Vereinbarung zur Auftragsverarbeitung

1. Vertragsparteien und Geltung

Diese Vereinbarung gilt zwischen der nyxory GmbH, c/o Tobias Nentwig, Gardeweg 1 A, 14624 Dallgow-Döberitz, Deutschland, eingetragen beim Amtsgericht Potsdam unter HRB 42303 P, und dem im Plattformvertrag bezeichneten Kunden. Sie regelt die Verarbeitung personenbezogener Daten durch nyxory im Auftrag des Kunden nach Art. 28 DSGVO und wird mit dem Plattformvertrag vereinbart. Einer gesonderten Unterschrift unter dieser Anlage bedarf es nicht.

Der Kunde handelt als Verantwortlicher. Soweit er selbst Auftragsverarbeiter ist, handelt nyxory als weiterer Auftragsverarbeiter; der Kunde sichert die erforderliche Beauftragung und Genehmigung seines Verantwortlichen und übermittelt dessen maßgebliche Weisungen und zusätzliche Pflichten vor Beginn. Erforderliche Ergänzungen werden vereinbart. Eigene gesetzliche Verpflichtungen von nyxory bleiben unberührt.

Bestandteile sind diese AVV, die vereinbarte Leistungsbeschreibung und das für die gebuchten Dienste einbezogene Plattformdatenblatt mit Verarbeitungsprofil, technischen und organisatorischen Maßnahmen (TOMs) sowie Unterauftragsverarbeitern. Bei Enterprise-Kunden konkretisiert eine individuell vereinbarte AVV-Anlage abweichende Betriebsbedingungen und gegebenenfalls die Verarbeitung sensibler Daten. Ihre ausdrücklich bezeichneten besonderen Regelungen gehen den allgemeinen Angaben vor; im Übrigen gilt diese AVV fort. Bei datenschutzrechtlichen Widersprüchen geht diese AVV den AGB vor; ausdrücklich vereinbarte weitergehende Schutzvorgaben bleiben bestehen.

2. Gegenstand und Umfang

Gegenstand ist die Auftragsverarbeitung bei Bereitstellung und Betrieb der gebuchten Plattformdienste gemäß Leistungsbeschreibung.

Zweck, Verarbeitungsvorgänge, Datenarten und betroffene Personengruppen bestimmt Kapitel 1 des einbezogenen Plattformdatenblatts. Der Kunde bestimmt die fachlichen Zwecke und Inhalte innerhalb der gebuchten Leistungen und Schutzbedarfsgrenzen. Abweichende Personengruppen oder Datenarten werden vor Beginn ergänzend vereinbart. Die Verarbeitung dauert für die Laufzeit des gebuchten Dienstes zuzüglich der erforderlichen Rückgabe- und Löschphase nach Ziffer 9.

Die Standard-SaaS-Plattform ist für Daten mit normalem Schutzbedarf vorgesehen. Bei personenbezogenen Inhaltsdaten bedeutet dies, dass Art, Umfang und Verarbeitungskontext keine erhöhten Schutzanforderungen begründen. Übliche geschäftliche Kontakt- und Organisationsdaten können darunter fallen; maßgeblich bleibt der konkrete Kontext. Besondere Kategorien nach Art. 9 DSGVO, insbesondere Gesundheitsdaten, Daten nach Art. 10 DSGVO sowie sonstige personenbezogene Inhaltsdaten mit erhöhtem Schutzbedarf sind im Standardangebot ausgeschlossen.

Die Verarbeitung solcher sensiblen personenbezogenen Daten setzt einen Enterprise-Vertrag und eine vor Verarbeitungsbeginn vereinbarte individuelle AVV-Anlage voraus. Diese konkretisiert Datenarten, Zwecke, Betriebsumgebung, Anbieter, Verarbeitungsorte und die erforderlichen zusätzlichen Schutzmaßnahmen. Ein Enterprise-Vertrag allein erlaubt diese Verarbeitung nicht. Zusätzliche Pflichten, etwa zum Schutz von Berufsgeheimnissen, werden ebenfalls vor Beginn vereinbart.

Erkennt der Kunde eine nicht vereinbarte Verarbeitung sensibler Daten, unterbindet er weitere Übermittlungen und informiert nyxory unverzüglich. Die Parteien stimmen eine sichere Rückgabe, Löschung oder Überführung in eine geeignete vertraglich vereinbarte Umgebung ab. Datenschutz- und Schutzpflichten für bereits vorhandene Daten bleiben unberührt.

