Zusatz zur Datenverarbeitung

• Anwendbares Datenschutzrecht bezeichnet alle Gesetze, die für die Verarbeitung personenbezogener Daten des Kunden im Rahmen der Vereinbarung gelten. Dazu können die DSGVO, die UK GDPR, das Schweizer Bundesgesetz über den Datenschutz und Datenschutzgesetze der US-Bundesstaaten wie der California Consumer Privacy Act gehören.
• Personenbezogene Daten des Kunden sind personenbezogene Daten in Kundeninhalten, die Zurelay im Auftrag des Kunden verarbeitet, um die Dienste bereitzustellen.
• Unterauftragsverarbeiter bezeichnet einen von Zurelay beauftragten Dritten, der personenbezogene Daten des Kunden verarbeitet, einschließlich Infrastrukturanbietern.
• Verletzung des Schutzes personenbezogener Daten bezeichnet eine Sicherheitsverletzung in Systemen unter der Kontrolle von Zurelay, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten des Kunden führt.
• SCCs bezeichnet die von der Europäischen Kommission mit dem Beschluss (EU) 2021/914 genehmigten Standardvertragsklauseln.
• Verantwortlicher, Auftragsverarbeiter, betroffene Person, personenbezogene Daten, Verarbeitung, Unternehmen und Dienstleister haben die im anwendbaren Datenschutzrecht festgelegte Bedeutung.

Für personenbezogene Daten des Kunden ist der Kunde der Verantwortliche (oder ein Auftragsverarbeiter, der für seine eigenen Kunden handelt) und Zurelay der Auftragsverarbeiter (oder Unterauftragsverarbeiter). Dieser DPA gilt nicht für personenbezogene Daten, die Zurelay als eigenständiger Verantwortlicher verarbeitet, etwa Konto-, Abrechnungs-, Support-, Sicherheits- und Website-Daten. Für diese gilt unsere Datenschutzerklärung.

3.1 Weisungen. Zurelay verarbeitet personenbezogene Daten des Kunden nur, um die Dienste gemäß der Vereinbarung, diesem DPA sowie der Nutzung und Konfiguration der Dienste durch den Kunden bereitzustellen, abzusichern und zu unterstützen. Diese bilden zusammen die vollständigen dokumentierten Weisungen des Kunden. Eine Verarbeitung erfolgt außerdem, soweit sie gesetzlich vorgeschrieben ist. Erfordert das Gesetz eine Verarbeitung über diese Weisungen hinaus, informiert Zurelay den Kunden vorab, sofern das Gesetz dies nicht verbietet.

3.2 Routing ist eine Weisung. Der Kunde weist Zurelay an, Kundeninhalte an von Zurelay ausgewählte Infrastrukturanbieter zu senden und Anfragen bei Bedarf erneut zu versuchen, anders weiterzuleiten oder auf andere Anbieter umzuschalten, um Ausgaben zu erzeugen.

3.3 Rechtswidrige Weisungen. Zurelay informiert den Kunden, wenn eine Weisung nach Ansicht von Zurelay gegen anwendbares Datenschutzrecht verstößt. Zurelay ist nicht verpflichtet, die Weisungen des Kunden rechtlich zu prüfen.

Der Kunde ist dafür verantwortlich, eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten des Kunden im Rahmen der Vereinbarung zu haben, alle erforderlichen Informationen bereitzustellen und alle erforderlichen Einwilligungen einzuholen. Der Kunde darf keine eingeschränkten Daten senden, einschließlich besonderer Kategorien personenbezogener Daten und personenbezogener Daten von Kindern, es sei denn, die Parteien haben eine separate schriftliche Vereinbarung unterzeichnet, die dies erlaubt. Der Kunde ist dafür verantwortlich, personenbezogene Daten in Eingaben auf das für seine Nutzung der Dienste erforderliche Maß zu beschränken. Er muss außerdem entscheiden, ob die Dienste für seine Daten geeignet sind. Dazu gehört auch die in Abschnitt 7 beschriebene Verarbeitung durch Infrastrukturanbieter, deren Identität Zurelay nicht offenlegt und für die eigene Bedingungen gelten.

Zurelay stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten des Kunden berechtigt sind, angemessenen Vertraulichkeitspflichten unterliegen und nur auf diese Daten zugreifen, soweit dies zur Erbringung der Dienste erforderlich ist.

