AUFTRAGSVERARBEITUNGSVEREINBARUNG

Zuletzt aktualisiert: 16. Juli 2026

Diese Auftragsverarbeitungsvereinbarung („DPA“) ist Bestandteil des Hauptdienstleistungsvertrags oder einer sonstigen schriftlichen oder elektronischen Vereinbarung zwischen Reslify LLC („Reslify“) und dem Unternehmen, das die Dienste erwirbt („Kunde“) (zusammen die „Vereinbarung“) und gibt die Vereinbarung der Parteien über die Verarbeitung personenbezogener Kundendaten gemäß den anwendbaren Datenschutzgesetzen wieder.

Durch Unterzeichnung oder anderweitige Annahme der Vereinbarung schließt der Kunde diese DPA in eigenem Namen sowie, soweit nach anwendbarem Recht zulässig, im Namen und für Rechnung seiner verbundenen Unternehmen ab, sofern und soweit Reslify personenbezogene Kundendaten verarbeitet, für die diese verbundenen Unternehmen als Verantwortliche gelten. Ausschließlich für die Zwecke dieser DPA und soweit nicht anders angegeben, schließen Bezugnahmen auf den „Kunden“ den Kunden und seine jeweils betroffenen verbundenen Unternehmen ein. Sämtliche in dieser DPA verwendeten, aber nicht definierten großgeschriebenen Begriffe haben die ihnen in der Vereinbarung zugewiesene Bedeutung.

Der Kunde kann diese DPA abschließen und annehmen, indem er (a) die Vereinbarung unterzeichnet oder (b) die Vereinbarung und diese DPA elektronisch per Clickwrap oder über einen ähnlichen Online-Annahmemechanismus annimmt. Eine solche elektronische Annahme gilt als wirksamer Abschluss dieser DPA durch den Kunden.

Bei der Erbringung der Dienste für den Kunden gemäß der Vereinbarung verarbeitet Reslify personenbezogene Kundendaten im Auftrag des Kunden. Die Parteien verpflichten sich, diese DPA einzuhalten, wobei jede Partei angemessen und nach Treu und Glauben handelt. Klarstellend schließen Bezugnahmen auf diese DPA diese DPA und sämtliche Anlagen hierzu ein.

Anlagen. Die Anlagen 1–5 sind Bestandteil dieser DPA und werden durch Verweis einbezogen. Begriffe, die in einer Anlage großgeschrieben, aber dort nicht definiert sind, haben die ihnen in dieser DPA zugewiesene Bedeutung.

Geltungsbereich. Diese DPA gilt für personenbezogene Kundendaten, die Reslify als Auftragsverarbeiter im Auftrag des Kunden im Zusammenhang mit den Diensten verarbeitet, mit Ausnahme der ausdrücklichen Regelung in Abschnitt 3, der eine begrenzte Verarbeitung durch Reslify als eigenständig Verantwortlicher beschreibt. Die Pflichten eines Auftragsverarbeiters nach dieser DPA gelten nicht für personenbezogene Daten, die Reslify als eigenständig Verantwortlicher zu von Reslify selbst bestimmten Zwecken verarbeitet. Hierzu gehören (i) außerhalb der Dienste oder der Kundeninstanz geführte Daten zur Registrierung und Verwaltung auf Kontoebene sowie zur Pflege der Kundenbeziehung, (ii) Daten zu Abrechnung, Abonnements, Rechnungsstellung und Zahlungsstatus sowie Vertriebs- oder Marketingkontaktdaten im Zusammenhang mit der unmittelbaren Kundenbeziehung und (iii) die in Abschnitt 3 beschriebene begrenzte Verantwortlichen-Telemetrie. Diese Verarbeitung unterliegt vorbehaltlich der nachstehenden Abschnitte 3 und 8.11 der Datenschutzerklärung von Reslify. Personenbezogene Daten autorisierter Nutzer des Kunden, die innerhalb der Dienste zur Zugangsbereitstellung, Verwaltung der Kundeninstanz, Gewährleistung der produktinternen Nachvollziehbarkeit, Fehlerbehebung, Zuverlässigkeitsüberwachung, Kapazitätsplanung, Erstellung von Kundenberichten oder anderweitigen Unterstützung der Dienste verarbeitet werden, sind personenbezogene Kundendaten und werden von Reslify als Auftragsverarbeiter verarbeitet. Daten derselben Person können innerhalb der Kundeninstanz als personenbezogene Kundendaten und außerhalb der Kundeninstanz als von Reslify kontrollierte Konto-, Abrechnungs- oder CRM-Datensätze verarbeitet werden.

1. DEFINITIONEN

„Verbundenes Unternehmen“ bezeichnet ein Unternehmen, das eine Partei unmittelbar oder mittelbar kontrolliert, von ihr kontrolliert wird oder mit ihr unter gemeinsamer Kontrolle steht. Ein Unternehmen gilt als ein anderes Unternehmen kontrollierend, wenn es befugt ist, dessen Geschäftsführung oder Geschäftspolitik zu bestimmen oder deren Bestimmung zu veranlassen, sei es durch den Besitz stimmberechtigter Anteile, durch Vertrag oder auf andere Weise.

„CCPA“ bezeichnet den California Consumer Privacy Act von 2018 in der durch den California Privacy Rights Act von 2020 (der „CPRA“) geänderten Fassung sowie sämtliche darunter erlassenen verbindlichen Vorschriften.

„Kundeninhalte“ bezeichnet die vom Kunden oder in dessen Namen in die Dienste eingestellten inhaltlichen Angaben (einschließlich Texte, Bilder, Speisekarten, Beschreibungen von Veranstaltungsorten, Notizen, benutzerdefinierte Felder und sonstige innerhalb der Kundeninstanz angezeigte oder gespeicherte Inhalte), die personenbezogene Daten enthalten können.

„Personenbezogene Kundendaten“ bezeichnet sämtliche personenbezogenen Daten, die Reslify (oder seine Unterauftragsverarbeiter) gemäß oder im Zusammenhang mit der Vereinbarung im Auftrag des Kunden oder seiner verbundenen Unternehmen verarbeitet. Klarstellend gelten Informationen, die (nach dem von der DSGVO verlangten Standard) anonymisiert oder (gegebenenfalls gemäß der Definition im CCPA/CPRA) derart de-identifiziert wurden, dass sie nach anwendbaren Datenschutzgesetzen nicht mehr als personenbezogene Daten gelten, nicht als personenbezogene Kundendaten im Sinne dieser DPA. Personenbezogene Kundendaten umfassen keine personenbezogenen Daten, die Reslify als eigenständig Verantwortlicher verarbeitet (wie in dem Abschnitt „Geltungsbereich“ und in Abschnitt 3 beschrieben).

Klarstellend werden vollständige Zahlungskartennummern und Kartenprüfcodes in vom Zahlungsabwickler kontrollierten Feldern oder Seiten erhoben und vom jeweils anwendbaren Zahlungsabwickler, nicht von Reslify, verarbeitet und gespeichert. Reslify darf Kennungen des Zahlungsabwicklerkunden und der Zahlungsmethode, Transaktions- und Statusangaben sowie maskierte Kartenmerkmale (wie Kartenmarke, letzte vier Ziffern und Ablaufmonat/-jahr) verarbeiten, soweit dies für den Betrieb der Dienste erforderlich ist. Diese begrenzten Merkmale umfassen weder vollständige primäre Kontonummern noch Kartenprüfcodes.

„Verantwortlicher“ bezeichnet jede natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

„Datenschutzgesetze“ bezeichnet (a) die europäischen Datenschutzgesetze, (b) den CCPA/CPRA und (c), soweit auf die Verarbeitung personenbezogener Kundendaten nach der Vereinbarung anwendbar, sämtliche sonstigen anwendbaren Gesetze, Vorschriften und Regelungen zum Schutz der Privatsphäre, zum Datenschutz oder zur Verarbeitung personenbezogener Daten (einschließlich gegebenenfalls US-amerikanischer Datenschutz- und Verbraucherdatenschutzgesetze auf Bundes- und Bundesstaatsebene), jeweils in ihrer von Zeit zu Zeit geänderten, ersetzten oder abgelösten Fassung.

„Betroffene Person“ bezeichnet die identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Kundendaten beziehen.

„Europäische Datenschutzgesetze“ bezeichnet (i) die DSGVO, (ii) die in der Richtlinie 2002/58/EG festgelegten EU-Vorschriften zum Datenschutz in der elektronischen Kommunikation (in ihrer Umsetzung in das jeweils anwendbare nationale Recht) und (iii) die Privacy and Electronic Communications (EC Directive) Regulations 2003 des Vereinigten Königreichs in der jeweils geänderten Fassung sowie sämtliche Nachfolge- oder Ersatzvorschriften.

„Europäische Daten“ bezeichnet personenbezogene Kundendaten, die den europäischen Datenschutzgesetzen unterliegen.

„EWR“ bezeichnet den Europäischen Wirtschaftsraum.

„DSGVO“ bezeichnet, soweit auf die betreffende Verarbeitung anwendbar, (i) die Verordnung (EU) 2016/679 (die „EU-DSGVO“) und/oder (ii) die EU-DSGVO, wie sie gemäß dem European Union (Withdrawal) Act 2018 zusammen mit dem UK Data Protection Act 2018 im Vereinigten Königreich gilt (die „UK-DSGVO“), jeweils einschließlich aller Umsetzungs- oder Ergänzungsvorschriften und sämtlicher Änderungen, Ersatz- oder Nachfolgegesetze.

„Personenbezogene Daten“ bezeichnet „personenbezogene Daten“, „personenbezogene Informationen“, „personenidentifizierbare Informationen“ oder ähnliche in den anwendbaren Datenschutzgesetzen definierte Begriffe.

„Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine Verletzung der Sicherheit von Reslify, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Kundendaten im Besitz, Gewahrsam oder unter der Kontrolle von Reslify führt.

„Verarbeitung“ (und verwandte Begriffe wie „verarbeiten“ und „verarbeitet“) bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, einschließlich des Erhebens, Erfassens, Organisierens, Ordnens, Speicherns, Anpassens, Veränderns, Auslesens, Abfragens, Verwendens, Offenlegens (durch Übermittlung oder eine andere Form der Bereitstellung), Abgleichens, Einschränkens, Löschens oder Vernichtens dieser personenbezogenen Daten.

„Auftragsverarbeiter“ bezeichnet jede Person oder Organisation, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.

„Eingeschränkte Übermittlung“ bezeichnet jede Offenlegung, jeden Zugriff oder jede sonstige Übermittlung personenbezogener Kundendaten (i) aus dem EWR in ein Land oder Gebiet außerhalb des EWR, für das kein Angemessenheitsbeschluss der Europäischen Kommission gilt, (ii) aus dem Vereinigten Königreich in ein Land oder Gebiet außerhalb des Vereinigten Königreichs, für das kein Angemessenheitsbeschluss der britischen Regierung gilt, oder (iii) aus der Schweiz in ein Land oder Gebiet außerhalb der Schweiz, für das keine Angemessenheitsfeststellung nach den schweizerischen Datenschutzgesetzen gilt, sofern die betreffende Übermittlung jeweils eine geeignete Übermittlungsgarantie nach den europäischen und/oder schweizerischen Datenschutzgesetzen erfordern würde.

„SCC“ bezeichnet die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln für internationale Übermittlungen personenbezogener Daten in ihrer jeweils aktualisierten, geänderten oder ersetzten Fassung.

„Diensttelemetrie“ bezeichnet von den Diensten erzeugte technische und betriebliche Daten über Betrieb, Leistung, Sicherheit und Nutzung der Dienste, etwa Protokolle, Ereignismetadaten, Geräte-/Browser- und Netzwerkinformationen, Fehlerberichte, Antwortzeiten, Verfügbarkeitskennzahlen, Statistiken zur Funktionsnutzung sowie Sicherheits-/Auditmetadaten. Klarstellend schließt Diensttelemetrie Kundeninhalte aus und umfasst nicht den inhaltlichen Gehalt von Reservierungen/Notizen/Nachrichten, außer in dem streng begrenzten Umfang, der zur Erkennung, Verhinderung oder Behebung von Sicherheitsvorfällen, Betrug oder Missbrauch unbedingt erforderlich ist.

„Unterauftragsverarbeiter“ bezeichnet jede Person oder Organisation (einschließlich eines Dritten oder eines verbundenen Unternehmens von Reslify, jedoch mit Ausnahme des Personals von Reslify), die von oder im Namen von Reslify oder einem seiner verbundenen Unternehmen mit der Verarbeitung personenbezogener Kundendaten zur Bereitstellung der Dienste beauftragt oder hierfür eingesetzt wird.

„Schweiz“ bezeichnet die Schweizerische Eidgenossenschaft.

„Schweizerische Datenschutzgesetze“ bezeichnet das schweizerische Bundesgesetz über den Datenschutz („DSG“) sowie sämtliche anwendbaren Ausführungsverordnungen und verbindlichen Leitlinien, jeweils in ihrer von Zeit zu Zeit geänderten, ersetzten oder abgelösten Fassung.

„UK Transfer Addendum“ bezeichnet den vom Information Commissioner's Office („ICO“) gemäß Section 119A des UK Data Protection Act 2018 herausgegebenen Zusatz für internationale Datenübermittlungen, der die EU-SCC für Übermittlungen ergänzt, die der UK-DSGVO unterliegen, in seiner jeweils geänderten, aktualisierten oder ersetzten Fassung.

Begriffe wie „Kommission“, „Datenschutz-Folgenabschätzung“, „Mitgliedstaat“ und „Aufsichtsbehörde“ sind entsprechend den ihnen in der DSGVO zugewiesenen Bedeutungen auszulegen; verwandte Begriffe sind entsprechend zu verstehen.

2. VERARBEITUNG PERSONENBEZOGENER DATEN

2.1 Einzelheiten der Verarbeitung. Die Parteien erkennen an und vereinbaren, dass der Kunde in Bezug auf die Verarbeitung personenbezogener Kundendaten Verantwortlicher und Reslify Auftragsverarbeiter ist. Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten und Kategorien betroffener Personen, die nach dieser DPA verarbeitet werden, sind in Anlage 1 (Einzelheiten der Verarbeitung) zu dieser DPA näher beschrieben. Handelt der Kunde als Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen, verarbeitet Reslify die betreffenden personenbezogenen Kundendaten klarstellend als Auftragsverarbeiter in der Funktion des Unterauftragsverarbeiters des Kunden; das anwendbare SCC-Modul (gegebenenfalls einschließlich Modul Drei) ist in Anlage 4 festgelegt.

2.2 Verarbeitung personenbezogener Daten durch den Kunden; Weisungen. Der Kunde verarbeitet bei seiner Nutzung der Dienste personenbezogene Daten, einschließlich durch Beauftragung von Reslify als Auftragsverarbeiter, gemäß den anwendbaren Datenschutzgesetzen. Klarstellend müssen die Weisungen des Kunden zur Verarbeitung personenbezogener Kundendaten den anwendbaren Datenschutzgesetzen entsprechen. Die Parteien vereinbaren, dass die Vereinbarung (einschließlich dieser DPA) zum Zeitpunkt ihres Abschlusses durch den Kunden dessen vollständige dokumentierte Weisungen an Reslify zur Verarbeitung personenbezogener Kundendaten bildet. Die dokumentierten Weisungen des Kunden umfassen auch seine Konfiguration und Nutzung der Dienste (einschließlich Verwaltungseinstellungen und Funktionsauswahl), seine Nutzung der Selbstbedienungssteuerungen der Dienste sowie sämtliche von ihm oder in seinem Namen eingereichten Supportanfragen oder API-Aufrufe, jeweils soweit sie der Vereinbarung entsprechen. Zusätzliche oder abweichende Weisungen, die den Umfang der Verarbeitung gegenüber der Vereinbarung wesentlich erweitern, müssen von den Parteien vereinbart und in einer schriftlichen Änderung dieser DPA dokumentiert werden. Der Kunde ist allein verantwortlich für (a) die Richtigkeit der personenbezogenen Kundendaten, (b) die Art und Weise ihrer Erhebung und Beschaffung durch den Kunden und (c) die Gewährleistung, dass im Zusammenhang mit der Verarbeitung personenbezogener Kundendaten durch Reslify sämtliche nach den anwendbaren Datenschutzgesetzen erforderlichen Informationen bereitgestellt und alle notwendigen Einwilligungen und Genehmigungen eingeholt wurden.

2.3 Verarbeitung personenbezogener Kundendaten durch Reslify. Reslify verarbeitet personenbezogene Kundendaten ausschließlich (i) auf dokumentierte Weisung des Kunden oder (ii) soweit dies nach anwendbarem Recht (einschließlich anwendbarer Datenschutzgesetze) anderweitig vorgeschrieben oder gestattet ist. Der Kunde weist Reslify an, personenbezogene Kundendaten soweit erforderlich zur Bereitstellung der Dienste und gemäß der Vereinbarung zu verarbeiten. Reslify verarbeitet personenbezogene Kundendaten gemäß den anwendbaren Datenschutzgesetzen; Reslify gilt jedoch insoweit nicht als Verletzer dieser Pflicht, als eine mit anwendbaren Datenschutzgesetzen unvereinbare Verarbeitung auf dokumentierte Weisungen des Kunden zurückzuführen ist oder anderweitig aus Handlungen oder Unterlassungen des Kunden folgt. Ist Reslify nach angemessener Beurteilung der Ansicht, dass eine Weisung des Kunden gegen anwendbare Datenschutzgesetze verstößt oder diesen anderweitig nicht entspricht, benachrichtigt Reslify den Kunden. Ist Reslify nach anwendbarem Recht verpflichtet, personenbezogene Kundendaten außerhalb des Umfangs der dokumentierten Weisungen des Kunden zu verarbeiten, benachrichtigt Reslify den Kunden vor dieser Verarbeitung, sofern dies nicht nach anwendbarem Recht untersagt ist.

2.4 Allgemeines. Unter Berücksichtigung der Art der Verarbeitung personenbezogener Kundendaten und der Reslify verfügbaren Informationen sowie vorbehaltlich der Bestimmungen dieser DPA stellt Reslify dem Kunden die Informationen und Unterstützung zur Verfügung, die dieser vernünftigerweise verlangen kann, um seine Pflichten nach den anwendbaren Datenschutzgesetzen zu erfüllen, soweit Reslify diese Informationen vorliegen und ihre Bereitstellung die Sicherheit, Vertraulichkeit, Integrität oder Verfügbarkeit der von Reslify verarbeiteten personenbezogenen Daten nicht beeinträchtigt. Reslify stellt dem Kunden auf angemessene Anfrage außerdem die in seinem Besitz befindlichen Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der anwendbaren Datenschutzgesetze und dieser DPA durch Reslify nachzuweisen. Diese Unterstützung kann, soweit anwendbar und in angemessenem Umfang verlangt, Unterstützung bei Datenschutz-Folgenabschätzungen („DSFA“) und, soweit nach anwendbaren Datenschutzgesetzen erforderlich, bei vorherigen Konsultationen des Kunden mit der zuständigen Aufsichtsbehörde umfassen. Jede Unterstützung ist unter Berücksichtigung der Art der Dienste und der Reslify verfügbaren Informationen auf das vernünftigerweise Erforderliche und Verhältnismäßige beschränkt. Soweit gesetzlich zulässig, darf Reslify für Unterstützung, die nicht dem Standard entspricht, erheblichen technischen oder rechtlichen Aufwand erfordert oder über die Standardfunktionen der Dienste hinausgeht, angemessene Gebühren zu den jeweils aktuellen Sätzen berechnen.