Soweit nyxory personenbezogene Daten für eigene Zwecke der Plattformkontoverwaltung und Anmeldung, Vertragsverwaltung, Abrechnung, Produktanalyse oder Geschäftskorrespondenz verarbeitet, handelt nyxory als Verantwortlicher außerhalb dieser AVV; hierzu informiert die Datenschutzerklärung. Maßgeblich sind der tatsächliche Zweck und Datenfluss. Konten, Berechtigungen und Anmeldedaten innerhalb der Kundenanwendungen sowie sonstige weisungsgebundene Verarbeitung bleiben Auftragsdaten. Diese Abgrenzung erlaubt keine eigene Nutzung von Auftragsdaten, insbesondere keine pauschale Einbeziehung von Kundeninhalten in die Produktanalyse.

3. Weisungen und Mitwirkung des Kunden

nyxory verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, auch hinsichtlich Drittlandübermittlungen. Vertrag, Leistungsbeschreibung und bestimmungsgemäße Nutzung der vereinbarten Funktionen bilden die anfänglichen Weisungen. Kontakt für Datenschutzanfragen und Betroffenenanträge ist privacy@nyxory.com, für weitere Weisungen und Sicherheitsmeldungen security@nyxory.com, für Missbrauchsmeldungen abuse@nyxory.com; mündliche Eilweisungen werden unverzüglich dokumentiert. nyxory prüft die Berechtigung des Absenders.

Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats nyxory zur Verarbeitung, informiert nyxory den Kunden vorab, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Hält nyxory eine Weisung für datenschutzwidrig, informiert nyxory den Kunden unverzüglich und setzt deren Ausführung bis zur Klärung mit dem Kunden aus. Rechtswidrige Weisungen werden nicht ausgeführt.

Der Kunde verantwortet die Rechtmäßigkeit seiner Verarbeitung, Informationen an betroffene Personen, eigene Benutzerberechtigungen und kundenseitige Konfigurationen. Er hält seine Vertrags-, Datenschutz- und Vorfallkontakte aktuell. nyxory bleibt für die eigenen Leistungen und Schutzmaßnahmen verantwortlich.

4. Vertraulichkeit und Sicherheit

nyxory verpflichtet befugte Personen vor dem Zugriff zur Vertraulichkeit, soweit keine angemessene gesetzliche Verschwiegenheitspflicht besteht.

nyxory trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen unter Berücksichtigung von Stand der Technik, Implementierungskosten, Verarbeitung und Risiken für betroffene Personen. Die konkreten technischen und organisatorischen Maßnahmen sind in Kapitel 2 des Plattformdatenblatts vereinbart. Technische Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht unterschreiten; wesentliche Änderungen werden dokumentiert und dem Kunden mitgeteilt.

Auftragsdaten werden weder für Werbung noch für das Training von KI-Modellen verwendet; der Trainingsausschluss gilt auch für die eingesetzten KI-Anbieter. Die bewusste Nutzung vereinbarter KI-Funktionen durch den Kunden oder seine berechtigten Nutzer, einschließlich Aufrufen des AI-Gateways aus Kundenanwendungen, gilt als dokumentierte Weisung. Funktionen, Verarbeitungszwecke, Datenumfang und eingesetzte Dienste werden vor der Nutzung transparent vereinbart; die Nutzung wird nachvollziehbar dokumentiert. Darüber hinausgehende KI-Verarbeitung von Kundeninhalten erfolgt nur auf gesonderte dokumentierte Weisung. Für externe Anbieter gelten Ziffern 7 und 8.

5. Unterstützung und Datenschutzverletzungen

nyxory unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Betroffenenrechte nach Kapitel III DSGVO. Eingehende Anträge werden unverzüglich weitergeleitet und nur auf Weisung beantwortet. nyxory unterstützt insbesondere bei Auskunft, Berichtigung, Export, Einschränkung und Löschung.

Unter Berücksichtigung der verfügbaren Informationen unterstützt nyxory den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde. Erforderliche Angaben zu Datenflüssen, Maßnahmen, Anbietern und Risiken werden rechtzeitig bereitgestellt.

Verletzungen des Schutzes personenbezogener Daten meldet nyxory dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, an den benannten Vorfallkontakt, ersatzweise an den Vertragskontakt. Die Meldung enthält, soweit bekannt, Art, Umfang und Zeitpunkt des Vorfalls, betroffene Daten- und Personenkategorien mit ungefähren Zahlen, wahrscheinliche Folgen, ergriffene oder geplante Abhilfemaßnahmen und einen Ansprechpartner. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. nyxory unterstützt die Aufklärung, Eindämmung und die Melde- und Benachrichtigungspflichten des Kunden.

