Zustandekommen dieses Vertrages

Dieser Vertrag über die Auftragsverarbeitung, in Deutschland und Österreich Auftragsverarbeitungsvertrag oder AVV, im englischen Sprachgebrauch als „Data Processing Agreement" oder DPA bezeichnet, ist Bestandteil der FastComments-Nutzungsbedingungen. Er wird ohne Unterzeichnung und ohne weiteres Zutun einer der Parteien automatisch für jeden Kunden wirksam, der den Dienst zur Verarbeitung personenbezogener Daten als Verantwortlicher im Anwendungsbereich der DSGVO, der UK-DSGVO oder des Schweizer DSG nutzt. Art. 28 Abs. 9 DSGVO verlangt, dass dieser Vertrag schriftlich abgefasst wird, was auch in einem elektronischen Format erfolgen kann; die Annahme der Nutzungsbedingungen genügt diesem Erfordernis.

WinrickLabs LLC hat diesen Vertrag im Voraus unterzeichnet. Die Unterschrift befindet sich in Ziffer 24. Ein Kunde, der für seine eigenen Unterlagen ein gegengezeichnetes Exemplar benötigt, kann seine Angaben auf dieser Seite eintragen, um ein solches zu erzeugen, oder es unter privacy@fastcomments.com anfordern.

Präambel

A. Der Verantwortliche und der Auftragsverarbeiter unterhalten eine Geschäftsbeziehung, in deren Rahmen der Auftragsverarbeiter eine gehostete Online-Plattform für Kommentare, Live-Chat und Diskussionen bereitstellt (der „Dienst").

B. Diese Geschäftsbeziehung richtet sich nach den unter https://fastcomments.com/terms-of-service veröffentlichten Nutzungsbedingungen (der „Hauptvertrag").

C. Die Nutzung des Dienstes durch den Verantwortlichen umfasst die Verarbeitung personenbezogener Daten, die der Verordnung (EU) 2016/679 (der „DSGVO"), der Datenschutz-Grundverordnung des Vereinigten Königreichs in Verbindung mit dem Data Protection Act 2018 (zusammen die „UK-DSGVO") und/oder dem Schweizer Bundesgesetz über den Datenschutz (dem „DSG") unterliegen. Die Parteien vereinbaren daher die nach Art. 28 DSGVO und, soweit einschlägig, nach Kapitel V DSGVO erforderlichen Regelungen.

1. Begriffsbestimmungen

„Personenbezogene Kundendaten" bezeichnet personenbezogene Daten, die in Kommentaren, Chat-Nachrichten, Antworten, Bewertungen, Reaktionen, Meldungen, Uploads, Endnutzerprofilen, Single-Sign-on-Attributen und Moderationsaufzeichnungen enthalten sind oder aus diesen abgeleitet werden, soweit diese im Auftrag des Verantwortlichen an den Dienst übermittelt oder über ihn erzeugt werden.

„Kontodaten" bezeichnet die eigenen Kontakt-, Abrechnungs-, Authentifizierungs-, Support- und Produktnutzungsdaten des Verantwortlichen.

„Datenschutzrecht" bezeichnet die DSGVO, die UK-DSGVO, das DSG sowie jedes sonstige Datenschutzrecht, das auf die Verarbeitung durch eine Partei nach diesem Vertrag anwendbar ist.

„Unterauftragsverarbeiter" bezeichnet jeden Dritten, den der Auftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten betraut.

„SCC" bezeichnet die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021.

„UK-Addendum" bezeichnet das International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, erlassen vom Information Commissioner nach Section 119A des Data Protection Act 2018, Version B1.0, in Kraft seit dem 21. März 2022.

„Unterauftragsverarbeiter-Seite" bezeichnet https://fastcomments.com/dpa/sub-processors.

„Wirksamkeitsdatum" bezeichnet den Tag, an dem der Verantwortliche den Hauptvertrag erstmals angenommen hat, oder den Tag der Gegenzeichnung dieses Vertrages, je nachdem, welcher Zeitpunkt früher liegt.

Die Begriffe „Verantwortlicher", „Auftragsverarbeiter", „personenbezogene Daten", „Verarbeitung", „Verletzung des Schutzes personenbezogener Daten", „betroffene Person" und „Aufsichtsbehörde" haben die in Art. 4 DSGVO festgelegte Bedeutung.

2. Geltungsbereich, Einbeziehung und Rangfolge

2.1 Dieser Vertrag ist wesentlicher Bestandteil des Hauptvertrages und gilt für jede Verarbeitung personenbezogener Kundendaten durch den Auftragsverarbeiter.

2.2 Dieser Vertrag ersetzt alle früheren Vereinbarungen der Parteien zur Auftragsverarbeitung.

2.3 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag, einschließlich der Nutzungsbedingungen und der Datenschutzerklärung, geht dieser Vertrag hinsichtlich der Verarbeitung personenbezogener Kundendaten vor. Bei Widersprüchen zwischen diesem Vertrag und den SCC gehen die SCC vor.

2.4 Die Anlagen und Anhänge sind wesentlicher Bestandteil dieses Vertrages.

3. Rollen der Parteien

3.1 Hinsichtlich der personenbezogenen Kundendaten ist der Kunde der Verantwortliche und WinrickLabs LLC der Auftragsverarbeiter.

3.2 Hinsichtlich der Kontodaten handelt WinrickLabs LLC als eigenständig Verantwortlicher. Diese Verarbeitung richtet sich nach der Datenschutzerklärung und nicht nach diesem Vertrag.

3.3 Ist der Verantwortliche selbst Auftragsverarbeiter für einen dritten Verantwortlichen, so sichert er zu, zur Beauftragung des Auftragsverarbeiters als Unterauftragsverarbeiter befugt zu sein; dieser Vertrag gilt in diesem Fall mutatis mutandis mit der Maßgabe, dass Modul Drei der SCC an die Stelle von Modul Zwei tritt.

3.4 Entscheidet der Auftragsverarbeiter über die Zwecke und Mittel der Verarbeitung personenbezogener Kundendaten, so ist er hinsichtlich dieser Verarbeitung Verantwortlicher im Sinne des Art. 28 Abs. 10 DSGVO.

4. Verarbeitung auf dokumentierte Weisung

4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland. Dieser Vertrag, der Hauptvertrag, die Dokumentation des Dienstes sowie die Nutzung der vom Dienst bereitgestellten Konfigurationsmöglichkeiten durch den Verantwortlichen bilden zusammen die vollständigen dokumentierten Weisungen des Verantwortlichen.

4.2 Der Auftragsverarbeiter verkauft personenbezogene Kundendaten nicht, offenbart sie nur nach Weisung oder aufgrund gesetzlicher Verpflichtung und verwendet sie zu keinem anderen Zweck als der Erbringung des Dienstes. Der Auftragsverarbeiter verwendet personenbezogene Kundendaten nicht zur Entwicklung, zum Training, zur Feinabstimmung oder zur Bewertung von Modellen des maschinellen Lernens oder der künstlichen Intelligenz und verlangt dasselbe von jedem Unterauftragsverarbeiter, der solche Daten zur automatisierten Klassifizierung oder Moderation erhält.

4.3 Ist der Auftragsverarbeiter nach dem Recht der Union, eines Mitgliedstaats, des Vereinigten Königreichs oder nach sonstigem anwendbarem Recht zu einer von den Weisungen des Verantwortlichen abweichenden Verarbeitung personenbezogener Kundendaten verpflichtet, so teilt er dem Verantwortlichen diese rechtliche Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.4 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt, und kann die Ausführung der betroffenen Weisung bis zur Klärung zwischen den Parteien aussetzen.