2.5 Zusicherungen des Kunden; Rechtsgrundlagen; Freistellung. Der Kunde sichert zu und gewährleistet, dass (a) er sämtliche Informationen bereitgestellt und alle Einwilligungen eingeholt hat und/oder über eine andere wirksame Rechtsgrundlage nach den anwendbaren Datenschutzgesetzen verfügt, um personenbezogene Kundendaten zu erheben, zu verwenden und offenzulegen und Reslify zu deren in der Vereinbarung vorgesehener Verarbeitung anzuweisen, und (b) seine Weisungen, Konfigurationen und Nutzung der Dienste nicht dazu führen, dass Reslify personenbezogene Kundendaten unter Verstoß gegen anwendbare Datenschutzgesetze verarbeitet. Soweit gesetzlich zulässig, verteidigt und entschädigt der Kunde Reslify, seine verbundenen Unternehmen sowie deren jeweilige Organmitglieder, Geschäftsführer, Beschäftigte und Beauftragte und hält sie schadlos gegenüber Ansprüchen Dritter sowie unmittelbaren Schäden, Verbindlichkeiten, Kosten und Aufwendungen (einschließlich angemessener Anwaltskosten), die rechtskräftig von einem Gericht oder einer zuständigen Behörde zugesprochen oder in einem vom Kunden genehmigten Vergleich vereinbart wurden, jeweils soweit sie aus einem nachgewiesenen Verstoß des Kunden gegen diese DPA oder anwendbare Datenschutzgesetze entstehen, einschließlich des Versäumnisses des Kunden, eine wirksame Rechtsgrundlage zu schaffen, erforderliche Informationen bereitzustellen, erforderliche Einwilligungen einzuholen oder personenbezogene Kundendaten rechtmäßig zu erheben und an die Dienste zu übermitteln. Bußgelder, aufsichtsrechtliche Geldbußen, Sanktionen oder ähnliche öffentlich-rechtliche Beträge sind nur freistellungsfähig, soweit sie nach anwendbarem Recht rechtswirksam übertragbar oder freistellungsfähig sind, von einer zuständigen Behörde bestandskräftig verhängt oder von einem zuständigen Gericht rechtskräftig zugesprochen wurden und durch den nachgewiesenen Verstoß des Kunden verursacht wurden. Diese Freistellung gilt nicht, soweit ein Anspruch, Schaden, Bußgeld, eine Geldbuße, Sanktion, Kosten oder Aufwendungen durch einen Verstoß von Reslify gegen diese DPA, die Nichteinhaltung anwendbarer Datenschutzgesetze durch Reslify in seiner Funktion als Auftragsverarbeiter (oder gegebenenfalls Verantwortlicher) oder durch grobe Fahrlässigkeit oder vorsätzliches Fehlverhalten von Reslify verursacht wurden.

2.6 Sensible Daten; Kontrolle und Verantwortung des Kunden; optionaler Zusatz. Der Kunde erkennt an, dass die Dienste bestimmte Daten verarbeiten können, für die nach den anwendbaren Datenschutzgesetzen erhöhte Anforderungen gelten können. Hierzu gehören (a) „besondere Kategorien personenbezogener Daten“ im Sinne von Artikel 9 DSGVO (z. B. Gesundheitsdaten wie Allergieinformationen) und/oder (b) personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Artikel 10 DSGVO und/oder ähnlich hochsensible Daten (zusammen „sensible Daten“). Reslify entscheidet nicht, ob bestimmte an die Dienste übermittelte Informationen sensible Daten darstellen.

Der Kunde kann nach eigenem Ermessen entscheiden, sensible Daten über die Dienste anzufordern, zu erheben, zu übermitteln und zu verarbeiten (einschließlich über Freitextfelder und/oder vom Kunden konfigurierte benutzerdefinierte Felder, Formulare und Arbeitsabläufe). Der Kunde ist allein dafür verantwortlich, (i) die Art der von ihm angeforderten oder erhobenen Daten zu bestimmen (einschließlich der Frage, ob es sich um sensible Daten handelt), (ii) sicherzustellen, dass eine wirksame Rechtsgrundlage besteht und sämtliche zusätzlichen Bedingungen oder Anforderungen der anwendbaren Datenschutzgesetze erfüllt sind (einschließlich gegebenenfalls der Voraussetzungen nach Artikel 9 DSGVO und der Transparenzpflichten), und (iii) sämtliche erforderlichen Informationen bereitzustellen und notwendige Einwilligungen oder Genehmigungen der betroffenen Personen einzuholen.

Reslify verarbeitet sensible Daten, die an die Dienste übermittelt werden, ausschließlich auf dokumentierte Weisung des Kunden und nur soweit dies zur Bereitstellung der Dienste innerhalb der Kundeninstanz erforderlich ist (z. B. zur Speicherung und Anzeige von Buchungs-/Gästedatensätzen für autorisierte Nutzer des Kunden und zur Übermittlung von durch die Kundenkonfiguration ausgelösten Mitteilungen). Reslify wendet die Sicherheitsmaßnahmen in Anlage 3 auf personenbezogene Kundendaten einschließlich sämtlicher an die Dienste übermittelter sensibler Daten an. Reslify verwendet sensible Daten weder für eigene Produktanalysen oder Dienstverbesserungen noch zum Trainieren oder Feinabstimmen generalisierter KI-Modelle, sofern dies nicht ausdrücklich schriftlich vereinbart wurde.

Stellt Reslify nach angemessener Beurteilung fest, dass die Erhebung oder Nutzung sensibler Daten durch den Kunden (einschließlich einer systematischen Erhebung über benutzerdefinierte Felder oder Formulare) ein wesentliches Compliance-, Sicherheits- oder Betriebsrisiko schafft oder Schutzmaßnahmen über Anlage 3 hinaus oder wesentliche Änderungen der Dienste erfordern würde, darf Reslify (a) verlangen, dass die Parteien einen gesonderten schriftlichen Zusatz über angemessene Schutzmaßnahmen, den Umfang und gegebenenfalls Gebühren schließen, und/oder (b) verlangen, dass der Kunde seine Konfiguration oder Erhebungspraxis ändert, und/oder (c) den Zugang zu den betroffenen Funktionen im gesetzlich zulässigen Umfang beschränken, diese löschen oder aussetzen, bis angemessene Schutzmaßnahmen umgesetzt wurden.

Klarstellend gelten die Pflichten des Kunden nach Abschnitt 2.5 für seine Erhebung und Übermittlung sensibler Daten.

3. TELEMETRIE UND BEGRENZTE VERARBEITUNG ALS VERANTWORTLICHER

3.1 Auftragsverarbeiter-Telemetrie; begrenzte Zwecke des Verantwortlichen. Diensttelemetrie, die innerhalb eines Kundenkontos erzeugt wird, um die Dienste bereitzustellen, zu warten oder Fehler zu beheben, ihre Zuverlässigkeit zu überwachen, Kapazitäten zu planen, Kundenberichte zu erstellen oder die Dienste anderweitig zu unterstützen, ist Bestandteil der personenbezogenen Kundendaten und wird von Reslify als Auftragsverarbeiter auf dokumentierte Weisung des Kunden verarbeitet.

Reslify darf das Mindestmaß identifizierbarer Diensttelemetrie nur für die plattformweite Sicherheitsüberwachung und Reaktion auf Vorfälle, die Verhinderung von Betrug und Missbrauch, die Einhaltung von Gesetzen und rechtlichen Verfahren, die unmittelbare Abrechnung oder Vertragsverwaltung außerhalb der Kundeninstanz und die Begründung, Ausübung oder Verteidigung von Rechtsansprüchen als eigenständig Verantwortlicher verarbeiten („begrenzte Verantwortlichen-Telemetrie“). Begrenzte Verantwortlichen-Telemetrie umfasst weder Kundeninhalte noch den inhaltlichen Gehalt von Gästebuchungsdatensätzen, außer soweit der Zugriff für einen konkreten Sicherheitsvorfall, eine Betrugs- oder Missbrauchsuntersuchung, eine gesetzliche Pflicht oder einen Rechtsanspruch unbedingt erforderlich ist.

Reslify verwendet identifizierbare personenbezogene Kundendaten in seiner Funktion als eigenständig Verantwortlicher nicht für allgemeine Produktanalysen oder Dienstverbesserungen. Reslify darf aggregierte oder anonymisierte Nutzungs- und Leistungsinformationen für diese Zwecke nur verwenden, wenn sie nach anwendbaren Datenschutzgesetzen keine personenbezogenen Daten mehr darstellen und Reslify nicht versucht, sie zu re-identifizieren.

3.2 DSGVO-Anforderungen. Soweit die DSGVO auf begrenzte Verantwortlichen-Telemetrie anwendbar ist, handelt Reslify ausschließlich für die in Abschnitt 3.1 genannten begrenzten Zwecke als eigenständig Verantwortlicher und (a) hält die DSGVO in Bezug auf diese Verarbeitung ein, (b) schützt begrenzte Verantwortlichen-Telemetrie durch technische und organisatorische Maßnahmen, die mindestens das nach dieser DPA erforderliche Schutzniveau bieten, und (c) legt begrenzte Verantwortlichen-Telemetrie nicht in einer Form offen, die den Kunden oder eine betroffene Person identifiziert, außer gegenüber Auftragsverarbeitern von Reslify, die auf dessen Weisung handeln, soweit dies nach anwendbarem Recht oder rechtlichen Verfahren erforderlich oder zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen notwendig ist.

Datenminimierung. Reslify beschränkt begrenzte Verantwortlichen-Telemetrie auf die für den jeweiligen Zweck notwendigen Felder, beschränkt den Zugriff nach dem Erforderlichkeitsprinzip und bewahrt identifizierbare Daten vorbehaltlich des anwendbaren Rechts nur so lange auf, wie dies für diesen Zweck erforderlich ist.

3.3 KI-Funktionen; Datennutzung. Soweit vom Kunden aktiviert, können die Dienste einen KI-gestützten Buchungsassistenten, einen KI-gestützten Menüimport und damit verbundene Funktionen der künstlichen Intelligenz oder des maschinellen Lernens („KI-Funktionen“) bereitstellen. Zur Bereitstellung des KI-Buchungsassistenten darf Reslify Nachrichten von Gästen und darin enthaltene personenbezogene Daten, relevante Informationen zum Buchungsprozess, den bisherigen Gesprächskontext sowie vom Kunden konfigurierte Informationen zum Veranstaltungsort, Angebote, Richtlinien und sonstige Buchungsinhalte verarbeiten. Zur Bereitstellung des KI-gestützten Menüimports darf Reslify vom Kunden hochgeladene Menüdateien oder -bilder, Dateimetadaten, extrahierten Text, Menünamen, Kategorien, Namen und Beschreibungen von Einträgen, Preise, Ernährungs- oder Herkunftskennzeichnungen und erzeugte strukturierte Menüentwürfe verarbeiten. Der KI-Buchungsassistent kann Antworten erzeugen und unverbindliche Handlungen im Buchungsablauf oder Änderungsentwürfe vorschlagen; maßgeblich bleibt der Buchungsablauf, und ohne die entsprechende Bestätigung in den Diensten wird weder eine Reservierung, Vormerkung, Zahlung noch eine sonstige buchungsrelevante Handlung abgeschlossen. Die Ausgabe des KI-gestützten Menüimports ist ein vom Kunden zu prüfender Entwurf und kann bearbeitet oder abgelehnt werden, bevor sie als Menüinhalt gespeichert wird.

Externe Anbieter von KI-Modellen. Setzt Reslify einen externen Anbieter von KI-Modellen ein, um personenbezogene Kundendaten für eine KI-Funktion zu verarbeiten, ist dieser Anbieter Unterauftragsverarbeiter und muss in Anlage 2 aufgeführt sein, bevor er personenbezogene Kundendaten in der Produktionsumgebung verarbeitet. Reslify beauftragt diesen Anbieter auf Grundlage einer schriftlichen Vereinbarung, die dieser DPA und den anwendbaren Datenschutzgesetzen entsprechende Vertraulichkeits-, Sicherheits- und Datenschutzpflichten enthält.

Kein Training generalisierter Modelle. Sofern die Parteien nicht ausdrücklich schriftlich etwas anderes vereinbaren, verwendet oder teilt Reslify weder personenbezogene Kundendaten noch Kundeninhalte, um ein generalisiertes KI-Modell zu trainieren, feinabzustimmen oder zu verbessern, das nicht ausschließlich für die Nutzung durch den Kunden eingesetzt wird. Reslify darf jedoch Daten, die nach dem von der DSGVO verlangten Standard anonymisiert oder anderweitig derart de-identifiziert wurden, dass sie nach anwendbaren Datenschutzgesetzen keine personenbezogenen Daten mehr darstellen, sowie aggregierte Nutzungs- und Leistungsdaten verwenden, um die Dienste und KI-Funktionen zu entwickeln, zu warten und zu verbessern.

KI-Aufbewahrung und -Transparenz. In seinen Systemen bewahrt Reslify Sitzungen des KI-Buchungsassistenten einschließlich eines begrenzten Gesprächsverlaufs bis zu 24 Stunden lang auf, um das Gespräch und den Buchungsprozess aufrechtzuerhalten. Der gespeicherte Gesprächsverlauf ist so gestaltet, dass E-Mail-Adressen und Telefonnummern vor der Speicherung unkenntlich gemacht werden. Von Reslify gespeicherte Quelldateien des KI-gestützten Menüimports und zugehörige Importauftragsdatensätze sind zur Löschung nach bis zu sieben (7) Tagen vorgesehen. Diese Fristen gelten unabhängig von der Aufbewahrung durch einen externen KI-Anbieter. Nach den Standard-Datenkontrollen für die API von OpenAI können API-Eingaben und -Ausgaben bis zu dreißig (30) Tage in Protokollen zur Missbrauchsüberwachung gespeichert werden, sofern keine genehmigte kürzere Aufbewahrungseinstellung gilt; sie können länger gespeichert werden, soweit OpenAI hierzu gesetzlich verpflichtet ist. Vom Kunden überprüfte und gespeicherte Menüinhalte werden zu personenbezogenen Kundendaten innerhalb der Dienste und gemäß den Weisungen des Kunden und dieser DPA aufbewahrt. Ist eine KI-Funktion zur unmittelbaren Interaktion mit natürlichen Personen bestimmt, kennzeichnet die von Reslify kontrollierte Benutzeroberfläche sie durch einen klaren, sichtbaren und nicht konfigurierbaren Hinweis als KI-System, bevor die Person eine Nachricht senden kann. Der Kunde darf diesen Hinweis weder entfernen noch verdecken oder falsch darstellen und bleibt für zusätzliche Hinweise verantwortlich, die aufgrund seiner Konfiguration oder nach anwendbarem Recht, gegebenenfalls einschließlich der EU-KI-Verordnung, erforderlich sind.

3.4 Trennung; Aufbewahrung. Reslify hält eine angemessene logische Trennung zwischen (a) den als Auftragsverarbeiter verarbeiteten personenbezogenen Kundendaten und (b) der für die in Abschnitt 3.1 genannten Zwecke als Verantwortlicher verarbeiteten begrenzten Verantwortlichen-Telemetrie aufrecht. Reslify bewahrt begrenzte Verantwortlichen-Telemetrie vorbehaltlich anwendbaren Rechts und der in der Datenschutzerklärung beschriebenen Aufbewahrungspraxis von Reslify nur so lange auf, wie dies für den jeweiligen begrenzten Zweck vernünftigerweise erforderlich ist.

4. PERSONAL VON Reslify

4.1 Vertraulichkeit. Soweit nach anwendbaren Datenschutzgesetzen erforderlich, stellt Reslify sicher, dass zur Verarbeitung personenbezogener Kundendaten befugtes Personal schriftlichen Vertraulichkeitsverpflichtungen unterliegt oder anderweitig angemessenen gesetzlichen oder berufsrechtlichen Verschwiegenheitspflichten in Bezug auf diese personenbezogenen Kundendaten unterworfen ist.

4.2 Zugriffsbeschränkung. Reslify ergreift wirtschaftlich angemessene Maßnahmen, um den Zugriff auf personenbezogene Kundendaten auf diejenigen Angehörigen seines Personals zu beschränken, die diese Daten zur Bereitstellung der Dienste gemäß der Vereinbarung kennen müssen.

5. ANFRAGEN BETROFFENER PERSONEN

5.1 Anfragen betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung stellt Reslify angemessene technische und organisatorische Maßnahmen bereit und hält diese aufrecht, um den Kunden bei der Erfüllung seiner Pflichten nach den anwendbaren Datenschutzgesetzen zu unterstützen, wenn betroffene Personen ihre Rechte in Bezug auf personenbezogene Kundendaten ausüben (jeweils eine „Anfrage einer betroffenen Person“).

5.2 Steuerungsmöglichkeiten des Kunden. Die Dienste enthalten Funktionen und Steuerungsmöglichkeiten, mit denen der Kunde auf personenbezogene Kundendaten zugreifen, sie abrufen, berichtigen, löschen, einschränken oder anderweitig verwalten kann und die er zur Einhaltung der anwendbaren Datenschutzgesetze einschließlich der Beantwortung von Anfragen betroffener Personen nutzen kann. Kann der Kunde eine Anfrage einer betroffenen Person nicht über die Dienste bearbeiten, leistet Reslify ihm auf schriftliche Anfrage angemessene Unterstützung bei deren Beantwortung. Jede Unterstützung nach diesem Abschnitt 5 unterliegt, soweit nach anwendbarem Recht zulässig, den Beschränkungen und Gebührenregelungen in Abschnitt 2.4.

5.3 Bei Reslify eingegangene Anfragen betroffener Personen. Erhält Reslify unmittelbar eine Anfrage einer betroffenen Person, benachrichtigt Reslify den Kunden unverzüglich, soweit dies gesetzlich zulässig ist und Reslify vernünftigerweise feststellen kann, dass sich die Anfrage auf eine betroffene Person bezieht, deren personenbezogene Daten vom Kunden oder in dessen Namen an die Dienste übermittelt wurden. Reslify ergreift als Antwort auf eine Anfrage einer betroffenen Person keine inhaltlichen Maßnahmen, außer auf vorherige schriftliche Weisung des Kunden; Reslify darf jedoch (a) bestätigen, dass sich die Anfrage auf den Kunden bezieht (wozu der Kunde Reslify hiermit ermächtigt), und (b) antworten, soweit dies nach anwendbarem Recht erforderlich ist. In diesem Fall informiert Reslify den Kunden, soweit nach anwendbarem Recht zulässig, vor der Antwort über diese gesetzliche Pflicht. Der Kunde bleibt allein für den Inhalt jeder Antwort auf Anfragen betroffener Personen und für damit verbundene Mitteilungen über personenbezogene Kundendaten verantwortlich.

5.4 Geltungsbereich dieses Abschnitts. Klarstellend gilt dieser Abschnitt 5 ausschließlich für personenbezogene Kundendaten, die Reslify als Auftragsverarbeiter nach dieser DPA verarbeitet. Anfragen zu personenbezogenen Daten, die Reslify als eigenständig Verantwortlicher verarbeitet (einschließlich Konto-/Abrechnungs-/CRM-Daten und begrenzter Verantwortlichen-Telemetrie), bearbeitet Reslify gemäß seiner Datenschutzerklärung und dem anwendbaren Recht.

6. UNTERAUFTRAGSVERARBEITER

6.1 Einsatz von Unterauftragsverarbeitern. Der Kunde erkennt an und stimmt zu, dass Reslify seine verbundenen Unternehmen zu Unterauftragsverarbeitern bestellen und im Zusammenhang mit der Bereitstellung der Dienste und der damit verbundenen Verarbeitung personenbezogener Kundendaten auch dritte Unterauftragsverarbeiter einsetzen darf. Wenn Reslify einen Unterauftragsverarbeiter einsetzt, beschränkt Reslify dessen Zugriff auf personenbezogene Kundendaten auf das Maß, das für Betrieb, Wartung und Bereitstellung der Dienste für den Kunden und dessen Nutzer erforderlich ist, schließt mit ihm eine schriftliche Vereinbarung, die ihm Datenschutzpflichten auferlegt, die mindestens das in dieser DPA für seine Leistungen vorgesehene Schutzniveau bieten, und haftet für Handlungen und Unterlassungen dieses Unterauftragsverarbeiters nach oder im Zusammenhang mit dieser DPA in demselben Umfang, als würde Reslify die betreffenden Leistungen selbst erbringen. Soweit für eine eingeschränkte Übermittlung erforderlich, stellt Reslify sicher, dass jeder an der Verarbeitung europäischer Daten beteiligte Unterauftragsverarbeiter angemessenen Übermittlungsgarantien (einschließlich SCC oder anderer rechtmäßiger Mechanismen) für Weiterübermittlungen und Fernzugriffe unterliegt und diese Garantien so lange aufrechterhalten werden, wie der Unterauftragsverarbeiter diese europäischen Daten verarbeitet.

