Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV“) wird gemäß Art. 28 Abs. 3 DSGVO zwischen den folgenden Parteien geschlossen:

Mit der Registrierung auf der Capwork-Plattform und dem Setzen der entsprechenden Zustimmung schließt der Verantwortliche diesen AVV in elektronischer Form (Art. 28 Abs. 9 DSGVO) ab. Die Zustimmung wird zusammen mit Versionsnummer, Zeitstempel, IP-Adresse und User-Agent revisionssicher protokolliert.

Gegenstand: Gegenstand des AVV ist die Verarbeitung personenbezogener Daten durch Capwork im Auftrag und nach Weisung des Verantwortlichen im Rahmen der Bereitstellung der Capwork-Plattform (SaaS) und der mit ihr verbundenen Module (u. a. Terminbuchung, Kundenverwaltung, Auftragsabwicklung, Bestandsführung, Fahrzeugverwaltung, Finanzen, Kommunikationskanäle, Aufgaben- und Workflow-Management, Feedback-Erfassung).

Dauer: Der AVV läuft auf unbestimmte Zeit und endet automatisch mit der Beendigung des zugrunde liegenden Hauptvertrags (Nutzungsbedingungen / AGB) zwischen dem Verantwortlichen und Capwork. Eine vorzeitige Kündigung dieses AVV ist nur zusammen mit dem Hauptvertrag möglich.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen oder Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränken, Löschen oder Vernichten — jeweils in elektronischer Form auf Servern der unter Ziffer 7 benannten Unterauftragsverarbeiter.

Zweck der Verarbeitung:

• Bereitstellung, Betrieb und Wartung der gebuchten Plattform-Funktionen;
• Terminplanung, -bestätigung und -benachrichtigung gegenüber Endkundinnen und Endkunden;
• Verwaltung von Aufträgen, Rechnungen, Beständen, Fahrzeugen, Mitarbeitenden und Aufgaben des Verantwortlichen;
• Versand transaktionaler Nachrichten (E-Mail, SMS, WhatsApp) im Auftrag des Verantwortlichen an dessen Endkunden;
• KI-gestützte Vorverarbeitung (z. B. Textextraktion aus Dokumenten, Auswertung von Feedback, Vorschläge zur Terminplanung) ausschließlich auf Weisung des Verantwortlichen, ohne Verwendung der Daten zum Modelltraining und ohne ausschließlich automatisierte Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO. Welches konkrete Modell zum Einsatz kommt — in der Regel von Google (z. B. Gemini) oder von Anthropic (z. B. Claude) über Vertex AI — wählt Capwork je nach Eignung für den Anwendungsfall aus; sämtliche KI-Ausgaben sind unverbindliche, nicht-deterministische Vorschläge, deren Verwendung der inhaltlichen Bestätigung durch den Verantwortlichen oder dessen Mitarbeitende bedarf;
• technische Sicherung des Dienstes, Fehlerbehebung, Backup, Wiederherstellung und Auditierbarkeit.

Von der Verarbeitung sind insbesondere folgende Kategorien betroffener Personen umfasst:

• Endkundinnen und Endkunden des Verantwortlichen (Buchende, Kontaktpersonen, Empfänger von Leistungen);
• Mitarbeitende, Beschäftigte oder freie Mitarbeiter des Verantwortlichen, soweit sie über die Plattform verwaltet werden;
• Lieferanten, Geschäftspartner, externe Dienstleister des Verantwortlichen;
• Personen, die mit dem Verantwortlichen über integrierte Kommunikationskanäle (E-Mail, SMS, WhatsApp, Webformulare) in Kontakt treten;
• berechtigte Nutzer der Plattform-Konten des Verantwortlichen (z. B. Inhaber, Geschäftsführung, Administratoren).

