NUVOPOLL VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG (AVV / DPA)

Datum der Fassung: 4. Oktober 2026

Datum des Inkrafttretens: Das Datum, an dem der Kunde diese AVV akzeptiert, einer Vereinbarung beitritt, die diese Fassung einbezieht, oder sie gesondert unterzeichnet. Der Vertrag eines bestehenden Kunden wird ausschließlich über das jeweils anwendbare vertragliche Änderungsverfahren angepasst.

Parteien

Kunde: Die im jeweiligen Konto, in der Bestellung oder im Unterzeichnungsnachweis bezeichnete natürliche oder juristische Person, die als Verantwortlicher oder, soweit anwendbar, als von ihrem Verantwortlichen ermächtigter Auftragsverarbeiter handelt.

Seamlexly: Seamlexly OÜ, eine estnische Gesellschaft mit beschränkter Haftung (OÜ), Handelsregisternummer 17021816, USt-IdNr. EE102783597, mit Sitz in Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141 Estland, als Anbieter von Nuvopoll.

Datenschutz-Kontakt: contact@nuvopoll.com.

Der Kunde und Seamlexly sind gemeinsam die „Parteien“.

1. Zweck, Anwendungsbereich und Vorrang

1.1 Diese AVV regelt die Verarbeitung personenbezogener Kundendaten durch Seamlexly im Auftrag des Kunden über die Nuvopoll-Dienste für Forschung, Umfragen, Datenerhebung und Berichterstattung („Dienste“). Sie ergänzt die anwendbaren Nutzungsbedingungen, den Abonnementvertrag, die Bestellung oder sonstige Dienstleistungsverträge („Hauptvertrag“).

1.2 Zwingendes Recht hat Vorrang. Zwingende Übermittlungsinstrumente gehen für die von ihnen geregelten Datenübermittlungen vor. Vorbehaltlich dieser Anforderungen geht diese AVV widersprüchlichen Bestimmungen des Hauptvertrags hinsichtlich der Verarbeitung personenbezogener Kundendaten vor. Keine allgemeine Haftungsklausel, Freistellung, Website-Richtlinie oder nachträgliche Produktmitteilung hebt zwingende Pflichten oder Betroffenenrechte auf.

1.3 Diese AVV kann elektronisch akzeptiert oder gesondert unterzeichnet werden. Akzeptanznachweise müssen den Kunden, den zeichnungsberechtigten Vertreter, die Version und das Datum ausweisen. Autorisierte Benutzer werden nicht allein durch den Beitritt zu einem Arbeitsbereich zu eigenständigen Vertragspartnern.

1.4 Die tatsächlich eigenständigen Verantwortlichen-Aktivitäten von Seamlexly, wie die eigene Rechnungsstellung und Geschäftsverwaltung, unterliegen der Datenschutzerklärung von Seamlexly und dem anwendbaren Recht. Die Einstufung richtet sich nach dem tatsächlichen Zweck der jeweiligen Tätigkeit. Authentifizierungs-, Sicherheits-, Audit- oder Aufbewahrungsvorgänge, die im Auftrag des Kunden durchgeführt werden, unterliegen weiterhin dieser AVV, selbst wenn dieselben Systeme die eigenen Aktivitäten von Seamlexly unterstützen.

1.5 Diese AVV gilt unabhängig von der Staatsangehörigkeit oder dem Wohnsitz der Teilnehmer, vorbehaltlich des räumlichen und sachlichen Anwendungsbereichs des anwendbaren Rechts. Die Niederlassung in Estland ist für die DSGVO-Verpflichtungen von Seamlexly maßgeblich; diese Verpflichtungen sind nicht auf Daten von EU-Bürgern oder -Ansässigen beschränkt.

2. Definitionen

Dienste bezeichnet die im Rahmen des Hauptvertrags bereitgestellten Nuvopoll-Dienste und aktivierten Funktionen.

Bestellung bezeichnet eine Bestellung, einen Abonnementnachweis oder einen gesondert vereinbarten Leistungsplan, der den Kunden und die maßgeblichen Dienste bezeichnet.

DSGVO bezeichnet die Verordnung (EU) 2016/679. EWR bezeichnet den Europäischen Wirtschaftsraum.

Anwendbares Datenschutzrecht bezeichnet das auf die jeweilige Verarbeitung anwendbare zwingende Datenschutzrecht, einschließlich der DSGVO, des anwendbaren estnischen und sonstigen nationalen Ergänzungsrechts sowie, soweit anwendbar, des türkischen Gesetzes Nr. 6698 („KVKK“) und des britischen Datenschutzrechts.

Autorisierter Benutzer bezeichnet eine vom Kunden ermächtigte Person, die dessen Arbeitsbereich nutzt und Weisungen im Rahmen der zugewiesenen Berechtigungen erteilt.

Personenbezogene Kundendaten bezeichnet personenbezogene Daten, die im Auftrag des Kunden an die Dienste übermittelt, über diese erhoben, generiert oder anderweitig in den Diensten verarbeitet werden, einschließlich Forschungsdatensätzen, Teilnehmer-Zugriffsprotokollen, Audiodaten, Transkripten und zugehörigen Compliance-Nachweisen.

Compliance-Nachweise bezeichnet minimierte Aufzeichnungen zur Erfüllung der Rechenschaftspflicht, wie z. B. Versionen von Datenschutzhinweisen, Einwilligungsvorgänge, Weisungsprotokolle, Löschungsnachweise und relevante Audit-Metadaten. Solche Nachweise können personenbezogene Daten enthalten und unterliegen weiterhin den Weisungen des Kunden. Das Hashen von Daten macht solche Aufzeichnungen nicht automatisch anonym.

Dokumentierte Weisungen bezeichnet diese AVV, anwendbare Bestellungen, authentifizierte schriftliche Weisungen sowie autorisierte Plattformaktionen oder -konfigurationen, die die jeweilige Verarbeitung bestimmen.

Personenbezogene Daten, Verantwortlicher, Auftragsverarbeiter, Betroffene Person, Verarbeitung, Verletzung des Schutzes personenbezogener Daten und Aufsichtsbehörde haben die in den anwendbaren Gesetzen festgelegte Bedeutung; unter der DSGVO beziehen sich personenbezogene Daten auf identifizierte oder identifizierbare natürliche Personen.

Besondere Kategorien bezeichnet Daten gemäß Artikel 9 DSGVO sowie gleichwertige geschützte Kategorien nach anwendbarem Recht. Daten über strafrechtliche Verurteilungen und Straftaten unterliegen gesondert Artikel 10 DSGVO, soweit anwendbar.

