DPA

1. Parteien und Rollen

1.1. Diese Datenverarbeitungsvereinbarung (“DPA”) ist integraler Bestandteil des PromptEye-Dienstleistungsvertrags.

1.2. Soweit der Kunde personenbezogene Daten in den Dienst eingibt, vereinbaren die Parteien Folgendes:

    • Der Kunde fungiert als Verantwortlicher für personenbezogene Daten im Sinne der DSGVO,
    • PromptEye fungiert als Auftragsverarbeiter.

1.3. In Bezug auf personenbezogene Daten von Kontobenutzern, Abrechnungsdaten, Kontaktdaten und Marketingdaten fungiert PromptEye als Verantwortlicher – gemäß den in der Datenschutzerklärung festgelegten Bedingungen.

2. Gegenstand, Art und Zweck der Verarbeitung

2.1. Gegenstand dieser Datenschutzvereinbarung ist die Festlegung der Bedingungen, unter denen PromptEye im Auftrag des Kunden personenbezogene Daten im Zusammenhang mit der Erbringung der Dienstleistung verarbeitet.

2.2. Die Verarbeitung umfasst insbesondere:

    • Kontodaten: Vorname, Nachname (sofern angegeben), geschäftliche E-Mail-Adresse, Name und Angaben zum Unternehmen, Benutzerrolle,
    • Technische Daten: IP-Adresse, Geräte- und Browserdaten, Sitzungskennungen, technische Protokolle,
    • Unternehmensdaten: Eingabeaufforderungen, Markennamen, analytische Inhalte und sonstige Daten, die vom Kunden oder von den Nutzern in den Dienst eingegeben werden, soweit diese personenbezogene Daten enthalten.

2.3. Zu den Arten der Verarbeitungsvorgänge gehören unter anderem: Erhebung, Organisation, Speicherung, Änderung, Analyse, Verwendung zur Erstellung von Berichten, Weitergabe an den Kunden, Löschung und Anonymisierung.

2.4. Der Zweck der Verarbeitung besteht darin, dass PromptEye dem Kunden den Dienst gemäß der Vereinbarung bereitstellt, einschließlich der Gewährleistung der Sicherheit, der Abrechnung, des technischen Supports und der Weiterentwicklung des Dienstes.

2.5. Personenbezogene Daten werden ausschließlich auf der Grundlage dokumentierter Anweisungen des Kunden verarbeitet, es sei denn, die Verarbeitung ist nach dem Recht der Europäischen Union oder dem Recht eines Mitgliedstaats vorgeschrieben – in diesem Fall wird PromptEye den Kunden vor der Verarbeitung über diese Vorschrift informieren, sofern die Weitergabe dieser Information nicht gesetzlich untersagt ist.

3. Dauer der Verarbeitung

3.1. Personenbezogene Daten werden von PromptEye für die Dauer des Vertrags sowie für einen etwaigen zusätzlichen Zeitraum verarbeitet, der erforderlich ist, um:

    • Verpflichtungen im Zusammenhang mit der Löschung oder Rückgabe von Daten nachzukommen,
    • gesicherte Forderungen,
    • gesetzliche Verpflichtungen zu erfüllen (z. B. Buchhaltung, Steuern),

gemäß der Datenschutzerklärung.

3.2. In der Regel werden Kundendaten innerhalb von 30 Tagen nach Beendigung des Vertrags aus den Produktionssystemen von PromptEye gelöscht; Kopien in Sicherungssystemen können bis zu 60 Tage ab dem Datum der Löschung aus den Produktionssystemen aufbewahrt werden.

4. Kategorien von betroffenen Personen, Daten und Rechtsgrundlagen

4.1. Der Dienst ist grundsätzlich nicht für die groß angelegte Verarbeitung personenbezogener Daten Dritter (z. B. Massendaten von Endkunden) vorgesehen, es sei denn, die Parteien vereinbaren in der Vereinbarung und der Dienstkonfiguration ausdrücklich etwas anderes.

Kategorien von betroffenen Personen, deren Daten verarbeitet werden können:

    • Mitarbeiter, Partner und sonstige Vertreter des Auftraggebers,
    • andere Personen, deren Daten der Kunde in den Dienst eingibt.

