Auf einen Blick
- Rollen: Der Kunde ist Verantwortlicher. There ist Auftragsverarbeiter und handelt ausschliesslich auf seine Weisung.
- Hosting: Die Datenbank und die Dateien werden in der Europäischen Union gehostet. Übermittlungen ausserhalb der EU durch einzelne Unterauftragsverarbeiter sind durch die Standardvertragsklauseln der Europäischen Kommission abgesichert.
- KI: Die Daten des Kunden werden nicht zum Training von KI-Modellen verwendet. Mit dem Tarif Business kann der Kunde die KI-Modelle auf Mistral AI beschränken, dessen Verarbeitung in der EU stattfindet.
- Datenschutzverletzung: There benachrichtigt den Kunden innerhalb von achtundvierzig (48) Stunden, nachdem es davon Kenntnis erlangt hat.
- Unterauftragsverarbeiter: Die Liste steht in Anhang 3. Jeder neue Unterauftragsverarbeiter wird dreissig (30) Tage im Voraus angekündigt, und der Kunde kann widersprechen.
- Audits: There stellt die erforderliche Dokumentation bereit und akzeptiert höchstens ein Audit pro Jahr, auf Kosten des Kunden, der es verlangt.
- Ende der Geschäftsbeziehung: Export der Daten innerhalb von dreissig (30) Tagen auf Anfrage, danach Löschung innerhalb von dreissig (30) Tagen, wenn der Kunde seine Organisation löscht oder dies verlangt.
- Kontakt: privacy@there.do.
Artikel 1 — Gegenstand und Geltungsbereich
1.1. Diese Vereinbarung ist fester Bestandteil der Allgemeinen Verkaufsbedingungen (die «AVB»), die bei der Erstellung einer Organisation akzeptiert werden. Sie gilt für jede Organisation, unabhängig davon, ob sie einen kostenlosen oder einen kostenpflichtigen Tarif nutzt, ohne dass eine gesonderte Unterschrift erforderlich ist. Die Administratoren bestehender Organisationen werden per E-Mail über ihre Veröffentlichung informiert. Ein Kunde, der dies wünscht, kann eine unterschriebene Fassung anfordern, indem er an privacy@there.do schreibt. 1.2. Die Vereinbarung gilt für die personenbezogenen Daten, die der Kunde und seine Nutzenden in den Diensten erfassen, importieren, aufnehmen oder teilen und die There im Auftrag des Kunden verarbeitet (die «Kundendaten»). 1.3. Die Vereinbarung gilt nicht für Daten, die There für eigene Zwecke als Verantwortlicher verarbeitet, insbesondere für die Pflege der Geschäftsbeziehung, die Rechnungsstellung, die Kundenakquise und die Reichweitenmessung seiner Websites. Diese Verarbeitungen sind in der Datenschutzerklärung beschrieben. 1.4. Bei Widersprüchen zwischen der Vereinbarung und den AVB, den Nutzungsbedingungen oder der Datenschutzerklärung geht die Vereinbarung in allen Fragen des Schutzes der Kundendaten vor. Für eine Übermittlung abgeschlossene Standardvertragsklauseln gehen der Vereinbarung in ihrem Anwendungsbereich vor.Artikel 2 — Begriffsbestimmungen
Die Begriffe «personenbezogene Daten», «Verarbeitung», «Verantwortlicher», «Auftragsverarbeiter», «betroffene Person», «Verletzung des Schutzes personenbezogener Daten» und «Aufsichtsbehörde» haben die Bedeutung, die ihnen die DSGVO gibt. Die übrigen grossgeschriebenen Begriffe haben die Bedeutung, die ihnen die AVB geben. «Unterauftragsverarbeiter» bezeichnet jeden Dienstleister, den There beizieht und der Kundendaten verarbeitet.Artikel 3 — Rollen der Parteien
3.1. Der Kunde handelt als Verantwortlicher. There handelt als Auftragsverarbeiter. 3.2. Handelt der Kunde selbst als Auftragsverarbeiter im Auftrag eines Dritten, handelt There als Unterauftragsverarbeiter. Der Kunde garantiert in diesem Fall, dass er berechtigt ist, There beizuziehen, und dass seine Weisungen mit denen seines eigenen Verantwortlichen übereinstimmen.Artikel 4 — Beschreibung der Verarbeitung
Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Kategorien von Daten und die Kategorien betroffener Personen sind in Anhang 1 beschrieben.Artikel 5 — Weisungen des Kunden
