Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679. „Verantwortlicher“, „Auftragsverarbeiter“, „Betroffene Person“, „Personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“ und „Verarbeitung“ haben die Bedeutung, die ihnen in der DSGVO zugewiesen ist. „Personenbezogene Kundendaten“ sind personenbezogene Daten, die Kerna im Auftrag des Verantwortlichen auf Grundlage des Hauptvertrags verarbeitet. „Hauptvertrag“ bezeichnet die Nutzungsbedingungen oder den Vertrag für Kerna, deren bzw. dessen Bestandteil dieser DPA ist. „Bestellformular“ bezeichnet ein von beiden Parteien unterzeichnetes Dokument, in dem individuelle Bedingungen für ein kundenspezifisches Konto festgehalten sind; die meisten Abonnements werden über die Website erworben und haben kein Bestellformular. „Unterauftragsverarbeiter“ bezeichnet einen weiteren Auftragsverarbeiter, den Kerna im Sinne von Art. 28 Abs. 2 und 4 DSGVO in Anspruch nimmt. Mitteilungen, Bestätigungen und Vereinbarungen, die nach diesem DPA „schriftlich“ zu erfolgen haben oder als „schriftlich“ bezeichnet sind, können per E-Mail erfolgen.

Rangfolge. In Datenschutzfragen hat dieser DPA Vorrang vor dem Hauptvertrag. Wird ein Bestellformular unterzeichnet, hat es Vorrang vor diesem DPA, soweit es diesen ausdrücklich abändert; eine Bestimmung eines Bestellformulars, die eine hier geregelte Angelegenheit nicht ausdrücklich behandelt, lässt die Geltung dieses DPA für diese Angelegenheit unberührt.

Dieser DPA ist Bestandteil des Hauptvertrags und wird wirksam, wenn der Verantwortliche den Hauptvertrag annimmt: beim kostenlosen Tarif mit der Installation der Dienste oder der Einrichtung eines Kontos; bei einem über die Website erworbenen Abonnement mit Abschluss des Kaufs; bei einem kundenspezifischen Konto mit Unterzeichnung des Bestellformulars.

Für ein Konto oder Abonnement, das ohne Bestellformular zustande gekommen ist, ist keine gesonderte Unterschrift erforderlich: Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag schriftlich abgefasst ist, was auch in einem elektronischen Format erfolgen kann, und die Annahme des Hauptvertrags erfüllt diese Anforderung. Kerna erfasst das Konto und das Datum der Annahme und bewahrt jede veröffentlichte Fassung dieses DPA auf, sodass die angenommene Fassung stets festgestellt werden kann; bei einem Kauf über die Website erfasst Kerna zusätzlich die angenommene Fassung.

Die Person, die den Hauptvertrag annimmt, sichert zu, dass sie befugt ist, das Unternehmen, die Organisation oder die beruflich tätige Person, das bzw. die als Kontoinhaber angegeben ist, zu verpflichten, und dieses Unternehmen, diese Organisation bzw. diese beruflich tätige Person ist Verantwortlicher im Sinne dieses DPA.

Fassungen. Kerna veröffentlicht die jeweils aktuelle Fassung dieses DPA unter kerna.io/dpa und teilt dem administrativen Ansprechpartner eine wesentliche Änderung mindestens 30 Tage im Voraus mit. Eine Änderung, die gesetzlich vorgeschrieben ist oder von einer Aufsichtsbehörde verlangt wird oder die weder den Schutz oder die Rechte des Verantwortlichen nach diesem DPA verringert noch die Art oder die Zwecke der Verarbeitung oder die Kategorien personenbezogener Daten ändert, kann nach dieser Vorankündigung wirksam werden; der Verantwortliche kann die betroffenen Dienste vor dem Tag des Wirksamwerdens ohne Vertragsstrafe kündigen und eine anteilige Erstattung im Voraus gezahlter Entgelte für den ungenutzten Zeitraum erhalten. Jede andere wesentliche Änderung bedarf der ausdrücklichen elektronischen Annahme durch den Verantwortlichen; bis der Verantwortliche sie annimmt, gilt weiterhin die zuletzt von ihm angenommene Fassung. Unwesentliche Korrekturen werden mit ihrer Veröffentlichung wirksam.

Wurde ein Bestellformular unterzeichnet, gilt für die Laufzeit dieses Bestellformulars die bei Unterzeichnung geltende Fassung dieses DPA, die nur durch Vereinbarung zwischen den Parteien geändert wird.