Unterauftragsverarbeiter bezeichnet ein anderes Unternehmen, das von Seamlexly beauftragt wird, personenbezogene Kundendaten im Auftrag des Kunden zu verarbeiten. Personal, das unter der unmittelbaren Aufsicht von Seamlexly handelt, ist von eigenständigen Lieferanten und Dienstleistern zu unterscheiden.

TOMs bezeichnet die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen.

3. Rollen und Pflichten des Kunden

3.1 Bestimmt der Kunde die Zwecke und wesentlichen Mittel der Forschung, ist der Kunde Verantwortlicher und Seamlexly Auftragsverarbeiter. Handelt der Kunde für einen anderen Verantwortlichen, agiert Seamlexly als dessen Unterauftragsverarbeiter; der Kunde hat die erforderliche Ermächtigung einzuholen und rechtmäßige vorgelagerte Weisungen zu übermitteln. Verweise auf Rechte und Pflichten des Kunden gelten entsprechend für diese Rolle.

3.2 Der Kunde bestimmt den Forschungszweck, die Teilnehmergruppen, die Fragen, die Datenkategorien, die Rechtsgrundlage nach Artikel 6 DSGVO, etwaige zusätzliche Bedingungen für sensible Daten, Datenschutzhinweise, Aufbewahrungsfristen, Zugriffsrechte, Veröffentlichungseinstellungen sowie etwaig erforderliche Ethikgenehmigungen oder behördliche Meldungen.

3.3 Der Kunde hat präzise Datenschutzhinweise bereitzustellen, ausschließlich erforderliche Daten zu erheben, Benutzerberechtigungen zu verwalten und erforderliche Einwilligungen oder sonstige Rechtsgrundlagen aufrechtzuerhalten. Eine Einwilligung ist nicht ausnahmslos zwingend; der Kunde hat die rechtlich zutreffende Rechtsgrundlage für jede Aktivität zu bestimmen.

3.4 Für Kinder, besondere Datenkategorien und Daten über strafrechtliche Verurteilungen hat der Kunde vor der Erhebung die gesetzlich vorgeschriebenen zusätzlichen Bedingungen und Garantien umzusetzen. Die bloße Bereitstellung von Forschungsfunktionen begründet an sich weder eine Ausnahme noch eine gesetzliche Ermächtigung.

3.5 Der Kunde bleibt für die inhaltliche Beurteilung und Erfüllung seiner Verantwortlichen-Pflichten verantwortlich, einschließlich der Rechtmäßigkeit seiner Forschung, des Inhalts von Datenschutzhinweisen, der Entscheidungen über Betroffenenanträge, der Festlegung von Aufbewahrungsfristen sowie etwaiger Folgenabschätzungen oder Behördenmeldungen. Seamlexly erbringt technische Verarbeitung und Unterstützung; Seamlexly übernimmt weder die Funktion eines Datenschutzbeauftragten des Kunden noch dessen Rechtsberatung oder Compliance-Entscheidungsfindung. Plattformgenerierte Vorlagen, Erinnerungen und Protokolle stellen keine rechtliche Freigabe dar.

3.6 Das auf Privatsphäre ausgerichtete Design von Nuvopoll enthält Werkzeuge, die den Kunden bei der Erfüllung dieser Pflichten unterstützen sollen. Das anwendbare Recht schreibt nicht zwingend ein bestimmtes Portal, Erinnerungen, Vorlagen, Zertifikatsverwaltungs-Oberflächen oder automatisierte Workflows vor. Solche Funktionen werden in dem Umfang bereitgestellt, wie sie im Hauptvertrag beschrieben und konfiguriert sind. Ihre Bereitstellung überträgt weder Verantwortlichen-Pflichten auf Seamlexly noch garantiert sie die Compliance des Kunden. Wurde eine bestimmte Funktion oder ein Service-Level vereinbart, bleibt Seamlexly für die Erfüllung dieser vertraglichen Zusage verantwortlich.

3.7 Pflichten des Kunden entbinden Seamlexly nicht von den eigenen gesetzlichen oder vertraglichen Pflichten. Seamlexly kann unwesentliche technische Mittel wählen, ohne die Zwecke des Kunden zu verändern.

4. Weisungen und zulässige Verarbeitung

4.1 Seamlexly verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung, einschließlich in Bezug auf Datenübermittlungen, es sei denn, Seamlexly ist durch das Recht der Union oder der Mitgliedstaaten, dem Seamlexly unterliegt, hierzu verpflichtet. In einem solchen Fall teilt Seamlexly dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses untersagt. Sonstige behördliche Anordnungen sind im Einklang mit dem anwendbaren Recht und zwingenden Übermittlungsinstrumenten zu prüfen.

4.2 Zu den Weisungen gehören das Erstellen von Studien, das Verwalten des Zugangs eingeladener Teilnehmer, das Konfigurieren von Hinweisen und Einwilligungen, das Aktivieren von Transkriptionen, das Zuweisen von Berechtigungen, das Analysieren von Datensätzen, das Exportieren ausgewählter Daten, das Veröffentlichen konfigurierter Berichte und das Veranlassen von Löschungen.

4.3 Ist Seamlexly der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert Seamlexly den Kunden unverzüglich. Seamlexly weist den Kunden in ähnlicher Weise auf Bedenken nach sonstigem anwendbarem Recht hin und kann den betroffenen Vorgang bis zur Klärung aussetzen. Dies verpflichtet Seamlexly nicht zur systematischen Überprüfung jedes Forschungsdesigns auf dessen Rechtmäßigkeit.

4.4 Eine Freigabe- oder Teilungsanweisung berechtigt nur für die jeweils ausgewählten Daten, Empfänger, Zwecke und Zugriffskonfigurationen. Das Einbinden einer Integration autorisiert keinen Zugriff auf alle Arbeitsbereichsdaten. Anweisungen zur Veröffentlichung von Berichten unterliegen weiterhin dem Grundsatz der Datenminimierung und den rechtlichen Offenlegungsanforderungen.

4.5 Seamlexly wird personenbezogene Kundendaten weder verkaufen, noch für unbezogene Werbung oder eigenständiges Profiling nutzen, noch zum Trainieren von universellen KI-Modellen für eigene Zwecke verwenden. Die Anonymisierung personenbezogener Kundendaten bedarf ihrerseits einer rechtmäßigen Weisung; Daten dürfen nur dann als anonym behandelt werden, wenn eine Re-Identifizierung mit zumutbaren Mitteln nicht möglich ist.

5. Personal und Vertraulichkeit

5.1 Personen, die zur Verarbeitung personenbezogener Kundendaten befugt sind, müssen zur Vertraulichkeit verpflichtet worden sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, entsprechende Schulungen erhalten und nur auf diejenigen Daten zugreifen, die für ihre jeweiligen Aufgaben erforderlich sind.

