LiKE Auftragsverarbeitungsvertrag (DPA)

Version 1.4 · Datum des Inkrafttretens: 1. Oktober 2026 · Zuletzt aktualisiert: 1. Oktober 2026

Für Nutzer, die eine frühere Fassung akzeptiert haben, tritt diese Fassung am 31. Oktober 2026 in Kraft — dreißig Tage nach der Mitteilung darüber —, sofern sie sie nicht früher akzeptieren; für neue Nutzer gilt sie ab dem Datum des Inkrafttretens.

Maßgebliche Fassung. Dieser englische Text ist die allein rechtsverbindliche und maßgebliche Fassung des DPA. Jede Übersetzung in eine andere Sprache wird nur zur Bequemlichkeit und zu Informationszwecken bereitgestellt; im Falle von Abweichungen, Unklarheiten oder Streitigkeiten ist die englische Fassung maßgeblich und der allein rechtsverbindliche Text.

Dieser Auftragsverarbeitungsvertrag („DPA") ist Bestandteil der LiKE-Nutzungsvereinbarung zwischen dem im jeweiligen Konto genannten Kunden („Kunde", „Verantwortlicher") und Lynkora DOO Beograd, Kneza Miloša 15, 11000 Belgrad, Republik Serbien (Handelsregisternr. MB 22195689, Steuernr. PIB 115706177) („Lynkora", „Auftragsverarbeiter") und gilt, soweit Lynkora personenbezogene Daten im Auftrag des Kunden verarbeitet.

1. Gegenstand, Dauer, Art und Zweck

Verarbeitung personenbezogener Daten, die in den Wissensdatenbank-Inhalten des Kunden, in Nutzerkonten und in zugehörigen Dienstdaten enthalten sind, zum Zweck der Bereitstellung des LiKE-Dienstes, für die Dauer des Abonnements zuzüglich der in der Nutzungsvereinbarung festgelegten Abruf- und Löschfristen.

2. Kategorien von Daten und betroffenen Personen

• Betroffene Personen: Nutzer des Kunden; in den Inhalten des Kunden genannte Personen (Beschäftigte, Kunden, Partner — wie vom Kunden bestimmt).
• Datenkategorien: Kontodaten (Name, E-Mail, Rolle); alle personenbezogenen Daten, die der Kunde in Inhalte und Uploads einbezieht (einschließlich Audio, soweit Transkriptionsfunktionen angeboten werden). Besondere Kategorien: Die Inhalte des Kunden können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO enthalten. Der Kunde bestimmt, was hochgeladen wird, und ist allein für die Rechtsgrundlage verantwortlich; Lynkora sieht die Inhalte nicht ein und ist nicht verpflichtet, sie zu prüfen oder zu bewerten, um Daten zu ermitteln, die besonderen rechtlichen Anforderungen unterliegen. Die Maßnahmen nach Anhang II gelten einheitlich für sämtliche Inhalte, unabhängig von deren Kategorie.

