LiKE Auftragsverarbeitungsvertrag (DPA)

Version 1.3 · Datum des Inkrafttretens: 9. Juli 2026 · Zuletzt aktualisiert: 9. Juli 2026

Maßgebliche Fassung. Dieser englische Text ist die allein rechtsverbindliche und maßgebliche Fassung des DPA. Jede Übersetzung in eine andere Sprache wird nur zur Bequemlichkeit und zu Informationszwecken bereitgestellt; im Falle von Abweichungen, Unklarheiten oder Streitigkeiten ist die englische Fassung maßgeblich und der allein rechtsverbindliche Text.

Dieser Auftragsverarbeitungsvertrag („DPA") ist Bestandteil der LiKE-Nutzungsvereinbarung zwischen dem im jeweiligen Konto genannten Kunden („Kunde", „Verantwortlicher") und Lynkora DOO Beograd, Kneza Miloša 15, 11000 Belgrad, Republik Serbien (Handelsregisternr. MB 22195689, Steuernr. PIB 115706177) („Lynkora", „Auftragsverarbeiter") und gilt, soweit Lynkora personenbezogene Daten im Auftrag des Kunden verarbeitet.

1. Gegenstand, Dauer, Art und Zweck

Verarbeitung personenbezogener Daten, die in den Wissensdatenbank-Inhalten des Kunden, in Nutzerkonten und in zugehörigen Dienstdaten enthalten sind, zum Zweck der Bereitstellung des LiKE-Dienstes, für die Dauer des Abonnements zuzüglich der in der Nutzungsvereinbarung festgelegten Abruf- und Löschfristen.

2. Kategorien von Daten und betroffenen Personen

• Betroffene Personen: Nutzer des Kunden; in den Inhalten des Kunden genannte Personen (Beschäftigte, Kunden, Partner — wie vom Kunden bestimmt).
• Datenkategorien: Kontodaten (Name, E-Mail, Rolle); alle personenbezogenen Daten, die der Kunde in Inhalte und Uploads einbezieht (einschließlich Audio, soweit Transkriptionsfunktionen angeboten werden). Besondere Kategorien: nicht vorgesehen; der Kunde darf sie nicht ohne Rechtsgrundlage hochladen und ist allein dafür verantwortlich zu bestimmen, ob und auf welcher Rechtsgrundlage besondere Kategorien personenbezogener Daten hochgeladen werden dürfen (ToS zulässige Nutzung); Lynkora prüft die Inhalte nicht.

3. Weisungen des Verantwortlichen

Lynkora verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch im Hinblick auf internationale Übermittlungen, es sei denn, dies ist nach dem Recht der EU/eines Mitgliedstaats/Serbiens erforderlich (in welchem Fall Lynkora den Kunden informiert, sofern nicht gesetzlich untersagt). Die Nutzungsvereinbarung, dieses DPA und die Nutzung der Dienst-Einstellungen durch den Kunden bilden die vollständigen Weisungen. Lynkora informiert den Kunden, wenn eine Weisung nach ihrer Auffassung gegen die DSGVO verstößt. Abweichend vom Grundsatz, ausschließlich auf Weisung des Kunden zu handeln, kann Lynkora im Hinblick auf Inhalte, die der Kunde öffentlich gemacht hat (öffentliche Wissensdatenbank, Widget, Integrationen, öffentliche KI-Antworten), reaktiv den Zugriff auf Material beschränken, deaktivieren oder entfernen, das sie vernünftigerweise für rechtswidrig oder für einen Verstoß gegen die Nutzungsvereinbarung hält — auf eine substantiierte Beschwerde, eine Rechteinhaber-Meldung oder eine Anordnung einer zuständigen Behörde hin (Notice-and-Action) —, wobei sie den Kunden benachrichtigt, soweit praktikabel, im Einklang mit der Nutzungsvereinbarung. Dadurch wird Lynkora nicht zum Verantwortlichen für diese Inhalte.

4. Vertraulichkeit

Zur Verarbeitung personenbezogener Daten befugte Personen sind zur Vertraulichkeit verpflichtet (vertraglich oder gesetzlich).

