choicery.ai
AVV

Verbindlich ist diese deutsche Fassung. Die englische Fassung dient der Information.

Auftragsverarbeitungsvertrag (AVV)

Version: 1.0 Gültig ab: 2026-10-09 Anbieter: Paul Bengart, Keplerstraße 4A, 39104 Magdeburg, Deutschland

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und geht ihnen bei Widersprüchen vor.

Parteien. Paul Bengart, Keplerstraße 4A, 39104 Magdeburg, Deutschland, handelnd unter der Bezeichnung Choicery (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“), und der Kunde im Sinne der AGB (nachfolgend „Verantwortlicher“ oder „Kunde“). Zur Stellung des Kunden, der die Plattform selbst als Auftragsverarbeiter für eine andere Organisation nutzt, gilt § 5 Abs. 4.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand. Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform Choicery unter https://app.choicery.ai zur Erstellung, Durchführung und Auswertung quantitativer Befragungen und Conjoint-Studien bereit (CBC, CBC Shop, MaxDiff, Anchored MaxDiff, DR-CBC, BW-CBC, hierarchisch-bayessche Schätzung, Latent Class, TasteNet, Interaction Search, Marktsimulation, Exporte). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

(2) Abgrenzung. Dieser Vertrag erfasst die Verarbeitung der Studieninhalte, Teilnehmerdaten und Antwortdaten, die der Verantwortliche über die Plattform erhebt, speichert und auswertet (§ 3). Konto- und Vertragsdaten des Kunden und seiner Nutzer, Abrechnungsmetadaten, Support-Kommunikation, Sicherheits- und Audit-Ereignisse sowie Fehlerberichte der Plattform verarbeitet der Anbieter als Verantwortlicher zu eigenen Zwecken; hierfür gilt die Datenschutzerklärung.

(3) Dauer. Dieser Vertrag gilt ab seinem Abschluss nach § 13 für die Laufzeit des Nutzungsvertrags nach den AGB. Er endet erst, wenn die Verarbeitung vollständig abgewickelt ist, also nach Ablauf der Abruf- und Löschfristen nach § 10. Pflichten, die ihrer Natur nach über das Vertragsende hinaus wirken (insbesondere Vertraulichkeit, Löschung und Nachweis), bleiben bestehen.

§ 2 Art und Zweck der Verarbeitung

(1) Zweck. Die Verarbeitung dient ausschließlich der vertragsgemäßen Bereitstellung der Plattform: Anlegen und Konfigurieren von Studien, Ausspielen der Befragung an Teilnehmer, Erheben und Speichern der Antworten, statistische Auswertung einschließlich hierarchisch-bayesscher Schätzung, Latent-Class-Modellen, TasteNet und Marktsimulation, Erzeugen von Exporten und Replikationspaketen, Datensicherung (Point-in-time-Recovery des Datenbankanbieters und eigene Sicherungen des Auftragsverarbeiters), Support auf Anforderung des Verantwortlichen sowie Sicherheits- und Integritätsprüfungen.

(2) Art. Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Verändern, Auswerten, Bereitstellen an den Verantwortlichen (Exporte), Einschränken und Löschen. Sie erfolgt automatisiert innerhalb der Plattform. Ein manueller Zugriff des Auftragsverarbeiters auf Inhalts- und Antwortdaten findet nur auf Weisung des Verantwortlichen, etwa im Support, oder soweit zur Störungsbeseitigung und Sicherheitsprüfung erforderlich statt.

(3) Keine eigenen Zwecke. Inhalte und Antworten werden nicht für eigene Zwecke oder zum Training von Modellen genutzt. Fehlerbehebung, Sicherheit und aggregierte Nutzungsstatistik ohne Inhalte bleiben zulässig. Kontobezogene Nutzungsdaten der Nutzer des Verantwortlichen (welche Funktionen ein Nutzerkonto verwendet) sind keine Auftragsdaten im Sinne dieses Vertrags (§ 1 Abs. 2); der Anbieter verarbeitet sie als Verantwortlicher nach Maßgabe der Datenschutzerklärung.

§ 3 Art der personenbezogenen Daten

(1) Gegenstand der Auftragsverarbeitung sind folgende Datenarten:

a) Studieninhalte, die der Verantwortliche anlegt (Fragen, Attribute, Ausprägungen, Texte, Bilder, Videos, Einleitungs- und Datenschutzhinweise), soweit sie personenbezogene Daten enthalten; b) Antwortdaten der Teilnehmer: Auswahlentscheidungen, Bewertungen, Freitexte und sonstige Angaben, die Teilnehmer in einer Befragung machen; c) Teilnehmerkennungen, die der Verantwortliche vergibt oder über Parameter des Umfragelinks übergibt (etwa Panel-Codes oder Teilnehmer-IDs), sowie die vom System vergebene Antwortkennung; d) Antwort-Metadaten: Zeitstempel von Beginn und Abschluss, Seitenzeiten, Status (vollständig, unvollständig, gelöscht), Prüfsumme, zugewiesene Designversion, Kampagnenparameter des Umfragelinks sowie grobe Angaben zu Gerätetyp, Browser und Bildschirmgröße, ohne vollständige Browserkennung und ohne Geräte-Fingerabdruck; e) technische Verbindungsdaten beim Abruf der Befragung (insbesondere die IP-Adresse), soweit sie für die Verbindung und für kurzlebige Sicherheitskontrollen wie Ratenbegrenzungen verarbeitet werden; f) Daten weiterer Personen, die der Verantwortliche in Studieninhalten, Exporten oder Uploads ablegt.

