Auftragsverbeitungsvertrag (DPA)

Falls Behaviorquant in Ihrem Auftrag Daten verarbeitet, geschieht das auf Basis des untenstehenden Auftragsverarbeitungsvertrags, dessen Geltung Sie mit Annahme der Behaviorquant Nutzungsbedingungen akzeptiert haben.

Letzte Änderung: 28. August 2022

1. Präambel
1.1. Behaviorquant als Auftragsverarbeiter (im Folgenden „Auftragsverarbeiter“) hat sich verpflichtet, die nachstehend beschriebenen Datenverarbeitungen gegenüber dem Verantwortlichen zu erbringen. Dieser Vertrag ist als Ergänzung der Behaviorquant Nutzungsbedingungen zu verstehen und konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus den bestehenden Behaviorquant Nutzungsbedingungen zu in ihren Einzelheiten beschriebenen Auftragsverarbeitungen ergeben. Für die Zwecke dieses Vertrages gelten die Begriffsdefinitionen der Datenschutzgrundverordnung (Verordnung (EU) 2016/679).

2. Vertragsgegenstand
2.1. Gegenstand der Leistungserbringung durch den Auftragsverarbeiter für den Verantwortlichen ist die Verwendung von Daten des Verantwortlichen zur Nutzung der vom Auftragsverarbeiter zur Verfügung gestellten BQ-Software. Die Software ermöglicht eine objektive behaviorale (=verhaltensorientierte) Analyse von Entscheidern im Finanz- und Investmentbereich. Diese generiert algorithmisch und auf Grundlage eines automatisierten Dialogs aus wissenschaftsbasierten Stimuli (z.B. Fragen, Aufgaben und Szenarios) Merkmalsprofile und Verhaltensvorhersagen der User sowie Empfehlungen zur Entscheidungsunterstützung und Verhaltensoptimierung. Dabei beschränken sich Umfang, Art und Zweck der Datenverarbeitung auf die Nutzung der unter Punkt 2.2. aufgezählten Datenkategorien. Besondere Kategorien von Daten gemäß Artikel 9 und 10 DSGVO dürfen nur nach schriftlicher Zustimmung des Verantwortlichen in den Systemen des Auftragsverarbeiters verarbeitet werden.

2.2. Folgende Datenkategorien werden verarbeitet:
Vorname, Nachname, E-Mail Adresse, Risikoeinstellungen, Wahrnehmungen und Einstellungen zu Markt- und Investitionsfragen, Persönlichkeit, Interessen und Werte, Entscheidungs- und Informationsverarbeitungsstil, Verhalten in Investmentsimulationen und Höhe fiktiver Investments, Behaviorale und kognitive Informationsverarbeitung und -verzerrungen (Biase), Sentiment- und Risikoeinschätzungen über den Geld- und Finanzmarkt, Beantwortungsverhalten, Soziodemografische und firmographische Merkmale zu Geschlecht, Alter, Bildungs- und Berufsstand, beruflicher Position, Dauer der Berufserfahrung, Berufsland, Unternehmenstyp und –größe.

2.3. Folgende Kategorien betroffener Personen werden der Verarbeitung unterliegen:
Kunden, Mitarbeiter, Mitarbeiter von Investmenttargets.

2.4. Die Verarbeitung der Daten durch den Auftragsverarbeiter findet grundsätzlich innerhalb der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Es ist dem Auftragsverarbeiter gleichwohl gestattet, Daten unter Einhaltung der Bestimmungen dieses Vertrags auch außerhalb des EWR zu verarbeiten, wenn er den Verantwortlichen vorab über den Ort der Datenverarbeitung informiert und die Voraussetzungen der Art. 44 - 48 DSGVO erfüllt sind oder eine Ausnahme nach Art. 49 DSGVO vorliegt. Der Verantwortliche nimmt zur Kenntnis, dass der Auftragsverarbeiter mit Sub-Auftragsverarbeitern auch eine Verarbeitung außerhalb des EWR vereinbaren darf, sofern diese unter den Voraussetzungen der Art. 44 - 48 DSGVO erfolgt oder eine Ausnahme nach Art. 49 DSGVO vorliegt.

3. Dauer des Vertrages
3.1. Die Laufzeit dieses Vertrages richtet sich nach und entspricht der Laufzeit des jeweils bestehenden Hauptvertrages, sofern sich aus den Bestimmungen dieses Vertrages nicht darüber hinausgehende Verpflichtungen ergeben.

