Auftragsverarbeitungsvertrag

1. Parteien und Geltungsbereich

Parteien sind der Kunde, der einen DealerBrain-Dienstleistungsvertrag abgeschlossen hat („Kunde“, Verantwortlicher), und die LogiNet Enterprise Software Technologies Kft., Budaörsi út 48–50, 1. Stock, Tür 2, 1118 Budapest, Ungarn, Firmenregisternummer 01-09-430828 („LogiNet“, Auftragsverarbeiter).

Dieser AVV gilt für alle personenbezogenen Daten, die LogiNet bei der Erbringung des Dienstes DealerBrain im Auftrag des Kunden verarbeitet („Kundendaten“). Er gilt nicht für Daten, die LogiNet als Verantwortlicher verarbeitet, etwa zur Verwaltung der Kundenbeziehung oder zum Betrieb von dealerbrain.io. Diese Verarbeitung ist in unserer Datenschutzerklärung beschrieben.

Unterliegt der Kunde dem Schweizer Bundesgesetz über den Datenschutz (revDSG), PIPEDA oder dem Quebec Law 25, gilt dieser AVV für die Pflichten nach diesen Gesetzen entsprechend.

2. Gegenstand, Art und Zweck

LogiNet stellt den KI-Verkaufs-Chat DealerBrain auf den Websites des Kunden sowie die zugehörigen Werkzeuge für die Mitarbeiter des Kunden bereit: Bestands- und Modellsuche, Inhaltsempfehlungen, Lead-Erfassung, Terminanfragen, Ticket-Management, Übernahme durch Mitarbeiter und Berichte. Die Einzelheiten der Verarbeitung, die Kategorien betroffener Personen und die Arten personenbezogener Daten sind in Anlage 1 aufgeführt.

Dieser AVV gilt, solange LogiNet Kundendaten im Rahmen des Dienstleistungsvertrags verarbeitet, und bis diese Daten gemäß Abschnitt 11 gelöscht oder zurückgegeben wurden.

3. Weisungen

LogiNet verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht das Recht der EU oder eines Mitgliedstaats etwas anderes verlangt. In diesem Fall teilt LogiNet dies dem Kunden vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Der Dienstleistungsvertrag, dieser AVV und die Konfiguration des Dienstes durch den Kunden (zum Beispiel Persona, Regelwerk, Aufbewahrungsregeln, Einwilligungseinstellungen und Integrationen) sind die Weisungen des Kunden. Weitere Weisungen sind schriftlich zu erteilen. LogiNet informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

4. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung verantwortlich. Insbesondere wird der Kunde:

• den Besuchern seiner Websites die nach Artikel 13 und 14 DSGVO erforderlichen Informationen bereitstellen, einschließlich des Hinweises, dass sie mit einer KI sprechen,
• jede erforderliche Einwilligung einholen, zum Beispiel für das Nachfassen per E-Mail oder SMS, und dafür die Einwilligungsfunktionen des Dienstes nutzen,
• entscheiden, welche Datenquellen, Integrationen und KI-Anbieter mit dem Dienst verbunden werden,
• den Dienst nicht anweisen, besondere Kategorien personenbezogener Daten zu erheben, sofern er dafür keine Rechtsgrundlage hat.

5. Vertraulichkeit

LogiNet stellt sicher, dass sich alle Personen, die LogiNet zur Verarbeitung von Kundendaten befugt, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugriff auf die Personen beschränkt ist, die ihn zur Erbringung, zum Support oder zur Absicherung des Dienstes benötigen.

6. Sicherheit

LogiNet trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Artikel 32 DSGVO vorgeschrieben. Die Maßnahmen sind in Anlage 2 beschrieben. LogiNet kann sie entsprechend der technischen Entwicklung anpassen, sofern das Gesamtschutzniveau nicht gesenkt wird.

7. Unterauftragsverarbeiter

Der Kunde erteilt LogiNet eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die bei Abschluss dieses AVV beauftragten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

LogiNet informiert den Kunden mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können die Parteien den Einspruch nicht ausräumen, kann der Kunde den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen.

LogiNet erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die mindestens das gleiche Schutzniveau wie dieser AVV bieten, und haftet gegenüber dem Kunden für die Leistung des Unterauftragsverarbeiters.

8. Standort und internationale Übermittlungen

Der Dienst DealerBrain und die Kundendaten werden auf Servern in der Europäischen Union gehostet. LogiNet übermittelt Kundendaten nicht in ein Land außerhalb des Europäischen Wirtschaftsraums, es sei denn, der Kunde weist dies an oder die Übermittlung ist nach Kapitel V DSGVO abgesichert, zum Beispiel durch einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission.