(2) Ausgeschlossene Daten. Nicht Gegenstand dieses Vertrags sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten, Daten zu politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben oder sexueller Orientierung, genetische und biometrische Daten), Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO, geschützte Gesundheitsinformationen (Protected Health Information) im Sinne des HIPAA, Zahlungskartendaten, Sozialversicherungsnummern, Bildungsdaten, die dem Family Educational Rights and Privacy Act (FERPA) unterliegen, und Finanzdaten, die dem Gramm-Leach-Bliley Act (GLBA) unterliegen. Der Verantwortliche erhebt und verarbeitet solche Daten nicht über die Plattform. Eine Freischaltung einzelner Kategorien ist nur durch einen gesonderten Enterprise-Vertrag möglich, nachdem die betroffenen Unterauftragsverarbeiter die Verarbeitung schriftlich freigegeben haben.

(3) Minderjährige. Der Verantwortliche führt keine Studien, die sich gezielt an Minderjährige richten, und erhebt über die Plattform keine Daten von Personen unter 16 Jahren (Europäischer Wirtschaftsraum) beziehungsweise unter 13 Jahren (USA). Erlangt eine Partei Kenntnis von solchen Daten, veranlasst sie deren Löschung und informiert die andere Partei.

§ 4 Kategorien betroffener Personen

a) Teilnehmer der Befragungen des Verantwortlichen, also natürliche Personen, die eine Befragung aufrufen oder beantworten, einschließlich Teilnehmern aus Panels des Verantwortlichen oder Dritter; b) Personen, deren Daten der Verantwortliche in Studieninhalten, Uploads oder Exporten ablegt; c) Nutzer des Verantwortlichen, soweit ihre Handlungen in Projektdaten sichtbar sind (etwa als Ersteller oder Bearbeiter eines Projekts); ihre Kontodaten verarbeitet der Anbieter als Verantwortlicher nach § 1 Abs. 2.

§ 5 Pflichten und Weisungsrechte des Verantwortlichen

(1) Verantwortung. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für

a) die Rechtsgrundlage der Erhebung nach Art. 6 DSGVO und deren Dokumentation; b) die Information der Teilnehmer nach Art. 13 und 14 DSGVO vor Beginn der Befragung, einschließlich der Benennung des Verantwortlichen im Datenschutzhinweis der Befragung (§ 5 der AGB); c) Datenminimierung im Studiendesign und die Einhaltung der Ausschlüsse nach § 3 Abs. 2 und 3; d) die Beantwortung von Anfragen betroffener Personen; e) eigene Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO sowie nach anwendbarem Recht der US-Bundesstaaten; f) die Einhaltung der Nutzungsrichtlinie, insbesondere beim Einladen von Teilnehmern; g) die Prüfung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.

(2) Weisungen. Der Verantwortliche erteilt Weisungen in erster Linie durch die Nutzung der Plattform (Projektkonfiguration, Aktivieren und Beenden von Befragungen, Freigabe eingebetteter Videos, Export, Bearbeitung und Löschung von Daten). Darüber hinausgehende Weisungen erteilt er in Textform an info@choicery.ai. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, bedürfen einer Vereinbarung über Umfang und etwaige Vergütung; der Auftragsverarbeiter teilt dies vor der Ausführung mit.

(3) Weisungsbefugte Personen. Weisungsbefugt sind der Inhaber des Workspace (Workspace-Owner), die von ihm mit Administratorrechten ausgestatteten Nutzer sowie Personen, die der Verantwortliche dem Auftragsverarbeiter in Textform benennt.

(4) Kunde als Auftragsverarbeiter. Verarbeitet der Kunde die Daten seinerseits im Auftrag einer anderen Organisation (etwa als Marktforschungsinstitut, Agentur oder Dienstleister für einen Auftraggeber), ist der Kunde Auftragsverarbeiter und sein Auftraggeber Verantwortlicher; der Anbieter ist dann weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 4 DSGVO. In diesem Fall gilt:

a) Der Kunde sichert zu, dass sein Auftraggeber den Einsatz des Anbieters genehmigt hat und dass der Vertrag zwischen Kunde und Auftraggeber Pflichten enthält, die den Pflichten dieses Vertrags entsprechen. b) Der Kunde gibt die Weisungen seines Auftraggebers an den Anbieter weiter; der Anbieter nimmt Weisungen ausschließlich vom Kunden entgegen. c) Informationen, Meldungen und Nachweise nach diesem Vertrag richtet der Anbieter an den Kunden, der sie an seinen Auftraggeber weiterleitet. d) Bezugnahmen auf den „Verantwortlichen“ in diesem Vertrag gelten für den Kunden entsprechend.

