Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen gemäß Art. 28 DSGVO

zwischen dem bei Bold Bloom registrierten Kunden, dessen Firma, Rechtsform, Anschrift und gegebenenfalls Vertretungsberechtigung sich aus den im Registrierungsprozess hinterlegten Unternehmensdaten ergeben — als Verantwortlicher, nachfolgend „AG“ für Auftraggeber genannt —

und Julia Kalder, c/o Autorenglück #80461, Albert-Einstein-Str. 47, 02977 Hoyerswerda — als Auftragsverarbeiter, nachfolgend „AN“ für Auftragnehmer genannt —

— beide gemeinsam als „Parteien“ bezeichnet —

Präambel

(1) Der AG hat den AN mit der Bereitstellung und dem Betrieb des Software-Dienstes Bold Bloom zur Unterstützung von Coaching-, Team- und Organisationsentwicklungsprozessen beauftragt. Die Verarbeitung erfolgt auf Grundlage der vom AG eingegebenen, hochgeladenen, ausgewählten oder über Schnittstellen bereitgestellten Nutzer-, Team-, Klienten- und sonstigen Inhaltsdaten, insbesondere Coaching- und Session-Notizen, Dateien, Termin-, Stimmungs- und Feedbackdaten.

(2) Teil der Vertragsdurchführung ist die Verarbeitung von personenbezogenen Daten. Insbesondere Art. 28 DSGVO stellt bestimmte Anforderungen an eine solche Auftragsverarbeitung. Zur Wahrung dieser Anforderungen schließen die Parteien die nachfolgende Vereinbarung, deren Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.

§ 1 Begriffsbestimmungen

(1) Verantwortlicher ist gem. Art. 4 Abs. 7 DSGVO die Stelle, die allein oder gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

(2) Auftragsverarbeiter ist gem. Art. 4 Abs. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

(3) Personenbezogene Daten sind gem. Art. 4 Abs. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

(4) Besondere Kategorien personenbezogener Daten sind personenbezogene Daten gem. Art. 9 DSGVO, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit von Betroffenen hervorgehen, personenbezogene Daten gem. Art. 10 DSGVO über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln sowie genetische Daten gem. Art. 4 Abs. 13 DSGVO, biometrische Daten gem. Art. 4 Abs. 14 DSGVO, Gesundheitsdaten gem. Art. 4 Abs. 15 DSGVO sowie Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

(5) Verarbeitung ist gem. Art. 4 Abs. 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

(6) Aufsichtsbehörde ist gem. Art. 4 Abs. 21 DSGVO eine von einem Mitgliedstaat gem. Art. 51 DSGVO eingerichtete unabhängige staatliche Stelle.

§ 2 Angabe der zuständigen Datenschutz-Aufsichtsbehörde

(1) Zuständige Aufsichtsbehörde für den AG ist die Aufsichtsbehörde im Bundesland des Geschäftssitzes des AG, vgl. die Anschriftenliste des BfDI.

(2) Zuständige Aufsichtsbehörde für den AN ist die Aufsichtsbehörde im Bundesland Nordrhein-Westfalen (LDI NRW), vgl. die Anschriftenliste des BfDI.

(3) Die Parteien und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

§ 3 Vertragsgegenstand und -dauer

(1) Bei der Leistungserbringung erhält der AN Zugriff auf personenbezogene Daten und verarbeitet diese ausschließlich im Auftrag und nach Weisung des AG. Umfang und Zweck der Datenverarbeitung durch den AN ergeben sich aus den vereinbarten Leistungen. Dem AG obliegt die Beurteilung der Zulässigkeit der Datenverarbeitung.

(2) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung.

(3) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit der Leistungserbringung in Zusammenhang stehen und bei denen der AN und seine Beschäftigten oder durch den AN Beauftragte mit personenbezogenen Daten in Berührung kommen, die vom AG stammen oder für den AG erhoben wurden.

(4) Die Laufzeit dieses Vertrags richtet sich nach der vereinbarten Vertragslaufzeit, sofern sich aus den nachfolgenden Bestimmungen nicht darüber hinausgehende Verpflichtungen oder Kündigungsrechte ergeben.

§ 4 Weisungsrecht

(1) Der AN wird Daten nur im Rahmen des Vertrages und gemäß den Weisungen des AG verarbeiten; dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Wird der AN durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem AG diese rechtlichen Anforderungen vor der Verarbeitung mit.

(2) Die Weisungen des AG werden anfänglich durch diesen Vertrag festgelegt und können vom AG danach in Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Der AG ist jederzeit zur Erteilung entsprechender Weisungen berechtigt. Dies umfasst Weisungen in Hinblick auf die Berichtigung, Löschung und Sperrung von Daten.

