Auftragsdatenverarbeitungsvertrag

Gültigkeit

Bei der englischen Fassung dieses Auftragsdatenverarbeitungsvertrages handelt es sich lediglich um eine Übersetzung. Verbindliche Sprache dieses Auftragsdatenverarbeitungsvertrages ist Deutsch. Die deutsche Fassung dieses Auftragsdatenverarbeitungsvertrags ist vorrangig.

Vorbemerkung

Im Rahmen der Nutzung der von TelemetryDeck bereitgestellten Softwarelösung zur Analyse der Nutzung von Apps (nachfolgend „Leistung“) bindet der Auftraggeber ein von TelemetryDeck bereitgestelltes Software Development Kit (SDK) in seine App ein. Die Leistung dient der statistischen Auswertung von App-Nutzungen und der Optimierung von Apps.

Diese Vereinbarung ist Bestandteil der zwischen den Parteien geltenden Nutzungsbedingungen „Terms of Service“ vom 6. März 2026 (nachfolgend „Nutzungsbedingungen“) und regelt ergänzend die datenschutzbezogenen Rahmenbedingungen der Leistung, insbesondere die technische Ausgestaltung sowie die flankierenden Sicherheits-, Transparenz- und Nachweispflichten zur vertraglichen Dokumentation und zur Wahrung der berechtigten Compliance-Interessen des Auftraggebers.

1. Gegenstand, Dauer und Anwendungsbereich der Vereinbarung

(1) Gegenstand dieser Vereinbarung sind die datenschutzbezogenen Sicherheits- und Verarbeitungsaspekte der von TelemetryDeck gegenüber dem Auftraggeber erbrachten Leistungen im Zusammenhang mit der Analyse der Nutzung von Apps mittels des von TelemetryDeck bereitgestellten SDK.

(2) Art und Umfang der Leistungen sowie deren Dauer ergeben sich aus den jeweils geltenden Nutzungsbedingungen. Diese Vereinbarung gilt für die Dauer der Nutzung der Leistung durch den Auftraggeber.

2. Rollenverständnis und Abgrenzung zur Auftragsverarbeitung

(1) Die Parteien sind sich darüber einig, dass TelemetryDeck im Rahmen der Leistung keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO verarbeitet. Maßgeblich ist insoweit die Perspektive von TelemetryDeck als Leistungserbringer. Die von TelemetryDeck verarbeiteten Daten lassen aus Sicht von TelemetryDeck keine Identifizierung einer natürlichen Person zu.

(2) TelemetryDeck verarbeitet die Daten weder im Auftrag noch auf Weisung des Auftraggebers. Der Auftraggeber hat keinen Einfluss auf die Zwecke und Mittel der durch TelemetryDeck vorgenommenen Verarbeitung der anonymisierten Daten.

(3) Die Parteien stellen klar, dass TelemetryDeck weder als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO noch als gemeinsam Verantwortlicher im Sinne von Art. 26 DSGVO tätig wird. Die Regelungen der Art. 26 und 28 DSGVO finden auf die Leistungen von TelemetryDeck keine Anwendung.

(4) Diese Vereinbarung begründet keine datenschutzrechtliche Rollenverteilung im Sinne der DSGVO, sondern dient ausschließlich der vertraglichen Dokumentation der technischen und organisatorischen Rahmenbedingungen der Leistung sowie der Transparenz gegenüber dem Auftraggeber.

(5) Ändern sich die tatsächlichen oder rechtlichen Rahmenbedingungen der Leistung dergestalt, dass die von TelemetryDeck verarbeiteten Daten aus Sicht von TelemetryDeck nicht mehr als anonym im Sinne von Erwägungsgrund 26 DSGVO anzusehen sind, treten die Parteien unverzüglich in Verhandlungen über eine Anpassung dieser Vereinbarung ein. Eine solche Änderung führt nicht automatisch zur Begründung eines Auftragsverarbeitungsverhältnisses.

