Auftragsverarbeitungsvereinbarung

Diese Auftragsverarbeitungsvereinbarung ("AVV") wird zwischen Die im Zustimmungsnachweis bezeichnete Organisation, die im Zustimmungsnachweis bezeichnete Anschrift ("Verantwortlicher"), und der Limetree Legal UG (haftungsbeschränkt), Mühlenkamp 31, 22301 Hamburg ("Auftragsverarbeiter"), geschlossen. Sie ist Bestandteil des Vertrags, auf dessen Grundlage der Auftragsverarbeiter Limetree Legal-Dienste für den Verantwortlichen erbringt ("Hauptvertrag").

1. Geltungsbereich und Rangfolge

Diese AVV gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen im Sinne von Art. 28 DSGVO verarbeitet. Widerspricht diese AVV dem Hauptvertrag hinsichtlich der Verarbeitung personenbezogener Daten, geht diese AVV vor. Zwingendes Datenschutzrecht geht beiden vor.

Der Verantwortliche bleibt für die Festlegung von Zwecken und wesentlichen Mitteln sowie für Rechtmäßigkeit, Transparenz, Richtigkeit und Betroffeneninformationen seiner Verarbeitung verantwortlich.

2. Einzelheiten der Verarbeitung

Gegenstand, Dauer, Art, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und den zur Rückgabe oder Löschung erforderlichen Zeitraum an, soweit keine gesetzliche Pflicht zur weiteren Verarbeitung besteht.

3. Dokumentierte Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich insbesondere aus Hauptvertrag, dieser AVV, Nutzung und Konfiguration des Dienstes sowie autorisierten Supportanfragen. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen, soweit dies rechtlich zulässig ist, und darf die betroffene Verarbeitung bis zur Klärung aussetzen.

Verlangt Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung außerhalb der Weisungen, informiert der Auftragsverarbeiter den Verantwortlichen vorab, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

4. Vertraulichkeit und Personal

Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen der Vertraulichkeit oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im für ihre Aufgaben erforderlichen Umfang Zugriff erhalten. Für relevante Personen werden angemessene Datenschutz- und Sicherheitsmaßnahmen zur Sensibilisierung unterhalten.

4a. Anwaltliche Berufsgeheimnisse und weitere mitwirkende Personen

Limetree Legal verpflichtet sich gegenüber dem Auftraggeber zur Verschwiegenheit über sämtliche im Rahmen der Leistung bekannt werdenden Mandatsinformationen und sonstigen Berufsgeheimnisse. Diese Pflicht gilt unabhängig vom Personenbezug und über das Vertragsende hinaus. Kenntnis darf ausschließlich in dem Umfang genommen werden, der zur Erfüllung des Vertrags erforderlich ist. Gesetzlich zwingende Offenlegungen bleiben vorbehalten; soweit rechtlich zulässig, wird der Auftraggeber vorab informiert und die Offenlegung auf das rechtlich Erforderliche beschränkt.

Die Parteien halten ausdrücklich die Belehrung fest, dass die unbefugte Offenbarung eines bei der Mitwirkung an anwaltlicher Tätigkeit bekannt gewordenen fremden Geheimnisses nach § 203 Abs. 4 StGB mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe und in den Fällen des § 203 Abs. 6 StGB mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe geahndet werden kann. Auch die dort geregelte unterlassene Verpflichtung weiterer mitwirkender Personen kann strafbar sein.

Limetree Legal darf geeignete Beschäftigte und die nach Abschnitt 6 genehmigten Dienstleister zur Vertragserfüllung heranziehen. Vor einem möglichen Zugang zu Berufsgeheimnissen verpflichtet Limetree Legal diese Personen in Textform zur Verschwiegenheit, belehrt sie über die strafrechtlichen Folgen und beschränkt ihren Zugang auf das Erforderliche. Entsprechende Pflichten sind bei weiterer Beauftragung in der gesamten Leistungskette weiterzugeben. Eine datenschutzrechtliche Vereinbarung allein ersetzt diese berufsrechtliche Verpflichtung nicht.

Bei im Ausland erbrachten Leistungen mit möglichem Zugang zu Berufsgeheimnissen stellt Limetree Legal dem Auftraggeber die für die Prüfung eines vergleichbaren Geheimnisschutzes nach § 43e Abs. 4 BRAO erforderlichen Informationen bereit. Die datenschutzrechtliche Zulässigkeit eines Transfers ersetzt diese Prüfung nicht. Soweit eine Leistung unmittelbar einem einzelnen Mandat dient, bleibt eine nach § 43e Abs. 5 BRAO erforderliche Einwilligung des Mandanten Aufgabe des Auftraggebers. Diese AVV enthält keine pauschale Erklärung einer solchen Einwilligung.

4b. KI-gestützte Verarbeitung

KI-Verarbeitung erfolgt nur zur Erbringung der beauftragten Funktion und im Umfang der dokumentierten Weisungen. Limetree Legal verwendet Mandatsinhalte nicht für eigene allgemeine Modelltrainings und gestattet eingesetzten Anbietern keine solche Nutzung. Die zugelassenen Empfänger, Zwecke und Übermittlungsbedingungen ergeben sich aus Anlage 3. Eine Erweiterung um weitere Empfänger unterliegt Abschnitt 6. Der Auftraggeber bleibt für die fachliche Prüfung der Ergebnisse verantwortlich.