Verarbeitet werden insbesondere folgende Kategorien personenbezogener Daten, sofern und soweit der Verantwortliche sie in die Plattform einstellt oder ihre Erhebung durch die Plattform veranlasst:

• Stamm- und Kontaktdaten (Name, Anrede, Anschrift, Telefonnummer, E-Mail-Adresse, ggf. Geburtsdatum);
• Termin-, Buchungs- und Auftragsdaten (gebuchte Leistungen, Zeitpunkte, Status, Notizen, Anhänge);
• Kommunikationsinhalte (Nachrichten, Chatverläufe, E-Mails, SMS, WhatsApp-Nachrichten, hochgeladene Dokumente);
• Fahrzeug-, Bestands- und Werkstattdaten, soweit personenbezogen (z. B. Halterdaten, Logbucheinträge, Kennzeichen);
• Abrechnungs- und Zahlungsverkehrsdaten, soweit über die Plattform erfasst (z. B. Rechnungspositionen, Zahlungsstatus); reine Kreditkarten- und Bankverbindungsdaten der Endkunden werden tokenisiert über den Zahlungsdienstleister abgewickelt und sind Capwork in der Regel nicht im Klartext zugänglich;
• Authentifizierungs- und Sicherheitsdaten der Plattform-Nutzer des Verantwortlichen (E-Mail-Adresse, Passwort-Hashes über Firebase Authentication, Login-Zeitstempel, IP-Adresse, Sitzungs-IDs);
• Nutzungs-, Protokoll- und Telemetriedaten, soweit zur Diagnose, Sicherheit und Abrechnung erforderlich.

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen u. a.) sind nicht Gegenstand des AVV. Der Verantwortliche darf solche Daten nur in die Plattform einstellen, wenn er hierfür eine eigene Rechtsgrundlage und gesonderte Schutzmaßnahmen vorhält; in diesem Fall hat der Verantwortliche Capwork vor der Verarbeitung schriftlich zu informieren.

Capwork verpflichtet sich, personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen und der Vorgaben dieses AVV zu verarbeiten. Insbesondere gilt:

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen — der Hauptvertrag, dieser AVV sowie die in der Plattform vorgenommenen Konfigurationen gelten als dokumentierte Weisungen. Weitere Weisungen können über die in der Plattform integrierte Support-Funktion erteilt werden; soweit die Plattform eine konkrete Weisung technisch nicht zulässt, kann der Verantwortliche sie per E-Mail an office@capwork.io übermitteln (Art. 28 Abs. 3 lit. a DSGVO);
• Verpflichtung sämtlicher zur Verarbeitung befugter Personen auf Vertraulichkeit oder Bestehen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO);
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO, wie sie in Ziffer 9 (TOMs) näher beschrieben sind (Art. 28 Abs. 3 lit. c DSGVO);
• Einsatz weiterer Auftragsverarbeiter nur unter den Voraussetzungen von Ziffer 7 dieses AVV (Art. 28 Abs. 2 und 4 DSGVO);
• Unterstützung des Verantwortlichen — soweit möglich und mit angemessenen technischen und organisatorischen Maßnahmen — bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO; Art. 28 Abs. 3 lit. e DSGVO);
• Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der Capwork zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO);
• Rückgabe oder Löschung der Daten nach Beendigung der Erbringung der Verarbeitungsleistungen entsprechend Ziffer 13 (Art. 28 Abs. 3 lit. g DSGVO);
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO sowie Ermöglichung von Überprüfungen und Audits gemäß Ziffer 12 (Art. 28 Abs. 3 lit. h DSGVO);
• Einsatz von KI-Modellen ausschließlich über Google Vertex AI mit Region-Pinning auf den EU-Raum, vertraglich gegen Trainingsnutzung der Eingaben abgesichert. Capwork wählt das jeweils für den konkreten Anwendungsfall am besten geeignete Modell aus — in der Regel eigene Modelle von Google (z. B. Gemini) oder über den Vertex Model Garden bereitgestellte Partnermodelle (z. B. Anthropic Claude). Die Modellauswahl liegt im fachlichen und wirtschaftlichen Ermessen von Capwork, soweit das in Ziffer 9 zugesicherte Schutzniveau hierdurch nicht unterschritten wird; eine Datenübermittlung an die Modellanbieter findet dabei vertragsgemäß nicht statt, da der gesamte Inferenzbetrieb durch Google Cloud erfolgt;
• Weisungen, die über die Standard-Plattformfunktionalität oder die in der Plattform vorgesehenen Konfigurationsmöglichkeiten hinausgehen oder einen außergewöhnlichen Aufwand verursachen, kann Capwork nach vorheriger Aufwandsabschätzung gegen marktübliches Entgelt umsetzen; Art. 28 DSGVO steht dem nicht entgegen, soweit die Pflichten zur Erfüllung der gesetzlichen Mindestanforderungen unentgeltlich erbracht werden.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Datenverarbeitung sowie die Wahrung der Rechte der Betroffenen allein verantwortlich (Art. 4 Nr. 7, Art. 24 DSGVO). Die Beweislast für die Rechtmäßigkeit der erteilten Weisungen trägt der Verantwortliche; Capwork ist nicht verpflichtet, die rechtliche Zulässigkeit jeder Weisung positiv zu prüfen, weist den Verantwortlichen jedoch auf erkennbar rechtswidrige Weisungen unverzüglich hin (Art. 28 Abs. 3 Satz 3 DSGVO). Der Verantwortliche ist insbesondere verpflichtet:

• Capwork rechtzeitig und vollständig über alle Tatsachen zu informieren, die für die ordnungsgemäße Auftragserfüllung erforderlich sind, einschließlich abweichender oder zusätzlicher Weisungen;
• eine eigene DSGVO-konforme Datenschutzerklärung zu führen und seine Endkundinnen und Endkunden über den Einsatz der Capwork-Plattform als Auftragsverarbeiterin zu informieren, einschließlich der KI-gestützten Vorverarbeitung, der Drittlandtransfers gemäß Ziffer 8 sowie der jeweils gültigen Subprocessoren-Liste gemäß Ziffer 7;
• geeignete Rechtsgrundlagen (z. B. Vertragserfüllung, berechtigtes Interesse, Einwilligung) für die jeweilige Verarbeitung zu schaffen und Einwilligungen — soweit erforderlich — selbst einzuholen, zu dokumentieren und nachzuweisen;
• Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) primär selbst zu beantworten und Capwork nur dann einzubeziehen, wenn die technischen Mittel der Plattform-Selbstbedienung nicht ausreichen;
• Plattform-Zugänge, Rollen und Berechtigungen seiner Mitarbeitenden sorgfältig zu vergeben und zu pflegen sowie kompromittierte Zugangsdaten unverzüglich zu sperren oder zurückzusetzen;
• vor produktivem Einsatz KI-gestützter Funktionen seine Mitarbeitenden auf den nicht-deterministischen, vorläufigen Charakter der KI-Ausgaben hinzuweisen und die fachliche Plausibilität jeder KI-Ausgabe vor weiterer Verwendung — insbesondere vor Außenkommunikation, Rechnungsstellung oder rechtswirksamen Entscheidungen — eigenständig zu prüfen; KI-Ausgaben dürfen nicht als alleinige Grundlage automatisierter Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO verwendet werden;
• Capwork vorab schriftlich zu informieren und eine eigene Rechtsgrundlage vorzuhalten, sofern besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten zu strafrechtlichen Verurteilungen (Art. 10 DSGVO) in Plattform-Funktionen — insbesondere KI-gestützte — eingestellt werden sollen; ohne entsprechende Vorabinformation ist die Verarbeitung solcher Daten in der Plattform nicht von der allgemeinen Auftragsverarbeitung gedeckt;
• Capwork von Ansprüchen Dritter, einschließlich behördlicher Bußgelder und anwaltlicher Kosten der zweckmäßigen Rechtsverteidigung, freizustellen, soweit diese auf einer vom Verantwortlichen zu vertretenden Verletzung dieses AVV oder der DSGVO beruhen — insbesondere auf dem Einstellen unzulässiger Daten in die Plattform, fehlenden oder rechtswidrigen Rechtsgrundlagen, rechtswidrigen Weisungen oder mangelhafter Aufklärung der Betroffenen.