4.2. Datenkategorien:

    • Identifikations- und Kontaktdaten (z. B. Vorname, Nachname, E-Mail-Adresse, Berufsbezeichnung, Unternehmensdaten),
    • Daten im Zusammenhang mit der Nutzung der Plattform (Protokolle, Konto-IDs, Einstellungen),
    • Daten, die in Eingabeaufforderungen, Berichten und vom Kunden übermittelten Inhalten enthalten sind (je nach Nutzung des Dienstes durch den Kunden können dies auch personenbezogene Daten sein).

4.3. Der Kunde erklärt, dass er über eine angemessene Rechtsgrundlage für die Verarbeitung personenbezogener Daten und deren Übermittlung an PromptEye gemäß der DSGVO verfügt.

5. Pflichten von PromptEye als Auftragsverarbeiter

5.1. PromptEye verpflichtet sich:

    • personenbezogene Daten ausschließlich auf der Grundlage dokumentierter Anweisungen des Auftraggebers zu verarbeiten,
    • sicherstellen, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Geheimhaltungspflicht unterliegen,
    • geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO zu ergreifen,
    • den Kunden bei der Erfüllung seiner Verpflichtungen gegenüber den betroffenen Personen im Rahmen des in Abschnitt 7 festgelegten Umfangs zu unterstützen,
    • den Kunden bei der Erfüllung seiner Verpflichtungen gemäß den Artikeln 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Folgenabschätzung, vorherige Konsultation) in angemessenem Umfang und unter Berücksichtigung der Art der Verarbeitung sowie der PromptEye zur Verfügung stehenden Informationen zu unterstützen,
    • nach Beendigung der Verarbeitungsdienstleistungen nach Wahl des Kunden alle personenbezogenen Daten zu löschen oder an den Kunden zurückzugeben und vorhandene Kopien zu löschen, vorbehaltlich gesetzlicher Verpflichtungen,
    • dem Auftraggeber alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der in dieser DPA und in Artikel 28 DSGVO festgelegten Verpflichtungen nachzuweisen.

6. Sicherheitsmaßnahmen

6.1. PromptEye ergreift und unterhält technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Sicherheitsniveau gewährleisten, darunter mindestens:

    • Verschlüsselung personenbezogener Daten während der Übertragung (TLS) und im Ruhezustand,
    • rollenbasierte Zugriffskontrolle (RBAC),
    • strenge Passwortanforderungen und die Möglichkeit, die Multi-Faktor-Authentifizierung (MFA) zu aktivieren,
    • Sicherungsverfahren und Verfahren zur Notfallwiederherstellung,
    • Überwachung und Protokollierung sicherheitsrelevanter Ereignisse,
    • Zugriffskontrollen für die Infrastruktur (Netzwerke, Rechenzentren, Cloud-Umgebungen),
    • regelmäßige Software- und Abhängigkeits-Updates.

6.2. Eine detaillierte Beschreibung der derzeitigen Sicherheitsmaßnahmen kann dem Kunden in einem separaten Dokument oder auf der PromptEye-Website zur Verfügung gestellt werden.

7. Rechte der betroffenen Personen

7.1. Unter Berücksichtigung der Art der Verarbeitung unterstützt PromptEye den Auftraggeber, soweit dies technisch und organisatorisch möglich ist, bei der Erfüllung seiner Verpflichtungen zur Beantwortung von Anfragen betroffener Personen, insbesondere in Bezug auf:

    • Zugriff auf Daten,
    • Berichtigung,
    • Löschung (“Recht auf Vergessenwerden”),
    • Einschränkung der Verarbeitung,
    • Datenübertragbarkeit,
    • Einwand,
    • Rechte im Zusammenhang mit Profiling und automatisierten Entscheidungen.

7.2. Erhält PromptEye eine Anfrage bezüglich Daten, die im Auftrag des Kunden verarbeitet werden, leitet PromptEye diese Anfrage unverzüglich an den Kunden weiter, sofern PromptEye den zuständigen Verantwortlichen identifizieren kann, es sei denn, gesonderte gesetzliche Bestimmungen verpflichten PromptEye, eigenständig zu antworten.

