Auftragsverarbeitungsvertrag (AVV) — Version 5

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch absentify im Auftrag des Kunden bei der Bereitstellung der Software-as-a-Service-Lösung absentify. Die Rollen werden als Verantwortlicher und Auftragsverarbeiter bezeichnet; bei abweichender Terminologie gelten die entsprechenden Rollen nach dem jeweils anwendbaren lokalen Recht. Anwendbares Datenschutzrecht sind die auf die jeweilige Verarbeitung anwendbaren Gesetze. Hierzu können das schweizerische Datenschutzgesetz (DSG), die EU-Datenschutz-Grundverordnung (DSGVO), die UK GDPR und der Data Protection Act 2018, anwendbare Datenschutzgesetze einzelner US-Bundesstaaten sowie anwendbares kanadisches Datenschutzrecht auf Bundes- oder Provinzebene gehören. Die bloße Aufzählung macht ein Gesetz nicht anwendbar. Verweise auf die DSGVO beschreiben die entsprechenden Anforderungen, soweit die DSGVO oder UK GDPR anwendbar ist; sie begründen keine weltweite Pflicht aller Kunden zur Anwendung einer DSGVO-Rechtsgrundlage. Die vertraglichen Schutzmaßnahmen gelten für die Verarbeitung im Geltungsbereich dieses Vertrags, ohne zwingenden Schutz nach anwendbarem Recht zu verringern.

Dieser Vertrag hat Vorrang vor widersprüchlichen Bestimmungen anderer Vereinbarungen. Das ISO-27001-zertifizierte Informationssicherheits-Managementsystem des Auftragsverarbeiters unterstützt seine technischen und organisatorischen Sicherheitsmaßnahmen. Version 5 gilt bei Annahme für einen neuen Vertrag. Ihre Anwendung auf bestehende Verträge richtet sich nach Ziffer 13.3; die Veröffentlichung allein ersetzt keine bisher vereinbarte Fassung.

zwischen

dem Kunden der Software-as-a-Service-Lösung absentify – nachfolgend Verantwortlicher genannt –

und

absentify GmbH (vormals BrainCore Solutions GmbH) Rotachstrasse 4 8003 Zürich Schweiz (vertreten durch Marc Hochleutner) – nachfolgend Auftragsverarbeiter genannt –

EU-Vertreter (Art. 27 DSGVO): Prighter EU Rep GmbH Schellinggasse 3, 1010 Wien, Österreich Kontakt: https://app.prighter.com/portal/absentify

UK-Vertreter (Art. 27 UK GDPR): Prighter Ltd (UK) 20 Mortlake High Street, London SW14 8JN, Vereinigtes Königreich Kontakt: https://app.prighter.com/portal/absentify

1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten im Zusammenhang mit der Bereitstellung und dem Hosting der Softwareanwendung absentify für Microsoft 365 zur Urlaubs- und Abwesenheitsverwaltung sowie die damit verbundene Verarbeitung der personenbezogenen Daten des Verantwortlichen (einschließlich Erhebung, Speicherung, Änderung, Löschung und Übermittlung).

1.2 Die Dauer der Datenverarbeitung richtet sich nach dem zwischen den Parteien geschlossenen Software-as-a-Service-Vertrag.

1.3 Dieser Vertrag bleibt wirksam, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet, einschließlich Backups.

1.4 Im Falle eines Widerspruchs zwischen diesem Auftragsverarbeitungsvertrag und den Bestimmungen des Hauptvertrags oder anderer verbundener Vereinbarungen hat dieser Vertrag Vorrang.

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um dem Verantwortlichen die Nutzung der absentify-Anwendung zu ermöglichen, einschließlich des Betriebs eines Anwesenheitssystems für Microsoft 365. Dies umfasst Dokumentationshilfe, KI-Unterstützung mit erlaubten Workspace-Daten und vom Benutzer angeforderte Aktionen sowie Support-Untersuchungen im Auftrag des Verantwortlichen nach den nachstehenden dokumentierten Weisungen und Kontrollen.