5. Pflichten und Zusicherungen des Verantwortlichen

5.1 Der Verantwortliche entscheidet über die Zwecke und Mittel der Verarbeitung personenbezogener Kundendaten und ist für die Rechtmäßigkeit dieser Verarbeitung verantwortlich.

5.2 Der Verantwortliche sichert zu, dass er eine wirksame Rechtsgrundlage für die Verarbeitung geschaffen hat, dass er den betroffenen Personen alle nach Art. 12 bis 14 DSGVO erforderlichen Informationen erteilt hat und dass er alle für die Verarbeitung sowie für das Setzen von Cookies oder vergleichbaren Technologien durch den Dienst erforderlichen Einwilligungen eingeholt hat.

5.3 Der Verantwortliche ist für die Inhalte verantwortlich, die seine Endnutzer über den Dienst einreichen, sowie für seine eigenen Moderationsentscheidungen.

5.4 Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO ausgelegt. Der Verantwortliche weist seine Endnutzer entsprechend an und übermittelt solche Daten nicht wissentlich an den Dienst.

6. Vertraulichkeit des Personals

6.1 Der Zugang zu personenbezogenen Kundendaten ist auf die Personen beschränkt, die ihn zur Erfüllung des Hauptvertrages benötigen. Zum 5. August 2026 hat kein Auftragnehmer Zugang zu personenbezogenen Kundendaten.

6.2 Jede zur Verarbeitung personenbezogener Kundendaten befugte Person ist zur Vertraulichkeit verpflichtet; diese Verpflichtung besteht über das Ende der Tätigkeit hinaus fort. Bevor einem Auftragnehmer Zugang zu personenbezogenen Kundendaten gewährt wird, verlangt der Auftragsverarbeiter eine schriftliche Vertraulichkeitsverpflichtung, die dieser Ziffer mindestens gleichwertig ist.

7. Sicherheit der Verarbeitung

7.1 Der Auftragsverarbeiter setzt die in Anlage II beschriebenen technischen und organisatorischen Maßnahmen um und erhält sie aufrecht, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und des Risikos für die Rechte und Freiheiten natürlicher Personen.

7.2 Der Auftragsverarbeiter darf diese Maßnahmen fortschreiben, sofern das Gesamtniveau der Sicherheit dadurch nicht unterschritten wird. Wesentliche Änderungen werden auf dieser Seite veröffentlicht.

7.3 Der Verantwortliche hat selbst zu beurteilen, ob diese Maßnahmen seinem eigenen Risikoprofil genügen, und den Dienst sicher zu konfigurieren, einschließlich seiner Einstellungen zur Speicherdauer, seiner Moderationseinstellungen, seiner Einstellung zur Deanonymisierung von IP-Adressen und des Umgangs mit seinen Signaturschlüsseln für Single Sign-on.

8. Unterauftragsverarbeiter

8.1 Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO zur Beauftragung der in Anlage III aufgeführten Unterauftragsverarbeiter sowie zur Beauftragung weiterer Unterauftragsverarbeiter nach Maßgabe dieser Ziffer. Maßgebliche und stets aktuelle Liste ist die Unterauftragsverarbeiter-Seite; weicht sie von Anlage III ab, geht die Unterauftragsverarbeiter-Seite vor.

8.2 Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt oder sich die Rolle eines bestehenden Unterauftragsverarbeiters wesentlich ändert. Die Unterrichtung erfolgt per E-Mail an den Kontoadministrator und an jede in der FastComments-Administrationskonsole hinterlegte Datenschutz-Kontaktadresse sowie durch Veröffentlichung auf der Unterauftragsverarbeiter-Seite unter Angabe des Wirksamkeitszeitpunkts. Für den Erhalt dieser Unterrichtung ist weder die Eintragung in einen Verteiler noch eine gesonderte Zustimmung erforderlich.

8.3 Ist eine Änderung dringend erforderlich, um die Sicherheit, Integrität oder Verfügbarkeit des Dienstes zu wahren, insbesondere wenn ein bestehender Unterauftragsverarbeiter die betreffende Leistung einstellt, insolvent wird oder seine Beauftragung endet, so darf der Auftragsverarbeiter einen Ersatz beauftragen und die Unterrichtung stattdessen so bald wie nach vernünftigem Ermessen möglich vornehmen. Das Widerspruchsrecht nach Ziffer 8.4 gilt ab dem Zeitpunkt dieser Unterrichtung unverändert.

8.4 Der Verantwortliche kann einem neuen Unterauftragsverarbeiter aus sachlich gerechtfertigten datenschutzrechtlichen Gründen widersprechen, und zwar durch schriftliche Mitteilung an privacy@fastcomments.com innerhalb von 30 Tagen nach der Unterrichtung gemäß Ziffer 8.2 oder 8.3.

8.5 Im Fall eines Widerspruchs erörtern die Parteien die Angelegenheit 30 Tage lang nach Treu und Glauben; der Auftragsverarbeiter unternimmt zumutbare Anstrengungen, eine Änderung bereitzustellen, welche die beanstandete Verarbeitung vermeidet. Je nach betroffenem Unterauftragsverarbeiter kann dies die Abschaltung der optionalen Funktion, die ihn einbindet, die Konfiguration des Dienstes in der Weise, dass die beanstandete Verarbeitung unterbleibt, oder die Migration des Kontos des Verantwortlichen in die Region Europäische Union umfassen, die der Auftragsverarbeiter auf Anfrage und unentgeltlich durchführt. Steht eine solche Änderung nicht zur Verfügung, so kann der Verantwortliche den betroffenen Teil des Dienstes oder den Hauptvertrag durch schriftliche Mitteilung ohne Zahlung eines Entgelts für die vorzeitige Beendigung und ohne sonstige Nachteile sowie gegen anteilige Erstattung vorausbezahlter Entgelte für den nicht genutzten Teil der Laufzeit kündigen. Die Kündigung aus diesem Grund ist der ausschließliche Rechtsbehelf des Verantwortlichen im Hinblick auf den Widerspruch.

8.6 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die den Pflichten aus diesem Vertrag inhaltlich gleichwertig sind, einschließlich der Sicherheitspflichten nach Art. 32 DSGVO und, sofern der Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums niedergelassen ist, eines geeigneten Übermittlungsinstruments. Hat ein Unterauftragsverarbeiter einen solchen Vertrag noch nicht abgeschlossen, so wird er in Anlage III als solcher zusammen mit der von ihm durchgeführten Verarbeitung ausgewiesen; der Auftragsverarbeiter wirkt auf den Abschluss eines dieser Ziffer entsprechenden Vertrages hin.

8.7 Der Auftragsverarbeiter haftet dem Verantwortlichen gegenüber uneingeschränkt für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.

9. Unterstützung bei der Wahrnehmung von Betroffenenrechten

9.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich über jeden Antrag, den er unmittelbar von einer betroffenen Person in Bezug auf personenbezogene Kundendaten erhält; er beantwortet einen solchen Antrag inhaltlich nicht, sondern verweist die betroffene Person an den Verantwortlichen, sofern der Verantwortliche nichts anderes anweist.

9.2 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich über jedes sonstige Ersuchen, jede Beschwerde, Mitteilung oder Kommunikation einer Aufsichtsbehörde oder sonstigen zuständigen Regulierungsstelle, die sich auf die Verarbeitung personenbezogener Kundendaten bezieht, sowie über jeden im Zusammenhang mit dieser Verarbeitung geltend gemachten Schadensersatzanspruch.

