Vereinbarung zur Auftragsverarbeitung (AVV)

(1) Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Bereitstellung und dem Betrieb der SaaS-Lösung „Algoritmo Insight“ durch den Auftragsverarbeiter für den Verantwortlichen. Grundlage der Leistungserbringung (Hauptvertrag) sind die Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters für Algoritmo Insight (in der jeweils vereinbarten Fassung) einschließlich der in § 2 enthaltenen Leistungsbeschreibung.

(2) Der Verantwortliche ist Unternehmer im Sinne des § 14 BGB. Diese Vereinbarung richtet sich ausschließlich an Unternehmer.

(3) Rollenverteilung:

1. Der Auftragsverarbeiter verarbeitet als Auftragsverarbeiter im Sinne des Art. 28 DSGVO die personenbezogenen Daten der Endkunden und sonstiger Kontakte des Verantwortlichen, die dieser über seine Plattformanbindungen für Algoritmo Insight freigibt (insbesondere Bestell-, Kunden- und Werbe-/Performancedaten; im Einzelnen § 2). Der Verantwortliche gibt diese Daten selbst frei, indem er die Anbindung mit eigenen Zugangsdaten oder per Autorisierung bei der jeweiligen Plattform einrichtet; der Auftragsverarbeiter analysiert sie im Auftrag des Verantwortlichen.
2. Für die Kontodaten des Kunden (Name, E-Mail-Adresse, Vertragsdaten, Abrechnungsdaten, Support-Korrespondenz) ist der Auftragsverarbeiter eigenständig Verantwortlicher. Hierfür gilt nicht diese Vereinbarung, sondern die Datenschutzerklärung des Auftragsverarbeiters (https://algoritmo.de/datenschutz/).
3. Die jeweilige Plattform (z. B. Shopify, plentyONE, Werbeplattformen) ist Datenquelle auf Seiten des Verantwortlichen. Sie wird vom Auftragsverarbeiter nicht als Unterauftragsverarbeiter eingesetzt; das Vertragsverhältnis des Verantwortlichen zur Plattform bleibt unberührt.

(4) Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Sie endet nicht automatisch mit dessen Beendigung, soweit noch nachvertragliche Pflichten (insb. Rückgabe und Löschung gemäß § 9) zu erfüllen sind.

(5) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

(6) Abschluss: Diese Vereinbarung wird beim Vertragsschluss nach den AGB (§ 3 AGB) elektronisch einbezogen (Art. 28 Abs. 9 DSGVO); einer Unterschrift bedarf es nicht. Auf Wunsch des Verantwortlichen stellt der Auftragsverarbeiter eine unterzeichnete Fassung bereit.

(1) Art der Verarbeitung: Erheben (durch Abruf über die vom Verantwortlichen freigegebenen Anbindungen), Speichern, Ordnen, Auswerten, Verknüpfen, Anzeigen, Exportieren, Übermitteln an den Verantwortlichen und dessen Nutzer sowie Löschen und Anonymisieren.

(2) Zweck der Verarbeitung: Bereitstellung einer Business-Intelligence-Plattform zur Auswertung von Produkt-, Bestell-, Umsatz-, Lager-, Werbe- und Kundensegmentierungsdaten des Verantwortlichen, einschließlich optionaler KI-gestützter Auswertungsfunktionen (nur nach Opt-in, siehe § 3 Abs. 5 und Anlage 2 Ziffer 2) und der Unterstützung der Nutzer (Support).

(3) Anbindungen: Die Daten stammen aus den vom Verantwortlichen eingerichteten Anbindungen. Dies sind die in § 2 der AGB genannten Anbindungen, derzeit Shopify, plentyONE (Plentymarkets) sowie die Werbeplattformen Google Ads, Amazon Ads und Meta Ads. Das EDI-/API-Gateway ACS/EDI ist nicht Gegenstand dieser Vereinbarung; hierfür gilt eine gesonderte Vereinbarung.

(4) Kategorien betroffener Personen:

• Endkunden des Verantwortlichen (Besteller, Kunden und Empfänger von Lieferungen),
• Vertriebsmitarbeitende des Verantwortlichen, soweit sie in den Auftragsdaten geführt werden,
• Lieferanten- und sonstige Geschäftskontakte des Verantwortlichen, soweit sie über die Anbindung übernommen werden,
• Nutzer des Verantwortlichen mit Zugang zu Algoritmo Insight (Mitarbeitende, Beauftragte) sowie Empfänger von Berichten und Benachrichtigungen.