5. Sicherheit (Art. 32)

Lynkora setzt die in Anhang II (TOM) beschriebenen technischen und organisatorischen Maßnahmen um. Lynkora kann die TOM aktualisieren, sofern das Schutzniveau nicht wesentlich verringert wird.

6. Unterauftragsverarbeiter

• Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die in Anhang III aufgeführten Unterauftragsverarbeiter (veröffentlicht in der Unterauftragsverarbeiter-Tabelle der Datenschutzerklärung / auf einer eigenen Seite). Diese Genehmigung wird in elektronischer Form durch die Click-through-Annahme der Nutzungsvereinbarung durch den Kunden erteilt (mit Version und Zeitstempel erfasst); eine handschriftliche Unterschrift ist nicht erforderlich — siehe „Form und Annahme" unten (Art. 28 Abs. 9 DSGVO).
• Lynkora benachrichtigt den Kunden mindestens 30 Tage vor dem Hinzufügen oder Ersetzen von Unterauftragsverarbeitern (per E-Mail oder in-App). Der Kunde kann aus vernünftigen Datenschutzgründen widersprechen; bleibt dies ungelöst, kann der Kunde die betroffenen Dienste beenden und Daten exportieren.
• Lynkora erlegt den Unterauftragsverarbeitern gleichwertige Datenschutzpflichten auf und bleibt für deren Leistung verantwortlich.

7. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützt Lynkora den Kunden durch integrierte Export-, Berichtigungs- und Löschfunktionen sowie durch unverzügliche Weiterleitung jedes direkt erhaltenen Betroffenenantrags an den Kunden (Lynkora antwortet nicht in der Sache — siehe DSR-Verfahren). Ist ein Unterstützungsantrag des Kunden offenkundig unbegründet oder exzessiv, insbesondere aufgrund seiner wiederholten Natur, kann Lynkora ein angemessenes, die Verwaltungskosten widerspiegelndes Entgelt verlangen oder die Bearbeitung des Antrags ablehnen.

8. Verletzung des Schutzes personenbezogener Daten

Lynkora benachrichtigt den Kunden unverzüglich, nachdem sie von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die Daten des Kunden betrifft, mit den nach Art. 33 Abs. 3 erforderlichen Informationen (erforderlichenfalls schrittweise), und kooperiert in angemessener Weise mit den eigenen Meldepflichten des Kunden. Konkrete Meldefristen können, soweit erforderlich, in einem Order Form oder der anwendbaren Enterprise-Vereinbarung vereinbart werden.

9. Unterstützung bei DSFA und vorheriger Konsultation

Lynkora leistet angemessene Unterstützung unter Verwendung der Lynkora vernünftigerweise verfügbaren Dokumentation (einschließlich dieses DPA und der TOM) für die Datenschutz-Folgenabschätzungen und vorherigen Konsultationen des Kunden in Bezug auf den Dienst.

10. Löschung und Rückgabe

Bei Beendigung kann der Kunde personenbezogene Daten während des in der Nutzungsvereinbarung festgelegten Abrufzeitraums exportieren, die für dessen Dauer die einzige Quelle der Wahrheit ist. Dieser Zeitraum beträgt: mindestens 30 Tage bei ordentlicher Beendigung oder Herabstufung des Tarifs; 60 Tage während der Beta; 60 Tage, wenn der Kunde wesentliche Änderungen der Nutzungsvereinbarung ablehnt; und mindestens 60 Tage beim Wechsel nach dem EU Data Act (Verordnung (EU) 2023/2854), soweit anwendbar. Nach Ende der Erbringung der Dienste und Ablauf des anwendbaren Abrufzeitraums löscht oder gibt Lynkora nach Wahl des Verantwortlichen die personenbezogenen Daten zurück und löscht danach bestehende Kopien, sofern nicht eine weitere Speicherung gesetzlich vorgeschrieben ist. Der Self-Service-Export ist während des Abrufzeitraums verfügbar; auf Anfrage werden die Daten in einem maschinenlesbaren Format zurückgegeben. Backups werden gemäß dem Backup-Rotationszyklus gelöscht. Eine Löschbescheinigung ist auf Anfrage verfügbar.