3. Anonymisierung, Systemsicherheit und technische Garantien

(1) TelemetryDeck sichert zu, dass die technische Ausgestaltung der Leistung so erfolgt, dass die von TelemetryDeck verarbeiteten Daten aus Sicht von TelemetryDeck keinen Bezug zu einer identifizierten oder identifizierbaren natürlichen Person aufweisen. Eine Re-Identifikation einzelner natürlicher Personen ist nach dem Stand der Technik und unter Berücksichtigung aller vernünftigerweise einsetzbaren Mittel praktisch ausgeschlossen.

(2) TelemetryDeck verfügt weder über zusätzliche Informationen noch über technische Mittel, die es ermöglichen würden, einen Personenbezug herzustellen oder wiederherzustellen.

(3) TelemetryDeck trifft angemessene technische und organisatorische Maßnahmen zur Sicherstellung der Integrität, Verfügbarkeit und Sicherheit der für die Leistung eingesetzten Systeme. Die zum Zeitpunkt des Vertragsschlusses bestehenden Maßnahmen sind im Dokument „Technische und organisatorische Maßnahmen (TOMs)“ beschrieben, das auf Anfrage bereit gestellt wird.

(4) Die technische Ausgestaltung der Leistung, einschließlich der Anonymisierungsverfahren und der technischen und organisatorischen Maßnahmen, unterliegt der technischen Weiterentwicklung. TelemetryDeck ist berechtigt, Anpassungen vorzunehmen, sofern das durch diese Vereinbarung zugesicherte Sicherheits- und Anonymisierungsniveau nicht unterschritten wird.

4. Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung und etwaigen Vorverarbeitung von Daten innerhalb seiner App verantwortlich. Dies umfasst insbesondere die Einhaltung der datenschutzrechtlichen Informationspflichten gegenüber den Nutzenden der App sowie die rechtliche Zulässigkeit der Einbindung des SDK.

(2) Der Auftraggeber definiert eigenverantwortlich, welche Ereignisse, Zustände oder sonstigen Informationen innerhalb der App als Events erfasst werden. Er stellt sicher, dass über die Eventdefinitionen keine Inhalte übermittelt werden, die aus Sicht von TelemetryDeck einen Personenbezug herstellen oder wiederherstellen könnten.

(3) Der Auftraggeber integriert und konfiguriert das SDK entsprechend den von TelemetryDeck bereitgestellten technischen Vorgaben. Abweichungen hiervon oder individuelle Anpassungen, die dazu führen können, dass aus Sicht von TelemetryDeck ein Personenbezug hergestellt oder wiederhergestellt wird, liegen im Verantwortungsbereich des Auftraggebers.

(4) Erkennt der Auftraggeber, dass durch die Konfiguration des SDK, durch die Definition von Events oder durch sonstige Umstände Daten verarbeitet oder übermittelt werden könnten, die aus Sicht von TelemetryDeck nicht mehr als anonym im Sinne dieser Vereinbarung anzusehen sind, hat er TelemetryDeck hierüber unverzüglich zu informieren.

(5) Der Auftraggeber stellt TelemetryDeck von solchen Ansprüchen Dritter frei, soweit diese auf einem schuldhaften Verstoß des Auftraggebers gegen die ihm nach dieser Vereinbarung obliegenden Pflichten beruhen.

5. Pflichten von TelemetryDeck, Transparenz und Nachweise

(1) TelemetryDeck stellt dem Auftraggeber in geeigneter Weise Informationen zur Verfügung, die es diesem ermöglichen, die Einhaltung der in Ziffer 3 zugesicherten Anonymisierungs- und Sicherheitsstandards nachvollziehen zu können. Dies umfasst insbesondere allgemeine Beschreibungen der technischen Arbeitsweise sowie der eingesetzten Sicherheitskonzepte.

(2) Der Auftraggeber ist berechtigt, von TelemetryDeck den Nachweis zu verlangen, dass die in Ziffer 3 Abs. 1 bis 3 zugesicherten technischen Garantien eingehalten werden. Der Nachweis erfolgt nach Wahl von TelemetryDeck durch geeignete Dokumentationen, technische Beschreibungen, Berichte unabhängiger Dritter oder vergleichbare geeignete Nachweismittel.

