Auftragsverarbeitungsvertrag (DPA)

Diese Seite ist eine KI-gestützte Übersetzung, die wir zur Orientierung bereitstellen, und kann Fehler enthalten. Verbindlich sind nur die englische Fassung und deren PDF, auch vor Gericht.

Dieser Auftragsverarbeitungsvertrag („AVV“, Data Processing Addendum) ist Bestandteil der unter https://www.zipchat.ai/legal/terms-conditions veröffentlichten Nutzungsbedingungen von Zipchat (der „Vertrag“) zwischen der Zipchat Inc. („Zipchat“) und dem Kunden, der den Vertrag akzeptiert hat (der „Kunde“; Zipchat und der Kunde gemeinsam die „Parteien“).

Dieser AVV ist unter https://www.zipchat.ai/legal/dpa veröffentlicht und gilt automatisch für die Verarbeitung Personenbezogener Daten durch Zipchat im Auftrag des Kunden, und zwar ab dem Tag, an dem der Kunde den Vertrag akzeptiert. Eine Unterschrift ist nicht erforderlich. Ein Kunde, der ein gegengezeichnetes Exemplar benötigt, kann es unter support@zipchat.ai anfordern. Zipchat schließt diesen AVV im eigenen Namen und, soweit die Datenschutzgesetze dies erfordern, im Namen seiner verbundenen Unternehmen ab. Großgeschriebene Begriffe, die in diesem AVV verwendet, aber nicht definiert werden, haben die Bedeutung, die ihnen im Vertrag zugewiesen ist.

1. Begriffsbestimmungen

1.1 „Aggregierte Nutzungskennzahlen“ hat die in Ziffer 6.5 des Vertrags festgelegte Bedeutung.

1.2 „Genehmigter Unterauftragsverarbeiter“ bezeichnet einen Dritten, den Zipchat auf Grundlage der allgemeinen Genehmigung nach Ziffer 6 mit der Verarbeitung Personenbezogener Daten zur Erbringung der Dienste beauftragt.

1.3 „Zipchat-Kontodaten“ bezeichnet personenbezogene Daten, die sich auf die Geschäftsbeziehung zwischen Zipchat und dem Kunden beziehen, einschließlich der Namen und Kontaktdaten der Personen, die der Kunde zum Zugriff auf sein Konto berechtigt hat, sowie der Rechnungsdaten von Personen, die der Kunde mit seinem Konto verknüpft hat.

1.4 „Zipchat-Nutzungsdaten“ bezeichnet Daten über die Nutzung der Dienste, die Zipchat im Zusammenhang mit der Erbringung der Dienste erhebt und verarbeitet, darunter Daten zur Ermittlung von Absender und Empfänger einer Kommunikation, Aktivitätsprotokolle und ähnliche Daten.

1.5 „Data Privacy Framework“ oder „DPF“ bezeichnet, je nach Anwendbarkeit, das EU-U.S. Data Privacy Framework, die UK Extension to the EU-U.S. Data Privacy Framework und das Swiss-U.S. Data Privacy Framework.

1.6 „Betroffene Person“ bezeichnet eine natürliche Person, deren Personenbezogene Daten durch die Datenschutzgesetze geschützt sind. Der Begriff „Betroffene Person“ umfasst auch den Begriff „Consumer“ (Verbraucher) im Sinne der Datenschutzgesetze.

1.7 „Betroffenenanfrage“ bezeichnet eine Anfrage, mit der eine Betroffene Person ihre Rechte an Personenbezogenen Daten nach den Datenschutzgesetzen geltend macht.

1.8 „Endnutzer“ bezeichnet eine natürliche Person, die über die Kanäle des Kunden mit den Diensten interagiert, etwa ein Käufer oder ein Website-Besucher.

1.9 „EU-SCC“ bezeichnet die Standardvertragsklauseln, die die Europäische Kommission mit dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 genehmigt hat, in der jeweils geänderten oder ersetzten Fassung und wie durch Ziffer 9 dieses AVV ergänzt.

1.10 „Übermittlung aus dem EWR“ bezeichnet eine Übermittlung Personenbezogener Daten, die der EU-DSGVO unterliegen, aus dem Europäischen Wirtschaftsraum (der „EWR“) in ein Land oder an einen Empfänger, für das bzw. den kein Angemessenheitsbeschluss der Europäischen Kommission besteht.

1.11 „Übermittlung aus dem Vereinigten Königreich“ bezeichnet eine Übermittlung Personenbezogener Daten, die der UK GDPR unterliegen, aus dem Vereinigten Königreich (das „UK“) in ein Land oder an einen Empfänger, für das bzw. den keine Angemessenheitsregelungen nach der UK GDPR und dem Data Protection Act 2018 bestehen.

1.12 „Personenbezogene Daten“ bezeichnet alle Informationen, die Zipchat vom Kunden oder in dessen Auftrag zur Verfügung gestellt oder von Zipchat im Auftrag des Kunden im Zusammenhang mit den Diensten erhoben werden, die sich auf eine identifizierte oder identifizierbare Betroffene Person beziehen und nach den Datenschutzgesetzen „personenbezogene Daten“, „personal information“ oder einen gleichwertigen Begriff darstellen. Zipchat-Kontodaten, Zipchat-Nutzungsdaten und Aggregierte Nutzungskennzahlen sind keine Personenbezogenen Daten.