6. Nachweise und Kontrollen

nyxory stellt alle zum Nachweis der Einhaltung dieser AVV und des Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. nyxory wirkt daran mit.

Reguläre Vor-Ort-Prüfungen sind einmal jährlich mit mindestens vier Wochen Vorankündigung in Textform während üblicher Geschäftszeiten und mit möglichst geringer Betriebsbeeinträchtigung möglich. Zusätzliche erforderliche Prüfungen aus konkretem Anlass, insbesondere bei Datenschutzverletzungen oder begründeten Hinweisen auf erhebliche Mängel, bleiben möglich; bei Dringlichkeit gilt ein angemessen kürzerer Vorlauf. Die Bereitstellung und Prüfung von Unterlagen bleibt davon unberührt. Prüfende sind zur Vertraulichkeit zu verpflichten. Bei begründeten Interessenkonflikten wird eine geeignete Alternative abgestimmt, ohne notwendige Kontrollen zu verhindern. Andere Kunden sind zu schützen. Aktuelle Prüfberichte können berücksichtigt werden, ersetzen aber keine erforderlichen eigenen Kontrollen. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt.

7. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine schriftliche Genehmigung, auch in elektronischer Form, für die im einbezogenen Plattformdatenblatt aufgeführten Unterauftragsverarbeiter. nyxory informiert ihn mindestens 30 Kalendertage vor beabsichtigtem Hinzufügen oder Ersetzen aktiv über Anbieter, Tätigkeit, Daten, Länder und Schutzmaßnahmen. Dies gilt auch vor der erstmaligen Aktivierung eines im Datenblatt als geplant bezeichneten Anbieters. Eine bloße Änderung einer Online-Liste genügt nicht.

Der Kunde kann vor dem geplanten Einsatz aus datenschutzbezogenen Gründen widersprechen. Die Parteien klären eine geeignete Lösung; bis dahin wird der beanstandete Anbieter für die betroffene Verarbeitung nicht eingesetzt. Ist keine rechtmäßige Fortführung möglich, kann jede Partei den betroffenen Leistungsteil zum vorgesehenen Umstellungszeitpunkt beenden. Rückgabe und Löschung richten sich nach Ziffer 9.

nyxory verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, insbesondere zu ausreichenden Schutzmaßnahmen, Unterstützung und Kontrollen, und überprüft deren Einhaltung. nyxory bleibt dem Kunden gegenüber für die Erfüllung ihrer Pflichten in vollem Umfang verantwortlich. Die Liste einschließlich relevanter weiterer Verarbeitungsketten wird aktuell gehalten.

Bei Ausfällen oder Sicherheitsvorfällen können bereits genehmigte Ausweichanbieter im vereinbarten Umfang eingesetzt werden. Ein neuer Anbieter darf vor Ablauf der Informationsfrist nur nach vorheriger dokumentierter Zustimmung des Kunden im beschleunigten Verfahren eingesetzt werden. Eine nachträgliche Information ersetzt diese Zustimmung nicht.

Die Anbieterzuordnung erlaubt keine pauschale Weitergabe sämtlicher Auftragsdaten an jeden genannten Anbieter. Beauftragt nyxory einen vom Enterprise-Kunden ausgewählten IaaS-Anbieter selbst, ist dieser bei Verarbeitung von Auftragsdaten Teil der Unterauftragnehmerkette.

8. Verarbeitungsorte und externe Dienste

nyxory verarbeitet Auftragsdaten ausschließlich im Europäischen Wirtschaftsraum (EWR) und in der Schweiz. Dies umfasst Speicherung, Sicherung und Zugriffe einschließlich Administration und Fernwartung durch nyxory und eingesetzte Unterauftragsverarbeiter. Übermittlungen in die Schweiz erfolgen auf Grundlage des wirksamen Angemessenheitsbeschlusses der Europäischen Kommission nach Art. 45 DSGVO.

Die konkret vereinbarten Speicher-, Sicherungs- und Zugriffsländer sind im Plattformdatenblatt festgelegt. Der allgemeine geografische Rahmen erweitert diese Festlegungen nicht automatisch; Änderungen richten sich nach Ziffern 7 und 10. Entfällt die Anwendbarkeit eines Angemessenheitsbeschlusses, informiert nyxory den Kunden unverzüglich und setzt die betroffenen Übermittlungen und Zugriffe aus; die weitere Verarbeitung wird innerhalb des zulässigen Rahmens mit dem Kunden abgestimmt. Gesetzliche Verpflichtungen nach Ziffer 3 bleiben unberührt.

