Kaldune Zurück zu Kaldune

Zusatzvereinbarung zur Auftragsverarbeitung

Diese Übersetzung wird aus Gründen der Verständlichkeit bereitgestellt. Maßgeblich ist die englische Fassung.

Entwurf, erstellt zur Prüfung durch Studio58, Inc. Verbindlicher Mustertext, verfasst vom hausinternen Counsel. Nicht eingereicht, nicht unterzeichnet und kein Ersatz für die eigene zugelassene anwaltliche Vertretung von Studio58, Inc., die ihn vor der Veröffentlichung prüfen muss. Zugrunde gelegte Jurisdiktion: entworfen für einen Verantwortlichen mit Sitz in den USA (Recht des Staates Delaware für die zugrunde liegenden AGB, kundenbestätigt 2026-07-17), mit betroffenen Personen im EWR, im Vereinigten Königreich und in der Schweiz, erreicht über Standardvertragsklauseln. Zahlen und Namen in diesem DPA stammen aus dem Data-Commitment-Ledger (artifacts/spine/privacy/data-commitment-ledger.md) und müssen mit diesem sowie mit der Datenschutzerklärung identisch bleiben. Wo das Ledger einen Wert als assumed-default (angenommener Standardwert) kennzeichnet (Aufbewahrungsfristen, Nicht-KI-Unterauftragsverarbeiter, Hosting-Region), trägt dieses DPA denselben schützenden Standardwert und dieselbe „to be confirmed“-Kennzeichnung; diese sind in Anlage 4 aufgeführt.

Diese Zusatzvereinbarung zur Auftragsverarbeitung („DPA“) ist Bestandteil der Allgemeinen Geschäftsbedingungen (der „Vertrag“) zwischen Studio58, Inc. („Kaldune“, „wir“, „uns“ oder „unser“) und dem Geschäftskunden („Kunde“), der personenbezogene Daten über den Kaldune-Dienst übermittelt. Es gilt nur, soweit der Kunde personenbezogene Daten Dritter (zum Beispiel der eigenen Kunden, Nutzer oder Mitarbeiter des Kunden) über den Dienst übermittelt und Studio58, Inc. diese Daten im Auftrag des Kunden verarbeitet. Bei Widersprüchen zwischen dem Vertrag und diesem DPA in Bezug auf die Verarbeitung personenbezogener Daten geht dieses DPA vor.

1. Begriffsbestimmungen

Begriffe, die hier nicht definiert sind, haben die Bedeutung, die ihnen im Vertrag oder im anwendbaren Datenschutzrecht zugewiesen ist. „Anwendbares Datenschutzrecht“ bezeichnet alle für eine Partei geltenden Gesetze über die Verarbeitung personenbezogener Daten, einschließlich der EU-Datenschutz-Grundverordnung (2016/679) („DSGVO/GDPR“), des UK GDPR und des Data Protection Act 2018, des Schweizer Bundesgesetzes über den Datenschutz sowie der Datenschutzgesetze der US-Bundesstaaten, einschließlich des California Consumer Privacy Act in der durch den CPRA geänderten Fassung („CCPA/CPRA“). „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die in den Kundeninhalten enthalten sind und die Studio58, Inc. im Auftrag des Kunden verarbeitet. „Unterauftragsverarbeiter“ bezeichnet einen von Studio58, Inc. beauftragten Dritten, der Personenbezogene Kundendaten verarbeitet. „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verarbeitung“ und „Verletzung des Schutzes personenbezogener Daten“ haben die in der DSGVO festgelegten Bedeutungen (und ihre Entsprechungen nach sonstigem Anwendbarem Datenschutzrecht).

2. Rollen der Parteien

2.1. Verantwortlicher und Auftragsverarbeiter. In Bezug auf Personenbezogene Kundendaten ist der Kunde der Verantwortliche (oder selbst ein Auftragsverarbeiter, der für einen dritten Verantwortlichen handelt), und Studio58, Inc. ist der Auftragsverarbeiter. Studio58, Inc. verarbeitet Personenbezogene Kundendaten ausschließlich zur Bereitstellung und zum Betrieb des Dienstes und nur auf dokumentierte Weisung des Kunden, einschließlich der Festlegungen im Vertrag und in diesem DPA.