9.3 Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte nach Kapitel III DSGVO. Der Dienst stellt dem Verantwortlichen Werkzeuge zur Verfügung, um einen Endnutzer aufzufinden, einzelne Kommentare und Chat-Nachrichten zu bearbeiten, zu löschen oder zu anonymisieren, einen Endnutzer samt der ihm zugeordneten Inhalte zu löschen, die für das Konto des Verantwortlichen gespeicherten Kommentar- und Nutzerdaten zu exportieren und einzustellen, ob IP-Adressen in deanonymisierter Form gespeichert werden. Soweit diese Werkzeuge es dem Verantwortlichen ermöglichen, ohne Mitwirkung des Auftragsverarbeiters zu reagieren, stellt ihre Bereitstellung die nach dieser Ziffer geschuldete Unterstützung dar. Darüber hinausgehende Unterstützung leistet der Auftragsverarbeiter gegen angemessenes Entgelt.

10. Verletzung des Schutzes personenbezogener Daten

10.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, jedenfalls aber innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist.

10.2 Die Benachrichtigung beschreibt, soweit zum jeweiligen Zeitpunkt bekannt: die Art der Verletzung, soweit möglich einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen Datensätze; die wahrscheinlichen Folgen der Verletzung; die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen; sowie eine Kontaktstelle, bei der weitere Informationen eingeholt werden können. Sind die Informationen nicht auf einmal verfügbar, werden sie schrittweise bereitgestellt, sobald sie vorliegen.

10.3 Der Auftragsverarbeiter arbeitet in angemessenem Umfang mit dem Verantwortlichen zusammen und unterstützt ihn bei dessen eigenen Pflichten nach Art. 33 und 34 DSGVO.

10.4 Eine Benachrichtigung nach dieser Ziffer stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

11. Datenschutz-Folgenabschätzungen

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen in angemessenem Umfang bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei der vorherigen Konsultation einer Aufsichtsbehörde nach Art. 36 DSGVO, insbesondere durch Bereitstellung der Anlage II, der Unterauftragsverarbeiter-Seite, der Angaben zu Datenübermittlungen in Ziffer 14 sowie durch schriftliche Beantwortung angemessener Fragen. Darüber hinausgehende Unterstützung erfolgt gegen angemessenes Entgelt.

12. Löschung und Rückgabe personenbezogener Kundendaten

12.1 Nach Wahl des Verantwortlichen löscht der Auftragsverarbeiter alle personenbezogenen Kundendaten nach Abschluss der Erbringung des Dienstes oder gibt sie zurück und löscht vorhandene Kopien nach Maßgabe der Ziffer 12.3, sofern nicht nach dem Recht der Union, eines Mitgliedstaats oder nach sonstigem anwendbarem Recht eine Verpflichtung zur weiteren Speicherung besteht.

12.2 Der Verantwortliche teilt seine Wahl vor oder innerhalb von 30 Tagen nach Abschluss der Erbringung des Dienstes schriftlich mit. Innerhalb dieses Zeitraums kann der Verantwortliche seine Daten mit den Exportwerkzeugen des Dienstes ausleiten. Trifft er innerhalb dieses Zeitraums keine Wahl, so löscht der Auftragsverarbeiter.

12.3 Die Löschung aus den Produktivsystemen und deren Replikaten erfolgt innerhalb von 30 Tagen nach der Wahl oder nach Ablauf der Frist gemäß Ziffer 12.2. Restkopien in rotierenden Sicherungen werden gelöscht, sobald die Sicherung, in der sie enthalten sind, im gewöhnlichen Verlauf des Rotationszyklus überschrieben wird, längstens jedoch innerhalb von zwölf Monaten. Bis dahin bleiben diese Kopien im Ruhezustand verschlüsselt, werden nicht aktiv verarbeitet und zu keinem anderen Zweck als der Wiederherstellung im Katastrophenfall verwendet.

12.4 Einzelne Datensätze werden bereits vor Beendigung des Dienstes auf Weisung des Verantwortlichen oder auf Verlangen einer betroffenen Person mit den in Ziffer 9.3 beschriebenen Werkzeugen gelöscht.

13. Überprüfungen und Nachweis der Einhaltung

13.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind, und ermöglicht sowie unterstützt Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Die Ziffern 13.2 bis 13.5 beschreiben, wie dieses Recht in der Praxis ausgeübt wird.

13.2 Auskunft auf Anfrage. Auf schriftliche Anfrage des Verantwortlichen stellt der Auftragsverarbeiter unentgeltlich innerhalb von 30 Tagen bereit: die jeweils geltende Fassung der Anlage II; die aktuelle Liste der Unterauftragsverarbeiter; einen ausgefüllten Standard-Sicherheitsfragebogen des Auftragsverarbeiters; eine Zusammenfassung der Ergebnisse seiner jüngsten Sicherheitsüberprüfung; sowie schriftliche Antworten auf angemessene schriftliche Fragen zu der im Auftrag dieses Verantwortlichen durchgeführten Verarbeitung personenbezogener Daten. Dies steht einmal in einem Zeitraum von zwölf Monaten zur Verfügung, darüber hinaus nach einer Verletzung des Schutzes personenbezogener Daten, die im Auftrag dieses Verantwortlichen verarbeitet werden, oder wenn eine Aufsichtsbehörde dies verlangt.

13.3 Prüfgespräch. Weist der Verantwortliche nachvollziehbar nach, dass die nach Ziffer 13.2 bereitgestellten Informationen zum Nachweis der Einhaltung nicht ausreichen, oder nach einer Verletzung des Schutzes personenbezogener Daten, die im Auftrag dieses Verantwortlichen verarbeitet werden, oder wenn eine Aufsichtsbehörde dies verlangt, stellt der Auftragsverarbeiter die für die Verarbeitung verantwortliche Person für ein ferngeführtes Prüfgespräch per Videokonferenz von bis zu vier Stunden zur Verfügung, mit einer Ankündigungsfrist von mindestens 30 Tagen in Schriftform und zu einem einvernehmlich festgelegten Termin. Der Verantwortliche oder der von ihm beauftragte Prüfer kann Fragen stellen und die Vorführung einzelner Maßnahmen per Bildschirmfreigabe verlangen. Dies steht einmal in einem Zeitraum von zwölf Monaten unentgeltlich zur Verfügung.

13.4 Vor-Ort-Inspektion. Sofern eine Aufsichtsbehörde oder zwingendes Recht dies verlangt oder ein konkret dokumentiertes Compliance-Anliegen durch die Ziffern 13.2 und 13.3 nicht ausgeräumt werden konnte, dürfen der Verantwortliche oder ein von ihm beauftragter unabhängiger Prüfer die Räumlichkeiten und Systeme des Auftragsverarbeiters mit einer Ankündigungsfrist von 60 Tagen in Schriftform, während der üblichen Geschäftszeiten, einmal in einem Zeitraum von zwölf Monaten und auf Kosten des Verantwortlichen einschließlich des angemessenen Zeitaufwands des Auftragsverarbeiters zu einem dem Verantwortlichen vor der Inspektion mitgeteilten Stundensatz inspizieren. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und muss schriftlich zur Vertraulichkeit verpflichtet sein. Der Prüfumfang beschränkt sich auf Systeme und Aufzeichnungen, welche die im Auftrag dieses Verantwortlichen durchgeführte Verarbeitung personenbezogener Daten betreffen. Es wird kein Zugang zu personenbezogenen Daten anderer Kunden gewährt, ebenso wenig zu gemeinsam genutzter Infrastruktur in einer Weise, welche die Sicherheit der Daten anderer Kunden beeinträchtigen würde, und kein Zugang zum Quellcode außer im Wege beaufsichtigter Einsichtnahme.