1.13 „Datenschutzgesetze“ bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung Personenbezogener Daten im Rahmen des Vertrags anwendbar sind, soweit anwendbar einschließlich: (i) der Verordnung (EU) 2016/679 (die „EU-DSGVO“) sowie der EU-DSGVO in der Form, in der sie nach Section 3 des European Union (Withdrawal) Act 2018 Teil des Rechts von England und Wales, Schottland und Nordirland ist (die „UK GDPR“; EU-DSGVO und UK GDPR gemeinsam die „DSGVO“); (ii) des Schweizer Bundesgesetzes über den Datenschutz vom 25. September 2020 (Datenschutzgesetz, DSG; das „FADP“); (iii) des UK Data Protection Act 2018; (iv) der Privacy and Electronic Communications (EC Directive) Regulations 2003; und (v) der umfassenden Datenschutzgesetze der US-Bundesstaaten, etwa des California Consumer Privacy Act in der durch den California Privacy Rights Act of 2020 geänderten Fassung (der „CCPA“); jeweils in der geltenden, gegebenenfalls geänderten oder ersetzten Fassung. Die Begriffe „Geschäftszweck“ (business purpose), „Verantwortlicher“, „Verletzung des Schutzes personenbezogener Daten“, „Auftragsverarbeiter“, „verarbeiten“ oder „Verarbeitung“, „verkaufen“ (sell), „weitergeben“ (share) und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen oder gleichwertigen Begriffen in den Datenschutzgesetzen zugewiesen ist. „Verantwortlicher“ umfasst „Business“ und „Auftragsverarbeiter“ umfasst „Service Provider“ im Sinne des CCPA.

1.14 „Standardvertragsklauseln“ bezeichnet, je nach Anwendbarkeit, die EU-SCC und die UK-SCC.

1.15 „Liste der Unterauftragsverarbeiter“ bezeichnet die unter https://www.zipchat.ai/legal/subprocessors veröffentlichte Liste der Genehmigten Unterauftragsverarbeiter von Zipchat in ihrer nach Ziffer 6 jeweils aktualisierten Fassung.

1.16 „UK Addendum“ bezeichnet das vom UK Information Commissioner nach Section 119A des Data Protection Act 2018 herausgegebene International Data Transfer Addendum zu den EU-SCC in der jeweils geänderten Fassung und wie durch Anlage D ergänzt.

1.17 „UK-SCC“ bezeichnet die EU-SCC in der durch das UK Addendum geänderten Fassung.

2. Rolle der Parteien; Beschreibung der Verarbeitung

2.1 In Bezug auf Personenbezogene Daten ist der Kunde Verantwortlicher und Zipchat Auftragsverarbeiter; ist der Kunde seinerseits Auftragsverarbeiter eines dritten Verantwortlichen, ist Zipchat Unterauftragsverarbeiter. Die Verarbeitung von Zipchat-Kontodaten und Zipchat-Nutzungsdaten durch Zipchat als Verantwortlicher richtet sich nach Ziffer 13.

2.2 Zipchat verarbeitet Personenbezogene Daten ausschließlich: (i) zu den im Vertrag festgelegten Zwecken; (ii) auf dokumentierte Weisung des Kunden, wozu der Vertrag, dieser AVV sowie die Konfiguration und Nutzung der Dienste durch den Kunden gehören; und (iii) soweit die Datenschutzgesetze oder eine Aufsichtsbehörde dies verlangen, wobei Zipchat dem Kunden diese rechtliche Anforderung vor der Verarbeitung mitteilt, sofern das Gesetz eine solche Mitteilung nicht verbietet. Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Arten Personenbezogener Daten und die Kategorien Betroffener Personen sind in Anlage A beschrieben.

2.3 Personenbezogene Daten werden in den Vereinigten Staaten gespeichert, sofern nicht schriftlich etwas anderes vereinbart ist.

3. Pflichten des Kunden

3.1 Der Kunde verarbeitet Personenbezogene Daten bei seiner Nutzung der Dienste im Einklang mit den Datenschutzgesetzen, erteilt seine Weisungen zu ihrer Verarbeitung im Einklang mit diesen und stellt sicher, dass Zipchat durch eine weisungsgemäße Verarbeitung nicht gegen Datenschutzgesetze verstößt. Der Kunde ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit der Personenbezogenen Daten, die Zipchat vom Kunden oder in dessen Auftrag zur Verfügung gestellt werden, für die Art und Weise, wie der Kunde sie erlangt hat, für die Weisungen, die er Zipchat erteilt, sowie für alle Informationen, die er seinen Endnutzern geben muss, und alle Einwilligungen, die er von ihnen einholen muss.

3.2 Der Kunde stellt Zipchat keine Personenbezogenen Daten zur Verfügung und macht ihm keine zugänglich, die gegen den Vertrag verstoßen, einschließlich der in Ziffer 5.2 des Vertrags beschriebenen Daten, oder die für die Art der Dienste anderweitig ungeeignet sind, und stellt Zipchat von allen Ansprüchen und Schäden frei, die sich aus solchen Daten ergeben.

3.3 Zipchat informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Zipchat gegen Datenschutzgesetze oder gegen eine Anordnung einer Aufsichtsbehörde verstößt.

4. Verwendung Personenbezogener Daten

4.1 Zipchat wird Personenbezogene Daten nicht: (i) verkaufen oder weitergeben (sell oder share); (ii) außerhalb der unmittelbaren Geschäftsbeziehung mit dem Kunden oder zu einem anderen Zweck speichern, verwenden oder offenlegen als zu einem Geschäftszweck im Sinne des CCPA im Auftrag des Kunden oder soweit dies zur Erbringung der Dienste für den Kunden nach dem Vertrag erforderlich ist, sofern der Vertrag oder die Datenschutzgesetze nichts anderes erlauben; oder (iii) Personenbezogene Daten, die Zipchat vom Kunden oder in dessen Auftrag erhalten hat, mit personenbezogenen Daten zusammenführen, die Zipchat von einer anderen Person oder in deren Auftrag erhalten hat, es sei denn, dies ist zur Erbringung der Dienste erforderlich oder vom Kunden angewiesen.

