DATENSCHUTZERKLÄRUNG

---

1. Einleitung

Die vorliegende Datenschutzerklärung informiert Sie über die Datenverarbeitung im Rahmen der Bereitstellung des LivePly AI-Chatbots und des Live-Kundendienstes (Dienstleistung) gemäß den Bestimmungen der DSGVO und des Informationsgesetzes. Die Erklärung ist ein untrennbarer Anhang der Allgemeinen Geschäftsbedingungen (AGB) und ist in Verbindung mit diesen auszulegen; ihre Begriffe haben – sofern nichts anderes bestimmt ist – die in den AGB festgelegte Bedeutung.

---

2. Angaben zum Verantwortlichen

Der Dienstleister hat keinen Datenschutzbeauftragten (DSB) benannt, da die von ihm durchgeführte Datenverarbeitung nicht unter die obligatorischen Kategorien gemäß Artikel 37 Absatz 1 der DSGVO fällt: Er ist keine Behörde, seine Haupttätigkeit besteht nicht in der regelmäßigen und systematischen Überwachung der betroffenen Personen in großem Umfang, und es werden keine besonderen Daten in großem Umfang verarbeitet. Bei Fragen zum Datenschutz und bei Anträgen betroffener Personen können Sie sich unter der E-Mail-Adresseoffice@solveply.com an den Dienstleister wenden.

---

3. Begriffsbestimmungen

• Nutzer: die Organisation, die den Dienst bestellt oder in Anspruch nimmt, sowie deren Mitarbeiter oder Beauftragte, die im Rahmen der Verwaltung tätig sind.
• Endnutzer/Besucher: die natürliche Person, die die digitale Plattform des Nutzers besucht und mit dem Chatbot kommuniziert.
• Betroffene Person: jede natürliche Person, deren personenbezogene Daten vom Dienstanbieter verarbeitet werden (Nutzer, Besucher, Newsletter-Abonnent).
• Newsletter-Abonnent: eine Person, die sich ohne Konto eigenständig für den Newsletter anmeldet.
• Auftragsverarbeiter: Eine Person, die im Auftrag des Dienstanbieters personenbezogene Daten verarbeitet.
• KI-Modellanbieter: Der Betreiber der von einem Dritten betriebenen KI-Infrastruktur, die zur Generierung der Antworten des Chatbots genutzt wird.

---

4. Grundsätze und Ort der Datenverarbeitung

4.1. Der Dienstleister verarbeitet personenbezogene Daten gemäß den Grundsätzen nach Artikel 5 der DSGVO.

4.2. Die Datenverarbeitung erfolgt in erster Linie innerhalb des EU-Gebiets. Ein Teil der gemäß Punkt 9 genannten Auftragsverarbeiter kann Daten auch in Drittländern verarbeiten; in diesem Fall wendet der Dienstleister die Garantien gemäß Kapitel V der DSGVO (Angemessenheitsbeschluss, Standardvertragsklauseln) an.

---

5. Verarbeitete Datenkategorien, Zwecke und Rechtsgrundlagen

5.1. Nutzerregistrierung und Vertragsabschluss

Der Vertrag kommt mit dem Nutzer als Organisation zustande. Die hier verarbeiteten personenbezogenen Daten beziehen sich auf die in dessen Namen handelnde natürliche Person (Ansprechpartner, Vertreter), die selbst nicht Vertragspartei ist – daher besteht die Rechtsgrundlage hierfür nicht in der Vertragserfüllung, sondern im berechtigten Interesse des Dienstleisters an der Abwicklung des Vertragsverhältnisses und der Identifizierung der Vertragspartei.

Art der Datenübermittlung: Die Angabe der Identifikationsdaten der Organisation ist Voraussetzung für den Vertragsabschluss; die Angabe des Namens und der E-Mail-Adresse der in ihrem Namen handelnden Person ist für die Nutzung des Kontos erforderlich. Folgen einer Unterlassung: Die Registrierung kann nicht vorgenommen werden, und der Dienst kann nicht in Anspruch genommen werden.