(5) Kategorien personenbezogener Daten:

(6) Die Plattform ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgelegt; solche Daten werden vom Auftragsverarbeiter nicht gezielt verarbeitet. Der Verantwortliche wird solche Daten nicht in Freitextfelder der Plattformen oder der Plattform selbst aufnehmen, soweit dies vermeidbar ist.

(7) Der Auftragsverarbeiter unterrichtet den Verantwortlichen, bevor sich die Datenkategorien nach Abs. 5 wesentlich ändern (insbesondere durch neue Anbindungen oder neue Auswertungsfunktionen mit Personenbezug); Anlage 2 ist dann entsprechend zu aktualisieren (§ 11 Abs. 2).

(1) Der Verantwortliche bleibt im Verhältnis der Parteien allein verantwortlich für die Beurteilung der Zulässigkeit der Verarbeitung (insbesondere für die Rechtsgrundlage der Übermittlung seiner Daten an den Auftragsverarbeiter und für die Information der betroffenen Personen) sowie für die Wahrung der Rechte der betroffenen Personen.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zu einer anderen Verarbeitung verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Der Hauptvertrag, diese Vereinbarung und die vom Verantwortlichen vorgenommenen Konfigurationen in Algoritmo Insight (z. B. Einrichtung und Trennung von Anbindungen, Rechtevergabe, Opt-in zur KI-Chat-Funktion) gelten als dokumentierte Weisung für die darin beschriebene Verarbeitung. Weitergehende oder abweichende Weisungen erfolgen in Textform an datenschutz@digitalhub-h.de; für den Verantwortlichen sind seine gesetzlichen Vertreter und die Administratoren seines Kontos in Algoritmo Insight weisungsberechtigt.

(4) Der Auftragsverarbeiter weist den Verantwortlichen unverzüglich darauf hin, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt. Er ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

(5) Opt-in zur KI-Chat-Funktion: Die KI-gestützte Chat-Funktion ist standardmäßig nicht freigeschaltet. Eine Datenübermittlung an den dafür eingesetzten Unterauftragsverarbeiter (Anlage 2 Ziffer 2) findet nur statt, nachdem der Verantwortliche die Funktion freigeschaltet und dem Opt-in zugestimmt hat. Die Zustimmung wird mit Nutzerkennung und Zeitpunkt protokolliert. Der Verantwortliche stellt sicher, dass nur hierzu befugte Personen die Zustimmung erteilen. Der Verantwortliche kann die Freischaltung jederzeit im Dashboard widerrufen; ab dem Widerruf werden keine weiteren Daten an diesen Unterauftragsverarbeiter übermittelt.

(6) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung auf seiner Seite, insbesondere für die Berechtigung zur Einrichtung der Anbindungen und zur Freigabe der Daten, verantwortlich.

(1) Der Auftragsverarbeiter verpflichtet sich,

1. personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung und der Weisungen des Verantwortlichen zu verarbeiten,
2. zu gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
3. die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu treffen (§ 5, Anlage 1),
4. die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter nach § 6 einzuhalten,
5. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Maßgabe von § 9 bei der Erfüllung von dessen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO) zu unterstützen,
6. den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen zu unterstützen,
7. dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen — einschließlich Inspektionen — zu ermöglichen und dazu beizutragen (§ 7),
8. ein Verzeichnis zu allen Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen.

(2) Zugriff auf Auftragsdaten: Zugriff auf Auftragsdaten haben die Nutzer des Verantwortlichen sowie ein eng begrenzter Kreis berechtigter Mitarbeitender des Auftragsverarbeiters, soweit dies zur Leistungserbringung und für den Support erforderlich ist.