Zurelay setzt die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen um und erhält sie aufrecht. Sie dienen dem Schutz personenbezogener Daten des Kunden in Systemen, die Zurelay kontrolliert. Zurelay kann diese Maßnahmen aktualisieren, solange das Schutzniveau insgesamt nicht wesentlich sinkt.

7.1 Allgemeine Genehmigung. Du erteilst Zurelay die allgemeine Genehmigung, Unterauftragsverarbeiter aus folgenden Kategorien einzusetzen: (a) Anbieter für Hosting, Datenbanken, Speicher und Netzwerke; (b) Zahlungs-, E-Mail- und Supportanbieter, soweit sie personenbezogene Daten des Kunden verarbeiten; und (c) Infrastrukturanbieter, die Modelle bereitstellen. Dazu können Modellentwickler, Cloud-Plattformen, unabhängige Wiederverkäufer und andere Anbieter von Modellkapazitäten gehören.

7.2 Identität der Infrastrukturanbieter. Die Identität der Infrastrukturanbieter von Zurelay ist vertrauliche Geschäftsinformation und wird von Zurelay nicht offengelegt. Deine Genehmigung gemäß Abschnitt 7.1 umfasst Infrastrukturanbieter nach Kategorie, ohne dass ihre Identität offengelegt wird. Auf schriftliche Anfrage stellt Zurelay dir eine Liste seiner anderen aktuellen Unterauftragsverarbeiter zur Verfügung. Dabei gelten deine Vertraulichkeitspflichten aus dem Vertrag. Wenn du aufgrund gesetzlicher Pflichten die Identität jedes Unterauftragsverarbeiters kennen musst, bevor personenbezogene Daten an ihn übermittelt werden, darfst du solche Daten nicht in Kundeninhalte aufnehmen.

7.3 Änderungen. Um die Verfügbarkeit der Dienste zu gewährleisten, kann Zurelay Infrastrukturanbieter jederzeit hinzufügen, entfernen und ersetzen. Über jede neue Kategorie von Unterauftragsverarbeitern informiert Zurelay dich durch eine Aktualisierung dieser DPA. Wenn du aus berechtigten Datenschutzgründen widersprichst, erörtern die Parteien den Einwand nach Treu und Glauben. Lässt er sich nicht ausräumen, besteht dein einziger Rechtsbehelf darin, die Nutzung der betroffenen Dienste einzustellen und den Vertrag zu kündigen.

7.4 Bedingungen für Unterauftragsverarbeiter. Soweit Zurelay die Bedingungen eines Unterauftragsverarbeiters aushandeln kann, verpflichtet Zurelay ihn zu Datenschutzpflichten, die inhaltlich mindestens so weitreichend sind wie die dieser DPA, soweit sie für die von ihm erbrachten Leistungen relevant sind. Manche Infrastrukturanbieter stellen ihre Dienste nur zu ihren Standardbedingungen bereit. Du erkennst an, dass bei diesen Anbietern ihre Standardbedingungen für die Verarbeitung von Kundeninhalten gelten und Zurelay möglicherweise keine zusätzlichen Zusagen von ihnen erhalten kann.

7.5 Verantwortung. Zurelay bleibt für seine Unterauftragsverarbeiter verantwortlich, soweit das geltende Datenschutzrecht dies verlangt. Dabei gelten die Haftungsbeschränkungen des Vertrags.

Unter Berücksichtigung der Art der Verarbeitung unterstützt Zurelay dich in angemessenem Umfang dabei, auf Anfragen betroffener Personen zur Ausübung ihrer Rechte zu reagieren. Erhält Zurelay eine solche Anfrage zu personenbezogenen Daten des Kunden, verweist Zurelay die anfragende Person an dich, sofern Zurelay dich zuordnen kann. Zurelay beantwortet die Anfrage nicht selbst, außer um den Verweis zu bestätigen oder soweit gesetzlich vorgeschrieben. Du trägst die angemessenen Kosten von Zurelay für Unterstützung, die über die Funktionen der Dienste hinausgeht.