Unterzeichnung auf Anfrage. Ein Verantwortlicher ohne Bestellformular kann eine gegengezeichnete Ausfertigung dieses DPA anfordern, und Kerna stellt eine solche zu den veröffentlichten Bedingungen zur Verfügung. Für diese Verantwortlichen gilt die veröffentlichte Fassung gleichermaßen und wird nicht verhandelt. Individuelle Datenschutzbedingungen sind nur bei einem kundenspezifischen Konto auf Grundlage eines Bestellformulars erhältlich.

Hinsichtlich der Personenbezogenen Kundendaten ist der Verantwortliche Verantwortlicher und Kerna Auftragsverarbeiter. Kerna verarbeitet Personenbezogene Kundendaten nur zur Erbringung der Dienste und nur auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag, das Abonnement des Verantwortlichen, ein etwaiges Bestellformular sowie die Konfiguration und Nutzung der Dienste durch den Verantwortlichen stellen die dokumentierten Weisungen des Verantwortlichen dar; weitere Weisungen bedürfen einer schriftlichen Vereinbarung. Kerna informiert den Verantwortlichen unverzüglich, falls eine Weisung nach Auffassung von Kerna gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (ohne Verpflichtung zur Rechtsberatung). Gegenstand, Dauer, Art, Zweck, Datenarten und betroffene Personen sind in Anlage I festgelegt.

• (a) Personenbezogene Kundendaten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf Übermittlungen, sofern nicht das Recht der Union oder der Mitgliedstaaten dies verlangt – in diesem Fall informiert Kerna den Verantwortlichen vor der Verarbeitung, sofern das betreffende Recht dies nicht verbietet;
• (b) gewährleisten, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
• (c) alle nach Art. 32 erforderlichen Sicherheitsmaßnahmen ergreifen (Anlage II);
• (d) Unterauftragsverarbeiter nur unter den Bedingungen der Ziffer 5 in Anspruch nehmen;
• (e) unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, Anträge von Betroffenen Personen zu beantworten (Kapitel III);
• (f) den Verantwortlichen bei der Einhaltung der Art. 32-36 unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation);
• (g) nach Wahl des Verantwortlichen alle Personenbezogenen Kundendaten nach Ende der Dienste löschen oder zurückgeben und vorhandene Kopien löschen, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht;
• (h) alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Ziffer zur Verfügung stellen und Überprüfungen ermöglichen und dazu beitragen (Ziffer 11).

Kerna trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Anlage II beschrieben. Zu den wesentlichen Maßnahmen gehören die Verschlüsselung bei der Übertragung und im Ruhezustand, die flüchtige Verarbeitung von E-Mail-Inhalten im Arbeitsspeicher ohne dauerhafte Speicherung auf den Servern von Kerna, Eingabebegrenzungen und die Schwärzung von Zahlungskarten- und Bankkontonummern sowie bestimmter nationaler Identifikationsnummern vor der Übertragung an den KI-Unterauftragsverarbeiter, Bedingungen zur Zero Data Retention (keine Datenspeicherung) und ein vertragliches Trainingsverbot im Verhältnis zu diesem Unterauftragsverarbeiter, die Prüfung von Ausgaben, Zugriffskontrollen sowie pseudonymisierte Analysen. Anlage II legt außerdem fest, wo aus E-Mails abgeleitete Daten vorübergehend gehalten werden, auch auf dem eigenen Gerät des Nutzers.

Der Verantwortliche erteilt Kerna eine allgemeine schriftliche Genehmigung zur Inanspruchnahme der in Anlage III aufgeführten Unterauftragsverarbeiter; Kerna hält Anlage III an der Stelle, an der dieser DPA veröffentlicht ist, auf dem aktuellen Stand. Kerna erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem DPA festgelegt sind, wie in Art. 28 Abs. 4 DSGVO vorgeschrieben, insbesondere hinsichtlich hinreichender Garantien dafür, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Geben die Standardbedingungen eines Unterauftragsverarbeiters eine Pflicht nicht in derselben Form wieder, dokumentiert Kerna, wie die Pflicht der Sache nach erfüllt wird. Kerna wird den Verantwortlichen mindestens 30 Tage im Voraus schriftlich über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informieren. Der Verantwortliche kann innerhalb von 15 Tagen nach Erhalt dieser Mitteilung aus vernünftigen datenschutzrechtlichen Gründen Einspruch erheben. Können die Parteien den Einspruch nicht innerhalb weiterer 30 Tage ausräumen, kann der Verantwortliche die betroffenen Dienste ohne Vertragsstrafe und gegen anteilige Erstattung im Voraus gezahlter Entgelte für den ungenutzten Zeitraum kündigen. Solange ein Einspruch nicht ausgeräumt ist, setzt Kerna den neuen Unterauftragsverarbeiter nicht zur Verarbeitung der Personenbezogenen Kundendaten dieses Verantwortlichen ein; ist dies technisch nicht möglich, weist Kerna vor Wirksamwerden der Änderung darauf hin, und der Verantwortliche kann die betroffenen Dienste vor diesem Tag zu denselben Bedingungen kündigen. Kerna bleibt gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters haftbar.