13.5 WinrickLabs LLC verfügt über keinen SOC-2-Bericht und keine Zertifizierung nach ISO/IEC 27001 und verpflichtet sich nicht, eines von beiden zu erlangen. Erlangt WinrickLabs LLC während der Laufzeit einen unabhängigen Prüfbericht eines Dritten oder eine Zertifizierung, so genügt die Bereitstellung dieses Berichts den Ziffern 13.2 und 13.3 hinsichtlich der davon erfassten Gegenstände.

13.6 Keine Bestimmung dieser Ziffer beschränkt oder verkürzt die Rechte des Verantwortlichen nach Art. 28 Abs. 3 lit. h DSGVO oder nach Klausel 8.9 der SCC. Verlangt eine Aufsichtsbehörde eine Überprüfung oder Inspektion zu anderen als den vorstehend geregelten Bedingungen, so kommt der Auftragsverarbeiter diesem Verlangen nach.

14. Internationale Datenübermittlungen

14.1 Speicherort der personenbezogenen Kundendaten

Region Europäische Union. Konten, die über eu.fastcomments.com angelegt werden, werden in der Region Europäische Union bereitgestellt. Personenbezogene Kundendaten dieser Konten werden auf Infrastruktur innerhalb des Europäischen Wirtschaftsraums gespeichert und verarbeitet, einschließlich sämtlicher Live-Replikate und sämtlicher Sicherungskopien. Diese Daten werden nicht in Regionen außerhalb des Europäischen Wirtschaftsraums repliziert.

Globale Region. Bei Konten, die über fastcomments.com angelegt werden, werden personenbezogene Kundendaten über mehrere Regionen, Hosting-Anbieter und Länder hinweg repliziert, darunter Regionen in den Vereinigten Staaten, um die Verfügbarkeit sicherzustellen und Daten in räumlicher Nähe zu den Endnutzern auszuliefern. Jede Region unterhält ein Live-Replikat in einer anderen Region und bei einem anderen Hosting-Anbieter.

Die jeweils maßgeblichen Regionen, Hosting-Anbieter und Länder sind in Anlage III aufgeführt.

14.2 Fernadministration

WinrickLabs LLC ist in den Vereinigten Staaten niedergelassen. Sein Personal administriert, wartet, überwacht und unterstützt sämtliche Regionen, einschließlich der Region Europäische Union, und leistet für diese die Reaktion auf Sicherheitsvorfälle, jeweils im Wege des Fernzugriffs aus den Vereinigten Staaten. Die Parteien sind sich einig, dass ein solcher Fernzugriff eine Übermittlung personenbezogener Daten in ein Drittland im Sinne des Kapitels V DSGVO darstellt, und zwar auch hinsichtlich solcher Daten, die ausschließlich innerhalb des Europäischen Wirtschaftsraums gespeichert werden. Die durch Ziffer 14.3 einbezogenen SCC gelten daher für sämtliche nach diesem Vertrag verarbeiteten personenbezogenen Kundendaten.

14.3 Standardvertragsklauseln

Die SCC, Modul Zwei (Übermittlung von Verantwortlichem an Auftragsverarbeiter), werden durch Bezugnahme in diesen Vertrag einbezogen und sind wesentlicher Bestandteil desselben. Ihr Wortlaut ist unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj veröffentlicht. Der Verantwortliche ist Datenexporteur und WinrickLabs LLC ist Datenimporteur. Soweit Ziffer 3.3 einschlägig ist, tritt Modul Drei an die Stelle von Modul Zwei.

Die Parteien treffen im Rahmen der SCC folgende Wahlrechtsausübungen:

Die Klauseln 8.9, 12, 14, 15 und 16 der SCC gelten unverändert. Die Ziffern 13 und 15 dieses Vertrages beschreiben, wie diese Klauseln in der Praxis ausgeübt werden, und beschränken sie nicht.

14.4 Vereinigtes Königreich

Für Übermittlungen, die der UK-DSGVO unterliegen, wird das UK-Addendum durch Bezugnahme einbezogen und gilt für die nach Ziffer 14.3 einbezogenen SCC. Seine Tabellen sind in Anhang 1 ausgefüllt.

14.5 Schweiz

Für Übermittlungen, die dem DSG unterliegen, gelten die SCC in der durch Anhang 2 geänderten Fassung.

14.6 Übermittlungsfolgenabschätzung

Die Parteien haben unter Berücksichtigung der Umstände der Übermittlung, der Rechtsvorschriften und Gepflogenheiten der Vereinigten Staaten sowie der angewandten Schutzmaßnahmen keinen Grund zu der Annahme, dass die für WinrickLabs LLC geltenden Rechtsvorschriften und Gepflogenheiten das Unternehmen an der Erfüllung seiner Pflichten aus den SCC hindern.

Umstände der Übermittlung. Personenbezogene Kundendaten bestehen überwiegend aus Inhalten, die der Verantwortliche auf seinen eigenen Angeboten öffentlich veröffentlicht, nebst Anzeigenamen, optionalen E-Mail-Adressen und standardmäßig gesalzenen kryptografischen Hashwerten von IP-Adressen anstelle der IP-Adressen selbst. Besondere Kategorien personenbezogener Daten werden weder erhoben noch benötigt. Der Umfang der personenbezogenen Daten je betroffener Person ist konzeptbedingt minimal.

Überwachungsrecht der Vereinigten Staaten. WinrickLabs LLC ist eine privat gehaltene Gesellschaft mit beschränkter Haftung. Sie hat zu keinem Zeitpunkt eine Anordnung, Verfügung, ein Ersuchen oder eine sonstige behördliche Maßnahme nach Section 702 des Foreign Intelligence Surveillance Act, nach der Executive Order 12333, in Gestalt eines National Security Letter oder nach dem Clarifying Lawful Overseas Use of Data Act erhalten. Sie unterhält keinerlei Beziehungen zu einem Nachrichtendienst der Vereinigten Staaten und hat keiner Regierung jemals unmittelbaren oder mittelbaren Zugang zu personenbezogenen Kundendaten gewährt. Sie gehört nicht zu den großen Kommunikations- und Cloud-Anbietern, an die sich Anordnungen nach Section 702 in der Vergangenheit gerichtet haben, und betreibt keine Einrichtung, auf die eine solche Erhebung angewandt worden wäre.

Schutzmaßnahmen. Vollverschlüsselung der Datenträger im Ruhezustand auf allen Servern einschließlich der Sicherungsziele; TLS 1.2 oder höher für sämtliche Daten während der Übertragung; Datenhaltung in der Region Europäische Union ohne Replikation dieser Daten außerhalb des Europäischen Wirtschaftsraums; Speicherung von IP-Adressen als gesalzene Hashwerte, sofern der Verantwortliche nichts anderes wählt; Mehr-Faktor-Authentifizierung für alle Produktiv-, Anbieter-, Domain-Registrar- und Versionsverwaltungskonten; Beschränkung des Zugangs zu Produktivsystemen auf namentlich benannte Personen nach dem Grundsatz der geringstmöglichen Berechtigung; sowie die Zusagen nach Ziffer 15, rechtswidrige Ersuchen anzufechten, nur das Mindestmaß offenzulegen und den Verantwortlichen zu benachrichtigen, soweit dies rechtlich zulässig ist.