2.2. Studio58, Inc. als Verantwortlicher für andere Daten. Für Konto-, Abrechnungs- und Dienstnutzungsdaten, für die Studio58, Inc. die Zwecke und Mittel der Verarbeitung bestimmt, ist Studio58, Inc. eigenständiger Verantwortlicher; diese Verarbeitung unterliegt der Datenschutzerklärung, nicht diesem DPA.

2.3. CCPA/CPRA. In Bezug auf personenbezogene Daten, die dem CCPA/CPRA unterliegen, handelt Studio58, Inc. als Dienstleister („service provider“). Studio58, Inc. wird Personenbezogene Kundendaten weder verkaufen noch weitergeben, sie nicht für andere Zwecke als die Erbringung des Dienstes aufbewahren, verwenden oder offenlegen (oder soweit der CCPA/CPRA dies gestattet) und sie nicht mit Daten aus anderen Quellen kombinieren, außer soweit der CCPA/CPRA es zulässt. Studio58, Inc. bestätigt, dass es diese Beschränkungen versteht und einhalten wird.

3. Verarbeitung Personenbezogener Kundendaten

3.1. Weisungen. Studio58, Inc. verarbeitet Personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden (einschließlich zur Bereitstellung des Dienstes und wie anderweitig schriftlich vereinbart), es sei denn, eine gesetzliche Pflicht verlangt anderes — in diesem Fall informiert Studio58, Inc., soweit rechtlich zulässig, zuerst den Kunden.

3.2. Gegenstand, Dauer, Art und Zweck; Kategorien; betroffene Personen. Diese sind in Anlage 1 (Einzelheiten der Verarbeitung) festgelegt.

3.3. Vertraulichkeit. Studio58, Inc. stellt sicher, dass die zur Verarbeitung Personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind.

3.4. Kein Lesen im gewöhnlichen Betrieb. Im Einklang mit dem Vertrag und der Datenschutzerklärung greift Studio58, Inc. im gewöhnlichen Betrieb nicht auf die Inhalte der Kundeninhalte zu. Support-Mitarbeiter greifen auf Personenbezogene Kundendaten nur auf Anfrage des Kunden (oder eines autorisierten Nutzers) zu, für den angegebenen Zweck, und jeder Zugriff wird protokolliert.

4. Unterauftragsverarbeiter

4.1. Genehmigung. Der Kunde erteilt Studio58, Inc. die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen, einschließlich des KI-Anbieters, der den Dienst antreibt. Studio58, Inc. erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens so schützend sind wie die in diesem DPA, und bleibt für die Leistung jedes Unterauftragsverarbeiters verantwortlich.

4.2. Änderungsmitteilung und Widerspruch. Studio58, Inc. informiert den Kunden mindestens 30 Tage im Voraus, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung Personenbezogener Kundendaten beginnt; in dieser Zeit kann der Kunde aus begründeten datenschutzrechtlichen Erwägungen widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Kunde den betroffenen Dienst kündigen und erhält eine anteilige Erstattung vorausbezahlter, nicht verbrauchter Entgelte. (Hinweis für Counsel/Kunde: das eigene DPA des KI-Anbieters räumt Studio58 eine 15-tägige Widerspruchsfrist hinsichtlich der nachgelagerten Unterauftragsverarbeiter des Anbieters ein; die 30-tägige Mitteilungsfrist von Studio58 gegenüber seinen Kunden ist bewusst länger und schützender. Siehe Ledger R-3.)

4.3. Der KI-Anbieter. Der KI-Anbieter (derzeit Anthropic, PBC; Anthropic Ireland, Limited für Daten aus dem EWR, dem Vereinigten Königreich und der Schweiz) ist ein Unterauftragsverarbeiter. Nach den kommerziellen Bedingungen und dem DPA des Anbieters, verifiziert am 2026-07-17, verarbeitet der Anbieter Daten als Auftragsverarbeiter, trainiert seine Modelle nicht auf Inhalten, die über sein kommerzielles Angebot übermittelt werden, und stützt sich für Weiterübermittlungen an seine eigenen Infrastruktur-Unterauftragsverarbeiter (Google Cloud, Amazon Web Services, Microsoft Azure, Cloudflare — weltweit) auf Standardvertragsklauseln. Der Kunde nimmt diese nachgelagerte Kette zur Kenntnis.