Teilt ein Unterauftragsverarbeiter Kerna eine Verletzung des Schutzes personenbezogener Daten, einen bei ihm eingegangenen Antrag einer betroffenen Person, die Hinzuziehung oder Ersetzung seiner eigenen Unterauftragsverarbeiter oder eine Angelegenheit mit, welche die Standardvertragsklauseln betrifft, leitet Kerna diese Mitteilung nach Eingang umgehend und unverzüglich an den betroffenen Verantwortlichen weiter.

Die Weiterleitung setzt nicht voraus, dass Kerna zu dem Ergebnis gelangt, dass die Angelegenheit die Daten des Verantwortlichen betrifft oder ein Risiko darstellt: Diese Beurteilung obliegt dem Verantwortlichen. Mitteilungen werden bei Eingang und nicht erst nach einer Beurteilung weitergeleitet, damit dem Verantwortlichen die volle ihm zur Verfügung stehende Zeit, um Bedenken vorzubringen, und die volle ihm nach Art. 33 und 34 zur Verfügung stehende Frist erhalten bleiben. Lässt ein Unterauftragsverarbeiter einen Einspruch gegen seine eigenen Unterauftragsverarbeiter nur zu Bedingungen zu, deren einzige Abhilfemöglichkeit die Kündigung ist, weist Kerna bei der Weiterleitung darauf hin.

Unter Berücksichtigung der Art der Verarbeitung unterstützt Kerna den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht nachzukommen, Anträge von Betroffenen Personen zu beantworten. Erhält Kerna unmittelbar von einer Betroffenen Person einen Antrag, der sich auf Personenbezogene Kundendaten bezieht, wird Kerna diesen ohne dokumentierte Weisung des Verantwortlichen nicht beantworten und den Antrag umgehend an den Verantwortlichen weiterleiten.

Die in Ziffer 10 beschriebene Funktion zur Kontolöschung stellt hiervon keine Ausnahme dar. Löscht ein Nutzer sein eigenes Konto über die Dienste, handelt Kerna auf dokumentierte Weisung des Verantwortlichen im Sinne von Ziffer 2, wobei der Verantwortliche diese Funktion durch seine Konfiguration und Nutzung der Dienste genehmigt hat. Auf einen außerhalb der Dienste eingegangenen Antrag einer Betroffenen Person wird Kerna ohne Weisung des Verantwortlichen nicht tätig.

Kerna meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betrifft, unverzüglich, nachdem Kerna davon Kenntnis erlangt hat, und stellt die Kerna vernünftigerweise zur Verfügung stehenden Informationen bereit, um den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 33 und 34 zu unterstützen. Eine Verletzung, die Kerna von einem Unterauftragsverarbeiter gemeldet wird, wird zusätzlich nach Ziffer 5a bei Eingang weitergeleitet, ohne die eigene Beurteilung durch Kerna abzuwarten.

Unter Berücksichtigung der Art der Verarbeitung und der zur Verfügung stehenden Informationen leistet Kerna dem Verantwortlichen angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde nach Art. 35 und 36.

Die unmittelbaren Offenlegungen durch Kerna im Rahmen dieses DPA erfolgen gegenüber den in Anlage III aufgeführten Vertragspartnern mit Sitz im EWR, mit einer Ausnahme: Fehler- und Leistungsdaten, die an Sentry gesendet werden, dessen Vertragspartner, Functional Software, Inc., in den Vereinigten Staaten niedergelassen ist. Die Verarbeitungskette umfasst außerdem internationale Weiterübermittlungen durch bestimmte Unterauftragsverarbeiter, einschließlich der Verarbeitung von KI-Inhalten in den Vereinigten Staaten durch OpenAI nach Offenlegung gegenüber OpenAI Ireland Limited.

Nimmt ein Unterauftragsverarbeiter eine Weiterübermittlung vor, muss er einen gültigen Mechanismus nach Kapitel V anwenden. Kerna dokumentiert die Übermittlungsstruktur, prüft im Rahmen der Sorgfaltsprüfung nach Art. 28 den vertraglichen Mechanismus und die ergänzenden Maßnahmen und stellt dem Verantwortlichen die relevanten Informationen zur Verfügung. Diese Aufgabenverteilung schränkt die Pflichten von Kerna als Auftragsverarbeiter nach diesem DPA nicht ein.