(3) Weitergehende Prüfungen, insbesondere Vor-Ort-Kontrollen oder Audits, schuldet TelemetryDeck nicht. Gesetzliche Kontroll- oder Prüfungsrechte des Auftraggebers bleiben unberührt, soweit sie unabhängig von dieser Vereinbarung bestehen.

(4) TelemetryDeck informiert den Auftraggeber in angemessener Weise über wesentliche Änderungen der technischen Ausgestaltung der Leistung, soweit diese geeignet sind, die in Ziffer 3 zugesicherten Eigenschaften der Leistung zu berühren.

(5) TelemetryDeck ist nicht verpflichtet, Informationen offenzulegen, deren Offenlegung Betriebs- oder Geschäftsgeheimnisse von TelemetryDeck oder Dritten beeinträchtigen würde oder die Rückschlüsse auf Systeme, Prozesse oder Daten anderer Kunden zulassen.

6. Einsatz von Dritten / Infrastrukturleistungen

(1) TelemetryDeck ist berechtigt, zur Erbringung der Leistung Dritte einzusetzen, soweit dies für den Betrieb, die Wartung, die Sicherheit oder die Weiterentwicklung der eingesetzten Systeme erforderlich ist. Hierzu zählen insbesondere Infrastruktur-, Hosting-, Wartungs-, Support- und Sicherheitsdienstleistungen.

(2) Der Einsatz solcher Dritter begründet kein Auftragsverarbeitungsverhältnis im Sinne von Art. 28 DSGVO. Insbesondere handelt es sich bei den von TelemetryDeck eingesetzten Dritten nicht um weitere Auftragsverarbeiter des Auftraggebers.

(3) TelemetryDeck stellt sicher, dass die eingesetzten Dritten keinen Zugriff auf Daten erhalten, der über das zur Erbringung der jeweiligen Leistung technisch Erforderliche hinausgeht, und dass geeignete vertragliche Regelungen bestehen, die den Schutz der Systeme sowie die Einhaltung des in dieser Vereinbarung zugesicherten Sicherheits- und Anonymisierungsniveaus gewährleisten.

(4) Eine Weitergabe von personenbezogenen Daten des Auftraggebers an Dritte durch TelemetryDeck findet nicht statt. Die Einbindung von Dritten erfolgt ausschließlich im Rahmen der Verarbeitung anonymisierter Daten oder rein systembezogener Informationen.

(5) Der Auftraggeber hat keinen Anspruch auf Zustimmung, vorherige Unterrichtung oder Widerspruch hinsichtlich des Einsatzes einzelner Dritter, sofern das durch diese Vereinbarung zugesicherte Sicherheits- und Anonymisierungsniveau gewahrt bleibt.

7. Umgang mit Anfragen betroffener Personen

(1) Die Parteien sind sich darüber einig, dass TelemetryDeck im Rahmen der Leistung nicht Adressat von Betroffenenrechten im Sinne der Art. 12 ff. DSGVO ist.

(2) Soweit Anfragen betroffener Personen im Zusammenhang mit der App des Auftraggebers unmittelbar an TelemetryDeck herangetragen werden, wird TelemetryDeck diese Anfragen ohne inhaltliche Prüfung an den Auftraggeber weiterleiten, sofern ein Bezug zum Auftraggeber erkennbar ist.

(3) Weitergehende Verpflichtungen von TelemetryDeck zur Unterstützung bei der Erfüllung von Betroffenenrechten bestehen nicht.

8. Haftung

Die Haftung der Parteien im Zusammenhang mit dieser Vereinbarung richtet sich nach den Haftungsregelungen der Nutzungsbedingungen.

9. Schlussbestimmungen

(1) Diese Vereinbarung ergänzt die Nutzungsbedingungen. Im Falle von Widersprüchen gehen die Regelungen dieser Vereinbarung vor, soweit sie speziellere datenschutzbezogene Regelungen enthalten; im Übrigen gelten die Nutzungsbedingungen.

(2) Es gilt das in den Nutzungsbedingungen vereinbarte Recht. Gerichtsstand ist der in den Nutzungsbedingungen vereinbarte Gerichtsstand.