11. Prüfrechte

Lynkora stellt die zur Nachweisführung der Einhaltung vernünftigerweise erforderlichen Informationen bereit (Dokumentation, Sicherheitszusammenfassungen, Bescheinigungen Dritter, sofern verfügbar). Prüfungen/Inspektionen: höchstens einmal alle 12 Monate, 30 Tage Vorankündigung, während der Geschäftszeiten, kein Zugriff auf Daten anderer Kunden, auf Kosten des Kunden; zunächst aus der Ferne/dokumentenbasiert. Unterstützung und Informationen, die über acht (8) Stunden pro Kalenderjahr hinausgehen — einschließlich der Beantwortung von Sicherheitsfragebögen, Lieferantenbewertungen oder Due-Diligence-Anfragen, die über Lynkoras Standarddokumentation hinausgehen —, können zu Lynkoras jeweils geltenden Standardsätzen berechnet werden.

12. Internationale Übermittlungen

• Kunde (EU) → Lynkora (Serbien): die Standardvertragsklauseln, genehmigt durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 (SCC), Modul 2, werden durch Verweis einbezogen; Serbien-Bewertung im TIA.
• Lynkora → US-Unterauftragsverarbeiter: da die Daten aus Serbien (nicht aus der EU) übermittelt werden, ist SCC Modul 3 das primäre Übermittlungsinstrument für jeden US-Unterauftragsverarbeiter (OpenAI — nur SCC, nicht DPF-zertifiziert; Resend — SCC Modul 3 und zusätzlich EU-US-DPF-zertifiziert als ergänzende Absicherung). Ein TIA wird geführt; Anhang III listet den Mechanismus je Unterauftragsverarbeiter auf.

Als serbische juristische Person unterliegt Lynkora außerdem dem serbischen Gesetz zum Schutz personenbezogener Daten (ZZPL); Übermittlungen aus Serbien stützen sich auf Art. 64 ZZPL (geeignete Garantien / SCC). Die zuständige Behörde ist der Commissioner for Information of Public Importance and Personal Data Protection (Poverenik).

Die Anhänge zu diesem DPA — Anhang I (Verarbeitungsdetails), Anhang II (TOM) und Anhang III (Unterauftragsverarbeiter) — bilden zugleich die entsprechenden Anhänge zu den einbezogenen SCC. Die Identität der Parteien und ihre Zustimmung zu den SCC ergeben sich aus der Annahme der Nutzungsvereinbarung durch den Kunden (siehe „Form und Annahme").

13. Haftung und Vorrang

Die Haftung nach diesem DPA unterliegt den Beschränkungen der Nutzungsvereinbarung (einschließlich €-Obergrenzen und Ausnahmen), außer soweit zwingendes Datenschutzrecht etwas anderes vorsieht. Bei Widersprüchen in Datenschutzangelegenheiten geht dieses DPA der Nutzungsvereinbarung vor. Bei einem Widerspruch zwischen den SCC und diesem DPA gehen die SCC vor. Streitigkeiten aus diesem DPA werden nach den Streitbeilegungsbestimmungen der Nutzungsvereinbarung beigelegt, außer soweit zwingendes Datenschutzrecht etwas anderes vorsieht (einschließlich der eigenen gesetzlichen Rechte der betroffenen Personen, die von diesem DPA nicht berührt werden). Dieses DPA ist in englischer Sprache abgefasst, die der allein rechtsverbindliche und maßgebliche Text ist; jede Übersetzung wird nur zur Bequemlichkeit und zu Informationszwecken bereitgestellt, und im Falle von Abweichungen ist die englische Fassung maßgeblich. Datenschutzrechtliche Fachbegriffe (z. B. Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, technische und organisatorische Maßnahmen) sind im Einklang mit der DSGVO auszulegen.

