Vertrag über die Auftragsverarbeitung (AVV) für parable

1. Gegenstand, Dauer und Weisungsrecht

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Plattform parable gemäß dem Nutzungsvertrag (Hauptvertrag). Die Dauer entspricht der Laufzeit des Hauptvertrags; Ziffer 8 regelt die Löschung nach Vertragsende.

Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich im Rahmen des Hauptvertrags und nach dokumentierten Weisungen des Verantwortlichen. Weisungen erteilt der Verantwortliche über die Funktionen der Plattform (etwa Anlegen, Einladen und Entfernen von Nutzern, Löschen von Aufzeichnungen) oder in Textform an support@parableapp.io. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

Die Auftragsverarbeiterin verarbeitet Daten in der Schweiz und im Europäischen Wirtschaftsraum; Übermittlungen in Drittländer erfolgen nur über die in Anhang 3 genannten Unterauftragsverarbeiter mit den dort genannten Garantien.

2. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

Art und Zweck: Bereitstellung von KI-gestützten Gesprächssimulationen für das Vertriebstraining, Aufzeichnung und Transkription der Trainingsgespräche, automatisierte Auswertung und Coaching, Verwaltung von Organisationen, Teams und Sitzen, Speicherung und Bereitstellung der Ergebnisse für die Nutzer und die vom Verantwortlichen berechtigten Personen.

Datenkategorien: Stammdaten der Nutzer (Name, geschäftliche E-Mail-Adresse, Rolle, Team), Anmelde- und Nutzungsdaten (Zeitpunkte, Kennungen, IP-Adressen in Sicherheitsprotokollen), Sprachaufzeichnungen der Trainingsgespräche, Transkripte, automatisierte Auswertungen (Bewertungen, Stärken, Verbesserungsfelder, Übungsverläufe, Fortschritt), Eingaben an den Coach sowie Inhalte, die Nutzer in Gesprächen nennen (einschließlich möglicher Angaben zu Dritten).

Betroffene Personen: Mitarbeitende und sonstige vom Verantwortlichen zugelassene Nutzer; mittelbar Dritte, die in Trainingsgesprächen erwähnt werden.

Besondere Kategorien personenbezogener Daten sind nicht Gegenstand der Verarbeitung. Der Verantwortliche weist seine Nutzer an, in Trainingsgesprächen keine besonderen Kategorien (etwa Gesundheitsdaten) zu nennen.

3. Pflichten der Auftragsverarbeiterin

Die Auftragsverarbeiterin verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit; die Verpflichtung besteht nach Beendigung der Tätigkeit fort. Der Zugriff ist auf Personen beschränkt, die ihn für den Betrieb benötigen, und wird protokolliert.

Sie trifft die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen, überprüft sie regelmäßig und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht unterschreiten.

Sie unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anträge, die bei der Auftragsverarbeiterin eingehen, leitet sie unverzüglich an den Verantwortlichen weiter.

Sie unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen des Schutzes personenbezogener Daten, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsichtsbehörde, soweit dies den Verantwortlichen betrifft und ihr möglich ist.

Sie meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, mit den ihr bekannten Angaben zu Art, Umfang, betroffenen Daten, wahrscheinlichen Folgen und ergriffenen Maßnahmen, und ergänzt die Meldung, sobald weitere Angaben vorliegen.

Sie stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen. Überprüfungen erfolgen vorrangig durch Beantwortung von Fragen und Vorlage von Unterlagen; Prüfungen vor Ort sind nach vorheriger Abstimmung, während der Geschäftszeiten und höchstens einmal jährlich möglich, sofern kein konkreter Anlass eine weitere Prüfung erfordert.

4. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anhang 3 aufgeführten Unterauftragsverarbeiter. Die Auftragsverarbeiterin schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser Vertrag, und bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

Beabsichtigt die Auftragsverarbeiterin, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert sie die Organisationsinhaber des Verantwortlichen mindestens 30 Tage vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können die Parteien keine Lösung finden, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen; bereits gezahlte Vergütung für die Zeit danach wird erstattet.

Nebenleistungen wie Telekommunikation, Wartung, Reinigung oder Bewachung gelten nicht als Unterauftragsverarbeitung, sofern der Dienstleister keinen Zugriff auf personenbezogene Daten des Verantwortlichen hat.

5. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der Schweiz und des Europäischen Wirtschaftsraums findet nur an die in Anhang 3 genannten Unterauftragsverarbeiter statt. Sie wird durch die Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914) mit den vom EDÖB anerkannten Ergänzungen für die Schweiz oder, soweit der Empfänger zertifiziert ist, durch das EU-U.S. beziehungsweise Swiss-U.S. Data Privacy Framework abgesichert. Die Auftragsverarbeiterin prüft die Rechtslage im Empfängerland und trifft, wo nötig, ergänzende Maßnahmen.

6. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Verarbeitung von Mitarbeitendendaten, die Information der betroffenen Personen nach Art. 13 und 14 DSGVO vor der ersten Nutzung und die Beteiligung von Arbeitnehmervertretungen, soweit erforderlich.