E-Mail-Inhalte, die für eine KI-Aktion gesendet werden, werden im Rahmen dieser Regelung vom KI-Unterauftragsverarbeiter in den Vereinigten Staaten verarbeitet, und zwar unter Bedingungen der Zero Data Retention und eines vertraglichen Trainingsverbots: Für eine KI-Aktion gesendete Inhalte werden weder gespeichert noch zum Training von Modellen verwendet. Die Analyse dieser Verarbeitung, einschließlich der Bewertung des Bestimmungslands und der angewandten ergänzenden Maßnahmen, ist in der Übermittlungsfolgenabschätzung (Transfer Impact Assessment) von Kerna dargelegt, die dem Verantwortlichen auf Anfrage zur Verfügung gestellt wird.

Die Übermittlung durch Kerna an Sentry stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Datenschutzrahmen EU-USA), nach dem Sentry zertifiziert ist; als alternativer Mechanismus dienen die Standardvertragsklauseln in der Datenverarbeitungsvereinbarung (Data Processing Addendum) von Sentry. Sentry speichert diese Daten in seiner Datenregion in der Europäischen Union (Frankfurt), kann jedoch aus den Vereinigten Staaten darauf zugreifen. Weiterübermittlungen durch andere Unterauftragsverarbeiter stützen sich auf den Mechanismus, den der jeweilige Unterauftragsverarbeiter anwendet, wie in der Übermittlungsfolgenabschätzung beschrieben.

Hosting und Speicherung erfolgen in der EU: Rechenleistung über Google Cloud Run in europe-west1 (Belgien) und Speicherung in Firestore in europe-central2 (Warschau).

Die in Ziffer 9 dargestellte Einordnung beruht auf der Niederlassung des Vertragspartners jedes Unterauftragsverarbeiters, die in Anlage III erfasst ist und bei jeder Änderung überprüft wird. Ändert sich der Vertragspartner eines Unterauftragsverarbeiters oder nimmt Kerna einen weiteren außerhalb des EWR niedergelassenen Unterauftragsverarbeiter in Anspruch, wird vor Wirksamwerden der Änderung ein geeigneter Mechanismus nach Kapitel V eingerichtet und der Verantwortliche nach Ziffer 5 informiert.

Das in diesem Fall verwendete Modul richtet sich nach der Rolle von Kerna: Modul Zwei (Verantwortlicher an Auftragsverarbeiter), wenn Kerna als Verantwortlicher für die eigenen Daten übermittelt; Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn Kerna als Auftragsverarbeiter im Auftrag des Verantwortlichen übermittelt. Modul, Fassung und Datum der jeweils herangezogenen Klauseln werden in der Übermittlungsfolgenabschätzung dokumentiert.

Dieser DPA regelt ausschließlich die Verarbeitung durch Kerna als Auftragsverarbeiter im Auftrag des Verantwortlichen. Kerna verarbeitet personenbezogene Daten auch als eigenständiger Verantwortlicher: Kontoverwaltung (Anmeldeidentität, Abonnementstatus und die Kommunikation von Kerna mit Kontoinhabern), Abrechnung, Sicherheitsüberwachung, Produktanalysen und die eigene Website. Diese Tätigkeiten fallen nicht unter diesen DPA, unterliegen der Datenschutzrichtlinie von Kerna, und der Verantwortliche ist für sie nicht Verantwortlicher. Nichts in diesem DPA macht Kerna in Bezug auf diese Verarbeitung zum Auftragsverarbeiter, und nichts darin macht den Verantwortlichen für sie verantwortlich.

Die Rechte des Verantwortlichen im Hinblick auf einen Wechsel und die entsprechenden Pflichten von Kerna – Kündigungsfrist, Übergangszeitraum, Datenabrufzeitraum, Kategorien und Formate exportierbarer Daten, Unterstützung sowie die Behandlung von Wechselentgelten – sind in Anlage IV festgelegt, die nach Maßgabe ihrer eigenen Bestimmungen gilt und Bestandteil des Hauptvertrags ist. E-Mail-Inhalte werden nicht auf den Servern von Kerna gespeichert und erfordern daher keine Migration; sie verbleiben durchgehend in der eigenen E-Mail-Umgebung des Verantwortlichen.

Bei Ablauf oder Beendigung der Dienste löscht Kerna die Personenbezogenen Kundendaten nach Wahl des Verantwortlichen oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. E-Mail-Inhalte werden ohnehin während der Erbringung der Dienste nicht auf den Servern von Kerna gespeichert (flüchtige Verarbeitung), sodass diese Pflicht die in Anlage I beschriebenen Einstellungs- und Konfigurationsdaten der Nutzer sowie die Teamdaten betrifft. Aus E-Mails abgeleitete Daten, die das Outlook-Add-in im Browserspeicher auf dem eigenen Gerät eines Nutzers hält, laufen nach dem Zeitplan in Anlage II ab; eine vom Nutzer selbst vorgenommene Löschung entfernt sie auf dem Gerät, auf dem die Löschung vorgenommen wird.