5.2 Seamlexly verwaltet Zugriffserteilungen, -änderungen und -widerrufe, einschließlich beim Ausscheiden von Mitarbeitern und bei Rollenwechseln. Privilegierte Zugriffe sind zu beschränken und zu protokollieren. Vertraulichkeitsverpflichtungen bestehen auch nach Beendigung der Beschäftigung und nach Beendigung des Hauptvertrags fort.

5.3 Gesonderte Support- und Entwicklungsgesellschaften, die Zugriff auf personenbezogene Kundendaten haben, unterliegen den Bestimmungen für Unterauftragsverarbeiter; die bloße Bezeichnung als internes Personal schließt die Anwendung dieser Bestimmungen nicht aus.

6. Sicherheit und Dokumentation

6.1 Seamlexly trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete TOMs gemäß Artikel 32 DSGVO. Die Verpflichtungen umfassen Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, rasche Wiederherstellbarkeit und regelmäßige Überprüfung der Sicherheitsmaßnahmen.

6.2 Anhang II benennt die implementierten Maßnahmen sowie etwaige zusätzlich vereinbarte Maßnahmen. Seamlexly wird das vereinbarte Sicherheitsniveau in seiner Gesamtheit nicht wesentlich verringern. Wesentliche Änderungen der vereinbarten Datenstandorte, Zugriffsmethoden oder Übermittlungen sind im Wege der anwendbaren Mitteilungs-, Genehmigungs- und Übermittlungsverfahren zu regeln.

6.3 Seamlexly führt das erforderliche Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter und stellt der zuständigen Aufsichtsbehörde auf Anfrage die gesetzlich vorgeschriebenen Auskünfte zur Verfügung. Erforderliche Sicherheits- und Compliance-Metadaten sind zu minimieren; der Zugriff auf Protokolle ist zu beschränken.

7. Unterstützung und Betroffenenrechte

7.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt Seamlexly den Kunden nach Möglichkeit durch geeignete TOMs bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

7.2 Seamlexly benachrichtigt den Kunden unverzüglich über direkt eingehende Anfragen und entscheidet nicht eigenmächtig über deren Begründetheit, es sei denn, dies erfolgt auf dokumentierte Weisung oder ist gesetzlich vorgeschrieben. Seamlexly kann den Eingang bestätigen und die betroffene Person an den zuständigen Kunden verweisen.

7.3 Der Kunde entscheidet, ob eine Datenschutz-Folgenabschätzung, eine vorherige Konsultation oder eine Behördenmeldung erforderlich ist, und ist für deren Inhalt und Übermittlung verantwortlich. Seamlexly unterstützt den Kunden bei der Einhaltung der Pflichten gemäß den Artikeln 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der Seamlexly zur Verfügung stehenden Informationen, einschließlich Sicherheit, Meldung von Verletzungen, Folgenabschätzungen und vorherigen Konsultationen. Die Bereitstellung von Self-Service-Tools entbindet Seamlexly nicht von dieser Unterstützungspflicht.

7.4 Die im Leistungsumfang der Dienste enthaltene Routineunterstützung wird im Rahmen des Hauptvertrags erbracht. Außergewöhnlicher Mehraufwand kann auf angemessener, transparenter und nach Möglichkeit vorab abgestimmter Basis vergütet werden. Uneinigkeit über Vergütungsfragen darf dringende zwingende Mitwirkungspflichten nicht verzögern. Für die Behebung einer eigenen Verletzung dieser AVV durch Seamlexly wird keine zusätzliche Vergütung erhoben.

7.5 Vorbehaltlich des Hauptvertrags und der aktivierten Konfiguration umfassen optionale Self-Service-Tools des Kunden: einen studienspezifischen Teilnehmer-Antragskanal (sofern aktiviert), eine Schnittstelle zur Antragsverwaltung, authentifizierte Such-, Export- und Löschvorgänge, Status- und Erledigungsnachweise, Aufbewahrungserinnerungen und die kundeninitiierte Löschung von Studiendaten. Der Funktionsumfang hängt von Plan, Rolle und Studienkonfiguration ab und ist zutreffend darzustellen. Diese Tools dienen der technischen Erbringung von Unterstützung und können über das gesetzliche Mindestmaß hinausgehen; die einzelnen Funktionen stellen keine gesondert und ausnahmslos gesetzlich vorgeschriebenen Produkteigenschaften dar. Berichtigung, Einschränkung und Widerspruch können separate manuelle Abläufe erfordern; das bloße Markieren eines Antrags als erledigt führt den Vorgang nicht automatisch technisch aus.

7.6 Soweit aktiviert, kann der Teilnehmer-Antragskanal Name, Personalausweis-/Passnummer, Anschrift, Kontaktdaten, Antragskategorie und Begründung des Antragstellers erfassen. Dies sind personenbezogene Daten, die getrennt von inhaltlichen Umfrageantworten verarbeitet werden. Der Kunde bestimmt die zur Identifizierung und Erledigung verhältnismäßig erforderlichen Daten, beurteilt die Eignung des Formulars und stellt bei Bedarf einen eigenen Kontaktkanal bereit. Seamlexly bleibt für die ordnungsgemäße Ausgestaltung der technischen Verarbeitung und die Unterstützung nach Ziffern 7.1–7.3 verantwortlich, entscheidet jedoch nicht über den materiellen Anspruch des Antragstellers. Das Absenden über den Kanal belegt für sich genommen nicht die Identität des Antragstellers. Der Kunde bestimmt jede erforderliche verhältnismäßige Prüfung vor der Entscheidung über den Antrag.

7.7 Die Einstufung einer Studie als „anonym“ begründet an sich nicht, dass jede Antwort, Audiodatei oder technische Aufzeichnung rechtlich anonym ist. Eine Einschränkung des Online-Antragskanals darf nicht als pauschaler Verlust gesetzlicher Rechte dargestellt werden. Der Kunde bestimmt die anwendbaren Rechte sowie etwaige rechtmäßige Identifizierungsanforderungen und stellt einen Kontaktkanal bereit, soweit personenbezogene Daten identifizierbar bleiben; Seamlexly leistet die Unterstützung gemäß Ziffern 7.1–7.3.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Seamlexly benachrichtigt den Kunden unverzüglich, nachdem Seamlexly eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist. Eine zusätzliche vertragliche Meldefrist gilt nur, wenn sie ausdrücklich in einer Bestellung vereinbart wurde, und ersetzt nicht das Gebot der unverzüglichen Benachrichtigung.

8.2 Die Erstbenachrichtigung muss die verfügbaren Angaben zur Art der Verletzung, den betroffenen Daten und Personengruppen, geschätzten Zahlen (soweit feststellbar), wahrscheinlichen Folgen, ergriffenen oder vorgeschlagenen Maßnahmen sowie einen Ansprechpartner enthalten. Fehlende Angaben sind phasenweise ohne schuldhaftes Zögern nachzureichen; Seamlexly wartet vor der Benachrichtigung nicht den vollständigen Abschluss der Untersuchung ab.