Der Kreis der Identifizierungsanbieter kann sich erweitern; der jeweils aktuelle Kreis ist in Punkt 9 aufgeführt. Der Dienstanbieter hat keinen Einblick in die eigenen Daten des Identifizierungsanbieters (z. B. das dortige Passwort). Systembezogene (transaktionsbezogene) E-Mails versendet der Dienstanbieter über den in Punkt 9 genannten E-Mail-Zustelldienst.

5.2. Rechnungsstellung und Gebührenzahlung

Art der Datenbereitstellung: Die Angabe der Rechnungsdaten ist eine gesetzlich vorgeschriebene Verpflichtung. Folgen einer Unterlassung: Die Rechnung kann nicht ausgestellt werden, der kostenpflichtige Dienst kann nicht in Anspruch genommen werden.

5.3. Nutzung des Chatbots und Kommunikation mit Endnutzern

Der für die Datenverarbeitung gemäß den Punkten 5.3 bis 5.3.2 Verantwortliche ist nicht der Dienstanbieter,** sondern der Nutzer.** Der Dienstanbieter handelt in diesem Zusammenhang ausschließlich als Auftragsverarbeiter gemäß den dokumentierten Anweisungen des Nutzers; die Zwecke und wesentlichen Mittel werden vom Nutzer festgelegt. Dies gilt nicht für die Protokolle im Zusammenhang mit dem Betrieb des Dienstes, die der Dienstleister für eigene Zwecke als eigenständiger Verantwortlicher führt; diese sind in den Punkten 5.3a und 5.3b beschrieben.

Die nachstehende Tabelle beschreibt daher die Datenverarbeitung durch den Nutzer als Verantwortlichen zu Informationszwecken – der Nutzer beruft sich auf die dort angegebenen Rechtsgrundlagen und ist für deren Vorliegen sowie für die Durchführung der Interessenabwägung verantwortlich. Die detaillierten Pflichten des Auftragsverarbeiters sind im separaten Anhang zur Datenverarbeitung (DPA) enthalten.

Art der Datenübermittlung: seitens des Endnutzers vollständig freiwillig; die Nutzung des Chatbots und die Angabe von Daten sind nicht verpflichtend. Folgen einer Unterlassung: Der Chatbot kann die Anfrage nur teilweise oder gar nicht beantworten; der Endnutzer kann den Nutzer auch über andere Kanäle (E-Mail, Telefon) kontaktieren.

5.3.1. Erkennung von Kontaktdaten, Identifizierung von Interessenten (Leads)

Der Chatbot kann die im Gespräch angegebenen Kontaktdaten (Name, Telefonnummer, E-Mail) automatisch erkennen, extrahieren und strukturiert dem Gespräch zuordnen – auch dann, wenn der Endnutzer diese im Freitext angegeben hat. Die extrahierten Kontaktdaten stimmen inhaltlich mit den Angaben überein, die der Endnutzer im Gespräch gemacht hat. Als Ergebnis dieses Vorgangs entstehen jedoch zwei Daten, die vom Endnutzer nicht direkt angegeben wurden: der strukturierte Interessenten-Datensatz und die Kennzeichnung „Interessent“. Der Vorgang dient zwei Zwecken:

) Übersichtlichkeit für die Mitarbeiter – die Kontaktdaten sollen an einem Ort verfügbar sein;

) Identifizierung und Statistik der Interessenten – bei Erkennung einer E-Mail-Adresse oder Telefonnummer erhält die Konversation die Kennzeichnung „Interessent“, wird in die separate Interessentenliste des Admin-Bereichs aufgenommen und fließt in die aggregierten Interessentenkennzahlen ein. Die Kennzeichnung basiert ausschließlich darauf, ob in der Unterhaltung eine E-Mail-Adresse oder Telefonnummer enthalten ist; eine weitere Bewertung, Prognose oder Einstufung der persönlichen Merkmale des Endnutzers erfolgt durch den Dienst nicht.