3. Weisungen des Verantwortlichen

Lynkora verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch im Hinblick auf internationale Übermittlungen, es sei denn, dies ist nach dem Recht der EU/eines Mitgliedstaats/Serbiens erforderlich (in welchem Fall Lynkora den Kunden informiert, sofern nicht gesetzlich untersagt). Die Nutzungsvereinbarung, dieses DPA und die Nutzung der Dienst-Einstellungen durch den Kunden bilden die vollständigen Weisungen. Lynkora informiert den Kunden, wenn eine Weisung nach ihrer Auffassung gegen die DSGVO verstößt. Abweichend vom Grundsatz, ausschließlich auf Weisung des Kunden zu handeln, kann Lynkora im Hinblick auf Inhalte, die der Kunde öffentlich gemacht hat (öffentliche Wissensdatenbank, Widget, Integrationen, öffentliche KI-Antworten), reaktiv den Zugriff auf Material beschränken, deaktivieren oder entfernen, das sie vernünftigerweise für rechtswidrig oder für einen Verstoß gegen die Nutzungsvereinbarung hält — auf eine substantiierte Beschwerde, eine Rechteinhaber-Meldung oder eine Anordnung einer zuständigen Behörde hin (Notice-and-Action) —, wobei sie den Kunden benachrichtigt, soweit praktikabel, im Einklang mit der Nutzungsvereinbarung. Die Prüfung einer solchen Meldung erfordert, dass Lynkora das Material an der gemeldeten öffentlichen Stelle in Augenschein nimmt; die Einsichtnahme beschränkt sich auf das zur Entscheidungsfindung Erforderliche und erstreckt sich nicht auf nicht-öffentliche Inhalte. Lynkora wird dadurch nicht zum Verantwortlichen für die Inhalte selbst; die Meldung, die Bewertung und Entscheidung von Lynkora sowie eine rechtmäßig aufbewahrte Beweiskopie verarbeitet Lynkora als eigenständige Verantwortliche zur Erfüllung ihrer Pflichten als Hosting-Anbieter sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

4. Vertraulichkeit

Zur Verarbeitung personenbezogener Daten befugte Personen sind zur Vertraulichkeit verpflichtet (vertraglich oder gesetzlich).

5. Sicherheit (Art. 32)

Lynkora setzt die in Anhang II (TOM) beschriebenen technischen und organisatorischen Maßnahmen um. Lynkora kann die TOM aktualisieren, sofern das Schutzniveau nicht wesentlich verringert wird.

6. Unterauftragsverarbeiter

• Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die in Anhang III aufgeführten Unterauftragsverarbeiter (veröffentlicht in der Unterauftragsverarbeiter-Tabelle der Datenschutzerklärung / auf einer eigenen Seite). Diese Genehmigung wird in elektronischer Form durch die Click-through-Annahme der Nutzungsvereinbarung durch den Kunden erteilt (mit Version und Zeitstempel erfasst); eine handschriftliche Unterschrift ist nicht erforderlich — siehe „Form und Annahme" unten (Art. 28 Abs. 9 DSGVO).
• Lynkora benachrichtigt den Kunden mindestens 30 Tage vor dem Hinzufügen oder Ersetzen von Unterauftragsverarbeitern (per E-Mail oder in-App). Der Kunde kann aus vernünftigen Datenschutzgründen widersprechen; bleibt dies ungelöst, kann der Kunde die betroffenen Dienste beenden und Daten exportieren.
• Lynkora erlegt den Unterauftragsverarbeitern gleichwertige Datenschutzpflichten auf und bleibt für deren Leistung verantwortlich.

7. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützt Lynkora den Kunden durch integrierte Export-, Berichtigungs- und Löschfunktionen sowie durch unverzügliche Weiterleitung jedes direkt erhaltenen Betroffenenantrags an den Kunden (Lynkora antwortet nicht in der Sache — siehe DSR-Verfahren). Ist ein Unterstützungsantrag des Kunden offenkundig unbegründet oder exzessiv, insbesondere aufgrund seiner wiederholten Natur, kann Lynkora ein angemessenes, die Verwaltungskosten widerspiegelndes Entgelt verlangen oder die Bearbeitung des Antrags ablehnen.

8. Verletzung des Schutzes personenbezogener Daten

Lynkora benachrichtigt den Kunden unverzüglich, nachdem sie von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die Daten des Kunden betrifft, mit den nach Art. 33 Abs. 3 erforderlichen Informationen (erforderlichenfalls schrittweise), und kooperiert in angemessener Weise mit den eigenen Meldepflichten des Kunden. Konkrete Meldefristen können, soweit erforderlich, in einem Order Form oder der anwendbaren Enterprise-Vereinbarung vereinbart werden.

9. Unterstützung bei DSFA und vorheriger Konsultation

Lynkora leistet angemessene Unterstützung unter Verwendung der Lynkora vernünftigerweise verfügbaren Dokumentation (einschließlich dieses DPA und der TOM) für die Datenschutz-Folgenabschätzungen und vorherigen Konsultationen des Kunden in Bezug auf den Dienst.

