Rechtliches · UK GDPR & EU GDPR Art. 28

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 22. Oktober 2026

Unverbindliche Übersetzung. Bei Abweichungen gilt die englische Fassung.

EN · IT · DE · FR · ES

1. Parteien und Geltungsbereich

Dieser Vertrag besteht zwischen dem Händler, der Kosmly nutzt („Verantwortlicher“), und der Kosmly Ltd, eingetragen in England und Wales (Nr. [number]), Sitz [address], USt-IdNr. [GB number] („Auftragsverarbeiter“). Er erfüllt Artikel 28 der UK GDPR und der DSGVO, je nachdem, welche für den Verantwortlichen gilt. Er gilt für alle personenbezogenen Daten, die der Auftragsverarbeiter über den Kosmly-Dienst für den Verantwortlichen verarbeitet, und ist Teil der Nutzungsbedingungen. Bei Widersprüchen zwischen diesem AVV und den Bedingungen geht dieser AVV in Datenschutzfragen vor.

2. Einzelheiten der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien von Daten und betroffenen Personen sind in Anlage I beschrieben.

3. Pflichten des Auftragsverarbeiters

1. Weisungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, also nach den Bedingungen, diesem AVV und den Einstellungen des Verantwortlichen in Kosmly. Er informiert den Verantwortlichen, wenn er eine Weisung für rechtswidrig hält.
2. Vertraulichkeit. Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet und in Datenschutz und KI-Kompetenz geschult.
3. Sicherheit. Der Auftragsverarbeiter setzt die Maßnahmen aus Anlage II um (Art. 32 DSGVO).
4. Datenminimierung. Agenten erhalten nur die Daten, die sie brauchen. Namen, E-Mail-Adressen und Telefonnummern werden durch Platzhalter ersetzt, bevor Text an ein KI-Modell geht, sofern die Aufgabe es zulässt.
5. Kein Training. Personenbezogene Daten werden nie zum Training oder zur Verbesserung von KI-Modellen genutzt, weder vom Auftragsverarbeiter noch von seinen Unterauftragsverarbeitern.
6. Betroffenenanfragen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen auf Auskunft, Berichtigung, Löschung oder Export, auch über die verpflichtenden Datenschutz-Webhooks der Plattformen.
7. Datenschutzverletzungen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens 48 Stunden nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, mit den Informationen, die der Verantwortliche für seine eigene Meldung nach Art. 33 braucht.
8. Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen (Art. 35) und vorherigen Konsultationen, die Kosmly betreffen.
9. Ende des Dienstes. Innerhalb von 30 Tagen nach Ende des Dienstes löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie auf Wunsch zurück, sofern das Gesetz keine Aufbewahrung verlangt.
10. Nachweise. Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung nötigen Informationen bereit und erlaubt ein Audit pro Jahr mit 30 Tagen Vorlauf oder nach einer Datenschutzverletzung.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage III. Der Auftragsverarbeiter verpflichtet jeden vertraglich zu denselben Datenschutzpflichten. Er kündigt jeden neuen Unterauftragsverarbeiter mindestens 30 Tage vorher per E-Mail und auf dieser Seite an. Der Verantwortliche kann aus vernünftigen Gründen widersprechen; findet sich keine Lösung, kann er den betroffenen Dienst mit anteiliger Erstattung beenden.

5. Internationale Übermittlungen

Personenbezogene Daten werden in der EU/im EWR gespeichert und verarbeitet. Der Auftragsverarbeiter hat seinen Sitz im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU besteht; der Fernzugriff seines britischen Personals stützt sich auf diesen Beschluss. Jede andere Übermittlung erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses, der Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der Kommission) oder, für britische Daten, des International Data Transfer Agreement bzw. Addendum, mit einer Bewertung des Übermittlungsrisikos und zusätzlichen Garantien, wo nötig.

6. Haftung

Die Haftung jeder Partei aus diesem AVV unterliegt den Grenzen der Nutzungsbedingungen, soweit Artikel 82 der UK GDPR oder der DSGVO nichts anderes bestimmt.

Anlage I · Beschreibung der Verarbeitung

Anlage II · Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256).
• Strikte Trennung der Daten jedes Händlers, auf Datenbankebene erzwungen.
• Rollenbasierter Zugriff, Zwei-Faktor-Authentifizierung und minimale Rechte für Mitarbeitende; Zugriffe werden protokolliert.
• Pseudonymisierung personenbezogener Daten, bevor sie KI-Modelle erreichen, sofern die Aufgabe es zulässt.
• Tägliche verschlüsselte Backups in der EU mit getesteten Wiederherstellungen.
• Schwachstellenmanagement, Prüfung von Abhängigkeiten und ein öffentlicher Sicherheitskontakt (security@kosmly.com), im Einklang mit dem Cyber Resilience Act.
• Schriftliches Verfahren für Vorfälle und Datenschutzverletzungen, mindestens einmal im Jahr getestet.
• Schulung der Mitarbeitenden in Datenschutz und KI-Kompetenz (Art. 4 AI Act).

Anlage III · Unterauftragsverarbeiter

Supportanfragen werden innerhalb von Kosmly auf der oben genannten Infrastruktur bearbeitet. Vor dem Start von Nova wird hier ein Anbieter für Bildmodelle ergänzt, mit 30 Tagen Vorankündigung.

Kontakt zu diesem Vertrag: privacy@kosmly.com.