(5) Übertragung an ein vom Verantwortlichen gewähltes Google-Konto. In den Tarifen, die die Verbindung mit Google Sheets umfassen, kann ein Nutzer des Verantwortlichen mit Exportrecht für ein Projekt ein Google-Konto seiner Wahl verbinden. Vor der ersten Übertragung zeigt die Plattform das gewählte Google-Konto an, und der Nutzer bestätigt, dass er berechtigt ist, die Antworten des Projekts an dieses Konto zu übertragen; der Auftragsverarbeiter speichert Zeitpunkt und Textfassung dieser Bestätigung. Jede so eingerichtete Verbindung ist eine dokumentierte Weisung des Verantwortlichen im Sinne von Art. 28 Abs. 3 lit. a DSGVO, die Antworten des Projekts in eine Tabelle im Google Drive dieses Kontos zu übertragen und dort etwa jede Stunde zu aktualisieren. Google ist dabei ein vom Verantwortlichen gewählter Empfänger und handelt nach dem eigenen Vertrag des Verantwortlichen mit Google; Google ist für diese Übertragung kein Unterauftragsverarbeiter des Auftragsverarbeiters (§ 8). Ob die Übermittlung an Google zulässig ist, einschließlich einer Übermittlung in Drittländer nach den Bedingungen von Google, verantwortet der Verantwortliche. Die Weisung endet, wenn der Nutzer die Verbindung beendet oder die Freigabe für Google endet; die Aktualisierung pausiert, solange die Voraussetzungen der Verbindung (Tarif, Exportrecht, Projekt außerhalb des Papierkorbs, unveränderter Workspace) nicht vorliegen. Der Auftragsverarbeiter löscht die Tabelle im Google Drive nicht; sie bleibt unter der Kontrolle des Verantwortlichen, und § 10 erfasst sie nicht.

§ 6 Pflichten des Auftragsverarbeiters

(1) Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO). Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Etwas anderes gilt nur, wenn der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Hinweis auf rechtswidrige Weisungen (Art. 28 Abs. 3 Satz 3 DSGVO). Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(3) Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die Daten nur auf Weisung verarbeiten.

(4) Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO). Der Auftragsverarbeiter trifft die in den Technischen und organisatorischen Maßnahmen beschriebenen Maßnahmen; sie sind Anlage 1 dieses Vertrags. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln; das Schutzniveau darf dabei nicht sinken. Änderungen werden mit Datum in den TOM dokumentiert.

(5) Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. d, Abs. 2 und 4 DSGVO). Es gelten die Bedingungen des § 8.

(6) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen nach Kapitel III DSGVO nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Plattform stellt hierfür Export-, Bearbeitungs- und Löschfunktionen für Antwortdatensätze bereit. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter, soweit sie sich ihm zuordnen lässt, und beantwortet sie im Übrigen nur mit dem Hinweis auf seine Rolle als Auftragsverarbeiter, sofern er nicht gesetzlich zu einer eigenen Antwort verpflichtet ist.

(7) Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere

a) bei der Sicherheit der Verarbeitung durch die Maßnahmen nach Absatz 4; b) bei der Meldung von Verletzungen des Schutzes personenbezogener Daten nach § 7; c) bei einer Datenschutz-Folgenabschätzung durch Bereitstellung der Beschreibung der Verarbeitung (§§ 1 bis 4), der Technischen und organisatorischen Maßnahmen und der Liste der Unterauftragsverarbeiter; d) bei einer vorherigen Konsultation der Aufsichtsbehörde.

(8) Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO). Es gilt § 10.

(9) Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Es gilt § 9.

(10) Behördenkontakt. Wendet sich eine Aufsichtsbehörde, eine andere Behörde oder ein Gericht mit einem Auskunfts- oder Herausgabeersuchen an den Auftragsverarbeiter, das Daten des Verantwortlichen betrifft, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und leitet das Ersuchen an ihn weiter, damit dieser selbst Stellung nehmen kann. Dies gilt nicht, soweit ein gesetzliches Mitteilungsverbot besteht; in diesem Fall beschränkt sich der Auftragsverarbeiter auf die gesetzlich zulässige Information. Der Auftragsverarbeiter prüft jedes Ersuchen auf Rechtsgrundlage und Umfang und gibt Daten nur heraus, wenn und soweit er hierzu rechtlich verpflichtet ist, beschränkt auf das erforderliche Mindestmaß. Für Ersuchen von Behörden und Gerichten aus Drittländern gelten Art. 48 DSGVO, Art. 32 der Verordnung (EU) 2023/2854 (Data Act) und § 10 der AGB: Eine Herausgabe erfolgt nur auf Grundlage einer internationalen Übereinkunft, etwa eines Rechtshilfeabkommens, oder unter den Voraussetzungen des Art. 32 Abs. 2 und 3 Data Act.

§ 7 Verletzungen des Schutzes personenbezogener Daten

(1) Meldung. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung geht per E-Mail an die im Konto des Workspace-Owners hinterlegte Adresse.

(2) Inhalt. Die Meldung enthält, soweit zum Zeitpunkt der Meldung bekannt,

a) eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; b) die Kontaktstelle für weitere Informationen: security@choicery.ai; c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung; d) eine Beschreibung der ergriffenen und vorgeschlagenen Maßnahmen zur Behebung und zur Minderung nachteiliger Auswirkungen.

(3) Nachlieferung. Informationen, die bei der Erstmeldung nicht vorliegen, reicht der Auftragsverarbeiter unverzüglich nach, auch in mehreren Schritten.

(4) Unterstützung. Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen bereit, die dieser für seine Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen nach Art. 33 und 34 DSGVO sowie nach anwendbarem Recht der US-Bundesstaaten benötigt, und unterstützt ihn auf Anforderung bei der Benachrichtigung der betroffenen Personen.

(5) Keine Meldung im Namen des Verantwortlichen. Der Auftragsverarbeiter meldet Verletzungen nicht ohne Weisung des Verantwortlichen in dessen Namen an Aufsichtsbehörden oder betroffene Personen. Eigene gesetzliche Pflichten des Auftragsverarbeiters bleiben unberührt.

(6) Gegenseitige Information. Sicherheitsvorfälle und Schwachstellen sind an security@choicery.ai zu melden. Erkennt der Verantwortliche Anhaltspunkte für eine Verletzung in der Plattform (etwa kompromittierte Zugangsdaten seiner Nutzer), informiert er den Auftragsverarbeiter unverzüglich.

