Rechtliches

Auftragsverarbeitungsvertrag

Die Bedingungen nach Artikel 28 DSGVO, unter denen wir personenbezogene Daten für Unternehmen und Teams verarbeiten.

Dieses Dokument wird nach bestem Wissen bereitgestellt und stellt keine Rechtsberatung dar.

Gültig ab: 7. Juni 2026

Diese Vereinbarung zur Auftragsverarbeitung („DPA“) ist Bestandteil der Vereinbarung zwischen Juste Tools LTD, einem in England und Wales eingetragenen Unternehmen („Juste Tools“, „Clavio“, „Auftragsverarbeiter“), und der Kundenorganisation, die den Clavio-Dienst abonniert („Kunde“ oder „Verantwortlicher“), und regelt die Verarbeitung personenbezogener Daten durch Clavio im Auftrag des Kunden. Sie soll die Anforderungen von Artikel 28 der UK GDPR und der EU-DSGVO erfüllen. Bei Widersprüchen zwischen dieser DPA und der übrigen Vereinbarung zum Datenschutz hat diese DPA Vorrang.

Wir unterzeichnen diese DPA für jeden Kunden gesondert. Zur Einrichtung senden Sie Ihren Firmennamen, Ihre Rechtsordnung und Angaben zur unterzeichnenden Person an office@justetools.co.uk. Wir senden Ihnen ein vorausgefülltes Exemplar zur Unterzeichnung zurück. Wir akzeptieren auch die eigene DPA eines Kunden zur Gegenzeichnung, sofern ihre Bedingungen inhaltlich gleichwertig sind.

1. Begriffsbestimmungen

Begriffe wie Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, betroffene Person, personenbezogene Daten, Verarbeitung und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung gemäß UK GDPR und EU-DSGVO. „Datenschutzgesetze“ bezeichnet die UK GDPR, die EU-DSGVO (Verordnung 2016/679), den UK Data Protection Act 2018 und alle sonstigen anwendbaren Datenschutz- oder Privatsphärengesetze.

2. Rollen und Geltungsbereich

Für personenbezogene Daten, die im Rahmen der Vereinbarung verarbeitet werden, ist der Kunde der Verantwortliche und Clavio der Auftragsverarbeiter (oder, wenn der Kunde selbst als Auftragsverarbeiter für seine Endnutzer handelt, Clavio ein Unterauftragsverarbeiter). Clavio verarbeitet personenbezogene Daten nur zur Bereitstellung und Unterstützung des Dienstes. Gegenstand, Dauer, Art und Zweck der Verarbeitung, Arten personenbezogener Daten und Kategorien betroffener Personen sind nachstehend in Anhang A beschrieben.

3. Pflichten des Auftragsverarbeiters (Artikel 28)

Clavio verpflichtet sich zu Folgendem:

Dokumentierte Weisungen — personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten (einschließlich der Vereinbarung und dieser DPA), sofern nicht gesetzlich etwas anderes vorgeschrieben ist; in diesem Fall informiert Clavio den Kunden vorher, soweit dies rechtlich zulässig ist.
Vertraulichkeit — sicherstellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen einer angemessenen Vertraulichkeitspflicht unterliegen.
Sicherheit — die in §6 und Anhang B beschriebenen technischen und organisatorischen Maßnahmen umsetzen (Artikel 32).
Unterauftragsverarbeiter — Unterauftragsverarbeiter nur gemäß §5 einsetzen.
Unterstützung bei Betroffenenrechten — den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete Maßnahmen bei der Beantwortung von Anträgen betroffener Personen unterstützen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch).
Unterstützung bei der Einhaltung — den Kunden unter Berücksichtigung der Clavio verfügbaren Informationen bei der Einhaltung der Artikel 32–36 unterstützen (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation).
Löschung oder Rückgabe — nach Wahl des Kunden nach Abschluss der Dienstleistungen sämtliche personenbezogenen Daten löschen oder zurückgeben und vorhandene Kopien löschen, sofern nicht gesetzlich eine Speicherung vorgeschrieben ist (siehe §8).
Audits — die zum Nachweis der Einhaltung von Artikel 28 erforderlichen Informationen bereitstellen und Audits einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer ermöglichen und unterstützen, vorbehaltlich angemessener Vertraulichkeits- und Sicherheitsvorkehrungen.

4. Verletzung des Schutzes personenbezogener Daten

Clavio benachrichtigt den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten des Kunden und stellt die vernünftigerweise verfügbaren Informationen bereit, um den Kunden bei seinen eigenen Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen nach den Artikeln 33 und 34 zu unterstützen.

5. Unterauftragsverarbeiter

Der Kunde erteilt Clavio eine allgemeine Genehmigung, Unterauftragsverarbeiter zur Bereitstellung des Dienstes einzusetzen. Die aktuellen Unterauftragsverarbeiter von Clavio sind in unserer Datenschutzerklärung und nachstehend aufgeführt. Clavio erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieser DPA inhaltlich gleichwertig sind, und bleibt für die Leistung seiner Unterauftragsverarbeiter verantwortlich. Clavio informiert den Kunden über beabsichtigte Änderungen und gibt ihm Gelegenheit, aus angemessenen Datenschutzgründen Widerspruch einzulegen.