(3) Alle erteilten Weisungen sind sowohl vom AG als auch vom AN zu dokumentieren. Weisungen, die über die hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(4) Ist der AN der Ansicht, dass eine Weisung des AG gegen datenschutzrechtliche Bestimmungen verstößt, hat er den AG unverzüglich darauf hinzuweisen. Der AN ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den AG bestätigt oder geändert wird. Der AN darf die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.

§ 5 Art der verarbeiteten Daten, Kreis der Betroffenen

(1) Im Rahmen der Durchführung des Vertrages erhält der AN Zugriff auf die in Anlage a) näher spezifizierten personenbezogenen Daten.

(2) Der Kreis der von der Datenverarbeitung Betroffenen ist ebenfalls in Anlage a) dargestellt.

§ 6 Schutzmaßnahmen des AN

(1) Der AN ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des AG erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Der AN wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er trifft alle erforderlichen technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten des AG gem. Art. 32 DSGVO, insbesondere mindestens die in Anlage b) aufgeführten Maßnahmen der a) Zutrittskontrolle, b) Zugangskontrolle, c) Zugriffskontrolle, d) Weitergabekontrolle, e) Eingabekontrolle, f) Auftragskontrolle, g) Verfügbarkeitskontrolle und h) Trennungskontrolle. Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem AN jederzeit vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(3) Den bei der Datenverarbeitung durch den AN beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten. Der AN wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im Folgenden Mitarbeiter genannt), entsprechend verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b) DSGVO) und mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen. Diese Verpflichtungen müssen so gefasst sein, dass sie auch nach Beendigung dieses Vertrages oder des Beschäftigungsverhältnisses zwischen dem Mitarbeiter und dem AN bestehen bleiben. Dem AG sind die Verpflichtungen auf Verlangen in geeigneter Weise nachzuweisen.

(4) Die Verarbeitung besonderer Kategorien personenbezogener Daten wurde einer Datenschutz-Folgenabschätzung (DPIA) gemäß Art. 35 DSGVO unterzogen. Die DPIA wird regelmäßig überprüft und auf Anforderung des AG zur Verfügung gestellt.

§ 7 Informationspflichten des AN

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des AN, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten durch den AN, bei ihm im Rahmen des Auftrages beschäftigten Personen oder durch Dritte wird der AN den AG unverzüglich in Textform, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden informieren, soweit der Vorfall den Auftragsgegenstand betrifft. Dasselbe gilt für Prüfungen des AN durch die Datenschutz-Aufsichtsbehörde. Die Meldung über eine Verletzung des Schutzes personenbezogener Daten enthält zumindest folgende Informationen:

a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der Zahl der betroffenen Personen, der betroffenen Kategorien und der Zahl der betroffenen personenbezogenen Datensätze;

b) eine Beschreibung der von dem AN ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(2) Der AN trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen, informiert hierüber den AG und ersucht um weitere Weisungen.

(3) Der AN ist darüber hinaus verpflichtet, dem AG jederzeit Auskünfte zu erteilen, soweit dessen Daten von einer Verletzung nach Absatz 1 betroffen sind.

(4) Sollten die Daten des AG beim AN durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der AN den AG unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist.

(5) Der AN wird, soweit rechtlich zulässig und erforderlich, gegenüber Behörden, Gerichten oder sonstigen Dritten darauf hinweisen, dass die Daten im Auftrag des AG verarbeitet werden und der AG Verantwortlicher im Sinne der DSGVO ist.

(6) Über wesentliche Änderungen der Sicherheitsmaßnahmen nach § 6 Abs. 2 dieses Vertrages hat der AN den AG unverzüglich zu unterrichten.

(7) Der AN und gegebenenfalls sein Vertreter führen ein Verzeichnis zu allen Kategorien von im Auftrag des AG durchgeführten Tätigkeiten der Verarbeitung, das alle Angaben gem. Art. 30 Abs. 2 DSGVO enthält. Das Verzeichnis ist dem AG auf Anforderung zur Verfügung zu stellen.

(8) An der Erstellung des Verzeichnisses durch den AG hat der AN im angemessenen Umfang mitzuwirken. Er hat dem AG die jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.

(9) Die Entscheidung über eine Meldung an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO sowie über die Benachrichtigung betroffener Personen gemäß Art. 34 DSGVO obliegt dem AG als Verantwortlichem. Der AN nimmt entsprechende Meldungen oder Benachrichtigungen nur auf dokumentierte Weisung des AG vor, soweit nicht eine gesetzliche Pflicht des AN zu einer eigenen Meldung oder Information besteht.