5. Internationale Datenübermittlungen

5.1. Mechanismus. Übermittelt Studio58, Inc. Personenbezogene Kundendaten betroffener Personen aus dem EWR, dem Vereinigten Königreich oder der Schweiz in ein Land ohne Angemessenheitsbeschluss, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Modul Zwei, Verantwortlicher an Auftragsverarbeiter; und Modul Drei, Auftragsverarbeiter an Auftragsverarbeiter, für Weiterübermittlungen), des UK International Data Transfer Addendum und des Schweizer Addendums, die jeweils durch Verweis in dieses DPA einbezogen und durch Anlage 3 sowie die Parteiangaben in Anlage 1 vervollständigt werden. (Studio58, Inc. muss gleichwertige SCC mit jedem seiner eigenen Nicht-KI-Unterauftragsverarbeiter abschließen, bevor es sich hierauf als abgeschlossen berufen kann — siehe Anlage 4; bis dahin beschreibt dies die beabsichtigte Standardhaltung.)

5.2. Übermittlungsfolgen. Die Parteien wirken zusammen, um jede nach Anwendbarem Datenschutzrecht vernünftigerweise erforderliche Übermittlungsfolgenabschätzung durchzuführen.

6. Sicherheit

6.1. Maßnahmen. Studio58, Inc. unterhält geeignete technische und organisatorische Maßnahmen zum Schutz Personenbezogener Kundendaten, beschrieben in Anlage 2, einschließlich Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen nach dem Prinzip der geringsten Berechtigung sowie Protokollierung von Support-Zugriffen auf Kundeninhalte.

6.2. Sicherheit der Unterauftragsverarbeiter. Der KI-Anbieter unterhält, verifiziert am 2026-07-17, AES-256-Verschlüsselung im Ruhezustand, TLS 1.2+ bei der Übertragung, MFA und rollenbasierte Zugriffskontrolle, jährliche Prüfungen und Penetrationstests durch Dritte sowie SOC-2-, ISO-27001- und ISO-42001-Zertifizierungen. Studio58, Inc. wird von seinen übrigen Unterauftragsverarbeitern vergleichbare Maßnahmen verlangen.

7. Verletzung des Schutzes personenbezogener Daten

7.1. Meldung. Studio58, Inc. benachrichtigt den Kunden unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem es von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Personenbezogene Kundendaten betrifft, mit den Informationen, die der Kunde vernünftigerweise benötigt, um seinen eigenen Meldepflichten nachzukommen. (Der KI-Anbieter verpflichtet sich, Studio58 innerhalb von 48 Stunden zu benachrichtigen; das 72-Stunden-Fenster von Studio58 gegenüber seinem Kunden liegt innerhalb des Standards von Art. 33 DSGVO und nachgelagert zur Meldung des Anbieters. Siehe Ledger / Verifizierung.)

7.2. Zusammenarbeit. Studio58, Inc. unterstützt den Kunden in angemessenem Umfang bei der Untersuchung und Eindämmung der Verletzung.

8. Unterstützung des Kunden

8.1. Anfragen betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt Studio58, Inc. den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte nach Anwendbarem Datenschutzrecht (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Wendet sich eine betroffene Person direkt an Studio58, Inc., verweist Studio58, Inc. sie an den Kunden.

8.2. Datenschutz-Folgenabschätzungen und Konsultation. Studio58, Inc. leistet dem Kunden angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden, unter Berücksichtigung der Studio58, Inc. zur Verfügung stehenden Informationen.

9. Rückgabe und Löschung

Bei Kündigung oder Ablauf des Vertrags wird Studio58, Inc. nach Wahl des Kunden Personenbezogene Kundendaten innerhalb von 30 Tagen aus seinen aktiven Systemen zurückgeben und/oder löschen; ausgenommen sind Kopien in verschlüsselten Backups, die im Backup-Rotationszyklus spätestens 90 Tage nach der Löschung aus den aktiven Systemen gelöscht werden, sowie Fälle, in denen eine Aufbewahrung gesetzlich vorgeschrieben ist. Backup-Kopien unterliegen bis zu ihrer Löschung weiterhin den Schutzbestimmungen dieses DPA. (Aufbewahrungsfristen aus Ledger R-C und R-D; die 90-Tage-Backup-Angabe ist ein schützender Standardwert, bis Engineering die tatsächliche Rotationsperiode bestätigt — Anlage 4.)