Anthropic — KI-Überarbeitung transkribierter Texte; verarbeitet Transkripte und Diktatinhalte.
OpenAI (Whisper) — Umwandlung von Sprache in Text; verarbeitet Sprachaufnahmen.
Groq — kann bei entsprechender Konfiguration Sprache in Text umwandeln; verarbeitet Sprachaufnahmen und zugehörige Inferenzdaten gemäß den geltenden Datenkontrollen des Kontos.
Lemon Squeezy — Zahlungsabwicklung und Abonnementabrechnung als Merchant of Record; verarbeitet Konto- und Identitätsdaten (Name, E-Mail), Rechnungs- und Zahlungsinformationen sowie das Land für Steuerzwecke.
Apple — Anmeldung und Identitätsprüfung; verarbeitet Konto- und Identitätsdaten.
Google — Anmeldung und Identitätsprüfung; verarbeitet Konto- und Identitätsdaten.
Railway — Anwendungshosting und Datenbankinfrastruktur; kann alle in Anhang A beschriebenen Kategorien verarbeiten.
GitLab — Softwarebereitstellung und betriebliche Werkzeuge; verarbeitet Diagnose- und Betriebsdaten.

6. Sicherheitsmaßnahmen (Artikel 32)

Clavio unterhält geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, darunter: Verschlüsselung während der Übertragung (TLS); Speicherung ausschließlich gehashter Authentifizierungstoken statt Passwörtern; Zugriffskontrollen nach dem Erforderlichkeitsprinzip; Nutzung angesehener Infrastrukturanbieter; sowie betriebliche Verfahren, die die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit des Dienstes gewährleisten sollen. Eine Zusammenfassung dieser Maßnahmen enthält Anhang B.

7. Internationale Übermittlungen

Soweit die Verarbeitung nach dieser DPA eine Übermittlung personenbezogener Daten außerhalb des Vereinigten Königreichs oder des EWR in ein Land ohne Angemessenheitsbeschluss beinhaltet, vereinbaren die Parteien, dass diese Übermittlungen geeigneten Garantien nach Artikel 46 unterliegen, nämlich den Standardvertragsklauseln der Europäischen Kommission (EU 2021/914) und für Übermittlungen aus dem Vereinigten Königreich dem UK International Data Transfer Agreement / UK Addendum, die hiermit durch Verweis einbezogen und mit den Angaben in den Anhängen ausgefüllt werden. Wir unterzeichnen diese Klauseln standardmäßig ohne Verhandlung.

8. Dauer, Löschung und Rückgabe

Diese DPA gilt, solange Clavio personenbezogene Daten im Auftrag des Kunden verarbeitet. Bei Beendigung oder Ablauf des Dienstes löscht Clavio nach Wahl des Kunden dessen personenbezogene Daten oder gibt sie zurück und löscht vorhandene Kopien, vorbehaltlich kurzer Zeitfenster für die Backup-Rotation und gesetzlicher Aufbewahrungspflichten.

9. Anhang A — Einzelheiten der Verarbeitung

Gegenstand und Art: Bereitstellung eines KI-Sprachdiktierdienstes — Aufnahme, Übertragung, Transkription und Überarbeitung von Diktaten sowie Konto- und Abonnementverwaltung.
Zweck: Bereitstellung des Dienstes für den Kunden und seine berechtigten Nutzer.
Dauer: für die Laufzeit der Vereinbarung zuzüglich eines etwaigen begrenzten Abwicklungszeitraums gemäß §8.
Kategorien betroffener Personen: berechtigte Nutzer des Kunden (beispielsweise Beschäftigte oder Teammitglieder).
Arten personenbezogener Daten: Konto- und Identitätsdaten (Nutzerkennung, Name, E-Mail, einschließlich privater Apple-Relay-Adressen); Sprachaufnahmen und Transkripte; Abonnement-, Rechnungs- und Zahlungsinformationen (verarbeitet durch unseren Merchant of Record, Lemon Squeezy), einschließlich des Landes für Steuerzwecke; Nutzungs-, Diagnose- und Geräte-/Betriebssystemdaten.
Besondere Datenkategorien: Sprachaufnahmen, die vorübergehend zur Erstellung von Transkripten verarbeitet werden; keine Nutzung zum Trainieren von KI-Modellen.

10. Anhang B — Sicherheitsmaßnahmen (Zusammenfassung)

Verschlüsselung personenbezogener Daten während der Übertragung (TLS).
Authentifizierung über angemeldete Identitätsanbieter; Speicherung ausschließlich gehashter Token, nicht von Passwörtern.
Rollen- und bedarfsbasierte Zugriffskontrollen für Systeme und Daten.
Nutzung angesehener, sicherheitsgeprüfter Infrastruktur- und KI-Unterauftragsverarbeiter unter Datenschutzbedingungen.
Protokollierung und Überwachung zur Erkennung von Sicherheitsereignissen und Reaktion darauf sowie ein Verfahren zur Benachrichtigung des Kunden über Datenschutzverletzungen.
Maßnahmen zur zeitnahen Wiederherstellung der Verfügbarkeit personenbezogener Daten und des Zugangs zu ihnen nach einem Vorfall.

11. Kontakt

Um diese DPA anzufordern, zu unterzeichnen oder Fragen dazu zu stellen, wenden Sie sich an office@justetools.co.uk .