6.2 Aktuelle Unterauftragsverarbeiter; Änderungsmitteilung; Widerspruch. Die aktuelle Liste der Unterauftragsverarbeiter einschließlich ihrer Identität, ihres Sitzstaats und der Art der durchgeführten Verarbeitung ist in Anlage 2 (Liste der Unterauftragsverarbeiter) enthalten. Reslify benachrichtigt den Kunden mindestens zehn (10) Werktage im Voraus schriftlich (einschließlich per E-Mail) über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann der Änderung innerhalb von zehn (10) Werktagen nach Erhalt der Mitteilung schriftlich gegenüber Reslify widersprechen. Nach einem fristgerechten Widerspruch bemühen sich die Parteien nach Treu und Glauben um eine wirtschaftlich angemessene Änderung der Dienste, durch die der Einsatz des vorgeschlagenen Unterauftragsverarbeiters vermieden wird. Kann Reslify innerhalb von dreißig (30) Tagen nach Eingang des Widerspruchs keine wirtschaftlich angemessene Alternative umsetzen, darf der Kunde unbeschadet aller ihm nach den SCC und/oder dem UK Transfer Addendum (soweit anwendbar) und/oder zwingendem anwendbarem Recht zustehenden Rechte und Rechtsbehelfe die Nutzung der betroffenen Funktionen einstellen und/oder die betroffenen Dienste gemäß der Vereinbarung beenden (einschließlich für diese Dienste geltender Regelungen zur Nichtverlängerung oder Beendigung). Etwaige Kündigungsrechte und Erstattungen/Gutschriften richten sich nach der Vereinbarung, soweit zwingendes anwendbares Recht nichts anderes verlangt.

7. SICHERHEIT

7.1 Schutz personenbezogener Kundendaten; Sicherheitsmaßnahmen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten betroffener Personen hält Reslify angemessene technische und organisatorische Maßnahmen zum Schutz der Sicherheit, Vertraulichkeit und Integrität personenbezogener Kundendaten aufrecht, einschließlich Maßnahmen zum Schutz vor einer Verletzung des Schutzes personenbezogener Daten und insbesondere Maßnahmen gemäß Artikel 32 DSGVO, wie in Anlage 3 (Sicherheitsmaßnahmen) näher beschrieben. Reslify darf die Sicherheitsmaßnahmen von Zeit zu Zeit nach eigenem Ermessen ändern oder aktualisieren, sofern dadurch das von ihnen gewährte Gesamtschutzniveau nicht wesentlich verringert wird und sie weiterhin den anwendbaren Datenschutzgesetzen entsprechen. Der Kunde ist dafür verantwortlich, unter Berücksichtigung von Art, Umfang, Umständen, Zwecken und Risiken seiner beabsichtigten Verarbeitung zu bestimmen, ob die Dienste, Sicherheitsmaßnahmen und Verpflichtungen von Reslify nach dieser DPA hierfür angemessen sind. Reslify stellt die Informationen bereit, die vernünftigerweise erforderlich sind, um den Kunden bei dieser Bewertung wie in dieser DPA beschrieben zu unterstützen.

7.2 Berichte und Zertifizierungen Dritter. Auf schriftliche Anfrage des Kunden in angemessenen Abständen und vorbehaltlich der Vertraulichkeitspflichten in der Vereinbarung stellt Reslify dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um seine Einhaltung dieser DPA nachzuweisen, indem Reslify Kopien seiner jeweils aktuellen, allgemein verfügbaren Prüfberichte und/oder Zertifizierungen Dritter bereitstellt, sofern und soweit solche vorhanden sind. Reslify darf eine solche Anfrage erfüllen, indem es diese Unterlagen unmittelbar dem Kunden oder dessen unabhängigem externen Prüfer bereitstellt, sofern dieser kein Wettbewerber von Reslify ist und Vertraulichkeitspflichten unterliegt, die mindestens das in der Vereinbarung vorgesehene Schutzniveau bieten.

7.3 Prüfungsrechte. Reslify führt ausreichende Aufzeichnungen und hält ausreichende Informationen vor, um die Einhaltung dieser DPA nachzuweisen. Jede Prüfungs- oder Inspektionsanfrage des Kunden wird, soweit vernünftigerweise möglich, zunächst durch Fernprüfung sowie dadurch erfüllt, dass Reslify seine jeweils aktuellen Standardsicherheits- und Compliance-Unterlagen gemäß Abschnitt 7.2 (einschließlich gegebenenfalls Prüfberichten und Zertifizierungen Dritter) und schriftliche Antworten auf angemessene Informationsanfragen und/oder Sicherheitsfragebögen bereitstellt. Der Kunde (oder sein nach Abschnitt 7.2 zugelassener externer Prüfer) darf höchstens einmal pro Kalenderjahr nach mindestens drei (3) Wochen vorheriger schriftlicher Ankündigung eine Fernprüfung oder -inspektion durchführen; diese Häufigkeitsbeschränkung gilt jedoch nicht, soweit eine häufigere Prüfung (i) nach anwendbarem Recht, (ii) von den Aufsichtsstellen des Kunden oder einer zuständigen Aufsichtsbehörde und/oder (iii) zur Ausübung der Prüfungsrechte nach den SCC (soweit anwendbar) oder einem Nachfolge-Übermittlungsmechanismus erforderlich ist. Ist eine zusätzliche Prüfung über die vorstehend beschriebenen Unterlagen und Fernprüfungsmethoden hinaus nach anwendbarem Recht, durch die Aufsichtsstellen des Kunden, eine zuständige Aufsichtsbehörde und/oder nach den SCC (soweit anwendbar) zwingend erforderlich, vereinbaren die Parteien Umfang, Zeitpunkt und Verfahren im Voraus, um Störungen möglichst gering zu halten und die Prüfung auf die zur Überprüfung der Einhaltung dieser DPA (und/oder gegebenenfalls der SCC) erforderlichen Gegenstände zu beschränken. Ist unter den vorstehenden Umständen eine Vor-Ort-Prüfung vernünftigerweise erforderlich und unterhält Reslify für die Verarbeitung personenbezogener Kundendaten relevante Einrichtungen, ist sie auf diese Einrichtungen beschränkt und darf einen (1) Werktag nicht überschreiten, soweit nicht das anwendbare Recht, die Aufsichtsstellen des Kunden, eine zuständige Aufsichtsbehörde und/oder die SCC (soweit anwendbar) etwas anderes verlangen. Der Kunde erstattet Reslify sämtliche angemessenen, tatsächlich entstandenen Kosten und Aufwendungen im Zusammenhang mit Prüfungen, die über die Standardunterlagen und angemessene Fernunterstützung von Reslify hinausgehen, einschließlich des angemessenen Zeitaufwands von Reslify für die Prüfungsunterstützung zu den jeweils aktuellen Stundensätzen, soweit die Erstattung nicht nach anwendbarem Recht verboten oder von einer zuständigen Behörde anders verlangt wird. Soweit gesetzlich zulässig, darf Reslify für nicht standardmäßige Prüfungsunterstützung eine Vorauszahlung der angemessen geschätzten Gebühren verlangen. Klarstellend gelten Erstattungs-, Stundenhonorar- oder Vorauszahlungspflichten nach diesem Abschnitt 7.3 ausschließlich für nicht standardmäßige Prüfungsunterstützung, die über die jeweils aktuellen Standardunterlagen und angemessene Fernzusammenarbeit von Reslify hinausgeht. Reslify macht eine nach anwendbarem Recht, von einer zuständigen Aufsichtsbehörde und/oder nach den SCC zwingend erforderliche Prüfung oder Inspektion nicht von Gebührenzahlungen abhängig, die die Ausübung dieser zwingenden Prüfungsrechte unangemessen verzögern oder verhindern würden. Der Kunde benachrichtigt Reslify unverzüglich über festgestellte Verstöße und legt hinreichend detaillierte Feststellungen vor. Der Kunde führt ohne vorherige schriftliche Zustimmung von Reslify keine Schwachstellenscans oder sonstigen technischen, betrieblichen oder Penetrationstests an Anwendungen, Websites, Diensten, Netzwerken oder Systemen von Reslify durch. Reslify darf diese Zustimmung aufgrund angemessener Sicherheitsüberlegungen erteilen oder verweigern; sie ist jedoch nicht erforderlich, soweit eine Prüfungshandlung ausdrücklich nach anwendbarem Recht, von einer zuständigen Aufsichtsbehörde oder nach den SCC verlangt wird. Sämtliche im Zusammenhang mit einer Prüfung oder Inspektion nach diesem Abschnitt 7.3 erlangten Informationen sind vertrauliche Informationen von Reslify und dürfen vom Kunden ausschließlich zur Überprüfung der Einhaltung dieser DPA und/oder zur Erfüllung seiner Pflichten nach anwendbaren Datenschutzgesetzen und/oder den SCC (soweit anwendbar) verwendet werden. Soweit möglich, nutzen die Parteien zunächst Fernprüfungsmethoden und vorhandene Prüfberichte und Zertifizierungen Dritter.

7.4 Prüfungen nach den SCC. Die Parteien vereinbaren, dass Prüfungspflichten nach Klausel 8.9 der SCC gemäß den Abschnitten 7.2 und 7.3 dieser DPA erfüllt werden, soweit diese Verfahren den SCC nicht widersprechen und die Rechte des Datenexporteurs nach Klausel 8.9 nicht einschränken. Würde ein Verfahren, eine Beschränkung oder Bedingung in Abschnitt 7.2 oder 7.3 dahin ausgelegt, die Rechte des Datenexporteurs nach Klausel 8.9 zu beschränken, gehen die SCC für die betreffende eingeschränkte Übermittlung im Umfang dieses Widerspruchs vor.

7.5 Verletzungen des Schutzes personenbezogener Daten. Reslify benachrichtigt den Kunden unverzüglich, nachdem Reslify eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt relevante Informationen hierzu bereit, sobald diese verfügbar sind oder vom Kunden vernünftigerweise angefordert werden. Auf Anfrage des Kunden leistet Reslify die angemessene Unterstützung, die erforderlich ist, damit der Kunde nach den anwendbaren Datenschutzgesetzen vorgeschriebene Meldungen an zuständige Behörden und/oder betroffene Personen vornehmen kann. Die Meldung oder Reaktion von Reslify auf eine Verletzung des Schutzes personenbezogener Daten ist nicht als Anerkenntnis eines Verschuldens oder einer Haftung auszulegen. Stellt der Kunde fest, dass er nach anwendbaren Datenschutzgesetzen eine Verletzung des Schutzes personenbezogener Daten einer Aufsichtsbehörde oder sonstigen staatlichen Stelle, betroffenen Personen, der Öffentlichkeit oder anderen mitteilen muss, und identifiziert diese Mitteilung Reslify unmittelbar oder mittelbar, informiert der Kunde Reslify, soweit nach anwendbarem Recht zulässig, vorab, konsultiert Reslify nach Treu und Glauben und berücksichtigt angemessene Klarstellungen oder Berichtigungen, die Reslify hinsichtlich seiner Beteiligung an oder Relevanz für die Verletzung verlangt.

8. DATENÜBERMITTLUNGEN

8.1 Übermittlungen; EWR-Hosting als Standard; begrenzter Zugriff von außerhalb des EWR.

Personenbezogene Kundendaten, die Reslify als Auftragsverarbeiter innerhalb der Dienste (Kundeninstanz) verarbeitet, werden standardmäßig im EWR (z. B. Deutschland/Frankfurt) gehostet, sofern in den anwendbaren Abonnementdetails oder einem Zusatz nichts anderes schriftlich vereinbart ist. Reslify aktiviert standardmäßig keine regionsübergreifende Replikation der primären Datenbank der Kundeninstanz außerhalb des EWR, sofern in den anwendbaren Abonnementdetails oder einem Zusatz nichts anderes schriftlich vereinbart ist. Ist Fernzugriff von außerhalb des EWR nach dieser DPA für Support/Betrieb zulässig, wendet Reslify dem Risiko angemessene Zugriffskontrollen und Sicherheitsprotokollierung an.

Klarstellend gilt dieser Standard des EWR-Hostings für personenbezogene Kundendaten, die Reslify als Auftragsverarbeiter verarbeitet; er gilt nicht für personenbezogene Daten, die Reslify als eigenständig Verantwortlicher verarbeitet (einschließlich begrenzter Verantwortlichen-Telemetrie und Konto-/Abrechnungs-/CRM-Daten). Diese werden gemäß dem Abschnitt „Geltungsbereich“/Abschnitt 3 und der Datenschutzerklärung von Reslify behandelt.

Reslify darf den Zugriff auf europäische Daten von außerhalb des EWR nur gestatten, soweit dies für Support, Wartung, Absicherung oder Fehlerbehebung der Dienste unbedingt erforderlich ist, und vorbehaltlich der Zugriffskontrollen von Reslify (einschließlich eines anwendbaren Übermittlungsmechanismus wie der SCC oder eines anwendbaren Angemessenheitsbeschlusses oder sonstigen rechtmäßigen Mechanismus, jedoch nur soweit Reslify und/oder der betreffende Empfänger nach diesem Mechanismus zertifiziert oder anderweitig teilnahmeberechtigt ist).

Soweit ein solcher Zugriff eine eingeschränkte Übermittlung darstellt, stellt Reslify sicher, dass ein angemessener Übermittlungsmechanismus nach Abschnitt 8 gilt (einschließlich der SCC oder eines anderen rechtmäßigen Mechanismus wie eines anwendbaren Angemessenheitsrahmens, soweit verfügbar).

8.2 Übermittlungsgarantien für europäische Daten. Reslify nimmt keine Übermittlung europäischer Daten, die eine eingeschränkte Übermittlung darstellt, in ein Land, Gebiet oder an einen Empfänger vor, das bzw. der nicht als ein angemessenes Schutzniveau im Sinne der europäischen Datenschutzgesetze bietend anerkannt ist, sofern Reslify nicht zuvor die Maßnahmen umgesetzt hat, die zur Einhaltung der europäischen Datenschutzgesetze erforderlich sind. Diese können je nach Anwendbarkeit den Abschluss der SCC, die Berufung auf einen anwendbaren Angemessenheitsbeschluss (nur soweit Reslify und/oder der betreffende Empfänger darunter zertifiziert oder anderweitig teilnahmeberechtigt ist), verbindliche interne Datenschutzvorschriften und/oder die Nutzung einer anwendbaren Ausnahme nach der DSGVO umfassen.

8.3 Rangfolge. Könnte eine bestimmte eingeschränkte Übermittlung im Zusammenhang mit den Diensten unter mehr als einen Übermittlungsmechanismus nach den anwendbaren Datenschutzgesetzen fallen, unterliegt die Übermittlung personenbezogener Kundendaten jeweils einem einzigen Übermittlungsmechanismus in folgender Rangfolge: (a) den EU-SCC gemäß Abschnitt 8.4; (b) dem UK Transfer Addendum gemäß Abschnitt 8.5; (c) dem schweizerischen Mechanismus gemäß Abschnitt 8.6; und, sofern weder (a), (b) noch (c) anwendbar ist, (d) sonstigen nach den anwendbaren Datenschutzgesetzen zulässigen Datenübermittlungsmechanismen. Klarstellend gilt dieser Abschnitt 8.3 für jede Übermittlung gesondert; unterschiedliche eingeschränkte Übermittlungen können gemäß diesem Abschnitt 8.3 unterschiedlichen Mechanismen unterliegen.

8.4 Eingeschränkte Übermittlungen aus dem EWR und EU-SCC. In der Rangfolge nach Abschnitt 8.3 halten die Parteien, soweit eine Verarbeitung europäischer Daten nach dieser DPA eine eingeschränkte Übermittlung aus dem EWR vom Kunden an Reslify umfasst, die EU-SCC ein. Diese werden hiermit durch Verweis in diese DPA einbezogen, gelten gemäß Teil 1 der Anlage 4 als ausgefüllt und für die betreffende eingeschränkte Übermittlung als zwischen den Parteien geschlossen.

8.5 Eingeschränkte Übermittlungen aus dem Vereinigten Königreich und UK Transfer Addendum. In der Rangfolge nach Abschnitt 8.3 halten die Parteien, soweit eine Verarbeitung europäischer Daten nach dieser DPA eine eingeschränkte Übermittlung aus dem Vereinigten Königreich vom Kunden an Reslify umfasst, die EU-SCC in ihrer durch das UK Transfer Addendum an die Anforderungen der UK-DSGVO angepassten Fassung ein. Diese werden hiermit durch Verweis in diese DPA einbezogen, gelten gemäß Teil 2 der Anlage 4 als ausgefüllt und für die betreffende eingeschränkte Übermittlung als zwischen den Parteien geschlossen.

8.6 Eingeschränkte Übermittlungen aus der Schweiz. In der Rangfolge nach Abschnitt 8.3 setzen die Parteien, soweit eine Verarbeitung personenbezogener Kundendaten nach dieser DPA eine eingeschränkte Übermittlung aus der Schweiz an Reslify umfasst, eine angemessene Übermittlungsgarantie um, die eine rechtmäßige Übermittlung nach den schweizerischen Datenschutzgesetzen ermöglicht. Hierzu gehören gegebenenfalls die für die Schweiz erforderlicherweise ergänzten oder angepassten EU-SCC, die hiermit durch Verweis in diese DPA einbezogen werden und für die betreffende eingeschränkte Übermittlung gemäß Teil 3 der Anlage 4 als ausgefüllt gelten.

8.7 Andere Rechtsordnungen. Soweit eine grenzüberschreitende Übermittlung personenbezogener Kundendaten Übermittlungsbeschränkungen oder besonderen Garantien nach außereuropäischen Datenschutzgesetzen unterliegt, arbeiten die Parteien nach Treu und Glauben zusammen, um einen nach diesen Gesetzen anerkannten rechtmäßigen Übermittlungsmechanismus umzusetzen und einzuhalten, einschließlich eines in anwendbaren Anlagen zu dieser DPA festgelegten oder anderweitig von den Parteien schriftlich vereinbarten Mechanismus.

8.8 Einführung eines alternativen Übermittlungsmechanismus. Reslify darf diese DPA nach Mitteilung an den Kunden ändern und den in diesem Abschnitt 8 genannten anwendbaren Übermittlungsmechanismus (einschließlich gegebenenfalls der SCC und/oder des UK Transfer Addendum) ersetzen durch (i) eine neue, aktualisierte oder nachfolgende Fassung der betreffenden SCC und/oder des betreffenden Zusatzes (soweit anwendbar), ordnungsgemäß ausgefüllt und einbezogen, oder (ii) einen anderen rechtmäßigen Übermittlungsmechanismus (außer den SCC), der die fortgesetzte rechtmäßige Übermittlung europäischer Daten (und/oder sonstiger personenbezogener Kundendaten, die Übermittlungsbeschränkungen unterliegen) im Einklang mit den anwendbaren Datenschutzgesetzen ermöglicht.

8.9 Bereitstellung ausgefertigter SCC. Muss der Kunde für eine auf den EU-SCC beruhende eingeschränkte Übermittlung einer Aufsichtsbehörde oder einer betroffenen Person eine ausgefertigte Kopie der betreffenden SCC vorlegen und stellt er einen konkreten schriftlichen Antrag mit angemessenen Nachweisen für diese Pflicht, stellt Reslify dem Kunden eine gemäß Anlage 4 soweit anwendbar ausgefüllte und ausgefertigte Fassung der betreffenden SCC zur Gegenzeichnung durch den Kunden und anschließenden Vorlage und/oder Aufbewahrung als Compliance-Nachweis bereit.

8.10 Übermittlungsbewertungen; behördliche Zugriffsersuchen; ergänzende Maßnahmen. Soweit nach anwendbaren Datenschutzgesetzen erforderlich (einschließlich gegebenenfalls zur Unterstützung von Datenschutz-Folgenabschätzungen für Übermittlungen, Übermittlungsrisikobewertungen oder ähnlichen Bewertungen), stellt Reslify auf angemessene schriftliche Anfrage des Kunden vernünftigerweise verfügbare Informationen über die für die eingeschränkte Übermittlung relevante Verarbeitung bereit, darunter (a) die anwendbaren Übermittlungsmechanismen und Rollen, (b) Kategorien beteiligter Unterauftragsverarbeiter und Verarbeitungsorte sowie (c) eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen von Reslify (einschließlich der Maßnahmen in Anlage 3) und einschlägiger Richtlinien. Die Pflicht von Reslify ist auf vernünftigerweise verfügbare Informationen beschränkt und verlangt nicht die Offenlegung von Informationen, die die Sicherheit, Vertraulichkeit, Integrität oder Verfügbarkeit von Systemen oder personenbezogenen Daten beeinträchtigen würden oder einem rechtlichen Privileg, Geschäftsgeheimnissen oder Vertraulichkeitsbeschränkungen Dritter unterliegen.