5.1. There verarbeitet die Kundendaten ausschliesslich auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen ausserhalb der Europäischen Union, sofern keine abweichende gesetzliche Pflicht besteht. In diesem Fall teilt There dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet. 5.2. Dokumentierte Weisungen des Kunden sind: die AVB, die Nutzungsbedingungen und diese Vereinbarung; die Konfiguration und Nutzung der Dienste durch den Kunden und seine berechtigten Nutzenden, insbesondere die Wahl der aktivierten Funktionen, KI-Modelle und Integrationen; jede andere von There akzeptierte schriftliche Weisung. 5.3. There informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder eines Mitgliedstaats verstösst. There kann die Ausführung der betreffenden Weisung dann aussetzen, bis der Kunde sie bestätigt oder ändert. 5.4. Vorbehaltlich Artikel 5.5 verarbeitet There die Kundendaten nicht für eigene Zwecke. Insbesondere verkauft There die Kundendaten nicht und verwendet sie nicht zum Training von Modellen der künstlichen Intelligenz. Seine Unterauftragsverarbeiter, die KI-Dienste erbringen, haben sich vertraglich verpflichtet, sie nicht zu diesem Zweck zu verwenden. 5.5. There verarbeitet als Verantwortlicher die Daten zur Nutzung der Dienste: Konto- und Verbindungsdaten, technische Protokolldateien, Nutzungsereignisse und den Austausch mit dem Support. Es verwendet sie, um die Dienste bereitzustellen, abzusichern, zu warten und zu verbessern, die Nutzenden zu unterstützen und Statistiken zu erstellen, wie in der Datenschutzerklärung beschrieben. Diese Verarbeitungen betreffen nicht den Inhalt der Notizen, Dokumente und Dateien des Kunden, ausser soweit dies zur Diagnose eines Vorfalls oder zur Bearbeitung einer Supportanfrage erforderlich ist.Artikel 6 — Pflichten des Kunden
Der Kunde:- stellt die Rechtmässigkeit der Verarbeitungen sicher, die er There überträgt, und verfügt für jede davon über eine Rechtsgrundlage;
- informiert die betroffenen Personen, insbesondere die Personen, die bei einer Sprachnotiz aufgenommen werden (siehe Teilnehmende informieren);
- erfasst besondere Kategorien von Daten (Artikel 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Artikel 10 DSGVO) in den Diensten nur, wenn dies unbedingt erforderlich ist, und in eigener Verantwortung;
- verwaltet die Zugänge seiner Nutzenden und die Sichtbarkeit seiner Inhalte in den Diensten.
Artikel 7 — Vertraulichkeit
There stellt sicher, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugang zu den Kundendaten ist auf die Teammitglieder beschränkt, die ihn benötigen, um die Dienste bereitzustellen, zu warten oder abzusichern oder um eine Anfrage des Kunden zu beantworten.Artikel 8 — Sicherheit
8.1. There trifft die in Artikel 32 DSGVO vorgesehenen geeigneten technischen und organisatorischen Massnahmen, die in Anhang 2 beschrieben sind. 8.2. There überprüft, bewertet und evaluiert die Wirksamkeit dieser Massnahmen regelmässig. Es kann sie weiterentwickeln, sofern das Gesamtniveau der Sicherheit der Kundendaten nicht gesenkt wird.Artikel 9 — Unterauftragsverarbeiter
9.1. Der Kunde erteilt There eine allgemeine Genehmigung, Unterauftragsverarbeiter beizuziehen. Die Liste der aktuellen Unterauftragsverarbeiter steht in Anhang 3. 9.2. There informiert den Kunden über jede Hinzunahme oder jeden Austausch eines Unterauftragsverarbeiters mindestens dreissig (30) Tage im Voraus, per E-Mail an die Administratoren der Organisation und durch Aktualisierung von Anhang 3. Ist ein Austausch aus einem dringenden Grund der Sicherheit oder der Kontinuität des Dienstes erforderlich, informiert There den Kunden so bald wie möglich, und der Kunde kann ab dieser Information gemäss Artikel 9.3 widersprechen. 9.3. Der Kunde kann dieser Änderung vor Ablauf der Informationsfrist schriftlich widersprechen, aus einem objektiven und dokumentierten Grund, der die Fähigkeit des neuen Unterauftragsverarbeiters betrifft, die Datenschutzvorschriften einzuhalten. There kann dann eine Lösung vorschlagen, zum Beispiel die Kundendaten diesem Unterauftragsverarbeiter nicht anzuvertrauen oder die betreffende Funktion für die Organisation zu deaktivieren. Wird innerhalb von dreissig (30) Tagen nach dem Widerspruch keine Lösung gefunden, kann der Kunde als einzigen Rechtsbehelf sein Abonnement kündigen und die Löschung seiner Organisation gemäss Artikel 14.3 verlangen, ohne Vertragsstrafe. There erstattet ihm dann die vorausbezahlten Beträge für den verbleibenden Zeitraum. Widerspricht der Kunde nicht innerhalb der Informationsfrist, gilt die Änderung als angenommen. 9.4. There erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die mindestens denen dieser Vereinbarung entsprechen. There haftet gegenüber dem Kunden weiterhin vollumfänglich für die Erfüllung dieser Pflichten durch seine Unterauftragsverarbeiter. 9.5. Integrationen, die der Kunde selbst in den Diensten aktiviert (zum Beispiel ein E-Mail-Konto, ein Kalender oder ein Dokumentenmanagementsystem), sind keine Unterauftragsverarbeiter von There. Die an diese Dienste übermittelten Daten werden auf Weisung des Kunden übermittelt und unterliegen dem Vertrag zwischen dem Kunden und deren Anbieter.Artikel 10 — Übermittlungen ausserhalb der Europäischen Union