Maßgebliche Regeln:

• Die bloße Angabe des Namens führt nicht zu einer Kennzeichnung als Interessent.
• Die Kennzeichnung stellt keine Einwilligung in Marketingmaßnahmen dar: Werbung darf ausschließlich mit der gesonderten, vorherigen und ausdrücklichen Einwilligung des Endnutzers versendet werden [Grt. § 6 Abs. (1)]. Ein Widerspruch gegen Direktmarketing muss bedingungslos befolgt werden [Art. 21 Abs. 2 DSGVO].
• Die aggregierten Kennzahlen enthalten lediglich Stückzahlen, keine Kontaktdaten.
• Die Interessenten-Daten bilden einen eigenständigen Datenbestand, der die Löschung des Gesprächs überdauert: Sie unterliegen einer eigenen Aufbewahrungsfrist und werden über einen eigenständigen Löschpfad gelöscht (die Aufbewahrungsfrist siehe unten). Der Dienstanbieter unterhält kein vom Nutzer unabhängig betriebenes, für eigene Zwecke bestimmtes Kontaktverzeichnis (CRM).
• Wenn der Nutzer die Interessenten-Daten in sein eigenes externes System übernimmt, handelt es sich um eine eigenständige Datenverarbeitung des Nutzers, für die ausschließlich er verantwortlich ist.

Aufbewahrungsfrist für Interessenten-Daten. Der Nutzer legt diese im Admin-Bereich für jeden Chatbot einzeln fest; die Standardeinstellung beträgt 12 Monate, die einstellbare Obergrenze 24 Monate. Die Frist wirdab dem letzten substanziellen Kontakt (last_activity_at) berechnet, nicht ab dem Zeitpunkt der Erstellung der Interessenten-Daten. Nach Ablauf der Frist werden die Daten des Interessenten automatisch gelöscht, unabhängig von der Aufbewahrungsdauer der Konversation. Die Löschung der Daten des Interessenten kann unabhängig von der Löschung der Konversation beantragt werden.

Rechtsgrundlage für beide Zwecke ist das berechtigte Interessedes Nutzers [Art. 6 Abs. 1 Buchstabe f DSGVO]; die Durchführung und Dokumentation der Interessenabwägung obliegt dem Nutzer.

Die Genauigkeit der Namensermittlung. Die Ermittlung des Namens erfolgt nicht in jedem Fall ausschließlich durch eine vorab festgelegte, deterministische Verarbeitung: Der in Punkt 9 genannte KI-Modellanbieter kann den Namen des Endnutzers auch aus dem Text der Unterhaltung ableiten. Da der auf diese Weise ermittelte Name nicht unbedingt korrekt ist, hält das System auch fest, ob der betreffende Name aus einer direkten Angabe des Endnutzers stammt oder auf der Grundlage des Gesprächsinhalts abgeleitet wurde.

Der Nutzer kann im Admin-Bereich alle Felder des Interessenten-Datensatzes korrigieren oder löschen, sodass auch ein möglicherweise falsch erfasster Name berichtigt werden kann. Möchte der Endnutzer gemäß Artikel 16 der DSGVO einen Antrag auf Berichtigung stellen, muss er diesen beim Nutzer einreichen; der Dienstleister leistet in diesem Fall als Auftragsverarbeiter gemäß den Bestimmungen der Datenschutzvereinbarung (DPA) Unterstützung bei der Erfüllung des Antrags im Einklang mit Artikel 28 Absatz 3 Buchstabe e der DSGVO.

Die Richtigkeit des aus dem Gespräch abgeleiteten Namens wird vom Dienst nicht anhand anderer Quellen überprüft. Verwendet der Nutzer die Daten der anfragenden Person später zur Fassung einer sachlichen Entscheidung, muss er selbst für eine angemessene Überprüfung der Richtigkeit der Daten sorgen.