§ 8 Kontrollrechte des AG

(1) Der AN weist dem AG auf dessen angemessene Anforderung die Einhaltung dieser Vereinbarung und seiner Pflichten nach Art. 28 DSGVO durch geeignete Unterlagen und Nachweise nach. Der Nachweis kann insbesondere durch aktuelle TOM-Beschreibungen, Datenschutz- oder Sicherheitskonzepte, Fragebögen, Prüfberichte, Zertifikate, Selbstauskünfte oder vergleichbare Dokumentationen erfolgen.

(2) Soweit die nach Absatz 1 vorgelegten Unterlagen und Nachweise im Einzelfall nicht ausreichen oder ein begründeter Anlass besteht, ist der AG berechtigt, nach vorheriger Abstimmung eine Prüfung durchzuführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen zu lassen.

(3) Vor-Ort-Prüfungen sind grundsätzlich mindestens zehn Werktage vorher in Textform anzukündigen, während der üblichen Geschäftszeiten durchzuführen und so auszugestalten, dass Geschäftsabläufe, Geschäftsgeheimnisse sowie die Vertraulichkeit gegenüber anderen Kunden nicht unangemessen beeinträchtigt werden. Bei erheblichen Sicherheitsvorfällen, behördlichen Anordnungen oder einem konkreten Verdacht eines wesentlichen Verstoßes kann eine kürzere angemessene Ankündigungsfrist gelten.

(4) Die Kosten einer über die gewöhnliche Nachweisführung hinausgehenden Prüfung trägt der AG, sofern die Prüfung keinen wesentlichen vom AN zu vertretenden Vertragsverstoß ergibt.

(5) Feststellungen und Ergebnisse von Prüfungen sind vertraulich zu behandeln.

§ 9 Einsatz von Subunternehmern

(1) Die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung von nachfolgenden Subunternehmen durchgeführt:

Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, zur Bereitstellung und zum technischen Betrieb der Bold-Bloom-Plattform, zum Hosting, zum Betrieb von Datenbanken, zur Speicherung von Anwendungsdaten und zur Durchführung von Backups;
Wildbit LLC / Postmark, 2400 Market Street, No. 200, Suite 235B, Philadelphia, PA 19103, USA, oder Amazon Web Services, Inc., 410 Terry Avenue North, Seattle, WA 98109-5210, USA, je nach technischer Konfiguration, zum Versand von System- und vertragsbezogenen E-Mails (EU-Standardvertragsklauseln);
Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA, zur Erkennung, Analyse und Behebung technischer Fehler sowie zum Fehler-Tracking, mit aktiviertem PII-Scrubbing (EU-Standardvertragsklauseln);
Better Stack, Inc., 651 N Broad Street, Suite 206, Middletown, DE 19709, USA, zur Aggregation und Auswertung technischer Protokolldaten, mit PII-Scrubbing an der Handler-Grenze (EU-Standardvertragsklauseln);
Mistral AI SAS, 15 Rue des Halles, 75001 Paris, Frankreich, zur Bereitstellung der optionalen KI-Funktionen, insbesondere „AI Session Proposal“, der KI-gestützten Teamanalyse und der Coaching-Toolkit-Auswertungen (Verarbeitung in der EU, kein Drittlandtransfer);
Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, zur Bereitstellung der optionalen Google-Anmeldung und der optionalen Google-Kalenderintegration, jeweils nur soweit der AG oder seine berechtigten Nutzer diese aktivieren (EU-Standardvertragsklauseln);
Slack Technologies, LLC, 500 Howard Street, San Francisco, CA 94105, USA, sowie Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA, zur Zustellung optionaler Webhook-Benachrichtigungen an Slack beziehungsweise Microsoft Teams, jeweils nur soweit der AG eine solche Integration einrichtet (EU-Standardvertragsklauseln);
Kloudend Ltd. (ip-api.com), Vereinigtes Königreich, zur ungefähren GeoIP-Einordnung von Anmeldevorgängen, ausschließlich nach ausdrücklicher Einwilligung der betreffenden Person und nur bei aktivierter Funktion (Angemessenheitsbeschluss für das Vereinigte Königreich).

(2) Der AN ist darüber hinaus im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern („Subunternehmerverhältnis“) befugt, soweit er den AG hiervon vorab in Kenntnis setzt. Der AG kann innerhalb von 14 Tagen ab Inkenntnissetzung aus sachlichen Datenschutz- oder Sicherheitsgründen widersprechen. Im Fall eines berechtigten Widerspruchs werden die Parteien eine zumutbare Alternative prüfen. Kann keine zumutbare Lösung gefunden werden, ist jede Partei berechtigt, die von der Änderung betroffene Leistung mit angemessener Frist zu beenden; die übrigen Leistungen bleiben unberührt.