2.2 Arten der verarbeiteten personenbezogenen Daten:

• Kontakt-, Abrechnungs- und vertragliche Stammdaten
• Kommunikationsdaten (z.B. IP-Adressen, Systemprotokolle)
• Microsoft-Kontoinformationen (Vorname, Nachname, Anzeigename, E-Mail, Telefonnummer, Profilbild, Sprache und Anzeigeeinstellungen)
• Nutzerinhaltsdaten (z.B. Abwesenheits-, Urlaubs- und Vertretungsinformationen), einschließlich Abwesenheitsarten, Zeiträumen, Gründen, Kontingenten, Arbeitszeiten und Genehmigungsinformationen
• Assistentennachrichten, relevanter Gesprächsverlauf, Workspace- und Benutzerkontext, Tool-Ergebnisse und erzeugte Antworten
• Support-Nachrichten, Screenshots oder andere eingereichte Inhalte sowie relevante Workspace-, Benutzer- und Diagnoseinformationen, die autorisierte Support-Mitarbeiter für eine Untersuchung im Auftrag des Verantwortlichen auswählen

Abwesenheitsgründe, Anhänge und Nachrichten können Gesundheitsinformationen oder andere sensible Daten beziehungsweise besondere Kategorien personenbezogener Daten enthalten. Der Verantwortliche bestimmt, ob die Verarbeitung zulässig ist, und erfüllt die Anforderungen des anwendbaren Rechts, einschließlich einer Rechtsgrundlage nach Artikel 6 und einer Voraussetzung nach Artikel 9, soweit die DSGVO oder UK GDPR anwendbar ist. Der Dienstleistungsvertrag, die Standardeinstellung und die elektronische Annahme dieses Vertrags stellen keine Einwilligung der Mitarbeiter dar.

2.3 Zu den Kategorien betroffener Personen gehören die Mitarbeiter des Verantwortlichen und Personen, deren Daten vom Verantwortlichen in absentify eingegeben werden (z.B. Vertretungen oder externe Parteien).

2.4 Der Produktassistent und sein Workspace-Datenzugriff sind in allen Plänen verfügbar. Separate KI-Übersetzungsfunktionen behalten ihre eigenen Planvoraussetzungen. Bei neu erstellten Workspaces ist der Zugriff auf Workspace-Daten zunächst eingeschaltet. Bestehende Workspaces behalten ihre gespeicherte Einstellung. Ein Workspace-Administrator kann diesen Zugriff jederzeit in den Anwendungseinstellungen aus- oder einschalten. Bei eingeschaltetem Zugriff und einer Benutzeranfrage können relevante Workspace-Daten innerhalb der Berechtigungen dieses Benutzers abgerufen und an Microsoft Azure AI übermittelt werden.

2.5 Bei ausgeschaltetem Workspace-Datenzugriff werden automatischer Benutzerkontext, Live-Workspace-Datentools und die Wiederverwendung früherer Gesprächsinhalte mit automatisch abgerufenen Workspace-Daten für Anfragen an den Produktassistenten unterbunden. Allgemeine Dokumentationshilfe bleibt in der Anwendung und in Teams verfügbar. Nachrichten und Informationen, die ein Benutzer selbst in diesen Hilfe-Chat eingibt, werden weiterhin mit Azure AI verarbeitet. Die Einstellung löscht keine gespeicherten Gespräche und steuert weder separate Übersetzungsfunktionen für Administratoren noch externe MCP-Verbindungen oder die interne KI-Verarbeitung im Support.

2.6 KI-gestützter Support kann die automatische Klassifikation und Zusammenfassung von Tickets sowie die Erstellung von Antwortentwürfen umfassen. Autorisierte Support-Mitarbeiter können relevante Ticket-, Workspace-, Benutzer- und Diagnoseinformationen für eine Untersuchung auswählen; dies ist unabhängig von der Einstellung des Produktassistenten. Support-Mitarbeiter prüfen Antwortvorschläge vor dem Versand an einen Kunden. Soweit absentify eigene Zwecke der Support-Verwaltung oder Kundenbeziehungsverwaltung bestimmt, wird diese Verarbeitung in der Datenschutzerklärung beschrieben; sie wird nicht allein durch die Erwähnung von Support in diesem Vertrag zur Verarbeitung im Auftrag des Verantwortlichen.

