Auftragsverarbeitungszusatz

1. Geltungsbereich und Einbeziehung

Dieser Auftragsverarbeitungszusatz („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen EverXCloud Inc., a Delaware corporation („EverXCloud“, „wir“, „uns“) und dem Geschäftskunden („Kunde“, „Sie“) und gilt, wann immer EverXCloud bei der Erbringung der Dienste Personenbezogene Kundendaten verarbeitet. Er wird durch Verweis in die Nutzungsbedingungen einbezogen und tritt ohne Unterschrift in Kraft, wenn der Kunde die Nutzungsbedingungen annimmt. Ein Kunde, der eine unterzeichnete Ausfertigung benötigt, kann diese unter [email protected] anfordern.

Dieser AVV gilt weder für Privatkunden, die die Dienste für rein persönliche Zwecke nutzen, noch für personenbezogene Daten, die EverXCloud als eigenständiger Verantwortlicher verarbeitet (etwa Konto-, Rechnungs-, Identitätsprüfungs-, Compliance- und Support-Daten), für die die Datenschutzerklärung gilt.

2. Begriffsbestimmungen

In diesem AVV nicht definierte Begriffe haben die Bedeutung, die ihnen in den Nutzungsbedingungen zugewiesen ist.

• „Datenschutzgesetze“ bezeichnet alle Gesetze über die Verarbeitung personenbezogener Daten, die im Zusammenhang mit den Diensten auf eine Partei anwendbar sind, einschließlich, soweit anwendbar, der DSGVO, der UK GDPR und des UK Data Protection Act 2018, des Schweizer Bundesgesetzes über den Datenschutz, des CCPA und anderer Datenschutzgesetze der US-Bundesstaaten.
• „DSGVO“ bezeichnet die Verordnung (EU) 2016/679; „UK GDPR“ bezeichnet die DSGVO in der Form, in der sie Bestandteil des Rechts des Vereinigten Königreichs ist.
• „CCPA“ bezeichnet den California Consumer Privacy Act of 1999 in seiner geänderten Fassung und seine Durchführungsverordnungen.
• „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die in den Inhalten, Dateien, Software, Modellen, Datensätzen und sonstigen Daten enthalten sind, die der Kunde oder seine Nutzer auf Instanzen und andere Ressourcen der Dienste hochladen, dort speichern oder damit verarbeiten („Kundeninhalte“).
• „Unterauftragsverarbeiter“ bezeichnet jeden von EverXCloud zur Verarbeitung Personenbezogener Kundendaten beauftragten Auftragsverarbeiter, einschließlich der Anbieter.
• „Sicherheitsvorfall“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Personenbezogenen Kundendaten führt, die von EverXCloud oder seinen Unterauftragsverarbeitern verarbeitet werden.
• „SCC“ bezeichnet die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission; „UK-Addendum“ bezeichnet das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zu den SCC.
• „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“, „business“, „service provider“, „sell“ und „share“ haben die Bedeutung, die ihnen in den anwendbaren Datenschutzgesetzen zugewiesen ist.

3. Rollen der Parteien

In Bezug auf Personenbezogene Kundendaten ist der Kunde der Verantwortliche (bzw. das „business“) und EverXCloud ein Auftragsverarbeiter (bzw. „service provider“). Handelt der Kunde als Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen, handelt EverXCloud als Unterauftragsverarbeiter des Kunden, und der Kunde sichert zu, dass seine Weisungen und die Beauftragung von EverXCloud von diesem Verantwortlichen genehmigt wurden.

Jede Partei erfüllt die Pflichten, die ihr die Datenschutzgesetze auferlegen. Der Kunde ist verantwortlich für die Rechtmäßigkeit der Verarbeitung Personenbezogener Kundendaten, einschließlich des Bestehens einer Rechtsgrundlage dafür und der Bereitstellung der erforderlichen Informationen an die betroffenen Personen, sowie für die Richtigkeit und Qualität der Personenbezogenen Kundendaten und die Mittel, mit denen sie erlangt wurden.