8.3 Seamlexly untersucht, begrenzt und behebt Vorfälle im eigenen Verantwortungsbereich, sichert relevante Nachweise und unterstützt den Kunden bei erforderlichen Behördenmeldungen und Risikoanalysen. Seamlexly stellt wesentliche Zwischenberichte und eine abschließende Zusammenfassung zur Verfügung.

8.4 Eine Benachrichtigung stellt kein Schuldanerkenntnis dar. Die Meldepflicht entfällt nicht schon deshalb, weil der Kunde, ein Nutzer oder ein Dritter zum Vorfall beigetragen hat. Haftungsfrage und Benachrichtigungspflicht sind getrennt zu beurteilen.

8.5 Der Kunde entscheidet über Benachrichtigungen bezüglich seiner Verarbeitung, es sei denn, Seamlexly unterliegt einer eigenständigen Rechtspflicht oder ein anwendbares Übermittlungsinstrument schreibt anderes vor.

9. Behördliche Auskunftsersuchen

9.1 Seamlexly prüft die Rechtswirksamkeit, den Umfang und die Rechtsgrundlage von Auskunftsersuchen bezüglich personenbezogener Kundendaten. Soweit rechtlich zulässig, benachrichtigt Seamlexly den Kunden vor der Offenlegung und bemüht sich um sachgerechte Klärung oder rechtliche Anfechtung, sofern begründet. Die Offenlegung wird auf das gesetzlich zwingende Maß beschränkt.

9.2 Ersuchen ausländischer Behörden stellen nicht automatisch eine ausreichende Rechtsgrundlage für eine Offenlegung dar. Artikel 48 DSGVO, Kapitel V DSGVO und die Vorgaben zwingender Übermittlungsinstrumente bleiben maßgeblich. Seamlexly bewahrt zulässige Dokumentationen auf und unterstützt den Kunden im verfügbaren Rahmen.

10. Aufbewahrung, Rückgabe und Löschung

10.1 Der Kunde bestimmt die Aufbewahrungsfristen für seine Antworten, Audiodateien, Transkripte, Zertifikate, Exporte und Compliance-Nachweise, einschließlich einer berechtigten Aufbewahrung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Die Aufbewahrung muss sich nicht ausschließlich auf eine gesetzlich ausdrücklich vorgegebene Frist stützen. Der Kunde dokumentiert seine Festlegungen und erläutert diese in seinen Hinweisen, soweit erforderlich. Seamlexly legt die inhaltliche Aufbewahrungsrichtlinie des Kunden nicht eigenständig fest.

10.2 Der Kunde konfiguriert die verfügbaren Aufbewahrungseinstellungen und erteilt entsprechende Löschungsweisungen. Aufbewahrungsüberwachung und Erinnerungen unterstützen den Kunden bei der Verwaltung seiner Studien; ein eingestelltes Ablaufdatum löscht Umfrageantworten nicht automatisch von selbst. Eine automatische Löschfunktion greift nur, wenn sie ausdrücklich ausgewählt und als solche beschrieben ist. Dient die gewählte Funktion nur der Erinnerung, bleibt der Kunde für die Initiierung der Löschung verantwortlich. Seamlexly bleibt für die Durchführung der vereinbarten Überwachung und rechtmäßigen Löschungsweisungen verantwortlich.

10.3 Serverbasierte Exportdateien unterliegen nach sieben Tagen einer turnusmäßigen Bereinigung, sofern der Kunde nicht die verfügbare Aufbewahrungsoption auswählt. Die Bereinigung erfolgt periodisch und nicht auf die Sekunde genau am siebten Tag. Gesicherte Exporte unterliegen weiterhin den Weisungen des Kunden. Heruntergeladene oder auf externe Systeme übertragene Kopien werden vom Kunden und dessen Empfängern verwaltet.

10.4 Nach Abschluss der Erbringung der Verarbeitungsleistungen oder Beendigung der Dienste gibt Seamlexly nach Wahl des Kunden alle personenbezogenen Kundendaten entweder zurück oder löscht sie sowie bestehende Kopien, es sei denn, das Recht der Union oder der Mitgliedstaaten schreibt eine Speicherung vor. Der Kunde teilt seine Wahl über eine autorisierte administrative Weisung mit. Die Parteien stimmen das Rückgabeformat, die Zugriffsmodalitäten und den Löschzeitplan unter Nutzung vorhandener Exportfunktionen oder eines vereinbarten Prozesses im Einklang mit dem anwendbaren Recht ab. Diese AVV begründet kein zusätzliches starres Exportfenster oder eine feste SLA zur Löschungsfertigstellung.

10.5 Die Löschung eines einzelnen Benutzerkontos, die Schließung eines Kunden-Arbeitsbereichs, die Löschung von Studiendaten und die Kündigung des Hauptvertrags sind voneinander unabhängige Weisungen. Der Antrag eines Nutzers auf Löschung des eigenen Kontos ermächtigt Seamlexly für sich genommen nicht zur Vernichtung des gesamten Kunden-Arbeitsbereichs. Eine produktseitige Nachlauffrist (Grace Period) für Kontolöschungen ist weder eine gesetzliche Aufbewahrungsfrist noch eine Garantie für den Datenzugriff nach Vertragsende.

10.6 Eine Löschungsweisung muss die betreffende Studie, die Datensätze oder den sonstigen Umfang mit ausreichenden Lokalisierungsdaten bezeichnen. Seamlexly wendet die Weisung auf alle der Kontrolle von Seamlexly unterliegenden relevanten Kundendaten an, einschließlich zugehöriger Audiodaten, Transkripte und verknüpfter Datensätze, soweit von der Weisung erfasst. Eine Self-Service-Aktion betrifft nur die in dieser Aktion konkret ausgewählten Datensätze. Der Kunde kann Unterstützung für zusammenhängende Daten anfordern, die nicht über Self-Service-Funktionen erfasst wurden. Ein ungelöster Fehler bei Verarbeitung oder Dateilöschung darf nicht als abgeschlossene Löschung dargestellt werden.

10.7 Sicherungskopien (Backups) und softwareseitig als gelöscht markierte Kopien (Soft-Delete) können für die in Anhang V festgelegten Zeiträume verbleiben. Seamlexly beschränkt deren Nutzung auf die Wiederherstellung und erforderliche Systemadministration, schützt sie und stellt deren regulären Ablauf oder die vorgeschriebene Beseitigung sicher. Werden bei einer Wiederherstellung zuvor gelöschte Daten wieder eingespielt, sind die anwendbaren Löschungsweisungen erneut anzuwenden, bevor diese Daten in den regulären Produktivbetrieb zurückgeführt werden. Der Zeitplan für Restkopien setzt keine gesetzlich vorgeschriebene frühere Löschfrist außer Kraft.