4.2 Kein Training ohne Genehmigung des Kunden. Zipchat verwendet weder Personenbezogene Daten, einschließlich Gesprächen von Endnutzern, noch daraus erzeugte KI-Ausgaben, um ein KI-Modell zu trainieren oder zu verfeinern (Fine-Tuning), weder eigene Modelle von Zipchat noch Modelle Dritter. Möchte Zipchat dies künftig tun, holt Zipchat zuvor per E-Mail oder im Produkt die Genehmigung des Kunden ein und erläutert, welche Daten zu welchem Zweck verwendet würden. Der Kunde kann zustimmen oder ablehnen. Ohne ausdrückliche Zustimmung des Kunden ändert sich nichts: Schweigen oder die fortgesetzte Nutzung der Dienste gelten nicht als Zustimmung. Der Kunde kann eine erteilte Zustimmung jederzeit mit Wirkung für die Zukunft widerrufen. Eine Änderung des Vertrags oder dieses AVV kann diese Zusage weder aufheben noch einschränken. Die KI-Unterauftragsverarbeiter von Zipchat verarbeiten Personenbezogene Daten nur, um ihre Leistung gegenüber Zipchat zu erbringen, und zwar auf Grundlage von Verträgen, die ihnen das Training ihrer Modelle mit diesen Daten untersagen. Einige können begrenzte Daten für einen gewissen Zeitraum zur Systemüberwachung (Observability) oder zur Missbrauchserkennung speichern. Die Verarbeitung Personenbezogener Daten zur Erbringung der Dienste für den Kunden, etwa die Indexierung der eigenen Inhalte des Kunden oder das Gesprächsgedächtnis für wiederkehrende Endnutzer des Kunden, gilt nicht als Training.

4.3 Aggregierte Nutzungskennzahlen. Zipchat kann Aggregierte Nutzungskennzahlen erstellen, wie in Ziffer 6.5 des Vertrags beschrieben. Sie werden über mehrere Kunden oder über viele Gespräche hinweg zusammengefasst, lassen weder den Kunden noch eine Betroffene Person noch eine andere Person erkennen, sind keine Personenbezogenen Daten und werden nie zum Training oder Fine-Tuning von KI-Modellen verwendet.

4.4 Trennung. Zipchat hält die Personenbezogenen Daten jedes Kunden logisch getrennt, sodass sie nicht in den Gesprächen eines anderen Kunden offengelegt werden.

5. Audit

5.1 Zipchat führt Aufzeichnungen, die ausreichen, um die Einhaltung dieses AVV nachzuweisen. Auf schriftliche Anfrage des Kunden in angemessenen Abständen und vorbehaltlich angemessener Vertraulichkeitsvorkehrungen wird Zipchat entweder (i) die Informationen und Unterlagen zur Verfügung stellen, die zum Nachweis der Einhaltung dieses AVV vernünftigerweise erforderlich sind, etwa eine Beschreibung der technischen und organisatorischen Maßnahmen und eine Zusammenfassung der Ergebnisse des letzten Penetrationstests; oder (ii) sofern die Informationen nach (i) nach den Datenschutzgesetzen nicht ausreichen, einem vom Kunden bestellten unabhängigen externen Prüfer gestatten, die Infrastruktur und Verfahren von Zipchat zur Datensicherheit zu prüfen, soweit dies zum Nachweis der Einhaltung der Datenschutzgesetze erforderlich ist, vorausgesetzt, dass: (a) der Kunde das Audit mit angemessener Frist vorab schriftlich ankündigt und das Audit den Geschäftsbetrieb von Zipchat nicht unangemessen stört; (b) das Audit während der Geschäftszeiten und höchstens einmal pro Kalenderjahr stattfindet, sofern nicht eine Aufsichtsbehörde etwas anderes verlangt oder eine Verletzung des Schutzes personenbezogener Daten vorausgegangen ist, die Personenbezogene Daten des Kunden betrifft; und (c) das Audit auf die für den Kunden relevanten Daten beschränkt ist. Der Kunde trägt die Kosten jedes Audits, einschließlich der Vergütung des Zeitaufwands von Zipchat bei Vor-Ort-Audits. Soweit die Standardvertragsklauseln nach Ziffer 9 Anwendung finden, werden die in Klausel 8.9 der EU-SCC beschriebenen Audits gemäß dieser Ziffer 5.1 durchgeführt.

5.2 Soweit nach den Datenschutzgesetzen zulässig, kann der Kunde, wenn er feststellt, dass Zipchat Personenbezogene Daten unbefugt verarbeitet, nach schriftlicher Mitteilung und unter Berücksichtigung der Art der Verarbeitung wirtschaftlich angemessene und geeignete Maßnahmen ergreifen, um die unbefugte Verarbeitung zu beenden und ihre Folgen zu beheben.

6. Genehmigte Unterauftragsverarbeiter

6.1 Allgemeine Genehmigung. Der Kunde erteilt Zipchat die allgemeine schriftliche Genehmigung, seine verbundenen Unternehmen und die in der Liste der Unterauftragsverarbeiter aufgeführten Genehmigten Unterauftragsverarbeiter sowie nach dieser Ziffer 6 weitere Unterauftragsverarbeiter mit der Verarbeitung Personenbezogener Daten zu beauftragen, soweit dies zur Erbringung der Dienste erforderlich ist.

6.2 Liste der Unterauftragsverarbeiter. Die aktuelle Liste der Unterauftragsverarbeiter ist unter https://www.zipchat.ai/legal/subprocessors veröffentlicht. Sie gibt für jeden Genehmigten Unterauftragsverarbeiter an, was er wo verarbeitet und ob er stets eingesetzt wird oder nur, wenn der Kunde eine Funktion aktiviert oder einen Kanal verbindet. Zipchat kann Genehmigte Unterauftragsverarbeiter hinzufügen, austauschen oder entfernen, indem Zipchat die Liste der Unterauftragsverarbeiter aktualisiert, ohne dass der Vertrag oder dieser AVV geändert werden muss. Anlage B gibt die Liste zum Datum dieser Fassung zur Information wieder; maßgeblich ist die veröffentlichte Liste der Unterauftragsverarbeiter.

6.3 Mitteilung. Mindestens zehn (10) Tage, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung Personenbezogener Daten beginnt, nimmt Zipchat ihn in die Liste der Unterauftragsverarbeiter auf und benachrichtigt den Kunden per E-Mail an die im Konto des Kunden hinterlegte Adresse. Ist aus Gründen der Sicherheit oder der Aufrechterhaltung der Dienste ein dringender Austausch erforderlich, informiert Zipchat so bald wie vernünftigerweise möglich. Der Kunde kann außerdem verlangen, über jede Aktualisierung der Liste der Unterauftragsverarbeiter benachrichtigt zu werden, indem er an support@zipchat.ai schreibt.