Erneute Bewertung. Der Auftragsverarbeiter führt diese Bewertung mindestens jährlich erneut durch sowie dann, wenn ihm eine Änderung der anwendbaren Rechtslage oder Praxis bekannt wird, die sich darauf auswirken könnte. Kann er die SCC nicht mehr einhalten, benachrichtigt er den Verantwortlichen nach Klausel 14 Buchstabe f und Klausel 16.

14.7 Data Privacy Framework

WinrickLabs LLC ist weder nach dem EU-US Data Privacy Framework noch nach dessen UK Extension oder dem Swiss-US Data Privacy Framework zertifiziert und stützt sich nicht auf einen Angemessenheitsbeschluss als Übermittlungsinstrument. Es stützt sich auf die SCC.

15. Ersuchen von Behörden und Strafverfolgungsstellen

Erhält der Auftragsverarbeiter ein rechtsverbindliches Ersuchen einer Behörde auf Offenlegung personenbezogener Kundendaten, so verfährt er wie folgt: Er benachrichtigt den Verantwortlichen unverzüglich, sofern ihm dies nicht rechtlich untersagt ist, und unternimmt bei einem Verbot zumutbare Anstrengungen, eine Befreiung von diesem Verbot zu erwirken; er ficht das Ersuchen an, soweit es rechtswidrig oder überschießend ist oder mit dem Recht der Europäischen Union oder eines Mitgliedstaats kollidiert; er legt nach sorgfältiger Prüfung des Ersuchens nicht mehr als das Mindestmaß des Verlangten offen; und er dokumentiert das Ersuchen und stellt diese Dokumentation dem Verantwortlichen und der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.

Zum 5. August 2026 hat WinrickLabs LLC kein derartiges Ersuchen erhalten.

16. Verzeichnis von Verarbeitungstätigkeiten

Der Auftragsverarbeiter führt ein Verzeichnis zu allen Kategorien von im Auftrag von Verantwortlichen durchgeführten Verarbeitungstätigkeiten mit den nach Art. 30 Abs. 2 DSGVO erforderlichen Angaben und stellt dieses Verzeichnis einer Aufsichtsbehörde auf Anfrage zur Verfügung.

17. Haftung

17.1 Die Haftung jeder Partei nach diesem Vertrag unterliegt den im Hauptvertrag geregelten Haftungsausschlüssen und Haftungsbeschränkungen, soweit diese Ausschlüsse und Beschränkungen für die betreffende Partei gelten. Dieselben Ausschlüsse und Beschränkungen gelten gleichermaßen für Ansprüche nach diesem Vertrag und für Ansprüche nach dem Hauptvertrag. Dieser Vertrag begründet keine gesonderte oder zusätzliche Haftungsbeschränkung.

17.2 Ziffer 17.1 beschränkt oder schließt Folgendes nicht aus: eine Haftung, die nach anwendbarem Recht nicht beschränkt oder ausgeschlossen werden kann; die Haftung einer Partei gegenüber einer betroffenen Person nach Klausel 12 der SCC oder nach Art. 82 DSGVO; oder die Pflichten einer Partei gegenüber einer Aufsichtsbehörde.

17.3 Die Schiedsklausel und der Verzicht auf Sammelklagen aus den Nutzungsbedingungen finden auf Ansprüche aus diesem Vertrag oder aus den SCC keine Anwendung.

18. Laufzeit, Beendigung und Fortgeltung

Dieser Vertrag tritt zum Wirksamkeitsdatum in Kraft und gilt fort, solange der Auftragsverarbeiter personenbezogene Kundendaten verarbeitet, ungeachtet einer Beendigung des Hauptvertrages. Die Ziffern 6, 7, 10, 12, 13, 14, 15 und 17 gelten über die Beendigung hinaus fort.

19. Anwendbares Recht und Gerichtsstand

19.1 Dieser Vertrag sowie sämtliche Streitigkeiten oder Ansprüche aus oder im Zusammenhang mit ihm, einschließlich außervertraglicher Streitigkeiten oder Ansprüche, unterliegen dem Recht der Republik Irland; die Gerichte Irlands sind zuständig. Diese Ziffer geht den Bestimmungen der Nutzungsbedingungen zu anwendbarem Recht, Gerichtsstand, Schiedsverfahren und Verzicht auf Sammelklagen für Streitigkeiten aus diesem Vertrag vor.

19.2 Ziffer 19.1 lässt Klausel 18 Buchstabe c der SCC unberührt, wonach eine betroffene Person Klage vor den Gerichten des Mitgliedstaats ihres gewöhnlichen Aufenthalts erheben kann.

19.3 Für Übermittlungen, die der UK-DSGVO unterliegen, treten die Bestimmungen des UK-Addendums zu anwendbarem Recht und Gerichtsstand an die Stelle der Ziffer 19.1.

20. Änderungen dieses Vertrages

20.1 Der Auftragsverarbeiter kann diesen Vertrag anpassen, soweit eine Änderung des Datenschutzrechts, eine Entscheidung einer Aufsichtsbehörde oder eines Gerichts, eine Änderung der SCC oder des UK-Addendums oder eine Änderung des Dienstes dies erfordert.

20.2 Der Auftragsverarbeiter benachrichtigt den Kontoadministrator des Verantwortlichen mindestens 30 Tage vor dem Wirksamwerden einer wesentlichen Änderung per E-Mail und veröffentlicht die aktualisierte Fassung dieses Vertrages auf dieser Seite. Unwesentliche Änderungen werden mit ihrer Veröffentlichung wirksam.

20.3 Widerspricht der Verantwortliche einer wesentlichen Änderung aus sachlich gerechtfertigten datenschutzrechtlichen Gründen innerhalb von 30 Tagen nach der Benachrichtigung, so erörtern die Parteien die Angelegenheit nach Treu und Glauben. Kommt keine Einigung zustande, kann der Verantwortliche den betroffenen Dienst ohne Zahlung eines Entgelts für die vorzeitige Beendigung und ohne sonstige Nachteile sowie gegen anteilige Erstattung vorausbezahlter Entgelte für den nicht genutzten Teil der Laufzeit kündigen.

21. Allgemeine Bestimmungen

21.1 Mitteilungen. Mitteilungen an den Auftragsverarbeiter nach diesem Vertrag sind an privacy@fastcomments.com zu richten. Mitteilungen an den Verantwortlichen werden an die E-Mail-Adresse des Kontoadministrators sowie an jede in der Administrationskonsole hinterlegte Datenschutz-Kontaktadresse gesendet. Eine per E-Mail versandte Mitteilung gilt am nächsten Werktag nach der Versendung als zugegangen.

21.2 Elektronische Form. Die Parteien sind sich einig, dass dieser Vertrag in elektronischer Form Art. 28 Abs. 9 DSGVO sowie jedem Erfordernis der Schriftform des Vertrages genügt.

21.3 Salvatorische Klausel. Ist eine Bestimmung dieses Vertrages unwirksam oder undurchsetzbar, so bleibt der übrige Vertrag wirksam.

21.4 Kein Verzicht. Die Nichtausübung eines Rechts aus diesem Vertrag gilt nicht als Verzicht auf dieses Recht.

21.5 Übertragung. Der Auftragsverarbeiter kann diesen Vertrag im Zusammenhang mit einer Verschmelzung, einem Unternehmenserwerb oder der Veräußerung seines gesamten oder nahezu gesamten Vermögens durch Mitteilung an den Verantwortlichen auf einen Rechtsnachfolger übertragen.

21.6 Gesamte Vereinbarung. Dieser Vertrag stellt die gesamte Vereinbarung zwischen den Parteien über die Verarbeitung personenbezogener Kundendaten dar.