5.3.2. Angehängte Dateien (Bilder und Dokumente)

Der Endnutzer kann pro Nachricht eine Datei anhängen, jedoch ausschließlich auf freiwilliger Basis; das Anhängen ist keine Voraussetzung für die Nutzung des Dienstes.

) Im Falleeines Bildes wird der Inhalt – zusammen mit der Textnachricht – vom KI-Modellanbieter gemäß Punkt 9 zur Erstellung der Antwort verarbeitet, jedoch nur, wenn das aufgerufene Modell für die Bildverarbeitung geeignet ist; andernfalls wird das Bild lediglich gespeichert, worüber der Endnutzer im Chat informiert wird.

) **** Der Inhalt vonDokumenten (PDF, docx, xlsx) wird nicht an den Modellanbieter weitergeleitet; der Dienst führt keine OCR-, Inhalts- oder Embedding-Verarbeitung daran durch – er speichert sie lediglich, und nur die berechtigten Mitarbeiter des Nutzers können sie einsehen. Der Endnutzer erhält hierzu eine Benachrichtigung im Chat.

) Der Inhalt der Datei wird vom Endnutzer festgelegt und vom Dienstanbieter nicht gefiltert; er kann auch Daten Dritter oder besondere Daten gemäß Ziffer 5.7 enthalten – es gilt Ziffer 5.7 entsprechend.

) Der Nutzer kann das Anhängen von Bildern und Dokumenten im Admin-Bereich (Einstellungen → Datenschutz) separat deaktivieren; im Falle einer Deaktivierung akzeptiert der Chatbot den jeweiligen Dateityp nicht. Standardmäßig sind beide Funktionen aktiviert.

Die Rolle des Dienstleisters als Auftragsverarbeiter erstreckt sich aufalle Vorgängegemäß den Punkten 5.3 bis 5.3.2 – einschließlich der Generierung von KI-Antworten, der Verwaltung von Anhängen, der Erkennung von Kontaktdaten und der Erstellung von Interessentenstatistiken –, mit Ausnahme der Punkte 5.3a** und 5.3b., in denen der Dienstanbieter als eigenständiger Datenverantwortlicher auftritt; die diesbezügliche Information erteilt der Dienstanbieter den Endnutzern direkt durch das auf der Website liveply.com veröffentlichte Dokument mit dem Titel „LivePly-Hinweise für Besucher,* die mit dem Chatbot kommunizieren* “. Der Nutzer ist für die ordnungsgemäße Unterrichtung seiner Endnutzer verantwortlich.

5.3a. Protokollierung der Annahme und Kenntnisnahme rechtlicher Dokumente

Der Dienstanbieter protokolliert, wer wann welche Dokumentversion akzeptiert bzw. zur Kenntnis genommen hat. Es handelt sich um drei Protokolle:

Keines der Protokolle speichert IP-Adressen, Gerätekennungen oder Spitznamen.

Art der Datenübermittlung: basiert nicht auf einer Datenübermittlung durch die betroffene Person; die Protokolle werden während der Nutzung des Dienstes automatisch erstellt. Folgen einer Unterlassung: nicht relevant, da die betroffene Person keine Möglichkeit zur Datenübermittlung hat.

5.3b. Protokollierung von Vorgängen und Geräteanrufen

Der Dienstanbieter führt Protokolleüber die vom Chatbot ausgelösten Vorgänge (z. B. Terminvereinbarungen) sowie über den Aufrufexterner Dienste. Diese Protokolle enthalten die Parameter und das Ergebnis des Vorgangs, die auch die vom Endnutzer angegebenen Daten – Name, E-Mail-Adresse, Telefonnummer – umfassen können.

