Rechtliches
Auftragsverarbeitungsvereinbarung
Zuletzt aktualisiert am 1. November 2026
Diese Übersetzung dient Ihrer Information. Rechtlich verbindlich ist die englische Fassung, die bei Abweichungen Vorrang hat. Englische Fassung lesen.
Diese Auftragsverarbeitungsvereinbarung („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden und Astrizon Technology Solutions Private Limited, ein in Indien eingetragenes Unternehmen („Auftragsverarbeiter“). Sie gilt immer dann, wenn der Auftragsverarbeiter über Zolensa personenbezogene Daten im Auftrag des Kunden verarbeitet. Handelt der Kunde für seinen eigenen Auftraggeber als Auftragsverarbeiter, ist der Auftragsverarbeiter sein Unterauftragsverarbeiter, und die Bedingungen gelten entsprechend.
1. Begriffsbestimmungen
„Datenschutzrecht“ bezeichnet die für die Verarbeitung geltenden Gesetze, einschließlich der Datenschutz-Grundverordnung der EU (DSGVO), der britischen UK GDPR und des Data Protection Act 2018, des Schweizer Bundesgesetzes über den Datenschutz (DSG), des indischen Digital Personal Data Protection Act 2023 und US-Bundesstaatengesetze wie des California Consumer Privacy Act (CCPA). „Personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Verarbeitung“ haben die Bedeutung, die ihnen die DSGVO gibt. „Personenbezogene Kundendaten“ sind personenbezogene Daten, die der Auftragsverarbeiter für den Kunden über den Dienst verarbeitet.
2. Rollen und Weisungen
Der Kunde ist der Verantwortliche (oder ein für seinen Auftraggeber handelnder Auftragsverarbeiter), und der Auftragsverarbeiter verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzungsbedingungen, diese AVV sowie die Nutzung und die Einstellungen des Dienstes durch den Kunden sind diese Weisungen. Der Auftragsverarbeiter teilt dem Kunden mit, wenn er der Ansicht ist, dass eine Weisung gegen das Datenschutzrecht verstößt. Die Einzelheiten der Verarbeitung enthält Anhang I.
3. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass alle Personen, die zur Verarbeitung personenbezogener Kundendaten befugt sind, zur Vertraulichkeit verpflichtet sind und nur den Zugang haben, den ihre Rolle erfordert.
4. Sicherheit
Der Auftragsverarbeiter setzt die in Anhang II genannten technischen und organisatorischen Maßnahmen um, die dem Risiko angemessen sind, und darf sie aktualisieren, solange das Gesamtniveau des Schutzes nicht sinkt.
5. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung für die auf der Seite Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter kündigt einen neuen Unterauftragsverarbeiter mindestens 30 Tage im Voraus an, indem er diese Seite aktualisiert und den Inhabern der Workspaces eine E-Mail sendet. Der Kunde kann innerhalb dieser Frist aus angemessenen datenschutzrechtlichen Gründen widersprechen. Können sich die Parteien nicht auf eine Lösung einigen, kann der Kunde die betroffene Leistung beenden und erhält die im Voraus gezahlten Gebühren für den verbleibenden Zeitraum erstattet. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als diese AVV, und bleibt für ihn verantwortlich.
6. Internationale Übermittlungen
Der Auftragsverarbeiter hostet den Dienst in Indien, und einige Unterauftragsverarbeiter sitzen in anderen Ländern. Für Übermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum vereinbaren die Parteien die Standardvertragsklauseln, die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission angenommen wurden, Modul Zwei (Verantwortlicher an Auftragsverarbeiter) und, wenn der Kunde ein Auftragsverarbeiter ist, Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), die durch Verweis einbezogen werden mit folgenden Festlegungen: Klausel 7 findet keine Anwendung; bei Klausel 9 gilt Option 2 (allgemeine Genehmigung) mit einer Frist von 30 Tagen; der fakultative Wortlaut in Klausel 11 findet keine Anwendung; Klausel 13 richtet sich nach dem Sitz des Kunden; für die Klauseln 17 und 18 gelten das Recht und die Gerichte Irlands; die Anhänge I und II dieser AVV vervollständigen die Anhänge der Klauseln. Für Übermittlungen aus dem Vereinigten Königreich gilt der vom Information Commissioner herausgegebene International Data Transfer Addendum, und für die Schweiz gelten die Klauseln, wobei Verweise als Verweise auf Schweizer Recht zu lesen sind. Widersprechen diese Klauseln dieser AVV, haben die Klauseln Vorrang.
7. Unterstützung des Kunden
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Kunden, hauptsächlich durch Funktionen des Dienstes, bei der Beantwortung von Anfragen betroffener Personen sowie bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzungen und Konsultationen von Behörden. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage an den Kunden weiter, ohne sie zu beantworten, es sei denn, das Gesetz verlangt etwas anderes.
8. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die personenbezogene Kundendaten betrifft, mit den Informationen, die der Kunde zur Erfüllung seiner eigenen Pflichten braucht, und hält den Kunden auf dem Laufenden, sobald mehr bekannt wird. Der Auftragsverarbeiter ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu verringern.
9. Löschung und Rückgabe
Der Kunde kann personenbezogene Kundendaten jederzeit über den Dienst exportieren und löschen und legt die Aufbewahrungsdauer jeder Studie fest. Wenn der Vertrag endet, löscht der Auftragsverarbeiter alle personenbezogenen Kundendaten einschließlich der gespeicherten Dateien innerhalb von 30 Tagen nach Ablauf der Exportfrist aus den Nutzungsbedingungen, es sei denn, das Gesetz verpflichtet ihn, einen Teil davon aufzubewahren; in diesem Fall hält er diese Daten vertraulich und verarbeitet sie nur zu diesem Zweck.