Zurelay benachrichtigt dich unverzüglich, nachdem Zurelay von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, und stellt dir die Zurelay nach vernünftigem Ermessen verfügbaren Informationen zur Verfügung, die du zur Erfüllung deiner eigenen Meldepflichten benötigst. Zurelay ergreift angemessene Maßnahmen, um den Vorfall einzudämmen und zu untersuchen. Die Benachrichtigung stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar. Du bist dafür verantwortlich, Aufsichtsbehörden und betroffene Personen zu benachrichtigen, soweit dies erforderlich ist. Informiert ein Infrastrukturanbieter Zurelay über einen Sicherheitsvorfall, der personenbezogene Daten des Kunden betrifft, leitet Zurelay die erhaltenen relevanten Informationen an dich weiter.

10.1 Unterstützung. Unter Berücksichtigung der Art der Verarbeitung und der Zurelay verfügbaren Informationen unterstützt Zurelay dich in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden, soweit das geltende Datenschutzrecht diese vorschreibt. Geht die Unterstützung über einen geringfügigen Umfang hinaus, trägst du die Kosten.

10.2 Informationen. Auf schriftliche Anfrage beantwortet Zurelay höchstens einmal innerhalb eines Zeitraums von 12 Monaten einen angemessenen Fragebogen zu Sicherheit und Datenschutz schriftlich und stellt weitere Informationen bereit, die nach vernünftigem Ermessen erforderlich sind, um die Einhaltung dieser DPA nachzuweisen.

10.3 Audits. Wenn das anwendbare Datenschutzrecht ein Audit verlangt, das über die bereitgestellten Informationen hinausgeht, kann der Kunde auf eigene Kosten höchstens einmal innerhalb von 12 Monaten ein Audit durchführen. Dafür muss er es mindestens 30 Tage vorher schriftlich ankündigen. Das Audit findet während der üblichen Geschäftszeiten, unter angemessenen Vertraulichkeitsverpflichtungen und durch einen Prüfer statt, der nicht mit Zurelay im Wettbewerb steht. Audits gewähren keinen Zugang zu Daten anderer Kunden, zu Systemen von Infrastrukturanbietern oder zur Identität von Infrastrukturanbietern, es sei denn, ein für Zurelay zuständiges Gericht oder eine zuständige Aufsichtsbehörde verlangt dies.

Zurelay speichert die Inhalte von Chat- und Textanfragen, die über die API gesendet werden, nach deren Bearbeitung nicht. Playground-Chats bleiben für die Person, die sie geführt hat, erhalten, bis sie sie löscht (die neuesten 300 pro Workspace), ohne angehängte Dateien. Im Playground hinzugefügte Bilder bleiben für den Workspace erhalten und werden nach 30 Tagen gelöscht. Generierte Bilder und Videos, ihre Prompts und Referenzbilder sowie Fehlerdetails fehlgeschlagener Versuche werden nach 30 Tagen gelöscht. Innerhalb von 90 Tagen nach Ende der Vereinbarung löscht Zurelay alle verbleibenden personenbezogenen Kundendaten in Systemen, die Zurelay kontrolliert. Ausgenommen sind Kopien, die Zurelay gesetzlich aufbewahren muss, sowie Kopien in Backups, die nach dem regulären Zeitplan gelöscht werden. Für personenbezogene Kundendaten, die von Infrastrukturanbietern verarbeitet werden, gelten deren eigene Aufbewahrungsbedingungen.

12.1 Genehmigung. Der Kunde gestattet Zurelay und seinen Unterauftragsverarbeitern, personenbezogene Kundendaten in die Vereinigten Staaten und in andere Länder zu übermitteln und dort zu verarbeiten, in denen sie tätig sind.

12.2 Europäische Datenübermittlungen. Soweit personenbezogene Kundendaten der DSGVO unterliegen und in ein Land ohne Angemessenheitsbeschluss übermittelt werden, werden die SCCs wie folgt in diesen DPA einbezogen: Modul Zwei gilt, wenn der Kunde Verantwortlicher ist, und Modul Drei, wenn der Kunde Auftragsverarbeiter ist; die optionale Beitrittsklausel in Klausel 7 gilt; in Klausel 9 gilt Option 2 mit der in Abschnitt 7.3 beschriebenen Mitteilung; die optionale Formulierung in Klausel 11 gilt nicht; gemäß Klausel 17 unterliegen die SCCs dem Recht Irlands; und gemäß Klausel 18 sind die Gerichte Irlands zuständig. Die Anhänge I und II dieses DPA ergänzen die entsprechenden Anhänge der SCCs.