22. Sprache

Dieser Vertrag ist in englischer Sprache abgefasst und geschlossen. Übersetzungen werden lediglich zur Erleichterung bereitgestellt. Bei Unstimmigkeiten, Unklarheiten, Widersprüchen oder abweichender Auslegung zwischen der englischen Fassung und einer Übersetzung geht die englische Fassung vor und ist für sämtliche Zwecke die allein maßgebliche und verbindliche Fassung, einschließlich Auslegung, Durchführung und Beilegung von Streitigkeiten. Firmennamen, Anschriften, Gesetzeszitate und der Wortlaut der SCC werden nicht übersetzt. Jede Partei bestätigt, dass sie in Ausübung ihrer gewerblichen Tätigkeit handelt und Gelegenheit hatte, eine unabhängige Übersetzung sowie unabhängigen Rechtsrat einzuholen. Diese Ziffer berührt nicht die eigenen Pflichten des Verantwortlichen nach Art. 12 bis 14 DSGVO, betroffene Personen in präziser, transparenter und verständlicher Sprache zu informieren.

23. Kontaktstelle und aufsichtsrechtlicher Status

23.1 Kontaktstelle für sämtliche Datenschutzangelegenheiten, einschließlich Anfragen nach den Ziffern 8.4, 13.2 und 13.3, ist Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.

23.2 WinrickLabs LLC hat keinen Datenschutzbeauftragten benannt, da nach eigener Prüfung die Voraussetzungen des Art. 37 Abs. 1 DSGVO nicht erfüllt sind.

23.3 WinrickLabs LLC verfügt weder über eine Zertifizierung nach SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS oder CSA STAR noch behauptet es, über eine solche zu verfügen. Jede in diesem Vertrag genannte Zertifizierung eines Unterauftragsverarbeiters wird von diesem Unterauftragsverarbeiter für dessen eigene Einrichtungen und Dienste gehalten und ist keine Zertifizierung von WinrickLabs LLC.

24. Unterzeichnung

Anlage I

A. Liste der Parteien

B. Beschreibung der Übermittlung

Kategorien betroffener Personen

• Endnutzer und Besucher der Websites und Anwendungen des Verantwortlichen, die Kommentare oder Chat-Nachrichten verfassen, bearbeiten, darauf reagieren, sie bewerten, abonnieren oder darin namentlich genannt werden.
• Endnutzer, die vom Dienst ausgelieferte Inhalte lesen und deren Verbindungsmetadaten zu Zwecken der Sicherheit und der Missbrauchsabwehr verarbeitet werden.
• Eigenes Personal des Verantwortlichen, das die Moderations-, Administrations- oder API-Funktionen des Dienstes nutzt.
• Endnutzer, die vom Verantwortlichen über Single Sign-on bereitgestellt werden.

Kategorien personenbezogener Daten

• Anzeigename oder Benutzername.
• E-Mail-Adresse, sofern die betroffene Person oder der Verantwortliche eine solche angibt. Anonymes Kommentieren wird unterstützt.
• Avatar oder Profilbild oder ein Link darauf.
• Der Inhalt von Kommentaren, Chat-Nachrichten und Antworten sowie sämtliche von der betroffenen Person hochgeladenen Medien oder Dateien.
• Ein gesalzener kryptografischer Hashwert der IP-Adresse. Aktiviert der Verantwortliche die in Ziffer 7.3 beschriebene Einstellung zur Deanonymisierung, wird stattdessen die IP-Adresse in ihrer ursprünglichen Form gespeichert.
• Bewertungen, Reaktionen, Meldungen, Sperren und Moderationsstatus.
• Zeitstempel, Seiten- und Thread-Kennungen sowie die User-Agent-Zeichenfolge.
• Benachrichtigungs- und Abonnementeinstellungen.
• Single-Sign-on-Kennungen sowie sämtliche weiteren Attribute, die der Verantwortliche zu übermitteln wählt.
• Für die administrativen Nutzer des Verantwortlichen: Name, E-Mail-Adresse, Authentifizierungsdaten in gehashter Form, Sitzungsdaten sowie IP-Adressen im Zusammenhang mit administrativen Handlungen, sofern der Verantwortliche das Audit-Protokoll aktiviert hat.

Sensible Daten

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten ausgelegt; nach Ziffer 5.4 übermittelt der Verantwortliche solche Daten nicht wissentlich und weist seine Endnutzer entsprechend an. Nimmt ein Endnutzer solche Daten aus eigenem Antrieb in Freitextinhalte auf, gelten folgende Beschränkungen: Verschlüsselung im Ruhezustand; Zugangsbeschränkung auf die kleinstmögliche Zahl befugter Personen; keine Zweckänderung; kein Profiling; keine Offenlegung außer nach Weisung des Verantwortlichen oder aufgrund gesetzlicher Verpflichtung; und keine Verwendung zur Entwicklung oder zum Training von Modellen.

Häufigkeit der Übermittlung

Fortlaufend und auf Dauer für die Laufzeit des Hauptvertrages.

Art der Verarbeitung

Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Abruf, Einsichtnahme, Übermittlung und öffentliche Anzeige auf den Angeboten des Verantwortlichen, Moderation und Inhaltsfilterung, automatisierte Spam- und Bildmoderationsbewertung, sofern der Verantwortliche diese aktiviert, Zustellung von Benachrichtigungen, Sicherung und Replikation, Einschränkung, Löschung und Vernichtung.

Zweck der Übermittlung und der Weiterverarbeitung

Erbringung des Dienstes gegenüber dem Verantwortlichen, Zustellung von Benachrichtigungen, Moderation und Missbrauchsabwehr, Sicherheit, Verfügbarkeit und Wiederherstellung im Katastrophenfall sowie technischer Support, jeweils ausschließlich auf dokumentierte Weisung des Verantwortlichen.

Speicherdauer

Für die Laufzeit des Hauptvertrages und danach nach Maßgabe der Ziffer 12. Einzelne Datensätze werden auf Weisung des Verantwortlichen oder einer betroffenen Person früher gelöscht.

Übermittlungen an Unterauftragsverarbeiter

Nach Maßgabe der Anlage III, die für jeden Unterauftragsverarbeiter den Gegenstand und die Art seiner Verarbeitung sowie deren Dauer angibt; diese entspricht der Laufzeit des Hauptvertrages oder, bei einem nur durch eine optionale Funktion eingebundenen Unterauftragsverarbeiter, dem Zeitraum, für den der Verantwortliche diese Funktion aktiviert.

C. Zuständige Aufsichtsbehörde

1. Ist der Datenexporteur in einem Mitgliedstaat der Europäischen Union niedergelassen: die Aufsichtsbehörde dieses Mitgliedstaats.
2. Ist der Datenexporteur nicht in einem Mitgliedstaat der Europäischen Union niedergelassen, fällt aber nach Art. 3 Abs. 2 DSGVO in deren räumlichen Anwendungsbereich und hat er einen Vertreter nach Art. 27 DSGVO benannt: die Aufsichtsbehörde des Mitgliedstaats, in dem dieser Vertreter niedergelassen ist.
3. Ist der Datenexporteur nicht in einem Mitgliedstaat der Europäischen Union niedergelassen und hat er keinen Vertreter nach Art. 27 DSGVO benannt: die Data Protection Commission of Ireland.
4. Für Übermittlungen, die der UK-DSGVO unterliegen: das Information Commissioner's Office.
5. Für Übermittlungen, die dem DSG unterliegen: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

Anlage II - Technische und organisatorische Maßnahmen

Die nachfolgenden Maßnahmen werden von WinrickLabs LLC umgesetzt. Maßnahmen, die als für ein Rechenzentrum oder für die Plattform eines Unterauftragsverarbeiters geltend beschrieben sind, werden von dem betreffenden Unterauftragsverarbeiter für dessen eigene Einrichtungen umgesetzt.