7.3. Die Unterstützung durch PromptEye bei der Wahrung der Rechte der betroffenen Personen kann für den Kunden zusätzliche Kosten verursachen, wenn die Anfragen unverhältnismäßig sind oder über den üblichen Umfang der Unterstützung hinausgehen.

8. Unterauftragsverarbeiter

8.1. Der Kunde erteilt PromptEye eine allgemeine Ermächtigung, zur Erbringung des Dienstes Unterauftragsverarbeiter einzusetzen. Die aktuelle Liste der wichtigsten Unterauftragsverarbeiter umfasst insbesondere Anbieter von Modellen künstlicher Intelligenz (LLMs) sowie von Cloud-Infrastruktur und -Tools, wie beispielsweise Anbieter von Sprachmodellen (z. B. OpenAI – GPT-Modelle, Perplexity, DeepSeek, Anbieter von Antwortaggregationsschichten vom Typ „AI Overview“) sowie Anbieter von Infrastruktur und Tools, die die Erbringung des Dienstes unterstützen (z. B. Cloud-Anbieter, Datenbankdienste, Kommunikationstools und Marketing-Automatisierung). Die Liste der Unterauftragsverarbeiter kann sich ändern und umfasst gemäß dem in dieser DPA beschriebenen Benachrichtigungsverfahren auch andere Anbieter von KI-Modellen und Infrastruktur, die im Rahmen des Dienstes genutzt werden.

8.2. PromptEye stellt sicher, dass jeder Unterauftragsverarbeiter an eine Vereinbarung gebunden ist, die ihm Verpflichtungen auferlegt, die nicht weniger streng sind als die sich aus dieser DPA ergebenden, insbesondere in Bezug auf Sicherheit und Vertraulichkeit.

8.3. PromptEye wird den Kunden (z. B. über die Website oder per E-Mail) über die Hinzufügung, den Austausch oder die Entfernung eines Unterauftragsverarbeiters informieren. Der Kunde kann innerhalb einer angemessenen Frist nach Erhalt einer solchen Mitteilung einen begründeten Einspruch gegen die Beauftragung eines bestimmten Unterauftragsverarbeiters erheben.

8.4. Im Falle eines berechtigten Einwands werden die Parteien nach Treu und Glauben Verhandlungen führen, um eine Lösung zu finden (z. B. Deaktivierung einer bestimmten Funktion, Beauftragung eines alternativen Unterauftragsverarbeiters). Ist dies nicht möglich, kann der Kunde den Vertrag hinsichtlich der von diesem Unterauftragsverarbeiter abhängigen Funktionen oder, falls dies nicht möglich ist, den gesamten Vertrag mit Wirkung zum Ende des laufenden Abrechnungszeitraums kündigen.

9. Datenübermittlungen außerhalb des EWR

9.1. Personenbezogene Daten können im Zusammenhang mit dem Einsatz von Unterauftragsverarbeitern wie Anbietern von LLM-Modellen und Infrastruktur (z. B. OpenAI, Perplexity, DeepSeek, Anbieter von Antwort-Aggregationsschichten vom Typ „AI Overview“, Cloud-Anbieter und Marketing-Automatisierungstools) übermittelt werden.

9.2. In solchen Fällen stellt PromptEye sicher, dass die Datenübermittlungen unter Einhaltung angemessener rechtlicher Schutzvorkehrungen gemäß Kapitel V der DSGVO erfolgen, insbesondere durch:

    • den von der Europäischen Kommission verabschiedeten Standardvertragsklauseln (SCCs) beizutreten und/oder
    • gegebenenfalls unter Einbeziehung von Anbietern, die am EU-US-Datenschutzrahmen (DPF) teilnehmen.

9.3. Auf Anfrage des Kunden kann PromptEye allgemeine Informationen zu den angewandten Übertragungsschutzmaßnahmen bereitstellen (ohne dabei Inhalte offenzulegen, die ein Geschäftsgeheimnis darstellen oder einer Vertraulichkeitsvereinbarung unterliegen).