12.3 Vereinigtes Königreich und Schweiz. Für personenbezogene Daten, die der UK GDPR unterliegen, gelten die SCCs in der durch das vom UK Information Commissioner herausgegebene International Data Transfer Addendum geänderten Fassung. Für personenbezogene Daten, die schweizerischem Recht unterliegen, gelten die SCCs mit an das Schweizer Bundesgesetz über den Datenschutz angepassten Verweisen; zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

12.4 Vorrang. Wenn die SCCs diesem DPA widersprechen, haben die SCCs im Umfang des Widerspruchs Vorrang.

Soweit Datenschutzgesetze der US-Bundesstaaten gelten, ist Zurelay für personenbezogene Kundendaten Dienstleister oder Auftragsverarbeiter des Kunden. Zurelay wird personenbezogene Kundendaten weder verkaufen noch weitergeben; sie weder für andere als die in der Vereinbarung festgelegten Geschäftszwecke noch außerhalb der direkten Geschäftsbeziehung zwischen Zurelay und dem Kunden aufbewahren, nutzen oder offenlegen; und sie nicht mit personenbezogenen Daten aus anderen Quellen zusammenführen, sofern diese Gesetze dies nicht gestatten. Zurelay wird die geltenden Pflichten nach diesen Gesetzen erfüllen, den Kunden benachrichtigen, wenn Zurelay sie nicht mehr erfüllen kann, und dem Kunden das Recht einräumen, angemessene Maßnahmen zu ergreifen, um eine unbefugte Nutzung personenbezogener Kundendaten zu unterbinden und zu beheben.

Beim Schutz personenbezogener Kundendaten hat dieser DPA Vorrang vor den Nutzungsbedingungen. Im Übrigen gelten die Nutzungsbedingungen einschließlich ihrer Haftungsbeschränkungen, der Rechtswahl und der Streitbeilegung, soweit das anwendbare Datenschutzrecht oder die SCCs nichts anderes verlangen. Zurelay kann diesen DPA aktualisieren, um Änderungen der Rechtslage, der Dienste oder seiner Unterauftragsverarbeiter zu berücksichtigen, und wird den Kunden über wesentliche Änderungen informieren. Dieser DPA endet mit der Vereinbarung, mit Ausnahme von Pflichten, die ihrer Natur nach fortbestehen.

• Verschlüsselung: TLS für Daten bei der Übertragung zu und von den Diensten; Verschlüsselung gespeicherter Daten durch die Hosting-Anbieter von Zurelay.
• Zugangsdaten: API-Schlüssel werden ausschließlich als Einweg-Hashes gespeichert; Anmeldung mit Einmalcodes; Workspace-Rollen steuern, wer Schlüssel und Abrechnung verwalten kann.
• Zugriffskontrolle: Zugriff auf Produktivsysteme und Daten ist auf Personal beschränkt, das ihn benötigt.
• Datenminimierung: Chat- und Textinhalte, die über die API gesendet werden, werden im Arbeitsspeicher verarbeitet und nicht gespeichert; Playground-Chats bleiben nur für die Person erhalten, die sie geführt hat, ohne angehängte Dateien; im Playground hinzugefügte Bilder werden nach 30 Tagen gelöscht; generierte Dateien, ihre Prompts und Fehlerdetails werden nach 30 Tagen gelöscht; Kennungen von Endnutzern des Kunden werden aus Anfragen entfernt, bevor diese an Infrastrukturanbieter gesendet werden.
• Überwachung: Die Verfügbarkeit und das Verhalten der Dienste und Infrastrukturanbieter werden laufend überwacht. Vorfälle werden dokumentiert und untersucht.
• Ausfallsicherheit: Automatische Wiederholungsversuche und Wechsel zwischen Infrastrukturanbietern bei Ausfällen.
• Reaktion auf Sicherheitsvorfälle: Verletzungen des Schutzes personenbezogener Daten werden wie in Abschnitt 9 beschrieben untersucht und eingedämmt. Betroffene Kunden werden benachrichtigt.
• Prüfung von Anbietern: Zurelay prüft Infrastrukturanbieter vor und während ihrer Nutzung – zum Beispiel, ob und wie zuverlässig sie das angeforderte Modell bereitstellen. Anbieter, die Zurelays Prüfungen nicht bestehen, werden entfernt. Diese Prüfungen betreffen die Qualität des Dienstes, nicht die Sicherheit der Infrastrukturanbieter. Für diese sind sie nach ihren eigenen Bedingungen selbst verantwortlich.