(3) Verarbeitungsort: Der Auftragsverarbeiter verarbeitet die Auftragsdaten und betreibt die dafür genutzten Dienste in der Europäischen Union. Ausgenommen ist die optionale KI-Chat-Funktion nach Opt-in (§ 3 Abs. 5): Der dort eingesetzte Unterauftragsverarbeiter speichert die Daten in den USA; die Verarbeitung durch das KI-Modell (Inferenz) kann je nach Verfügbarkeit weltweit erfolgen. Einzelheiten und die Garantie nach Art. 44 ff. DSGVO ergeben sich aus Anlage 2 Ziffer 2. Eine Verlagerung der Verarbeitung in ein Drittland im Übrigen erfolgt nur mit vorheriger Information nach § 6 Abs. 2 und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

(4) Der Datenschutzkontakt des Auftragsverarbeiters ist datenschutz@digitalhub-h.de.

(5) Vergütung der Unterstützung: Unentgeltlich sind die Unterstützung über die Funktionen von Algoritmo Insight, die Weiterleitung von Anfragen betroffener Personen und die Unterstützung bei Verletzungen des Schutzes personenbezogener Daten im Verantwortungsbereich des Auftragsverarbeiters. Darüber hinausgehenden Aufwand nach Abs. 1 Nr. 5 und 6 sowie nach § 7, insbesondere für Datenschutz-Folgenabschätzungen, individuelle Auswertungen und Vor-Ort-Kontrollen, vergütet der Verantwortliche nach Aufwand; der Auftragsverarbeiter teilt den voraussichtlichen Aufwand vorab mit.

(1) Der Auftragsverarbeiter trifft die in Anlage 1 in Bezug genommenen technischen und organisatorischen Maßnahmen.

(2) Die Maßnahmen umfassen insbesondere:

• Verschlüsselung auf zwei Ebenen: Alle Daten werden auf Speicherebene verschlüsselt (Verschlüsselung ruhender Daten durch den Cloud-Anbieter). Ausgewählte personenbezogene Felder werden zusätzlich auf Anwendungsebene verschlüsselt (AES-256).
• Transportverschlüsselung: Die Datenübertragung erfolgt über TLS.
• Datensicherung: Die Auftragsdaten werden dauerhaft in relationalen Datenbanken gespeichert, die regelmäßig gesichert werden; die Sicherungen werden innerhalb der EU gespeichert und im Bedarfsfall wiederhergestellt. Zwischenspeicher für die Verarbeitung eingehender Daten werden nicht gesichert.

Weitergehende Zusagen sind mit diesen Angaben nicht verbunden; maßgeblich ist der Inhalt von Anlage 1.

(3) Der Auftragsverarbeiter ist berechtigt, die Maßnahmen weiterzuentwickeln und anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen in Textform mit (Informationspflicht). Anlage 1 kann ohne Änderung dieses Haupttextes in einer aktualisierten Fassung bereitgestellt werden (§ 11 Abs. 2).

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern mit einem Vorlauf von mindestens 30 Tagen. Der Verantwortliche kann der Änderung innerhalb dieser Frist in Textform aus einem datenschutzrechtlich begründeten Grund widersprechen. Widerspricht der Verantwortliche nicht innerhalb der Frist, gilt die Änderung als genehmigt. Im Falle eines Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; ist diese nicht möglich, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen (bei Bezug über den Shopify App Store durch Beenden des App-Abonnements).

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zu denselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO).

(4) Erfolgt die Verarbeitung durch einen Unterauftragsverarbeiter außerhalb der EU/des EWR, stellt der Auftragsverarbeiter sicher, dass eine geeignete Garantie im Sinne der Art. 44 ff. DSGVO vorliegt. Details je Unterauftragsverarbeiter ergeben sich aus Anlage 2.

(5) Dienste, die der Auftragsverarbeiter selbst auf eigenen Servern betreibt, sind keine Unterauftragsverhältnisse (siehe Anlage 2 Ziffer 1).

(1) Der Verantwortliche ist berechtigt, sich vor Beginn der Verarbeitung und danach in angemessenen Abständen von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen und der Pflichten aus dieser Vereinbarung zu überzeugen.

(2) Der Auftragsverarbeiter stellt hierzu auf Anfrage geeignete Nachweise zur Verfügung (die jeweils aktuelle Fassung von Anlage 1, Auskünfte sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter, soweit diese sie bereitstellen). Eine eigene Zertifizierung hat der Auftragsverarbeiter derzeit nicht.

