Auftragsverarbeitungsvertrag

Für personenbezogene Daten, die der Kunde an den Dienst übermittelt oder die der Dienst für den Kunden erhebt (Nutzer, Markenmaterial, Gesprächsinhalte, Messungen zur Marke des Kunden), ist der Kunde Verantwortlicher und New Map Auftragsverarbeiter. Für eigene Zwecke (Betrieb der Website, Buchhaltung, eigene Kontaktaufnahme) ist New Map eigenständiger Verantwortlicher nach seiner Datenschutzerklärung. Die hier verwendeten Begriffe haben die Bedeutung nach Art. 4 DSGVO.

New Map verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, die in den AGB, diesem AVV und der Nutzung der Funktionen des Dienstes durch den Kunden besteht, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht das Recht der Union oder der Mitgliedstaaten etwas anderes vorschreibt; in diesem Fall teilt New Map dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet. New Map informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt. Weisungen, die über die Funktionen des Dienstes hinausgehen, sind in Textform zu erteilen und können zum Selbstkostenpreis berechnet werden, wenn sie wesentlichen Mehraufwand verursachen. Der Kunde weist New Map an, aus der Nutzung des Dienstes und aus Messdaten aggregierte, de-identifizierte Statistiken wie in den AGB beschrieben abzuleiten; diese Statistiken enthalten keine personenbezogenen Daten, werden niemals zum Training eines KI-Modells Dritter verwendet, und die identifizierbaren Daten des Kunden werden ausschließlich für diesen Kunden verwendet.

New Map: (a) stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind; (b) setzt die Maßnahmen nach Anlage 2 um; (c) beauftragt Unterauftragsverarbeiter nur nach Abschnitt 6; (d) unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO, indem es eingehende Anträge innerhalb von 3 Werktagen weiterleitet und die erforderlichen Funktionen und Informationen bereitstellt; (e) unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultation, soweit ihm die Informationen vorliegen; (f) löscht die Daten oder gibt sie nach Abschnitt 9 zurück; (g) stellt die zum Nachweis der Einhaltung von Art. 28 erforderlichen Informationen bereit und ermöglicht Prüfungen nach Abschnitt 8; (h) führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

New Map benachrichtigt den Kunden unter der E-Mail-Adresse seines Kontoinhabers unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem New Map eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Kunden betrifft. Die Meldung enthält die Informationen nach Art. 33 Abs. 3 DSGVO, soweit bekannt, und wird ergänzt, sobald weitere Tatsachen vorliegen. New Map dokumentiert Verletzungen und wirkt an den Meldungen des Kunden an die Aufsichtsbehörde und an betroffene Personen mit. New Map benachrichtigt Behörden oder betroffene Personen nicht im Namen des Kunden, sofern es dazu nicht angewiesen wird.

Der Kunde erteilt eine allgemeine Genehmigung für die nachstehenden Unterauftragsverarbeiter. Jeder wird auf Grundlage eines schriftlichen Vertrags beauftragt, der Datenschutzpflichten auferlegt, die ein mindestens gleichwertiges Schutzniveau wie dieser AVV gewährleisten, und New Map haftet gegenüber dem Kunden in vollem Umfang für deren Leistung. New Map kündigt die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters mindestens 30 Tage vorher per E-Mail an den Kontoinhaber an; der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen, die Parteien suchen nach Treu und Glauben eine Lösung, und falls keine gefunden wird, kann der Kunde den betroffenen Dienst zum Ende der Ankündigungsfrist ohne Vertragsstrafe kündigen. Als eigenständige Verantwortliche gekennzeichnete Anbieter sind keine Unterauftragsverarbeiter und werden der Vollständigkeit halber aufgeführt. „DPF“ bezeichnet das EU-US Data Privacy Framework; „nicht geprüft“ bedeutet, dass New Map die aktuelle Zertifizierung des Anbieters noch nicht überprüft hat und sich bis dahin auf die Standardvertragsklauseln stützt.

Eingaben und Inhalte, die wir an KI-Anbieter übermitteln, werden gemäß deren geschäftlichen API-Bedingungen verarbeitet. Anthropic, OpenAI, Perplexity und xAI verwenden API-Eingaben und -Ausgaben nicht zum Training ihrer Modelle. Google wendet für Entwickler mit Sitz im EWR die Datenbedingungen der kostenpflichtigen Stufe auf die Gemini API an; nach diesen Bedingungen werden Eingaben und Antworten nicht zur Verbesserung der Produkte von Google verwendet. Wir gestatten keinem Anbieter, ein öffentliches Modell mit Ihren Daten zu trainieren.

Die Daten des Kunden werden in der EU gespeichert (Anlage 1, Speicherort). Befindet sich ein Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums und besteht kein Angemessenheitsbeschluss, erfolgt die Übermittlung bei zertifizierten US-Anbietern auf Grundlage des EU-US Data Privacy Framework (abgeglichen mit der offiziellen Liste am 13. Oktober 2026; Anlage 3 nennt die Garantie für jeden Unterauftragsverarbeiter) und bei nicht zertifizierten Unterauftragsverarbeitern auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Module 2 und 3), ergänzt durch eine Transfer-Folgenabschätzung und die Maßnahmen nach Anlage 2. Für Daten aus dem Vereinigten Königreich gilt das UK International Data Transfer Addendum; für Daten aus der Schweiz gelten die Anpassungen nach dem DSG. Der Kunde ermächtigt New Map, diese Klauseln, soweit erforderlich, in seinem Namen mit Unterauftragsverarbeitern abzuschließen.

