbestimmungen

1. Soweit eine individuelle Vereinbarung für den konkreten Kunden abweichende Datenschutzregelungen enthält, gehen diese im Umfang ihres wirksam vereinbarten Inhalts vor. Änderungen und Ergänzungen bedürfen zumindest der Textform, soweit nicht ein in dieser AVV geregeltes Verfahren greift oder zwingendes Recht eine strengere Form verlangt.

2. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An ihre Stelle tritt die gesetzliche Regelung.

3. Es gilt das im Hauptvertrag wirksam vereinbarte Recht und der dort vereinbarte Gerichtsstand, soweit zwingende Datenschutzvorschriften nicht entgegenstehen.

Anlage 1 – Beschreibung der Auftragsverarbeitung

Live-Audio und -Video werden über Twilio Programmable Video übertragen, jedoch durch blankmile nicht standardmäßig als vollständiger Livestream dauerhaft aufgezeichnet. Einzelne Medien können bewusst erfasst und in Azure Blob Storage gespeichert werden. Aktivierte Transkriptionen können aus Live-Audio erzeugt und gespeichert werden.

Anlage 2 – KI-Verarbeitung und EU AI Act

Die folgende Beschreibung dokumentiert die bei Vertragserstellung bekannten Funktionen. Die jeweils einschlägigen Pflichten nach DSGVO und KI-Verordnung richten sich nach Rolle, vorgesehenem Zweck, tatsächlicher Implementierung und konkretem Einsatzkontext.

Zweckbindung und Datenverwendung

MAD Tech übermittelt an den jeweiligen Dienstleister nur Daten, die für die aktivierte Funktion erforderlich sind. Die freiwillige Freigabe der OpenAI-API-Daten für Modelltraining und die zusätzliche API-call-Protokollierung sind nach der bestätigten Organisationskonfiguration deaktiviert. Eine darüber hinausgehende Nutzung von Kundendaten für eigene Modelltrainingszwecke durch MAD Tech ist nicht Bestandteil des Auftrags.

Transparenz und Verantwortlichkeiten

Der Auftraggeber verantwortet die Rechtmäßigkeit der Aktivierung und konkreten Nutzung, die Information betroffener Personen und gegebenenfalls arbeitsrechtliche Mitbestimmung. MAD Tech informiert über wesentliche Funktionsweisen, Anbieter, verfügbare Steuerungsoptionen und bekannte Grenzen und unterstützt den Auftraggeber im angemessenen Umfang.

Qualität, menschliche Prüfung und verbotene Verwendungen

Automatisierte Transkripte, Übersetzungen, OCR-Ergebnisse und Zusammenfassungen können unvollständig oder fehlerhaft sein und sind vor rechtlich oder tatsächlich erheblichen Entscheidungen angemessen zu überprüfen. Die Funktionen sind nicht als eigenständige Grundlage für automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung vorgesehen. Verbotene KI-Praktiken sind untersagt; eine etwaige Hochrisiko-Einstufung bei besonderen Kundeneinsatzfällen ist gesondert zu prüfen.

Änderungen

Wesentliche Änderungen der KI-Datenflüsse, der eingesetzten Unterauftragsverarbeiter oder der vertraglich zugesicherten Datenschutzkontrollen werden nach den einschlägigen Regelungen dieser AVV mitgeteilt. Ein bloßer Modellversionswechsel ohne relevante Änderung von Schutz, Zweck oder Datenfluss bedarf keiner gesonderten Vertragsänderung, soweit der Hauptvertrag nichts anderes vorsieht.

Anlage 3 – Unterauftragsverarbeiter und Drittlandtransfers

Die folgende Übersicht bezeichnet die eingesetzten Dienstleistergruppen und Funktionen. Maßgeblich für Drittlandübermittlungen sind die jeweils gültigen Auftragsverarbeitungsbedingungen und Übermittlungsmechanismen der konkret eingesetzten Gesellschaften; eine EU-Regionseinstellung schließt Fernzugriffe nicht aus.

Transfermechanismen

Soweit personenbezogene Daten aus dem EWR heraus übermittelt werden oder Drittlandzugriffe stattfinden, werden die jeweils anwendbaren Instrumente nach Kapitel V DSGVO eingesetzt. Eine etwaige DPF-Zertifizierung ist für die konkrete empfangende US-Gesellschaft und den relevanten Verarbeitungsumfang zu prüfen; andernfalls sind insbesondere geeignete Standardvertragsklauseln sowie erforderlichenfalls ergänzende Schutzmaßnahmen zu verwenden.