(3) Vor-Ort-Kontrollen sind nach Anmeldung in Textform mindestens vier Wochen im Voraus möglich, höchstens einmal je Kalenderjahr (außer nach einer Verletzung des Schutzes personenbezogener Daten im Verantwortungsbereich des Auftragsverarbeiters) und während der üblichen Geschäftszeiten. Prüfer müssen zur Vertraulichkeit verpflichtet sein und dürfen nicht im Wettbewerb zum Auftragsverarbeiter stehen. Der Verantwortliche trägt seine eigenen Kosten; für den Aufwand des Auftragsverarbeiters gilt § 4 Abs. 5. Kontrollen dürfen den Geschäftsbetrieb des Auftragsverarbeiters und die Rechte anderer Kunden nicht unverhältnismäßig beeinträchtigen; Zugriff auf Daten anderer Kunden ist ausgeschlossen.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die die von ihm im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Kenntnis.

(2) Die Meldung enthält die dem Auftragsverarbeiter zu diesem Zeitpunkt bekannten Informationen nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, soweit möglich Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, mögliche Folgen, ergriffene oder vorgeschlagene Maßnahmen); fehlende Informationen reicht er unverzüglich nach, sobald sie vorliegen. Meldungen erfolgen per E-Mail an die Administratoren des Verantwortlichen in Algoritmo Insight oder an einen vom Verantwortlichen in Textform benannten Datenschutzkontakt.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

(4) Der Verantwortliche weist darauf hin, dass für ihn gegenüber der Aufsichtsbehörde eine eigene Meldefrist von 72 Stunden ab Kenntnis gilt (Art. 33 Abs. 1 DSGVO). Die Bewertung, ob und wem gegenüber eine Meldung oder Benachrichtigung erforderlich ist, obliegt dem Verantwortlichen.

A. Betroffenenrechte und Löschfristen im laufenden Betrieb

(1) Erhält der Auftragsverarbeiter ein Ersuchen einer betroffenen Person zu Auftragsdaten, leitet er es unverzüglich an den Verantwortlichen weiter und unterstützt diesen nach dokumentierter Weisung und Maßgabe von Art. 28 Abs. 3 lit. e DSGVO.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Betroffenenersuchen entsprechend der gesetzlichen Anforderungen. Ein pauschaler Aufschub der Löschung um sechs Monate allein wegen einer kürzlich getätigten Bestellung ist nicht vereinbart. Gesetzlich zulässige Aufbewahrungen oder sonstige Ausnahmen werden im Einzelfall anhand der Weisung und der einschlägigen Rechtslage beurteilt.

(3) Soweit automatisierte Prozesse zur Bearbeitung solcher Ersuchen zur Verfügung stehen, setzt der Anbieter diese ein. Für nicht automatisierte Vorgänge bearbeitet er die Anfragen manuell und unterstützt den Verantwortlichen unverzüglich, grundsätzlich innerhalb von zehn Werktagen, sofern ein kürzerer Zeitraum aus gesetzlichen oder plattformspezifischen Anforderungen erforderlich ist.

(4) Die Löschung von Daten einer getrennten Integration und die Bearbeitung von Datenschutzanfragen von Shopify oder anderen verbundenen Plattformen erfolgen nach den jeweils anwendbaren gesetzlichen bzw. verbindlichen Plattformanforderungen. Eine vertragliche Datenabruffrist im zulässigen Anbieterwechselprozess und gesetzliche Aufbewahrungspflichten bleiben unberührt. Eine bloße Trennung einer Einzelintegration beendet nicht automatisch den gesamten SaaS-Vertrag.

(5) Zur Verhinderung erneuter Übernahme zuvor gelöschter Daten können erforderliche technische Kennungen ohne zusätzliche personenbezogene Angaben vorgehalten werden, soweit hierfür eine Rechtsgrundlage besteht.

B. Rückgabe und Löschung nach Vertragsende

(6) Rückgabe, Anbieterwechsel und Löschung nach Vertragsende. Der Verantwortliche kann die verfügbaren Auswertungen während des Vertrags selbst als CSV- bzw. XLSX-Dateien exportieren. Darüber hinaus unterstützt der Auftragsverarbeiter die Rückgabe personenbezogener Auftragsdaten auf dokumentierte Weisung in dem gesetzlich erforderlichen Umfang; bei einem anwendbaren Anbieterwechsel nach Kapitel VI der Verordnung (EU) 2023/2854 werden die vorgeschriebenen Übergangs- und Datenabrufzeiten berücksichtigt. Die verfügbaren Verfahren und die dem Anbieter bekannten Einschränkungen sind unter Datenexport und Anbieterwechsel in § 6 der AGB beschrieben.