10. Prüfungen
Der Auftragsverarbeiter stellt die Informationen bereit, die vernünftigerweise nötig sind, um die Einhaltung dieser AVV nachzuweisen. Der Kunde darf einmal im Jahr mit einer Frist von 30 Tagen selbst prüfen oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer prüfen lassen, und zwar während der Arbeitszeiten, ohne den Dienst oder die Daten anderer Kunden zu stören, auf eigene Kosten; öfter, wenn eine Verletzung des Schutzes personenbezogener Daten oder eine Behörde dies verlangt.
11. Datenschutzgesetze der US-Bundesstaaten
Soweit der California Consumer Privacy Act oder ähnliche Gesetze gelten, ist der Auftragsverarbeiter ein Dienstleister (Service Provider) und wird personenbezogene Kundendaten weder verkaufen noch teilen, sie außerhalb der unmittelbaren Geschäftsbeziehung oder für andere Zwecke als den Dienst weder behalten, verwenden noch offenlegen, und sie nicht mit anderen personenbezogenen Informationen zusammenführen, außer soweit diese Gesetze es erlauben. Der Auftragsverarbeiter teilt dem Kunden mit, wenn er diese Pflichten nicht mehr erfüllen kann.
12. Haftung und Rangfolge
Die Haftung jeder Partei aus dieser AVV unterliegt den Grenzen der Nutzungsbedingungen, außer soweit das Datenschutzrecht sie nicht zulässt. Widerspricht diese AVV den Nutzungsbedingungen in Fragen des Datenschutzes, hat diese AVV Vorrang.
13. Anhang I: Einzelheiten der Verarbeitung
| Verantwortlicher | Der Kunde (Agentur), wie in seinem Workspace angegeben. Kontakt: die Inhaber des Workspace. |
|---|---|
| Auftragsverarbeiter | Astrizon Technology Solutions Private Limited, Bengaluru, Indien. Kontakt: support@astrizon.com. |
| Betroffene Personen | Vom Kunden eingeladene Forschungsteilnehmende; Mitarbeitende und Kunden des Kunden, die den Dienst nutzen. |
| Datenkategorien | Identifikations- und Kontaktdaten (Name, E-Mail-Adresse, Mobilnummer), Sprache und Zeitzone, Einwilligungsnachweise, Studienantworten, Videos, Fotos und Sprachaufnahmen, Nachrichten, Geräte- und Verbindungsinformationen, Anmelde- und Audit-Protokolle. |
| Sensible Daten | Werden vom Dienst nicht abgefragt. Aufnahmen können je nach Studie des Kunden besondere Kategorien von Daten offenbaren (zum Beispiel Gesundheit, Religion oder ethnische Herkunft); der Kunde entscheidet, ob er solche Daten erhebt, und ist für deren Rechtsgrundlage verantwortlich. Schutzmaßnahmen: die in Anhang II. |
| Art und Zweck | Hosting, Speicherung, Umwandlung von Medien für die Wiedergabe, Anzeige für befugte Nutzer, Versand von Einladungen, Erinnerungen und Nachrichten, Übersetzung von Studientexten, Transkription und Übersetzung von Aufnahmen, KI-Analyse von Antworten, wenn der Kunde sie nutzt, Export und Löschung, um dem Kunden den Dienst bereitzustellen. |
| Häufigkeit | Fortlaufend, für die Dauer des Vertrags. |
| Aufbewahrung | Wie vom Kunden für jede Studie festgelegt, spätestens bis zur Löschung nach Vertragsende (Abschnitt 9). |
| Unterauftragsverarbeiter | Wie auf der Seite Unterauftragsverarbeiter aufgeführt, für Hosting, E-Mail-Versand und, wenn genutzt, Übersetzung, Transkription, KI-Analyse, Zahlungen und SMS. |
14. Anhang II: Technische und organisatorische Maßnahmen
- Verschlüsselung bei der Übertragung mit TLS für alle Verbindungen; Aufnahmen werden privat gespeichert und über signierte, ablaufende Links ausgeliefert.
- Passwörter mit Argon2id gehasht; Zwei-Faktor-Authentifizierung für Inhaber von Workspaces und Mitarbeitende der Plattform vorgeschrieben; Anbieterschlüssel und Geheimnisse für die Zwei-Faktor-Authentifizierung im ruhenden Zustand verschlüsselt.
- Rollenbasierter Zugriff innerhalb jedes Workspace; Kunden sehen Teilnehmende nur über einen Code; Kontaktdaten sind auf das Studienteam beschränkt.
- Trennung der Kundendaten in der Anwendung nach Workspace; jede Anfrage wird gegen den Workspace und die Rolle des Nutzers geprüft.
- Ratenbegrenzungen bei Anmeldung, Einladungen und Uploads; Schutz vor Cross-Site-Request-Forgery; Sicherheits-Header.
- Audit-Protokoll für Anmeldungen, Einladungen, Einwilligungen, Exporte, Downloads und Löschungen.
- Datenminimierung: Standortdaten werden aus Fotos entfernt; Uploads werden nach Typ und Größe geprüft; Downloads laufen nach sieben Tagen ab.
- Aufbewahrung je Studie, vom Kunden festgelegt; Löschung von Teilnehmenden, Studien und ganzen Workspaces einschließlich der Dateien.
- Härtung der Server, regelmäßige Sicherheitsupdates, Firewall und Backups beim Hosting-Anbieter.
- Mitarbeitende mit Zugang sind zur Vertraulichkeit verpflichtet, der Zugang ist auf das beschränkt, was ihre Arbeit erfordert.
- Ein Verfahren, um Verletzungen des Schutzes personenbezogener Daten zu erkennen, zu bewerten und innerhalb von 48 Stunden zu melden.