Verbindet der Kunde sein eigenes Konto bei einem KI-Anbieter mit dem Dienst (eigener API-Schlüssel), wird dieser Anbieter vom Kunden auf Grundlage seiner eigenen Vereinbarung mit ihm beauftragt, und der Kunde ist für die Verarbeitung durch diesen Anbieter und damit verbundene Übermittlungen verantwortlich. Dasselbe gilt, wenn der Kunde die KI-Schicht in seinem eigenen Cloud-Konto oder in seinen eigenen Räumlichkeiten betreibt.

9. Unterstützung des Kunden

Unter Berücksichtigung der Art der Verarbeitung unterstützt LogiNet den Kunden:

• bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte, vor allem durch die Export-, Berichtigungs- und Löschfunktionen des Dienstes und die REST-API; LogiNet leitet jeden direkt bei ihr eingehenden Antrag unverzüglich an den Kunden weiter,
• bei der Einhaltung seiner Pflichten in Bezug auf Sicherheit, Datenschutz-Folgenabschätzungen und vorherige Konsultationen der Aufsichtsbehörden (Artikel 32 bis 36 DSGVO), indem LogiNet die ihr vorliegenden Informationen zur Verfügung stellt.

10. Verletzungen des Schutzes personenbezogener Daten

LogiNet benachrichtigt den Kunden unverzüglich, nach Möglichkeit innerhalb von 48 Stunden, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Kundendaten betrifft. Die Benachrichtigung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. LogiNet ergänzt die Informationen, sobald sie verfügbar werden, und ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen.

11. Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit über den Dienst und die REST-API exportieren. Nach Ende des Dienstleistungsvertrags löscht LogiNet nach Wahl des Kunden innerhalb von 30 Tagen alle Kundendaten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der EU oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Während der Laufzeit des Dienstes werden Daten gemäß den vom Kunden konfigurierten Aufbewahrungsregeln gelöscht.

12. Informationen und Audits

LogiNet stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV und des Artikels 28 DSGVO erforderlich sind, einschließlich ihrer Zertifikate und Zusammenfassungen einschlägiger Auditberichte. Reicht dies nicht aus, kann der Kunde oder ein von ihm beauftragter unabhängiger Prüfer ein Audit durchführen, höchstens einmal jährlich, mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen, während der üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit. Jede Partei trägt ihre eigenen Kosten.

13. Haftung, Vorrang und anwendbares Recht

Die Haftung im Rahmen dieses AVV richtet sich nach dem Dienstleistungsvertrag, unbeschadet des Artikels 82 DSGVO. Bei Widersprüchen in Datenschutzfragen hat dieser AVV Vorrang vor dem Dienstleistungsvertrag.

Dieser AVV unterliegt ungarischem Recht. Zuständig sind die Gerichte in Budapest. Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen in Kraft.

Anlage 1. Einzelheiten der Verarbeitung

Anlage 2. Technische und organisatorische Maßnahmen

• Hosting auf Servern in der Europäischen Union, in Rechenzentren, die von unserem Unterauftragsverarbeiter für das Hosting betrieben werden.
• Verschlüsselung der Daten bei der Übertragung zwischen Browsern, dem Dienst und angebundenen Systemen.
• Eine durch Login geschützte Admin-Oberfläche mit rollenbasierten Berechtigungen (Admin und Mitarbeiter) und der Möglichkeit, Nutzer zu deaktivieren.
• Logische Trennung der Daten jedes Kunden und Zuordnung von Gesprächen zu der Website, von der sie stammen.
• Protokollierung von KI-Aufrufen, Einwilligungen und Widerrufen, Übergaben und Nachrichten mit Zeitstempeln, für Audit und Nachvollziehbarkeit.
• Trennung interner Notizen und Servicedaten von allem, was Kunden angezeigt wird.
• Konfigurierbare Aufbewahrungs- und Löschregeln je Kunde.
• Filterung von Spam und automatisiertem Traffic, bevor er die KI oder die Mitarbeiter des Kunden erreicht.
• Zugriff auf Produktivsysteme nur für befugte Mitarbeiter nach dem Need-to-know-Prinzip und unter Vertraulichkeitsverpflichtung.
• Ein nach ISO 9001 zertifiziertes Qualitätsmanagementsystem mit dokumentierten Prozessen für Änderungsmanagement und Störungsbehandlung.

Anlage 3. Unterauftragsverarbeiter

LogiNet beauftragt für den Dienst DealerBrain die folgenden Unterauftragsverarbeiter:

Weitere Anbieter

Vercel Inc. (USA) hostet unsere Marketing-Website dealerbrain.io. Vercel ist kein Unterauftragsverarbeiter: Weder Kundendaten noch Gesprächsdaten laufen darüber. KI-Anbieter, die der Kunde mit seinem eigenen Schlüssel anbindet, werden vom Kunden beauftragt (siehe Abschnitt 8).