4. Einzelheiten der Verarbeitung

• Gegenstand: Bereitstellung von GPU-Recheninfrastruktur (Instanzen, Netzwerkzugang und zugehörige Dienste) für den Kunden.
• Art: Hosting, Speicherung, Berechnung und Übertragung, die von der Infrastruktur automatisch auf Veranlassung des Kunden durchgeführt werden. EverXCloud stellt ausschließlich Infrastruktur bereit: Es greift auf Kundeninhalte nicht zu und prüft, analysiert oder verwendet sie nicht, außer soweit dies zur Erbringung der Dienste, zur Verhinderung oder Behebung eines Sicherheits- oder technischen Problems, zur Untersuchung eines mutmaßlichen Verstoßes gegen die Richtlinie zur zulässigen Nutzung oder zur Einhaltung von Gesetzen erforderlich ist, jeweils wie nach diesem AVV zulässig.
• Zweck: Erfüllung der Nutzungsbedingungen und der Bestellungen des Kunden.
• Dauer: die Laufzeit der Nutzungsbedingungen und der Zeitraum bis zur Löschung der Personenbezogenen Kundendaten gemäß Abschnitt 12.
• Kategorien betroffener Personen und personenbezogener Daten: ausschließlich vom Kunden bestimmt, je nach den Kundeninhalten, die er zu verarbeiten beschließt. Der Kunde darf über die Dienste keine besonderen Kategorien personenbezogener Daten, keine personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten, keine geschützten Gesundheitsinformationen und keine Zahlungskartendaten verarbeiten, es sei denn, er hat geeignete Schutzmaßnahmen getroffen und, soweit die Richtlinie zur zulässigen Nutzung dies verlangt, die vorherige schriftliche Zustimmung von EverXCloud eingeholt.
• Ort: das vom Kunden für jede Instanz ausgewählte Rechenzentrum, wie im Portal angegeben.

5. Verarbeitung auf dokumentierte Weisung

EverXCloud verarbeitet Personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland, sofern es nicht durch ein Gesetz, dem EverXCloud unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt EverXCloud dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Nutzungsbedingungen, dieser AVV, die Konfiguration und Nutzung der Dienste durch den Kunden sowie seine Bestellungen stellen die vollständigen Weisungen des Kunden dar. Zusätzliche Weisungen bedürfen der schriftlichen Zustimmung von EverXCloud und können kostenpflichtig sein. EverXCloud informiert den Kunden unverzüglich, wenn eine Weisung seiner Auffassung nach gegen Datenschutzgesetze verstößt; es ist nicht verpflichtet, Kundeninhalte rechtlich zu prüfen.

6. Vertraulichkeit

EverXCloud gewährleistet, dass sich die zur Verarbeitung der Personenbezogenen Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass der Zugriff auf Mitarbeiter beschränkt ist, die ihn zur Erbringung der Dienste benötigen.

7. Sicherheitsmaßnahmen

EverXCloud trifft und unterhält die nachstehend beschriebenen technischen und organisatorischen Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen. EverXCloud kann diese Maßnahmen aktualisieren, sofern das Gesamtsicherheitsniveau nicht wesentlich verringert wird.

• Isolierung: Jede Instanz läuft in einer isolierten Umgebung; Kundeninhalte werden nicht zwischen Kunden geteilt.
• Verschlüsselung und Löschung des Arbeitsbereichs: Die Arbeitsbereiche von Instanzen werden mit einem Zufallsschlüssel verschlüsselt, der nie auf einen Datenträger geschrieben und am Ende der Instanz vernichtet wird, wodurch die Daten unlesbar werden; ist auf einem Host keine Verschlüsselung verfügbar, wird der Arbeitsbereich vor der Löschung überschrieben.
• Verschlüsselung bei der Übertragung: Der Zugriff auf das Portal und die Programmierschnittstelle erfolgt über TLS; der Zugriff auf Instanzen erfolgt über SSH oder verschlüsselte Verbindungen.
• Verschlüsselung sensibler Plattformdaten und von Sicherungen im Ruhezustand, wobei die Schlüssel getrennt von den verschlüsselten Daten aufbewahrt werden.
• Zugriffskontrolle: Zugriff nach dem Prinzip der geringsten Berechtigung, Multi-Faktor-Authentifizierung für administrative Zugriffe, individuelle Konten und Protokollierung administrativer Handlungen.
• Netzwerksicherheit: Firewalls, Ratenbegrenzung und Schutz vor Denial-of-Service-Angriffen über unseren Anbieter für Inhaltsauslieferung und Sicherheit.
• Betriebssicherheit: Sicherheitsupdates, Überwachung und Alarmierung, Schwachstellenmanagement und dokumentierte Reaktion auf Vorfälle.
• Belastbarkeit: tägliche verschlüsselte Sicherungen der Plattformdaten, die extern gespeichert werden; Kundeninhalte auf Instanzen werden von EverXCloud nicht gesichert, es sei denn, der Kunde nutzt einen Dienst, der dies ausdrücklich vorsieht.
• Unterauftragsverarbeiter und Anbieter: vertragliche Pflichten, die mindestens dasselbe Schutzniveau wie dieser AVV bieten, einschließlich Isolierung, Löschung von Speicher zwischen Anmietungen und Meldung von Vorfällen.

