Soma1. Geltung und Rollen
Diese Bedingungen nach Art. 28 DSGVO werden zwischen dem im Auftrag bezeichneten Kunden und EUTS UG (haftungsbeschränkt), Anschrift laut Impressum, durch Einbeziehung in die Vereinbarung wirksam. Vor Beginn sind die Anlagen zu Verarbeitung, Sicherheit und Dienstleistern auszufüllen und freizugeben. Die öffentliche Fassung ist kein ausgefüllter kundenspezifischer Vertrag.
Der Kunde ist Verantwortlicher oder berechtigt handelnder Auftragsverarbeiter seines eigenen Verantwortlichen; EUTS ist Auftragsverarbeiter beziehungsweise Unterauftragsverarbeiter. Es gelten die Begriffe der DSGVO. Eigene Verantwortlichkeiten von EUTS beschreibt die Datenschutzerklärung. English DPA.
2. Weisungen und Vertraulichkeit
EUTS verarbeitet Daten einschließlich Übermittlungen nur auf dokumentierte Weisung, außer bei Verpflichtung durch Unionsrecht oder mitgliedstaatliches Recht. Über solche Pflichten wird der Kunde vorher informiert, soweit dies nicht aus wichtigen Gründen des öffentlichen Interesses verboten ist. EUTS informiert den Kunden unverzüglich über nach ihrer Auffassung rechtswidrige Weisungen und setzt die betroffene Verarbeitung erforderlichenfalls bis zur Klärung aus.
Vereinbarter Dienst, zulässige Konfiguration und autorisierte Supportanfragen gelten innerhalb des vereinbarten Umfangs als Weisungen. Eigene Werbung, Verkauf oder unabhängiges Training gemeinsamer Modelle mit Kundendaten sind nicht gestattet. Befugte Personen müssen zur Vertraulichkeit verpflichtet oder gesetzlich gebunden und auf notwendige Zugriffe beschränkt sein.
3. Technische und organisatorische Maßnahmen
EUTS trifft angemessene Maßnahmen nach Art. 32 DSGVO unter Berücksichtigung von Risiko, Stand der Technik, Kosten sowie Art, Umfang, Umständen und Zwecken. Die ausgefüllte TOM-Anlage bezeichnet tatsächliche Maßnahmen und Nachweise. Änderungen dürfen das vereinbarte Schutzniveau nicht herabsetzen. Der Kunde stellt notwendige Risikoinformationen bereit, insbesondere zu sensiblen Daten und schutzbedürftigen Personen.
4. Unterauftragsverarbeitung
Unterauftragsverarbeiter benötigen die besondere oder allgemeine schriftliche Genehmigung des Kunden. Die genehmigte Liste muss Rechtsträger, Aufgabe, Daten, Orte und Übermittlungsgarantien benennen. Bei allgemeiner Genehmigung informiert EUTS den Kunden mindestens 30 Tage vor Hinzunahme oder Austausch unmittelbar und ermöglicht datenschutzrechtlich begründete Einwände. Eine Websiteänderung allein genügt nicht.
Vor Einsatz ist ein Einwand durch Alternative oder vereinbarte Abhilfe zu lösen. Ist keine rechtmäßige Lösung möglich, kann der betroffene Dienst beendet werden; vorausbezahlte ungenutzte Entgelte sind anteilig zu erstatten. EUTS legt gleichwertige Pflichten nach Art. 28 vertraglich auf und bleibt gegenüber dem Kunden für deren Erfüllung vollständig verantwortlich. Siehe Anbieterübersicht.
5. Betroffenenrechte und Unterstützung
EUTS unterstützt unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen soweit möglich die Erfüllung von Betroffenenrechten. Direkt eingehende Anfragen sind unverzüglich weiterzuleiten; ohne Weisung oder gesetzliche Pflicht entscheidet EUTS nicht eigenständig darüber. EUTS unterstützt unter Berücksichtigung verfügbarer Informationen bei Art. 32 bis 36 DSGVO, einschließlich Meldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation. Gesondert vereinbarte Kosten dürfen Pflichtunterstützung nicht verhindern.