(3) Der AN wählt Unterauftragsverarbeiter sorgfältig unter Berücksichtigung ihrer Eignung, Zuverlässigkeit sowie der für die jeweilige Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen aus. Der AN verpflichtet jeden Unterauftragsverarbeiter durch Vertrag gemäß Art. 28 Abs. 4 DSGVO auf Datenschutzpflichten, die den in dieser Vereinbarung vorgesehenen Pflichten im Wesentlichen entsprechen. Der AN bleibt gegenüber dem AG für die Erfüllung der datenschutzrechtlichen Pflichten des eingesetzten Unterauftragsverarbeiters verantwortlich. Der AN ermöglicht dem AG die Wahrnehmung seiner Kontrollrechte hinsichtlich der Unterauftragsverarbeitung durch geeignete Nachweise und Informationen über den AN. Ein unmittelbares Prüf-, Weisungs- oder Kontrollrecht des AG gegenüber dem jeweiligen Unterauftragsverarbeiter wird hierdurch nicht begründet.

(4) Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder aus einem Drittland auf personenbezogene Daten zugreift, stellt der AN sicher, dass die Voraussetzungen des Kapitels V DSGVO erfüllt sind. Hierzu wird, soweit erforderlich, insbesondere ein Angemessenheitsbeschluss, der Abschluss von EU-Standardvertragsklauseln oder eine sonstige geeignete Garantie gemäß Art. 46 DSGVO herangezogen sowie eine Bewertung des Drittlandtransfers vorgenommen und angemessene ergänzende Schutzmaßnahmen umgesetzt.

(5) Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der AN Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der AN für den AG erbringt, und Bewachungsdienste. Wartungs- und Prüfleistungen stellen zustimmungspflichtige Subunternehmerverhältnisse dar, soweit diese für IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von Leistungen für den AG genutzt werden.

(6) Zahlungsdienstleister sind keine Subunternehmer im Sinne dieser Vereinbarung. Bei der Abwicklung von Zahlungen und der Rechnungsstellung ist der AN datenschutzrechtlich selbst Verantwortlicher und nicht Auftragsverarbeiter des AG; die dabei eingesetzten Dienstleister sind in der Datenschutzerklärung des AN ausgewiesen.

(7) Der AN führt ein internes Auftragsverarbeitungsregister gemäß Art. 28 Abs. 3 DSGVO (Sub-Processor DPA Register), das je Unterauftragsverarbeiter die Standard-DPA-URL des Anbieters, das Datum der DPA-Annahme, die DPA-Version, den verantwortlichen internen Vertrags-Owner sowie das nächste Prüfungsdatum dokumentiert. Das Register wird mindestens jährlich überprüft und dem AG auf begründete Anforderung zur Einsichtnahme bereitgestellt.

§ 10 KI-spezifische Sonderregeln

(1) Soweit der AN bei der auftragsbezogenen Verarbeitung KI-Dienste einsetzt, dürfen hierfür nur die in § 9 dieses Vertrages bezeichneten Subunternehmer verwendet werden.

(2) Der AN verwendet für die auftragsbezogene Verarbeitung keine privaten Konten oder Consumer-Versionen von KI-Diensten. Soweit technisch und vertraglich verfügbar, werden Einstellungen gewählt, nach denen personenbezogene Daten des AG nicht zum Training, Fine-Tuning oder zur allgemeinen Verbesserung von KI-Modellen des jeweiligen Anbieters verwendet werden.

(3) KI-Eingaben, Prompts, hochgeladene Inhalte, KI-Ausgaben sowie technische Protokoll- und Fehlerdaten unterliegen, soweit sie personenbezogene Daten enthalten, den Bestimmungen dieses AVV sowie den vereinbarten Aufbewahrungs- und Löschfristen.

(4) Der AN berücksichtigt bei der Gestaltung und Bereitstellung der KI-Funktionen den Grundsatz der Datenminimierung. Personenbezogene Daten werden nur verarbeitet, soweit dies für die konkret vereinbarte Funktion erforderlich ist. Soweit dies technisch möglich und für den jeweiligen Verarbeitungszweck geeignet ist, sollen anonymisierte, pseudonymisierte oder synthetische Daten verwendet werden.

(5) Die durch KI-Funktionen erzeugten Inhalte dienen ausschließlich als Vorschläge und Arbeitshilfen, insbesondere zur Vorbereitung und Strukturierung von Coaching-Sitzungen. Der AN trifft auf Grundlage von KI-Ausgaben keine automatisierten rechtlichen, wirtschaftlichen oder sonstigen wesentlichen Entscheidungen über betroffene Personen. Die fachliche, coachingbezogene, rechtliche und inhaltliche Prüfung sowie die Freigabe und Verwendung von KI-generierten Ergebnissen obliegen dem AG beziehungsweise dessen berechtigten Nutzern, soweit nicht ausdrücklich etwas anderes vereinbart ist.