Zwei Wege

Art. 28 Abs. 3 lit. g verlangt die Löschung oder Rückgabe nach Wahl des Verantwortlichen. Die Vorschrift legt den Mechanismus nicht fest, und Kerna führt die Teamlöschung auf Anfrage und nicht über eine Self-Service-Funktion durch.

Was aufbewahrt wird und warum

Rechnungen und Buchhaltungsunterlagen. Kerna bewahrt Rechnungen und die mit einem Abonnement verbundenen Buchhaltungsunterlagen unabhängig von einer Löschung für den nach polnischem Rechnungslegungs- und Steuerrecht vorgeschriebenen Zeitraum auf. Diese Aufbewahrung ist eine rechtliche Verpflichtung, der Kerna als Verantwortlicher für die eigenen Abrechnungsunterlagen unterliegt, und fällt nicht in den Anwendungsbereich dieses DPA; sie wird hier genannt, weil sie die häufigste Frage ist, die eine Löschung aufwirft.

Sicherungskopien. Kopien in der Point-in-Time-Wiederherstellung von Firestore (7 Tage) und in täglichen Sicherungskopien (90 Tage) werden nicht selektiv bereinigt und laufen nach diesem Zeitplan ab. Eine Sicherungskopie kann zum Zweck der Notfallwiederherstellung (Disaster Recovery) wiederhergestellt werden. Der nach der Richtlinie zur Datenaufbewahrung und -löschung vorgeschriebene Abgleichprozess wird nach jeder Wiederherstellung und vor der Wiederinbetriebnahme der Datenbank angewendet, sodass abgeschlossene Löschungen innerhalb des wiederhergestellten Sicherungszeitfensters erneut durchgeführt werden.

Kerna stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung, darunter einschlägige Zertifizierungen und Validierungen (z. B. CASA Tier 2 für das Gmail-Add-on), diesen DPA und seine Liste der Unterauftragsverarbeiter (Anlage III), die Übermittlungsfolgenabschätzung sowie einen Auszug aus dem Verzeichnis von Verarbeitungstätigkeiten. Kerna ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei, und zwar nach angemessener vorheriger Ankündigung von mindestens 30 Tagen und höchstens einmal pro Jahr, während der Geschäftszeiten und vorbehaltlich der Vertraulichkeit. Wenn eine Aufsichtsbehörde dies verlangt, nach einer Verletzung des Schutzes personenbezogener Daten, welche die Daten des Verantwortlichen betrifft, oder wenn der Verantwortliche über glaubhafte Belege dafür verfügt, dass Kerna diesen DPA nicht einhält, kann der Verantwortliche eine zusätzliche Überprüfung mit einer kürzeren, den Umständen nach angemessenen Vorankündigung durchführen.

Kerna kann den Zugang verweigern, soweit dies zum Schutz folgender Belange erforderlich ist: der Sicherheit oder der personenbezogenen Daten anderer Kunden; von Informationen, die einem rechtlichen Privileg (Legal Privilege) oder einer gegenüber einem Dritten bestehenden Vertraulichkeitspflicht unterliegen; oder der Geschäftsgeheimnisse von Kerna, mit der Maßgabe, dass der Schutz von Geschäftsgeheimnissen nicht dazu verwendet werden darf, die Möglichkeit des Verantwortlichen zur Überprüfung der Einhaltung zu vereiteln. Wird der Zugang verweigert, stellt Kerna die Informationen bereit, die erforderlich sind, um die Einhaltung auf anderem Wege zu überprüfen. Ein vom Verantwortlichen beauftragter Prüfer darf kein Wettbewerber von Kerna sein und muss eine Vertraulichkeitsverpflichtung unterzeichnen. Der Verantwortliche trägt die Kosten jeder von ihm veranlassten Überprüfung, mit Ausnahme einer Überprüfung im Anschluss an eine von Kerna verursachte Verletzung des Schutzes personenbezogener Daten.

Dieser DPA wird mit dem Hauptvertrag wirksam und gilt so lange, wie Kerna Personenbezogene Kundendaten verarbeitet. Die Haftung jeder Partei nach diesem DPA unterliegt den Haftungsbeschränkungen und -ausschlüssen des Hauptvertrags, mit der Maßgabe, dass nichts im Hauptvertrag oder in diesem DPA Folgendes beschränkt oder ausschließt: eine Haftung, die gesetzlich nicht beschränkt oder ausgeschlossen werden kann; die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO; die Haftung für Betrug, vorsätzliches Fehlverhalten oder grobe Fahrlässigkeit; oder die Pflichten jeder Partei nach dem anwendbaren Datenschutzrecht.