10. Löschung und Rückgabe

Bei Beendigung kann der Kunde personenbezogene Daten während des in der Nutzungsvereinbarung und in Abschnitt 7 der Abrechnungs- und Rückerstattungsbedingungen festgelegten Abrufzeitraums exportieren, die für dessen Dauer die einzige Quelle der Wahrheit sind. Dieser Zeitraum beträgt: mindestens 30 Tage bei ordentlicher Beendigung, Herabstufung des Tarifs oder Löschung des Kontos; 60 Tage, wenn der Kunde wesentliche Änderungen der Nutzungsvereinbarung ablehnt; und mindestens 60 Tage beim Wechsel nach dem EU Data Act (Verordnung (EU) 2023/2854), soweit anwendbar. Nach Ende der Erbringung der Dienste und Ablauf des anwendbaren Abrufzeitraums löscht oder gibt Lynkora nach Wahl des Verantwortlichen die personenbezogenen Daten zurück und löscht danach bestehende Kopien, sofern nicht eine weitere Speicherung gesetzlich vorgeschrieben ist. Der Self-Service-Export ist während des Abrufzeitraums verfügbar; auf Anfrage werden die Daten in einem maschinenlesbaren Format zurückgegeben. Backups werden gemäß dem Backup-Rotationszyklus gelöscht. Eine Löschbescheinigung ist auf Anfrage verfügbar.

11. Prüfrechte

Lynkora stellt die zur Nachweisführung der Einhaltung vernünftigerweise erforderlichen Informationen bereit (Dokumentation, Sicherheitszusammenfassungen, Bescheinigungen Dritter, sofern verfügbar). Prüfungen/Inspektionen: höchstens einmal alle 12 Monate, 30 Tage Vorankündigung, während der Geschäftszeiten, kein Zugriff auf Daten anderer Kunden, auf Kosten des Kunden; zunächst aus der Ferne/dokumentenbasiert. Unterstützung und Informationen, die über acht (8) Stunden pro Kalenderjahr hinausgehen — einschließlich der Beantwortung von Sicherheitsfragebögen, Lieferantenbewertungen oder Due-Diligence-Anfragen, die über Lynkoras Standarddokumentation hinausgehen —, können zu Lynkoras jeweils geltenden Standardsätzen berechnet werden.

12. Internationale Übermittlungen

• Kunde (EU) → Lynkora (Serbien): die Standardvertragsklauseln, genehmigt durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 (SCC), Modul 2, werden durch Verweis einbezogen; Serbien-Bewertung im TIA.
• Lynkora → US-Unterauftragsverarbeiter: da die Daten aus Serbien (nicht aus der EU) übermittelt werden, ist SCC Modul 3 das primäre Übermittlungsinstrument für jeden US-Unterauftragsverarbeiter (OpenAI — nur SCC, nicht DPF-zertifiziert; Resend — SCC Modul 3 und zusätzlich EU-US-DPF-zertifiziert als ergänzende Absicherung). Ein TIA wird geführt; Anhang III listet den Mechanismus je Unterauftragsverarbeiter auf.

Als serbische juristische Person unterliegt Lynkora außerdem dem serbischen Gesetz zum Schutz personenbezogener Daten (ZZPL); Übermittlungen aus Serbien stützen sich auf Art. 64 ZZPL (geeignete Garantien / SCC). Die zuständige Behörde ist der Commissioner for Information of Public Importance and Personal Data Protection (Poverenik).

Die Anhänge zu diesem DPA — Anhang I (Verarbeitungsdetails), Anhang II (TOM) und Anhang III (Unterauftragsverarbeiter) — bilden zugleich die entsprechenden Anhänge zu den einbezogenen SCC. Die Identität der Parteien und ihre Zustimmung zu den SCC ergeben sich aus der Annahme der Nutzungsvereinbarung durch den Kunden (siehe „Form und Annahme").