6.4 Widerspruch. Der Kunde kann einem neuen Unterauftragsverarbeiter aus begründeten Datenschutzerwägungen innerhalb von zehn (10) Tagen nach der Mitteilung durch eine Nachricht an support@zipchat.ai widersprechen. Widerspricht der Kunde nicht innerhalb dieser Frist, wird der Unterauftragsverarbeiter zu einem Genehmigten Unterauftragsverarbeiter. Die Parteien erörtern den Widerspruch nach Treu und Glauben. Kann Zipchat nicht innerhalb angemessener Zeit eine wirtschaftlich zumutbare Alternative anbieten, besteht der einzige Rechtsbehelf des Kunden darin, die Nutzung des betroffenen Teils der Dienste einzustellen oder den Vertrag nach dessen Bestimmungen zu kündigen. Der Kunde erkennt an, dass einige Unterauftragsverarbeiter für die Dienste unverzichtbar sind. Eine Kündigung nach dieser Ziffer entbindet den Kunden nicht von den nach dem Vertrag geschuldeten Entgelten; Erstattungen richten sich nach Ziffer 4.6 des Vertrags.

6.5 Funktionen und Kanäle. Einige Genehmigte Unterauftragsverarbeiter verarbeiten Personenbezogene Daten nur, wenn der Kunde eine Funktion aktiviert oder einen Kanal verbindet, wie in der Liste der Unterauftragsverarbeiter angegeben. Mit der Aktivierung dieser Funktion oder der Verbindung dieses Kanals weist der Kunde Zipchat an, den entsprechenden Genehmigten Unterauftragsverarbeiter einzusetzen.

6.6 Pflichten. Zipchat schließt mit jedem Genehmigten Unterauftragsverarbeiter eine schriftliche Vereinbarung, die ihm Datenschutzpflichten auferlegt, die nicht weniger schützen als die Pflichten, die Zipchat nach diesem AVV auferlegt sind. Zipchat haftet gegenüber dem Kunden nach Maßgabe des Vertrags für die Erfüllung der Pflichten jedes Genehmigten Unterauftragsverarbeiters.

6.7 Soweit die Standardvertragsklauseln nach Ziffer 9 Anwendung finden: (i) gelten die Genehmigungen in dieser Ziffer 6 als vorherige schriftliche Genehmigung des Kunden für die Unterbeauftragung nach Klausel 9 der EU-SCC; und (ii) werden Kopien der Verträge mit Unterauftragsverarbeitern, die Zipchat nach Klausel 9 Buchstabe c der EU-SCC vorlegen muss, nur auf Anfrage des Kunden zur Verfügung gestellt, wobei Zipchat zuvor geschäftliche Informationen und Informationen ohne Bezug zu den Standardvertragsklauseln entfernen kann.

7. Vertraulichkeit; Sicherheit Personenbezogener Daten

7.1 Zipchat stellt sicher, dass jede Person, die Zipchat zur Verarbeitung Personenbezogener Daten befugt, einer angemessenen Verschwiegenheitspflicht unterliegt. Zipchat kann Personenbezogene Daten gegenüber seinen Beratern, Prüfern oder anderen Dritten offenlegen, soweit dies zur Erfüllung seiner Pflichten nach den Datenschutzgesetzen, diesem AVV oder dem Vertrag oder zur Erbringung der Dienste für den Kunden vernünftigerweise erforderlich ist, vorausgesetzt, diese unterliegen gleichwertigen Vertraulichkeitspflichten.

7.2 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen trifft Zipchat geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Anlage C beschrieben. Zipchat kann diese Maßnahmen aktualisieren, sofern die Aktualisierungen das Gesamtschutzniveau nicht wesentlich verringern. Keine Übertragungs- oder Speichermethode ist vollkommen sicher, und Zipchat garantiert keine absolute Sicherheit.

8. Verletzung des Schutzes personenbezogener Daten

8.1 Zipchat informiert den Kunden unverzüglich, nachdem Zipchat eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Personenbezogene Daten des Kunden betrifft, und ergreift die Maßnahmen, die Zipchat vernünftigerweise für erforderlich hält, um die Verletzung einzudämmen und zu beheben, soweit die Behebung im zumutbaren Einflussbereich von Zipchat liegt. Die Mitteilung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der Betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

8.2 Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen leistet Zipchat dem Kunden angemessene Mitwirkung und Unterstützung, damit der Kunde seine Pflichten nach den Datenschutzgesetzen zur Meldung an die zuständige Aufsichtsbehörde und zur Benachrichtigung der Betroffenen Personen erfüllen kann.

8.3 Die Ziffern 8.1 und 8.2 gelten nicht für eine Verletzung des Schutzes personenbezogener Daten, die durch Handlungen oder Unterlassungen des Kunden oder seiner Nutzer verursacht wurde. Die Mitteilung einer Verletzung des Schutzes personenbezogener Daten durch Zipchat oder die Reaktion von Zipchat darauf stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

9. Übermittlung Personenbezogener Daten

9.1 Der Kunde erkennt an, dass die wesentlichen Verarbeitungsvorgänge von Zipchat und die Verarbeitung Personenbezogener Daten durch die Genehmigten Unterauftragsverarbeiter in den Vereinigten Staaten stattfinden und dass die Übermittlung Personenbezogener Daten in die Vereinigten Staaten zur Erbringung der Dienste erforderlich ist. Zipchat darf Personenbezogene Daten, soweit zur Erbringung der Dienste erforderlich, mit den nach den Datenschutzgesetzen vorgeschriebenen Garantien in Länder außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz übermitteln.

9.2 Data Privacy Framework. Die Zipchat Inc. ist unter dem EU-U.S. Data Privacy Framework, der UK Extension to the EU-U.S. Data Privacy Framework und dem Swiss-U.S. Data Privacy Framework zertifiziert. Ihre Zertifizierung ist unter https://www.dataprivacyframework.gov/list aufgeführt. Übermittlungen Personenbezogener Daten aus dem EWR an Zipchat sind daher durch den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework vom 10. Juli 2023 abgedeckt, Übermittlungen aus dem Vereinigten Königreich und der Schweiz durch die entsprechenden britischen und schweizerischen Angemessenheitsfeststellungen zum DPF. Für diese Übermittlungen sind Standardvertragsklauseln und eine Datentransfer-Folgenabschätzung nicht erforderlich. Zipchat benachrichtigt den Kunden, wenn Zipchat seine Pflichten nach den DPF Principles nicht mehr erfüllen kann.