4. Pflichten des Auftragsverarbeiters
4.1. Weisungsrecht
Der Auftragsverarbeiter hat keine eigenverantwortliche Entscheidung über die Art der Verwendung von Daten des Verantwortlichen zu treffen. Der Auftragsverarbeiter hat Daten und Verarbeitungsergebnisse ausschließlich im Rahmen des Auftrags des Verantwortlichen und auf dokumentierte schriftliche Weisung hin zu verwenden und ausschließlich dem Verantwortlichen zu retournieren bzw. Übermittlungen nur nach dessen schriftlichem Auftrag durchzuführen. Verstößt eine schriftliche Weisung des Verantwortlichen nach Ansicht des Auftragsverarbeiters gegen Datenschutzrecht, hat der Auftragsverarbeiter seiner gesetzlichen Verpflichtung zur Warnung des Verantwortlichen nachzukommen. Zur Verwendung überlassener Daten für eigene Zwecke des Verantwortlichen muss der Verantwortliche einen schriftlichen Auftrag erteilt haben (Vgl. Punkt 4.10.).

4.2. Behördlicher Auftrag
Wird der Auftragsverarbeiter auf Grund eines behördlichen Auftrags aufgefordert, Daten des Verantwortlichen herauszugeben, so hat er – sofern gesetzlich zulässig – den Verantwortlichen unverzüglich darüber zu informieren und die Behörden an diesen zu verweisen.

4.3. Vertraulichkeit
Der Auftragsverarbeiter erklärt, dass alle mit der Datenverarbeitung beauftragten Personen zur Wahrung des Datengeheimnisses und zur Vertraulichkeit verpflichtet wurden oder diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen. Insbesondere bleibt die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung beauftragten Person auch nach Beendigung ihrer Tätigkeit und Ausscheiden beim Auftragsverarbeiter aufrecht.
Die Verschwiegenheitsverpflichtung gilt auch für juristische Personen und Personengesellschaften.

4.4. Datensicherheit
Der Auftragsverarbeiter hat ausreichende Sicherheitsmaßnahmen gemäß Art 28 Abs 3 lit c und Art 32 DSGVO insbesondere in Verbindung mit Art 5 Abs 1 DSGVO zu ergreifen, um zu verhindern, dass Daten ordnungswidrig verwendet oder Dritten unbefugt zugänglich gemacht werden. Bei den zu treffenden Maßnahmen handelt es sich um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung zu berücksichtigen. Der Auftragsverarbeiter hat alle erforderlichen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art 32 Abs 1 DSGVO zu ergreifen. Grundsätzlich vom Auftragsverarbeiter zu ergreifende technische und organisatorische Maßnahmen sind in Annex 1beispielsweise angeführt.

4.5. Betroffenenrechte
Der Auftragsverarbeiter hat die technischen und organisatorischen Maßnahmen zu implementieren, damit der Verantwortliche die Rechte der betroffenen Personen nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Frist jederzeit erfüllen kann und überlässt dem Verantwortlichen alle dafür notwendigen Informationen. Wird ein entsprechender Antrag an den Auftragsverarbeiter gerichtet und lässt dieser erkennen, dass der Antragsteller ihn irrtümlich für den Verantwortlichen der von ihm betriebenen Datenanwendung hält, hat der Auftragsverarbeiter den Antrag unverzüglich an den Verantwortlichen weiterzuleiten und dies dem Antragsteller mitzuteilen.

4.6. Überprüfung
Der Verantwortliche hat das Recht zur jederzeitigen Einsichtnahme und Kontrolle, sei es auch durch von ihm beauftragte Dritte, hinsichtlich der Verarbeitung der von ihm überlassenen Daten. Dies umfasst auch das Recht des Verantwortlichen, Inspektionen (von diesem selbst oder einem von ihm beauftragten Prüfer) in den Räumlichkeiten des Auftragsverarbeiters durchzuführen. Der Auftragsverarbeiter hat dem Verantwortlichen jegliche Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung dieses Vertrages notwendig sind.

4.7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische oder organisatorische Maßnahmen bei der Einhaltung der in Art 32 bis 36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgeabschätzung, vorherige Konsultation).

4.8. Datenschutz-Folgeabschätzung
Insbesondere unterstützt der Auftragsverarbeiter auf Anfrage des Verantwortlichen, diesen bei der Sicherstellung der Einhaltung aller Pflichten des Verantwortlichen in Bezug auf Datenschutz-Folgeabschätzungen und die vorherige Konsultation, einschließlich der Pflichten des Verantwortlichen gemäß Art 35 und 36 DSGVO, sofern der Verantwortliche anderweitig keinen Zugang zu den maßgeblichen Informationen hat und solche Informationen dem Auftragsverarbeiter vorliegen. Der Auftragsverarbeiter bietet dem Verantwortlichen angemessene Unterstützung bei der Zusammenarbeit mit der Aufsichtsbehörde bei der Erfüllung deren Aufgaben an.

4.9. Verarbeitungsverzeichnis
Der Auftragsverarbeiter wird für die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art 30 DSGVO führen.