10. Prüfung

Studio58, Inc. stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses DPA nachzuweisen, und ermöglicht und trägt bei zu Prüfungen, einschließlich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten Prüfer durchgeführt werden, mit angemessener Vorankündigung, vorbehaltlich der Vertraulichkeit und ohne besonderen Anlass höchstens einmal pro Jahr. Studio58, Inc. kann diese Pflicht durch Vorlage einschlägiger Prüfberichte Dritter erfüllen (eigener oder derjenigen seiner Unterauftragsverarbeiter, etwa des SOC-2-Berichts des KI-Anbieters).

11. Allgemeines

Dieses DPA unterliegt dem für den Vertrag geltenden Recht (Staat Delaware), mit der Ausnahme, dass die SCC dem in ihnen bestimmten Recht unterliegen (Irland, für EWR-Übermittlungen). Steht eine Bestimmung dieses DPA im Widerspruch zu den SCC, gehen die SCC hinsichtlich der von ihnen geregelten Übermittlung vor. Dieses DPA tritt mit dem Vertrag in Kraft und endet mit ihm, mit Ausnahme der Bestimmungen, die ihrer Natur nach fortgelten.

Anlage 1 — Einzelheiten der Verarbeitung

Punkt Einzelheit
Gegenstand Bereitstellung des Kaldune-KI-Studio-Dienstes für den Kunden.
Dauer Die Laufzeit des Vertrags, zuzüglich der Rückgabe-/Löschfrist in Abschnitt 9.
Art und Zweck Speicherung der Kundeninhalte und Erstellung KI-gestützter Arbeit als Antwort auf die Briefings des Kunden; Konto-, Sicherheits- und Support-Vorgänge.
Kategorien personenbezogener Daten Alle personenbezogenen Daten, die der Kunde in seine Eingaben aufnimmt oder die in den Ausgaben erscheinen; Konto- und Kontaktdaten des Kunden. Der Kunde bestimmt, welche personenbezogenen Daten er übermittelt.
Besondere Kategorien Nicht vorgesehen. Der Kunde sollte keine Daten besonderer Kategorien übermitteln, es sei denn, er verfügt über eine Rechtsgrundlage und hat deren Verwendung entsprechend eingerichtet; Studio58, Inc. benötigt sie nicht für den Betrieb des Dienstes.
Betroffene Personen Wie vom Kunden bestimmt — z. B. eigene Kunden, Nutzer, Mitarbeiter oder Kontakte des Kunden, die in den Kundeninhalten vorkommen.
Verantwortlicher Der Kunde (Parteiangaben in Anlage 1 sind vom Kunden zu vervollständigen).
Auftragsverarbeiter Studio58, Inc. (Betreiber von Kaldune), c/o Corporation Service Company, 251 Little Falls Drive, Wilmington, New Castle County, DE 19808.

Anlage 2 — Sicherheitsmaßnahmen (Studio58, Inc.)

Entnommen aus dem Data-Commitment-Ledger; in Anlage 4 als assumed-default gekennzeichnete Punkte stehen unter dem Vorbehalt der Bestätigung durch Engineering.

Anlage 3 — Unterauftragsverarbeiter

Entspricht exakt §3 des Data-Commitment-Ledgers. Als assumed-default gekennzeichnete Zeilen stehen unter dem Vorbehalt der Bestätigung des tatsächlichen Anbieters durch Kunde/Engineering (Anlage 4).

Unterauftragsverarbeiter Zweck Standort Status
Anthropic, PBC (Anthropic Ireland, Limited für Kunden aus EWR/UK/Schweiz) KI-Modelle, die den Raum antreiben, über die kommerzielle API USA (irische Gesellschaft für Vertragsschlüsse mit EWR/UK/CH); nachgelagerte Infrastruktur weltweit (GCP, AWS, Azure, Cloudflare) verifiziert
Cloud-Hosting-Anbieter (noch zu benennen) App-Hosting, Datenbank, verschlüsselte Speicherung und Backups USA oder EU je nach Kunde (Region noch zu bestätigen) assumed-default
Stripe, Inc. Zahlungsabwicklung für vorausbezahlte Aufladungen (Kartendaten werden von Stripe erhoben und verarbeitet; Studio58, Inc. erhält und speichert sie nicht) USA bestätigt (kundenbestätigt 2026-07-17)
Anbieter für Transaktions-E-Mails (noch zu benennen) Konto-E-Mails, Benachrichtigungen, Passwort-Zurücksetzungen USA assumed-default
Anbieter für Produktanalytik (noch zu benennen) Aggregierte, datenschutzfreundliche Nutzungsanalytik EU oder USA (schützend: EU-gehostet, cookielos) assumed-default
Anbieter für Fehlerüberwachung (noch zu benennen) Absturz- und Fehlerdiagnose USA assumed-default
Kundensupport-Tooling (noch zu benennen) Bearbeitung von „Hilfe anfordern“-Anfragen USA assumed-default