Soweit gesetzlich zulässig, benachrichtigt Reslify den Kunden über jedes rechtsverbindliche Ersuchen einer Behörde um Offenlegung europäischer Daten (oder Zugang hierzu) im Zusammenhang mit einer eingeschränkten Übermittlung und ficht ein solches Ersuchen an oder bemüht sich um angemessene Schutzmaßnahmen, soweit Reslify dies nach angemessener Beurteilung für sachgerecht und zulässig hält. Reslify darf unter Berücksichtigung der Art der Dienste und der ihm vernünftigerweise verfügbaren Informationen ergänzende Maßnahmen umsetzen, soweit diese für eine eingeschränkte Übermittlung erforderlich sind (einschließlich technischer, organisatorischer und vertraglicher Maßnahmen). Soweit gesetzlich zulässig, kann nicht standardmäßige Unterstützung nach diesem Abschnitt 8.10, die erheblichen technischen oder rechtlichen Aufwand erfordert oder über die Standardfunktionen der Dienste hinausgeht, angemessenen Gebühren zu den jeweils aktuellen Sätzen von Reslify unterliegen.

8.11 Übermittlungen durch den Verantwortlichen (Konto/Abrechnung/CRM und begrenzte Verantwortlichen-Telemetrie). Dieser Abschnitt 8 gilt für personenbezogene Kundendaten, die Reslify als Auftragsverarbeiter nach dieser DPA verarbeitet. Personenbezogene Daten, die Reslify als eigenständig Verantwortlicher verarbeitet (einschließlich Registrierung/Verwaltung auf Kontoebene, Abonnement-/Abrechnungs-/CRM-Kontaktdaten und begrenzter Verantwortlichen-Telemetrie), unterliegen der Datenschutzerklärung und sonstigen anwendbaren Hinweisen von Reslify einschließlich der darin enthaltenen Informationen zu Übermittlungen.

Umfasst eine solche Verarbeitung als Verantwortlicher grenzüberschreitende Übermittlungen oder Fernzugriffe, die Übermittlungsbeschränkungen nach anwendbaren Datenschutzgesetzen unterliegen, setzt Reslify einen angemessenen Übermittlungsmechanismus und angemessene Garantien für diese Übermittlungen um und hält sie aufrecht. Hierzu können gegebenenfalls die SCC, ein anwendbarer Angemessenheitsbeschluss (nur soweit Reslify und/oder der betreffende Empfänger darunter zertifiziert oder anderweitig teilnahmeberechtigt ist) und/oder andere gesetzlich zulässige Mechanismen gehören. Klarstellend erweitert dieser Abschnitt 8.11 weder die Funktion von Reslify als Auftragsverarbeiter nach dieser DPA noch macht er aus einer Verarbeitung als Verantwortlicher eine Verarbeitung im Auftrag des Kunden.

Für personenbezogene Daten, die Reslify als eigenständig Verantwortlicher verarbeitet (einschließlich Registrierung/Verwaltung auf Kontoebene, Abonnement-/Abrechnungs-/CRM-Kontaktdaten und begrenzter Verantwortlichen-Telemetrie), stellt Reslify die nach anwendbaren Datenschutzgesetzen erforderlichen Informationen über seine Datenschutzerklärung und sonstige anwendbare Hinweise bereit. Dies umfasst erforderlichenfalls Informationen zu grenzüberschreitenden Übermittlungen und den anwendbaren Übermittlungsmechanismen; Reslify setzt angemessene Garantien für solche Übermittlungen wie in diesem Abschnitt 8.11 beschrieben um und hält sie aufrecht.

8.12 Anwendbarkeit der Übermittlungsmechanismen; Auffangregelung. Die Parteien beabsichtigen, dass die SCC (und gegebenenfalls das UK Transfer Addendum und/oder der Schweizer Zusatz), wie sie nach dieser DPA einbezogen und ausgefüllt sind, nur insoweit gelten, als sie nach den anwendbaren Datenschutzgesetzen einen gültigen und wirksamen Übermittlungsmechanismus für die betreffende eingeschränkte Übermittlung darstellen.

Stellen die Parteien für eine eingeschränkte Übermittlung nach angemessener Beurteilung fest, dass der genannte Mechanismus für diese Übermittlung ungültig, unwirksam oder nicht verfügbar ist (insbesondere aufgrund von Rechtsänderungen, verbindlichen Leitlinien, einer Entscheidung einer zuständigen Behörde oder eines Gerichts oder weil für das betreffende Übermittlungsszenario ein anderes Übermittlungsinstrument erforderlich ist), arbeiten sie unverzüglich nach Treu und Glauben zusammen, um einen alternativen rechtmäßigen Übermittlungsmechanismus und/oder ergänzende Maßnahmen umzusetzen, die eine fortgesetzte rechtmäßige Übermittlung im Einklang mit den anwendbaren Datenschutzgesetzen ermöglichen.

Bis zur Umsetzung eines solchen alternativen Mechanismus und/oder ergänzender Maßnahmen darf Reslify, soweit dies zur Einhaltung anwendbaren Rechts erforderlich ist, die betreffende Übermittlung und/oder die betroffenen Funktionen nach Mitteilung an den Kunden aussetzen oder beschränken, ohne im gesetzlich zulässigen Umfang zu haften.

9. HAFTUNGSBESCHRÄNKUNG

Die gesamte kumulierte Haftung jeder Partei und ihrer jeweiligen verbundenen Unternehmen aus oder im Zusammenhang mit dieser DPA, gleich ob auf vertraglicher, deliktischer oder sonstiger Rechtsgrundlage, richtet sich nach den Haftungsbeschränkungen der Vereinbarung und unterliegt diesen. Bei Anwendung einer solchen Beschränkung gilt jede Bezugnahme in der Vereinbarung auf die Haftung einer Partei als Bezugnahme auf die zusammengefasste Haftung dieser Partei und ihrer verbundenen Unternehmen nach der Vereinbarung einschließlich dieser DPA. Dieser Abschnitt 9 beschränkt oder berührt keine Haftung gegenüber betroffenen Personen nach den Drittbegünstigtenregelungen der SCC, soweit diese gelten. Die Freistellungspflichten des Kunden nach Abschnitt 2.5 unterliegen der Haftungsbeschränkung der Vereinbarung, soweit die Vereinbarung nicht ausdrücklich etwas anderes bestimmt oder zwingendes anwendbares Recht eine solche Beschränkung verbietet.

10. BEENDIGUNG

Diese DPA bleibt bis zum Ablauf oder zur Beendigung der Vereinbarung in Kraft. Nach Ablauf oder Beendigung der Vereinbarung löscht Reslify nach schriftlicher Wahl des Kunden sämtliche personenbezogenen Kundendaten (einschließlich ihrer Kopien) oder gibt sie zurück, sofern die Aufbewahrung nicht nach anwendbarem Recht vorgeschrieben ist. Abschnitte dieser DPA, die ihrer Natur nach über die Beendigung hinaus gelten sollen (einschließlich Vertraulichkeits- und Löschungs-/Rückgabepflichten), bleiben bis zum Abschluss der Löschung oder Rückgabe in Kraft. Teilt der Kunde seine Wahl nicht innerhalb von dreißig (30) Tagen nach Ablauf oder Beendigung der Vereinbarung mit, löscht Reslify die personenbezogenen Kundendaten, sofern ihre Aufbewahrung nicht nach anwendbarem Recht vorgeschrieben ist. Ungeachtet dessen dürfen personenbezogene Kundendaten gemäß den Aufbewahrungsplänen für Sicherungskopien von Reslify für einen begrenzten Zeitraum in routinemäßigen Sicherungen sowie soweit erforderlich zur Einhaltung anwendbaren Rechts oder zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen aufbewahrt werden, sofern diese aufbewahrten Daten weiterhin nach dieser DPA geschützt werden.

11. CALIFORNIA CONSUMER PRIVACY ACT (CCPA/CPRA)

Die folgenden Bedingungen gelten für alle „Personal Information“ (personenbezogenen Informationen im Sinne des CCPA/CPRA), die Reslify im Auftrag des Kunden verarbeitet.

11.1 Status; begrenzter Zweck; Einhaltung. Die Parteien beabsichtigen, dass Reslify in Bezug auf diese personenbezogenen Informationen als „service provider“ (und gegebenenfalls als „contractor“) im Sinne des CCPA/CPRA handelt. Reslify erkennt an, dass der Kunde personenbezogene Informationen ausschließlich für die in der Vereinbarung beschriebenen begrenzten und bestimmten Geschäftszwecke gegenüber Reslify offenlegt, hält seine anwendbaren Pflichten nach dem CCPA/CPRA ein und gewährleistet für diese personenbezogenen Informationen mindestens das vom CCPA/CPRA verlangte Datenschutzniveau, benachrichtigt den Kunden innerhalb von fünf (5) Werktagen schriftlich, wenn Reslify feststellt, dass es seine Pflichten nach dem CCPA/CPRA nicht mehr erfüllen kann, und stimmt zu, dass der Kunde nach Mitteilung (einschließlich im Anschluss an eine solche Benachrichtigung) angemessene und geeignete Maßnahmen ergreifen darf, um eine unbefugte Verwendung personenbezogener Informationen zu beenden und Abhilfe zu schaffen.

11.2 Prüfung der CCPA-/CPRA-Einhaltung. Der Kunde darf gemäß Abschnitt 7.3 Prüfungen durchführen, um zu überprüfen, dass die Verarbeitung personenbezogener Informationen durch Reslify dessen Pflichten nach diesem Abschnitt 11 und dem CCPA/CPRA entspricht.

11.3 Beschränkungen der Nutzung und Offenlegung. Reslify verkauft oder teilt keine personenbezogenen Informationen; bewahrt personenbezogene Informationen nicht für andere Zwecke als zur Erbringung der Dienste und für die in der Vereinbarung festgelegten Geschäftszwecke oder wie anderweitig nach dem CCPA/CPRA zulässig auf und verwendet oder legt sie nicht für solche Zwecke offen; bewahrt personenbezogene Informationen nicht außerhalb der unmittelbaren Geschäftsbeziehung zwischen den Parteien auf und verwendet oder legt sie nicht außerhalb dieser Beziehung offen; und führt personenbezogene Informationen, die es vom Kunden oder in dessen Namen erhält, nicht mit personenbezogenen Informationen zusammen, die es von oder im Namen einer anderen Person erhält oder bei eigenen Interaktionen mit dem betreffenden Verbraucher erhebt, außer soweit dies nach dem CCPA/CPRA zulässig ist. Reslify bestätigt, dass es die in diesem Abschnitt 11.3 festgelegten Beschränkungen versteht und einhalten wird.

11.4 Mitteilung über Unterauftragsverarbeiter. Die Parteien vereinbaren, dass die Mitteilung von Reslify über Unterauftragsverarbeiter gemäß Abschnitt 6 dessen Pflicht nach dem CCPA/CPRA erfüllt, über deren Beauftragung zu informieren.

11.5 Anerkennung der Geschäftsbeziehung. Die Parteien erkennen an, dass die von den dokumentierten Weisungen des Kunden in der Vereinbarung vorgegebene Aufbewahrung, Nutzung und Offenlegung personenbezogener Informationen durch Reslify für die Bereitstellung der Dienste erforderlich und wesentlicher Bestandteil der Geschäftsbeziehung der Parteien ist.

11.6 Datenschutzgesetze anderer US-Bundesstaaten. Soweit anwendbare Datenschutz- oder Verbraucherdatenschutzgesetze eines US-Bundesstaats mit Ausnahme des CCPA/CPRA („Datenschutzgesetze der US-Bundesstaaten“) auf die Verarbeitung personenbezogener Kundendaten nach der Vereinbarung anwendbar sind, wird Reslify, soweit diese Gesetze dies verlangen, (a) personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden und zu den in der Vereinbarung beschriebenen Zwecken verarbeiten, (b) sicherstellen, dass zur Verarbeitung dieser Daten befugtes Personal angemessenen Vertraulichkeitspflichten unterliegt, (c) angemessene technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, (d) dem Kunden auf Anfrage angemessene Unterstützung leisten, damit dieser Anfragen von Verbrauchern/betroffenen Personen beantworten und anwendbare gesetzliche Pflichten erfüllen kann (einschließlich erforderlichenfalls Unterstützung bei Datenschutzbewertungen), (e) schriftliche Vereinbarungen mit Unterauftragsverarbeitern schließen, die mindestens das in dieser DPA vorgesehene Schutzniveau bieten, und (f) die vernünftigerweise erforderlichen Informationen zum Nachweis der Einhaltung bereitstellen und Prüfungen gemäß Abschnitt 7 gestatten. Klarstellend sind die Löschungs-/Rückgabepflichten von Reslify in Abschnitt 10 geregelt.

11.7 Begrenzte Verantwortlichen-Telemetrie (CCPA-/CPRA-Klarstellung). Soweit die in Abschnitt 3 beschriebene begrenzte Verantwortlichen-Telemetrie dem CCPA/CPRA unterliegende personenbezogene Informationen umfasst, verarbeitet Reslify sie in identifizierbarer Form nur im Mindestmaß, das für die begrenzten Zwecke Sicherheit, Integrität, Missbrauchs- oder Betrugsprävention, Reaktion auf Vorfälle, Einhaltung rechtlicher Pflichten, Abrechnung, Vertragsverwaltung oder Rechtsansprüche erforderlich ist, und vorbehaltlich angemessener Zugriffskontrollen. Für eigene allgemeine Produktanalysen und Dienstverbesserungen verwendet Reslify nur aggregierte oder de-identifizierte Daten. Reslify verkauft oder teilt solche personenbezogenen Informationen keinesfalls, verarbeitet sie nicht für kontextübergreifende verhaltensbasierte Werbung, erstellt keine kundenübergreifenden Profile und führt identifizierbare personenbezogene Informationen nicht kundenübergreifend zusammen, außer soweit dies nach dem CCPA/CPRA ausdrücklich für Sicherheits- und Betrugspräventionszwecke gestattet ist und Abschnitt 11.3 entspricht.

12. ALLGEMEINES

12.1 Aktualisierungen. Reslify darf diese DPA von Zeit zu Zeit mit Wirkung für die Zukunft ändern oder aktualisieren. Reslify darf unwesentliche Aktualisierungen, Klarstellungen und administrative Änderungen sowie Aktualisierungen vornehmen, die Änderungen von Gesetzen, Leitlinien, Sicherheitspraktiken, Unterauftragsverarbeitern, Übermittlungsmechanismen oder den Diensten Rechnung tragen, sofern sie die Rechte des Kunden oder Pflichten von Reslify nach dieser DPA oder den anwendbaren Datenschutzgesetzen nicht wesentlich verringern.

Reslify kündigt dem Kunden jede wesentliche Aktualisierung dieser DPA mindestens dreißig (30) Tage im Voraus schriftlich an, außer wenn eine kürzere Frist vernünftigerweise erforderlich ist, um anwendbare Datenschutzgesetze oder verbindliche Leitlinien/Anordnungen einer zuständigen Behörde einzuhalten, ein Sicherheits-, Betrugs-, Missbrauchspräventions- oder Betriebsintegritätsrisiko zu behandeln oder Anforderungen eines für die weitere Bereitstellung der Dienste notwendigen kritischen Drittanbieters zu erfüllen.

Eine wesentliche Aktualisierung, die neue dokumentierte Weisungen des Kunden erfordert, die Kategorien personenbezogener Kundendaten, Kategorien betroffener Personen, Verarbeitungszwecke oder die Verarbeitungsrolle von Reslify gegenüber dieser DPA wesentlich erweitert oder die Bedingungen für eingeschränkte Übermittlungen in einer von dieser DPA nicht bereits erlaubten Weise wesentlich ändert, gilt für den Kunden nur, wenn dieser ihr schriftlich oder elektronisch zustimmt oder die Aktualisierung nach anwendbarem Recht erforderlich ist. Widerspricht der Kunde vor dem Inkrafttreten aus angemessenen Datenschutzgründen, arbeiten die Parteien nach Treu und Glauben an einer Lösung. Wird der Widerspruch nicht beigelegt, darf Reslify als alleiniges und ausschließliches Rechtsmittel des Kunden die Bereitstellung der betroffenen neuen Funktion ablehnen, soweit verfügbar eine angemessene Umgehungslösung anbieten oder dem Kunden gestatten, die betroffene Funktion einzustellen oder die betroffenen Dienste zum Ende des jeweils laufenden Abrechnungszeitraums ohne Erstattung zu beenden, soweit zwingendes anwendbares Recht keine Erstattung verlangt. Dieser Abschnitt 12.1 beschränkt keine zwingenden Rechte des Kunden nach anwendbarem Recht.

Klarstellend ändert oder ersetzt eine Aktualisierung dieser DPA weder die SCC noch das UK Transfer Addendum ohne gegenseitige schriftliche Zustimmung der Parteien, außer soweit dies in Abschnitt 8.8 ausdrücklich gestattet ist und/oder eine zuständige Behörde eine Aktualisierung des anwendbaren Übermittlungsmechanismus anordnet. Mitteilungen nach diesem Abschnitt 12.1 können gemäß Abschnitt 12.2 und den Mitteilungsbestimmungen der Vereinbarung per E-Mail erfolgen. Dieser Abschnitt 12.1 beschränkt oder verringert keine Rechte oder Pflichten nach den SCC und/oder dem UK Transfer Addendum (soweit anwendbar) oder nach zwingendem anwendbarem Recht.

12.2 Mitteilungen; Kontaktdaten. Für die Zwecke dieser DPA lauten die Kontaktdaten jeder Partei für datenschutzbezogene Mitteilungen wie folgt und können von jeder Partei durch schriftliche Mitteilung an die andere aktualisiert werden: für Reslify privacy@reslify.com; für den Kunden die von ihm in den Mitteilungsbestimmungen der Vereinbarung angegebenen Kontaktdaten oder, falls dort nicht angegeben, die mit der Kontoregistrierung verknüpften primären Kontaktdaten oder die Reslify zuletzt schriftlich mitgeteilten Kontaktdaten.

12.3 Gesamte Vereinbarung. Diese DPA bildet die gesamte Vereinbarung der Parteien über die Verarbeitung personenbezogener Kundendaten und ihre jeweiligen Pflichten im Zusammenhang mit den anwendbaren Datenschutzgesetzen und ersetzt alle früheren oder gleichzeitigen Absprachen zu diesem Gegenstand.

12.4 Anwendbares Recht; Gerichtsstand. Soweit die SCC (sofern anwendbar) nichts anderes bestimmen, unterliegt diese DPA für jede Streitigkeit oder jeden Anspruch aus oder im Zusammenhang mit dieser DPA den in der Vereinbarung festgelegten Bestimmungen zur Rechtswahl und Gerichtsstandsvereinbarung; die Parteien unterwerfen sich diesen.

12.5 Rangfolge der Übermittlungsdokumente. Bei einem Konflikt oder Widerspruch zwischen dieser DPA und der Vereinbarung hinsichtlich der Verarbeitung personenbezogener Kundendaten geht diese DPA vor. Bei einem Konflikt oder Widerspruch zwischen dieser DPA und den SCC und/oder dem UK Transfer Addendum (soweit anwendbar) gehen die SCC und/oder das UK Transfer Addendum für die betreffende eingeschränkte Übermittlung im Umfang des Konflikts vor.

12.6 Sprache. Diese DPA wurde in englischer Sprache verfasst. Übersetzungen werden lediglich zur Vereinfachung bereitgestellt und dürfen nicht zur Auslegung dieser DPA herangezogen werden. Bei Widersprüchen ist die englische Fassung maßgeblich, soweit zwingendes anwendbares Recht nichts anderes verlangt.

12.7 Verfügbarkeit von Übermittlungsdokumenten. Reslify stellt dem Kunden auf Anfrage und/oder über die übliche Vertragsablage, das Kundenportal oder andere angemessene Mittel den vollständigen Text der EU-SCC (Durchführungsbeschluss (EU) 2021/914 der Kommission) und gegebenenfalls des UK Transfer Addendum und/oder des Schweizer Zusatzes (jeweils gemäß Anlage 4) zur Verfügung.

Die Parteien erkennen an, dass diese Übermittlungsdokumente Bestandteil dieser DPA sind und wie hierin festgelegt durch Verweis einbezogen werden. Klarstellend ist Reslify nicht verpflichtet, einzeln unterzeichnete Papierfassungen dieser Dokumente bereitzustellen, außer soweit dies ausdrücklich nach Abschnitt 8.9 oder zwingendem anwendbarem Recht erforderlich ist.