2.7 Die konfigurierten Azure-OpenAI-Bereitstellungen verarbeiten Modellinferenzanfragen innerhalb der EU Data Zone von Microsoft. Dies betrifft die Modellinferenz und nicht sämtliche Verarbeitungstätigkeiten von absentify oder seinen Anbietern. Microsoft nutzt Kundenprompts und Antworten nach seinen anwendbaren Bedingungen nicht zum Training oder zur Verbesserung von Basismodellen. Sicherheits- und Missbrauchsüberwachung beim Anbieter kann Speicherung und Zugriff durch autorisiertes Personal umfassen. Fragen und Antworten in der Anwendung werden von absentify gespeichert; die Speicherung ist nicht auf die Modellanfrage begrenzt, und das Ausschalten des Workspace-Zugriffs löscht bestehende Chats nicht. Löschung und Rückgabe richten sich weiterhin nach Ziffer 10 und den anwendbaren Weisungen.

2.8 Benutzer initiieren Aktionen des Assistenten. Bevor der Assistent eine Änderung ausführt, muss der Benutzer die vorgeschlagene Aktion und deren Inhalt prüfen und bestätigen. Die Tools des Assistenten unterliegen weiterhin den Anwendungsberechtigungen und Genehmigungsabläufen. KI-Ausgaben können unvollständig oder fehlerhaft sein; der Verantwortliche und seine autorisierten Benutzer bleiben für die Prüfung der Ergebnisse und Entscheidungen über Mitarbeiter verantwortlich. Der Assistent ist nicht zu autonomen Personalentscheidungen befugt.

3.1 Der Auftragsverarbeiter hat angemessene technische und organisatorische Maßnahmen (TOMs) gemäß Artikel 32 DSGVO umgesetzt, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten, die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen. Die Maßnahmen sind in Anlage 1 detailliert beschrieben und werden dem Verantwortlichen auf Anfrage zur Überprüfung zur Verfügung gestellt. Sie sind in das ISO 27001-zertifizierte ISMS des Auftragsverarbeiters integriert, das regelmäßige Audits und Aktualisierungen gewährleistet.

3.2 Die Maßnahmen werden an den Stand der Technik angepasst, sofern das vereinbarte Sicherheitsniveau nicht beeinträchtigt wird. Wesentliche Änderungen werden dem Verantwortlichen rechtzeitig mitgeteilt.

3.3 Der Auftragsverarbeiter überprüft regelmäßig seine internen Prozesse und TOMs, um die Einhaltung der geltenden Datenschutzgesetze sicherzustellen.

4.1 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über alle Anfragen von betroffenen Personen bezüglich Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch, soweit diese den Verantwortungsbereich des Verantwortlichen betreffen.

4.2 Der Auftragsverarbeiter bearbeitet solche Anfragen nicht eigenständig, sondern nur auf dokumentierte Weisung des Verantwortlichen. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Artikel 12 bis 22 DSGVO.

Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Artikel 29 DSGVO)
• Seine Mitarbeiter und bevollmächtigten Personen zur Vertraulichkeit zu verpflichten (Artikel 28(3)(b) DSGVO)
• Angemessene Sicherheitsmaßnahmen umzusetzen und zu dokumentieren (Artikel 32 DSGVO)
• Den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß Artikel 32 bis 36 DSGVO zu unterstützen, einschließlich Datenschutz-Folgenabschätzungen (DSFAs), Meldungen von Datenschutzverletzungen und vorheriger Konsultationen
• Den Verantwortlichen unverzüglich (innerhalb von 48 Stunden) über Verletzungen des Schutzes personenbezogener Daten zu informieren und den Verantwortlichen bei der Benachrichtigung der Aufsichtsbehörde und der betroffenen Personen zu unterstützen (Artikel 33, 34 DSGVO)
• Den Verantwortlichen bei der Beantwortung von Anfragen oder Prüfungen durch die Aufsichtsbehörde zu unterstützen (Artikel 31 DSGVO)
• Ein Verzeichnis von Verarbeitungstätigkeiten zu führen (Artikel 30(2) DSGVO) und es dem Verantwortlichen auf Anfrage zur Verfügung zu stellen
• Weisungen, die gegen die DSGVO verstoßen könnten, unverzüglich zu melden und bis zur Klärung auszusetzen

Der Auftragsverarbeiter setzt nur Mitarbeiter ein, die zur Vertraulichkeit verpflichtet sind und mit den relevanten Datenschutzbestimmungen vertraut gemacht wurden.