Der Verantwortliche erteilt Capwork hiermit die allgemeine schriftliche Genehmigung gemäß Art. 28 Abs. 2 Satz 1 DSGVO, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) zur Vertragserfüllung heranzuziehen. Capwork verpflichtet jeden Unterauftragsverarbeiter vertraglich zur Einhaltung gleichwertiger Datenschutzpflichten, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

Capwork informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail an die hinterlegte Kontaktadresse oder über eine Mitteilung in der Plattform. Der Verantwortliche kann gegen solche Änderungen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben; bloße Präferenzen oder kommerzielle Erwägungen begründen keinen wichtigen Grund. Erfolgt ein wirksamer Einspruch, sind die Parteien verpflichtet, eine einvernehmliche Lösung zu finden; gelingt dies nicht binnen 30 Tagen, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht des Hauptvertrags zu, nicht jedoch ein Anspruch auf Beibehaltung des bisherigen Unterauftragsverarbeiters. Abweichend hiervon kann die Vorankündigungsfrist in Notlagen — insbesondere bei Insolvenz, kurzfristiger Vertragsbeendigung durch den Unterauftragsverarbeiter, behördlicher Anordnung oder zwingenden Gründen der Sicherheit oder Plattform-Verfügbarkeit — auf das technisch und organisatorisch Mögliche verkürzt werden; Capwork informiert den Verantwortlichen unverzüglich nachträglich.

Aktuelle Liste der eingesetzten Unterauftragsverarbeiter (Anlage 2):

Diese Liste benennt jeden Dienst einzeln (statt pauschal „Google“ o. ä.), weil Art. 28 DSGVO Bestimmtheit verlangt: jeder Dienst hat einen eigenen Rechtsträger, eigene Vertragsbedingungen, eigene Verarbeitungsregion und ein eigenes Risikoprofil — und der Verantwortliche muss jede Änderung einzeln widersprechen können.

Eine Übermittlung personenbezogener Daten in Drittländer außerhalb des EWR findet nur statt, soweit eine der in Art. 44 ff. DSGVO genannten Voraussetzungen erfüllt ist — insbesondere ein Angemessenheitsbeschluss der EU-Kommission, die Verwendung von Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914) oder eine andere geeignete Garantie nach Art. 46 DSGVO.

Google LLC, Twilio Inc. und Stripe Inc. sind unter dem EU-U.S. Data Privacy Framework zertifiziert und erfüllen damit ein angemessenes Datenschutzniveau im Sinne des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023. Ergänzend sind die jeweiligen Standardvertragsklauseln Bestandteil der Datenverarbeitungsverträge mit diesen Unterauftragsverarbeitern.

Capwork führt im Bedarfsfall eine Risikoabschätzung der Übermittlung („Transfer Impact Assessment“ — TIA) durch und implementiert ergänzende technische Maßnahmen (Verschlüsselung in transit und at rest, Region-Pinning, Pseudonymisierung), um das Schutzniveau des Art. 44 DSGVO einzuhalten.

Capwork orientiert die folgenden technischen und organisatorischen Maßnahmen am Stand der Technik, am Schutzbedarf der verarbeiteten Daten und an branchenüblichen Standards (insbesondere ISO 27001, ISO 27018 und ISO 27701, deren Zertifizierungsbasis durch die eingesetzte Cloud-Infrastruktur — Google Cloud — geliefert wird):

• Verschlüsselung — TLS nach aktuellem Stand der Technik für jede Datenübertragung, AES-256 oder gleichwertig zur Speicherung in Firestore und Cloud Storage; Schlüsselverwaltung über Google Cloud KMS;
• Контрол на достъпа и на оправомощаването — Google IAM с ролеви модел на права, гранулирани платформени роли (система от разрешения) за служителите на администратора;
• Authentifizierung — Firebase Authentication mit Passwort-Hashing nach aktuellem Stand der Technik, optional E-Mail-Verifikation und Passwort-Reset-Token mit kurzer Gültigkeit;
• Trennungskontrolle — strikte Mandantenfähigkeit über `companyId`-Scoping; Firestore-Sicherheitsregeln und serverseitige Berechtigungsprüfung verhindern Zugriff über Mandantengrenzen hinweg;
• Наличност и възстановимост — автоматизирани ежедневни резервни копия (Backup), Point-in-Time-Recovery (PITR) във Firestore, междупроектно хранилище за резервни копия, проект за възстановяване при бедствия с документирана процедура за възстановяване;
• Pseudonymisierung — Karten-Token statt Klartext-PAN, getrennte Speicherung von technischen Identifikatoren und persönlichen Daten, wo immer fachlich vertretbar;
• Protokollierung und Auditierbarkeit — Cloud Logging mit Aufbewahrung kritischer Sicherheitslogs, Audit-Trail aller administrativen Aktionen und Rechtszustimmungen (Versionsnummer, Zeitstempel, IP, User-Agent);
• Verpflichtung der Mitarbeitenden — alle Personen mit Zugriff auf personenbezogene Daten sind auf das Datengeheimnis und auf Vertraulichkeit verpflichtet; regelmäßige Sensibilisierung;
• Schwachstellen- und Patch-Management — automatisches Dependency-Scanning, regelmäßige Sicherheitsupdates der Plattform-Komponenten, Incident-Response-Prozess.