Gewährleistung und Freistellung des Kunden. Der Kunde gewährleistet, dass er über alle erforderlichen Rechte, Einwilligungen und Rechtsgrundlagen für die personenbezogenen Daten verfügt, die er an den Dienst übermittelt oder von Lynkora über den Dienst verarbeiten lässt, und dass seine Weisungen und Inhalte dem anwendbaren Recht entsprechen. Der Kunde stellt Lynkora von Ansprüchen Dritter und behördlichen Maßnahmen frei, soweit sie aus rechtswidrigen Weisungen des Kunden, rechtswidrigen Inhalten oder einem Verstoß des Kunden gegen anwendbares Datenschutzrecht entstehen, im Einklang mit und vorbehaltlich der Freistellungs- und Haftungsbestimmungen der Nutzungsvereinbarung.

Form und Annahme. Verweise in diesem DPA auf „schriftlich", „schriftliche", „Genehmigung" oder „Unterschrift" schließen die elektronische Form ein, im Einklang mit Art. 28 Abs. 9 DSGVO; eine handschriftliche Unterschrift ist nicht erforderlich. Dieses DPA ist Bestandteil der Nutzungsvereinbarung; es wird geschlossen, und die allgemeine schriftliche Genehmigung des Kunden für Unterauftragsverarbeiter nach dem Abschnitt „Unterauftragsverarbeiter" wird erteilt, durch die elektronische Annahme der Nutzungsvereinbarung durch den Kunden (Click-through), die Lynkora mit Dokumentversion und Zeitstempel erfasst.

14. Mitteilungen

Mitteilungen und Anträge nach diesem DPA (Widersprüche gegen Unterauftragsverarbeiter, Prüfanträge, Löschbescheinigung) sind an [email protected] zu senden.

Anhang I — Verarbeitungsdetails

Dieser Anhang beschreibt die von Lynkora als Auftragsverarbeiter im Auftrag des Verantwortlichen durchgeführte Verarbeitung. Die Verarbeitung, bei der Lynkora als eigenständiger Verantwortlicher handelt (z. B. Konto-, Abrechnungs- und Marketingdaten), ist in der Datenschutzerklärung beschrieben und fällt nicht in den Anwendungsbereich dieses DPA.

| Punkt | Details |
|---|---|
| Kategorien betroffener Personen | Die autorisierten Nutzer des Verantwortlichen; in den Inhalten des Verantwortlichen genannte Personen (z. B. Beschäftigte, Kunden, Partner des Verantwortlichen); Besucher der öffentlichen Wissensdatenbanken und des Widgets des Verantwortlichen. |
| Kategorien personenbezogener Daten | Kontodaten der Nutzer des Verantwortlichen (E-Mail, Anzeigename, Rolle, Spracheinstellungen); alle personenbezogenen Daten, die der Verantwortliche in Wissensdatenbank-Inhalte und Uploads einbezieht (Artikel, Medien und Audio, soweit Transkriptionsfunktionen genutzt werden); im Dienst erzeugte Nutzungsdaten (Suchanfragetext, Nutzerkennung, relevante Inhaltsfragmente); Integrationskennungen (z. B. Telegram/Slack-IDs, SSO-Subjektkennungen; Integrationstoken verschlüsselt gespeichert). |
| Besondere Datenkategorien | Nicht vorgesehen. Der Verantwortliche darf besondere Kategorien personenbezogener Daten nicht ohne Rechtsgrundlage hochladen und ist allein dafür verantwortlich zu bestimmen, ob und auf welcher Grundlage sie hochgeladen werden dürfen (Nutzungsvereinbarung, zulässige Nutzung); Lynkora prüft die Inhalte nicht. |
| Art und Zweck der Verarbeitung | Bereitstellung des LiKE-Wissensmanagement-Dienstes auf dokumentierte Weisung des Verantwortlichen: Speicherung, Textextraktion, Indexierung und Embedding, semantische Suche und KI-generierte Antworten, Kollaboration und Integrationen. |
| Dauer der Verarbeitung | Für die Laufzeit des Abonnements zuzüglich der in der Nutzungsvereinbarung festgelegten Abruf- und Löschfristen (siehe §10). |
| Häufigkeit der Verarbeitung | Fortlaufend, für die Dauer der Erbringung des Dienstes. |
| Unterauftragsverarbeiter | Wie in Anhang III aufgeführt. |