Diese Aufbewahrungsfrist giltplattformweit und ist unabhängig von der für die Konversation festgelegten Aufbewahrungsfrist: Die Protokolle dienen anderen Zwecken – Fehlerbehebung, Streitbeilegung, Rückverfolgbarkeit – und bleiben daher auch nach der Löschung der Konversation erhalten.

Im Falle eines Löschantrags der betroffenen Person löscht der Dienstanbieter auch diese Protokolle; die Frist von 365 Tagen muss nicht abgewartet werden.

Art der Datenübermittlung: Sie basiert nicht auf der Übermittlung von Daten durch die betroffene Person; die Protokolle werden beim Start des Vorgangs automatisch erstellt. Folge einer Unterlassung: Der Vorgang (z. B. Terminvereinbarung) kann nicht gestartet werden.

5.4. Website-Besuche, Cookies

Über Cookies – einschließlich ihrer Lebensdauer im Browser – informiert eine separate Cookie-Richtlinie.

Art der Datenübermittlung: Sie basiert nicht auf einer Datenübermittlung durch die betroffene Person; die Daten werden bei der Nutzung der Website automatisch erfasst. Die Nutzung von Google Analytics beruht auf einer freiwilligen Einwilligung. Folgen einer Verweigerung: Bei Deaktivierung der erforderlichen Cookies funktionieren bestimmte Funktionen der Website bzw. des Admin-Bereichs nicht; die Verweigerung der Einwilligung zur Analyse schränkt die Nutzung der Website nicht ein.

5.5. Kundenservice, Beschwerdebearbeitung

Der Dienst ist ausschließlich für die geschäftliche (nicht für die privatkundliche) Nutzung bestimmt (AGB 4.5.), daher finden die im Verbraucherschutzgesetz festgelegten Regeln zur Beschwerdebearbeitung und Aufbewahrung auf diese Datenverarbeitung keine Anwendung; die Aufbewahrungsfrist richtet sich nach der Verjährungsfrist gemäß dem Bürgerlichen Gesetzbuch.

Die Verfahrensregeln für die Bearbeitung von Beschwerden sind in Ziffer 15 der AGB, die Rechtsbehelfsmöglichkeiten der betroffenen Person (Beschwerde bei der Aufsichtsbehörde, gerichtlicher Weg) hingegen in Ziffer 8 dieser Datenschutzerklärung enthalten.

Art der Datenübermittlung: freiwillig. Folge einer Nichtübermittlung: Die Anfrage kann nicht beantwortet werden.

5.6. Daten von Kindern

Der Dienst dient der B2B-Kundenkommunikation; der Dienstanbieter richtet den Chatbot nicht an Personen unter 18 Jahren und erhebt bewusst keine Daten von diesen. Sollte die Zielgruppe der Benutzeroberfläche des Nutzers voraussichtlich auch Personen unter 18 Jahren umfassen, darf der Chatbot ausschließlich mit der vorherigen Einwilligung gemäß Ziffer 12.9 der AGB und nach Annahme der Ergänzenden Bedingungen für Minderjährige im dort festgelegten Modus für minderjährige Zielgruppen betrieben werden; Der Zweck dieses Modus besteht gerade darin, dass der Chatbot keine personenbezogenen Daten von Minderjährigen erhebt, sodass die Einwilligungsanforderungen gemäß Artikel 8 der DSGVO im Rahmen des Betriebs des Chatbots nicht zum Tragen kommen. Die Einhaltung von Artikel 8 der DSGVO bleibt in der Verantwortung des Nutzers bei allen eigenen Prozessen außerhalb des Chatbots, bei denen eine auf der Einwilligung von Minderjährigen beruhende Datenverarbeitung stattfindet.