9.3 Rückfallmechanismus. Die Standardvertragsklauseln sind durch Verweis Bestandteil dieses AVV und gelten für eine Übermittlung aus dem EWR, eine Übermittlung aus dem Vereinigten Königreich oder eine Übermittlung aus der Schweiz nur: (a) wenn das Data Privacy Framework für diese Übermittlung kein gültiger Übermittlungsmechanismus mehr ist oder die Zertifizierung von Zipchat erlischt; oder (b) wenn der Kunde schriftlich verlangt, dass sie als zusätzliche Garantie gelten. Soweit sie gelten, werden sie wie folgt ergänzt:

(a) Modul Zwei (Übermittlung von Verantwortlichen an Auftragsverarbeiter) gilt, wenn der Kunde Verantwortlicher und Zipchat Auftragsverarbeiter ist; Modul Drei (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter) gilt, wenn der Kunde Auftragsverarbeiter und Zipchat Unterauftragsverarbeiter ist; und Modul Eins (Übermittlung von Verantwortlichen an Verantwortliche) gilt für Zipchat-Kontodaten und Zipchat-Nutzungsdaten, die Zipchat nach Ziffer 13 als Verantwortlicher verarbeitet.

(b) Die fakultative Kopplungsklausel in Klausel 7 findet keine Anwendung.

(c) In Klausel 9 gilt Option 2 (allgemeine schriftliche Genehmigung), und die Frist für die vorherige Mitteilung über Änderungen bei Unterauftragsverarbeitern ist die in Ziffer 6.3 festgelegte Frist.

(d) In Klausel 11 findet die fakultative Formulierung keine Anwendung.

(e) In Klausel 13 bestimmt sich die zuständige Aufsichtsbehörde nach Anlage B.

(f) In Klausel 17 (Option 1) unterliegen die EU-SCC dem Recht Irlands, und nach Klausel 18 Buchstabe b werden Streitigkeiten vor den Gerichten Irlands beigelegt.

(g) Anhang I wird durch die Anlagen A und B ergänzt, Anhang II durch Anlage C und Anhang III durch die Liste der Unterauftragsverarbeiter.

(h) Mit der Annahme des Vertrags gelten die EU-SCC einschließlich ihrer Anhänge als von den Parteien zu dem Datum unterzeichnet, an dem der Kunde den Vertrag akzeptiert hat.

9.4 Übermittlungen aus dem Vereinigten Königreich. Findet Ziffer 9.3 auf eine Übermittlung aus dem Vereinigten Königreich Anwendung, gelten die UK-SCC, ergänzt wie in Anlage D festgelegt. Das UK Addendum unterliegt dem Recht von England und Wales, und Streitigkeiten daraus werden von den Gerichten von England und Wales entschieden.

9.5 Übermittlungen aus der Schweiz. Findet Ziffer 9.3 auf eine dem FADP unterliegende Übermittlung Anwendung, gelten die EU-SCC mit folgenden Änderungen: (a) Verweise auf die DSGVO umfassen für diese Übermittlungen auch das FADP; (b) der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die zuständige Aufsichtsbehörde für Übermittlungen, die dem FADP unterliegen; und (c) der Begriff „Mitgliedstaat“ hindert Betroffene Personen in der Schweiz nicht daran, Ansprüche an ihrem gewöhnlichen Aufenthaltsort nach Klausel 18 Buchstabe c geltend zu machen.

9.6 Zugriffsersuchen von Behörden. Für jede Übermittlung auf Grundlage der Standardvertragsklauseln gilt: (a) Zum Datum dieser Fassung hat Zipchat kein rechtsverbindliches Ersuchen eines staatlichen Nachrichten- oder Sicherheitsdienstes auf Zugriff auf Personenbezogene Daten des Kunden erhalten; (b) erhält Zipchat von einer Behörde ein Ersuchen um Personenbezogene Daten, versucht Zipchat, die Behörde an den Kunden zu verweisen, und darf ihr zu diesem Zweck die grundlegenden Kontaktdaten des Kunden mitteilen; ist Zipchat zur Offenlegung Personenbezogener Daten verpflichtet, benachrichtigt Zipchat den Kunden, soweit rechtlich zulässig, und wirkt in angemessenem Umfang mit, damit der Kunde eine Schutzanordnung oder einen anderen Rechtsbehelf erwirken kann; (c) Zipchat legt Personenbezogene Daten gegenüber Strafverfolgungs- oder anderen Behörden nicht freiwillig offen; und (d) wird ein Übermittlungsmechanismus ungültig oder verlangt eine Aufsichtsbehörde die Aussetzung von Übermittlungen, vereinbaren die Parteien einen alternativen Mechanismus, der den Datenschutzgesetzen entspricht.

10. Datenschutz-Folgenabschätzungen

10.1 Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen wirkt Zipchat in angemessenem Umfang an jeder nach den Datenschutzgesetzen erforderlichen Datenschutz-Folgenabschätzung oder vorherigen Konsultation des Kunden mit, unter anderem durch die Bereitstellung von Informationen, die der Kunde anderweitig nicht erhalten kann. Jede Partei bleibt für die Maßnahmen verantwortlich, die ihr nach den Datenschutzgesetzen obliegen.

11. Betroffenenanfragen

11.1 Soweit nach den Datenschutzgesetzen zulässig, benachrichtigt Zipchat den Kunden, wenn Zipchat eine Betroffenenanfrage zu Personenbezogenen Daten erhält, und weist die Betroffene Person darauf hin, die Anfrage an den Kunden zu richten. Die Beantwortung von Betroffenenanfragen obliegt dem Kunden, unter anderem mithilfe der Funktionen der Dienste, etwa durch Löschen oder Exportieren von Gesprächsdaten.

11.2 Auf Verlangen des Kunden und unter Berücksichtigung der Art der Verarbeitung unterstützt Zipchat den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung einer Betroffenenanfrage, sofern der Kunde ohne die Unterstützung von Zipchat nicht antworten kann und Zipchat dies rechtmäßig tun darf. Soweit rechtlich zulässig, trägt der Kunde die angemessenen Kosten dieser Unterstützung.