10. Meldung von Datenschutzverletzungen

10.1. PromptEye benachrichtigt den Kunden unverzüglich, sobald es Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhält, die die im Auftrag des Kunden verarbeiteten Daten betrifft.

10.2. Die Benachrichtigung enthält – soweit verfügbar – die nach Artikel 33 Absatz 3 DSGVO erforderlichen Angaben, insbesondere:

    • eine Beschreibung der Art des Verstoßes,
    • die Kategorien und die ungefähre Anzahl der betroffenen Personen,
    • die Kategorien und die ungefähre Anzahl der betroffenen Datensätze,
    • eine Beschreibung der voraussichtlichen Folgen des Verstoßes,
    • eine Beschreibung der Maßnahmen, die zur Behebung des Verstoßes ergriffen wurden oder vorgeschlagen werden.

10.3. PromptEye wird mit dem Kunden bei der Erfüllung seiner Verpflichtungen gegenüber der Aufsichtsbehörde und den betroffenen Personen in angemessenem Umfang zusammenarbeiten, wobei die Art des Verstoßes und die einschlägigen rechtlichen Verpflichtungen der Parteien zu berücksichtigen sind.

11. Prüfungen und Inspektionen

11.1. Auf Anfrage des Kunden stellt PromptEye die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser DPA und von Artikel 28 DSGVO erforderlich sind, insbesondere in Form von:

    • Antworten auf Fragebögen zu den Themen Sicherheit und DSGVO,
    • Zusammenfassungen externer Prüfungsberichte oder Bescheinigungen (sofern vorhanden),
    • Beschreibungen der technischen und organisatorischen Maßnahmen.

11.2. In begründeten Fällen kann der Kunde eine Prüfung oder Inspektion vor Ort durchführen (oder einen unabhängigen Prüfer damit beauftragen), nachdem zuvor eine schriftliche Vereinbarung über Umfang, Zeitpunkt und Bedingungen der Prüfung getroffen und eine Vertraulichkeitsvereinbarung unterzeichnet wurde.

11.3. Vor-Ort-Prüfungen dürfen höchstens einmal alle 12 Monate stattfinden, es sei denn, es liegt eine erhebliche Verletzung des Schutzes personenbezogener Daten vor. Die Kosten für die Prüfung trägt der Kunde, sofern gesetzlich nichts anderes vorgeschrieben ist.

12. Beendigung der Verarbeitung, Löschung und Rückgabe von Daten

12.1. Bei Beendigung der Datenverarbeitungsdienstleistungen für den Kunden hat PromptEye – entsprechend der vom Kunden vor Beendigung des Vertrags mitgeteilten Wahl – folgende Maßnahmen zu ergreifen:

    • personenbezogene Daten aus den eigenen Systemen löschen oder
    • dem Kunden eine Kopie der Daten in einem vereinbarten Format (z. B. CSV-/JSON-Export) zur Verfügung zu stellen und die Daten anschließend aus seinen Systemen zu löschen,

vorbehaltlich Abschnitt 12.2.

12.2. PromptEye darf personenbezogene Daten in dem Umfang und für den Zeitraum aufbewahren, der erforderlich ist, um:

    • gesetzliche Verpflichtungen zu erfüllen (z. B. steuerliche und buchhalterische Vorschriften),
    • Ansprüche geltend zu machen, durchzusetzen oder sich gegen solche zu verteidigen.

12.3. Nach Ablauf der in Abschnitt 3.2 genannten Aufbewahrungsfrist werden personenbezogene Daten aus den Sicherungssystemen endgültig gelöscht oder anonymisiert, soweit dies gesetzlich zulässig und technisch machbar ist.

13. Haftung und Verhältnis zum Vertrag

13.1. Die Haftung der Parteien im Zusammenhang mit dieser DPA richtet sich nach der Vereinbarung und den Nutzungsbedingungen, vorbehaltlich zwingender gesetzlicher Bestimmungen.

13.2. Soweit die Bestimmungen dieser Datenschutzvereinbarung (DPA) spezifischer sind als die Nutzungsbedingungen, hat die DPA in Angelegenheiten, die die Verarbeitung personenbezogener Daten durch PromptEye als Auftragsverarbeiter betreffen, Vorrang.