ANLAGE 1

Einbeziehung. Diese Anlage 1 ist Bestandteil der Auftragsverarbeitungsvereinbarung vom 16. Juli 2026 (die „DPA“) zwischen Reslify und dem Kunden und wird in diese einbezogen. Im Konfliktfall gilt die Rangfolge der DPA.

Einzelheiten der Verarbeitung (personenbezogene Kundendaten)

A. ANGABEN ZUM DATENEXPORTEUR (KUNDE)

Name: Wie im Clickwrap-Annahmedatensatz und in den Registrierungs-/Profilangaben des Kundenkontos angegeben (einschließlich des vom Kunden angegebenen rechtlichen Namens des vertragschließenden Unternehmens). Anschrift: Wie im Clickwrap-Annahmedatensatz und/oder in den Registrierungs-/Profil- oder Abrechnungsangaben des Kunden angegeben. Kontaktdaten für Datenschutz: E-Mail-Adresse des primären Kontoadministrators und/oder vom Kunden in seinem Kontoprofil angegebene Datenschutzkontaktdaten (oder Reslify anderweitig schriftlich mitgeteilte Angaben). Tätigkeiten des Kunden: Die für diese DPA relevanten Tätigkeiten des Kunden bestehen in der Nutzung der Dienste im Rahmen seines Geschäftsbetriebs, um Reservierungen und Buchungen zu verwalten, Nichterscheinen zu verringern (einschließlich durch Anzahlungen, Vorauszahlungen, Kartengarantien mittels gespeicherter Zahlungsmethoden und möglicher späterer Stornierungs-/Nichterscheinensgebühren sowie, soweit gesondert aktiviert, Autorisierungsvormerkungen), Veranstaltungen/Erlebnisse zu verkaufen und zu erfüllen, vom Veranstaltungsort ausgegebene Geschenkkarten anzubieten, bereitzustellen und einzulösen, Menüinhalte zu importieren und zu verwalten (einschließlich über den KI-gestützten Menüimport), Vorauszahlungen anzunehmen, Tickets/Bestätigungen auszustellen sowie damit verbundene Gästemitteilungen und betriebliche Arbeitsabläufe einschließlich über unterstützte Integrationen zu verwalten. Rolle: Verantwortlicher, soweit der Kunde selbst Verantwortlicher für personenbezogene Kundendaten ist; Auftragsverarbeiter, soweit der Kunde als Auftragsverarbeiter im Auftrag einer anderen Person handelt (gegebenenfalls einschließlich seiner verbundenen Unternehmen).

B. ANGABEN ZUM DATENIMPORTEUR (Reslify)

Name: Reslify LLC („Reslify“) Gründungsrechtsordnung: Delaware, Vereinigte Staaten Anschrift: 8 The Green, Suite B, Dover, DE 19901, USA Kontaktdaten für Datenschutz: privacy@reslify.com Tätigkeiten von Reslify: Reslify stellt Betreibern im Gastgewerbe und ähnlichen Veranstaltungsorten eine Business-to-Business-Software-as-a-Service-Plattform bereit, um (i) Reservierungen und Buchungen zu verwalten, (ii) Nichterscheinen durch Anzahlungen, Vorauszahlungen, Kartengarantien mittels gespeicherter Zahlungsmethoden und mögliche spätere Stornierungs-/Nichterscheinensgebühren sowie, soweit gesondert aktiviert, Autorisierungsvormerkungen zu verringern, (iii) Veranstaltungen und Erlebnisse mit Ticketverkauf zu verkaufen und zu erfüllen, (iv) vom Veranstaltungsort ausgegebene Geschenkkarten anzubieten, bereitzustellen und einzulösen, (v) Menüinhalte einschließlich über den KI-gestützten Menüimport zu importieren und zu verwalten, (vi) Vorauszahlungen anzunehmen und (vii) Integrationen mit Diensten und Oberflächen Dritter (einschließlich „Mit Google reservieren“ und anderer unterstützter Integrationen) gemäß der Vereinbarung vorzunehmen. Rolle: Auftragsverarbeiter in Bezug auf personenbezogene Kundendaten, die im Auftrag des Kunden nach dieser DPA verarbeitet werden, unbeschadet der eng begrenzten Verarbeitung als Verantwortlicher gemäß Abschnitt 3.

C. EINZELHEITEN DER DATENVERARBEITUNG

Gegenstand. Gegenstand der Verarbeitung nach dieser DPA sind personenbezogene Kundendaten.

Dauer der Verarbeitung. Im Verhältnis zwischen Reslify und dem Kunden richtet sich die Dauer der Verarbeitung nach dieser DPA nach der Nutzung der Dienste durch den Kunden. Personenbezogene Kundendaten werden grundsätzlich für die Laufzeit der Vereinbarung und danach für den Mindestzeitraum verarbeitet, der vernünftigerweise erforderlich ist, um die Beziehung der Parteien abzuwickeln und personenbezogene Kundendaten gemäß der Vereinbarung und dieser DPA zurückzugeben oder zu löschen, oder wie nach anwendbarem Recht vorgeschrieben.

Art der Verarbeitung. Speicherung und sonstige Verarbeitung personenbezogener Kundendaten, soweit dies zur Bereitstellung der Dienste und des zugehörigen Supports gemäß der Vereinbarung erforderlich ist.

Häufigkeit der Übermittlung (soweit anwendbar). Fortlaufend und ereignisgesteuert, wenn der Kunde und Endnutzer Daten über die Dienste übermitteln und abrufen und wenn die Dienste betriebliche Protokolle/Telemetriedaten erzeugen, die zur Bereitstellung und Absicherung der Dienste erforderlich sind.

Verarbeitungsvorgänge. Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung (wie durch die Kundenkonfiguration und Integrationen ausgelöst), Abgleich/Zusammenführung (innerhalb der Kundeninstanz), Einschränkung, Löschung und Vernichtung.

Aufbewahrung und Löschung (Zusammenfassung). Personenbezogene Kundendaten werden für die Laufzeit der Vereinbarung und bis zum Abschluss der Löschung/Rückgabe nach Abschnitt 10 aufbewahrt. Nach Beendigung und Wahl des Kunden (oder standardmäßiger Löschung) löscht Reslify personenbezogene Kundendaten innerhalb eines wirtschaftlich angemessenen Zeitraums, üblicherweise innerhalb von 90 Tagen, aus aktiven Produktionssystemen, sofern nicht das anwendbare Recht oder Rechtsansprüche eine längere Aufbewahrung verlangen. Daten in routinemäßigen Sicherungen werden geschützt und laufen nach rollierenden, dienstespezifischen Zeitplänen ab oder werden überschrieben. Gelöschte Daten können bis zum vorgesehenen Ablauf in geschützten Sicherungen verbleiben und werden nur zu Wiederherstellungszwecken wiederhergestellt; nach einer Wiederherstellung werden die anwendbaren Löschungs- oder Einschränkungsmaßnahmen erneut angewandt. Reslify sichert nicht zu, dass für alle Datensätze ein einheitlicher Sicherungszeitraum gilt. Soweit in dieser Anlage angegeben, gelten kürzere funktionsspezifische Zeiträume, darunter bis zu 24 Stunden für Sitzungen des KI-Buchungsassistenten, bis zu sieben (7) Tage für Quelldateien und Auftragsdatensätze des KI-gestützten Menüimports sowie 90 Tage seit der letzten Registrierung oder Aktualisierung für Registrierungen mobiler Push-Geräte. Gewöhnliche betriebliche Anwendungs- und API-Protokolle werden bis zu 30 Tage in zugriffsgeschützten primären Protokollierungssystemen aufbewahrt. Nur ausgewählte, ausdrücklich klassifizierte und minimierte Nachweisereignisse zu Sicherheit, Zahlungen und Streitigkeiten dürfen bis zu 400 Tage in dem in Anlage 3 beschriebenen zugriffsgeschützten Nachweisarchiv aufbewahrt werden. Relevante Nachweise dürfen nur aufgrund einer dokumentierten fallspezifischen gesetzlichen Aufbewahrungssperre oder soweit dies zur Einhaltung anwendbaren Rechts oder zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, länger aufbewahrt werden.

D. KATEGORIEN BETROFFENER PERSONEN, ARTEN PERSONENBEZOGENER KUNDENDATEN UND ZWECKE — GEORDNET NACH DIENST/MODUL VON Reslify

| Reslify-Dienst/-Modul | Kategorien betroffener Personen | Arten personenbezogener Kundendaten | Zweck der Verarbeitung | | ----- | ----- | ----- | ----- | | KI-Buchungsassistent (soweit aktiviert) | Gäste/Besucher des Veranstaltungsorts, die das gästeorientierte Buchungserlebnis nutzen; Personal/Nutzer des Kunden, soweit ihre vom Kunden konfigurierten Inhalte als Kontext verwendet werden | Nachrichten von Gästen und darin enthaltene personenbezogene Daten; Zustand des Buchungsprozesses (z. B. gewünschtes Datum, Uhrzeit, Gruppengröße, Verfügbarkeit, ausgewählte Optionen und Freitextnotizen); begrenzter bisheriger Gesprächskontext; vom Kunden konfigurierte Informationen zum Veranstaltungsort, Angebote, Richtlinien, Betriebsinformationen und Buchungsinhalte; Sitzungskennungen und Spracheinstellung | Erzeugung fundierter Buchungsunterstützung, Beantwortung von Gästefragen, Vorschlag unverbindlicher Handlungen im Buchungsablauf oder Änderungsentwürfe, Aufrechterhaltung eines kurzlebigen Gesprächskontexts sowie Betrieb und Absicherung der KI-Funktion; ohne die entsprechende Bestätigung in den Diensten wird weder eine Reservierung, Vormerkung, Zahlung noch eine sonstige buchungsrelevante Handlung abgeschlossen | | KI-gestützter Menüimport (soweit aktiviert) | Personal/Nutzer des Kunden; Personen, deren Informationen der Kunde in eine hochgeladene Menüquelle aufnimmt | Hochgeladene Menüdateien und -bilder; Dateinamen, Dateitypen und Dateimetadaten; extrahierter Text; Menünamen, Kategorien, Namen und Beschreibungen von Einträgen, Preise, Ernährungs- oder Herkunftskennzeichnungen; erzeugte strukturierte Menüentwürfe; Auftragskennungen, Status, Warnungen und Fehlerinformationen | Extraktion und Strukturierung von Menüinformationen, Erzeugung eines bearbeitbaren Entwurfs zur Prüfung durch den Kunden sowie Erstellung oder Aktualisierung von Menüinhalten erst nach der entsprechenden Handlung oder Bestätigung des Kunden; Quelldateien und Importauftragsdatensätze sind zur Löschung nach bis zu sieben (7) Tagen vorgesehen | | Profil und Medien des Veranstaltungsorts | Personal/Nutzer des Kunden; in vom Kunden hochgeladenen Medien identifizierbare Personen | Namen, Beschreibungen, Anschriften und Kontaktdaten von Veranstaltungsorten, Website- und Bewertungslinks, geografische Koordinaten, Öffnungs-/Serviceinformationen, Logos, Profilbilder, Erlebnisbilder, Geschenkkartenbilder, Menübilder sowie zugehörige Datei- und Asset-Metadaten | Konfiguration und Veröffentlichung von Profilen und Angeboten des Kunden; Speicherung, Verarbeitung, Umwandlung, Zwischenspeicherung und Bereitstellung von Kundenmedien über die Dienste | | Reservierungen (Kernbuchung) | Gäste/Besucher des Veranstaltungsorts (einschließlich Online-Widget-, Telefon- und Laufkundschaftsbuchungen); Personal/Nutzer des Kunden | Gästekennungen (Name); Kontaktdaten (E-Mail/Telefon) (optional); Reservierungsangaben (Datum/Uhrzeit, Gruppengröße, Präferenzen für Veranstaltungsort/Standort/Bereich/Tisch); Buchungsstatus/-verlauf; Notizen/besondere Wünsche (Freitext; vom Endnutzer bereitgestellt; können sensible Daten enthalten) sowie zusätzliche Informationen aus vom Kunden konfigurierten Feldern (optional) | Erstellung, Verwaltung und Erfüllung von Reservierungen und Reservierungsanfragen; Aktualisierung/Bestätigung/Stornierung von Buchungen; betriebliche Sichtbarkeit für autorisierte Nutzer des Kunden | | Wartelisten- und Anfragenverwaltung | Gäste/Besucher des Veranstaltungsorts; Personal/Nutzer des Kunden | Name; Kontaktdaten (E-Mail/Telefon); Angaben zum Wartelisteneintrag (Gruppengröße, bevorzugte Zeiten); Status/Verlauf; Notizen/Präferenzen (Freitext; vom Endnutzer bereitgestellt; können sensible Daten enthalten) | Erstellung und Verwaltung von Wartelisten; Unterstützung von Gästebenachrichtigungen und interner Warteschlangenverwaltung; Optimierung von Sitzplatz-/Verfügbarkeitsabläufen | | Verhinderung von Nichterscheinen (Anzahlungen/Vorauszahlungen/Kartengarantien/spätere Belastungen/Autorisierungsvormerkungen, soweit aktiviert) | Gäste/Besucher des Veranstaltungsorts; Personal/Nutzer des Kunden | Buchungsverknüpfungskennungen; Richtlinienauswahl (Anzahlung, Vorauszahlung, Kartengarantie, Stornierungs-/Nichterscheinensgebühr und, soweit gesondert aktiviert, Vormerkungsregeln); Zahlungsstatus/-metadaten (Kundenkennungen des Zahlungsabwicklers, tokenisierte Zahlungsmethodenkennungen, Setup-/Payment-Intent-Kennungen, Transaktionskennungen, Zeitstempel, Beträge, Währung, Status bezahlt/erstattet/fehlgeschlagen/autorisiert sowie maskierte Kartenmerkmale wie Marke, letzte vier Ziffern und Ablaufdatum, soweit verfügbar); Statuskennzeichen zur Durchsetzung/zu Rückbuchungen (soweit anwendbar) | Ermöglichung der Nichterscheinensrichtlinien des Kunden; Unterstützung von Anzahlungen, Vorauszahlungen, Kartengarantien mittels gespeicherter Zahlungsmethoden, möglichen späteren Stornierungs-/Nichterscheinensgebühren und, soweit gesondert aktiviert, Autorisierungsvormerkungen; Anzeige des Compliance-/Buchungsgarantiestatus für betriebliche Erfüllung und Abstimmung ohne Speicherung vollständiger Kartennummern oder Kartenprüfcodes | | PAYTR-Marktplatzzahlungen (soweit aktiviert) | Gäste/Käufer des Veranstaltungsorts; Personal/Nutzer des Kunden; begünstigte Verkäufer des Kunden/Veranstaltungsorts | Bestell- und Transaktionskennungen; Zeitstempel; Bruttobetrag, Nettoverkäuferbetrag, Plattformprovision, Erstattungs- und Anpassungsbeträge; Währung und Zahlungs-/Auszahlungsstatus; Name und IBAN des Begünstigten des Kunden/Veranstaltungsorts; von PAYTR bereitgestellte maskierte Kartenmerkmale; keine vollständige Kartennummer oder Kartenprüfcodes | Ermöglichung des von PAYTR gehosteten Bezahlvorgangs über das Marktplatzkonto des türkischen Zahlungsbetreibers; Anweisung an PAYTR, den Nettoverkäuferbetrag des Kunden unmittelbar auf dessen angegebene IBAN und die gesondert berechnete Plattformprovision an den türkischen Zahlungsbetreiber zu überweisen; Abstimmung von Auszahlungen, Erstattungen, Anpassungen, Rücküberweisungen und Zahlungsstatus auf Weisung des Kunden | | Veranstaltungen und Erlebnisse (Ticketverkauf/vorausbezahlte Angebote) | Käufer/Teilnehmer; Personal/Nutzer des Kunden | Name; Kontaktdaten (E-Mail/Telefon) (optional); Auswahl des Erlebnisses/der Veranstaltung; Mengen; Sitzung/Zeitfenster; Ticket-/Buchungskennungen; Check-in-/Teilnahmestatus; Notizen/Präferenzen (Freitext; vom Endnutzer bereitgestellt; können sensible Daten enthalten); begrenzter Zahlungsstatus/-metadaten wie vorstehend (bei Zahlung) sowie zusätzliche Informationen aus vom Kunden konfigurierten Feldern (optional) | Verkauf, Ausstellung und Erfüllung von Veranstaltungen/Erlebnissen mit Ticketverkauf; Verwaltung von Teilnehmerlisten und Check-in; Bestätigungen und betriebliche Aufsicht; Abstimmung des Zahlungsstatus ohne Speicherung vollständiger Kartennummern oder Kartenprüfcodes | | Geschenkkarten (soweit aktiviert) | Käufer und Empfänger von Geschenkkarten; Personen, die Geschenkkarten einlösen; Personal/Nutzer des Kunden | Namen und Kontaktdaten von Käufer und Empfänger; Spracheinstellungen von Käufer und Empfänger; Geschenkkartenprodukt, Betrag, Währung, Zustelloption, Zustellzeitpunkt, optionale persönliche Nachricht, Code oder Token, Status und Ablauf; Kauf-, Zustell-, Einlösungs-, Saldo- und Anpassungsverlauf; zugehörige Buchungsverknüpfung; begrenzte Zahlungs- und Transaktionsmetadaten | Ermöglichung von Kauf, Zustellung, Saldoverwaltung und Einlösung der vom Veranstaltungsort ausgegebenen Geschenkkarten sowie Betrugsprävention, Support, Abstimmung und damit verbundene betriebliche Arbeitsabläufe und Mitteilungen des Kunden | | Host-Mobil-App und Push-Benachrichtigungen (soweit aktiviert) | Personal/Nutzer des Kunden; Gäste, die mit pseudonymen Reservierungs- oder Anfragekennungen in einer betrieblichen Benachrichtigung verknüpft sind | Nutzer-, Kunden-/Händler-, Installations- und Gerätekennungen; Plattform, Push-Anbieter und Push-Token; Status der Benachrichtigungsberechtigung; App- und Gerätemetadaten; Registrierungs- und Letztverwendungszeitstempel; neutraler lokalisierter Benachrichtigungstitel/-text; Payload-Schemaversion; Ereignistyp und -zeitstempel; Gruppengröße; pseudonyme Reservierungs- oder Anfragekennung. Die Push-Payload schließt Namen und Kontaktdaten von Gästen, Reservierungszeit und -status, Notizen, Freitext und Anwendungsrouten aus. | Registrierung und Verwaltung autorisierter Geräte; Weiterleitung minimierter betrieblicher Benachrichtigungen über Reservierungen und Reservierungsanfragen an berechtigte Nutzer des Kunden; lokale Erstellung der autorisierten In-App-Route und Abruf detaillierter Gäste- oder Reservierungsinformationen unmittelbar von Reslify über die authentifizierte Anwendung; Behebung von Zustellungsproblemen und Entfernung ungültiger Registrierungen | | Gästeprofile/CRM (soweit aktiviert) | Gäste/Besucher des Veranstaltungsorts; Personal/Nutzer des Kunden | Gästeprofilkennungen; Kontaktdaten; Besuchs-/Buchungsverlauf; Präferenzen/Tags; Freitextnotizen (vom Endnutzer bereitgestellt; können sensible Daten enthalten); besonderer Anlass (optional); benutzerdefinierte Felder und zusätzliche Informationen, die vom Kunden und/oder Endnutzern oder in deren Namen über vom Kunden konfigurierte Formulare übermittelt werden (optional) | Pflege und Anzeige von Gästeprofilen auf Weisung des Kunden; Unterstützung von Personalisierung und einheitlichem Gästeservice; Erfassung von Präferenzen und betrieblichen Notizen | | Transaktionsmitteilungen (E-Mail/SMS/WhatsApp oder Ähnliches, wie konfiguriert) | Gäste/Besucher/Käufer des Veranstaltungsorts; Personal/Nutzer des Kunden | Kontaktdaten; Nachrichteninhalt; Vorlagen/Variablen (wie konfiguriert); Zustellungsmetadaten/-protokolle (Zeitstempel, Status) | Versand von Bestätigungen, Erinnerungen, Aktualisierungen und betrieblichen Nachrichten, die durch die Nutzung/Konfiguration des Kunden ausgelöst werden; Nachweis des Zustellungsstatus und Unterstützung der Gästekommunikation | | Integrationen (einschließlich „Mit Google reservieren“ und anderer unterstützter Dritter) | Gäste/Besucher des Veranstaltungsorts; Personal/Nutzer des Kunden | Buchungskennungen; für die Integration erforderliche Gästekontakt-/Buchungsfelder (wie konfiguriert); Integrationskennungen und Konfigurationsdaten (sowie gegebenenfalls Zugriffstoken oder ähnliche Authentifizierungsdaten), die vom Kunden oder in dessen Namen übermittelt werden; Synchronisierungsmetadaten/-protokolle | Ermöglichung integrierter Auffindbarkeits-/Buchungsabläufe; Synchronisierung von Verfügbarkeit, Buchungen und Statusaktualisierungen über konfigurierte Drittanbieteroberflächen/-dienste; Wahrung der Integrität von Buchungsdaten | | Veranstaltungsort-/Sitzplatz- und Betriebswerkzeuge (soweit aktiviert) | Gäste/Besucher des Veranstaltungsorts; Personal/Nutzer des Kunden | Reservierungs-/Gruppenangaben; Sitz-/Tischzuweisungen; betriebliche Notizen; Statuszeitstempel; Personal-/Nutzerkennungen für Handlungen | Unterstützung der Tisch-/Bereichszuweisung und des Echtzeitbetriebs; Nachvollziehbarkeit der auf der Plattform vorgenommenen Handlungen | | Verwaltung, Nutzerverwaltung und Zugriffskontrolle | Personal/Nutzer des Kunden; Kundenkontakte (soweit diese autorisierte Nutzer innerhalb der Kundeninstanz sind) | Identität des autorisierten Nutzers innerhalb der Kundeninstanz (Name); geschäftliche E-Mail-Adresse; Rolle/Berechtigungen; Nutzereinstellungen auf Instanzebene; produktinterne Handlungs-/Auditprotokolle zur Nutzung der Dienste (z. B. Verwaltungshandlungen und Änderungen durch autorisierte Nutzer) | Bereitstellung und Verwaltung von Nutzerkonten innerhalb der Kundeninstanz; Rollen-/Berechtigungsverwaltung; Verwaltung der Einstellungen der Kundeninstanz; Aufrechterhaltung der für den Kunden sichtbaren Nachvollziehbarkeit von Handlungen auf Instanzebene | | Berichte und Dashboards (kundenorientiert) | Personal/Nutzer des Kunden | Aggregierte und datensatzbezogene Buchungs-/Veranstaltungsdaten, wie für den Kunden sichtbar; betriebliche Kennzahlen; Zeitstempel; begrenzte Zahlungsstatuskennzeichen | Bereitstellung betrieblicher Berichte und Dashboards für den Kunden; Unterstützung von Abstimmung, Prognosen und Leistungsüberwachung (kundenorientiert) | | Support und Kundendienst | Personal/Nutzer des Kunden; Kundenkontakte (soweit diese autorisierte Nutzer innerhalb der Kundeninstanz sind) | Inhalt von Supportanfragen; Kontokennungen; Metadaten zur Fehlerbehebung; zur Untersuchung von Problemen erforderliche Protokolle | Beantwortung von Supportanfragen; Fehlerbehebung bei Vorfällen; Wiederherstellung des Dienstes; Mitteilung von Lösungen und Aufrechterhaltung der Dienstkontinuität | | Sicherheit, Auditprotokolle und Missbrauchs-/Betrugsprävention (Diensterbringung) | Gäste (soweit anwendbar); Personal/Nutzer des Kunden | Zugriffs- und Aktivitätsprotokolle auf Instanzebene sowie innerhalb der Kundeninstanz erzeugte und dem Kunden über die Dienste zugänglich gemachte Auditprotokolle (z. B. Nutzerhandlungen, Verwaltungsänderungen, Zeitstempel und gegebenenfalls zugehörige Kennungen); betriebliche Anwendungs-/API-Protokolle mit Kennungen, Anfragemetadaten, Fehlerangaben und begrenzten Datensatzinformationen, soweit für Sicherheit, Fehlerbehebung, Zuverlässigkeit und Reaktion auf Vorfälle erforderlich | Schutz der Dienste innerhalb der Kundeninstanz; Nachvollziehbarkeit für den Kunden; Untersuchung instanzspezifischer Vorfälle; Fehlerbehebung; Aufrechterhaltung der Zuverlässigkeit; Unterstützung anwendbarer Sicherheits- und Rechenschaftspflichten |