10.1. Die Anwendungsdatenbank wird in Frankfurt, Deutschland, gehostet, und die Dateien werden in der Europäischen Union gespeichert. 10.2. Einige Unterauftragsverarbeiter haben ihren Sitz ausserhalb des Europäischen Wirtschaftsraums oder können Kundendaten dort verarbeiten, auch durch Fernzugriff. Diese Übermittlungen stützen sich auf einen der folgenden Mechanismen:- einen Angemessenheitsbeschluss der Europäischen Kommission, einschliesslich des EU-US-Datenschutzrahmens (EU-U.S. Data Privacy Framework), nur wenn der Empfänger für den betreffenden Dienst danach zertifiziert ist;
- andernfalls die von der Europäischen Kommission angenommenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3 (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter), ergänzt um die erforderlichen zusätzlichen Massnahmen.
Artikel 11 — Unterstützung des Kunden
11.1. Unter Berücksichtigung der Art der Verarbeitung unterstützt There den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Massnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte. Mit den Diensten kann der Kunde die meisten Kundendaten einsehen, bearbeiten, exportieren und löschen. Erhält There einen solchen Antrag direkt, leitet es ihn an den Kunden weiter, ohne selbst darauf zu antworten, sofern keine anderslautende Weisung vorliegt. 11.2. Unter Berücksichtigung der ihm zur Verfügung stehenden Informationen unterstützt There den Kunden bei der Einhaltung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde.Artikel 12 — Verletzung des Schutzes personenbezogener Daten
12.1. There meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, innerhalb von höchstens achtundvierzig (48) Stunden, nachdem es davon Kenntnis erlangt hat, auch wenn ihm die Verletzung von einem Unterauftragsverarbeiter gemeldet wird. 12.2. Die Meldung wird an die Administratoren der Organisation gerichtet. Sie beschreibt, soweit diese Informationen verfügbar sind: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen. Informationen, die nicht sofort verfügbar sind, werden schrittweise nachgereicht: Die erste Meldung wartet nicht auf den Abschluss der Untersuchungen. 12.3. There ergreift unverzüglich die erforderlichen Massnahmen, um die Verletzung einzudämmen und ihre Folgen zu begrenzen. Der Kunde entscheidet über Meldungen an die Aufsichtsbehörde und Benachrichtigungen der betroffenen Personen; There nimmt sie nur auf Weisung oder aufgrund einer gesetzlichen Pflicht an seiner Stelle vor. Die Meldung stellt kein Anerkenntnis einer Haftung dar.Artikel 13 — Dokumentation und Audits
13.1. There stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten nach Artikel 28 DSGVO nachzuweisen: diese Vereinbarung und ihre Anhänge, die Seite Sicherheit und Datenschutz und die Antworten auf angemessene Sicherheitsfragebögen des Kunden. 13.2. Reichen diese Informationen nicht aus, kann der Kunde ein Audit, einschliesslich einer Inspektion, selbst durchführen oder durch eine unabhängige Prüfstelle durchführen lassen, die nicht im Wettbewerb mit There steht und zur Verschwiegenheit verpflichtet ist. Das Audit:- ist auf einmal pro Zeitraum von zwölf (12) Monaten beschränkt, ausser bei einer Datenschutzverletzung, die Kundendaten betrifft, oder auf Ersuchen einer Aufsichtsbehörde;
- wird mit einer Frist von mindestens dreissig (30) Tagen und einem im Voraus festgelegten Umfang angekündigt;
- findet vorzugsweise aus der Ferne und während der Geschäftszeiten statt, ohne die Dienste zu stören oder Zugang zu den Daten anderer Kunden zu gewähren;
- erfolgt auf Kosten des Kunden, der es verlangt, einschliesslich der vom Team von There aufgewendeten Zeit, auf der Grundlage eines vorherigen Kostenvoranschlags.