New Map stellt auf Anfrage, höchstens einmal innerhalb von 12 Monaten, die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 vernünftigerweise erforderlich sind: diesen AVV, die aktuelle Anlage 2 sowie die Zertifizierungen und Prüfberichte seiner Infrastrukturanbieter (zum Beispiel SOC-2-Berichte von Vercel und Supabase). Reicht dies nicht aus, können der Kunde oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer die relevanten Systeme und Unterlagen von New Map nach Ankündigung mit einer Frist von 30 Tagen während der Geschäftszeiten, ohne Störung des Betriebs und auf Kosten des Kunden prüfen; nach einer bestätigten Verletzung, die den Kunden betrifft, auf Kosten von New Map und ohne die 12-Monats-Beschränkung.

Bei Beendigung des Dienstes oder auf früheres schriftliches Verlangen des Kunden gibt New Map die Daten des Kunden in einem gängigen maschinenlesbaren Format zurück und löscht sie, einschließlich der Kopien bei Unterauftragsverarbeitern, innerhalb von 30 Tagen und bestätigt die Löschung auf Anfrage in Textform. Verschlüsselte Sicherungskopien werden im Rahmen der Backup-Rotation von höchstens 30 Tagen überschrieben. Daten, die New Map nach dem Recht der Union oder der Mitgliedstaaten aufbewahren muss, werden nur für diesen Zweck und diesen Zeitraum aufbewahrt.

• Vertraulichkeit, Zugangs- und Zugriffskontrolle: Zugriff auf Produktivsysteme nur für namentlich benannte Beschäftigte mit individuellen Konten und Multi-Faktor-Authentifizierung; Zwei-Faktor-Authentifizierung verpflichtend für jeden Admin- und Team-Login bei New Map und für jeden Nutzer des Kunden verfügbar; Prinzip der minimalen Rechtevergabe; Überprüfung der Zugriffsrechte bei Rollenwechsel; Geheimnisse im verschlüsselten Umgebungsspeicher des Hosting-Anbieters, niemals im Code.
• Vertraulichkeit, Datentrennung: Sicherheit auf Zeilenebene in der Datenbank, sodass die Datensätze jedes Kunden nur für die Nutzer dieses Kunden und für den in deren Auftrag handelnden Dienst lesbar sind; kundenbezogene Begrenzung in jedem Agenten-Werkzeug.
• Vertraulichkeit, Pseudonymisierung und Verschlüsselung: TLS 1.2+ bei der Übertragung; Verschlüsselung ruhender Daten bei den Datenbank- und Speicheranbietern; Integrations-Tokens mit AES-256-GCM verschlüsselt, mit einem Schlüssel, der ausschließlich im Umgebungsspeicher liegt; Passwörter als gesalzene Hashes beim Authentifizierungsanbieter gespeichert.
• Integrität: signierte API-Routen mit Ratenbegrenzung; eine Bot-Prüfung bei den öffentlichen Formularen für Anmeldung, Registrierung und Kontakt, sofern aktiviert; Prüffelder (wer, wann) in Datensätzen; Protokollierung der Aktionen von Agenten; ein Sicherheitsprotokoll der Anmeldungen und Sitzungen, das jeder Kunde in seinem Tab „Sicherheit“ einsehen kann; automatisierte Prüfung generierter Inhalte anhand der Daten des Kunden, bevor diese angezeigt werden.
• Verfügbarkeit und Belastbarkeit: verwaltete Infrastruktur mit Redundanz; Datenbank und Authentifizierung auf AWS in Irland (EU) gehostet; automatische verschlüsselte Datenbank-Backups mit Point-in-Time-Wiederherstellung beim Anbieter, innerhalb von 30 Tagen rotiert; Ratenbegrenzung gegen Missbrauch; Überwachung und Alarmierung bei Ausfällen.
• Vorfallmanagement: dokumentiertes Reaktionsverfahren, Bewertung von Verletzungen, Meldung nach Abschnitt 5, Nachbetrachtung nach Vorfällen.
• Prozesse: ein Verzeichnis von Verarbeitungstätigkeiten; Datenschutzprüfung neuer Funktionen und Anbieter; im Datenschutz unterwiesene Beschäftigte; Verträge mit Unterauftragsverarbeitern nach Art. 28 Abs. 4.

New Map kann diese Maßnahmen aktualisieren, sofern das Schutzniveau nicht abgesenkt wird. Die aktuellen Maßnahmen sind außerdem auf der Sicherheitsseite beschrieben.

Die Haftung nach diesem AVV richtet sich nach den AGB, vorbehaltlich Art. 82 DSGVO. Für diesen AVV gelten das Recht und der Gerichtsstand, die in den AGB festgelegt sind. Bei Widersprüchen hat dieser AVV für die Verarbeitung personenbezogener Daten Vorrang vor den AGB, und die Standardvertragsklauseln haben, soweit sie anwendbar sind, Vorrang vor diesem AVV.

Anträge betroffener Personen, Meldungen von Datenschutzverletzungen, Prüfungsanfragen und Widersprüche gegen Unterauftragsverarbeiter: privacy@thenewmap.ai.