Vom Kunden gewünschte externe Integrationen werden vor Aktivierung hinsichtlich Empfänger, Rolle, Datenumfang und Ländern dokumentiert. Ein direkt vom Kunden beauftragter Anbieter wird durch die technische Anbindung allein nicht zum Unterauftragsverarbeiter von nyxory. Bei Beauftragung durch nyxory gilt Ziffer 7. Die Anbindung bleibt auf den vereinbarten Kundenkontext beschränkt; nyxory verantwortet die sichere Integration im übernommenen Leistungsumfang. Auch Übermittlungen durch nyxory an solche Dienste sind auf den vorstehenden geografischen Rahmen beschränkt.

Administrative Zugriffe durch Mitarbeitende sind auf die im Plattformdatenblatt festgelegten Regionen beschränkt. Bei Aufenthalten außerhalb sind sie durch geeignete Maßnahmen zu unterbinden. Kundenspezifische engere Standortvorgaben bleiben maßgeblich.

9. Rückgabe und Löschung

Nach Ende der Verarbeitung gibt nyxory nach Wahl des Kunden die Auftragsdaten zurück und löscht bestehende Kopien oder löscht sämtliche Auftragsdaten. Die Rückgabe erfolgt auf Anfrage eines berechtigten Kundenkontakts über den Weisungskontakt nach Ziffer 3 unverzüglich, spätestens innerhalb von 30 Kalendertagen nach Eingang der Anfrage; erforderliche Rückfragen erfolgen unverzüglich. Strukturierte Daten werden in gängigem maschinenlesbarem Format, Dateien im vorhandenen Format einschließlich erforderlicher Zuordnungsmetadaten bereitgestellt. nyxory bestimmt und kommuniziert Format und sicheren Bereitstellungsweg nach den Schutzmaßnahmen des Plattformdatenblatts; Daten anderer Kunden bleiben ausgeschlossen. Bei Vertragsende ermöglicht nyxory eine rechtzeitig angefragte Rückgabe vor der Löschung und teilt Abrufzeitraum und Löschtermin mit.

Während der Laufzeit löscht oder beschränkt nyxory Auftragsdaten nach dokumentierten Weisungen und den Aufbewahrungsfristen aus Kapitel 3 des Plattformdatenblatts. Löschweisungen werden für aktive Systeme innerhalb von höchstens 30 Kalendertagen ab Eingang, einschließlich Sicherungskopien innerhalb von insgesamt höchstens 60 Kalendertagen umgesetzt. Nach Vertragsende erfolgt die vollständige Löschung aller Auftragsdaten einschließlich Protokoll- und Supportdaten sowie Sicherungskopien ohne unangemessene Verzögerung, spätestens innerhalb von insgesamt 90 Kalendertagen. Die Löschung wird bestätigt.

Alle Fristen sind Höchstfristen. Entfällt die Erforderlichkeit früher, werden die Daten früher gelöscht; kürzere gesetzlich gebotene oder verbindlich vereinbarte Fristen gehen vor. Rückgabeanfragen, Vertragsende und Wiederherstellungen verlängern laufende Fristen nicht und setzen sie nicht neu in Gang.

Bis zur Löschung gelten sämtliche Schutzpflichten fort. Nach Vertragsende dienen verbleibende Daten ausschließlich der Rückgabe und sicheren Abwicklung. Verbleibende Sicherungskopien sind vom regulären Zugriff ausgeschlossen; nach einer Wiederherstellung werden bestehende Löschweisungen erneut umgesetzt. Gesetzliche Speicherpflichten nach Unionsrecht oder mitgliedstaatlichem Recht bleiben unberührt. In diesen Fällen dokumentiert nyxory Rechtsgrundlage, Umfang und Dauer, sperrt andere Verwendungen und löscht die Daten nach Wegfall der Pflicht.

10. Haftung, Zusatzleistungen und Vertragsänderungen

Die Haftung nach Art. 82 DSGVO bleibt unberührt. Im Übrigen gelten die Haftungsregelungen der AGB, soweit zwingendes Recht nicht entgegensteht.

Leistungen, die über gesetzliche und vereinbarte Unterstützungs- und Kontrollpflichten hinausgehen, können nach vorheriger Vereinbarung über Umfang und Kosten gesondert vergütet werden. Die Erfüllung dieser Pflichten und die Ausübung der Kontrollrechte werden nicht von einer zusätzlichen Vergütungsvereinbarung abhängig gemacht.