12. Speicherung, Rückgabe und Löschung Personenbezogener Daten

12.1 Während des Abonnements. Zipchat speichert Personenbezogene Daten, einschließlich Gesprächsdaten, solange das Abonnement des Kunden aktiv ist, damit der Kunde darauf zugreifen und der KI-Agent sich an wiederkehrende Endnutzer erinnern kann. Solange das Abonnement aktiv ist, werden Gespräche nicht automatisch gelöscht. Der Kunde kann den Gesprächsverlauf jederzeit löschen und bei support@zipchat.ai die automatische Löschung nach einem vom Kunden gewählten Zeitraum beantragen; Zipchat setzt dies innerhalb angemessener Zeit um.

12.2 Export. Der Kunde kann Gesprächsdaten ohne Zusatzkosten über die Zipchat API exportieren, solange sein Konto aktiv ist, sowie in den 90 Tagen nach Vertragsbeendigung bis zur Löschung der Daten, und zwar über die API oder über support@zipchat.ai.

12.3 Nach Vertragsbeendigung. Zipchat löscht Personenbezogene Daten innerhalb von 90 Tagen nach Kündigung oder Ablauf des Vertrags, vorbehaltlich der Backup-Zyklen, es sei denn, eine weitere Speicherung ist gesetzlich vorgeschrieben oder für Abrechnungs-, Steuer- oder Rechtsunterlagen erforderlich. Personenbezogene Daten, die Zipchat aufgrund dieser Ausnahme aufbewahrt, bleiben durch diesen AVV geschützt und werden nur weiterverarbeitet, soweit das Gesetz es verlangt.

12.4 Soweit die Standardvertragsklauseln Anwendung finden, wird die in Klausel 8.1 Buchstabe d und Klausel 8.5 der EU-SCC beschriebene Bescheinigung über die Löschung auf Anfrage des Kunden ausgestellt.

13. Zipchat als Verantwortlicher

13.1 Für Zipchat-Kontodaten und Zipchat-Nutzungsdaten ist Zipchat eigenständiger Verantwortlicher und nicht gemeinsam mit dem Kunden Verantwortlicher. Zipchat verarbeitet diese Daten: (i) zur Pflege der Geschäftsbeziehung mit dem Kunden; (ii) zur Durchführung seiner wesentlichen Geschäftsabläufe, etwa Buchhaltung, Prüfungen, Steuern und Compliance; (iii) zur Überwachung, Untersuchung, Verhinderung und Erkennung von Betrug, Sicherheitsvorfällen und Missbrauch der Dienste; (iv) zur Identitätsprüfung; (v) zur Erfüllung seiner rechtlichen Pflichten; (vi) zur Bereitstellung, Sicherung, Wartung und Verbesserung der Dienste, einschließlich der Erstellung Aggregierter Nutzungskennzahlen; und (vii) soweit anderweitig nach den Datenschutzgesetzen, dem Vertrag und diesem AVV zulässig. Zipchat verwendet in diesen Daten enthaltene Gesprächsinhalte nicht zum Training oder Fine-Tuning von KI-Modellen. Diese Verarbeitung ist in der Datenschutzerklärung von Zipchat unter https://www.zipchat.ai/legal/privacy-policy beschrieben.

14. Änderungen dieses AVV

14.1 Zipchat kann diesen AVV aktualisieren, etwa um Änderungen der Datenschutzgesetze, der Übermittlungsmechanismen oder der Dienste Rechnung zu tragen, indem Zipchat die aktualisierte Fassung auf seiner Website veröffentlicht. Änderungen, die den Schutz des Kunden wesentlich verringern, werden 30 Tage nach der Benachrichtigung des Kunden per E-Mail wirksam, sofern die Datenschutzgesetze nicht ein früheres Wirksamwerden verlangen. Änderungen der Liste der Unterauftragsverarbeiter richten sich nach Ziffer 6, nicht nach dieser Ziffer. Keine Aktualisierung darf die Zusage in Ziffer 4.2 aufheben oder einschränken.

15. Sonstiges

15.1 Bei Widersprüchen gilt folgende Rangfolge: (1) die Standardvertragsklauseln, soweit sie nach Ziffer 9 Anwendung finden; (2) dieser AVV; (3) die Datenschutzerklärung von Zipchat, soweit es um die Verarbeitung personenbezogener Daten geht, im Einklang mit Ziffer 6.4(d) des Vertrags; und (4) der Vertrag.

15.2 Für alle Ansprüche im Zusammenhang mit diesem AVV gilt der Vertrag, einschließlich des darin bestimmten anwendbaren Rechts und der darin vorgesehenen Haftungsausschlüsse und Haftungsbeschränkungen, sofern die Standardvertragsklauseln nichts anderes vorsehen.

15.3 Mitteilungen an Zipchat nach diesem AVV sind an support@zipchat.ai zu senden. Mitteilungen an den Kunden werden an die im Konto des Kunden hinterlegte E-Mail-Adresse gesendet.

15.4 Dieser AVV ist in englischer Sprache verfasst. Jede Übersetzung, einschließlich KI-gestützter Übersetzungen auf der Website von Zipchat, dient lediglich der Information und kann Fehler enthalten. Allein die englische Fassung ist verbindlich und geht bei Widersprüchen vor, auch in Streitigkeiten, Schiedsverfahren und Gerichtsverfahren.

Anlage A: Einzelheiten der Verarbeitung

Gegenstand. Die Erbringung der Dienste nach dem Vertrag: ein KI-Agent für den E-Commerce, der den Endnutzern des Kunden auf den vom Kunden verbundenen Kanälen antwortet und sie unterstützt, etwa im Website-Chat, in der Suche, auf Produktseiten, per E-Mail, über WhatsApp, Instagram, Messenger und, sofern aktiviert, im Sprachkanal.