5.7. Besondere Datenkategorien

Der Endnutzer kann im Rahmen der Unterhaltung – oder in einer angehängten Datei – möglicherweise auch besondere Daten im Sinne von Artikel 9 der DSGVO weitergeben. Der Dienstanbieter fordert solche Daten weder an noch empfiehlt er deren Angabe, und das System ist nicht für die Verarbeitung solcher Daten ausgelegt. Es liegt in der Verantwortung des Nutzers, den Chatbot so zu konfigurieren und die Endnutzer so zu informieren, dass die Angabe solcher Daten vermieden wird. Sollten Endnutzer aufgrund der Art der Tätigkeit des Nutzers voraussichtlich solche Daten übermitteln, liegt es ausschließlich in der Verantwortung des Nutzers, die erforderlichen Einstellungen vorzunehmen (einschließlich der Deaktivierung von Dateianhängen – 5.3.2. d)), die entsprechenden Informationen bereitzustellen sowie die Rechtsgrundlage und Garantien gemäß Artikel 9 Absatz 2 der DSGVO sicherzustellen. Ist die Tätigkeit des Nutzers gesundheitlicher Natur, darf der Chatbot nur mit der vorherigen Einwilligung gemäß Ziffer 12.9 der AGB und nach Annahme der Ergänzenden Bedingungen für den Gesundheitsbereich betrieben werden. Für besondere Daten, die freiwillig und trotz des Hinweises angegeben werden, übernimmt der Dienstanbieter keine Haftung.

5.8. Newsletter und Marketing

5.8.1. Die Anmeldung basiert auf einer freiwilligen Einwilligung, die durch ein separates, nicht vorab angekreuztes Kontrollkästchen erteilt wird; sie ist keine Voraussetzung für die Inanspruchnahme des Dienstes.

5.8.2. Die Einwilligung kann jederzeit ohne Angabe von Gründen durch Abmeldung vom Newsletter, über den Admin-Bereich oder über die in Punkt 2 genannten Kontaktmöglichkeiten widerrufen werden.

Art der Datenübermittlung: freiwillig; die Anmeldung ist keine Voraussetzung für die Inanspruchnahme des Dienstes. Folge einer Nichtübermittlung: Der Dienstanbieter kann keinen Newsletter versenden.

---

6. Automatisierte Entscheidungsfindung

6.1. Die Antworten des Chatbots werden durch automatisierte Verarbeitung generiert, gelten jedoch in der Regel nicht als automatisierte Entscheidung mit rechtlichen Auswirkungen oder von vergleichbarer Bedeutung im Sinne von Artikel 22 der DSGVO: Der Chatbot dient der informativen Kundenkommunikation. Die in Abschnitt 5.3.1 genannte Kennzeichnung als Interessent hat für sich genommen ebenfalls keine rechtlichen Auswirkungen; über weitere Schritte entscheidet ein Mitarbeiter des Nutzers.

6.2. Möchte der Nutzer den Chatbot für eine solche Entscheidungsfindung einsetzen, so ist er allein für die Rechtmäßigkeit dieser Vorgehensweise und für die Rechte der betroffenen Personen gemäß Artikel 22 der DSGVO verantwortlich; hierfür ist gemäß Ziffer 12.9 Absatz (3) Buchstabe d) der AGB die vorherige schriftliche Zustimmung des Dienstleisters erforderlich.

---

7. Rechte der betroffenen Person

Die betroffene Person kann gemäß den Artikeln 15 bis 22 der DSGVO über die in Punkt 2 genannten Kontaktdaten Folgendes beantragen:

• Auskunft – Informationen über die verarbeiteten Daten, deren Zweck, Rechtsgrundlage und Dauer;
• Berichtigung – die Korrektur unrichtiger Daten sowie die Ergänzung unvollständiger Daten;
• Löschung („Recht auf Vergessenwerden“) unter den in Artikel 17 der DSGVO festgelegten Bedingungen;
• Einschränkung in den Fällen gemäß Artikel 18 der DSGVO;
• Datenübertragbarkeit – die von ihm bereitgestellten Daten in einem strukturierten, maschinenlesbaren Format;
• Widerspruch – gegen die Datenverarbeitung, die auf einem berechtigten Interesse beruht. Einen Widerspruch gegen die Datenverarbeitung über den Chatbot, die auf dem berechtigten Interesse des Nutzers beruht (einschließlich der Identifizierung von Interessenten), kann der Endnutzer beim Nutzer geltend machen;
• Widerruf der Einwilligung – jederzeit, unbeschadet der Rechtmäßigkeit der Datenverarbeitung vor dem Widerruf.