6.1 Mit der Annahme dieses Vertrags genehmigt der Verantwortliche ausdrücklich die in Anlage 2 aufgeführten Unterauftragsverarbeiter für die genannten Zwecke. Jede weitere Beauftragung bedarf der vorherigen ausdrücklichen schriftlichen oder dokumentierten Genehmigung des Verantwortlichen. Jeder Unterauftragsverarbeiter ist sorgfältig auszuwählen und an die anwendbaren Datenschutzpflichten zu binden, einschließlich Artikel 28(4) DSGVO, soweit anwendbar. Das Mitteilungsverfahren nach Ziffer 6.2 ersetzt keine erforderliche Genehmigung.

6.2 Der Auftragsverarbeiter teilt dem Verantwortlichen Hinzufügungen, Ersetzungen oder Entfernungen mindestens 30 Tage im Voraus schriftlich oder in Textform mit und ermöglicht einen Widerspruch aus Datenschutzgründen sowie erforderliche Genehmigungen vor der Änderung. Längere Mitteilungsfristen oder zusätzliche Genehmigungsrechte aus individuell vereinbarten Verträgen bleiben anwendbar. Ein rechtzeitiger Widerspruch ist vor Wirksamwerden der vorgesehenen Änderung zu behandeln.

6.3 Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter Vereinbarungen ab, die dieselben Datenschutzverpflichtungen wie dieser Vertrag auferlegen. Auf Anfrage stellt der Auftragsverarbeiter dem Verantwortlichen Kopien solcher Vereinbarungen zur Verfügung (bei Bedarf mit Schwärzung vertraulicher Teile).

6.4 Der Auftragsverarbeiter bleibt für die Einhaltung der Datenschutzpflichten durch seine Unterauftragsverarbeiter vollständig verantwortlich und haftet dem Verantwortlichen entsprechend.

Die Verarbeitung erfolgt grundsätzlich in der Schweiz, in EU-Mitgliedstaaten oder im Europäischen Wirtschaftsraum (EWR). Übermittlungen in Drittländer erfolgen nur, wenn die Anforderungen der Artikel 44 ff. DSGVO / UK GDPR erfüllt sind (z.B. durch EU-Standardvertragsklauseln, UK International Data Transfer Agreement (IDTA), UK Addendum zu EU-SCCs, Angemessenheitsbeschlüsse, verbindliche interne Datenschutzvorschriften oder andere Garantien). Jede Übermittlung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen.

8.1 Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten des Auftragsverarbeiters gemäß Artikel 28 DSGVO zu überprüfen, auch durch Stichproben oder Audits (die im Voraus anzukündigen sind).

8.2 Die Einhaltung kann durch Vorlage geeigneter Zertifikate (z.B. ISO 27001), Auditberichte, Verfahrensdokumentation oder gleichwertige Nachweise nachgewiesen werden. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen und Dokumente zur Verfügung.

8.3 Der Auftragsverarbeiter ermöglicht und unterstützt Audits, die vom Verantwortlichen oder einem vom Verantwortlichen beauftragten unabhängigen Prüfer durchgeführt werden.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen, einschließlich bei Übermittlungen. Zu den Weisungen gehören dieser Vertrag, die vereinbarte Dienstkonfiguration und Workspace-Zugriffseinstellung sowie Aktionen, die autorisierte Benutzer des Verantwortlichen innerhalb ihrer Berechtigungen anfordern und bestätigen. Die Weisungen erlauben keine Nutzung personenbezogener Workspace-Daten zum Training von Basismodellen oder für sachfremde Zwecke. Erkennt der Auftragsverarbeiter rechtswidrige Weisungen, setzt er diese bis zur Klärung aus. Weisungen müssen schriftlich oder in Textform erteilt und dokumentiert werden.