(6) Automatisierte Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung für betroffene Personen im Sinne des Art. 22 DSGVO sind nicht Gegenstand dieses Vertrages, sofern sie nicht ausdrücklich vereinbart, rechtlich geprüft und dokumentiert freigegeben wurden.

§ 11 Anfragen und Rechte Betroffener

(1) Der AN unterstützt den AG unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen im angemessenen Umfang durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflichten des AG nach Art. 12 bis 22 sowie Art. 32 bis 36 DSGVO, insbesondere bei Betroffenenanfragen, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Soweit die Unterstützung über die vertraglich geschuldete Leistung oder die gesetzlichen Pflichten des AN hinausgehenden Aufwand verursacht, ist dieser vom AG angemessen zu vergüten.

(2) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem AN geltend, so reagiert dieser nicht selbstständig, sondern verweist den Betroffenen unverzüglich an den AG und wartet dessen Weisungen ab.

§ 12 Beendigung

(1) Bei Beendigung des Hauptvertrags hat der AG das Recht, die im Auftrag verarbeiteten personenbezogenen Daten zurückzuerhalten oder deren Löschung zu verlangen. Der AG teilt dem AN seine Weisung hierzu spätestens bei Beendigung des Hauptvertrags in Textform mit.

(2) Im Fall der Rückgabe stellt der AN dem AG die aktiven Datenbestände in einem üblichen, maschinenlesbaren Format bereit. Soweit keine Weisung zur Rückgabe erfolgt, löscht der AN die aktiven Datenbestände spätestens 30 Tage nach Beendigung des Hauptvertrags. Im Fall der Rückgabe erfolgt die Löschung spätestens 30 Tage nach Bereitstellung der Daten.

(3) Sicherungskopien werden innerhalb der regulären Backup-Rotation, spätestens nach 7 Tagen, gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt; Daten dürfen in diesem Fall nur für die Erfüllung der jeweiligen gesetzlichen Pflicht verarbeitet werden.

(4) Der AN bestätigt die Löschung auf begründete Anforderung des AG in Textform.

§ 13 Haftung

(1) Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Datenschutzgesetzen unzulässigen oder unrichtigen Datenverarbeitung oder Nutzung im Rahmen der Auftragsverarbeitung erleidet, ist im Innenverhältnis zum AN alleine der AG gegenüber dem Betroffenen verantwortlich.

(2) Der AG hält den AN von Geldforderungen Dritter im Zusammenhang mit der Auftragsverarbeitung von Daten auf erstes Anfordern des AN in wirtschaftlicher Hinsicht frei. Dies gilt nicht, wenn und soweit der AN seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des AG oder gegen diese Anweisungen gehandelt hat und die Geldforderung sich hieraus begründet. Art. 82 Abs. 2 bis 4 DSGVO bleiben hiervon unberührt.

(3) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist.

§ 14 Schlussbestimmungen

(1) Mündliche Nebenabreden sind nicht getroffen. Änderungen, Ergänzungen und Zusätze dieses Vertrages haben nur Gültigkeit, wenn sie zwischen den Vertragsparteien in Textform vereinbart werden. Dies gilt nicht für individuelle Vertragsabreden i. S. v. § 305b BGB mit einem vertretungsbefugten Vertreter des Anbieters. Im Übrigen kann das Formerfordernis nicht durch mündliche Vereinbarung, konkludentes Verhalten oder stillschweigend außer Kraft gesetzt werden.

(2) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise nichtig oder unwirksam sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle von nicht einbezogenen oder unwirksamen Bestimmungen tritt das Gesetzesrecht. Sofern solches Gesetzesrecht im jeweiligen Fall nicht zur Verfügung steht (Regelungslücke) oder zu einem untragbaren Ergebnis führen würde, werden die Parteien in Verhandlungen darüber eintreten, anstelle der nicht einbezogenen oder unwirksamen Bestimmung eine wirksame Regelung zu treffen, die ihr wirtschaftlich möglichst nahekommt.

(3) Diese Vereinbarung unterliegt deutschem Recht.

(4) Ist der AG Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen, ist der ausschließliche Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung Düsseldorf.

Anlage a) — Arten der verarbeiteten personenbezogenen Daten, Betroffene und Zweck der Verarbeitung

1. Kategorien personenbezogener Daten

1.1 Nutzerkonto-, Identifikations- und Authentifizierungsdaten

Name, soweit vom AG oder dessen berechtigten Nutzern angegeben
Geschäftliche E-Mail-Adresse der Nutzer
Nutzer-, Konto-, Team- oder Workspace-ID
Rolle und Berechtigungsumfang innerhalb des Nutzerkontos oder Workspaces
Status des Nutzerkontos, der E-Mail-Verifizierung und des Kontozugangs
Daten zur Anmeldung und Authentifizierung, insbesondere Passwort-Hash, Sitzungs-, Login- und Token-Daten
Zeitpunkt der Kontoerstellung, Anmeldung, letzten Nutzung sowie sicherheitsrelevante Ereignisse
Spracheinstellungen und sonstige nutzerbezogene Grundeinstellungen
Zustimmung zu Vertragsbedingungen und Datenschutzhinweisen, insbesondere Dokumenttyp, Dokumentversion, Bestätigungszeitpunkt, IP-Adresse und User-Agent, soweit diese Daten für den Nachweis des Vertragsschlusses verarbeitet werden