1. Pseudonymisierung und Verschlüsselung personenbezogener Daten

• Auf allen Servern, einschließlich der Server mit Sicherungskopien, wird eine Vollverschlüsselung der Datenträger im Ruhezustand eingesetzt.
• Sämtliche Daten während der Übertragung werden durch TLS in der Version 1.2 oder höher geschützt.
• IP-Adressen werden als gesalzene kryptografische Hashwerte gespeichert. Die ursprüngliche IP-Adresse wird nur gespeichert, wenn der Verantwortliche die Einstellung zur Deanonymisierung für sein eigenes Konto aktiviert. Ein gesalzener Hashwert einer IP-Adresse bleibt ein personenbezogenes Datum und wird nach diesem Vertrag als solches behandelt.
• Authentifizierungsdaten administrativer Konten werden als gesalzene Hashwerte und niemals in wiederherstellbarer Form gespeichert.

2. Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme

• Der Dienst wird über mehrere Regionen und mehrere Hosting-Anbieter hinweg betrieben.
• Jede Region unterhält ein Live-Replikat in einer anderen Region und bei einem anderen Hosting-Anbieter.
• Mandantendaten werden auf jeder Ebene der Anwendung und des Datenmodells logisch anhand der Mandantenkennung getrennt.
• Produktivsysteme sind durch Firewalls geschützt, und Produktivnetze sind von allen übrigen Umgebungen getrennt.

3. Wiederherstellung der Verfügbarkeit und des Zugangs nach einem Zwischenfall

• Sicherungskopien werden in täglichen, monatlichen und jährlichen Zyklen erstellt. Sie werden auf verschlüsselte Datenträger geschrieben, über TLS übertragen und sowohl bei einem anderen Hosting-Anbieter als demjenigen, der die Live-Daten hält, als auch bei einem unabhängigen Objektspeicheranbieter aufbewahrt.
• Sicherungskopien von Daten der Region Europäische Union werden ausschließlich innerhalb des Europäischen Wirtschaftsraums aufbewahrt.
• Das Wiederherstellungsverfahren ist dokumentiert; eine Wiederherstellung wird mindestens einmal jährlich durchgeführt und überprüft.

4. Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit

• Unabhängige Penetrationstests durch Dritte werden mindestens einmal jährlich durchgeführt.
• Automatisierte Abhängigkeits- und Schwachstellenprüfungen laufen fortlaufend gegen die Produktivcodebasis.
• Sämtliche Änderungen am Produktivcode werden vor der Auslieferung einer sicherheitsbezogenen Prüfung unterzogen.

5. Benutzeridentifikation und Berechtigungsverwaltung

• Der Zugang zu Produktivsystemen mit personenbezogenen Kundendaten ist auf namentlich benannte Personen mit dokumentiertem betrieblichem Bedarf beschränkt.
• Es werden durchgängig personalisierte Benutzerkonten verwendet. Gemeinsam genutzte Zugangsdaten kommen nicht zum Einsatz.
• Mehr-Faktor-Authentifizierung wird auf allen Produktivsystemen, auf allen Konten bei Hosting- und Dienstleistungsanbietern, auf dem Konto beim Domain-Registrar und auf dem Konto der Versionsverwaltung erzwungen.
• Zugriffsrechte werden nach dem Grundsatz der geringstmöglichen Berechtigung vergeben, bei jeder personellen Veränderung überprüft und bei Beendigung der Tätigkeit einer Person unverzüglich entzogen.

6. Schutz der Daten während der Übertragung

• TLS in der Version 1.2 oder höher wird für das Kommentar- und Chat-Widget, die öffentliche API, die Administrationskonsole, die Zustellung von Webhooks und die regionsübergreifende Replikation erzwungen.
• HTTP Strict Transport Security ist aktiviert. Ein unverschlüsselter Endpunkt wird nicht angeboten.

7. Schutz der Daten während der Speicherung

• Verschlüsselung im Ruhezustand nach Ziffer 1 dieser Anlage, angewandt gleichermaßen auf Produktivsysteme, Replikate und Sicherungsmedien.
• Die Schlüssel zur Datenträgerverschlüsselung werden von WinrickLabs LLC gehalten und sind für keinen Hosting-Anbieter zugänglich.

8. Physische Sicherheit

• WinrickLabs LLC betreibt kein eigenes Rechenzentrum. Sämtliche Produktivsysteme werden in Einrichtungen betrieben, die von den in Anlage III aufgeführten Hosting-Unterauftragsverarbeitern unterhalten werden; diese stellen für die betreffenden Einrichtungen die Zutrittskontrolle, die redundante Stromversorgung, die Kühlung und die Netzanbindung bereit.
• Administratorarbeitsplätze sind durch Vollverschlüsselung der Datenträger, automatische Bildschirmsperre und Mehr-Faktor-Authentifizierung geschützt.

9. Ereignisprotokollierung

• Administrative Handlungen und Authentifizierungsereignisse werden protokolliert.
• Protokollierung, Fehlerberichterstattung und Support-Ticketing werden von WinrickLabs LLC auf eigener Infrastruktur betrieben. Kein Dienst Dritter für Protokollierung, Fehlerverfolgung, Analyse oder Support erhält personenbezogene Kundendaten.
• Ein Audit-Protokoll administrativer Handlungen steht dem Verantwortlichen in der Administrationskonsole zur Verfügung.

10. Systemkonfiguration und Governance

• Sicherheitsaktualisierungen werden risikopriorisiert eingespielt; kritische Aktualisierungen werden unverzüglich eingespielt.
• Installierte Dienste werden auf das erforderliche Mindestmaß beschränkt. Standardzugangsdaten werden nicht verwendet.
• Geheimnisse werden außerhalb der Versionsverwaltung vorgehalten.
• WinrickLabs LLC unterhält einen schriftlichen Notfallplan zur Reaktion auf Sicherheitsvorfälle, der Erkennung, Eindämmung, Bewertung, Benachrichtigung und Nachbereitung umfasst.
• Eine Kontaktstelle für Sicherheits- und Schwachstellenmeldungen ist unter privacy@fastcomments.com veröffentlicht.

11. Zertifizierung und Nachweise

WinrickLabs LLC verfügt weder über eine Zertifizierung nach SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS oder CSA STAR noch behauptet es, über eine solche zu verfügen, und sichert nicht zu, eine solche Zertifizierung zu erlangen. Jede in diesem Vertrag genannte Zertifizierung eines Unterauftragsverarbeiters wird von diesem Unterauftragsverarbeiter für dessen eigene Einrichtungen und Dienste gehalten. Zahlungskartendaten werden von WinrickLabs LLC weder gespeichert noch verarbeitet; Kartendaten werden unmittelbar von dessen Zahlungsdienst-Unterauftragsverarbeiter erhoben und verarbeitet.

12. Datenminimierung, Datenqualität und Speicherbegrenzung

• Der Dienst erfordert lediglich einen Anzeigenamen. Eine E-Mail-Adresse ist optional, und anonymes Kommentieren wird unterstützt.
• IP-Adressen werden standardmäßig nach Ziffer 1 dieser Anlage pseudonymisiert.
• Betroffene Personen und der Verantwortliche können Profildaten berichtigen sowie Inhalte über den Dienst bearbeiten oder löschen.
• Die Speicherdauer ist vom Verantwortlichen konfigurierbar. Die Löschung bei Vertragsende richtet sich nach Ziffer 12 dieses Vertrages.