Capwork darf die TOMs zur Anpassung an den Stand der Technik fortschreiben, sofern dadurch das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dem Verantwortlichen analog zu Ziffer 7 mitgeteilt. Capwork schuldet die Einhaltung des Stands der Technik, nicht eine bestimmte Konfiguration oder einen bestimmten Erfolg; eine absolute Sicherheit gegen jeden denkbaren Angriff kann technisch nicht gewährleistet werden.

Capwork unterstützt den Verantwortlichen mit angemessenen technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO). Die Plattform stellt Self-Service-Funktionen zur Auskunft (Datenexport im strukturierten Format), Berichtigung, Löschung („Recht auf Vergessenwerden“ inkl. Anonymisierung verknüpfter Datensätze) und Einschränkung der Verarbeitung bereit.

Reichen die Self-Service-Funktionen nicht aus, kann der Verantwortliche schriftlich Unterstützung bei office@capwork.io anfordern. Capwork antwortet ohne unangemessene Verzögerung, in der Regel innerhalb von 7 Werktagen. Wendet sich eine betroffene Person direkt an Capwork, leitet Capwork die Anfrage unverzüglich an den Verantwortlichen weiter und antwortet selbst nicht inhaltlich. Aufwand für Unterstützungsleistungen, die über die Standard-Plattformfunktionalität hinausgehen, kann Capwork nach vorheriger Aufwandsabschätzung gegen marktübliches Entgelt abrechnen, soweit die gesetzlichen Mindestpflichten unentgeltlich erfüllt werden.

Capwork информира администратора без неоправдано забавяне след потвърдено узнаване за всяко нарушение на сигурността на личните данни („нарушение на данните“ по смисъла на Art. 4(12) от GDPR), настъпило в обхвата на отговорност на Capwork или на подобработващ. Самите съмнения, изискващи по-нататъшно разследване, както и очевидните фалшиво положителни резултати на автоматизирани системи за сигурност, все още не пораждат задължение за уведомяване. Уведомлението съдържа, доколкото е известно към момента на уведомяването, най-малко:

• eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze;
• den Namen und die Kontaktdaten der Ansprechperson für weitere Informationen;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen.

Die gesetzlichen Meldepflichten gegenüber Aufsichtsbehörden (Art. 33 DSGVO) und gegenüber Betroffenen (Art. 34 DSGVO) verbleiben beim Verantwortlichen; Capwork ist hierzu nicht verpflichtet und nimmt solche Meldungen nicht im Namen des Verantwortlichen vor. Capwork unterstützt den Verantwortlichen bei der Erfüllung dieser Pflichten mit angemessenen technischen und organisatorischen Maßnahmen sowie durch Bereitstellung der erforderlichen Informationen, soweit Capwork hierüber verfügt.

Capwork weist die Einhaltung der Pflichten aus Art. 28 DSGVO vorrangig durch Bereitstellung aktueller Zertifikate und Prüfberichte (insbesondere ISO 27001, ISO 27018 und ISO 27701 von Google Cloud, SOC-2-Type-II-Berichte der Unterauftragsverarbeiter, Vertex AI Data Processing Addendum, PCI-DSS-Berichte von Stripe) sowie durch Beantwortung schriftlicher Datenschutz-Fragebögen nach. Eine Vor-Ort-Prüfung ist nur dann zulässig, wenn diese Nachweise zur Überzeugungsbildung des Verantwortlichen nicht ausreichen.