1.2 Organisations-, Unternehmens- und Kontaktdaten

Firmenname, Geschäftsname und gegebenenfalls Rechtsform des AG
Geschäftsanschrift und geschäftliche Kontaktdaten
Namen, Funktionen und geschäftliche Kontaktdaten von Ansprechpartnern, Administratoren und berechtigten Nutzern des AG
Angaben zu Rollen, Zuständigkeiten und Berechtigungen innerhalb des Kundenkontos, Teams oder Workspaces
Optionale geschäftliche Telefonnummern sowie Umsatzsteuer-Identifikationsnummern, soweit vom AG angegeben
Angaben zu Teams, Organisationseinheiten, Coaching-Programmen oder sonstigen vom AG angelegten Workspaces

1.3 Team-, Klient:innen- und Coachingdaten

Namen, Anzeigenamen, E-Mail-Adressen und Rollen von Teammitgliedern, Klientinnen und Klienten, Coachees sowie sonstigen Personen, die der AG in der Plattform anlegt oder einlädt
Informationen zu Teamzugehörigkeiten, Workspaces, Coach-Zuordnungen und Zugriffsberechtigungen
Coaching-Notizen, Session-Notizen, Gesprächsinhalte, Ziele, Maßnahmen, Aufgaben und Statusinformationen
Angaben zu Coaching-Sitzungen, insbesondere Termin, Dauer, beteiligte Personen, Themen, Fortschritt und Follow-up-Informationen
Vom AG oder berechtigten Nutzern erstellte Freitexte, Kommentare, Dokumentationen und sonstige Inhalte
Informationen aus Retrospektiven, Check-ins, 1:1-Formaten und vergleichbaren Coaching- oder Teamformaten
Hochgeladene Dateien, Dokumente, Anhänge und sonstige Medieninhalte

1.4 Stimmungs-, Feedback- und Wellbeing-Daten

Antworten auf Stimmungs-, Mood-Check-, Feedback- und Wellbeing-Erhebungen
Einschätzungen zu Arbeitszufriedenheit, Engagement, Belastung, Teamdynamik, Stimmung oder ähnlichen Themen
Freitextantworten, Kommentare und sonstige Rückmeldungen
Angaben zu Trends, Auswertungen, Statuswerten und Zusammenfassungen, soweit diese innerhalb der Plattform erstellt oder gespeichert werden
Zuordnung der Antworten zu Personen, Teams, Workspaces, Erhebungen oder Zeiträumen, soweit dies vom AG veranlasst wurde

1.5 Kalender-, Termin- und Integrationsdaten

Termin-, Kalender- und Verfügbarkeitsdaten, soweit der AG oder berechtigte Nutzer eine Kalenderintegration aktivieren
OAuth-Zugriffs- und Aktualisierungstoken, Berechtigungsumfang, Ablaufzeit und technischer Status einer Verbindung
Daten zu verbundenen Google-Konten, Kalendern oder sonstigen aktivierten Integrationen
Inhalte optionaler Slack- oder Microsoft-Teams-Webhooks, soweit der AG eine solche Integration einrichtet
Technische Verbindungs-, Fehler- und Statusdaten im Zusammenhang mit aktivierten Integrationen

1.6 KI-Eingaben, KI-Ausgaben und technische Kontextdaten

Vom AG ausgewählte, eingegebene oder bereitgestellte Inhalte zur Nutzung der optionalen KI-Funktionen
Insbesondere ausgewählte Coaching- oder Session-Inhalte, Ziele, Themen, Notizen und sonstige Kontextinformationen, soweit diese für die angeforderte KI-Funktion erforderlich sind
Durch die KI-Funktion erzeugte Vorschläge, Entwürfe, Strukturierungen, Zusammenfassungen und sonstige Ausgaben
Technische Kontext-, Fehler- und Protokolldaten, soweit diese im Zusammenhang mit der KI-Funktion verarbeitet werden
Angaben zu Einwilligungen und Freigaben, soweit diese für die Übermittlung besonderer Kategorien personenbezogener Daten an einen KI-Anbieter erforderlich sind