Der Kunde ist für die Sicherheit seiner Nutzung der Dienste verantwortlich, einschließlich des Schutzes seiner Kontozugangsdaten, API-Schlüssel und SSH-Schlüssel, der sicheren Konfiguration seiner Instanzen, der Verschlüsselung von Kundeninhalten, soweit angemessen, und der Erstellung eigener Sicherungen.

8. Unterauftragsverarbeiter

Der Kunde erteilt EverXCloud eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern, einschließlich der Anbieter, die die Hardware betreiben, auf der Instanzen laufen, und der Infrastrukturdienstleister von EverXCloud. Die aktuelle Liste der Unterauftragsverarbeiter mit ihrem Standort und ihrer Funktion ist für den Kunden auf Anfrage unter [email protected] erhältlich.

EverXCloud informiert den Kunden mindestens 15 Tage im Voraus per E-Mail oder über das Portal über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus begründeten datenschutzbezogenen Gründen Einspruch erheben, indem er an [email protected] schreibt. Die Parteien erörtern den Einspruch nach Treu und Glauben; EverXCloud kann eine Alternative vorschlagen, etwa die Ausführung der Workloads des Kunden ausschließlich an Standorten, die den betreffenden Unterauftragsverarbeiter nicht einsetzen. Wird innerhalb von 30 Tagen keine Lösung gefunden, kann der Kunde die betroffenen Dienste kündigen und eine Erstattung des nicht genutzten Prepaid-Guthabens gemäß der Erstattungs- und Stornierungsrichtlinie erhalten; dies ist der einzige Rechtsbehelf des Kunden im Hinblick auf den Einspruch.

Wählt der Kunde im Portal einen bestimmten Anbieter, Standort oder ein bestimmtes Angebot aus, stellt diese Auswahl die Weisung und Genehmigung des Kunden zum Einsatz des betreffenden Anbieters dar.

EverXCloud erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die mindestens dasselbe Schutzniveau wie dieser AVV bieten, und haftet gegenüber dem Kunden für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach Maßgabe der Datenschutzgesetze und vorbehaltlich Abschnitt 16.

9. Unterstützung bei Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt EverXCloud den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen. Da der Kunde die Kundeninhalte kontrolliert, wird der Kunde Anfragen in den meisten Fällen direkt mithilfe der Dienste beantworten. Erhält EverXCloud von einer betroffenen Person eine Anfrage zu Personenbezogenen Kundendaten, verweist es die betroffene Person an den Kunden, sofern dieser identifizierbar ist, und antwortet nicht selbst, außer um die Weiterleitung zu bestätigen oder soweit gesetzlich vorgeschrieben.

10. Unterstützung bei Sicherheit, Folgenabschätzungen und Konsultationen

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt EverXCloud den Kunden in angemessenem Umfang bei der Einhaltung seiner Pflichten in Bezug auf die Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzungen und die vorherige Konsultation von Aufsichtsbehörden, insbesondere durch Bereitstellung von Informationen über die Dienste und die in Abschnitt 7 beschriebenen Maßnahmen. Über solche Informationen hinausgehende Unterstützung kann angemessenen Gebühren unterliegen.

11. Sicherheitsvorfälle

EverXCloud benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm ein Sicherheitsvorfall bekannt geworden ist. Die Benachrichtigung wird an die mit dem Konto des Kunden verknüpfte E-Mail-Adresse gesendet und beschreibt, soweit bekannt, die Art des Sicherheitsvorfalls, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Sind Informationen nicht sofort verfügbar, werden sie ohne weitere unangemessene Verzögerung schrittweise bereitgestellt.

EverXCloud ergreift angemessene Maßnahmen, um den Sicherheitsvorfall einzudämmen, zu untersuchen und seine Folgen abzumildern, und arbeitet mit dem Kunden zusammen, damit dieser seine eigenen Meldepflichten erfüllen kann. Die Meldung eines Sicherheitsvorfalls ist kein Eingeständnis eines Verschuldens oder einer Haftung. Erfolglose Versuche oder Aktivitäten, die die Sicherheit Personenbezogener Kundendaten nicht beeinträchtigen, etwa Pings, Port-Scans oder fehlgeschlagene Anmeldeversuche, sind keine Sicherheitsvorfälle.