10.1 Nach Beendigung des Hauptvertrags oder auf Verlangen des Verantwortlichen löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten (einschließlich Kopien und Backups) zurück, es sei denn, es bestehen gesetzliche Aufbewahrungspflichten.

10.2 Der Auftragsverarbeiter bestätigt die Löschung oder Rückgabe schriftlich. Es werden keine unautorisierten Kopien aufbewahrt.

Der Auftragsverarbeiter betreibt ein ISO 27001-zertifiziertes Informationssicherheits-Managementsystem. Eine Kopie des gültigen Zertifikats ist diesem Vertrag als Anlage 3 beigefügt. Der Auftragsverarbeiter führt ein Verzeichnis von Verarbeitungstätigkeiten und stellt es dem Verantwortlichen auf Anfrage zur Verfügung. Die ISO 27001-Zertifizierung dient als zusätzlicher Nachweis für die Einhaltung technischer und organisatorischer Maßnahmen gemäß Artikel 32 DSGVO und ergänzt die detaillierte Beschreibung in Anlage 1.

12.1 Haftung

Die nachfolgenden Haftungsregelungen gelten ausschließlich im Innenverhältnis zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Die zwingende gesetzliche Haftung gegenüber betroffenen Personen, insbesondere nach Artikel 82 DSGVO, bleibt unberührt.

Der Auftragsverarbeiter haftet für Schäden, die aus Verstößen gegen seine Pflichten resultieren, sofern diese auf grober Fahrlässigkeit oder Vorsatz beruhen. Der Auftragsverarbeiter stellt den Verantwortlichen von Ansprüchen Dritter frei.

12.2 Vertraulichkeit

Der Auftragsverarbeiter wahrt die Vertraulichkeit aller personenbezogenen Daten und Informationen, auf die er im Rahmen dieses Vertrags Zugriff erhält. Diese Verpflichtung besteht über die Beendigung des Vertrags hinaus fort.

13.1 Dieser Vertrag ist integraler Bestandteil des Nutzungsvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter.

13.2 Eine separate Unterschrift oder postalische Zusendung ist nicht erforderlich. Die Annahme erfolgt elektronisch innerhalb der Anwendung durch einen bevollmächtigten Vertreter. Die angenommene Fassung und der Annahmenachweis werden dokumentiert. Dies ist eine vertragliche Annahme im Namen des Kunden und keine Einwilligung im Namen der Mitarbeiter.

13.3 Version 5 gilt bei Annahme für einen neuen Vertrag. Bestehende Kunden unterliegen weiterhin ihrer vereinbarten Fassung, bis eine Änderung nach dem anwendbaren Vertrag und Recht wirksam wird. Änderungen bestehender Verträge sind mindestens 30 Tage im Voraus anzukündigen; längere vereinbarte Fristen, vorgeschriebene Mitteilungsformen und erforderliche Vereinbarungen oder Zustimmungen sind ebenfalls einzuhalten. Die Online-Veröffentlichung allein ändert weder einen bestehenden Vertrag noch die Einstellung eines bestehenden Workspaces. Die Mitteilungs-, Zustimmungs- und Widerspruchsrechte nach Ziffer 6 bleiben unverändert.

13.4 Der Gerichtsstand und das anwendbare Recht richten sich nach dem Hauptvertrag. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam (salvatorische Klausel).

Die Maßnahmen umfassen mindestens:

Pseudonymisierung und Verschlüsselung

• Verschlüsselung von Daten bei der Übertragung (TLS 1.2 oder höher)
• Verschlüsselung von Daten im Ruhezustand (AES-256)

Vertraulichkeit

• Zugriffskontrolle durch rollenbasierte Autorisierung und Multi-Faktor-Authentifizierung
• Vertraulichkeitsverpflichtungen für alle Mitarbeiter
• Schulungs- und Sensibilisierungsprogramme zum Datenschutz

Integrität

• Trennung von Entwicklungs-, Test- und Produktionsumgebungen
• Protokollierung und Nachverfolgbarkeit administrativer Zugriffe