5. Sicherheit

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung setzt der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO um. Die geltenden Maßnahmen sind in dem als Anlage 2 einbezogenen Dokument zu den technischen und organisatorischen Maßnahmen beschrieben.

Einzelne Maßnahmen dürfen aktualisiert werden, sofern das Gesamtschutzniveau nicht wesentlich verringert wird. Wesentliche Verringerungen bedürfen der vorherigen Zustimmung des Verantwortlichen, soweit gesetzlich erforderlich.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zum Einsatz der in der aktuellen Liste der Unterauftragsverarbeiter genannten Anbieter. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter zu Datenschutzpflichten mit im Wesentlichen gleichwertigem Schutz für die jeweilige Verarbeitung und bleibt nach Maßgabe von Art. 28 DSGVO für deren Leistung verantwortlich.

Eine beabsichtigte Hinzuziehung oder Ersetzung wird mindestens 30 Kalendertage vor der Änderung mitgeteilt. Der Verantwortliche kann innerhalb von 14 Kalendertagen nach Zugang der Mitteilung aus angemessenen Datenschutzgründen widersprechen. Die Parteien bemühen sich nach Treu und Glauben um eine Lösung. Ist keine angemessene Lösung möglich, kann der Verantwortliche den von der Änderung betroffenen Dienst mit einer Frist von 30 Tagen zum Monatsende außerordentlich kündigen; die Kündigung berührt den Hauptvertrag im Übrigen nicht.

7. Internationale Übermittlungen

Der Auftragsverarbeiter übermittelt personenbezogene Daten nur auf dokumentierte Weisung und auf Grundlage eines rechtmäßigen Übermittlungsmechanismus an ein Drittland oder eine internationale Organisation. Soweit Standardvertragsklauseln verwendet werden, stellt er die anwendbaren Module, ergänzenden Maßnahmen und Transferprüfungen im gesetzlich erforderlichen Umfang bereit. Der Auftragsverarbeiter benennt dem Verantwortlichen auf Anfrage die Drittländer, in die personenbezogene Daten im Rahmen des Dienstes tatsächlich übermittelt werden, sowie den jeweils genutzten Übermittlungsmechanismus (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln nebst genutztem Modul und ergänzenden Maßnahmen).

8. Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen bei:

• der Beantwortung von Anträgen zur Ausübung von Betroffenenrechten;
• der Einhaltung der Sicherheitspflichten nach Art. 32 bis 34 DSGVO;
• Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO; und
• Informationen, die zum Nachweis der Einhaltung von Art. 28 DSGVO angemessen erforderlich sind.

Wendet sich eine betroffene Person oder Aufsichtsbehörde unmittelbar wegen Daten des Verantwortlichen an den Auftragsverarbeiter, verweist dieser die Anfrage an den Verantwortlichen, sofern er nicht gesetzlich zu einer Antwort verpflichtet ist, und antwortet ohne Autorisierung nicht inhaltlich.

Gesetzlich geschuldete Unterstützung wird nicht von einer zusätzlichen Vergütung abhängig gemacht. Zusätzliche, darüber hinausgehende Leistungen können nach vorheriger Vereinbarung vergütet werden. Datenschutzanfragen und Weisungen sind an support@limetreelegal.de zu richten.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt wurde. Die Mitteilung enthält die verfügbaren Angaben für Prüfung und Meldepflichten, insbesondere Art der Verletzung, wahrscheinliche Folgen, betroffene Daten und Personen sowie ergriffene oder vorgeschlagene Maßnahmen. Noch nicht gleichzeitig verfügbare Angaben können schrittweise bereitgestellt werden.

Mitteilungen erfolgen an die für die Organisation hinterlegte Kontaktadresse. Der Verantwortliche hält diese aktuell. Datenschutz- und Sicherheitsanfragen an Limetree Legal sind an support@limetreelegal.de zu richten; bei vertraulichen Inhalten stimmen die Parteien einen geeigneten geschützten Übermittlungsweg ab.

10. Kontrollen und Nachweise

Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung dieser AVV erforderlichen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten unabhängigen Prüfer. Kontrollen müssen Vertraulichkeit, Sicherheit, andere Kunden und Betriebskontinuität wahren und sollen grundsätzlich zuerst aktuelle Zertifizierungen, unabhängige Berichte, Fragebögen und Remote-Nachweise nutzen.

Kontrollen werden grundsätzlich mit angemessener Frist angekündigt und während üblicher Geschäftszeiten durchgeführt. Dringliche Kontrollen, gesetzliche Rechte sowie Befugnisse von Aufsichtsbehörden bleiben uneingeschränkt. Beauftragte Prüfer sind zur Vertraulichkeit zu verpflichten.