10.8 Auf Anfrage stellt Seamlexly verfügbare Auskünfte über Löschungsstatus, Umfang, bekannte Fehler, aufbewahrte Kategorien und Restkopienpläne bereit. Seamlexly bestätigt eine abgeschlossene Löschung nur insoweit, wie sie tatsächlich verifiziert wurde. Eine Namensersetzung, der Widerruf eines Zertifikats oder ein geändertes Statusfeld führen nicht zwingend zur Löschung oder Anonymisierung jedes verknüpften Datensatzes.

10.9 Der Kunde bestimmt die Aufbewahrung der in seinem Auftrag verarbeiteten Compliance-Nachweise und erteilt entsprechende dokumentierte Weisungen. Seamlexly wählt diese Frist nicht eigenständig für den Kunden aus und prüft sie nicht auf rechtliche Angemessenheit. Die Speicherstrukturen müssen die vereinbarten Weisungen unterstützen; wesentliche technische Einschränkungen sind dem Kunden mitzuteilen. Die Abwicklung bei Vertragsende unterliegt Ziffer 10.4.

10.10 Aufbewahrungsfristen für Datensätze, die Seamlexly als eigenständiger Verantwortlicher verarbeitet, liegen außerhalb dieser AVV und werden in der Datenschutzerklärung geregelt. Sie dürfen nicht allein deshalb auf personenbezogene Kundendaten angewandt werden, weil beide Datenkategorien in derselben technischen Umgebung gespeichert sind.

11. Audits und Rechenschaftspflicht

11.1 Seamlexly stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Artikel 28 DSGVO zur Verfügung und ermöglicht und unterstützt Überprüfungen – einschließlich Inspektionen –, die vom Kunden oder einem von diesem beauftragten Prüfer durchgeführt werden.

11.2 Einer Vor-Ort-Inspektion kann eine angemessene Prüfung von Unterlagen vorausgehen. Reguläre Vor-Ort-Inspektionen sind in der Regel mit einer Frist von 30 Tagen anzukündigen und finden höchstens einmal alle 12 Monate statt. Diese Regelung schließt notwendige Prüfungen nicht aus, wenn ein begründeter Verdacht auf einen wesentlichen Verstoß, eine wesentliche Änderung der Verarbeitung oder der Schutzmaßnahmen, ein prüfungsbedürftiger Sicherheitsvorfall, eine behördliche Anordnung oder eine sonstige zwingende gesetzliche oder übermittlungsrechtliche Pflicht vorliegt. Dringliche Umstände rechtfertigen verhältnismäßig kürzere Ankündigungsfristen.

11.3 Prüfungen haben den Schutz anderer Kunden, die Systemsicherheit und vertrauliche Informationen durch verhältnismäßige Sicherungsmaßnahmen zu wahren. Diese Schutzmaßnahmen dürfen nicht dazu genutzt werden, erforderliche Nachweise vorzuenthalten. Seamlexly kann Einwände gegen einen Prüfer aus begründeten Gründen der Unabhängigkeit, Qualifikation oder wegen eines Interessenkonflikts erheben und wirkt an der Benennung eines alternativen Prüfers mit.

11.4 Gewöhnliche Auditkosten trägt der Kunde zu angemessenen Bedingungen. Ergibt ein Audit einen wesentlichen Verstoß durch Seamlexly, trägt Seamlexly die angemessenen zurechenbaren Kosten und behebt den Verstoß. Kostenregelungen dürfen zwingende Prüfungs- und behördliche Kontrollrechte nicht vereiteln.

12. Unterauftragsverarbeiter

12.1 Der Kunde erteilt die allgemeine schriftliche Genehmigung für die in Anhang III aufgeführten Unterauftragsverarbeiter und Verarbeitungen. Nicht aufgeführte verbundene Unternehmen gelten nicht automatisch als genehmigt. Seamlexly führt die Liste unter Einhaltung des nachstehenden Benachrichtigungs- und Einspruchsverfahrens fortlaufend aktuell.

12.2 Bevor ein neuer oder wechselnder Unterauftragsverarbeiter die Verarbeitung aufnimmt, informiert Seamlexly den Kunden schriftlich unter Angabe von Identität, Dienstleistung, Datenkategorien, Standorten, Zugriffsrechten und Übermittlungsgarantien so rechtzeitig, dass der Kunde eine angemessene Möglichkeit erhält, aus Datenschutzgründen Einspruch zu erheben. Die Mitteilung kann an die hinterlegte administrative E-Mail-Adresse oder über eine protokollierte Kontobenachrichtigung erfolgen. Eine im Hauptvertrag gesondert vereinbarte Frist findet Anwendung.

12.3 Die Parteien bemühen sich um eine einvernehmliche Lösung. Bis zur Klärung wird Seamlexly die beanstandete Verarbeitung für diesen Kunden nicht ohne rechtmäßige Vereinbarung einführen. Ist keine Lösung erzielbar, regeln die Parteien die Einstellung der betroffenen Verarbeitung nach Maßgabe des Hauptvertrags und des anwendbaren Rechts. Diese AVV begründet weder eine automatische Rückerstattung noch ein neues kaufmännisches Kündigungsrecht; zwingende gesetzliche Rechte und Rechtsbehelfe nach Übermittlungsinstrumenten bleiben unberührt.

12.4 Seamlexly führt eine angemessene Sorgfaltsprüfung (Due Diligence) durch und verpflichtet jeden Unterauftragsverarbeiter durch einen schriftlichen Vertrag, der dieselben Datenschutzpflichten auferlegt, wie sie in Artikel 28 Absatz 4 DSGVO gefordert werden, einschließlich hinreichender Garantien für geeignete TOMs. Allgemeine Geschäftsbedingungen des Lieferanten dürfen nur genutzt werden, wenn sie diesen Vorgaben genügen.

12.5 Seamlexly haftet gegenüber dem Kunden uneingeschränkt für die Erfüllung der Pflichten des Unterauftragsverarbeiters gemäß Artikel 28 Absatz 4 DSGVO. Lieferantengröße, Verhandlungsungleichgewichte oder die Verwendung von Standardbedingungen reduzieren diese Haftung nicht auf eine reine Sorgfaltspflicht.

12.6 Eine vom Kunden ausgewählte Drittanbieter-Integration kann je nach konkreter Ausgestaltung einen eigenständigen Verantwortlichen, einen eigenen Auftragsverarbeiter des Kunden oder einen Unterauftragsverarbeiter von Seamlexly betreffen. Die Rollenverteilung ist zu dokumentieren und wird nicht allein dadurch bestimmt, wer die Verknüpfungsschaltfläche betätigt hat. Dienstleister, die ausschließlich für eigenständige Verantwortlichen-Aktivitäten von Seamlexly genutzt werden, fallen nicht unter Anhang III.