Hinweise: Diese Anlage 1 beschreibt die Verarbeitung personenbezogener Kundendaten durch Reslify als Auftragsverarbeiter im Auftrag des Kunden nach dieser DPA. Sie beschreibt nicht die im Abschnitt „Geltungsbereich“ festgelegte Verarbeitung durch Reslify als eigenständig Verantwortlicher (einschließlich Registrierung/Verwaltung auf Kontoebene, Abrechnung/Abonnements, CRM/Vertrieb/Marketing und zugehöriger Mitteilungen sowie begrenzter Verantwortlichen-Telemetrie). Supportanfragen von Kontakten auf Konto-/Abrechnungsebene außerhalb der Kundeninstanz fallen unter die im Abschnitt „Geltungsbereich“ beschriebene Verarbeitung von Reslify als eigenständig Verantwortlicher und sind in dieser Anlage 1 nicht enthalten.

Bestimmte Felder können optional sein und von der Kundenkonfiguration und den Eingaben der Endnutzer abhängen. Reslify bestimmt weder, welche optionalen/benutzerdefinierten Felder der Kunde aktiviert, noch welche Informationen der Kunde von Endnutzern anfordert; der Kunde kontrolliert diese Konfiguration und die von ihm über die Dienste angeforderten Eingaben oder Inhalte. Vollständige Zahlungskartennummern und Kartenprüfcodes werden in vom Zahlungsabwickler kontrollierten Feldern oder Seiten erhoben und nicht von Reslify gespeichert. Reslify verarbeitet ausschließlich die vorstehend beschriebenen Kennungen des Zahlungsabwicklers, Transaktions-/Statusangaben und maskierten Kartenmerkmale, soweit dies für den Betrieb der Dienste erforderlich ist.

Bestimmte Felder in den Diensten sind Freitextfelder (einschließlich des standardmäßigen Felds „Notizen“/„besondere Wünsche“ oder eines ähnlichen Kommentarfelds); der Kunde kann außerdem optionale/benutzerdefinierte Felder, Zusatzleistungen oder Formulare innerhalb der Dienste konfigurieren, um zusätzliche Informationen von Endnutzern anzufordern (einschließlich Ernährungs-/Allergieinformationen oder Präferenzen). Reslify bestimmt weder, welche optionalen/benutzerdefinierten Felder der Kunde aktiviert, noch welche Informationen der Kunde von Endnutzern anfordert, und kontrolliert nicht, welche Angaben Endnutzer in Freitextfelder eingeben.

Der Kunde erkennt an und stimmt zu, dass über Freitextfelder oder vom Kunden konfigurierte Felder übermittelte Informationen nach anwendbaren Datenschutzgesetzen sensible Daten darstellen können (z. B. Allergieinformationen als Gesundheitsdaten). Wie in Abschnitt 2.6 der DPA festgelegt, ist allein der Kunde dafür verantwortlich, die anwendbaren Rechtsgrundlagen zu bestimmen, besondere Anforderungen für die Erhebung und Verarbeitung dieser Daten (einschließlich gegebenenfalls der Voraussetzungen nach Artikel 9 DSGVO) zu erfüllen, sämtliche erforderlichen Informationen bereitzustellen und notwendige Einwilligungen oder Genehmigungen einzuholen. Reslify verarbeitet diese Inhalte nur soweit erforderlich zur Bereitstellung der Dienste innerhalb der Kundeninstanz und auf dokumentierte Weisung des Kunden, wendet die Sicherheitsmaßnahmen in Anlage 3 an und verwendet die Daten weder für eigene Produktanalysen oder Dienstverbesserungen noch zum Training generalisierter KI, sofern dies nicht ausdrücklich schriftlich vereinbart wurde.

Klarstellend wird plattformweite Sicherheits-/Authentifizierungstelemetrie (z. B. Geräte-/IP-Signale und Protokolle zur Sicherheitsüberwachung, die für die eigenständigen Sicherheits- und Missbrauchspräventionszwecke von Reslify verarbeitet werden) in der Datenschutzerklärung behandelt und soll den Umfang der personenbezogenen Kundendaten nicht über das hinaus erweitern, was im Auftrag des Kunden nach dieser DPA verarbeitet wird.

ANLAGE 2

Liste der Unterauftragsverarbeiter

Zuletzt überarbeitet: 16. Juli 2026

Diese Anlage 2 führt die Drittanbieter von Reslify LLC („Reslify“) auf, die befugt sind, personenbezogene Kundendaten im Zusammenhang mit den Diensten als Unterauftragsverarbeiter zu verarbeiten. Diese Liste kann von Zeit zu Zeit gemäß Abschnitt 6.2 der DPA aktualisiert werden.

A. Unterauftragsverarbeiter (von Reslify beauftragt)

| Name des Unternehmens | Relevante Dienste/Funktion | Leistungen des Unternehmens (Beispiele) | Hauptsitz | Verarbeitungsort(e) (soweit abweichend/bekannt) | | ----- | ----- | ----- | ----- | ----- | | Amazon Web Services, Inc. und AWS Turkey Pazarlama Teknoloji ve Danışmanlık Hizmetleri Limited Şirketi (zusammen „AWS“ nach dem AWS Data Processing Addendum) | Zentrales Hosting und Infrastruktur der Dienste einschließlich Rechenleistung, Speicherung, Netzwerk, Identität/Authentifizierung, Warteschlangen, Protokollierung/Überwachung, Speicherung von Menüimportquellen und Versand transaktionsbezogener E-Mails | Lambda, API Gateway, DynamoDB, S3, Cognito, SQS, EventBridge, CloudWatch und Amazon SES | Vereinigte Staaten und Türkiye | Deutschland (Frankfurt, EU/EWR) für das Hosting der primären Datenbank und gegebenenfalls der Menüimportquellen; andere Orte nur gemäß dem AWS Data Processing Addendum und Abschnitt 8 | | Reslify Bilişim Pazarlama Limited Şirketi | Betrieb des unterstützten PAYTR-Marktplatzzahlungsablaufs im Auftrag von Reslify, soweit das Unternehmen personenbezogene Kundendaten als Unterauftragsverarbeiter verarbeitet | Zahlungs- und Auszahlungsanweisungen; Name und IBAN des Begünstigten des Kunden/Veranstaltungsorts; Transaktions-, Plattformprovisions-, Erstattungs-, Anpassungs-, Abstimmungs- und Rücküberweisungsmetadaten; Zahlungssupport | Türkiye | Türkiye; Zugriff auf relevante personenbezogene Kundendaten in der im EWR gehosteten Plattform nur soweit für den aktivierten Zahlungsablauf und Support erforderlich | | OpenAI OpCo, LLC | KI-Modellanbieter für den KI-Buchungsassistenten und KI-gestützten Menüimport | Erzeugung von Antworten des KI-Buchungsassistenten und Extraktion/Strukturierung von Informationen aus vom Kunden hochgeladenen Menüdateien oder -bildern | Vereinigte Staaten | Vereinigte Staaten | | 650 Industries, Inc. (Expo) | Zustellung mobiler Push-Benachrichtigungen an Personal/Nutzer des Kunden | Verarbeitung von Geräte-Push-Token und betrieblichen Benachrichtigungs-Payloads; Weiterleitung über den jeweiligen Push-Dienst der Mobilplattform | Vereinigte Staaten | Vereinigte Staaten; Weiterleitung über Apple Push Notification service oder Google Firebase Cloud Messaging je nach Geräteplattform |

Hinweise (AWS-Vertragspartei und EU-Hosting). Vertrags- und rechnungsstellendes Unternehmen für das aktuelle Produktionskonto von Reslify bei AWS ist AWS Turkey Pazarlama Teknoloji ve Danışmanlık Hizmetleri Limited Şirketi. Das AWS Data Processing Addendum gilt gesondert mit Amazon Web Services, Inc. und der anwendbaren AWS-Vertragspartei, die darin zusammen als AWS definiert sind. AWS darf nachgelagerte Unterauftragsverarbeiter einsetzen, die auf der AWS-Seite zu Unterauftragsverarbeitern genannt sind, einschließlich des mit der gewählten AWS-Region verbundenen Infrastrukturunternehmens. Reslify nutzt standardmäßig die AWS-Diensteregion Europa (Frankfurt) für die primäre Speicherung der Daten der Kundeninstanz. Die regionsübergreifende Replikation der primären Datenbank der Kundeninstanz außerhalb des EWR ist standardmäßig nicht aktiviert, sofern nichts anderes schriftlich vereinbart wurde. Ein autorisierter Fernzugriff von außerhalb des EWR darf nur erfolgen, soweit dies für Support/Betrieb unbedingt erforderlich ist, und muss Abschnitt 8.1 und den anwendbaren Übermittlungsgarantien entsprechen.

Türkischer Zahlungsbetreiber/PAYTR-Marktplatzablauf. Reslify Bilişim Pazarlama Limited Şirketi ist der autorisierte türkische Wiederverkäufer von Reslify LLC und Betreiber des unterstützten PAYTR-Marktplatzkontos. Soweit das Unternehmen personenbezogene Kundendaten im Auftrag von Reslify zur Bereitstellung dieses Ablaufs verarbeitet, handelt es als Unterauftragsverarbeiter von Reslify und unterliegt Abschnitt 6. PAYTR verarbeitet die Zahlung des Gastes und überweist auf Grundlage der übermittelten Auszahlungsanweisungen den Nettoverkäuferbetrag des Kunden unmittelbar auf dessen angegebene IBAN und nur die gesondert berechnete Plattformprovision an Reslify Bilişim Pazarlama Limited Şirketi. Keine der Reslify-Gesellschaften erhält oder hält den Nettoverkaufserlös des Kunden im eigenen Namen und für eigene Rechnung auf einem eigenen Bankkonto. Reslify Bilişim Pazarlama Limited Şirketi handelt gesondert als eigenständig Verantwortlicher für seine begrenzten Datensätze zum Marktplatzkonto, zu Provisionen, Abstimmung, Betrugsprävention, Buchhaltung, Steuern, Einhaltung rechtlicher Pflichten und Rechtsansprüchen; diese eigenständige Verarbeitung als Verantwortlicher unterliegt der Datenschutzerklärung und fällt nicht unter diese DPA.

KI-Modellanbieter/Übermittlungen in die Vereinigten Staaten und Aufbewahrung. OpenAI OpCo, LLC darf personenbezogene Kundendaten nur verarbeiten, soweit dies zur Erzeugung von Antworten des KI-Buchungsassistenten und zur Extraktion und Strukturierung von Informationen aus vom Kunden hochgeladenen Menüdateien oder -bildern erforderlich ist. Beim KI-gestützten Menüimport können die an OpenAI übermittelten Informationen das hochgeladene Menümaterial und die in Anlage 1 beschriebenen extrahierten Menüinformationen umfassen. Die Verarbeitung erfolgt in den Vereinigten Staaten und kann eine eingeschränkte Übermittlung europäischer Daten darstellen. Reslify hält die nach Abschnitt 8 dieser DPA erforderliche angemessene Übermittlungsgarantie aufrecht, gegebenenfalls einschließlich der SCC oder eines anderen rechtmäßigen Mechanismus. Nach den Standard-Datenkontrollen für die API von OpenAI können API-Eingaben und -Ausgaben bis zu dreißig (30) Tage in Protokollen zur Missbrauchsüberwachung gespeichert werden, sofern keine genehmigte kürzere Aufbewahrungseinstellung gilt; sie können länger gespeichert werden, soweit OpenAI hierzu gesetzlich verpflichtet ist. OpenAI erklärt, dass Geschäfts-/API-Daten standardmäßig nicht zum Trainieren oder Verbessern generalisierter OpenAI-Modelle verwendet werden, sofern der Kunde dem nicht ausdrücklich zustimmt.

Anbieter mobiler Push-Dienste/Übermittlungen in die Vereinigten Staaten. 650 Industries, Inc. (Expo) darf personenbezogene Kundendaten nur verarbeiten, soweit dies zur Weiterleitung betrieblicher Push-Benachrichtigungen an registrierte Geräte von Kundennutzern erforderlich ist. Die Verarbeitung kann in den Vereinigten Staaten erfolgen und eine eingeschränkte Übermittlung europäischer Daten darstellen. Reslify hält die nach Abschnitt 8 dieser DPA erforderliche angemessene Übermittlungsgarantie aufrecht, gegebenenfalls einschließlich der SCC oder eines anderen rechtmäßigen Mechanismus. Die Zustellung hängt außerdem vom jeweiligen Push-Dienst der Geräteplattform ab.

B. Vom Kunden aktivierte oder unabhängige Drittdienste (keine Unterauftragsverarbeiter)

Die folgenden Dritten können Daten erhalten, wenn sie vom Kunden aktiviert/konfiguriert, von Reslify als Teil einer Produktfunktion ausgewählt oder zum Abschluss einer Zahlungstransaktion benötigt werden. Sie verarbeiten Daten nach ihren eigenen Bedingungen/Richtlinien und werden von Reslify für die betreffende Tätigkeit nicht als Unterauftragsverarbeiter eingesetzt:

| Name des Unternehmens | Relevante Dienste/Funktion | Hinweise | | ----- | ----- | ----- | | Google LLC | Integration „Mit Google reservieren“/Google Maps Booking | Vom Kunden aktivierter Drittanbieter-Buchungskanal. Wenn der Kunde die Integration aktiviert, kann Google Informationen zum Veranstaltungsort/Standort, Buchungslinks, Reservierungsrichtlinien, Servicezeiten, Bestand/Verfügbarkeit und Buchungs-/Aktualisierungsmetadaten erhalten. Google verarbeitet diese Daten nach eigenen Bedingungen und Richtlinien und wird für diese Integration nicht als Unterauftragsverarbeiter von Reslify eingesetzt. | | Google LLC | Google Maps-/Places-/Geocoding-/Time-Zone-Dienste | Von Reslify ausgewählter Standortdienst, der im Onboarding, bei der Konfiguration von Veranstaltungsorten und der Auswahl einer Google-Identität eingesetzt wird. Suchtext, Adress-/Ortsangaben, öffentliche Telefonnummer und Website, Koordinaten, Ortskennungen, Spracheinstellung, Zeitzoneninformationen sowie zugehörige Geräte-/Netzwerkinformationen können soweit für die Funktion erforderlich an Google übermittelt werden. Google verarbeitet diese Daten nach eigenen Bedingungen und Richtlinien und wird für diesen Dienst nicht als Unterauftragsverarbeiter von Reslify eingesetzt. | | Google LLC | Google Analytics 4 (GA4), soweit aktiviert | Analyseanbieter für server- und/oder browserseitige Produkt-, Betriebs-, Conversion- und Dienstnutzungsanalysen, soweit konfiguriert und erforderlichenfalls vorbehaltlich einer Einwilligung. Google kann pseudonyme Kennungen, freigegebene Ereignisnamen/-eigenschaften, Zeitstempel, Oberflächen-/Anwendungsinformationen und Produkt- oder Transaktionsmetadaten nach den anwendbaren Google-Dienstbedingungen verarbeiten. Wie in der Datenschutzerklärung beschrieben, werden über GA4 weder Namen im Klartext noch E-Mail-Adressen, Telefonnummern, Zahlungskartendaten, Freitextnotizen von Gästen oder vollständige Seiten-URLs übermittelt. | | Stripe (jeweils anwendbare Stripe-Gesellschaft nach Kunde/Region) | Zahlungsabwicklung für Anzahlungen, Vorauszahlungen, Geschenkkartenkäufe, Einrichtung gespeicherter Zahlungsmethoden/Kartengarantien, mögliche spätere Stornierungs-/Nichterscheinensgebühren und, soweit gesondert aktiviert, Autorisierungsvormerkungen; Tokenisierung und Zahlungsvorgänge | Tokenisierte Zahlungsabwicklung; SetupIntent-/PaymentIntent- und Bezahl-/Abrechnungsabläufe; Erstattungen; Zahlungsstatus/-metadaten | | PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. | Zahlungsabwicklung, wenn ein Kunde den unterstützten PAYTR-Marktplatz-Bezahlvorgang nutzt | Vom Anbieter gehosteter iFrame-Bezahlvorgang, der über das Marktplatzkonto des türkischen Zahlungsbetreibers betrieben wird; PAYTR verarbeitet die Zahlung des Gastes, überweist den Nettoverkäuferbetrag des Kunden unmittelbar auf dessen angegebene IBAN und nur die Plattformprovision an den türkischen Zahlungsbetreiber; Transaktions-/Callback-Verarbeitung, Erstattungen, Auszahlung und Zahlungsstatus/-metadaten nach den eigenen Bedingungen und Richtlinien von PAYTR |

Hinweise

1. Vom Kunden konfigurierte Integrationen. Bestimmte Dritte erhalten Daten nur, wenn der Kunde eine Funktion oder Integration (z. B. „Mit Google reservieren“) aktiviert. Andere vorstehend aufgeführte Drittdienste können von Reslify im Rahmen des Onboardings, der Konfiguration des Veranstaltungsorts, der Analyse, der Zahlung oder ähnlicher Produktfunktionen wie in der jeweiligen Zeile beschrieben eingesetzt werden.