Art der Verarbeitung. Erheben, Erfassen und Abfragen; Speichern und Ordnen; Auswerten und Einsehen, einschließlich der Erzeugung von KI-Antworten; Indexieren der Inhalte des Kunden; Aktualisieren und Berichtigen; Schützen, einschließlich Verschlüsseln und Einschränken; Offenlegen gegenüber Genehmigten Unterauftragsverarbeitern und den vom Kunden verbundenen Tools; Rückgabe an den Kunden oder an Betroffene Personen; und Löschen.

Zweck. Bereitstellung, Wartung, Sicherung und Betreuung der Dienste für den Kunden nach dem Vertrag und den Weisungen des Kunden. Personenbezogene Daten werden ohne Genehmigung des Kunden nicht zum Training oder Fine-Tuning von KI-Modellen verwendet (Ziffer 4.2).

Dauer. Für die Laufzeit des Vertrags und wie in Ziffer 12 festgelegt: Personenbezogene Daten werden gespeichert, solange das Abonnement aktiv ist, sofern der Kunde sie nicht löscht oder die automatische Löschung aktiviert, und innerhalb von 90 Tagen nach Vertragsbeendigung gelöscht, vorbehaltlich der Backup-Zyklen und der Ausnahmen in Ziffer 12.3.

Kategorien Betroffener Personen. Endnutzer des Kunden (Käufer und Website-Besucher, die mit den Diensten interagieren) sowie Mitarbeiter des Kunden und berechtigte Nutzer der Dienste.

Kategorien Personenbezogener Daten.

• Kontaktdaten, etwa Name, E-Mail-Adresse und Telefonnummer.

• Messaging-Kennungen, etwa WhatsApp-Telefonnummern sowie Instagram- und Messenger-Profil-IDs, sofern der Kunde diese Kanäle verbindet.

• Gesprächsinhalte: Chatnachrichten, E-Mails, Anfragen und Supportanfragen sowie Medien, die Endnutzer senden, etwa Bilder und Sprachnachrichten.

• Bestell- und Kaufinformationen aus den verbundenen Plattformen des Kunden, etwa Bestellnummern, Bestellstatus und Bestellhistorie.

• Informationen, die von benutzerdefinierten Tools oder Skills zurückgegeben werden, die der Kunde konfiguriert, und die Bestell- und Kundendaten enthalten können.

• Technische Daten, etwa IP-Adresse, ungefährer Standort sowie Browser- und Geräteinformationen, einschließlich Signalen für die Bot-Erkennung, sofern der Kunde den Bot-Schutz aktiviert.

• Für die Nutzer des Kunden: Name, E-Mail-Adresse, Rolle und Kontoaktivität.

Besondere Kategorien von Daten. Zipchat fragt Endnutzer nie nach besonderen Kategorien personenbezogener Daten. Ein Endnutzer kann solche Daten von sich aus mitteilen, zum Beispiel eine Schwangerschaft oder eine Allergie, wenn er nach einem Produkt fragt, weil eine sichere und passende Antwort davon abhängt. Zipchat schwärzt diese Daten bewusst nicht automatisch: Würden sie entfernt, bevor das KI-Modell sie sieht, wäre die Antwort schlechter oder sogar gefährlich. Sie werden nur verarbeitet, um diesem Endnutzer zu antworten, nur an die KI-Unterauftragsverarbeiter aus der Liste der Unterauftragsverarbeiter übermittelt, die alle in den Vereinigten Staaten sitzen, bei der Übertragung und im Ruhezustand verschlüsselt, nie zum Training von KI-Modellen verwendet und aus den Anwendungsprotokollen von Zipchat herausgefiltert. Der Kunde kann das Gespräch jederzeit löschen. Der Kunde darf die Dienste weder dazu nutzen, gezielt besondere Kategorien von Daten zu erheben, noch dazu, die nach Ziffer 5.2 des Vertrags ausgeschlossenen Daten zu erheben.

Häufigkeit. Fortlaufend, solange der Kunde die Dienste nutzt.

Anlage B: Parteien, Beschreibung der Übermittlung und Unterauftragsverarbeiter

Diese Anlage enthält die Angaben, die nach den Anhängen I und III der EU-SCC sowie nach Tabelle 1 und den Anhängen 1A und 1B des UK Addendum erforderlich sind, soweit diese nach Ziffer 9 Anwendung finden.

1. Die Parteien

Datenexporteur: der Kunde, wie in seinem Zipchat-Konto angegeben. Kontaktdaten: die im Konto des Kunden hinterlegten. Für die Übermittlung relevante Tätigkeiten: Nutzung der Dienste nach dem Vertrag. Rolle: Verantwortlicher oder Auftragsverarbeiter, wie in Ziffer 2 festgelegt. Unterschrift und Datum: Mit der Annahme des Vertrags gilt die Unterschrift des Kunden als zum Datum der Annahme geleistet.

Datenimporteur: Zipchat Inc., 407 E Ayre St #1207, Wilmington, Delaware DE 19804, Vereinigte Staaten. Kontakt: support@zipchat.ai. Für die Übermittlung relevante Tätigkeiten: Erbringung der Dienste nach dem Vertrag. Rolle: Auftragsverarbeiter (oder Unterauftragsverarbeiter) sowie Verantwortlicher für Zipchat-Kontodaten und Zipchat-Nutzungsdaten nach Ziffer 13. Unterschrift und Datum: Mit der Erbringung der Dienste nach dem Vertrag gilt die Unterschrift von Zipchat als zu dem Datum geleistet, an dem der Kunde den Vertrag akzeptiert hat.

2. Beschreibung der Übermittlung

3. Zuständige Aufsichtsbehörde

Die Aufsichtsbehörde des Datenexporteurs, bestimmt nach Klausel 13 der EU-SCC. Hat der Datenexporteur keine Niederlassung im EWR und einen Vertreter benannt, die Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter niedergelassen ist. Für das UK Addendum der UK Information Commissioner. Für Übermittlungen, die dem FADP unterliegen, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

4. Genehmigte Unterauftragsverarbeiter

Maßgeblich ist die Liste der Unterauftragsverarbeiter unter https://www.zipchat.ai/legal/subprocessors in ihrer jeweils aktuellen Fassung; sie kann nach Ziffer 6 aktualisiert werden. Zum Datum dieser Fassung (12. November 2026) umfasst sie die folgenden Unterauftragsverarbeiter. Alle verarbeiten Daten in den Vereinigten Staaten.