1.7 Nutzungs-, Sicherheits- und technische Protokolldaten

Zeitpunkt des Zugriffs auf die Bold-Bloom-Website, das Kundenkonto oder die Plattform
Genutzte Funktionen und aufgerufene Bereiche innerhalb der Anwendung
IP-Adresse, User-Agent, Browsertyp, Browserversion, Betriebssystem und Geräteinformationen
Daten zu Login-Sitzungen, einschließlich Sitzungsstatus, Ablaufzeiten und Sicherheitsereignissen
Technische Verbindungsdaten, HTTP-Statuscodes, Referrer-Informationen und Informationen zum Internet-Service-Provider, soweit technisch erforderlich
Fehler-, Sicherheits-, Server- und Anwendungsprotokolle, soweit diese im Einzelfall anfallen
Daten zur Erkennung, Analyse und Abwehr missbräuchlicher, betrügerischer oder unbefugter Zugriffe
Ungefähre GeoIP-Standortdaten, soweit die betreffende Person in diese Funktion ausdrücklich eingewilligt hat

1.8 Support-, Fehler- und Kommunikationsdaten

Inhalte von Supportanfragen und Bugreports des AG oder seiner berechtigten Nutzer
Name und geschäftliche E-Mail-Adresse des anfragenden Nutzers
Zeitpunkt, Gegenstand und Bearbeitungsstatus der Anfrage
Angaben zur betroffenen Funktion, zum Browser, Betriebssystem, Gerät, zur Fehlermeldung und zum technischen Zustand
Stacktraces, technische Diagnosedaten und Anhänge
Sonstige im Rahmen einer Supportanfrage oder Fehlermeldung freiwillig übermittelte Angaben

1.9 Besondere Kategorien personenbezogener Daten

Im Rahmen der vertragsgemäßen Nutzung von Bold Bloom kann die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO vorgesehen sein. Dies betrifft insbesondere Angaben zum körperlichen oder psychischen Befinden, zu Stimmung, Emotionen, persönlichen Gedanken, Belastungen oder gesundheitlichen Zuständen, soweit diese in Coaching-Notizen, Session-Notizen, Mood-Checks, Wellbeing- oder Feedback-Erhebungen und sonstigen vom AG eingebrachten Inhalten enthalten sind.

Die Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO ist nicht vorgesehen und nicht erforderlich. Der AG stellt sicher, dass solche Daten nicht verarbeitet werden, soweit dies nicht im Einzelfall ausdrücklich vereinbart und rechtlich abgesichert wurde.

2. Kategorien betroffener Personen

Beschäftigte, Nutzer und sonstige berechtigte Personen des AG, die ein Nutzerkonto in Bold Bloom verwenden
Administratoren, Coaches, Teamleitungen, Personalverantwortliche und sonstige Ansprechpartner des AG
Klientinnen und Klienten, Coachees, Teammitglieder und sonstige Personen, deren Daten der AG im Rahmen von Coaching-, Team- oder Organisationsentwicklungsprozessen verarbeitet
Personen, die an Stimmungs-, Feedback-, Wellbeing- oder Retrospektiv-Erhebungen teilnehmen
Personen, deren Daten in Coaching-Notizen, Session-Notizen, Dateien, Anhängen, Kommentaren oder sonstigen vom AG bereitgestellten Inhalten enthalten sind
Personen, deren Kalender- oder Termindaten im Rahmen einer vom AG aktivierten Kalenderintegration verarbeitet werden
Personen, die Supportanfragen stellen oder in Bugreports, Anhängen und sonstiger Kommunikation genannt werden
Sonstige natürliche Personen, deren personenbezogene Daten vom AG im Rahmen der vertragsgemäßen Nutzung von Bold Bloom eingegeben, hochgeladen, bereitgestellt oder über aktivierte Integrationen übermittelt werden

3. Zweck der Verarbeitung

3.1 Bereitstellung und Betrieb des Software-Dienstes Bold Bloom

Bereitstellung des Kundenkontos, der Workspaces und der browserbasierten Plattform
Einrichtung, Verwaltung und Authentifizierung von Nutzerkonten
Verwaltung von Rollen, Berechtigungen, Zugriffsrechten und Sicherheitsstatus
Speicherung und Bereitstellung der vom AG eingegebenen, hochgeladenen oder über Integrationen bereitgestellten Daten
Verwaltung von Teams, Workspaces, Klientinnen und Klienten sowie sonstigen berechtigten Personen

3.2 Durchführung und Organisation von Coaching-, Team- und Organisationsentwicklungsprozessen

Erstellung, Bearbeitung, Verwaltung und Speicherung von Coaching- und Session-Notizen
Planung, Durchführung und Dokumentation von Coaching-Sitzungen, Check-ins, Retrospektiven, 1:1-Formaten und vergleichbaren Prozessen
Verwaltung von Aufgaben, Maßnahmen, Zielen, Statusinformationen und Fortschrittsdaten
Durchführung und Auswertung von Stimmungs-, Feedback- und Wellbeing-Erhebungen
Bereitstellung von Übersichten, Dashboards, Auswertungen und Exportfunktionen