13. Standorte und internationale Datenübermittlungen

13.1 Die zentralen Hosting-Standorte sind in Anhang I und Anhang III beschrieben. Zentrales EU-Hosting bedeutet nicht, dass jede Einzelleistung, jeder Supportzugriff oder jede KI-Operation ausnahmslos auf die EU beschränkt ist.

13.2 Seamlexly macht personenbezogene Kundendaten Dritten außerhalb des EWR nur auf rechtmäßige Weisung oder Ermächtigung, bei Vorliegen der erforderlichen Unterauftragsverarbeiter-Genehmigung und unter Anwendung eines Mechanismus nach Kapitel V DSGVO zugänglich. Fernzugriffe (Remote Access) gelten als Übermittlung, sofern sie die entsprechenden Kriterien erfüllen.

13.3 Für jede beschränkte Übermittlung dokumentieren die Parteien den tatsächlichen Datenexporteur und Datenimporteur, deren Rollen, Bestimmungsland, Zweck, Datenkategorien und den anwendbaren Mechanismus. Werden Standardvertragsklauseln (SCC) verwendet, sind die zutreffenden Module, Optionen und Anhänge auszufüllen, das Instrument wirksam zu unterzeichnen oder einzubeziehen sowie erforderliche Transfer-Impact-Assessments und zusätzliche Maßnahmen vor der Übermittlung umzusetzen.

13.4 Ein pauschaler Hinweis, Daten seien „durch SCC abgesichert“, ersetzt das anwendbare Instrument nicht. Anhang IV hält die erforderlichen Festlegungen fest. Zwingende Bestimmungen der SCC – einschließlich Betroffenenrechte, Befugnisse der Aufsichtsbehörden und Aussetzungsanordnungen – dürfen durch abweichende AVV- oder Hauptvertragsklauseln nicht abgeändert werden.

13.5 Der Kunde ist für seine eigenen exportrechtlichen Pflichten verantwortlich; Seamlexly erfüllt die ihm obliegenden Verpflichtungen und leistet die erforderliche Kooperation. Anwendbare Regelungen für die Türkei und das Vereinigte Königreich sind in Anhang IV geregelt. Lokale Pflichten dürfen nicht pauschal auf den Kunden abgewälzt werden.

13.6 Wesentliche Änderungen von Standort, Produkt, Schnittstelle (Endpoint), Rechtspersönlichkeit oder Übermittlungsgarantien eines Anbieters erfordern eine Neubewertung und das entsprechende Benachrichtigungs-/Genehmigungsverfahren. Steht kein rechtmäßiger Übermittlungsmechanismus mehr zur Verfügung, sind die betroffenen Übermittlungen auszusetzen und die erforderlichen Maßnahmen zu ergreifen.

14. Audio, KI und Authentifizierung von Teilnehmern

14.1 Die Erfassung von Audiodaten und deren Transkription sind eigenständige Vorgänge, die auf Weisung des Kunden aktiviert werden. Der Kunde entscheidet, ob Audioaufzeichnungen angemessen sind, und stellt die erforderlichen Hinweise und Rechtsgrundlagen bereit. Ist die Transkription aktiviert, werden die Audiodaten über die konfigurierte EU-Schnittstelle an Google Cloud Speech-to-Text übertragen. Nuvopoll nutzt die Aufzeichnungen nicht zur biometrischen Identifizierung. Optionen für schriftliche Eingaben hängen von der Gestaltung und Konfiguration der Umfrage durch den Kunden ab.

14.2 Funktionen der Gemini Developer API werden für das Umfragedesign, die Übersetzung von Umfragefragen und Datenschutzhinweisen sowie die Umwandlung bereitgestellter Entwurfsdokumente in Umfrageskripte eingesetzt. Antwortdatenbanken von Teilnehmern, Freitextantworten und Audioaufnahmen werden nicht automatisiert zur Modellanalyse an die Gemini API übertragen. Der Kunde als Verantwortlicher ist für die Informationen und personenbezogenen Daten verantwortlich, die er oder seine autorisierten Benutzer in Prompts oder hochgeladenen Dokumenten eingeben, einschließlich der Rechtmäßigkeit dieser Offenlegung, erforderlicher Hinweise und anwendbarer Rechtsgrundlagen. Diese Eingaben werden an die Google LLC übermittelt, um die angeforderte Funktion auszuführen. Diese Zuständigkeitsverteilung schließt die Pflichten von Seamlexly als Auftragsverarbeiter nicht aus.

14.3 Der Gemini-Dienst wird auf Basis der Google LLC Developer API-Bedingungen genutzt, getrennt von der Google Cloud Infrastrukturvereinbarung. Google kann übermittelte Eingaben und generierte Ausgaben gemäß den anwendbaren Nutzungsbedingungen für bis zu 55 Tage zur Missbrauchsüberwachung (Abuse Monitoring) aufbewahren. Datenverwendung, Überprüfung, Aufbewahrung und Übermittlung durch den Anbieter richten sich nach den einschlägigen Google AI-Bedingungen und Datenschutzvereinbarungen. Die eigene Nutzung durch Seamlexly bleibt durch Ziffer 4.5 beschränkt. Lassen die Bedingungen des Anbieters die beabsichtigte rechtmäßige Verarbeitung nicht zu, dürfen die betroffenen Daten nicht über diese Funktion übermittelt werden.

14.4 Eine neue KI-Verarbeitung von Antwortdatensätzen, Audiodaten oder Transkripten bedarf einer spezifisch beschriebenen Funktion, rechtmäßiger dokumentierter Weisungen sowie passender Anbieter- und Übermittlungsvereinbarungen. Allgemeine Hinweise auf KI-Unterstützung stellen keine solche Ermächtigung dar.

14.5 Der Zugang eingeladener Teilnehmer kann eine E-Mail-Allowlist, Verifizierungsnachrichten, Einmal-Anmeldelinks, Verifizierungs-Zeitstempel und Sitzungsprotokolle umfassen. Diese Daten werden für Zwecke der Zugriffskontrolle des Kunden verarbeitet. Die Kontrolle über ein E-Mail-Konto belegt nicht die persönliche Identität. Anbieter, die Authentifizierungs- oder Zustelldaten im Auftrag von Seamlexly verarbeiten, unterliegen Ziffer 12.

15. Haftung und zwingende Rechte

15.1 Die vertragliche Haftung zwischen den Parteien richtet sich nach dem Hauptvertrag, soweit gesetzlich zulässig. Gesetzlich nicht abdingbare Pflichten oder Haftungen – einschließlich der Rechte nach Artikel 82 DSGVO, der Verantwortlichkeit für Unterauftragsverarbeiter, zwingender Bestimmungen von Übermittlungsinstrumenten oder aufsichtsbehördlicher Befugnisse – werden weder ausgeschlossen noch beschränkt.