§ 8 Unterauftragsverarbeiter

(1) Allgemeine Genehmigung. Der Verantwortliche genehmigt allgemein den Einsatz der in der Liste Unterauftragsverarbeiter und Empfänger (Anlage 2) aufgeführten Unterauftragsverarbeiter mit den dort beschriebenen Leistungen, Datenkategorien, Standorten und Transfergrundlagen. Bei Vertragsschluss sind dies: netcup GmbH (Anwendungs-Hosting und Dateispeicher), Ubicloud B.V. (Datenbank), coolLabs Solutions Kft. (Deployment-Steuerung mit administrativem Fernzugriff) und Greenmark IT GmbH (E-Mail-Versand und Postfächer). Polar Software, Inc. ist in der Liste als Auftragsverarbeiter des Anbieters für Konto-, Checkout- und Subscription-Daten geführt, die der Anbieter nach § 1 Abs. 2 als Verantwortlicher verarbeitet; Polar erhält keine Studien- oder Antwortdaten nach § 3 und ist zugleich als Merchant of Record eigenständig Verantwortlicher für den Verkauf. Google Ireland Limited ist in der Liste außerdem als Auftragsverarbeiter des Anbieters für die Reichweitenmessung auf den Marketing-Seiten der Website geführt; sie erhält keine Studien-, Antwort- oder Kontodaten nach diesem Vertrag. Keine Unterauftragsverarbeiter sind die in der Liste gesondert ausgewiesenen eigenständig Verantwortlichen (Google und Microsoft für die Anmeldung mit dem jeweiligen Konto), die teilnehmerseitigen Videoanbieter, die erst nach einem Klick des Teilnehmers Daten erhalten, und Google als vom Verantwortlichen gewählter Empfänger bei der Verbindung mit Google Sheets (§ 5 Abs. 5).

(2) Vorabinformation. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters vorab, sobald ihm die Änderung bekannt ist, in der Regel mindestens 14 Tage vor dem Wirksamwerden. Die Information erfolgt per E-Mail an den Workspace-Owner und nennt den Unterauftragsverarbeiter und seine Leistung; die Änderung wird in der Liste dokumentiert. Ist ein Wechsel ohne Aufschub erforderlich, etwa weil ein Unterauftragsverarbeiter ausfällt, seine Leistung einstellt oder ein Sicherheitsrisiko besteht, darf der Auftragsverarbeiter den Wechsel vornehmen und den Verantwortlichen unverzüglich nachträglich informieren; Absatz 3 gilt dann ab Zugang dieser Information.

(3) Widerspruch und Kündigung. Der Verantwortliche kann binnen 14 Tagen nach Zugang der Information aus datenschutzrechtlichen Gründen in Textform an privacy@choicery.ai widersprechen. Einigen sich die Parteien nicht, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen, oder mit Zugang der Kündigung, wenn dieser Zeitpunkt bereits verstrichen ist; der Verantwortliche richtet die Kündigung in Textform an info@choicery.ai. Eine Erstattung bereits gezahlter Entgelte erfolgt nur, soweit das Gesetz sie vorsieht. Die Abwicklung, insbesondere Abruf und Löschung der Daten, richtet sich nach den AGB, der Wechsel- und Exit-Richtlinie und § 10 dieses Vertrags. Widerspricht der Verantwortliche nicht fristgerecht, ist der Einsatz von der allgemeinen Genehmigung nach Absatz 1 gedeckt.

(4) Vertragliche Bindung. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag nach Art. 28 Abs. 4 DSGVO, der dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt wie dieser Vertrag dem Auftragsverarbeiter, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(5) Standort und Drittland. Die Liste weist für jeden Unterauftragsverarbeiter den Standort der Verarbeitung, das Sitzland des Vertragspartners und die Transfergrundlage aus. Für Übermittlungen in Drittländer gilt § 11.

§ 9 Kontrollrechte des Verantwortlichen

(1) Informationspflicht. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und aus diesem Vertrag erforderlich sind.

(2) Nachweise zuerst. Der Nachweis erfolgt zuerst durch Unterlagen, insbesondere

a) die Technischen und organisatorischen Maßnahmen in der jeweils geltenden Fassung; b) die Liste der Unterauftragsverarbeiter und Empfänger; c) die Aufbewahrungs- und Löschfristen; d) schriftliche Auskünfte des Auftragsverarbeiters; e) Sicherheits- und Compliance-Nachweise der Unterauftragsverarbeiter, soweit diese sie ihren Kunden bereitstellen.

(3) Prüfungen. Reichen die Nachweise nach Absatz 2 im Einzelfall nicht aus, kann der Verantwortliche selbst oder durch einen von ihm beauftragten, zur Vertraulichkeit verpflichteten und nicht im Wettbewerb mit dem Auftragsverarbeiter stehenden Prüfer eine Überprüfung einschließlich Inspektionen durchführen. Inspektionen finden vorrangig aus der Ferne statt, etwa per Videokonferenz und durch Einsicht in Unterlagen; eine Inspektion vor Ort findet nur statt, wenn eine Fernprüfung im Einzelfall nicht ausreicht. Dabei gilt:

a) Die Prüfung wird mindestens 30 Tage vorher in Textform angekündigt, unter Angabe von Gegenstand, Umfang, Zeitraum und Prüfer. b) Sie findet zu den üblichen Geschäftszeiten an Werktagen statt und beeinträchtigt den Betrieb nicht unverhältnismäßig. c) Prüfungen, einschließlich Inspektionen vor Ort, finden höchstens einmal in zwölf Monaten statt; dies gilt nicht nach einer Verletzung des Schutzes personenbezogener Daten oder bei einer Anordnung einer Aufsichtsbehörde. d) Mandantenschutz: Der Prüfer erhält keinen Zugriff auf Daten anderer Kunden, auf Zugangsdaten und Schlüssel des Auftragsverarbeiters und nimmt keine Eingriffe an Produktivsystemen vor. Technische Sicherheitsprüfungen (etwa Schwachstellen-Scans oder Penetrationstests) werden vorab hinsichtlich Umfang, Zeitpunkt, Zielsystemen und Zugang vereinbart. e) Die Rechenzentren der Unterauftragsverarbeiter sind nicht Gegenstand von Inspektionen beim Auftragsverarbeiter; deren Nachweise werden nach Absatz 2 lit. e beigebracht. f) Festgestellte Mängel teilt der Verantwortliche dem Auftragsverarbeiter mit.

(4) Kosten. Die Bereitstellung der Unterlagen nach Absatz 2 ist unentgeltlich. Die Kosten einer Prüfung nach Absatz 3 trägt der Verantwortliche, einschließlich des angemessenen Aufwands des Auftragsverarbeiters; dies gilt nicht, wenn die Prüfung einen Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder das Datenschutzrecht feststellt. Die Rechte des Verantwortlichen aus Art. 28 Abs. 3 lit. h DSGVO werden durch die Kostenregelung nicht eingeschränkt.

§ 10 Löschung und Rückgabe

(1) Während des Vertrags. Der Verantwortliche löscht Antworten, Projekte und Exporte selbst über die Plattform. Antworten werden während der Vertragslaufzeit nicht automatisch gelöscht; sie bleiben gespeichert, bis der Verantwortliche sie löscht, das Projekt löscht, das Konto löscht oder der Vertrag endet. Vom Verantwortlichen gelöschte Antworten kommen zunächst in den Papierkorb des Projekts und können dort wiederhergestellt werden. Endgültig gelöscht sind sie, sobald der Verantwortliche sie im Papierkorb löscht oder den Papierkorb leert. Importierte Antworten werden ohne Papierkorb sofort endgültig gelöscht. Vom Verantwortlichen gelöschte Projekte bleiben mindestens 30 Tage wiederherstellbar und werden danach, spätestens nach 60 Tagen, endgültig gelöscht. Weitere Fristen ergeben sich aus den Aufbewahrungs- und Löschfristen (Anlage 3).

(2) Nach Vertragsende. Nach Beendigung des Nutzungsvertrags stehen die Daten dem Verantwortlichen 30 Tage lang zum Abruf über die Exportfunktionen zur Verfügung. Nach Ablauf des Abrufzeitraums löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen spätestens innerhalb von 30 Tagen, sofern nicht der Verantwortliche eine frühere Löschung verlangt. Löscht der Verantwortliche seinen Account selbst, tritt an die Stelle des Abrufzeitraums die Schonfrist nach § 8 Abs. 6 lit. c der AGB: Der Account ist gesperrt, bis der Verantwortliche die Löschung abbricht, und steht danach wieder vollständig zur Verfügung. Bricht der Verantwortliche die Löschung nicht ab, wird der Account nach Ablauf der Schonfrist unverzüglich, spätestens innerhalb von 30 Tagen, endgültig gelöscht; wählt der Verantwortliche die sofortige Löschung, spätestens 30 Tage nach dem Antrag. Einzelheiten, einschließlich Verlängerung des Abrufzeitraums und Wechsel zu einem anderen Anbieter, regelt die Wechsel- und Exit-Richtlinie (Anlage 4).

(3) Nachlauf in Sicherungen. Gelöschte Daten können bis zum Ablauf der jeweiligen Sicherung in Sicherungen enthalten bleiben und werden mit dieser gelöscht. Eigene Sicherungen des Auftragsverarbeiters auf dem Anwendungsserver werden höchstens 30 Tage aufbewahrt; Kopien auf einem verschlüsselten externen Datenträger werden bei jeder neuen Kopie ersetzt und spätestens nach 45 Tagen gelöscht. In dieser Zeit werden die Daten nicht für andere Zwecke verwendet. Nach einer Wiederherstellung werden dokumentierte Löschungen erneut vollzogen.

(4) Gesetzliche Aufbewahrung. Soweit der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zur Aufbewahrung verpflichtet ist, beschränkt er die Verarbeitung der betroffenen Daten auf die Aufbewahrung und löscht sie nach Wegfall der Pflicht.

(5) Unterauftragsverarbeiter. Die Löschung bei Unterauftragsverarbeitern, einschließlich ihrer Sicherungen, erfolgt nach den mit ihnen vereinbarten Fristen; im Übrigen gilt Absatz 3.

(6) Löschbestätigung. Auf Anforderung bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 11 Übermittlung in Drittländer

(1) Grundsatz. Die Verarbeitung findet in Rechenzentren im Europäischen Wirtschaftsraum statt: Anwendungsserver und Dateispeicher in Deutschland, Datenbank in Frankfurt am Main, Deployment-Steuerung durch einen Dienstleister mit Sitz und Steuerungsinfrastruktur in der Europäischen Union, E-Mail-Versand in Deutschland.

(2) Je Empfänger. Die Liste der Unterauftragsverarbeiter und Empfänger weist für jeden Empfänger den Standort der Verarbeitung, das Sitzland des Vertragspartners und die Transfergrundlage aus. Änderungen unterliegen § 8.