Verfügbarkeit und Belastbarkeit

• Firewalls, Intrusion Detection und Überwachungssysteme
• Datensicherungen mit georedundanter Speicherung und regelmäßigen Wiederherstellungstests
• Notfallwiederherstellungs- und Geschäftskontinuitätspläne

Regelmäßige Überprüfungsverfahren

• Regelmäßige Sicherheits- und Schwachstellenbewertungen
• Interne Audits

Zusätzliche Maßnahmen

• Pseudonymisierung, wo durchführbar
• Gewährleistung der Belastbarkeit gegenüber physischen und technischen Vorfällen

Diese Maßnahmen sind Teil des ISO 27001-zertifizierten ISMS und unterliegen kontinuierlicher Überprüfung und Anpassung.

Eine Übersicht über unsere technischen und organisatorischen Sicherheitsmaßnahmen finden Sie unter https://absentify.com/security.

Detaillierte interne Dokumentation – einschließlich der Richtlinie zur Datenverschlüsselung und Sicherheit, der Datenklassifizierungsmatrix und des Sicherheitsvorfallreaktionsplans – ist Teil des nach ISO 27001 zertifizierten ISMS. Diese Dokumente können angefragt und bei Bedarf individuell im Rahmen einer Vertraulichkeitsvereinbarung eingesehen werden.

Eine aktuelle Liste ist auch verfügbar unter: https://absentify.com/subprocessors

Der Auftragsverarbeiter verfügt über eine ISO 27001-Zertifizierung für sein Informationssicherheits-Managementsystem. Das gültige Zertifikat ist diesem Vertrag beigefügt und in der PDF-Version enthalten.

4.1 Diese Anlage gilt nur für personenbezogene Informationen, die anwendbarem Datenschutzrecht einzelner US-Bundesstaaten unterliegen und von absentify im Auftrag des Kunden verarbeitet werden. Der Kunde handelt als Business oder Controller, absentify als dessen Service Provider, Contractor oder Processor im Sinne des jeweils anwendbaren Rechts. Die Anlage ergänzt den Vertrag, soweit dieses Recht zusätzlichen Schutz verlangt.

4.2 Die begrenzten Zwecke sind Hosting und Betrieb des Abwesenheitsverwaltungs-Workspaces des Kunden; Verwaltung von Benutzer-, Abwesenheits-, Kontingent-, Arbeitszeit- und Genehmigungsdaten; Bereitstellung der vom Kunden konfigurierten Benachrichtigungen und Integrationen; Beantwortung von Dokumentationsfragen; Nutzung autorisierten Workspace-Kontexts für angeforderte KI-Unterstützung und bestätigte Änderungen sowie Untersuchung von Support-Anfragen des Kunden mit ausgewähltem relevantem Kontext. Informationen werden für diese bestimmten Zwecke und nicht zur uneingeschränkten Nutzung übermittelt.

4.3 absentify darf diese Informationen nicht im Sinne des anwendbaren Rechts verkaufen oder teilen, für kontextübergreifende verhaltensbasierte Werbung nutzen oder über die genannten Zwecke beziehungsweise die unmittelbare Geschäftsbeziehung zum Kunden hinaus speichern, nutzen oder offenlegen, außer soweit das anwendbare Recht dies ausdrücklich erlaubt. Eine Zusammenführung mit Informationen anderer Kunden, anderer Quellen oder aus eigenen gesonderten Interaktionen mit einer Person ist nur zulässig, soweit das anwendbare Recht dies ausdrücklich erlaubt. Die bestimmten Verarbeitungszwecke umfassen weder eigenständige Profile über Mitarbeiter des Kunden noch eine Wiederverwendung ihrer Abwesenheits- oder Gesundheitsangaben für sachfremdes Marketing. Gesonderte Verarbeitung von Geschäftskontakten, Kontoverwaltung und betrieblichen Nutzungsindikatoren sowie Support-Kommunikation oder Kauf- und Kündigungssignalen für eigene Kundenbeziehungszwecke von absentify richtet sich nach der Datenschutzerklärung. Diese Abgrenzung erlaubt keine Umwidmung der nach diesem Vertrag empfangenen Mitarbeiterakten für solche eigenständigen Zwecke.