6. Datenschutzverletzungen
EUTS informiert den vereinbarten Vorfallkontakt des Kunden nach Bekanntwerden einer Verletzung personenbezogener Daten unverzüglich, ohne den Abschluss der Untersuchung abzuwarten. Mitgeteilt werden verfügbare Angaben zu Art, betroffenen Daten und Personen, Folgen, Abhilfe und Kontaktstelle; Ergänzungen folgen ohne unangemessene weitere Verzögerung. EUTS begrenzt und untersucht den Vorfall, sichert relevante Nachweise und unterstützt die Bewertung.
Die mögliche 72-Stunden-Frist für die Behördenmeldung des Verantwortlichen nach Art. 33 Abs. 1 ist keine Wartefrist für die Mitteilung des Auftragsverarbeiters nach Art. 33 Abs. 2. Eigene gesetzliche Meldepflichten bleiben bestehen.
7. Nachweise und Kontrollen
EUTS stellt alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 bereit und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Kunden oder dessen beauftragten Prüfer. Angemessene Vertraulichkeits-, Termin- und Schutzregelungen dürfen Kontrollrechte nicht vereiteln. Geeignete Berichte können zunächst genutzt werden; es gelten keine starre jährliche Beschränkung, keine Vorankündigungssperre bei dringenden Vorfällen und kein Ausschluss behördlicher Rechte.
8. Ende und Übermittlungen
Nach Ende sind Daten nach Wahl des Kunden zurückzugeben oder zu löschen und vorhandene Kopien zu löschen, soweit nicht Unionsrecht oder mitgliedstaatliches Recht die Speicherung verlangt. Die Anlage bestimmt Format, Fristen, endgültigen Sicherungsablauf und gesetzliche Aufbewahrung. Zurückbehaltene Daten bleiben geschützt, zweckgebunden und vom aktiven Gebrauch ausgeschlossen. Löschungen sind nach Wiederherstellung erneut anzuwenden. Eine vereinbarte Löschbestätigung ist bereitzustellen.
Orte und Fernzugriffe müssen der genehmigten Anlage entsprechen. Übermittlungen nach Kapitel V benötigen vorab eine gültige Grundlage, erforderliche Bewertung und ergänzende Maßnahmen. Der SCC-Hinweis ersetzt keine ausgefüllten Klauseln.
9. Auszufüllende Anlagen
- A — Beteiligte und Verarbeitung: Kunde und gegebenenfalls übergeordneter Verantwortlicher, Kontakte, Weisungen, Module, Gegenstand, Art, Zweck, Häufigkeit, Dauer, Betroffene, Datenarten und besondere Schutzmaßnahmen.
- B — Sicherheit und Fristen: tatsächliche TOMs und Nachweise, Hosting und Supportorte, Zugriff, Vorfallkontakte, Daten- und Protokollfristen, Export, Löschung, endgültiger Sicherungsablauf und Wiederherstellung.
- C — Anbieter und Übermittlung: genehmigte Rechtsträger, Aufgaben, Daten, Länder, Genehmigung, Benachrichtigung, Übermittlungsgrundlage und gegebenenfalls SCC-Anlagen samt Bewertung.
CRM, Projekte, Inventar, Rechnungen, Dokumente und genehmigte KI können Gegenstand sein; Beschäftigte, Kunden, Lieferanten und Geschäftskontakte können betroffen sein. Dies sind lediglich Planungsbeispiele. Daten nach Art. 9/10, Standortdaten von Beschäftigten, Aufzeichnungen und andere risikoreiche Verarbeitung erfordern gesonderte Bewertung und Vereinbarung.
10. Dauer und Rang
Der AVV gilt einschließlich geschützter Restkopien während der gesamten Verarbeitung und geht bei Datenschutzwidersprüchen kommerziellen Bedingungen vor. Zwingende Pflichten, Betroffenenrechte und vereinbarte SCC dürfen nicht beschränkt werden. Im abgeschlossenen Vertrag ist die maßgebliche Sprachfassung festzulegen; Art. 28 gilt unabhängig davon.
SomaHQ · EUTS UG (haftungsbeschränkt)
contact@euts.ai · Legal hub