Kann nyxory diese Vereinbarung nicht einhalten, wird der Kunde unverzüglich informiert. Er kann die betroffene Verarbeitung bis zur Behebung aussetzen lassen und bei wesentlichen oder fortdauernden Verstößen den betroffenen Leistungsteil außerordentlich kündigen. Gesetzliche Rechte bleiben unberührt.

Die bei Vertragsschluss einbezogenen Fassungen bleiben nachweisbar. Änderungen des Vertragsinhalts werden wirksam vereinbart; die Veröffentlichung einer neuen Fassung genügt nicht. Zulässige technische Weiterentwicklungen nach Ziffer 4 und Anbieteränderungen nach Ziffer 7 bleiben möglich. Die AVV gilt bis zur vollständigen Abwicklung der Auftragsdaten fort.

1. Verarbeitungsprofil

Verarbeitungsprofil der gebuchten Plattformdienste im Rahmen von Ziffer 2 der AVV.

Zweck: Bereitstellung und sicherer Betrieb der Kundenanwendungen und Projekte auf der Plattform einschließlich Hosting, Benutzerverwaltung im Auftrag, Administration, Wartung, Support, Datensicherung, Wiederherstellung und Sicherheitsüberwachung sowie der vereinbarten KI-Funktionen.

Verarbeitungsvorgänge: Erfassung, Organisation, Speicherung, Abfrage, Anzeige, Veränderung, vereinbarte Übermittlung, Einschränkung und Löschung.

Personengruppen: Nutzer und Administratoren der Kundenprojekte; Endnutzer der Kundenanwendungen; Beschäftigte und sonstige Beauftragte des Kunden; Kunden, Interessenten, Lieferanten und Geschäftspartner des Kunden einschließlich ihrer Ansprechpartner sowie weitere Personen, deren Daten der Kunde im vereinbarten Verarbeitungsrahmen in seinen Anwendungen oder Projekten verarbeitet.

Datenarten: Personenbezogene Daten, die der Kunde innerhalb des vereinbarten Verarbeitungsrahmens in seinen Anwendungen und Projekten verarbeitet. Hierzu gehören beispielsweise Stamm-, Kontakt- und Organisationsdaten; Konto-, Rollen-, Berechtigungs- und Authentisierungsdaten der Kundenanwendungen; geschäftliche Kommunikations-, Dokumenten-, Vorgangs- und Vertragsdaten sowie technische Nutzungs-, Support- und Sicherheitsdaten wie IP-Adressen, Zeitstempel und Fehlermeldungen. Erfasst sind solche Daten auch in Repositories, Container-Images, Volumes, Datenbanken und Anwendungslogs sowie in Agent-Verläufen und Ein- und Ausgaben des AI-Gateways. Die Abgrenzung eigener Verarbeitung durch nyxory regelt Ziffer 2 der AVV.

Die Kategorien gelten, soweit sie bei der konkreten Nutzung tatsächlich anfallen.

2. Technische und organisatorische Maßnahmen (TOMs)

Technische Maßnahmen

Organisatorische Maßnahmen

3. Betriebsbezogene Aufbewahrungsfristen

Die Fristen für Protokoll-, SIEM-, Agent-, Gateway-, Export- und Supportdaten gelten für die aktiven Datenbestände. Restkopien in betrieblichen Sicherungen werden mit Ablauf der Sicherungskopie gelöscht, spätestens 30 Tage nach deren Erstellung; nach Ablauf der aktiven Aufbewahrungsfrist werden keine neuen Sicherungen dieser Restkopien angelegt. Kundenverwaltete Sicherungen sind davon getrennt. Die Auswahl protokollierter Daten und die Erforderlichkeit der Fristen werden dokumentiert und regelmäßig überprüft. Die Gesamtfristen bei Löschweisungen und Vertragsende nach Ziffer 9 der AVV bleiben unverändert maßgeblich; sie werden durch Sicherungskopien nicht verlängert.

4. Unterauftragsverarbeiter und Verarbeitungsorte

Die Zuordnung richtet sich nach den gebuchten Leistungen; für KI-Verarbeitung gilt Ziffer 4 der AVV.

Administrative Zugriffsregionen der Mitarbeitenden: Europäischer Wirtschaftsraum (EWR) und Schweiz. Es gilt Ziffer 8 der AVV.