Dieser DPA unterliegt polnischem Recht und, soweit anwendbar, der DSGVO. Für Streitigkeiten sind die für den eingetragenen Sitz von Kerna zuständigen Gerichte zuständig, sofern der Hauptvertrag nichts anderes vorsieht.

Sprache. Dieser DPA wird in polnischer und englischer Sprache geschlossen. Beide Sprachfassungen sind Bestandteil des geschlossenen Vertrags und können gemeinsam unterzeichnet werden; die Parteien sind nicht verpflichtet, ausschließlich den polnischen Text zu unterzeichnen, und ein Verantwortlicher, der den englischen Text unterzeichnet, unterzeichnet den Vertrag.

Verbleibt eine unauflösbare Abweichung, hat für einen in Polen niedergelassenen Verantwortlichen (mit eingetragenem Sitz oder einem Ort der Geschäftstätigkeit in Polen) die polnische Fassung Vorrang und für einen anderswo niedergelassenen Verantwortlichen die englische Fassung. Ein Bestellformular kann ausdrücklich die polnische oder die englische Fassung als vorrangige Fassung bestimmen. Diese Regel dient nur der Auflösung von Abweichungen und schließt keine der beiden Fassungen vom Hauptvertrag aus.

Es handelt sich um eine Auslegungsregel für den verbleibenden Restfall und nicht um eine Aussage, dass einer der beiden Texte außerhalb des Vertrags steht. Kerna pflegt beide Fassungen aus einer einzigen Quelle und ändert sie gemeinsam, sodass Abweichungen selten sein sollten; tritt eine auf, ist sie ein zu berichtigender Fehler und keine Wahl zwischen zwei Vereinbarungen. Übersetzungen dieses DPA in andere Sprachen werden nur zu Informationszwecken bereitgestellt; sie sind nicht Bestandteil des Hauptvertrags und haben vor keiner der beiden Fassungen Vorrang.