15.2 Freistellungsverpflichtungen entbinden keine Partei von eigenem rechtswidrigem Verhalten oder gesetzlichen Pflichten. Diese AVV begründet keine zusätzliche Haftungsbeschränkung allein deshalb, weil ein Großkonzern als Lieferant beteiligt ist.

16. Laufzeit, Änderungen und anwendbares Recht

16.1 Diese AVV bleibt wirksam, solange Seamlexly personenbezogene Kundendaten verarbeitet. Bestimmungen über Vertraulichkeit, zulässige beschränkte Aufbewahrung, Löschung/Rückgabe, Audits und Haftung wirken im erforderlichen Umfang fort.

16.2 Änderungen bedürfen des im Hauptvertrag vorgesehenen wirksamen Änderungsverfahrens unter Wahrung zwingenden Rechts. Wesentliche Änderungen der Verarbeitung werden nicht rückwirkend durch bloße Anpassung einer Website genehmigt.

16.3 Das anwendbare Recht und der ordentliche vertragliche Gerichtsstand richten sich nach dem Hauptvertrag, vorbehaltlich zwingenden Rechts, vorgeschriebener SCC-Rechtsordnungen/Gerichtsstände sowie Betroffenen- und Aufsichtsbehördenrechten.

Anhang I — Einzelheiten der Verarbeitung

Anhang II — Technische und organisatorische Maßnahmen (TOMs)

A. Sicherheitsverpflichtungen und technische Vorkehrungen

Seamlexly trifft angemessene Maßnahmen gemäß Ziffer 6. Nachfolgend werden die für die Dienste maßgeblichen technischen Vorkehrungen und der Umfang des vereinbarten Schutzes beschrieben; dies stellt keine Garantie dar, dass Sicherheitsvorfälle oder Unterbrechungen gänzlich ausgeschlossen sind.

1. Hosting und Verschlüsselung. Kern-Hosting wie in Anhang I beschrieben; anbieterseitig verwaltete Verschlüsselung im Ruhezustand (Encryption at Rest) für Firestore und Cloud Storage sowie HTTPS/TLS für die Dienstkommunikation. Die physische Infrastruktur wird vom Cloud-Anbieter betrieben.
2. Authentifizierung und Zugriff. Firebase Authentication unterstützt den Kontozugriff. Seamlexly wendet angemessene serverseitige Berechtigungen und Zugriffsbeschränkungen auf Kundendaten an. Der Kunde weist seine Benutzer und Berechtigungen zu. Eine authentifizierte Sitzung allein gilt nicht als Berechtigung zum Zugriff auf Datensätze eines anderen Kunden oder zur Schließung des Arbeitsbereichs eines anderen Kunden.
3. Audiolinks. Die Plattform nutzt Lese-Links mit einer Gültigkeitsdauer von fünfzehn Minuten. Ein signierter Link ist ein temporärer Inhaber-Token: Jeder Inhaber kann während dieser Dauer auf die Datei zugreifen. Er ersetzt keine Identitätsprüfung; die Weiterleitung eines Links kann den Zugriff auf die Datei offenlegen. Seamlexly wendet vor der Ausstellung von Zugangsdaten angemessene Autorisierungsprüfungen an; der Kunde verwaltet seine berechtigten Empfänger und den Umgang mit Links.
4. Vertraulichkeit und Administration. Der Zugriff durch Personal ist auf autorisierte Aufgaben beschränkt und unterliegt der Vertraulichkeit. Privilegierte Zugriffe werden gemäß Ziffer 5 verwaltet und entzogen.
5. Technische Metadaten. Je nach Studienmodus können Protokolle maskierte IP-Adressen, ungefilterte User-Agent-Informationen und außerhalb des anonymen Modus vollständige IP-Adressen und abgeleitete Hashes enthalten. Hashes oder die Kennzeichnung „anonym“ garantieren nicht, dass Daten rechtlich anonym sind. Der Kunde berücksichtigt diese Daten in seinen Datenschutzhinweisen und Aufbewahrungsentscheidungen.
6. Nachweis- und Auditprotokolle. Funktionen für Hinweise, Einwilligungen, Weisungen und Audits unterstützen die Nachvollziehbarkeit. Die Integrität von Nachweisen kann durch kryptografische Hashes und archivierte Protokolle gestützt werden. Nachweise können Identifikatoren (einschließlich E-Mail-Adressen von Akteuren) enthalten und unterliegen angemessenen Zugriffs- und Aufbewahrungskontrollen.
7. Wiederherstellung. Firestore Point-in-Time Recovery, tägliche Datenbanksicherungen und Speicher-Soft-Delete-Regelungen sind in Anhang V beschrieben. Deren Verfügbarkeit stellt keine gesondert vereinbarte Garantie für Wiederherstellungszeiten (RTO), Wiederherstellungspunkte (RPO) oder unterbrechungsfreie Verfügbarkeit dar.
8. Sicherheitsmanagement. Seamlexly führt risikoadäquate Sicherheitsüberprüfungen, Schwachstellenbehandlungen, Vorfallreaktions- und Wiederherstellungsmaßnahmen gemäß Ziffer 6 durch. Spezifische Zertifizierungen, Prüfintervalle, lückenlose MFA-Abdeckung, dedizierte Supportzeiten und Wiederherstellungsziele gelten nur, soweit gesondert vereinbart und zutreffend dokumentiert.

B. Unterstützung und optionale Datenschutzfunktionen

Je nach aktivierter Konfiguration umfassen Kundenunterstützungsfunktionen: studienspezifische Antragskanäle, Antragsverwaltungsprotokolle, Such-/Export-/Löschwerkzeuge, Aufbewahrungserinnerungen, Versionierung von Hinweisen, Einwilligungsnachweise und datenschutzbezogene Studieneinstellungen. Der Kunde nutzt diese zur Umsetzung eigener Entscheidungen.

Der Kunde kann Unterstützungsanfragen an contact@nuvopoll.com richten, unter Angabe seines Kontos, der betroffenen Studie, der gewünschten Maßnahme und ausreichender Lokalisierungsdaten, ohne unnötige personenbezogene Daten preiszugeben. Seamlexly leistet die nach Ziffer 7 erforderliche Unterstützung mittels vorhandener technischer Funktionen und gegebenenfalls koordinierter manueller Maßnahmen. Seamlexly kann erforderliche Klarstellungen zur präzisen Ausführung einer Weisung anfordern.