Anlage 4 — Offene Punkte (müssen vor Unterzeichnung dieses DPA bestätigt werden)

Dies sind die als Standard gekennzeichneten Werte des Ledgers, die in dieses DPA übernommen wurden. Jeder muss vom benannten Verantwortlichen bestätigt und vor der Veröffentlichung identisch in der Datenschutzerklärung, diesem DPA und §6 der AGB festgeschrieben werden.

Punkt Standardwert dieses DPA Zuständig für die Antwort
Tatsächliche Backup-Rotationsperiode (Abschnitt 9; derzeit „spätestens 90 Tage“) 90 Tage Engineering
Hosting-Anbieter und Region (Anlage 3) Unbenannt; USA/EU schützend Kunde + Engineering
Anbieter für E-Mail, Analytik, Fehlerüberwachung, Support (Anlage 3) Unbenannte Standardwerte Kunde + Engineering
Zahlungsanbieter — GELÖST: Stripe, Inc. (kundenbestätigt 2026-07-17); muss identisch im Ledger (S-3), in der Datenschutzerklärung und in diesem DPA erscheinen Stripe benannt Kunde (erledigt) → Privacy kaskadiert Ledger S-3 auf bestätigt
Von Studio58, Inc. abgeschlossene SCC mit jedem Nicht-KI-Unterauftragsverarbeiter (Abschnitt 5.1) Als beabsichtigte Haltung angegeben, nicht abgeschlossen Counsel
Mitteilungsfrist bei Wechsel eines Unterauftragsverarbeiters (Abschnitt 4.2) 30 Tage Counsel (abgestimmt auf Ledger R-3)
Postanschrift des Auftragsverarbeiters (Anlage 1) c/o Corporation Service Company, 251 Little Falls Drive, Wilmington, New Castle County, DE 19808 Bestätigt 2026-07-17

Changelog

Datum Version Änderung Von
2026-07-17 1.1 (Entwurf) Zahlungsdienstleister als Stripe, Inc. bestätigt (kundenbestätigt 2026-07-17, im Zuge der Festlegung des vorausbezahlten Pay-as-you-go-Abrechnungsmodells). Zahlungszeile in Anlage 3 von „noch zu benennen / assumed-default“ auf Stripe, Inc. / bestätigt aktualisiert, Zweck umformuliert zu „Zahlungsabwicklung für vorausbezahlte Aufladungen“ (keine Abonnements) mit dem Hinweis, dass Kartendaten nie bei Studio58 ankommen, entsprechend §7.5 der AGB. Zahlungszeile in Anlage 4 auf GELÖST gesetzt. Koordinationshinweis: Stripe muss identisch im Ledger (S-3, derzeit assumed-default) und in der Unterauftragsverarbeiter-Tabelle der Datenschutzerklärung erscheinen — Privacy (Priya) kaskadiert S-3 auf bestätigt; DPA und AGB benennen Stripe bereits. Counsel
2026-07-17 1.0 (Entwurf) Erster Counsel-Entwurf. Rollen (Verantwortlicher/Auftragsverarbeiter/Dienstleister) präzise festgelegt. Unterauftragsverarbeiter-Anlage entspricht §3 des Data-Commitment-Ledgers wortgetreu (Anlage 3). Übermittlungsmechanismus = EU-SCC Modul 2/3 + UK IDTA + Schweizer Addendum (Ledger X-2, auf der Ebene des KI-Anbieters verifiziert 2026-07-17). Sicherheit (Anlage 2) und Sicherheit des KI-Anbieters (§6.2) auf verifizierte Feststellungen gestützt. Meldung von Datenschutzverletzungen 72h an den Kunden (Anbieter verpflichtet sich zu 48h an uns). Rückgabe/Löschung 30 Tage aktiv + ≤90 Tage Backup (Ledger R-C/R-D). Mitteilungsfrist bei Unterauftragsverarbeiter-Wechsel 30 Tage (Ledger R-3), vermerkt gegenüber der 15-Tage-Frist des Anbieters nachgelagert. Offene Punkte in Anlage 4 spiegeln die assumed-defaults des Ledgers. Counsel

← Kaldune