• Durchgängige TLS-Verschlüsselung bei der Übertragung (TLS 1.3 zwischen Client und Backend; TLS 1.2 oder höher für nachgelagerte Verbindungen). HSTS wird erzwungen.
• AES-256-Verschlüsselung im Ruhezustand für alle gespeicherten Daten, mit von Google verwalteten Schlüsseln und automatischer Rotation.
• E-Mail-Inhalte werden im Arbeitsspeicher verarbeitet und niemals in die Datenbanken, Protokolle oder Sicherungskopien von Kerna geschrieben.
• Wo aus E-Mails abgeleitete Daten gehalten werden: im dauerhaften Speicher auf den Servern von Kerna – nichts außer den nachstehend beschriebenen Workflow-Datensätzen, die keine E-Mail-Inhalte enthalten; im Arbeitsspeicher des Servers – Arbeitskopien, die vorgehalten werden, damit ein Nutzer zu einem Ergebnis zurückkehren kann, im Gmail-Add-on für etwa 30 Minuten und bei freigegebenen Postfächern für einige Minuten, und danach verworfen werden, oder früher, wenn der Server neu startet; auf dem eigenen Gerät des Nutzers, im Browserspeicher des Outlook-Add-ins – Ergebnisse zu einer E-Mail für eine Stunde, Entwürfe von Antworten und neu verfassten Nachrichten sowie Triage-Ergebnisse für 24 Stunden und für 30 Tage sowohl unbeantwortete Triage-Einträge (Betreff, Absender, Datum und die Kurzzusammenfassung von Kerna) als auch die Kennungen von als erledigt markierten Nachrichten, wobei jedes Element nach seinem Ablauf beim nächsten Öffnen von Kerna auf diesem Gerät entfernt wird und durch eine vom Nutzer selbst auf diesem Gerät vorgenommene Löschung beseitigt wird; in gespeicherten Workflow-Datensätzen, etwa den Statusdatensätzen freigegebener Postfächer und dem Sendeprotokoll von Senden an… – nur Kennungen, Status und Zeitpunkte, niemals Betreff oder Text; in Sicherungskopien – nur das, was die Datenbank enthält, also keine E-Mail-Inhalte.
• Eingabebegrenzungen: Jede Aktion sendet nur den Text, den sie benötigt, bis zu einer festen Länge. Schwärzung vor der Übertragung: Zahlungskartennummern, IBANs und polnische Bankkontonummern, polnische PESEL-Nummern und US-Sozialversicherungsnummern werden in den Formaten, die Kerna erkennt, in den von einer Aktion gesendeten E-Mail-Inhalten durch Platzhalter ersetzt, einschließlich der Betreffzeilen und Vorschauen der Posteingang-Triage sowie der Anhänge, die von Senden an… oder Mit Anhängen antworten verwendet werden. Andere personenbezogene Daten wie Namen, E-Mail-Adressen, Telefonnummern und Postanschriften werden so gesendet, wie sie vorkommen. Dateien, die mit der Funktion Anhänge gelesen werden, damit Angaben wie Kontonummern daraus extrahiert werden können, sowie Text, den der Nutzer selbst schreibt, etwa Anweisungen und Entwürfe, werden nicht geschwärzt.
• Zero Data Retention und vertragliches Trainingsverbot beim KI-Unterauftragsverarbeiter: Für eine KI-Aktion gesendete Inhalte werden weder gespeichert noch zum Training verwendet. Überprüft in der Plattform des Unterauftragsverarbeiters, die vermerkt, dass in einem Zero-Data-Retention-Projekt keine Protokolle gespeichert werden können.
• Prüfung der Ausgaben auf offengelegte Geheimnisse (Secrets).
• Authentifizierung über verifizierte Identitätstoken von Google und Microsoft mit erzwungener Festlegung (Pinning) von Zielgruppe (Audience), Aussteller (Issuer), Ablaufzeit und Algorithmus sowie Isolierung der Dokumentpfade je Nutzer, beschränkt auf die verifizierte Kontokennung.
• Ratenbegrenzung je Nutzer für KI-Aktionen. Sicherheits-Header über Helmet; restriktive CSP und CORS; Prüfung von Eingaben auf Injection-Versuche.
• Pseudonymisierte Analysen (HMAC-SHA256 mit serverseitigem Pepper); Aufbewahrung von Analysedaten für 90 Tage.
• Administrative Endpunkte sind zusätzlich zu einem gültigen Nutzertoken durch eine Allowlist und einen in konstanter Zeit geprüften API-Schlüssel geschützt und verweigern im Produktivbetrieb im Fehlerfall den Zugriff (Fail-Closed). Berechtigungen nach dem Prinzip der geringsten Rechte (Least Privilege) für Dienstkonten werden derzeit überprüft; der aktuelle Stand ist in der Informationssicherheitsrichtlinie von Kerna dokumentiert, die dem Verantwortlichen auf Anfrage zur Verfügung steht.
• Cloud Audit Logs für alle administrativen Aktionen; unveränderliche, zurechenbare Revisionen von Cloud Run.
• Hosting und Speicherung in EU-Regionen: Cloud Run europe-west1 (Belgien); Firestore europe-central2 (Warschau).
• Point-in-Time-Wiederherstellung von Firestore (7 Tage) und tägliche Sicherungskopien (Aufbewahrung 90 Tage).
• Validierung nach CASA Tier 2 für das Gmail-Add-on.

Betrieb der Kontrollen. Neu ausstellbare Secrets unterliegen dem Rotationsplan der Informationssicherheitsrichtlinie, mit sofortiger Rotation bei Verdacht auf Kompromittierung. Die Ratenbegrenzung je Nutzer wird über einen gemeinsamen Speicher über alle Dienstinstanzen hinweg durchgesetzt. Nachweise über die Kontrollen werden gemäß dem Dokumentationsregister aufbewahrt.

Diese Liste wird an der Stelle, an der dieser DPA veröffentlicht ist, unter kerna.io/dpa, auf dem aktuellen Stand gehalten, und Änderungen werden nach Ziffer 5 mitgeteilt. Stand zum Datum dieser Fassung:

Google Analytics, Brevo und Stripe, die ebenfalls in der Datenschutzrichtlinie von Kerna genannt werden, dienen der Website von Kerna, den E-Mails, die Kerna an die eigenen Nutzer sendet, und der eigenen Abrechnung von Kerna, was Kerna jeweils als Verantwortlicher durchführt (Ziffer 9b). Sie sind keine Unterauftragsverarbeiter im Sinne dieses DPA.

Diese Anlage gilt für die Dienste unabhängig davon, ob die Verordnung (EU) 2023/2854 (Datenverordnung) auf sie anwendbar ist. Kerna wendet Kapitel VI der Datenverordnung als vertraglichen Mindeststandard auf die Dienste an: Stellt eine zuständige Behörde fest, dass die Dienste nicht unter dieses Kapitel fallen, behält der Verantwortliche die Rechte nach dieser Anlage, sofern die Parteien nicht ausdrücklich etwas anderes vereinbaren.

Einleitung des Wechsels. Der Verantwortliche kann jederzeit verlangen, zu einem anderen Anbieter oder zu seiner eigenen Infrastruktur zu wechseln oder seine exportierbaren Daten löschen zu lassen, indem er an privacy@kerna.io schreibt. Der Wechsel oder die Löschung beginnt mit Eingang des Antrags bei Kerna oder zu einem vom Verantwortlichen benannten späteren Zeitpunkt, der höchstens zwei Monate nach Eingang liegt (jeweils der Starttermin). Die Frist für einen reinen Löschungsantrag ist unter „Löschung“ festgelegt.

