Auftragsverarbeitungsvertrag

01Rollen und BYOC-Modell

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Teil der Nutzungsbedingungen zwischen Ihnen (dem "Verantwortlichen") und ZORC AB, Org.-Nr. 559481-8857, Schweden (dem "Auftragsverarbeiter"), und gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen nach Artikel 28 GDPR verarbeitet.

02Gegenstand, Art und Zweck

• Gegenstand: Bereitstellung der sSystm-Plattform und der von Ihnen aktivierten Module.
• Dauer: solange sSystm Zugang zu Ihrem Cloudflare-Konto hat, bis Sie die OAuth-Erteilung widerrufen oder kündigen.
• Art und Zweck: Hosting, Strukturierung, Abruf und Betrieb von Workspace-Daten nach Ihren Weisungen, einschließlich von Ihnen initiierten oder genehmigten KI-gestützten Aktionen.
• Arten personenbezogener Daten: was Sie speichern — typischerweise Geschäftskontaktdaten, Projekt- und Dokumentdaten sowie Kalenderinformationen.
• Betroffene Personen: Ihre Kunden, Kontakte, Mitarbeiter und andere, deren Daten Sie eingeben.

03Verarbeitung nach Weisung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur nach dokumentierten Weisungen des Verantwortlichen — einschließlich der in den Plattformfunktionen und Ihren Handlungen darin verkörperten Weisungen — sofern nicht gesetzlich anders vorgeschrieben, wobei er Sie informiert, sofern nicht gesetzlich untersagt. Beauftragte mit Verarbeitungsbefugnis sind zur Vertraulichkeit verpflichtet.

04BYOC als Datensparsamkeit

Die BYOC-Architektur ist selbst eine Datenschutzkontrolle. Da Ihre Geschäftsdaten physisch auf Ihrem eigenen Cloudflare-Konto und nicht in einem zentralen sSystm-Speicher liegen, wird die Exposition des Auftragsverarbeiters gegenüber Ihren Daten by design minimiert, und Sie behalten direkte, unabhängige Kontrolle über die Infrastruktur und die Möglichkeit, den Zugang jederzeit zu sperren.

05Sicherheitsmaßnahmen

Der Auftragsverarbeiter implementiert angemessene technische und organisatorische Maßnahmen, einschließlich:

• Least-Privilege-Zugang — Zugang über feingranulare Cloudflare-OAuth-Scopes, jeweils risikobewertet, statt eines breiten Hauptschlüssels.
• Verschlüsselte Zugangsdaten — Cloudflare-Zugriffstoken werden at rest mit AES-256-GCM und einem zufälligen IV pro Token verschlüsselt, unter einem nur als Server-Geheimnis gehaltenen Schlüssel.
• Mandantenisolierung — die Daten jeder Organisation liegen in ihrer eigenen Datenbank auf ihrem eigenen Konto; Abfragen, Vektorsuch-Namespaces und Echtzeit-Instanzen sind pro Organisation begrenzt, und der Zugang schlägt fehl, wenn er nicht aufgelöst werden kann.
• Passwortlose Authentifizierung — Anmeldung nur über Cloudflare OAuth; keine Passwörter werden gespeichert.
• EU-Jurisdiktionsoption — Sie können Ihre Datenbank an eine EU-Jurisdiktion binden, durch Cloudflares D1-Jurisdiktionsgarantie durchgesetzt.
• Mensch in Kontrolle — KI-vorgeschlagene Infrastrukturoperationen, die nicht nachweislich schreibgeschützt sind, werden als ausstehend gestaffelt, bis ein Mensch genehmigt, mit protokollierten Aktionen.

06Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die auf unserer Unterauftragsverarbeiter-Seite gelisteten Unterauftragsverarbeiter einzusetzen — derzeit Cloudflare (Infrastruktur/Hosting/KI), Resend (E-Mail) und Anthropic (die Claude-Modelle hinter der eingebauten KI, über Cloudflares AI Gateway). Der Auftragsverarbeiter bindet jeden Unterauftragsverarbeiter an Datenschutzpflichten mindestens so schützend wie dieser AVV und gibt angemessene Vorankündigung bei beabsichtigter Hinzufügung oder Ersetzung, damit der Verantwortliche aus berechtigten Gründen widersprechen kann.

07Internationale Übermittlungen

Wo personenbezogene Daten außerhalb des EWR übermittelt werden, stützen sich die Parteien auf angemessene Schutzmaßnahmen nach Kapitel V GDPR, einschließlich der Standardvertragsklauseln (SCC) der Europäischen Kommission und erforderlicher ergänzender Maßnahmen. Die Wahl der EU-Jurisdiktion bei der Anmeldung hält Ihre Datenbank innerhalb der EU-Infrastruktur.

08Meldung von Verletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Daten betrifft, die er im Auftrag des Verantwortlichen verarbeitet, und stellt die Informationen bereit, die der Verantwortliche für seine eigenen Meldepflichten nach den Artikeln 33–34 GDPR benötigt. Durch Mandantenisolierung ist ein Vorfall konstruktionsbedingt auf einen einzelnen Mandanten begrenzt.

09Unterstützung und Audit

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei Betroffenenanfragen und Pflichten nach den Artikeln 32–36 GDPR. Der Auftragsverarbeiter stellt Informationen bereit, die zur Demonstration der Einhaltung von Artikel 28 angemessen erforderlich sind, und ermöglicht Audits, einschließlich Inspektionen, die der Verantwortliche oder ein beauftragter Prüfer mit angemessener Vorankündigung und unter Vertraulichkeit durchführt.

10Rückgabe und Löschung bei Beendigung

Bei Beendigung löscht oder gibt der Auftragsverarbeiter die begrenzten zentralen Daten zurück, die er hält (Identität, Mitgliedschaft, Metadaten), gemäß der Datenschutzerklärung, außer wo gesetzliche Aufbewahrung erforderlich ist.

11Laufzeit und Vorrang

Dieser AVV gilt, solange die Bedingungen in Kraft sind und der Auftragsverarbeiter Zugang zu Ihrem Konto hat. Bei Widersprüchen in Datenschutzangelegenheiten hat dieser AVV Vorrang vor den Bedingungen. Wenn Sie einen gegengezeichneten AVV oder die SCC als separates Instrument benötigen, kontaktieren Sie support@ssystm.com.