3.3 Bereitstellung optionaler KI-Funktionen

Bereitstellung der optionalen KI-Funktionen, insbesondere „AI Session Proposal“, der KI-gestützten Teamanalyse und der Coaching-Toolkit-Auswertungen
Verarbeitung der durch den AG oder berechtigte Nutzer ausgewählten Inhalte zur Erstellung von Vorschlägen für Coaching-Sitzungen
Erstellung von KI-generierten Strukturierungs-, Formulierungs- oder Planungsvorschlägen
Verarbeitung technischer Kontext-, Fehler- und Protokolldaten im Zusammenhang mit der Nutzung der KI-Funktion
Übermittlung von Inhalten an den jeweils eingesetzten KI-Anbieter, soweit dies vom AG beziehungsweise berechtigten Nutzer veranlasst wurde und die erforderlichen Voraussetzungen, insbesondere eine ausdrückliche Einwilligung bei besonderen Kategorien personenbezogener Daten, vorliegen

3.4 Bereitstellung optionaler Integrationen

Ermöglichung einer optionalen Google-Anmeldung und Google-Kalenderintegration
Verwaltung und Nutzung von OAuth-Verbindungen und Zugriffstoken
Übermittlung von Benachrichtigungen an optionale, durch den AG eingerichtete Slack- oder Microsoft-Teams-Integrationen
Verarbeitung technischer Verbindungs-, Fehler- und Statusdaten im Zusammenhang mit aktivierten Integrationen

3.5 Technischer Betrieb und IT-Sicherheit

Sicherstellung der Verfügbarkeit, Stabilität, Funktionsfähigkeit und Sicherheit der Plattform
Fehleranalyse, Fehlerbehebung, Wartung und Weiterentwicklung der vertragsgegenständlichen Funktionen
Erkennung, Analyse und Abwehr von Angriffen, Missbrauch, Betrug und unbefugten Zugriffen
Verarbeitung technisch erforderlicher Protokoll-, Verbindungs-, Sitzungs- und Sicherheitsdaten
Durchführung optionaler, einwilligungsbasierter GeoIP-Prüfungen zur Erkennung ungewöhnlicher Anmeldungen

Anlage b) — Technische und organisatorische Maßnahmen

Der AN trifft die nachfolgenden Maßnahmen nach Art. 32 DSGVO. Die vollständige, jeweils aktuelle Beschreibung wird dem AG auf Anforderung bereitgestellt.

Zutrittskontrolle: Die Verarbeitung erfolgt in zertifizierten Rechenzentren des Hosting-Dienstleisters mit Zutrittssicherung, Videoüberwachung und dokumentierter Besucherverwaltung. Der AN selbst unterhält keine eigenen Serverräume.
Zugangskontrolle: Persönliche Benutzerkonten, Passwort-Hashing nach Stand der Technik, Prüfung auf kompromittierte Passwörter, Mehr-Faktor-Authentifizierung für administrative Zugänge, automatische Sitzungsbeendigung nach Inaktivität sowie eine absolute Sitzungsdauer.
Zugriffskontrolle: Rollen- und rechtebasiertes Berechtigungskonzept, Mandantentrennung auf Datenbankebene, Beschränkung administrativer Rechte auf das erforderliche Maß, Protokollierung sicherheitsrelevanter Zugriffe.
Weitergabekontrolle: Transportverschlüsselung (TLS) für sämtliche Verbindungen, Verschlüsselung gespeicherter Daten und verschlüsselte Backups, Einsatz von EU-Standardvertragsklauseln bei Drittlandübermittlungen, PII-Scrubbing vor Übermittlung an Fehler- und Protokolldienste.
Eingabekontrolle: Audit-Protokolle über Erstellung, Änderung und Löschung sicherheitsrelevanter Datensätze mit Zeitstempel und handelnder Person.
Auftragskontrolle: Schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern, geführtes Auftragsverarbeitungsregister mit jährlicher Überprüfung, dokumentierte Weisungslage.
Verfügbarkeitskontrolle: Tägliche verschlüsselte Datensicherung, dokumentiertes Wiederherstellungsverfahren, Überwachung der Grundfunktionen, Schutzmaßnahmen gegen Überlastung und missbräuchliche Zugriffe.
Trennungskontrolle: Logische Trennung der Daten verschiedener Auftraggeber, getrennte Umgebungen für Entwicklung, Test und Produktion, keine Verwendung von Produktivdaten in Testumgebungen.

Fragen zu diesem Vertrag richten Sie bitte an info@bold-bloom.com.

Version: 12.09.2026