Der Dienstanbieter wird dem Antrag spätestens innerhalb eines Monats nachkommen; bei komplexen Anträgen kann diese Frist nach vorheriger Benachrichtigung um zwei Monate verlängert werden.

Endnutzer, die mit dem Chatbot kommunizieren, können ihren Antrag beim Nutzer (dem Betreiber der Website) als Verantwortlichen geltend machen. Geht ein solcher Antrag direkt beim Dienstleister ein, leitet dieser ihn – in seiner Eigenschaft als Auftragsverarbeiter – unverzüglich an den betroffenen Nutzer weiter und wirkt gemäß der Datenschutzvereinbarung (DPA) bei der Erledigung mit. Anträge gemäß den Punkten 5.3a und 5.3b, die sich auf Daten beziehen, die in den Zuständigkeitsbereich des Dienstanbieters als Datenverantwortlicher fallen, werden vom Dienstanbieter selbst bearbeitet.

---

8. Rechtsbehelfsmöglichkeiten

8.1. Die betroffene Person kann bei dem Dienstleister unter den in Punkt 2 genannten Kontaktdaten eine Beschwerde einreichen.

8.2. Eine Beschwerde kann bei der Aufsichtsbehörde eingereicht werden:

8.3. Die betroffene Person kann sich auch an ein Gericht wenden; die Klage kann – nach ihrer Wahl – auch vor dem für ihren Wohnsitz oder Aufenthaltsort zuständigen Gericht erhoben werden.

---

9. Auftragsverarbeiter und sonstige Empfänger

Es liegt in der Verantwortung des Nutzers, auf dem MCP nur Speicherorte einzubinden, deren Inhalte er zur Weitergabe berechtigt ist.

Der Dienstanbieter kann in Zukunft weitere Anbieter von KI-Modellen hinzuziehen. Vor der Einführung eines neuen Anbieters ergänzt der Dienstanbieter diese Datenschutzerklärung und benachrichtigt die Nutzer gemäß dem in Abschnitt 4.4 der DPA festgelegten Verfahren mindestens 30 Tage vor der Einführung.

Richtet der Nutzer einen eigenen Modelldienstzugang oder einen eigenen Modell-Endpunkt ein, so liegt die Weiterleitung an diesen in der Entscheidung des Nutzers als Datenverantwortlicher: Er ist für die Rechtmäßigkeit, die Garantien gemäß Kapitel V der DSGVO und den Datenverarbeitungsvertrag verantwortlich; der Dienstleister überprüft den Endpunkt nicht und nutzt ihn nicht als seinen eigenen Unterauftragsverarbeiter (DPA, Punkte 5 und 6.4).

Der Dienstleister beauftragt die Datenverarbeiter unter Einhaltung der gebotenen Sorgfalt gemäß Artikel 28 Absatz 1 der DSGVO durch die Annahme ihrer öffentlichen Datenverarbeitungsbedingungen (DPA). Darüber hinaus gibt er keine personenbezogenen Daten an Dritte weiter, es sei denn, es besteht eine gesetzliche Verpflichtung oder die betroffene Person hat ausdrücklich ihre Einwilligung erteilt.