Vor-Ort-Prüfungen sind höchstens einmal pro Kalenderjahr zulässig, mit angemessener Vorankündigung von mindestens 14 Werktagen, während der üblichen Geschäftszeiten und ohne unangemessene Beeinträchtigung des Geschäftsbetriebs von Capwork. Eine außerordentliche Prüfung ist nur bei einem konkreten datenschutzrechtlichen Anlass — insbesondere einer bestätigten Verletzung des Schutzes personenbezogener Daten in der Sphäre von Capwork — zulässig. Wettbewerber von Capwork sind als Prüfer ausgeschlossen; vor Beginn der Prüfung schließt der Verantwortliche bzw. der von ihm beauftragte Prüfer mit Capwork eine angemessene Vertraulichkeitsvereinbarung ab. Umfang, Zeitpunkt und Vorgehensweise der Prüfung werden zuvor schriftlich abgestimmt.

Die Kosten der Prüfung trägt der Verantwortliche, sofern nicht die Prüfung einen erheblichen Verstoß von Capwork gegen diesen AVV oder die DSGVO ergibt; in diesem Fall trägt Capwork die anfallenden angemessenen Kosten. Aufwand für die Begleitung der Prüfung durch Capwork-Personal über zehn Personenstunden hinaus wird zu marktüblichen Tagessätzen abgerechnet.

Mit Beendigung des Hauptvertrags endet auch dieser AVV. Capwork wird die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder ihm in einem strukturierten, gängigen und maschinenlesbaren Format zurückgeben. Die Wahl ist binnen 30 Tagen nach Vertragsende in Textform (E-Mail an office@capwork.io genügt) zu treffen; trifft der Verantwortliche keine Wahl, gilt die Löschung als gewählt.

Sofern der Verantwortliche keine abweichende Wahl trifft, werden alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen nach Vertragsende gelöscht. Davon ausgenommen sind Backups und Logs, die aufgrund automatischer Aufbewahrungsfristen für maximal weitere 90 Tage bestehen bleiben und in dieser Zeit ausschließlich für Wiederherstellungs- und Sicherheitszwecke zugänglich sind. Die Bereitstellung der Daten in nicht-strukturierten oder kundenspezifischen Exportformaten sowie aufwendige Migrationsleistungen werden nach vorheriger Aufwandsabschätzung gegen marktübliches Entgelt erbracht.

Eine längere Aufbewahrung erfolgt nur, soweit Capwork hierzu nach Unionsrecht oder dem Recht der Mitgliedstaaten, dem Capwork unterliegt, gesetzlich verpflichtet ist (z. B. Aufbewahrungspflichten nach UGB/BAO/GoBD); in diesem Fall werden die Daten gegen weitere Verarbeitung eingeschränkt.

Die Haftung der Parteien gegenüber Betroffenen richtet sich nach Art. 82 DSGVO und bleibt von den nachstehenden Begrenzungen unberührt. Werden die Parteien gesamtschuldnerisch in Anspruch genommen, richtet sich der interne Ausgleich nach Art. 82 Abs. 5 DSGVO entsprechend dem Verschuldensanteil und dem Verantwortungsbeitrag jeder Partei.

Im Innenverhältnis haftet jede Partei der anderen für Schäden aus einer schuldhaften Verletzung dieses AVV oder der DSGVO nach den allgemeinen Bestimmungen des Hauptvertrags und den dort vereinbarten Haftungsobergrenzen, soweit keine speziellere Regelung in diesem AVV greift.

Отговорността на Capwork за лека небрежност е изключена; доколкото това е допустимо от закона, това важи и за обикновена груба небрежност. Общата отговорност на Capwork, произтичаща от или във връзка с този AVV — независимо от правното основание — е ограничена по размер до сумата на възнагражденията, действително платени от администратора през последните 12 месеца преди събитието, породило вредата; тази горна граница съответства на договорената в основния договор граница на отговорност. Отговорността за пропуснати ползи, нереализирани икономии, последващи вреди, косвени вреди, загуба на данни (доколкото не е налице неизпълнение на договорно дължимите Backup мерки) и други имуществени вреди е изключена, доколкото това е допустимо от закона.