4.10. Rückgabe personenbezogener Daten
Der Auftragsverarbeiter ist binnen drei Monaten nach Beendigung dieses Vertrages verpflichtet, alle Verarbeitungsergebnisse und Unterlagen, die Daten enthalten, dem Verantwortlichen entweder zu übergeben oder in dessen Auftrag zu vernichten. Das dahingehende Wahlrecht obliegt dem Verantwortlichen. Wenn der Auftragsverarbeiter die Daten in einem speziellen technischen Format verarbeitet, ist der Auftragsverarbeiter verpflichtet, die Daten nach Beendigung dieser Vereinbarung entweder in diesem Format oder nach Wunsch des Verantwortlichen in dem Format, in dem er die Daten vom Verantwortlichen erhalten hat oder in einem anderen, gängigen Format herauszugeben. Ausgenommen sind nur jene personenbezogenen Daten die nach Unionsrecht oder Gesetz eine Verpflichtung zur Speicherung personenbezogener Daten vorsehen.
Der Auftragsverarbeiter ist berechtigt, auch nach Beendigung des Vertrages, die Daten in anonymisierter Form für künftige Produktentwicklungen und Produktweiterentwicklungen sowie für die Verbesserung der Algorithmen und Machine-Learning-Prozesse weiterzuverarbeiten. Sämtliche Daten der Nutzer werden im Falle einer Weiterverarbeitung durch den Auftragsverarbeiter von diesem soweit anonymisiert, dass diese weder dem Verantwortlichen noch den Nutzern zugeordnet werden können.

5. Sub-Auftragsverarbeiter
5.1. Der Verantwortliche genehmigt hiermit in allgemeiner Weise die Inanspruchnahme von Sub-Auftragsverarbeitern durch den Auftragsverarbeiter. Die gegenwärtig vom Auftragsverarbeiter eingesetzten weiteren Auftragsverarbeiter sind genannt in Annex 2. Generell nicht genehmigungspflichtig sind Vertragsverhältnisse mit Dienstleistern, die die Prüfung oder Wartung von Datenverarbeitungsverfahren oder -anlagen durch andere Stellen oder andere Nebenleistungen zum Gegenstand haben, auch wenn dabei ein Zugriff auf Daten nicht ausgeschlossen werden kann, solange der Auftragsverarbeiter angemessene Regelungen zum Schutz der Vertraulichkeit der Daten trifft.

5.2. Der Auftragsverarbeiter wird den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter informieren. Dem Verantwortlichen steht im Einzelfall ein Recht zu, Einspruch gegen die Beauftragung eines potentiellen weiteren Auftragsverarbeiters zu erheben. Ein Einspruch darf vom Verantwortlichen nur aus wichtigem, dem Auftragsverarbeiter nachzuweisenden Grund erhoben werden. Soweit der Verantwortliche nicht innerhalb von 14 Tagen nach Zugang der Benachrichtigung Einspruch erhebt, erlischt sein Einspruchsrecht bezüglich der entsprechenden Beauftragung. Erhebt der Verantwortliche Einspruch, ist der Auftragsverarbeiter berechtigt, den Hauptvertrag und diesen Vertrag mit einer Frist von 3 Monaten zu kündigen.

5.3. Nimmt der Auftragsverarbeiter einen anderen Sub-Auftragsverarbeiter in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so hat der Auftragsverarbeiter diesem Sub-Auftragsverarbeiter im Wege eines Vertrages dieselben Datenschutzpflichten aufzuerlegen. Die Parteien stimmen überein, dass diese Anforderung erfüllt ist, wenn der Vertrag ein diesem Vertrag entsprechendes Schutzniveau aufweist bzw. dem weiteren Auftragsverarbeiter die in Art. 28 Abs. 3 DSGVO festgelegten Pflichten auferlegt sind.

5.4. Unter Einhaltung der Anforderungen der Ziffer 2.4 dieses Vertrags gelten die Regelungen in dieser Ziffer 5. auch, wenn ein weiterer Auftragsverarbeiter in einem Drittstaat eingeschaltet wird. Der Verantwortliche bevollmächtigt den Auftragsverarbeiter hiermit, in Vertretung des Verantwortlichen mit einem weiteren Auftragsverarbeiter einen Vertrag unter Einbeziehung der EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern vom 4.6.2021 zu schließen. Der Verantwortliche erklärt sich bereit, an der Erfüllung der Voraussetzungen nach Art. 49 DSGVO im erforderlichen Maße mitzuwirken.

6. Sonstiges
6.1. Mündliche Nebenabreden zu diesem Auftragsverarbeitungsvertrag bestehen nicht. Änderungen oder Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für einen Verzicht auf das Schriftformerfordernis.

6.2. Sollte eine Bestimmung dieses Vertrages ungültig oder unwirksam sein, wird sie durch eine Bestimmung ersetzt, die in ihrem Ergebnis der ungültigen oder unwirksamen Bestimmung am Nächsten kommt. Die übrigen Bestimmungen bleiben hiervon unberührt.

6.3. Dieser Vertrag unterliegt österreichischem Recht unter Ausschluss seiner Verweisungsnormen und des UN-Kaufrechts. Sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag werden ausschließlich durch das Handelsgericht Wien entschieden.