13. Datenübertragbarkeit und Löschung

• Die Administrationskonsole ermöglicht den Export der für das Konto des Verantwortlichen gespeicherten Kommentar- und Nutzerdaten.
• Die Administrationskonsole und die API ermöglichen die Löschung einzelner Kommentare, einzelner Endnutzer sowie des gesamten Kontos des Verantwortlichen.

14. Maßnahmen für Übermittlungen an Unterauftragsverarbeiter

• Jeder Unterauftragsverarbeiter wird auf Grundlage eines schriftlichen Vertrages beauftragt, der ihm Datenschutzpflichten auferlegt, die den Pflichten aus diesem Vertrag inhaltlich gleichwertig sind, soweit Anlage III nichts anderes ausweist.
• Jeder Unterauftragsverarbeiter wird vor der Beauftragung bewertet; seine Rolle wird in Anlage III und auf der Unterauftragsverarbeiter-Seite dokumentiert.
• Unterauftragsverarbeiter, die für Konten der Region Europäische Union eingesetzt werden, verarbeiten diese Daten innerhalb des Europäischen Wirtschaftsraums.

Anlage III - Liste der Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Beauftragung der nachfolgend aufgeführten Unterauftragsverarbeiter. Die Unterauftragsverarbeiter-Seite ist die maßgebliche und stets aktuelle Liste und wird durch Bezugnahme in diesen Vertrag einbezogen. Die Spalte „Region" gibt an, ob der Unterauftragsverarbeiter Daten für Konten der Region Europäische Union, für Konten der globalen Region oder für beide verarbeitet.

Vertraglicher Status der Unterauftragsverarbeiter. Jeder vorstehend aufgeführte Unterauftragsverarbeiter wird auf Grundlage eines schriftlichen Vertrages beauftragt, der die Datenverarbeitungsbedingungen des jeweiligen Anbieters einbezieht, mit den beiden folgenden Ausnahmen, die hier ausgewiesen werden, damit der Verantwortliche sie bewerten kann.

Deep Infra, Inc. veröffentlicht weder einen Auftragsverarbeitungsvertrag noch Standardvertragsklauseln; zum 5. August 2026 besteht kein solcher Vertrag. WinrickLabs LLC wirkt auf dessen Abschluss hin. Dieser Unterauftragsverarbeiter wird nur eingesetzt, wenn der Verantwortliche die Funktionen automatisierte Spam-Klassifizierung, Moderation von Bildinhalten, Moderationsagent oder Assistent aktiviert. Diese Funktionen sind standardmäßig deaktiviert. Aktiviert der Verantwortliche sie nicht, werden diesem Unterauftragsverarbeiter zu keinem Zeitpunkt personenbezogene Kundendaten offengelegt. Ein Verantwortlicher, der eine Verarbeitung seiner Daten durch diesen Unterauftragsverarbeiter nicht wünscht, kann diese Funktionen deaktiviert lassen oder sie jederzeit und kostenfrei deaktivieren. Nach den veröffentlichten Bedingungen des Anbieters werden an dessen Schnittstellen übermittelte Daten weder gespeichert noch verkauft noch zum Training von Modellen verwendet. Die vom Dienst genutzten Modelle werden von diesem Anbieter auf eigener Infrastruktur betrieben; es findet keine Weiterleitung von Daten an weitere Modellanbieter statt.

BrainStorm Network, Inc. veröffentlicht keinen Auftragsverarbeitungsvertrag; zum 5. August 2026 besteht kein solcher Vertrag. WinrickLabs LLC wirkt auf dessen Abschluss hin. Dieser Unterauftragsverarbeiter betreibt Server ausschließlich in der globalen Region. Personenbezogene Kundendaten eines Kontos der Region Europäische Union werden von diesem Unterauftragsverarbeiter zu keinem Zeitpunkt verarbeitet.

Anbieter, die keine personenbezogenen Kundendaten verarbeiten. Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, verarbeitet die eigenen Abrechnungs- und Zahlungsdaten des Verantwortlichen. Dabei handelt es sich um Kontodaten im Sinne der Ziffer 3.2, hinsichtlich derer WinrickLabs LLC als eigenständig Verantwortlicher handelt; Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrages. Zahlungskartendaten werden unmittelbar von Stripe erhoben und verarbeitet und von WinrickLabs LLC nicht gespeichert.

Ohne Einschaltung Dritter betriebene Dienste. Auslieferung von Inhalten, Anwendungsprotokollierung, Fehlerberichterstattung und Support-Ticketing werden von WinrickLabs LLC auf der vorstehend aufgeführten Infrastruktur betrieben. Kein Content Delivery Network, kein Protokollierungsdienst, kein Fehlerverfolgungsdienst, kein Analysedienst und kein Support-Desk eines Dritten erhält personenbezogene Kundendaten.

Anhang 1 - UK International Data Transfer Addendum

Für Übermittlungen, die der UK-DSGVO unterliegen, wird das UK-Addendum durch Bezugnahme einbezogen; seine Tabellen sind wie folgt ausgefüllt. Soweit die zwingenden Klauseln des UK-Addendums den nach Ziffer 14.3 einbezogenen SCC widersprechen, geht das UK-Addendum für diese Übermittlungen vor.

In den SCC, soweit sie auf Übermittlungen Anwendung finden, die der UK-DSGVO unterliegen, gilt Folgendes: Bezugnahmen auf die DSGVO gelten als Bezugnahmen auf die UK-DSGVO; Bezugnahmen auf die Verordnung (EU) 2016/679 gelten als Bezugnahmen auf diese Verordnung in ihrer in das Recht des Vereinigten Königreichs überführten Fassung sowie auf den Data Protection Act 2018; Bezugnahmen auf eine Aufsichtsbehörde gelten als Bezugnahmen auf den Information Commissioner; Bezugnahmen auf einen Mitgliedstaat gelten als Bezugnahmen auf das Vereinigte Königreich; und Bezugnahmen auf den Europäischen Wirtschaftsraum gelten als Bezugnahmen auf das Vereinigte Königreich.

Anhang 2 - Schweizer Anpassungen

Unterliegt eine Übermittlung dem DSG, so gelten die SCC mit den folgenden Anpassungen.

1. Zuständige Aufsichtsbehörde nach Klausel 13 und Anlage I.C ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, soweit die Übermittlung ausschließlich dem DSG unterliegt. Unterliegt eine Übermittlung sowohl dem DSG als auch der DSGVO, so ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte für die schweizerischen Aspekte und die nach Anlage I.C bestimmte Behörde für die unionsrechtlichen Aspekte zuständig.
2. Bezugnahmen auf die DSGVO gelten als Bezugnahmen auf das DSG, soweit die Übermittlung diesem unterliegt, und Bezugnahmen auf das Recht der Europäischen Union oder eines Mitgliedstaats gelten, soweit einschlägig, als Bezugnahmen auf schweizerisches Recht.
3. Der Begriff „Mitgliedstaat" ist nicht so auszulegen, dass betroffenen Personen in der Schweiz die Möglichkeit genommen wird, nach Klausel 18 Buchstabe c an ihrem gewöhnlichen Aufenthaltsort Klage zu erheben.
4. Die SCC schützen auch die personenbezogenen Daten juristischer Personen, soweit das anwendbare schweizerische Recht dies verlangt.
5. Klausel 17 und Klausel 18 Buchstabe b gelten nach Maßgabe der in Ziffer 14.3 getroffenen Wahl, unbeschadet der Nummer 3 dieses Anhangs.