(3) Fernzugriff aus Drittländern. Beim Datenbankanbieter ist der Vertragspartner Ubicloud B.V. mit Sitz in den Niederlanden; die Muttergesellschaft hat ihren Sitz in den USA, und ein Fernzugriff durch den Support des Datenbankanbieters aus den USA ist möglich. Diese Übermittlungen an verbundene Unternehmen des Datenbankanbieters stützen sich auf dessen konzerninterne Standardvertragsklauseln (Ziff. 6.1 seines Auftragsverarbeitungsvertrags). Soweit im Übrigen ein Unterauftragsverarbeiter oder dessen Unterauftragsverarbeiter aus einem Drittland ohne Angemessenheitsbeschluss auf Daten zugreift, stützt sich die Übermittlung auf Standardvertragsklauseln der Europäischen Kommission, sofern nicht ein Angemessenheitsbeschluss greift, etwa das EU-US Data Privacy Framework bei zertifizierten Empfängern.

(4) Polar und nicht erfasste Empfänger. Polar Software, Inc. (USA) verarbeitet als Auftragsverarbeiter des Anbieters Konto-, Checkout- und Subscription-Daten, die der Anbieter nach § 1 Abs. 2 als Verantwortlicher verarbeitet; die Übermittlung stützt sich auf die Standardvertragsklauseln nach dem Polar Data Processing Addendum (Modul 2; Modul 3, soweit der Anbieter insoweit als Auftragsverarbeiter handelt). Für den Verkauf, die Rechnungsstellung, die Steuern und die Zahlungsabwicklung ist Polar als Merchant of Record eigenständig Verantwortlicher. Nicht Gegenstand dieses Vertrags sind die eigenständig Verantwortlichen Google Ireland Limited und Microsoft Ireland Operations Limited (Anmeldung); die Rechtsgrundlagen ihrer Übermittlungen beschreibt die Datenschutzerklärung. Bei der Verbindung mit Google Sheets überträgt der Auftragsverarbeiter Antworten auf Weisung des Verantwortlichen an das von diesem gewählte Google-Konto (§ 5 Abs. 5); eine Übermittlung in Drittländer richtet sich dabei nach dem Vertrag des Verantwortlichen mit Google, und ihre Zulässigkeit verantwortet der Verantwortliche. Videoanbieter, die der Verantwortliche in eine Befragung einbettet, erhalten Daten erst, wenn der Teilnehmer die Wiedergabe durch Klick startet; der Verantwortliche entscheidet über die Einbettung und stellt die Rechtsgrundlage sowie die Information der Teilnehmer sicher.

§ 11a Verantwortliche außerhalb des Europäischen Wirtschaftsraums

(1) Anwendungsbereich. Die Verarbeitung durch den Auftragsverarbeiter unterliegt der DSGVO (Art. 3 Abs. 1 DSGVO). Hat der Verantwortliche seinen Sitz außerhalb des Europäischen Wirtschaftsraums, ist die Bereitstellung personenbezogener Daten an ihn (insbesondere Exporte und der Zugriff auf Antwortdaten aus dem Sitzland des Verantwortlichen) eine Übermittlung nach Kapitel V DSGVO. Die Übermittlung ist ohne weitere Garantien zulässig, wenn für das Sitzland des Verantwortlichen ein Angemessenheitsbeschluss der Europäischen Kommission gilt oder der Verantwortliche unter einen solchen Beschluss fällt, etwa als nach dem EU-US Data Privacy Framework zertifizierte Organisation. In allen anderen Fällen vereinbaren die Parteien die Standardvertragsklauseln nach Absatz 2 als vertragliche Garantie nach Art. 46 Abs. 2 lit. c DSGVO. Dies gilt auch, wenn die Verarbeitung durch den Verantwortlichen selbst nach Art. 3 Abs. 2 DSGVO der DSGVO unterliegt, bis die Europäische Kommission für diesen Fall spezifische Standardvertragsklauseln erlässt; ab deren Geltung treten diese an die Stelle der Klauseln nach Absatz 2.

(2) Standardvertragsklauseln, Modul 4 oder Modul 3. Für die Übermittlung vom Auftragsverarbeiter an den Verantwortlichen gilt Modul 4 (Übermittlung von Auftragsverarbeitern an Verantwortliche) der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 in der jeweils geltenden Fassung. Ist der Kunde selbst Auftragsverarbeiter nach § 5 Abs. 4, gilt stattdessen Modul 3 (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter). Die Klauseln werden durch diese Bezugnahme Bestandteil dieses Vertrags. Der Auftragsverarbeiter ist Datenexporteur, der Kunde Datenimporteur. Die optionale Klausel 7 (Kopplungsklausel) und die Option in Klausel 11 (unabhängige Streitbeilegungsstelle) werden nicht vereinbart. Für Klausel 17 wird das Recht der Bundesrepublik Deutschland gewählt; für Klausel 18 werden die Gerichte der Bundesrepublik Deutschland gewählt.

(3) Anhänge. Anhang I.A wird mit den Angaben zu den Parteien befüllt: für den Datenexporteur aus dem Kopf dieses Vertrags, für den Datenimporteur mit dem Organisationsnamen und der Anschrift, die der Kunde beim Abschluss eines kostenpflichtigen Tarifs angibt (Einstufung nach § 1 Abs. 2b der AGB), sowie mit der im Konto hinterlegten E-Mail-Adresse. Die Beschreibung der Übermittlung nach Anhang I.B ergibt sich aus den Angaben in §§ 1 bis 4 und § 10. Anhang II sind die Technischen und organisatorischen Maßnahmen.