13. Haftung und Vorrang

Die Haftung nach diesem DPA unterliegt den Beschränkungen der Nutzungsvereinbarung (einschließlich €-Obergrenzen und Ausnahmen), außer soweit zwingendes Datenschutzrecht etwas anderes vorsieht. Bei Widersprüchen in Datenschutzangelegenheiten geht dieses DPA der Nutzungsvereinbarung vor. Bei einem Widerspruch zwischen den SCC und diesem DPA gehen die SCC vor. Streitigkeiten aus diesem DPA werden nach den Streitbeilegungsbestimmungen der Nutzungsvereinbarung beigelegt, außer soweit zwingendes Datenschutzrecht etwas anderes vorsieht (einschließlich der eigenen gesetzlichen Rechte der betroffenen Personen, die von diesem DPA nicht berührt werden). Dieses DPA ist in englischer Sprache abgefasst, die der allein rechtsverbindliche und maßgebliche Text ist; jede Übersetzung wird nur zur Bequemlichkeit und zu Informationszwecken bereitgestellt, und im Falle von Abweichungen ist die englische Fassung maßgeblich. Datenschutzrechtliche Fachbegriffe (z. B. Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, technische und organisatorische Maßnahmen) sind im Einklang mit der DSGVO auszulegen.

Klarstellend gilt: Die vorstehend genannten Bestimmungen zur Streitbeilegung umfassen auch die im Nutzungsvertrag enthaltene Schiedsvereinbarung, soweit diese auf den Kunden Anwendung findet.

Gewährleistung und Freistellung des Kunden. Der Kunde gewährleistet, dass er über alle erforderlichen Rechte, Einwilligungen und Rechtsgrundlagen für die personenbezogenen Daten verfügt, die er an den Dienst übermittelt oder von Lynkora über den Dienst verarbeiten lässt, und dass seine Weisungen und Inhalte dem anwendbaren Recht entsprechen. Der Kunde stellt Lynkora von Ansprüchen Dritter und behördlichen Maßnahmen frei, soweit sie aus rechtswidrigen Weisungen des Kunden, rechtswidrigen Inhalten oder einem Verstoß des Kunden gegen anwendbares Datenschutzrecht entstehen, im Einklang mit und vorbehaltlich der Freistellungs- und Haftungsbestimmungen der Nutzungsvereinbarung.

Rechtsnachfolge. Überträgt Lynkora ihr Geschäft oder Teile davon bzw. Vermögenswerte (Fusion, Übernahme, Reorganisation oder Verkauf), so geht dieser DPA mit dem zugrunde liegenden Vertrag über und bindet den Rechtsnachfolger, der die Pflichten von Lynkora als Auftragsverarbeiter übernimmt. Der Kunde wird gemäß der Datenschutzerklärung informiert und kann kündigen sowie die Löschung oder Rückgabe personenbezogener Daten nach Abschnitt 10 verlangen, wenn er den Nachfolger nicht akzeptiert. Ein Wechsel des Merchant of Record ist keine solche Übertragung: Dieser ist für Zahlungsdaten eigenständig Verantwortlicher.

Form und Annahme. Verweise in diesem DPA auf „schriftlich", „schriftliche", „Genehmigung" oder „Unterschrift" schließen die elektronische Form ein, im Einklang mit Art. 28 Abs. 9 DSGVO; eine handschriftliche Unterschrift ist nicht erforderlich. Dieses DPA ist Bestandteil der Nutzungsvereinbarung; es wird geschlossen, und die allgemeine schriftliche Genehmigung des Kunden für Unterauftragsverarbeiter nach dem Abschnitt „Unterauftragsverarbeiter" wird erteilt, durch die elektronische Annahme der Nutzungsvereinbarung durch den Kunden (Click-through), die Lynkora mit Dokumentversion und Zeitstempel erfasst.