12. Löschung und Rückgabe

Der Kunde kann Kundeninhalte während der Laufzeit jederzeit mithilfe der Dienste abrufen. Am Ende einer Instanz wird ihr Arbeitsbereich wie in Abschnitt 7 beschrieben vernichtet. EverXCloud stellt keinen persistenten Speicher bereit. Sonstige gespeicherte Kundeninhalte werden gemäß den Nutzungsbedingungen gelöscht, spätestens jedoch innerhalb von 30 Tagen nach Beendigung der Nutzungsbedingungen, sofern nicht ein Gesetz, dem EverXCloud unterliegt, eine weitere Speicherung verlangt.

Gelöschte Kundeninhalte können nicht wiederhergestellt werden. Es liegt in der Verantwortung des Kunden, Kundeninhalte vor dem Ende einer Instanz abzurufen.

13. Informationen und Audits

EverXCloud stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV und des Artikels 28 der DSGVO und der UK GDPR nachzuweisen. Der Kunde verpflichtet sich, seine Prüfrechte zunächst durch Prüfung dieser Informationen auszuüben, einschließlich schriftlicher Antworten auf angemessene Sicherheitsfragebögen und etwaiger von EverXCloud eingeholter Prüfberichte Dritter.

Reichen diese Informationen zum Nachweis der Einhaltung nicht aus oder verlangt eine Aufsichtsbehörde dies, kann der Kunde selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer, der kein Wettbewerber von EverXCloud ist, höchstens einmal in einem Zeitraum von zwölf Monaten (außer nach einem den Kunden betreffenden Sicherheitsvorfall oder auf Verlangen einer Aufsichtsbehörde) mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen während der Geschäftszeiten ein Audit oder eine Inspektion durchführen, ohne die Dienste zu stören und vorbehaltlich des Schutzes vertraulicher Informationen von EverXCloud, seinen anderen Kunden und den Anbietern. Der Kunde trägt die Kosten des Audits und erstattet EverXCloud dessen angemessene Kosten. Audits bei Anbietern werden über die Informations- und Prüfrechte durchgeführt, die EverXCloud aus seinen Verträgen mit ihnen zustehen.

14. Internationale Übermittlungen

EverXCloud ist in den Vereinigten Staaten niedergelassen und verarbeitet Personenbezogene Kundendaten in den Vereinigten Staaten und an den vom Kunden ausgewählten Standorten. Der Kunde genehmigt Übermittlungen Personenbezogener Kundendaten in die Vereinigten Staaten und an die Standorte der Unterauftragsverarbeiter nach Maßgabe dieses Abschnitts.

Soweit die Verarbeitung durch EverXCloud eine Übermittlung von der DSGVO unterliegenden Personenbezogenen Kundendaten in ein Land ohne Angemessenheitsbeschluss umfasst, werden die SCC durch Verweis in diesen AVV einbezogen und gelten wie folgt: Modul 2 (Verantwortlicher an Auftragsverarbeiter), wenn der Kunde Verantwortlicher ist, und Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde Auftragsverarbeiter ist; der Kunde ist Datenexporteur und EverXCloud Datenimporteur; Klausel 7 (Kopplungsklausel) findet Anwendung; nach Klausel 9 Buchstabe a gilt Option 2 (allgemeine schriftliche Genehmigung) mit der in Abschnitt 8 festgelegten Frist; die fakultative Formulierung in Klausel 11 Buchstabe a findet keine Anwendung; nach Klausel 13 wird die zuständige Aufsichtsbehörde gemäß dieser Klausel bestimmt; nach Klausel 17 unterliegen die SCC dem Recht Irlands; nach Klausel 18 werden Streitigkeiten von den Gerichten Irlands entschieden; Anhang I wird durch die Abschnitte 3 und 4 dieses AVV und die Kontodaten des Kunden ausgefüllt; Anhang II wird durch Abschnitt 7 ausgefüllt; Anhang III wird durch die in Abschnitt 8 genannte Liste ausgefüllt.