(4) Vorrang. Bei Widersprüchen zwischen diesem Vertrag und den Standardvertragsklauseln gehen die Standardvertragsklauseln vor.

§ 11b CCPA Service Provider Addendum

Soweit der Verantwortliche ein „Business“ im Sinne des California Consumer Privacy Act (Cal. Civ. Code §§ 1798.100 ff., „CCPA“) ist und über die Plattform personenbezogene Informationen von Verbrauchern mit Wohnsitz in Kalifornien verarbeitet werden, gilt ergänzend Folgendes. Der Auftragsverarbeiter handelt als „Service Provider“ im Sinne von Cal. Civ. Code § 1798.140. Dieser Abschnitt setzt die Vertragsanforderungen aus 11 CCR § 7051(a) um; Begriffe in Anführungszeichen haben die Bedeutung des CCPA und seiner Durchführungsverordnungen. Der Service Provider bestätigt, dass er die Beschränkungen dieses Abschnitts versteht und einhält, und verpflichtet Unterauftragsverarbeiter, die solche Informationen verarbeiten, vertraglich auf entsprechende Beschränkungen.

(1) Spezifische Geschäftszwecke. Das Business stellt dem Service Provider personenbezogene Informationen ausschließlich für folgende begrenzte und spezifische Geschäftszwecke („business purposes“) zur Verfügung:

a) Hosting und Betrieb der Umfrageprojekte des Business auf der Plattform; b) Ausspielen der Befragungen an Teilnehmer sowie Erheben und Speichern der Antworten; c) Berechnung statistischer Auswertungen, Schätzungen und Simulationen auf den Daten des jeweiligen Projekts; d) Erzeugen von Exporten, Berichten und Replikationspaketen für das Business; e) Support auf Anforderung des Business; f) Sicherheit, Integritätsprüfung, Missbrauchsabwehr und Führung von Audit-Aufzeichnungen; g) Datensicherung (Point-in-time-Recovery der Datenbank und eigene Sicherungen des Service Providers); h) Löschung und Rückgabe nach § 10.

Allgemeine Verweise auf diesen Vertrag oder die AGB erweitern diese Zwecke nicht.

(2) Verbot von Verkauf und Teilen. Der Service Provider wird die personenbezogenen Informationen weder verkaufen („sell“) noch für kontextübergreifende verhaltensbezogene Werbung teilen („share“).

(3) Zweckbindung. Der Service Provider wird die personenbezogenen Informationen nicht für andere Zwecke als die in Absatz 1 genannten Geschäftszwecke aufbewahren, verwenden oder offenlegen, auch nicht für eigene kommerzielle Zwecke. Ausgenommen sind nur Verarbeitungen, zu denen der Service Provider gesetzlich verpflichtet ist, sowie die Erkennung und Abwehr von Sicherheitsvorfällen und betrügerischer oder rechtswidriger Nutzung.

(4) Geschäftsbeziehung und Kombinationsverbot. Der Service Provider wird die personenbezogenen Informationen nicht außerhalb der direkten Geschäftsbeziehung zwischen ihm und dem Business aufbewahren, verwenden oder offenlegen und sie nicht mit personenbezogenen Informationen kombinieren, die er von anderen Personen oder aus eigener Interaktion mit Verbrauchern erhält, soweit der CCPA und seine Durchführungsverordnungen dies nicht ausdrücklich erlauben.

(5) Gleicher Schutzstandard. Der Service Provider hält die auf ihn anwendbaren Bestimmungen des CCPA und seiner Durchführungsverordnungen ein und gewährt den personenbezogenen Informationen dasselbe Schutzniveau, das der CCPA von einem Business verlangt. Dazu gehören angemessene Sicherheitsverfahren nach Cal. Civ. Code § 1798.81.5 entsprechend den Technischen und organisatorischen Maßnahmen, die Mitwirkung bei der Beantwortung von Verbraucheranfragen nach Absatz 9 sowie die Mitwirkung bei Cybersicherheits-Audits, Risikobewertungen und Pflichten des Business zu automatisierter Entscheidungstechnologie nach den Durchführungsverordnungen zum CCPA, soweit diese Pflichten das Business treffen und den Dienst betreffen.

(6) Kontrollrecht des Business. Das Business kann angemessene und geeignete Schritte ergreifen, um sicherzustellen, dass der Service Provider die personenbezogenen Informationen im Einklang mit den Pflichten des Business verwendet, einschließlich regelmäßiger Bewertungen, Prüfungen oder technischer Tests. Für Ankündigung, Durchführung, Mandantenschutz und Kosten gilt § 9; automatisierte Scans und Sicherheitstests von Produktivsystemen werden vorab nach § 9 Abs. 3 vereinbart.

(7) Mitteilung bei Nichterfüllbarkeit. Stellt der Service Provider fest, dass er seine Pflichten nach dem CCPA und diesem Abschnitt nicht mehr erfüllen kann, teilt er dies dem Business unverzüglich mit.

(8) Abhilferecht. Das Business ist berechtigt, nach Mitteilung angemessene und geeignete Schritte zu ergreifen, um eine unbefugte Verwendung personenbezogener Informationen durch den Service Provider zu beenden und zu beheben. Dazu gehört das Recht, vom Service Provider eine Bestätigung zu verlangen, dass personenbezogene Informationen von Verbrauchern, deren berechtigtem Löschantrag das Business entsprochen hat, nicht mehr aufbewahrt oder verwendet werden.