Er setzt die Plattform nur zum bestimmungsgemäßen Zweck des Trainings ein (AGB Ziffer 2) und stellt sicher, dass Auswertungen nicht als alleinige Grundlage für Entscheidungen mit Wirkung für eine Person dienen.

Er verwaltet die Zugänge seiner Nutzer sorgfältig, entfernt ausgeschiedene Personen zeitnah und benennt der Auftragsverarbeiterin eine Ansprechperson für Datenschutzfragen.

7. Haftung

Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags. Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.

8. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Hauptvertrags löscht die Auftragsverarbeiterin alle personenbezogenen Daten des Verantwortlichen innerhalb von 90 Tagen, einschließlich der Kopien bei Unterauftragsverarbeitern, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch, der bis zum Vertragsende eingeht, stellt sie vorher einen Export der Auswertungen und Transkripte in einem gängigen Format bereit.

Sicherungskopien werden nach ihrem Sicherungszyklus (derzeit sieben Tage) überschrieben; Daten in Sicherungskopien werden nicht wiederhergestellt, sondern laufen aus.

Auf Verlangen bestätigt die Auftragsverarbeiterin die Löschung in Textform.

9. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

Anhang 1 — Verarbeitungsorte und Speicherdauer

Datenbank, Dateispeicher (Aufzeichnungen, Transkripte), Identitätsverwaltung, E-Mail-Versand und Betriebsprotokolle: Amazon Web Services, Region Frankfurt (Deutschland). Nachverfolgung der KI-Aufrufe: selbst betriebenes System (Langfuse) bei Amazon Web Services, Frankfurt.

Speicherdauer: Trainingsdaten für die Vertragslaufzeit, Löschung spätestens 90 Tage nach Vertragsende; Betriebsprotokolle 30 Tage; Datenbanksicherungen 7 Tage; Rechnungsdaten nach den gesetzlichen Fristen beim Verantwortlichen der Abrechnung (Schwarzschild AG in eigener Verantwortung).

Anhang 2 — Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle: Betrieb in zertifizierten Rechenzentren von Amazon Web Services (ISO 27001, SOC 2); administrativer Zugang nur über persönliche Konten mit Mehrfaktor-Authentifizierung; Rechtevergabe nach dem Prinzip der minimalen Berechtigung; Protokollierung administrativer Zugriffe.

Zugriffskontrolle in der Plattform: rollenbasiertes Berechtigungsmodell (Organisationsinhaber, Administrator, Team-Administrator, Mitglied); Mandantentrennung auf Datenbankebene über Organisations- und Teamkennungen; Zwei-Faktor-Absicherung für Nutzerkonten verfügbar.

Übertragungs- und Speicherkontrolle: Verschlüsselung aller Verbindungen (TLS), Verschlüsselung gespeicherter Daten und Sicherungen, signierte Webhooks der Zahlungsabwicklung, Schutz gegen Missbrauch (Ratenbegrenzung, Web Application Firewall).

Verfügbarkeit und Belastbarkeit: tägliche automatische Sicherungen mit siebentägiger Aufbewahrung, Löschschutz für Datenbank und Identitätsverwaltung, Überwachung mit Alarmierung, dokumentierte Wiederherstellung.

Trennung und Zweckbindung: getrennte Umgebungen für Test und Betrieb; Testdaten in eigener Sandbox der Zahlungsabwicklung; keine Nutzung von Kundendaten zum Training von KI-Modellen.

Organisation: Verpflichtung der Mitarbeitenden zur Vertraulichkeit; Verfahren zur Meldung und Behandlung von Sicherheitsvorfällen; Prüfung von Unterauftragsverarbeitern vor Beauftragung; regelmäßige Überprüfung der Maßnahmen.

Anhang 3 — Genehmigte Unterauftragsverarbeiter

Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxemburg — Hosting, Datenbank, Dateispeicher, Identitätsverwaltung (Cognito), E-Mail-Versand (SES); Verarbeitungsort Frankfurt, Deutschland; Standardvertragsklauseln im AWS-Datenschutznachtrag.

ElevenLabs, Inc., 169 Madison Ave, Suite 2412, New York, NY 10016, USA — Spracherkennung und Sprachausgabe der Trainingsgespräche und des Coachs; Verarbeitungsort USA; Standardvertragsklauseln / Data Privacy Framework, soweit zertifiziert.

Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA — Sprachmodell für Gesprächsführung, Auswertung und Coach; Verarbeitungsort USA; Standardvertragsklauseln / Data Privacy Framework; keine Nutzung der Daten zum Modelltraining.

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Gemini-Schnittstelle, Google LLC, USA) — Embeddings für die Wissensdatenbank; Verarbeitungsort EU/USA; Standardvertragsklauseln / Data Privacy Framework.

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, und Stripe, Inc., USA — Zahlungsabwicklung; hierbei handelt Stripe in Bezug auf Zahlungsdaten als eigenständig Verantwortlicher; Standardvertragsklauseln / Data Privacy Framework.