Горепосочените ограничения не се прилагат за (a) умисъл и изключително груба небрежност, (b) вреди от увреждане на живота, тялото или здравето, (c) претенции съгласно Закона за отговорността за продукти (PHG) или друго императивно право за отговорност за продукти, както и (d) друга императивна законова отговорност. Претенциите на субектите на данни съгласно Art. 82 от GDPR остават незасегнати; за претенциите за обезщетение и регрес на администратора във вътрешното отношение (Art. 82(5) от GDPR) се прилагат горепосочените ограничения на отговорността, доколкото това е допустимо от закона.

Der Verantwortliche stellt Capwork von Ansprüchen Dritter — einschließlich behördlicher Bußgelder und Kosten zweckmäßiger Rechtsverteidigung — frei, soweit diese auf einer vom Verantwortlichen zu vertretenden Verletzung dieses AVV oder der DSGVO beruhen, insbesondere auf dem Einstellen unzulässiger Daten in die Plattform, fehlenden oder rechtswidrigen Rechtsgrundlagen, rechtswidrigen Weisungen oder mangelhafter Aufklärung der Betroffenen.

Für Ausfälle oder Pflichtverletzungen, die durch höhere Gewalt, Streik, Aussperrung, behördliche Anordnung, kriegerische oder terroristische Handlungen, Pandemien, Internet- und Telekommunikationsausfälle außerhalb des Einflussbereichs von Capwork oder durch nicht von Capwork zu vertretende Handlungen Dritter (insbesondere Distributed-Denial-of-Service-Angriffe, Zero-Day-Schwachstellen vor Verfügbarkeit eines Patches) verursacht werden, haftet Capwork nicht.

KI-Ausgaben werden nach dem Stand der Technik bereitgestellt; Capwork übernimmt keine Gewähr für deren Richtigkeit, Vollständigkeit, Aktualität oder Eignung für einen bestimmten Zweck. Die Verantwortung für die fachliche Plausibilitätsprüfung und die Verwendung der KI-Ausgaben verbleibt beim Verantwortlichen (Ziffer 6 lit. f). Eine Haftung von Capwork für Schäden, die aus der ungeprüften Übernahme oder fehlerhaften Verwendung von KI-Ausgaben durch den Verantwortlichen oder dessen Mitarbeitende resultieren, ist ausgeschlossen, soweit gesetzlich zulässig und keine Ausnahme nach Absatz 4 greift.

Die Beweislast dafür, dass ein Schaden auf einem Pflichtenverstoß von Capwork beruht und nicht auf einer abweichenden Ursache (insbesondere einer Handlung des Verantwortlichen, eines Endkunden, eines Unterauftragsverarbeiters außerhalb der vertraglich geschuldeten Auswahlsorgfalt von Capwork oder einer Ursache nach Absatz 6), trägt der Verantwortliche, soweit gesetzlich zulässig.

Dieser AVV wird unter einer eindeutigen Versionsnummer geführt (siehe „Zuletzt aktualisiert“). Wesentliche Änderungen, die die Rechte oder Pflichten des Verantwortlichen betreffen, werden mit einer Vorankündigung von mindestens 30 Tagen mitgeteilt; in dieser Frist kann der Verantwortliche der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen, mit den unter Ziffer 7 beschriebenen Folgen. Änderungen, die ausschließlich klarstellender Natur sind, gesetzlichen Anpassungen dienen oder die Rechtsposition des Verantwortlichen nicht verschlechtern, kann Capwork ohne Vorankündigung vornehmen.

Dieser AVV ist Bestandteil des Hauptvertrags. Bei Widersprüchen zwischen den Bestimmungen dieses AVV und denen des Hauptvertrags gehen die Bestimmungen dieses AVV in datenschutzrechtlichen Fragen vor; in allen sonstigen Fragen gehen die Bestimmungen des Hauptvertrags vor. Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die dem wirtschaftlichen und rechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt (salvatorische Klausel).

Es gilt das Recht der Republik Österreich unter Ausschluss des UN-Kaufrechts und der Verweisungsnormen des internationalen Privatrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Wien, Österreich, soweit der Verantwortliche Unternehmer im Sinne des UGB ist.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-Mail: office@capwork.io