Datenübermittlung an Behörden und zur Rechtsdurchsetzung. Der Dienstleister übermittelt personenbezogene Daten aufgrund gesetzlicher Verpflichtungen oder gerichtlicher bzw. behördlicher Entscheidungen an die zuständige Stelle sowie – soweit erforderlich – zum Zwecke der Durchsetzung seiner Rechte, der Beilegung von Rechtsstreitigkeiten oder der Untersuchung des Verdachts auf rechtswidrige Handlungen, einschließlich der Weitergabe an seinen zur Verschwiegenheit verpflichteten Rechtsvertreter. Die betroffene Person wird hierüber – sofern keine anderslautenden gesetzlichen Bestimmungen vorliegen – informiert.

---

10. Datensicherheit

10.1. Der Dienstleister ergreift geeignete technische und organisatorische Maßnahmen zum Schutz vor unbefugtem Zugriff, Änderung, Weitergabe, Offenlegung, Löschung, Vernichtung sowie vor versehentlichem Verlust und Beschädigung. Insbesondere: speichert er die Daten der Mandanten in getrennten Datenbankschemata; überträgt er die Daten über einen verschlüsselten Kanal; speichert er Passwörter ausschließlich als nicht rückverfolgbare kryptografische Fingerabdrücke (Argon2) und bewahrt sie nirgendwo in ihrer ursprünglichen Form auf; die vom Nutzer angegebenen Zugriffsschlüssel und Tokens – deren Verwendung eine Entschlüsselung erfordert – werdenverschlüsselt (AES-256-GCM) gespeichert; der Zugriff wird nach dem Prinzip der geringsten Berechtigung gewährt.

10.2. Datenschutzvorfall. Das Vorgehen hängt davon ab, ob der Dienstleister im Hinblick auf die jeweilige Datenverarbeitung als Verantwortlicher oder als Auftragsverarbeiter gilt.

(1) Ist der Dienstleister der Verantwortliche – insbesondere bei den Datenverarbeitungen gemäß den Punkten 5.1, 5.2, 5.3a, 5.3b, 5.4, 5.5. und 5.8. genannten Datenverarbeitungen – meldet er den Vorfall gemäß Artikel 33 Absatz 1 DSGVO unverzüglich, spätestens jedoch innerhalb von 72 Stunden, an die NAIH, es sei denn, der Vorfall birgt voraussichtlich kein Risiko. Bei hohem Risiko werden die betroffenen Personen gemäß Artikel 34 der DSGVO ebenfalls informiert.

(2) Ist der Dienstleister Datenverarbeiter – im Sinne der Ziffern 5.3 bis 5.3.2 – und meldet er den Vorfall gemäß Artikel 33 Absatz 2 der DSGVO nicht der NAIH, sondern dem Nutzer als Datenverantwortlichem, so hat er dies unverzüglich und innerhalb der in der Datenschutzvereinbarung festgelegten Frist zu tun. Die Meldung an die NAIH und die Unterrichtung der betroffenen Personen obliegen in diesem Fall dem Nutzer; der Dienstleister leistet hierzu gemäß der DPA Unterstützung.

---

11. Änderung der Datenschutzerklärung

11.1. Der Dienstleister kann die Datenschutzerklärung einseitig ändern, insbesondere im Falle von Gesetzesänderungen, Funktionserweiterungen oder Änderungen im Kreis der Auftragsverarbeiter.

11.2. Die jeweils gültige Datenschutzerklärung ist auf der Website liveply.com abrufbar. Über Änderungen, die die Rechte der betroffenen Personen wesentlich betreffen, informiert der Dienstleister unter ordnungsgemäßer Anwendung des in Ziffer 13.2 der Allgemeinen Geschäftsbedingungen (AGB) festgelegten Benachrichtigungsverfahrens.

---

12. Maßgebliche Rechtsvorschriften

DSGVO; Informationsgesetz (Gesetz CXII von 2011); Bürgerliches Gesetzbuch (Gesetz V von 2013); Rechnungslegungsgesetz (Gesetz C von 2000); Eker.-Gesetz (Gesetz Nr. CVIII von 2001); Fgytv. (Gesetz Nr. CLV von 1997); Grt. (Gesetz Nr. XLVIII von 2008).