Für jeden Kunden eingesetzt

Eingesetzt, wenn eine Funktion genutzt wird

Anlage C: Technische und organisatorische Maßnahmen

Diese Anlage enthält die Angaben, die nach Anhang II der EU-SCC und Anhang II des UK Addendum erforderlich sind, soweit diese nach Ziffer 9 Anwendung finden. Zipchat setzt die folgenden Maßnahmen um, um Personenbezogene Daten vor unbefugtem Zugriff, unbefugter Offenlegung, Veränderung und Verlust zu schützen.

• Verschlüsselung. Alle Daten werden im Ruhezustand verschlüsselt, einschließlich Datenbankspeicher, Dateispeicher und Backups. Der gesamte Datenverkehr wird bei der Übertragung verschlüsselt: Jede Verbindung läuft über HTTPS durch Cloudflare, und Datenbankverbindungen sind verschlüsselt. Ausgewählte sensible Zugangsdaten für Integrationen, etwa Zugriffstoken, Datenbankpasswörter und Secrets benutzerdefinierter Skills, werden im Ruhezustand zusätzlich auf Anwendungsebene verschlüsselt; die Werte der Secrets benutzerdefinierter Skills können über die API nur geschrieben, nicht ausgelesen werden.

• Zugriffskontrolle. Die Kundenanwendung erfordert eine Authentifizierung. Rollenbasierte Berechtigungen unterscheiden zwischen Inhabern, Bearbeitern, Mitgliedern und Administratoren und beschränken sensible Funktionen. Interne Tools sind autorisierten Administratoren vorbehalten. Passwörter werden nur als gesalzene Hashwerte gespeichert.

• Trennung der Kundendaten. Personenbezogene Daten sind logisch dem Workspace und dem KI-Agenten des Kunden zugeordnet. Der Zugriff in der Anwendung ist auf die Agenten beschränkt, auf die ein Nutzer zugreifen darf, und Suchen in der Wissensdatenbank nutzen agentenspezifische Namespaces, um einen kontoübergreifenden Zugriff zwischen Kunden zu verhindern.

• Sichere Integrationen. Integrationen mit externen Diensten nutzen HTTPS und authentifizierte API-Anfragen. Shopify-Webhooks werden anhand ihrer Signatur verifiziert, und Backend-API-Zugangsdaten werden mit einem zeitkonstanten Vergleich geprüft.

• Protokollierung und Monitoring. Fehler und Systemaktivitäten werden fortlaufend überwacht, mit Fehlerberichten und Performance-Monitoring der Anwendung. Secrets und Nachrichteninhalte werden aus den Protokollen herausgefiltert, und detaillierte Fehlerseiten sind in der Produktionsumgebung deaktiviert.

• Backups und Ausfallsicherheit. Zipchat erstellt regelmäßig Backups der Datenbanken. Bei behebbaren Fehlern wiederholt die Hintergrundverarbeitung den Vorgang, die Deployment-Verfahren sind darauf ausgelegt, Unterbrechungen der Dienste zu verringern, und für betriebliche Untersuchungen steht ein von der Datenbank erzwungener Lesezugriff zur Verfügung.

• Entwicklung und Änderungsmanagement. Jede Codeänderung wird in einer Versionsverwaltung geführt und durchläuft vor dem Deployment ein Review und automatisierte Tests, mit einer Prüfung in der Staging-Umgebung vor der Produktion.

• Schwachstellenmanagement. Zipchat führt regelmäßig Penetrationstests durch und betreibt ein fortlaufendes Schwachstellenmanagement für seine Anwendung und deren Abhängigkeiten.

• Datenlebenszyklus. Kunden können Gespräche, Agenten und indexierte Daten der Wissensdatenbank jederzeit löschen und den Support bitten, die automatische Löschung von Gesprächen nach einem gewählten Zeitraum zu aktivieren. Zipchat löscht Personenbezogene Daten innerhalb von 90 Tagen nach Vertragsbeendigung, vorbehaltlich der Backup-Zyklen (Ziffer 12).

• Zweckbindung. Personenbezogene Daten werden nur auf Weisung des Kunden zur Erbringung der Dienste verarbeitet. Sie werden nicht für Werbung und ohne Genehmigung des Kunden nicht zum Training oder Fine-Tuning eines KI-Modells verwendet (Ziffer 4.2).

• Unterauftragsverarbeiter. Zipchat beauftragt Unterauftragsverarbeiter auf Grundlage schriftlicher Vereinbarungen mit Datenschutzpflichten, die nicht weniger schützen als dieser AVV, und KI-Unterauftragsverarbeiter zu Bedingungen, die ein Training mit Personenbezogenen Daten untersagen (Ziffer 6).

Anlage D: UK Addendum

International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission. Diese Anlage gilt nur, soweit die UK-SCC nach den Ziffern 9.3 und 9.4 Anwendung finden.

Teil 1: Tabellen

Tabelle 1: Parteien

Tabelle 2: Ausgewählte SCC, Module und Klauseln. Die Fassung der genehmigten EU-SCC, der dieses UK Addendum beigefügt ist, wie in den AVV aufgenommen und durch Ziffer 9.3 ergänzt.

Tabelle 3: Angaben in den Anhängen. Anhang 1A (Liste der Parteien): Anlage B. Anhang 1B (Beschreibung der Übermittlung): Anlagen A und B. Anhang II (technische und organisatorische Maßnahmen): Anlage C. Anhang III (Liste der Unterauftragsverarbeiter, Module 2 und 3): die Liste der Unterauftragsverarbeiter.

Tabelle 4: Beendigung dieses UK Addendum bei Änderung des genehmigten UK Addendum. Sowohl der Importeur als auch der Exporteur kann dieses UK Addendum wie in Section 19 des UK Addendum festgelegt beenden.

Teil 2: Verpflichtende Klauseln

Die verpflichtenden Klauseln (Mandatory Clauses) des genehmigten UK Addendum in der vom UK Information Commissioner herausgegebenen und jeweils geänderten Fassung werden durch Verweis einbezogen.