Diese Übersetzung dient nur der Information. Bei Abweichungen ist die englische Fassung maßgeblich.

Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Vereinbarung zwischen Ihnen (dem „Verantwortlichen“) und Caliradi LLC, Betreiberin von Caliradi.ai (dem „Auftragsverarbeiter“), und gilt, wenn wir bei der Bereitstellung des Caliradi-Dienstes personenbezogene Daten in Ihrem Auftrag verarbeiten.

1. Begriffsbestimmungen

Großgeschriebene Begriffe, die hier nicht definiert sind, haben die Bedeutung, die ihnen in der DSGVO (Verordnung (EU) 2016/679) zukommt:

• Verantwortlicher – Sie, der Caliradi-Kunde, der über die Zwecke und Mittel der Verarbeitung entscheidet.
• Auftragsverarbeiter – Caliradi LLC, die personenbezogene Daten in Ihrem Auftrag verarbeitet.
• Betroffene Person – Ihre Endkunden, Mitarbeiter oder Kontakte, deren personenbezogene Daten verarbeitet werden.
• Unterauftragsverarbeiter – jeder Dritte, den wir mit der Verarbeitung personenbezogener Daten beauftragen (siehe Abschnitt 7).

2. Umfang & Gegenstand

Wir verarbeiten personenbezogene Daten ausschließlich, um Ihnen den Caliradi-Dienst bereitzustellen, und gemäß Ihren Weisungen. Die Dauer der Verarbeitung entspricht der Laufzeit Ihres Plans zuzüglich einer etwaigen gesetzlich vorgeschriebenen Aufbewahrungsfrist.

3. Kategorien personenbezogener Daten & betroffener Personen

4. Pflichten des Auftragsverarbeiters

Wir werden:

• personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung verarbeiten, auch im Hinblick auf internationale Übermittlungen.
• sicherstellen, dass die zum Zugriff auf personenbezogene Daten befugten Personen zur Vertraulichkeit verpflichtet sind.
• geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen (Abschnitt 6).
• Sie bei der Beantwortung von Anträgen betroffener Personen unterstützen (Auskunft, Löschung, Datenübertragbarkeit usw.).
• Sie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörden unterstützen.
• Sie unverzüglich, und soweit möglich innerhalb von 72 Stunden, über Verletzungen des Schutzes personenbezogener Daten informieren.
• personenbezogene Daten nach Abschluss der Leistungen zurückgeben oder löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• alle Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung erforderlich sind, und Audits ermöglichen (Abschnitt 8).

5. Pflichten des Verantwortlichen

Sie werden:

• personenbezogene Daten im Einklang mit den geltenden Gesetzen verarbeiten.
• über eine gültige Rechtsgrundlage für die beauftragte Verarbeitung verfügen (Einwilligung, Vertrag, berechtigtes Interesse usw.).
• zutreffende und rechtmäßige Weisungen für die Verarbeitung erteilen.
• betroffene Personen darüber informieren, wie ihre Daten verarbeitet werden, gegebenenfalls einschließlich dieses DPA.

6. Sicherheitsmaßnahmen

Wir setzen die folgenden technischen und organisatorischen Maßnahmen um und halten sie aufrecht:

• Verschlüsselung. TLS 1.2+ bei der Übertragung, AES-256 bei der Speicherung.
• Zugriffskontrolle. Rollenbasierter Zugriff, MFA für Produktivsysteme, Prinzip der minimalen Berechtigungen (Least Privilege).
• Netzwerksicherheit. Cloudflare WAF, DDoS-Schutz, IP-Allowlisting für administrativen Zugriff.
• Überwachung. Audit-Protokollierung, Angriffserkennung, automatische Anomalie-Warnungen.
• Backups. Tägliche verschlüsselte Backups, 30 Tage Aufbewahrung, Wiederherstellbarkeit vierteljährlich getestet.
• Personal. Hintergrundüberprüfungen, unterzeichnete Vertraulichkeitsvereinbarungen, verpflichtende Sicherheitsschulungen.
• Dienstleistermanagement. Sicherheitsprüfung und DPA mit jedem Unterauftragsverarbeiter.
• Reaktion auf Vorfälle. Dokumentiertes Playbook, 24/7-Bereitschaft, Post-Mortem-Reviews.
• Compliance. Wir arbeiten auf eine Zertifizierung nach SOC-2 Type II hin.

7. Unterauftragsverarbeiter

Sie ermächtigen uns, die folgenden Unterauftragsverarbeiter für die beschriebenen Zwecke einzusetzen:

Wir benachrichtigen Sie mindestens 14 Tage im Voraus, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Sie können aus berechtigten Datenschutzgründen widersprechen; wird keine Lösung gefunden, können Sie den betroffenen Teil des Dienstes kündigen.

8. Audits

Einmal pro Jahr können Sie mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen prüfen, ob wir diesen DPA einhalten. Wir können unsere Auditpflichten erfüllen, indem wir aktuelle Auditberichte Dritter vorlegen (z. B. SOC-2). Audits müssen die Vertraulichkeit wahren und dürfen den Betrieb nicht stören.

9. Internationale Übermittlungen

Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, des Vereinigten Königreichs oder der Schweiz übermittelt, stützen wir uns, soweit anwendbar, auf die Standardvertragsklauseln der EU (SCCs, Modul 2 – Verantwortlicher an Auftragsverarbeiter) und das UK International Data Transfer Addendum. Diese sind durch Verweis Bestandteil dieses DPA.

10. Anträge betroffener Personen

Wendet sich eine betroffene Person mit einem Antrag auf Ausübung ihrer Rechte direkt an uns, verweisen wir sie an Sie und benachrichtigen Sie. Wir unterstützen Sie in angemessenem Umfang dabei, innerhalb der gesetzlichen Fristen zu antworten.

11. Haftung

Die Haftungsobergrenze und die Freistellungsbestimmungen unserer Nutzungsbedingungen gelten für Ansprüche aus diesem DPA, soweit zwingendes Datenschutzrecht nichts anderes vorschreibt.

12. Laufzeit & Beendigung

Dieser DPA gilt, solange wir personenbezogene Daten in Ihrem Auftrag verarbeiten. Bestimmungen, die fortbestehen sollen (Vertraulichkeit, Audit, Haftung, Rückgabe/Löschung von Daten), bleiben über die Beendigung hinaus wirksam.

13. Kontakt