1. Rückgabe oder Löschung: Nach Abschluss der vertraglichen Verarbeitungsleistungen gibt der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie, soweit keine gesetzliche Speicherpflicht entgegensteht. Bei gesetzlich erforderlichen Übertragungs- und Abruffristen erfolgt eine Löschung nicht vor Ablauf des maßgeblichen Abrufzeitraums, sofern der Verantwortliche die Daten weiterhin abrufen darf.
2. Aufbewahrung und Sperrung: Nach Ende der regulären Nutzung wird der Zugriff auf die verbleibenden Auftragsdaten auf das für Export, Sicherheit, Aufbewahrung oder Löschung Erforderliche begrenzt. Die endgültige Löschung erfolgt nach Ablauf des zulässigen Datenabrufzeitraums bzw. nach entsprechender dokumentierter Weisung, sofern keine gesetzlichen Ausnahmen bestehen.
3. Sicherungskopien: Betroffene Daten werden in Sicherungskopien mit regulärer Rotation entfernt. Bis dahin werden sie technisch geschützt und nicht zu anderen Zwecken wiederhergestellt; bei Systemwiederherstellung werden Löschvorgaben erneut umgesetzt.
4. Geschäfts- und Abrechnungsunterlagen: Gesetzlich vorgeschriebene Aufbewahrungen bleiben unberührt, soweit der Anbieter als eigenständiger Verantwortlicher handelt.

(7) Auf Anfrage bestätigt der Auftragsverarbeiter die datenschutzkonforme Rückgabe oder Löschung in Textform.

Für die Haftung der Parteien untereinander gelten die Haftungsregelungen der AGB des Auftragsverarbeiters (§ 10 AGB), soweit diese Vereinbarung keine abweichende Regelung trifft. Art. 82 DSGVO (Haftung und Recht auf Schadenersatz gegenüber betroffenen Personen sowie der Innenausgleich nach Art. 82 Abs. 5 DSGVO) bleibt unberührt.

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Dies gilt auch für die Änderung dieser Textformklausel.

(2) Anlagen: Die Anlagen 1 und 2 sind Bestandteil dieser Vereinbarung. Sie können vom Auftragsverarbeiter in aktualisierter Fassung bereitgestellt werden, ohne dass der Haupttext dieser Vereinbarung geändert wird. Über wesentliche Änderungen informiert der Auftragsverarbeiter den Verantwortlichen in Textform vorab (Informationspflicht); für Änderungen der Anlage 2 gilt zusätzlich § 6 Abs. 2. Das Schutzniveau nach § 5 Abs. 3 darf durch Änderungen nicht unterschritten werden.

(3) Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die dem Zweck der unwirksamen am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hannover, soweit gesetzlich zulässig (§ 12 AGB).

Die technischen und organisatorischen Maßnahmen sind in einem eigenen Dokument geführt und werden durch Verweis Bestandteil dieser Vereinbarung:

→ „Technische und organisatorische Maßnahmen (TOMs) — Algoritmo Insight“ in der jeweils aktuellen Fassung; Stand und Version stehen im Kopf des Dokuments

Eckpunkte (Einzelheiten ausschließlich im verlinkten Dokument):

Die Anlage kann ohne Änderung des Haupttextes aktualisiert werden; bei wesentlichen Änderungen besteht eine Informationspflicht des Auftragsverarbeiters (§ 5 Abs. 3, § 11 Abs. 2).

Stand: 2026-10-12, Version 1.0

Verarbeitung ausschließlich durch die nachfolgend genannten Unterauftragsverarbeiter und für die genannten Zwecke. Änderungen erfolgen nach § 6 Abs. 2 (Information in Textform mit Widerspruchsrecht).

1. Google Cloud — Infrastruktur (IaaS)

2. Anthropic PBC — KI-gestützte Chat-Funktion (nur nach Opt-in)

3. Mailgun — Versand von System-E-Mails (EU)

4. Microsoft 365 — Support-Postfach