2. Zahlungskartendaten. Sensible Karteneingaben werden in von Stripe oder PayTR kontrollierten Feldern, Seiten oder iFrames erhoben. Der jeweils anwendbare Zahlungsabwickler verarbeitet und speichert die vollständige primäre Kontonummer und den Kartenprüfcode nach seinen eigenen Bedingungen und Richtlinien. Im aktuellen Stripe-Connect-Kartengarantieablauf kann die Zahlungsmethode über einen SetupIntent auf dem verbundenen Stripe-Konto des Kunden für eine mögliche künftige Off-Session-Nutzung gespeichert werden; die Speicherung einer Zahlungsmethode stellt für sich genommen weder eine Autorisierungsvormerkung noch eine abgeschlossene Belastung dar. Reslify darf Kennungen des Zahlungsabwicklerkunden und der Zahlungsmethode, Setup-/Payment-Intent-Kennungen, Transaktionskennungen, Zeitstempel, Beträge, Währung, Status sowie maskierte Kartenmerkmale wie Marke, letzte vier Ziffern und Ablaufdatum, soweit verfügbar, ausschließlich in dem für den Betrieb der Dienste erforderlichen Umfang verarbeiten. Reslify speichert weder vollständige primäre Kontonummern noch Kartenprüfcodes.

3. EWR-Hosting. Innerhalb der Dienste (Kundeninstanz) verarbeitete personenbezogene Kundendaten werden standardmäßig in Frankfurt, Deutschland (EU/EWR), gehostet. Ein autorisierter Zugriff auf personenbezogene Kundendaten kann von anderen Orten aus erfolgen, soweit dies für die Bereitstellung und Unterstützung der Dienste unbedingt erforderlich ist und der DPA entspricht.

4. Aktualisierungen/Widersprüche. Reslify informiert über Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern und bearbeitet Widersprüche gemäß Abschnitt 6.2 der DPA.

5. Hinweis zur Beobachtbarkeit. Betriebliche Protokollierung/Beobachtbarkeit wird über Amazon CloudWatch bereitgestellt und fällt unter den vorstehenden AWS-Eintrag (derzeit ist kein gesonderter Drittanbieter für Beobachtbarkeit konfiguriert).

6. Derzeit in diesem Repository nicht konfigurierte Kategorien. In den Produktionscodepfaden dieses Repositorys ist derzeit weder ein eigener Drittanbieter für SMS-/WhatsApp-Nachrichten noch für Kundensupport-Tickets konfiguriert.

ANLAGE 3

Einbeziehung. Diese Anlage 3 ist Bestandteil der Auftragsverarbeitungsvereinbarung vom 16. Juli 2026 (die „DPA“) zwischen Reslify und dem Kunden und wird in diese einbezogen. Im Konfliktfall gilt die Rangfolge der DPA.

Sicherheitsmaßnahmen (technische und organisatorische Maßnahmen)

Reslify setzt angemessene technische und organisatorische Maßnahmen um und hält diese aufrecht, die personenbezogene Kundendaten unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen vor unbeabsichtigter oder unrechtmäßiger Vernichtung, unbeabsichtigtem oder unrechtmäßigem Verlust, unbeabsichtigter oder unrechtmäßiger Veränderung sowie unbefugter Offenlegung oder unbefugtem Zugriff schützen sollen. Reslify dokumentiert den Umsetzungsstand, Nachweise, Lücken, Verantwortliche und das Überprüfungsdatum jedes Kontrollbereichs in einem internen TOM-Kontrollregister. Diese Anlage stellt weder dar, dass Reslify über eine Sicherheitszertifizierung verfügt, noch dass eine unabhängige Penetrationsprüfung abgeschlossen wurde.

1) Informationssicherheits-Governance und Richtlinien

Reslify hält einen dokumentierten Betriebsstandard, ein Kontrollregister, ein Datenschutz-/Vorfallsverfahren und eine Änderungshistorie vor, die seiner derzeitigen inhabergeführten Organisation angemessen sind. Sicherheits- und Datenschutzverantwortlichkeiten sind den Inhabern zugewiesen. Die Maßnahmen und wesentlichen Lücken werden mindestens jährlich sowie nach einer wesentlichen Änderung der Dienste, Verarbeitung, Infrastruktur, des Personals oder der Anbieter überprüft.

2) Zugriffskontrolle und Identitätsverwaltung

Reslify beschränkt den Zugriff auf Produktionssysteme und personenbezogene Kundendaten nach dem Erforderlichkeits- und Mindestberechtigungsprinzip auf befugte Personen. Menschliche Zugänge mit Produktionsberechtigung verwenden eindeutige Konten. Multi-Faktor-Authentifizierung ist vorgeschrieben, soweit der jeweilige Anbieter sie unterstützt; Ausnahmen müssen mit kompensierenden Kontrollen und einem Ablaufdatum dokumentiert werden. Geheimnisse werden in verwalteten Konfigurations- oder Geheimnisspeichern statt in der Quellcodeverwaltung aufbewahrt. Zugänge mit Produktionsberechtigung werden mindestens alle sechs Monate und nach einer Rollen- oder Zugriffsänderung überprüft. Sensible Produktionsexporte, destruktive Vorgänge, gesetzliche Aufbewahrungssperren und die Akzeptanz kritischer/hoher Risiken erfordern eine Überprüfung durch den zweiten Inhaber, soweit beide Inhaber verfügbar sind, sowie eine nachträgliche Überprüfung nach einem Notfall.

3) Verschlüsselung, Minimierung und Schlüsselkontrollen

Reslify verwendet branchenübliche verschlüsselte Übertragungsverfahren wie TLS für Dienstkommunikation und eine vom Anbieter verwaltete Verschlüsselung gespeicherter Daten für Produktionsdatenspeicher und Sicherungen, soweit unterstützt. Der Zugriff auf vom Anbieter verwaltete Schlüssel und Verschlüsselungskonfigurationen ist durch die jeweiligen Cloud-Zugriffskontrollen beschränkt. Reslify setzt zweckangemessen Minimierung, Maskierung, Tokenisierung oder pseudonyme Kennungen ein. Diese Anlage beansprucht weder kundenseitig verwaltete Schlüssel noch ein gesondertes Reslify-Verfahren zur Schlüsselrotation, soweit der Dienst auf einer vom Anbieter verwalteten Verschlüsselung beruht.

4) Netzwerksicherheit, Protokollierung und Überwachung

Reslify verwendet verwaltete Cloud-Grenzen und Zugriffskontrollen einschließlich gegebenenfalls Sicherheitsgruppen oder Berechtigungen auf Dienstebene. Die Protokollierung öffentlicher APIs und Anwendungen ist so konfiguriert, dass Anfrageinhalte, Anmeldedaten, Header im Rohformat, IP-Adressen, User-Agents und vollständige Pfade ausgeschlossen werden, soweit diese Felder nicht erforderlich sind. Sicherheitsrelevante Ereignisse, Überwachung, Ratenbegrenzungen und Alarme werden für Produktionsdienste risikobasiert konfiguriert.

5) Sichere Entwicklung und Änderungskontrollen

Reslify trennt Entwicklungs- und Produktionsstufen und -anmeldedaten, führt eine Quellhistorie und wendet auf wesentliche Änderungen automatisierte Tests und risikobasierte menschliche Prüfungen an. Sicherheits- und Datenschutzverhalten wird soweit praktikabel geprüft, darunter typisierte/minimierte Nachweisprotokollierung und Prüfungen von Verträgen mit Rechtsrichtlinien. Unabhängige Penetrationsprüfungen werden durchgeführt, wenn dies durch das Risiko, eine wesentliche Architekturänderung, eine vertragliche Verpflichtung oder eine Kundenanforderung gerechtfertigt ist; diese Anlage erklärt nicht, dass regelmäßige unabhängige Penetrationsprüfungen bereits stattgefunden haben.

6) Schwachstellen- und Patchmanagement

Reslify prüft Abhängigkeits- und Anbieter-Sicherheitshinweise mindestens monatlich und vor einer Produktionsfreigabe, bewertet Feststellungen hinsichtlich Anwendbarkeit und Produktionsrisiko und verfolgt die Behebung nach Schweregrad, Ausnutzbarkeit, verfügbaren Korrekturen und kompensierenden Kontrollen. Eine nicht bewertete, in der Produktion erreichbare kritische oder hohe Feststellung verhindert die Freigabe. Jede vorübergehende Akzeptanz eines kritischen/hohen Risikos muss zeitlich befristet, dokumentiert und von beiden Inhabern genehmigt sein.

7) Datenhandhabung, Minimierung und Trennung

Reslify wendet innerhalb der Dienste eine logische Instanzabgrenzung und Berechtigungskontrollen an, beschränkt Felder und Aufbewahrung auf den Dienstzweck und vermeidet die Nutzung personenbezogener Kundendaten aus der Produktion in Nichtproduktionsumgebungen, sofern dies nicht unbedingt erforderlich, genehmigt, minimiert und geschützt ist. Zugriffe und Exporte für Support und Fehlerbehebung werden auf das für den dokumentierten Zweck Erforderliche beschränkt. Anfrageinhalte im Rohformat, Anmeldedaten und verbotene sensible Felder sind vom langfristigen Nachweisarchiv ausgeschlossen.

8) Sicherungen, Betriebskontinuität und Wiederherstellung

Reslify verwendet verwaltete zeitpunktbezogene Wiederherstellung oder andere verhältnismäßige Sicherungsmechanismen für Produktionsdatenspeicher, soweit unterstützt und erforderlich. Reslify hält ein Wiederherstellungsverfahren vor und führt mindestens jährlich sowie nach einer wesentlichen Änderung des Wiederherstellungsdesigns eine repräsentative Wiederherstellungsübung durch. Die Wiederherstellungsvalidierung ist risikobasiert und begründet keine Zusage eines bestimmten Wiederherstellungszeit- oder Wiederherstellungspunktziels, sofern dies nicht gesondert vereinbart wurde. Anwendbare Löschungs- oder Einschränkungskontrollen werden erneut angewandt, bevor wiederhergestellte Daten wieder in Betrieb genommen werden.

9) Physische und Endgerätesicherheit

Die Produktionsinfrastruktur wird in professionell verwalteten Rechenzentren des jeweiligen Cloud-Anbieters gehostet und unterliegt dessen physischen und umgebungsbezogenen Kontrollen. Geräte, über die Reslify auf Produktionssysteme oder personenbezogene Kundendaten zugreift, müssen unterstützte Betriebssysteme, Festplattenverschlüsselung, Bildschirmsperre, zeitnahe Sicherheitsaktualisierungen und Zugriffsbeschränkungen für Inhaber/Betreiber verwenden. Genehmigte vorübergehende lokale Exporte müssen verschlüsselt und zugriffsbeschränkt sein und nach Erfüllung ihres Zwecks gelöscht werden.

10) Reaktion auf Vorfälle und Verwaltung von Sicherheitsereignissen

Reslify hält Verfahren vor, um Sicherheitsvorfälle zu identifizieren, einzudämmen, zu untersuchen, zu beheben und zu dokumentieren, sie an die Datenschutz-/Sicherheitsverantwortlichen zu eskalieren, Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten zu bewerten und dem Kunden die nach dieser DPA erforderlichen Informationen bereitzustellen. Mindestens jährlich wird eine repräsentative Tabletop-Übung zur Reaktion auf Vorfälle durchgeführt; daraus resultierende Abhilfemaßnahmen werden nachverfolgt.

11) Vertraulichkeit, Schulung und Zugriffsänderungen

Der Zugriff ist auf die Inhaber von Reslify und andere ausdrücklich befugte Personen beschränkt. Jede Person mit Zugriff muss Vertraulichkeitspflichten unterliegen und vor dem Zugriff sowie mindestens jährlich eine rollengerechte Sicherheits- und Datenschutzunterweisung absolvieren. Zugriffe werden unverzüglich geändert oder entfernt, wenn sich Verantwortlichkeiten ändern oder die Berechtigung einer Person endet. Abschlussmetadaten werden intern dokumentiert; diese inhabergeführte Kontrolle ersetzt Bezugnahmen auf arbeitsrechtliche Disziplinarverfahren, die die derzeitige Organisation von Reslify nicht abbilden.

12) Sicherheitsmanagement für Unterauftragsverarbeiter

Bevor Reslify einem Unterauftragsverarbeiter die Verarbeitung personenbezogener Kundendaten gestattet, dokumentiert Reslify dessen Rolle, Daten/Zweck, Verarbeitungsorte, relevante Sicherheitsnachweise, vertragliche Datenschutzbedingungen und den anwendbaren Übermittlungsmechanismus. Reslify schließt die nach Abschnitt 6 und den anwendbaren Datenschutzgesetzen erforderlichen Bedingungen und überprüft den Anbieter mindestens jährlich sowie nach einer wesentlichen Änderung des Anbieters, Dienstes, Ortes, Unterauftragsverarbeiters, der Sicherheit oder des Vertrags. Öffentliche Trust-Seiten von Anbietern gelten nicht als Nachweis für den kontospezifischen Vertrag oder die kontospezifische Konfiguration von Reslify.

13) Umfang von Zahlungskartendaten

Vollständige primäre Kontonummern und Kartenprüfcodes werden in vom Zahlungsabwickler kontrollierten Feldern, Seiten oder iFrames erhoben und nicht von Reslify gespeichert. Reslify darf Kennungen des Zahlungsabwicklerkunden und der Zahlungsmethode, Setup-/Payment-Intent- und Transaktionskennungen, Beträge, Währung, Zeitstempel, Status sowie maskierte Kartenmerkmale wie Marke, letzte vier Ziffern und Ablaufmonat/-jahr, soweit verfügbar, ausschließlich in dem für den Betrieb der Dienste erforderlichen Umfang verarbeiten. Vor der Aktivierung eines neuen Zahlungswegs bewertet Reslify diese Abgrenzung erneut.

14) Maßnahmen zur Unterstützung von Anfragen betroffener Personen

Reslify hält Verwaltungs- und/oder Produktsteuerungen vor, über die der Kunde im von den Diensten unterstützten Umfang auf personenbezogene Kundendaten zugreifen, sie exportieren, berichtigen, löschen oder einschränken kann. Hinzu kommt ein dokumentiertes Verfahren für die Triage zwischen Verantwortlichem und Auftragsverarbeiter, verhältnismäßige Identitätsprüfung, Systemsuchen, Prüfung von Exporten und destruktiven Handlungen durch eine zweite Person, sichere Bereitstellung und angemessene Unterstützung, wenn der Kunde eine Anfrage nicht über Selbstbedienungssteuerungen erfüllen kann.

15) Datenaufbewahrung, sichere Löschung und Protokollaufbewahrung

Reslify löscht oder vernichtet personenbezogene Kundendaten logisch aus aktiven Systemen auf Weisung des Kunden oder bei Beendigung, wie nach dieser DPA und anwendbarem Recht vorgeschrieben. Routinemäßige Sicherungen werden geschützt und laufen nach rollierenden, dienstespezifischen Zeitplänen ab oder werden überschrieben; gelöschte Daten können bis zum vorgesehenen Ablauf verbleiben und anwendbare Löschungs-/Einschränkungskontrollen werden nach einer Wiederherstellung erneut angewandt. Gewöhnliche Diagnosedaten produktiver Anwendungen und APIs werden bis zu 30 Tage in zugriffsgeschützten Betriebssystemen aufbewahrt. Nur ausgewählte, ausdrücklich klassifizierte und minimierte Nachweisereignisse zu Sicherheit, Zahlungen und Streitigkeiten dürfen bis zu 400 Tage in einem zugriffsgeschützten Nachweisarchiv aufbewahrt werden. Relevante normalisierte Nachweise dürfen nur aufgrund einer dokumentierten fallspezifischen gesetzlichen Aufbewahrungssperre oder soweit dies zur Einhaltung anwendbaren Rechts oder zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, länger aufbewahrt werden.

ANLAGE 4

Ausfüllung der SCC und zugehöriger Übermittlungsdokumente

Diese Anlage 4 regelt, wie die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission erlassenen EU-Standardvertragsklauseln (die „EU-SCC“) in diese DPA einbezogen und nach ihr ausgefüllt werden und gegebenenfalls wie sie für eingeschränkte Übermittlungen aus dem Vereinigten Königreich und der Schweiz angepasst werden.

TEIL 1: EINGESCHRÄNKTE ÜBERMITTLUNGEN AUS DEM EWR (EU-SCC)

1. Als erfolgt geltende Unterzeichnung der SCC

Soweit die EU-SCC gemäß Abschnitt 8.4 dieser DPA gelten, gilt jede Partei so, als hätte sie die EU-SCC, auch durch elektronische Annahme, sowie die für die betreffende eingeschränkte Übermittlung maßgeblichen Unterschriftsfelder der SCC und/oder ihres Anhangs unterzeichnet.

2. Anwendbare SCC-Module

Unter Berücksichtigung der in Anlage 1 dieser DPA beschriebenen Rolle(n) des Kunden vereinbaren die Parteien, dass je nach der betreffenden eingeschränkten Übermittlung aus dem EWR folgende SCC-Module gelten:

(a) Modul Zwei (Verantwortlicher → Auftragsverarbeiter) gilt für jede eingeschränkte Übermittlung aus dem EWR, bei der der Kunde selbst Verantwortlicher für die betreffenden personenbezogenen Kundendaten ist; und

(b) Modul Drei (Auftragsverarbeiter → Auftragsverarbeiter/Unterauftragsverarbeiter) gilt für jede eingeschränkte Übermittlung aus dem EWR, bei der der Kunde im Auftrag eines anderen Verantwortlichen (gegebenenfalls einschließlich seiner verbundenen Unternehmen) als Auftragsverarbeiter handelt und Reslify mit der Verarbeitung dieser Daten für die Dienste beauftragt.

3. Ausfüllung der SCC-Klauseln

Für jedes anwendbare Modul vereinbaren die Parteien, dass die SCC hinsichtlich der jeweils einschlägigen Klauseln wie folgt ausgefüllt werden:

(a) Klausel 7 (Kopplungsklausel): wird nicht verwendet.

(b) Klausel 9 (Einsatz von Unterauftragsverarbeitern): Option 2 (allgemeine schriftliche Genehmigung) gilt. (i) Die Frist in Klausel 9(a) für die vorherige Mitteilung von Reslify über eine beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters wird ausgefüllt mit: mindestens zehn (10) Werktage im Voraus. (ii) Die Frist in Klausel 9(a) für das Widerspruchsrecht des Kunden nach dieser Mitteilung wird ausgefüllt mit: zehn (10) Werktage ab Erhalt der Mitteilung. (iii) Diese Ausfüllungen sollen dem Mitteilungs- und Widerspruchsverfahren in Abschnitt 6.2 dieser DPA entsprechen.

(c) Klausel 11 (Rechtsbehelf): Die optionale Formulierung wird nicht verwendet.

(d) Klausel 13 (Aufsicht): Die in Klausel 13(a) in eckigen Klammern enthaltenen Formulierungsoptionen werden durch Auswahl des anwendbaren Szenarios und Nichtanwendung der nicht einschlägigen Alternativen entsprechend Absatz 4(b) und Anhang I Teil C ausgefüllt.

(e) Klausel 17 (Anwendbares Recht): Option 1 gilt. Die Parteien vereinbaren, dass die EU-SCC für eingeschränkte Übermittlungen aus dem EWR dem Recht Irlands unterliegen, entsprechend dem Erfordernis, dass das gewählte Recht Rechte zugunsten Dritter vorsieht. Klarstellend gelten diese Rechtswahl und dieser Gerichtsstand ausschließlich für die EU-SCC bei eingeschränkten Übermittlungen aus dem EWR und ändern die Bestimmungen der Vereinbarung über anwendbares Recht/Gerichtsstand außerhalb der SCC nicht.