Für Übermittlungen, die der UK GDPR unterliegen, wird das UK-Addendum durch Verweis einbezogen und mit den vorstehenden Angaben ausgefüllt; keine Partei kann das UK-Addendum nach dessen Section 19 beenden. Für Übermittlungen, die dem Schweizer Bundesgesetz über den Datenschutz unterliegen, gelten die SCC mit den erforderlichen Anpassungen, wobei der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte die zuständige Aufsichtsbehörde ist und Verweise auf Mitgliedstaaten die Schweiz einschließen.

Bei Widersprüchen zwischen den SCC oder dem UK-Addendum und diesem AVV oder den Nutzungsbedingungen gehen die SCC bzw. das UK-Addendum vor. EverXCloud kann den vorstehenden Übermittlungsmechanismus durch Mitteilung an den Kunden durch einen anderen nach den Datenschutzgesetzen anerkannten Mechanismus ersetzen, einschließlich einer Zertifizierung nach dem EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework).

15. Bestimmungen für Dienstleister nach dem CCPA

Soweit Personenbezogene Kundendaten personenbezogene Informationen umfassen, die dem CCPA oder einem vergleichbaren Datenschutzgesetz eines US-Bundesstaats unterliegen, handelt EverXCloud als „service provider“ (bzw. Auftragsverarbeiter) und verarbeitet sie für den begrenzten und festgelegten Geschäftszweck der Erbringung der in den Nutzungsbedingungen beschriebenen Dienste. EverXCloud wird:

• die personenbezogenen Informationen weder verkaufen noch weitergeben („sell“ oder „share“);
• die personenbezogenen Informationen nicht für andere Zwecke, einschließlich kommerzieller Zwecke, als die in diesem AVV festgelegten Geschäftszwecke oder außerhalb der direkten Geschäftsbeziehung zwischen EverXCloud und dem Kunden aufbewahren, verwenden oder offenlegen, außer soweit der CCPA dies zulässt;
• die personenbezogenen Informationen nicht mit personenbezogenen Informationen kombinieren, die es von einer anderen Person oder in deren Auftrag erhält oder aus eigenen Interaktionen mit Verbrauchern erhebt, außer soweit der CCPA dies zulässt.

EverXCloud erfüllt die nach dem CCPA für es geltenden Pflichten und bietet dasselbe Datenschutzniveau, wie es der CCPA verlangt. Es benachrichtigt den Kunden, wenn es feststellt, dass es seine Pflichten nicht mehr erfüllen kann. Der Kunde kann gemäß Abschnitt 13 angemessene und geeignete Maßnahmen ergreifen, um sicherzustellen, dass EverXCloud die personenbezogenen Informationen in einer mit den Pflichten des Kunden vereinbaren Weise verwendet, und nach Mitteilung eine unbefugte Verwendung zu unterbinden und zu beheben. EverXCloud bestätigt, dass es die Beschränkungen dieses Abschnitts versteht und einhalten wird.

16. Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV, einschließlich der SCC, soweit diese es zulassen, unterliegt den in den Nutzungsbedingungen festgelegten Haftungsausschlüssen und -beschränkungen, die insgesamt für alle Ansprüche aus den Nutzungsbedingungen und diesem AVV gelten. Dieser Abschnitt beschränkt weder die Rechte betroffener Personen nach den SCC noch eine Haftung, die nach anwendbarem Recht nicht beschränkt werden kann.

17. Laufzeit, Rangfolge und Änderungen

Dieser AVV bleibt so lange in Kraft, wie EverXCloud Personenbezogene Kundendaten im Auftrag des Kunden verarbeitet.

Bei Widersprüchen gilt folgende Rangfolge: die SCC und das UK-Addendum, soweit anwendbar; dann dieser AVV; dann die Nutzungsbedingungen und die übrigen darin einbezogenen Richtlinien. Dieser AVV geht den Nutzungsbedingungen in allen Fragen der Verarbeitung Personenbezogener Kundendaten vor.

EverXCloud kann diesen AVV ändern, soweit dies durch eine Änderung der Datenschutzgesetze, eine Entscheidung einer Aufsichtsbehörde oder eines Gerichts oder eine Änderung der Dienste erforderlich wird, die den Schutz Personenbezogener Kundendaten nicht wesentlich verringert, indem es die aktualisierte Fassung veröffentlicht und den Kunden mindestens 30 Tage im Voraus benachrichtigt. Dieser AVV unterliegt dem Recht, dem die Nutzungsbedingungen unterliegen, mit Ausnahme der SCC und des UK-Addendums, die dem darin angegebenen Recht unterliegen.

Gültigkeitsdatum: 19. Oktober 2026. Version 2026-10-19.