14. Mitteilungen

Mitteilungen und Anträge nach diesem DPA (Widersprüche gegen Unterauftragsverarbeiter, Prüfanträge, Löschbescheinigung) sind an [email protected] zu senden.

Anhang I — Verarbeitungsdetails

Dieser Anhang beschreibt die von Lynkora als Auftragsverarbeiter im Auftrag des Verantwortlichen durchgeführte Verarbeitung. Die Verarbeitung, bei der Lynkora als eigenständiger Verantwortlicher handelt (z. B. Konto-, Abrechnungs- und Marketingdaten), ist in der Datenschutzerklärung beschrieben und fällt nicht in den Anwendungsbereich dieses DPA.

Dies gilt auch für die Daten zur Vertragspartei sowie die Aufzeichnungen über Erstattungs- und Widerrufsentscheidungen, die Lynkora als Verantwortliche verarbeitet, um das für einen Kauf maßgebliche Rechtsregime zu bestimmen.

| Punkt | Details |
|---|---|
| Kategorien betroffener Personen | Die autorisierten Nutzer des Verantwortlichen; in den Inhalten des Verantwortlichen genannte Personen (z. B. Beschäftigte, Kunden, Partner des Verantwortlichen); Besucher der öffentlichen Wissensdatenbanken und des Widgets des Verantwortlichen. |
| Kategorien personenbezogener Daten | Kontodaten der Nutzer des Verantwortlichen (E-Mail, Anzeigename, Rolle, Spracheinstellungen); alle personenbezogenen Daten, die der Verantwortliche in Wissensdatenbank-Inhalte und Uploads einbezieht (Artikel, Medien und Audio, soweit Transkriptionsfunktionen genutzt werden); im Dienst erzeugte Nutzungsdaten (Suchanfragetext, Nutzerkennung, relevante Inhaltsfragmente); Integrationskennungen (z. B. Telegram/Slack-IDs, SSO-Subjektkennungen; Integrationstoken verschlüsselt gespeichert). |
| Besondere Datenkategorien | Können in den Inhalten des Verantwortlichen enthalten sein, nach dessen Bestimmung; der Verantwortliche ist allein für die Rechtsgrundlage nach Art. 9 DSGVO verantwortlich. Lynkora sieht die Inhalte nicht ein und ist nicht verpflichtet, sie zu prüfen oder zu bewerten, um Daten zu ermitteln, die besonderen rechtlichen Anforderungen unterliegen; die Maßnahmen nach Anhang II gelten einheitlich für sämtliche Inhalte, unabhängig von deren Kategorie. |
| Art und Zweck der Verarbeitung | Bereitstellung des LiKE-Wissensmanagement-Dienstes auf dokumentierte Weisung des Verantwortlichen: Speicherung, Textextraktion, Indexierung und Embedding, semantische Suche und KI-generierte Antworten, Kollaboration und Integrationen. |
| Dauer der Verarbeitung | Für die Laufzeit des Abonnements zuzüglich der in der Nutzungsvereinbarung festgelegten Abruf- und Löschfristen (siehe §10). |
| Häufigkeit der Verarbeitung | Fortlaufend, für die Dauer der Erbringung des Dienstes. |
| Unterauftragsverarbeiter | Wie in Anhang III aufgeführt. |

Anhang II — TOM (Technische und organisatorische Maßnahmen)