4.4 absentify hält die anwendbaren gesetzlichen Pflichten ein, gewährleistet dasselbe Datenschutzniveau, das nach dem anwendbaren Datenschutzrecht der US-Bundesstaaten vom Kunden verlangt wird, verpflichtet autorisiertes Personal zur Vertraulichkeit und unterhält angemessene informationsbezogene Sicherheitsmaßnahmen. absentify unterstützt den Kunden bei anwendbaren Betroffenenanfragen sowie, soweit vorgeschrieben, Risikobewertungen, Cybersicherheitsprüfungen und Pflichten bezüglich automatisierter Entscheidungstechnologien.

4.5 Der Kunde darf angemessene und verhältnismäßige Schritte zur Prüfung der Einhaltung vornehmen, einschließlich Überprüfungen, Bewertungen und Audits nach Ziffer 8. absentify informiert den Kunden, wenn absentify feststellt, die anwendbaren Pflichten nicht mehr erfüllen zu können. Nach Mitteilung darf der Kunde angemessene Schritte zum Stoppen und Beheben unzulässiger Verarbeitung verlangen; absentify wirkt daran mit. Weitere Auftragsverarbeiter werden schriftlich an die anwendbaren Beschränkungen und Schutzmaßnahmen gebunden. Soweit absentify als Contractor nach dem CCPA handelt, bestätigt absentify, diese Beschränkungen zu verstehen und einzuhalten.

5.1 Diese Anlage gilt, soweit kanadisches Datenschutzrecht auf Bundes- oder Provinzebene die Verarbeitung im Auftrag des Kunden regelt. Der Kunde bleibt für Zwecke und Befugnis zur Verarbeitung verantwortlich, einschließlich wirksamer, informierter Einwilligung, soweit erforderlich. Eine Übermittlung zur Auftragsverarbeitung verlangt nicht allein deshalb in jedem Fall eine neue Einwilligung; maßgeblich sind das anwendbare Recht und die ursprünglichen Zwecke.

5.2 absentify verwendet die Informationen nur für die angewiesenen Dienste, wahrt Vertraulichkeit und gewährleistet durch diesen Vertrag und seine Schutzmaßnahmen einen vergleichbaren Schutz. Die Verarbeitung erfolgt außerhalb Kanadas, einschließlich in der EU und der Schweiz und durch die in Anlage 2 bezeichneten Anbieter. Eine kanadische Datenresidenz wird nicht zugesagt. Ausländische Rechtsvorschriften können den Zugriff von Gerichten oder Behörden ermöglichen; vertragliche Schutzmaßnahmen können diese Gesetze nicht außer Kraft setzen. Der Kunde stellt die nach anwendbarem Recht erforderliche Transparenz sicher.

5.3 absentify stellt angemessen erforderliche Informationen und Unterstützung für anwendbare Datenschutz- und Übermittlungsbewertungen des Kunden bereit, einschließlich einer Bewertung vor der Übermittlung oder Beauftragung von Verarbeitung außerhalb Québecs, soweit erforderlich. Erforderliche schriftliche Übermittlungsvereinbarungen müssen vor Beginn dieser Verarbeitung vorliegen. Dieser Vertrag ersetzt weder die Bewertung noch die rechtliche Befugnis des Kunden.

5.4 Für beauftragte Verarbeitung nach Québecs Datenschutzrecht für den Privatsektor schützt absentify die Vertraulichkeit, beschränkt die Nutzung auf die angewiesenen Dienste und bewahrt die Informationen nach Mandatsende vorbehaltlich anwendbaren Rechts und Ziffer 10 nicht auf. absentify informiert den Datenschutzbeauftragten des Kunden unverzüglich über tatsächliche oder versuchte Vertraulichkeitsverletzungen und ermöglicht eine angemessene Überprüfung der Vertraulichkeitspflichten. Diese Pflichten werden, soweit anwendbar, schriftlich an weitere Auftragsverarbeiter weitergegeben.

Dieser Vertrag wird elektronisch innerhalb der absentify-Anwendung geschlossen. Mit der elektronischen Annahme gilt er als gegenseitig bindend.