Anhang II — TOM (Technische und organisatorische Maßnahmen)

1. Verschlüsselung: TLS 1.2+ bei der Übertragung; verschlüsselte Backups (WAL-G); Geheimnisse in dediziertem Secrets Manager (BWS).
2. Mandantenisolierung: obligatorische tenant-bezogene Abfragefilterung auf Anwendungsebene; tenant-übergreifende Zugriffstests in der CI.
3. Zugriffskontrolle: Produktionszugriff nur per SSH-Schlüssel; rollenbasierter Admin-Zugriff (owner/support); Admin-Handlungen audit-protokolliert (AdminAuditLog).
4. Infrastruktur: EU-Rechenzentren (OVHcloud Frankfurt — Anwendung; Gravelines — Datenbank); Datenbank auf isoliertem Host, IP-Allowlist, TLS 1.3.
5. Überwachung: serverseitige Protokollierung mit Schwärzung von Geheimnissen/PII (redact_secrets); Sicherheitsereignis-Protokollierung. Die externe Fehlerüberwachung (Sentry) ist so konfiguriert, dass sie mit send_default_pii=False und einem before_send-Schwärzungs-Hook läuft, ist derzeit jedoch in der Produktion nicht aktiviert (siehe Anhang III).
6. Datenminimierung: KI-Anbieter erhalten nur relevante Inhaltsfragmente; PII-Schwärzung in Protokollen; Protokoll-Aufbewahrungsgrenzen gemäß Retention Schedule.
7. Resilienz: tägliche Backups, Point-in-Time-Recovery; Verfahren zur Reaktion auf Vorfälle mit einem Verletzungsmeldungs-Workflow.
8. Personal: Vertraulichkeitspflichten; Zugriff nach dem Prinzip der geringsten Rechte.

Anhang III — Autorisierte Unterauftragsverarbeiter

| Unterauftragsverarbeiter | Rolle | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| OVHcloud | Infrastruktur, Speicher | EU (DE/FR) | innerhalb des EWR |
| OpenAI, L.L.C. | LLM-API | US | SCC Modul 3 (nicht DPF-zertifiziert) |
| Resend | transaktionale E-Mails | US | SCC Modul 3 (primär — Übermittlung aus Serbien); zusätzlich EU-US-DPF-zertifiziert (einschl. UK Extension) |

Der Zertifizierungs- und Übermittlungsmechanismus-Status jedes Unterauftragsverarbeiters wird auf der in der Datenschutzerklärung genannten Unterauftragsverarbeiter-Seite aktuell gehalten; diese Seite ist die maßgebliche, datierte Quelle.

Merchant of Record — kein Unterauftragsverarbeiter. Ein als Merchant of Record handelnder Drittanbieter für Zahlungen ist ein eigenständiger Verantwortlicher in Bezug auf Zahlungs-, Abrechnungs- und Steuerdaten: Er bestimmt die Zwecke und Mittel der Kartenverarbeitung, der MwSt./GST-Berechnung, -Erhebung und -Abführung sowie der Betrugsprävention im Rahmen seiner eigenen Compliance-Pflichten (PCI DSS, Steuerrecht). Er ist daher kein Unterauftragsverarbeiter nach diesem DPA und wird nur zu Transparenzzwecken genannt; der Merchant of Record wird von Lynkora nicht als Auftragsverarbeiter oder Unterauftragsverarbeiter eingesetzt. Seine Verarbeitung richtet sich nach seinen eigenen Bedingungen und seiner Datenschutzerklärung. Der konkrete Merchant of Record wird bei Start der kostenpflichtigen Abrechnung nach der Beta benannt.

Sentry (Fehlerüberwachung) ist derzeit in der Produktion nicht aktiviert und ist kein Unterauftragsverarbeiter; bei Aktivierung wird die Unterauftragsverarbeiter-Liste mit einer Frist von 30 Tagen aktualisiert.