Übergangszeitraum. Kerna schließt den Wechsel innerhalb eines Übergangszeitraums von 30 Kalendertagen, gerechnet ab dem Starttermin, ab. Der Hauptvertrag bleibt während dieses Zeitraums in Kraft: Kerna erbringt die Dienste weiterhin, leistet dem Verantwortlichen und einem etwaigen von ihm gewählten Anbieter angemessene Unterstützung, weist auf bekannte Risiken für die Kontinuität hin und hält während des gesamten Wechsels ein hohes Sicherheitsniveau aufrecht, auch während der Übertragung der Daten und während des Datenabrufzeitraums. Ist ein Zeitraum von 30 Tagen technisch nicht durchführbar, teilt Kerna dies dem Verantwortlichen innerhalb von 14 Arbeitstagen nach dem Antrag mit, begründet dies und legt einen alternativen Zeitraum von höchstens sieben Monaten fest, in dem dieselben Pflichten gelten. Der Verantwortliche kann den Übergangszeitraum einmalig um einen Zeitraum verlängern, den er für angemessener hält.

Datenabrufzeitraum. Dem Verantwortlichen stehen nach Ende des Übergangszeitraums mindestens 30 Kalendertage zur Verfügung, um seine exportierbaren Daten abzurufen.

Exportierbare Daten und digitale Vermögenswerte. Die nachstehende Tabelle ist die abschließende Aufstellung der Daten und digitalen Vermögenswerte, die exportiert werden können. Kerna stellt den Export auf Anfrage über einen sicheren Download-Link in den angegebenen Formaten bereit; die Dienste verfügen über keine Self-Service-Exportfunktion. Kerna aktualisiert diese Aufstellung, bevor in den Diensten erstmals eine neue Kategorie von Daten des Verantwortlichen gehalten wird. Kerna beruft sich für keine Kategorie auf eine Ausnahme zum Schutz von Geschäftsgeheimnissen.

Löschung. Sobald der Wechsel abgeschlossen ist, löscht Kerna die exportierbaren Daten innerhalb von 30 Tagen nach Ablauf des Datenabrufzeitraums oder nach einem mit dem Verantwortlichen vereinbarten späteren Zeitpunkt, vorbehaltlich nur einer gesetzlich vorgeschriebenen Aufbewahrung (Ziffer 10). Hat der Verantwortliche ausschließlich die Löschung verlangt, löscht Kerna die exportierbaren Daten innerhalb von 30 Tagen ab dem Starttermin – dieselbe Frist wie für die Löschung des Teamkontos nach Ziffer 10 – und bestätigt die Löschung schriftlich. Mit dem erfolgreichen Abschluss des Wechsels oder, bei einem reinen Löschungsantrag, zum Starttermin gilt der Hauptvertrag als beendet, und Kerna teilt dem Verantwortlichen die Beendigung mit. Die Beendigung des Hauptvertrags mit Abschluss eines Wechsels verkürzt den Datenabrufzeitraum nicht: Der Verantwortliche kann seine exportierbaren Daten bis zum Ende dieses Zeitraums weiterhin abrufen, die Sicherheitspflichten nach „Übergangszeitraum“ gelten bis dahin fort, und die 30-tägige Löschfrist beginnt erst mit dem Ende dieses Zeitraums oder einem mit dem Verantwortlichen vereinbarten späteren Zeitpunkt. In Sicherungskopien enthaltene Kopien laufen wie in Ziffer 10 festgelegt ab.

Entgelte. Kerna berechnet für den Wechsel oder für den Export von Daten keinerlei Entgelte.

Keine Hindernisse. Kerna stellt einem Wechsel keine vorkommerziellen, gewerblichen, technischen, vertraglichen oder organisatorischen Hindernisse in den Weg.

Infrastruktur und staatlicher Zugang. Die Hosting- und Speicherinfrastruktur von Kerna befindet sich in der Europäischen Union; die KI-Verarbeitung durch OpenAI und der Zugriff durch Sentry erfolgen in den Vereinigten Staaten (Ziffer 9 und Anlage III). Die Maßnahmen in Anlage II schützen nicht-personenbezogene Daten in den Diensten in gleicher Weise wie personenbezogene Daten vor unrechtmäßigem Zugang, einschließlich eines staatlichen Zugangs im internationalen Umfeld, der im Widerspruch zum Unionsrecht oder zum Recht eines Mitgliedstaats stehen würde.