Eine allgemeine Rechtsberatung, die Stellung eines externen Datenschutzbeauftragten, die automatische Umsetzung jedes Betroffenenrechts oder die automatische Löschung bei Erreichen einer Erinnerung sind nicht geschuldet. Die Verfügbarkeit optionaler Werkzeuge entbindet Seamlexly nicht von den gesetzlichen Unterstützungspflichten oder von Pflichten bezüglich ausdrücklich im Hauptvertrag vereinbarter Funktionen.

Anhang III — Genehmigte Unterauftragsverarbeiter

Der Kunde genehmigt die nachstehend aufgeführten Unterauftragsverarbeiter für die jeweiligen Dienste. Änderungen unterliegen Ziffer 12. Der zentrale Hosting-Standort bestimmt nicht jeden Standort für Support oder Weiterverarbeitung. Ein Vertragspartner im EWR ist für sich genommen kein Empfänger im Sinne des EU-US Data Privacy Frameworks (DPF): Eine Berufung auf dieses Rahmenwerk betrifft qualifizierte Übermittlungen an ein zertifiziertes US-Unternehmen. Standardvertragsklauseln und andere Übermittlungsinstrumente gelten für die Übermittlungen, die sie tatsächlich regeln.

Vom Kunden konfigurierter SMTP-Server

Konfiguriert und aktiviert der Kunde seinen eigenen SMTP-Server für einen Nachrichtenstrom, werden diese Nachrichten über den vom Kunden gewählten Anbieter anstelle des standardmäßigen Resend-Relays geleitet. Der Kunde ist dafür verantwortlich, diesen Anbieter zu beauftragen und die erforderlichen Datenschutz-, Sicherheits- und Übermittlungsvereinbarungen für dieses eigene Anbieterverhältnis zu treffen. Dieser Anbieter ist nicht allein deshalb Unterauftragsverarbeiter von Seamlexly, weil der Kunde ihn mit Nuvopoll verbindet. Seamlexly bleibt für die eigene Verarbeitung und das Routing der Nachrichten und Zugangsdaten verantwortlich. Nachrichten außerhalb des Umfangs der kundeneigenen Route unterliegen weiterhin der standardmäßigen Zustellungsvereinbarung der Plattform.

Dienstleister, die ausschließlich die Rechnungslegung oder Geschäftsunterlagen von Seamlexly verarbeiten, sind nicht automatisch Unterauftragsverarbeiter für personenbezogene Kundendaten. Sonstige vom Kunden ausgewählte Integrationen werden nach Ziffer 12.6 beurteilt.

Anhang IV — Vereinbarungen über internationale Datenübermittlungen

A. Übermittlungen aus dem EWR in Drittländer

Für jede beschränkte Übermittlung dokumentieren die Parteien den tatsächlichen Datenexporteur und Datenimporteur, deren Rollen, Bestimmungsland, Zweck, Datenkategorien, Aufbewahrung, Garantien und den anwendbaren Mechanismus. Werden EU-Standardvertragsklauseln verwendet, sind die entsprechenden Module, Optionen und Anhänge auszufüllen und das Instrument wirksam zu unterzeichnen oder einzubeziehen. Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) kann für relevante Unterauftragsverarbeiter-Übermittlungen von Seamlexly gelten, abhängig von der tatsächlichen Kette und dem rechtlichen Anwendungsbereich. Erforderliche Folgenabschätzungen und ergänzende Maßnahmen sind vor der Übermittlung umzusetzen.

Diese AVV erklärt nicht von sich aus unbenannte Empfänger für autorisiert oder nicht gezeichnete Standardvertragsklauseln für unterzeichnet. Zwingende Übermittlungsinstrumente gehen für die von ihnen geregelten Übermittlungen vor.

B. Übermittlungen mit Ursprung in der Türkei

Soweit das KVKK anwendbar ist, implementieren die Parteien einen gültigen Übermittlungsweg nach Artikel 9 KVKK für die tatsächliche Übermittlung. Bei Verwendung des offiziellen türkischen Standardvertrags unterzeichnen sie das zutreffende Formular (Verantwortlicher an Auftragsverarbeiter oder Auftragsverarbeiter an Auftragsverarbeiter), vervollständigen die erforderlichen Angaben und erfüllen die Meldepflicht gegenüber der Behörde innerhalb von fünf Arbeitstagen ab Unterzeichnung. Die Parteien dokumentieren die meldepflichtige Partei und den Nachweis der Einreichung. Der amtliche Text bleibt vorbehaltlich zulässiger Wahlmöglichkeiten unverändert.

Ausnahmeregelungen für gelegentliche Übermittlungen dürfen nicht als generelle Rechtfertigung für ein dauerhaftes Routine-Hosting herangezogen werden. Der Kunde erfüllt die Pflichten seiner Rolle als Exporteur; Seamlexly erfüllt die Pflichten der eigenen Rolle und leistet die erforderliche Kooperation.

C. Übermittlungen mit Ursprung im Vereinigten Königreich

Fällt eine Übermittlung unter einen Angemessenheitsbeschluss des Vereinigten Königreichs, ist ein IDTA oder das UK Addendum nicht allein deshalb erforderlich, weil der Exporteur im Vereinigten Königreich sitzt. Soweit eine beschränkte Übermittlung nicht durch einen Angemessenheitsbeschluss gedeckt ist, implementieren die Parteien einen rechtmäßigen Mechanismus und führen erforderliche Verträge und Prüfungen durch.

D. Sonstige anwendbare lokale Vorgaben

Der Kunde ermittelt die für seine Nutzung maßgeblichen Vorschriften; die Parteien schließen vor Beginn der betroffenen Verarbeitung etwaig erforderliche zusätzliche Übermittlungsinstrumente oder -vereinbarungen ab. Diese AVV garantiert nicht die Erfüllung lokaler Datenlokalisierungsvorschriften aller Rechtsordnungen durch die standardmäßige Hosting-Konfiguration.

Anhang V — Aufbewahrung und Regelungen zu Restkopien

Restkopien sind gemäß Ziffer 10.7 zu beschränken und zu handhaben. Jede wesentliche Änderung dieser Regelungen ist über die anwendbaren Änderungs-, Standort-, Anbieter- und Weisungsverfahren zu regeln. Die Wiederherstellung von Sicherungen oder die Erstellung zusätzlicher Exporte darf nicht zur Umgehung einer Löschungsweisung genutzt werden.

Annahme

Diese AVV kann in den Hauptvertrag einbezogen und durch den zeichnungsberechtigten Vertreter des Kunden elektronisch akzeptiert werden. Das betreffende Konto bzw. die Bestellung und der Akzeptanznachweis weisen den Kunden, den Vertreter, die Fassung und das Akzeptanzdatum aus. Separate Unterschriften sind nicht erforderlich, wenn eine wirksame elektronische Annahme oder Einbeziehung erfolgt.