(9) Verbraucheranfragen. Der Service Provider ermöglicht dem Business die Erfüllung von Verbraucheranfragen nach dem CCPA (Auskunft, Löschung, Berichtigung, Einschränkung) durch die Export-, Bearbeitungs- und Löschfunktionen der Plattform und durch Unterstützung nach § 6 Abs. 6. Das Business informiert den Service Provider über Anfragen, an deren Erfüllung der Service Provider mitwirken muss, und stellt die dafür erforderlichen Angaben bereit. Anfragen, die Verbraucher unmittelbar an den Service Provider richten, leitet dieser an das Business weiter, soweit sie sich ihm zuordnen lassen, und teilt dem Verbraucher mit, dass er die Anfrage als Service Provider nicht selbst bearbeiten kann.

§ 11c US State Processor Terms

(1) Ist der Verantwortliche „controller“ nach dem Virginia Consumer Data Protection Act (Va. Code § 59.1-575 ff.), dem Colorado Privacy Act (C.R.S. § 6-1-1301 ff.), dem Connecticut Data Privacy Act (Conn. Gen. Stat. § 42-515 ff.), dem Texas Data Privacy and Security Act (Tex. Bus. & Com. Code Chapter 541), dem Oregon Consumer Privacy Act (ORS 646A.570 ff.) oder einem vergleichbaren umfassenden Datenschutzgesetz eines US-Bundesstaats, ist dieser Vertrag der nach diesen Gesetzen erforderliche Vertrag zwischen Controller und Processor. Der Auftragsverarbeiter handelt als „processor“. Der Vertrag enthält die Weisungen für die Verarbeitung (§§ 2, 5 und 6), Art und Zweck der Verarbeitung (§ 2), die Art der Daten (§ 3), die Dauer (§ 1), die Vertraulichkeitspflicht (§ 6 Abs. 3), die Löschung und Rückgabe (§ 10), die Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen und die Ermöglichung von Bewertungen (§ 9) sowie die Bindung von Unterauftragsverarbeitern durch schriftlichen Vertrag und die Möglichkeit des Einspruchs (§ 8).

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Melde- und Benachrichtigungspflichten nach den Datenschutz- und Breach-Notification-Gesetzen der US-Bundesstaaten, indem er Sicherheitsvorfälle nach § 7 meldet und die für Meldungen erforderlichen Informationen bereitstellt. Er stellt ferner die Informationen bereit, die der Verantwortliche für Datenschutz-Bewertungen („data protection assessments“) benötigt, soweit sie den Dienst betreffen.

(3) Der Auftragsverarbeiter verkauft personenbezogene Daten nicht, verarbeitet sie nicht für zielgerichtete Werbung, trifft keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber Verbrauchern und betreibt kein Profiling für eigene Zwecke im Sinne dieser Gesetze; Präferenzschätzungen, die die Plattform im Auftrag des Verantwortlichen berechnet, bleiben dessen Verarbeitung.

§ 12 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO; diese Haftung wird durch diesen Vertrag und die AGB nicht beschränkt.

(2) Im Verhältnis der Parteien zueinander gelten für Ansprüche aus oder im Zusammenhang mit diesem Vertrag, einschließlich des Ausgleichs nach Art. 82 Abs. 5 DSGVO, die Haftungsregelungen der AGB. Ansprüche aus den Standardvertragsklauseln nach § 11a bleiben unberührt.

(3) Für Unterauftragsverarbeiter haftet der Auftragsverarbeiter nach § 8 Abs. 4.

§ 13 Abschluss und Sonstiges

(1) Abschluss. Dieser Vertrag wird in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO), indem der Kunde bei der Registrierung oder bei einer späteren Aktualisierung die AGB einschließlich dieses Vertrags annimmt. Eine Unterschrift ist nicht erforderlich. Individuelle Vereinbarungen in einem Order Form gehen diesem Vertrag vor (§ 1 der AGB).

(2) Versionsnachweis. Der Anbieter protokolliert die angenommene Fassung dieses Vertrags und den Zeitpunkt der Annahme und bewahrt den Nachweis bis zum Ablauf von drei Jahren nach Ende des Kalenderjahres auf, in dem der Vertrag endete.

(3) Änderungen. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Für Änderungen durch den Anbieter gilt § 17 der AGB. Die Anlagen werden nach § 6 Abs. 4 (Technische und organisatorische Maßnahmen), § 8 (Unterauftragsverarbeiter) und § 17 der AGB (Aufbewahrungs- und Löschfristen, Wechsel- und Exit-Richtlinie) fortgeschrieben; jede Änderung wird mit Datum dokumentiert.

(4) Vertragssprache. Vertragssprache ist Deutsch. Die englische Fassung dieses Vertrags dient der Information; bei Abweichungen ist die deutsche Fassung maßgeblich.

(5) Rechtswahl und Gerichtsstand. Es gilt § 20 der AGB. Für die Standardvertragsklauseln gilt § 11a Abs. 2.

(6) Salvatorische Klausel. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Anlagen

Die Anlagen sind in ihrer jeweils aktuellen, unter der jeweiligen Route veröffentlichten Fassung Bestandteil dieses Vertrags. Änderungen werden nach § 8 dieses Vertrags (Unterauftragsverarbeiter) bzw. § 17 der AGB (Aufbewahrungs- und Löschfristen, Wechsel- und Exit-Richtlinie) angekündigt; die Technischen und organisatorischen Maßnahmen darf der Auftragsverarbeiter nach § 6 Abs. 4 anpassen, ohne das Schutzniveau zu senken.