1. Verschlüsselung: TLS 1.2+ bei der Übertragung; verschlüsselte Backups (WAL-G); Geheimnisse in dediziertem Secrets Manager (BWS).
2. Mandantenisolierung: obligatorische tenant-bezogene Abfragefilterung auf Anwendungsebene; tenant-übergreifende Zugriffstests in der CI.
3. Zugriffskontrolle: Produktionszugriff nur per SSH-Schlüssel; rollenbasierter Admin-Zugriff (owner/support); Admin-Handlungen audit-protokolliert (AdminAuditLog).
4. Infrastruktur: EU-Rechenzentren (OVHcloud Frankfurt — Anwendung; Gravelines — Datenbank); Datenbank auf isoliertem Host, IP-Allowlist, TLS 1.3.
5. Überwachung: serverseitige Protokollierung mit Schwärzung von Geheimnissen/PII (redact_secrets); Sicherheitsereignis-Protokollierung. Die externe Fehlerüberwachung (Sentry) ist so konfiguriert, dass sie mit send_default_pii=False und einem before_send-Schwärzungs-Hook läuft, ist derzeit jedoch in der Produktion nicht aktiviert (siehe Anhang III).
6. Datenminimierung: KI-Anbieter erhalten nur relevante Inhaltsfragmente; PII-Schwärzung in Protokollen; Protokoll-Aufbewahrungsgrenzen gemäß Retention Schedule.
7. Resilienz: tägliche Backups, Point-in-Time-Recovery; Verfahren zur Reaktion auf Vorfälle mit einem Verletzungsmeldungs-Workflow.
8. Personal: Vertraulichkeitspflichten; Zugriff nach dem Prinzip der geringsten Rechte.

Anhang III — Autorisierte Unterauftragsverarbeiter

Dieser Anhang listet die Unterauftragsverarbeiter auf, die für die von Lynkora als Auftragsverarbeiterin nach diesem DPA durchgeführte Verarbeitung eingesetzt werden. Die in der Datenschutzerklärung genannte Unterauftragsverarbeiter-Seite erfasst zusätzlich Verarbeitungen, bei denen Lynkora als eigenständig Verantwortliche handelt (z. B. Web-Analyse); diese Seite bleibt die maßgebliche, datierte Quelle für den Zertifizierungs- und Übermittlungsmechanismus-Status.

| Unterauftragsverarbeiter | Rolle | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| OVHcloud | Infrastruktur, Speicher | EU (DE/FR) | innerhalb des EWR |
| OpenAI, L.L.C. | LLM-API | US | SCC Modul 3 (nicht DPF-zertifiziert) |
| Resend | transaktionale E-Mails | US | SCC Modul 3 (primär — Übermittlung aus Serbien); zusätzlich EU-US-DPF-zertifiziert (einschl. UK Extension) |
| Cloudflare, Inc. | CDN, DDoS-Schutz, TLS-Terminierung (Datenverkehr bei der Übertragung) | US | SCC Modul 3 (primär — Übermittlung aus Serbien); zusätzlich EU-US-DPF-zertifiziert (einschl. UK Extension) |

Merchant of Record — kein Unterauftragsverarbeiter. Ein als Merchant of Record handelnder Drittanbieter für Zahlungen ist ein eigenständiger Verantwortlicher in Bezug auf Zahlungs-, Abrechnungs- und Steuerdaten: Er bestimmt die Zwecke und Mittel der Kartenverarbeitung, der MwSt./GST-Berechnung, -Erhebung und -Abführung sowie der Betrugsprävention im Rahmen seiner eigenen Compliance-Pflichten (PCI DSS, Steuerrecht). Er ist daher kein Unterauftragsverarbeiter nach diesem DPA und wird nur zu Transparenzzwecken genannt; der Merchant of Record wird von Lynkora nicht als Auftragsverarbeiter oder Unterauftragsverarbeiter eingesetzt. Seine Verarbeitung richtet sich nach seinen eigenen Bedingungen und seiner Datenschutzerklärung. Identität, Firmenname und geltende Bedingungen des Merchant of Record werden im Bezahlvorgang vor Abgabe einer Zahlung offengelegt; Lynkora kann mit einer Frist von mindestens 30 Tagen einen anderen Merchant of Record benennen, wie in den LiKE Abrechnungs- und Erstattungsbedingungen geregelt.

Sentry (Fehlerüberwachung) ist derzeit in der Produktion nicht aktiviert und ist kein Unterauftragsverarbeiter; bei Aktivierung wird die Unterauftragsverarbeiter-Liste mit einer Frist von 30 Tagen aktualisiert.