11. Rückgabe und Löschung

Nach Wahl des Verantwortlichen und vorbehaltlich des Hauptvertrags gibt der Auftragsverarbeiter personenbezogene Daten nach Ende der Dienste zurück oder löscht sie einschließlich vorhandener Kopien, sofern keine unions- oder mitgliedstaatliche Speicherungspflicht besteht. Daten in Backups werden von der gewöhnlichen Nutzung isoliert und im Rahmen dokumentierter Backup-Löschzyklen gelöscht.

Der Verantwortliche teilt seine Wahl zwischen Rückgabe und Löschung in Textform mit. Limetree Legal ermöglicht die Rückgabe in einem gängigen elektronischen Format und führt die vereinbarte Löschung einschließlich vorhandener Kopien ohne unangemessene Verzögerung durch. Für technisch nicht sofort einzeln löschbare Sicherungskopien wird der konkrete Löschzeitpunkt mitgeteilt; bis dahin werden sie gesperrt und ausschließlich zur Wiederherstellung genutzt. Bei einer Wiederherstellung sind zuvor erteilte Löschweisungen erneut umzusetzen. Gesetzlich aufzubewahrende Daten werden zweckgebunden getrennt aufbewahrt und nach Fristablauf gelöscht. Auf Verlangen wird die Löschung in Textform bestätigt.

12. Haftung und Laufzeit

Diese AVV gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet. Die Haftung richtet sich im rechtlich zulässigen Umfang nach dem Hauptvertrag, ohne zwingende Rechte oder Haftung nach der DSGVO einzuschränken.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand und Zweck

Bereitstellung, Absicherung, Support und Wartung von Limetree Legal für Markenrecherche, Anmeldevorbereitung, Portfolioverwaltung, Fristen, Register- und digitales Monitoring, Nachweis- und Dokumentenverwaltung sowie autorisierte KI-gestützte Auswertung. Dazu gehören Nutzer- und Rechteverwaltung, Speicherung, Import, Export, Benachrichtigungen und Support.

Art der Verarbeitung

Erheben, Empfangen, Zugriff, Ordnen, Strukturieren, Speichern, Anpassen, Auslesen, Abfragen, Abgleichen, Berechnen, Übermitteln an autorisierte Empfänger, Einschränken, Exportieren und Löschen nach Konfiguration oder Weisung.

Dauer

Für die Laufzeit des Hauptvertrags zuzüglich vereinbarter Rückgabe- und Löschzeiträume sowie zwingender gesetzlicher Aufbewahrung.

Kategorien betroffener Personen

• Nutzer, Beschäftigte, Auftragnehmer und Berater des Verantwortlichen;
• Kunden, Lieferanten und Geschäftskontakte des Verantwortlichen;
• Mandanten, Markeninhaber, Vertreter, Ansprechpartner, Verfahrensbeteiligte und in Register- oder Recherchedaten genannte Personen; und
• sonstige Personen, deren Daten der Verantwortliche rechtmäßig an den Dienst übermittelt.

Kategorien personenbezogener Daten

• Identitäts-, Konto-, Rollen- und Kontaktdaten;
• Organisations-, Vertrags-, Abrechnungs- und Supportdaten;
• Marken-, Akten-, Register-, Anmelde-, Fristen-, Monitoring- und Benutzungsnachweisdaten;
• Integrationskennungen, Autorisierungsmetadaten, Synchronisierungsstatus und Protokolle;
• Dokumente, Exporte, Kommunikation und hochgeladene Dateien; und
• Geräte-, IP-, Audit-, Diagnose- und Sicherheitsdaten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht für die gewöhnlichen Marken-Workflows vorgesehen. Ihre gezielte Verarbeitung bedarf einer gesonderten Vereinbarung über Zweck, Rechtsgrundlage und Schutzmaßnahmen. Die Schutzpflichten dieser AVV gelten auch für unbeabsichtigt übermittelte Daten; der Verantwortliche ist hierüber zu informieren und die weitere Behandlung abzustimmen.

Weisungen des Verantwortlichen

Hauptvertrag, diese AVV, Einstellungen und Handlungen autorisierter Nutzer, dokumentierte Supportanfragen und weitere zwischen den Parteien vereinbarte rechtmäßige schriftliche Weisungen.

Anlage 2 — Technische und organisatorische Maßnahmen

Die im Vertrag oder Zustimmungsnachweis bezeichnete Version des Dokuments zu technischen und organisatorischen Maßnahmen bildet Anlage 2. Unter der stabilen URL https://www.limetreelegal.de/legal/technical-organizational-measures wird die jeweils aktuelle freigegebene Version angezeigt; für die einbezogene Fassung sind die protokollierte Version und der unveränderliche Zustimmungsnachweis maßgeblich.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Die im Vertrag oder Zustimmungsnachweis bezeichnete Version der Liste der Unterauftragsverarbeiter bildet Anlage 3. Unter der stabilen URL https://www.limetreelegal.de/legal/subprocessors wird die jeweils aktuelle freigegebene Version angezeigt. Spätere Änderungen richten sich nach Abschnitt 6 und verändern nicht den Nachweis darüber, welche Version angenommen wurde.