(f) Klausel 18(b) (Gerichtsstand): Die Parteien vereinbaren, dass Streitigkeiten aus den SCC bei eingeschränkten Übermittlungen aus dem EWR von den Gerichten Irlands entschieden werden.

(g) Klauseln 14 und 15 (Übermittlungsbewertungen und Zugang von Behörden): Die Parteien erfüllen ihre jeweiligen Pflichten nach den Klauseln 14 und 15 der EU-SCC, soweit anwendbar. Dies umfasst die Dokumentation und fortlaufende Überprüfung der Bewertung der betreffenden Übermittlungen und die Umsetzung ergänzender Maßnahmen, soweit erforderlich.

4. Ausfüllung der Anhänge zu den SCC

Die Anhänge zu den SCC werden wie folgt ausgefüllt:

(a) Anhang I (A/B) – Parteien und Beschreibung der Übermittlung: mit den entsprechenden Angaben aus Anlage 1 dieser DPA, wobei der Kunde Datenexporteur und Reslify Datenimporteur ist.

(b) Anhang I Teil C – zuständige Aufsichtsbehörde: wird wie folgt bestimmt:

(i) Ist der Kunde in einem EU-/EWR-Mitgliedstaat niedergelassen, ist die Aufsichtsbehörde des EU-/EWR-Mitgliedstaats, in dem der Kunde niedergelassen ist, die zuständige Aufsichtsbehörde.

(ii) Ist der Kunde nicht in einem EU-/EWR-Mitgliedstaat niedergelassen, gilt Artikel 3 Absatz 2 DSGVO und hat der Kunde einen EU-Vertreter gemäß Artikel 27 DSGVO bestellt, ist die Aufsichtsbehörde des EU-/EWR-Mitgliedstaats, in dem der betreffende EU-Vertreter des Kunden ansässig ist (in der jeweils aktuellen Fassung), die zuständige Aufsichtsbehörde.

(iii) Ist der Kunde nicht in einem EU-/EWR-Mitgliedstaat niedergelassen, gilt Artikel 3 Absatz 2 DSGVO und ist der Kunde gemäß Artikel 27 Absatz 2 DSGVO nicht zur Bestellung eines EU-Vertreters verpflichtet, teilt der Kunde privacy@reslify.com schriftlich eine zuständige Aufsichtsbehörde in einem EU-/EWR-Mitgliedstaat mit, in dem sich die betreffenden betroffenen Personen im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an sie oder der Beobachtung ihres Verhaltens hinsichtlich der Übermittlungen nach den SCC befinden.

(iv) Muss der Kunde eine Benennung nach Absatz (iii) vornehmen und tut dies nicht, ist die Aufsichtsbehörde des EU-/EWR-Mitgliedstaats zuständig, in dem sich die Mehrheit der betroffenen Personen im Zusammenhang mit den betreffenden Übermittlungen befindet, wie auf Grundlage der Reslify verfügbaren Informationen angemessen bestimmt.

(c) Anhang II – technische und organisatorische Maßnahmen: ausgefüllt durch Verweis auf die in Abschnitt 7.1 dieser DPA und Anlage 3 (Sicherheitsmaßnahmen) beschriebenen Sicherheitsmaßnahmen. Klarstellend gelten die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen für personenbezogene Kundendaten, die nach dieser DPA verarbeitet werden, einschließlich für die Zwecke der anwendbaren eingeschränkten Übermittlungen.

(d) Anhang III – Liste der Unterauftragsverarbeiter: ausgefüllt durch Verweis auf Anlage 2 (Liste der Unterauftragsverarbeiter) in ihrer jeweils gemäß Abschnitt 6.2 dieser DPA aktualisierten Fassung.

(e) Verpflichtungen von Unterauftragsverarbeitern (soweit anwendbar): Setzt Reslify im Zusammenhang mit den SCC einen Unterauftragsverarbeiter ein, schließt Reslify mit diesem eine verbindliche schriftliche Vereinbarung, die ein mindestens ebenso hohes Schutzniveau wie die Pflichten von Reslify nach den EU-SCC und dieser DPA verlangt, darunter gegebenenfalls Pflichten hinsichtlich (i) angemessener Informationssicherheitsmaßnahmen, (ii) der Meldung von Verletzungen des Schutzes personenbezogener Daten an Reslify, (iii) der vorgeschriebenen Rückgabe oder Löschung personenbezogener Kundendaten und (iv) Beschränkungen und Kontrollen beim Einsatz weiterer Unterauftragsverarbeiter.

TEIL 2: EINGESCHRÄNKTE ÜBERMITTLUNGEN AUS DEM VEREINIGTEN KÖNIGREICH (UK TRANSFER ADDENDUM)

1. Einbeziehung des UK Transfer Addendum. Soweit das UK Transfer Addendum gemäß Abschnitt 8.5 dieser DPA gilt, gelten die EU-SCC für eingeschränkte Übermittlungen aus dem Vereinigten Königreich in der durch das UK Transfer Addendum geänderten und ergänzten Fassung (zusammen mit den EU-SCC der „UK-Übermittlungsmechanismus“). Die Parteien vereinbaren, dass dieser Teil 2 beschreibt, wie das UK Transfer Addendum für diese eingeschränkten Übermittlungen einbezogen und ausgefüllt wird.

2. Ausfüllung des UK Transfer Addendum (Teil 1: Tabellen 1–4). Soweit das UK Transfer Addendum den Parteien gestattet, erforderliche Angaben durch Querverweis auszufüllen, vereinbaren die Parteien, dass die nach Teil 1 (Tabellen 1–4) des UK Transfer Addendum erforderlichen Angaben wie folgt erbracht werden:

(a) Tabellen 1–3 (Parteien, genehmigte EU-SCC, Angaben zum Anhang). Die Tabellen 1, 2 und 3 gelten anhand der entsprechenden Angaben in Anlage 1 dieser DPA und Teil 1 dieser Anlage 4 (soweit anwendbar) als ausgefüllt, vorbehaltlich der zwingenden Anwendung der UK Mandatory Clauses.

(b) Tabelle 4 (Beendigung dieses Zusatzes bei Änderung des genehmigten Zusatzes). Tabelle 4 gilt als ausgefüllt durch Auswahl von „Importer“ als der Partei, die das UK Transfer Addendum gemäß dessen Section 19 (Ending the Addendum when the Approved Addendum changes) beenden darf.

3. UK Mandatory Clauses. Die Parteien vereinbaren, an die UK Mandatory Clauses in Teil 2 des UK Transfer Addendum gebunden zu sein.

4. Darstellung der Tabellen; keine Verringerung der Garantien. Wie nach dem UK Transfer Addendum zulässig (einschließlich seiner Bestimmung, wonach die Parteien das zur Darstellung der Angaben aus Teil 1: Tabellen verwendete Format ändern dürfen), vereinbaren die Parteien, dass die Darstellung der Tabellenangaben durch Querverweis in dieser Anlage 4 zulässig ist, sofern diese Darstellung nicht dazu führt, die nach dem UK Transfer Addendum erforderlichen „Appropriate Safeguards“ zu verringern.

5. Auslegung von Bezugnahmen. Für jede eingeschränkte Übermittlung aus dem Vereinigten Königreich, auf die dieser Teil 2 anwendbar ist, werden Bezugnahmen in dieser DPA auf die „SCC“ je nach Kontext als Bezugnahmen auf die EU-SCC in ihrer durch das UK Transfer Addendum für die betreffende Übermittlung geänderten und ergänzten Fassung verstanden. Klarstellend richten sich das anwendbare Recht und der Gerichtsstand (sowie zugehörige Verfahrensbestimmungen) bei eingeschränkten Übermittlungen aus dem Vereinigten Königreich nach dem UK Transfer Addendum (und den UK Mandatory Clauses); Bezugnahmen in Teil 1 dieser Anlage 4 auf irisches Recht und/oder irische Gerichte gelten ausschließlich für eingeschränkte Übermittlungen aus dem EWR.

TEIL 3 (SCHWEIZ) – Schweizer Zusatz zu den EU-SCC (Beschluss (EU) 2021/914)

1. Geltungsbereich. Dieser Teil 3 gilt für jede Übermittlung personenbezogener Kundendaten, die den schweizerischen Datenschutzgesetzen (einschließlich des revidierten schweizerischen Bundesgesetzes über den Datenschutz und seiner Ausführungsverordnungen) unterliegt, aus der Schweiz an Reslify (oder seine Unterauftragsverarbeiter) in ein Land, das nach den schweizerischen Datenschutzgesetzen nicht als ein angemessenes Schutzniveau bietend anerkannt ist, sofern die Parteien nicht einen anderen nach schweizerischem Recht anerkannten gültigen Übermittlungsmechanismus nutzen (gegebenenfalls einschließlich des Swiss-U.S. Data Privacy Framework für darunter zertifizierte Empfänger).

2. Einbeziehung der EU-SCC. Für solche Übermittlungen vereinbaren die Parteien, dass die EU-SCC (Beschluss (EU) 2021/914) durch Verweis einbezogen werden und als angemessene Garantie gelten, ergänzt durch diesen Schweizer Zusatz.

3. Auslegung für schweizerische Übermittlungen. Soweit die SCC auf die „DSGVO“ Bezug nehmen, werden diese Bezugnahmen hinsichtlich der dem schweizerischen Recht unterliegenden Aspekte der Übermittlung als Bezugnahmen auf die schweizerischen Datenschutzgesetze verstanden, soweit dies zur Einhaltung der schweizerischen Anforderungen und zur Vermeidung einer Benachteiligung schweizerischer betroffener Personen erforderlich ist.

4. Aufsichtsbehörde (Anhang I.C). Bei schweizerischen Übermittlungen ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte („EDÖB“) die zuständige Aufsichtsbehörde und wird in Anhang I.C der SCC für Übermittlungen benannt, die den schweizerischen Datenschutzgesetzen unterliegen. Unterliegt eine Übermittlung außerdem der DSGVO (z. B. aufgrund ihrer extraterritorialen Anwendung), erkennen die Parteien die parallele Aufsichtszuständigkeit an; zusätzlich zum EDÖB für schweizerisch-rechtliche Aspekte wird gemäß Klausel 13 der SCC eine EU-Aufsichtsbehörde für die der DSGVO unterliegenden Aspekte der Übermittlung in Anhang I.C benannt.

5. Modul und Rollen. Unter Berücksichtigung der in Anlage 1 und der Vereinbarung beschriebenen Rolle(n) des Kunden vereinbaren die Parteien, dass bei eingeschränkten Übermittlungen aus der Schweiz (a) Modul Zwei (Verantwortlicher → Auftragsverarbeiter) gilt, wenn der Kunde selbst Verantwortlicher für die betreffenden personenbezogenen Kundendaten ist, und (b) Modul Drei (Auftragsverarbeiter → Auftragsverarbeiter) gilt, wenn der Kunde als Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen handelt und Reslify mit der Verarbeitung dieser Daten für die Dienste beauftragt. In jedem Fall ist der Kunde für die Zwecke des anwendbaren Moduls Datenexporteur und Reslify Datenimporteur.

6. Rechte schweizerischer betroffener Personen; Klausel 18(c). In Bezug auf Klausel 18(c) der SCC stellen die Parteien klar, dass der Begriff „Mitgliedstaat“ nicht so ausgelegt wird, dass schweizerische betroffene Personen daran gehindert werden, Ansprüche an ihrem gewöhnlichen Aufenthaltsort in der Schweiz geltend zu machen; schweizerische betroffene Personen dürfen daher unbeschadet zwingender schweizerischer Rechtsvorschriften in der Schweiz Klage erheben, um die ihnen nach den SCC eingeräumten Drittbegünstigtenrechte durchzusetzen.

7. Anwendbares Recht (Klausel 17) für schweizerische Übermittlungen. Bei Übermittlungen, die ausschließlich den schweizerischen Datenschutzgesetzen unterliegen, wird Klausel 17 der SCC so ausgefüllt, dass die SCC (ergänzt durch diesen Schweizer Zusatz) dem Recht der Schweiz unterliegen.

8. Gerichtsstand (Klausel 18(b)) für schweizerische Übermittlungen. Bei Übermittlungen, die ausschließlich den schweizerischen Datenschutzgesetzen unterliegen, wird Klausel 18(b) der SCC so ausgefüllt, dass Streitigkeiten aus den SCC (ergänzt durch diesen Schweizer Zusatz) von den zuständigen Gerichten der Schweiz entschieden werden.

9. Rangfolge. Bei einem Konflikt zwischen den SCC und diesem Schweizer Zusatz geht dieser Schweizer Zusatz ausschließlich hinsichtlich schweizerisch-rechtlicher Besonderheiten vor, die zur Abbildung der schweizerischen Anforderungen erforderlich sind; im Übrigen gehen die SCC vor.

ANLAGE 5

ZUSATZ FÜR DIE TÜRKEI (KVKK)

Diese Anlage 5 gilt ausschließlich, wenn und soweit (i) der Kunde in Türkiye niedergelassen ist und/oder (ii) die Verarbeitung und/oder Übermittlung personenbezogener Kundendaten dem türkischen Gesetz Nr. 6698 über den Schutz personenbezogener Daten („KVKK“) und den zugehörigen nachrangigen Rechtsvorschriften über grenzüberschreitende Übermittlungen unterliegt.

1. Definitionen und Auslegung. Für die Zwecke dieser Anlage 5 schließen Bezugnahmen auf „Datenschutzgesetze“ in der DPA das KVKK ein, soweit es anwendbar ist. Die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ sind, soweit nach dem KVKK relevant, als „Veri Sorumlusu“ bzw. „Veri İşleyen“ auszulegen.

2. Grenzüberschreitende Übermittlungen aus Türkiye (Artikel 9 KVKK).

2.1 Der Kunde erkennt an, dass Reslify bei der Bereitstellung der Dienste personenbezogene Kundendaten außerhalb von Türkiye hosten und/oder darauf zugreifen darf (einschließlich in der EU/im EWR und/oder den Vereinigten Staaten), was eine grenzüberschreitende Übermittlung nach dem KVKK darstellen kann.

Ist der unterstützte PAYTR-Marktplatzablauf aktiviert, darf Reslify Bilişim Pazarlama Limited Şirketi als Unterauftragsverarbeiter von Reslify die zur Bereitstellung dieses Ablaufs erforderlichen Transaktions-, Begünstigten-, Auszahlungs-, Erstattungs-, Anpassungs- und Abstimmungsmetadaten verarbeiten. Jede eigenständige Verarbeitung dieser Gesellschaft als Verantwortlicher für eigene Zwecke hinsichtlich Marktplatzkonto, Provision, Buchhaltung, Steuern, Betrugsprävention, Einhaltung rechtlicher Pflichten oder Rechtsansprüche unterliegt der Datenschutzerklärung und fällt nicht unter diese DPA. Reslify hält die für die Beauftragung und den Zugriff erforderlichen unternehmensinternen Verarbeitungs- und Übermittlungsbedingungen aufrecht.

2.2 Verarbeitung personenbezogener Daten durch den Kunden; Weisungen. Der Kunde verarbeitet bei seiner Nutzung der Dienste personenbezogene Daten, einschließlich durch Beauftragung von Reslify als Auftragsverarbeiter, gemäß den anwendbaren Datenschutzgesetzen. Klarstellend müssen die Weisungen des Kunden zur Verarbeitung personenbezogener Kundendaten den anwendbaren Datenschutzgesetzen entsprechen. Die Parteien vereinbaren, dass die Vereinbarung (einschließlich dieser DPA) zum Zeitpunkt ihres Abschlusses durch den Kunden dessen vollständige dokumentierte Weisungen an Reslify zur Verarbeitung personenbezogener Kundendaten bildet. Die dokumentierten Weisungen des Kunden umfassen auch seine Konfiguration und Nutzung der Dienste (einschließlich Verwaltungseinstellungen und Funktionsauswahl), seine Nutzung der Selbstbedienungssteuerungen der Dienste sowie sämtliche von ihm oder in seinem Namen eingereichten Supportanfragen oder API-Aufrufe, jeweils soweit sie der Vereinbarung entsprechen. Zusätzliche oder abweichende Weisungen, die den Umfang der Verarbeitung gegenüber der Vereinbarung wesentlich erweitern, müssen von den Parteien vereinbart und in einer schriftlichen Änderung dieser DPA dokumentiert werden. Der Kunde ist allein verantwortlich für (a) die Richtigkeit der personenbezogenen Kundendaten, (b) die Art und Weise ihrer Erhebung und Beschaffung durch den Kunden und (c) die Gewährleistung, dass im Zusammenhang mit der Verarbeitung personenbezogener Kundendaten durch Reslify sämtliche nach den anwendbaren Datenschutzgesetzen erforderlichen Informationen bereitgestellt und alle notwendigen Einwilligungen und Genehmigungen eingeholt wurden.

2.3 Erfordernis eines Standardvertrags (kein Ersatz). Die Parteien erkennen an, dass diese Anlage 5 selbst keine „angemessene Garantie“ für grenzüberschreitende Übermittlungen nach dem KVKK darstellt. Ist ein türkischer Standardvertrag als angemessene Garantie erforderlich, schließen die Parteien den jeweils anwendbaren, von der türkischen Datenschutzbehörde/dem türkischen Datenschutzrat veröffentlichten (und von Zeit zu Zeit gegebenenfalls aktualisierten) türkischen Standardvertrag (SS-1/SS-2/SS-3/SS-4) (der „türkische Standardvertrag“). Klarstellend umfassen die dokumentierten Weisungen des Kunden Weisungen zu internationalen Übermittlungen und jedem Fernzugriff aus Drittländern, wie in Abschnitt 8 und Anlage 4 (soweit anwendbar) beschrieben.

2.4 Keine Änderung; Vorrang der türkischen Fassung. Der türkische Standardvertrag wird ohne Änderung seines Standardtextes verwendet. Wird der türkische Standardvertrag auch in einer anderen Sprache geschlossen, geht der türkische Text vor.

2.5 Abschlussform. Der türkische Standardvertrag wird als gesonderte Vereinbarung zwischen den an der Übermittlung beteiligten Parteien geschlossen und von ordnungsgemäß bevollmächtigten Unterzeichnern unterzeichnet.

3. Meldung an die türkische Behörde (5 Werktage). Die Parteien erkennen an, dass der türkische Standardvertrag nach vollständiger Unterzeichnung gemäß den anwendbaren Vorschriften innerhalb von fünf (5) Werktagen der türkischen Datenschutzbehörde gemeldet werden muss. Soweit der türkische Standardvertrag die Meldepflicht nicht ausdrücklich anders zuweist, bestimmen die Parteien den Kunden (als Datenexporteur/„veri aktaran“) zum Verantwortlichen für die Meldung. Reslify stellt auf Anfrage des Kunden angemessene Zusammenarbeit und die für diese Meldung erforderlichen Informationen bereit. Die Parteien stellen sicher, dass im türkischen Standardvertrag für jede Übermittlungspartei das Datum der Unterschrift angegeben ist, damit die Meldefrist bestimmt werden kann. Jede Zuweisung der Meldeverantwortung in dieser Anlage 5 wird im Einklang mit der im türkischen Standardvertrag getroffenen Auswahl bzw. den dort ausgefüllten Feldern angewandt.

4. Einhaltung; Unterstützung; Rechte betroffener Personen; Verletzungsmeldung. Reslify verarbeitet personenbezogene Kundendaten gemäß der DPA und, soweit anwendbar, den allgemeinen Grundsätzen des KVKK (einschließlich Artikel 4 KVKK). Reslify leistet dem Kunden angemessene Unterstützung bei der Beantwortung von Anfragen betroffener Personen gemäß Artikel 11 KVKK im Einklang mit den Unterstützungsbestimmungen der DPA. Reslify benachrichtigt den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist, im Einklang mit den Verletzungsmeldebestimmungen der DPA.

5. Rangfolge. Bei einem Konflikt zwischen dieser Anlage 5 und dem türkischen Standardvertrag geht der türkische Standardvertrag ausschließlich in dem Umfang vor, der zur Einhaltung der KVKK-Anforderungen an grenzüberschreitende Übermittlungen erforderlich ist. Diese Anlage 5 soll den durch die DPA gewährten Schutz nicht verringern.