Auftragsverarbeitungsvertrag

1. Parteien und Abschluss

Der Auftragsverarbeiter ist RessursAgent AS, norwegische Organisationsnummer 935 854 067, Gydas vei 22, 0363 Oslo, Norwegen. Datenschutzkontakt: privacy@ressursagent.no. Der Verantwortliche ist der im Servicevertrag identifizierte Kunde. Anhang D kann den Kunden und den vereinbarten Service durch Bezugnahme auf diese Bestellung identifizieren; es ist keine zweite Kopie von Informationen erforderlich, die dort bereits eindeutig aufgezeichnet sind.

Diese Vereinbarung und ihre Anhänge sind schriftlich, einschließlich elektronisch, abzuschließen, bevor mit der Verarbeitung im Auftrag des Kunden begonnen wird. Die Parteien können diese identifizierte Version in einen akzeptierten Serviceauftrag aufnehmen, ohne eine separate handschriftliche Unterschrift. Der bloße Besuch dieser Seite stellt keine Zustimmung dar. Eine separat abgeschlossene Vereinbarung zur Auftragsdatenverarbeitung bleibt in Kraft, sofern die Parteien nicht vereinbaren, sie zu ersetzen. Bei einem Konflikt mit der Servicevereinbarung hat diese Vereinbarung zur Datenverarbeitung Vorrang bei der Verarbeitung personenbezogener Daten.

Diese DPA, einschließlich ihrer Anhänge und etwaiger vereinbarter kundenspezifischer Anweisungen, ist Bestandteil des im Anhang D bezeichneten RessursAgent Servicevertrags. Das vereinbarte Abonnement/der Auftrag und die anwendbaren RessursAgent-Bedingungen regeln kommerzielle Angelegenheiten. Die angenommene Fassung ist zusammen mit dem Kundenvertrag aufzubewahren.

2. Umfang, Zweck und Dauer

Diese Vereinbarung regelt die Verarbeitung zur Bereitstellung und Unterstützung von RessursAgent: Mein Plan, Projektplanung, Ressourcenplanung, strategische Planung sowie vereinbarte KI-, Kommunikations- und Verbindungsfunktionen. Anhang A legt den Gegenstand, die Art, die Zwecke, die Dauer, die Arten personenbezogener Daten und die Kategorien der betroffenen Personen fest. Die Vereinbarung gilt, solange RessursAgent oder ein Unterauftragsverarbeiter personenbezogene Daten im Auftrag des Kunden verarbeitet, einschließlich der Rückgabe- und Löschfrist.

Der Kunde bestimmt die Zwecke und die wesentlichen Mittel. RessursAgent bestimmt die praktischen technischen Anordnungen innerhalb dieser Anweisungen. Benutzerkonten, Zugriffsberechtigungen und Aktivitätsprotokolle werden abgedeckt, wenn sie verarbeitet werden, um den Service im Auftrag des Kunden zu erbringen. Daten, die von RessursAgent für eigene, gesonderte Zwecke verarbeitet werden, wie Abrechnung und Kundenkontaktpflege, müssen in der Datenschutzerklärung gesondert beschrieben werden. Daten fallen nicht außerhalb dieser Vereinbarung, nur weil es sich um Betriebsdaten handelt.

3. Definitionen und anwendbares Datenschutzrecht

Anwendbares Datenschutzrecht bedeutet die Verordnung (EU) 2016/679 (die Datenschutz-Grundverordnung oder DSGVO), wie sie im EWR gilt und durch das norwegische Datenschutzgesetz vom 15. Juni 2018 Nr. 38 in das norwegische Recht übernommen wurde, zusammen mit anwendbarer ergänzender Datenschutzgesetzgebung. Die Vereinbarung soll die nach Artikel 28 DSGVO erforderlichen Verarbeitungsregelungen festlegen. Obligatorische Schutzmaßnahmen nach geltendem Recht bleiben unberührt.

Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Verletzung des Schutzes personenbezogener Daten und Aufsichtsbehörde haben die in der DSGVO festgelegte Bedeutung. Ein Nutzer ist eine vom Kunden zur Nutzung des Dienstes berechtigte natürliche Person. Ein Unterauftragsverarbeiter ist ein weiterer Auftragsverarbeiter, den RessursAgent mit der Verarbeitung personenbezogener Daten im Auftrag des Kunden beauftragt.

Kundendaten sind Informationen, die nach den Weisungen des Kunden an den Dienst übermittelt oder darin erzeugt werden. Dieser Vertrag regelt die darin enthaltenen personenbezogenen Daten, einschließlich Planungsdaten, Kommunikation, Dokumenten und Analyseergebnissen. Ob RessursAgent bei einer bestimmten Tätigkeit als Auftragsverarbeiter oder Verantwortlicher handelt, richtet sich nach deren tatsächlichem Zweck und den jeweiligen Verantwortlichkeiten gemäß Ziffer 2.

Service bedeutet die RessursAgent-Software-as-a-Service-Anwendung bei app.ressursagent.no und die mit dem Kunden vereinbarten Funktionen. Kundendaten umfassen Informationen, die von autorisierten Nutzern eingegeben oder importiert werden, sowie die daraus resultierenden Planungsunterlagen. Der Kunde behält seine Rechte an den eingereichten Inhalten; diese DPA erlaubt die Verarbeitung nur, um den vereinbarten Service bereitzustellen und gesetzmäßige Anweisungen zu erfüllen. Laufzeit des Abonnements, Preisgestaltung, Supportverpflichtungen und Kündigungsfrist sind im Servicevertrag festgelegt und nicht aus den Bedingungen eines anderen Anbieters abzuleiten.

4. Dokumentierte Anweisungen

RessursAgent darf personenbezogene Daten nur gemäß den dokumentierten Anweisungen des Kunden verarbeiten, einschließlich Anweisungen bezüglich der Offenlegung und Übermittlung außerhalb des EWR. Anweisungen umfassen diese Vereinbarung, deren ausgefüllte Anhänge und Anfragen von autorisierten Benutzern innerhalb der vereinbarten Servicefunktionalität, einschließlich API und MCP. Die Parteien dokumentieren nachfolgende Anweisungen und Änderungen des Verarbeitungsumfangs schriftlich.

RessursAgent darf personenbezogene Daten, die im Rahmen dieser Vereinbarung verarbeitet werden, nicht für eigene nicht verwandte Zwecke, Werbung, Datenverkauf oder kundenübergreifendes Profiling verwenden. Wenn RessursAgent einen separaten Zweck und wesentliche Verarbeitungsschritte bestimmt, richten sich die rechtlichen Verantwortlichkeiten nach der tatsächlichen Rolle gemäß geltendem Recht; diese Vereinbarung autorisiert keine solche Zweckänderung.

Wenn EU-/EWR- oder norwegisches Recht, das für RessursAgent verbindlich ist, die Verarbeitung außerhalb der Anweisungen des Kunden erfordert, wird RessursAgent den Kunden über diese gesetzliche Anforderung vor der Verarbeitung informieren, es sei denn, das Gesetz verbietet dies aus wichtigen Gründen des öffentlichen Interesses. RessursAgent wird den Kunden unverzüglich informieren, wenn eine Anweisung den Anschein erweckt, die geltenden Datenschutzgesetze zu verletzen, und die betroffene Anweisung aussetzen, bis ein rechtmäßiges Vorgehen festgestellt wird.

5. Verantwortlichkeiten des Kunden und Datenminimierung

Der Kunde muss eine rechtmäßige Grundlage gemäß Artikel 6 DSGVO bestimmen und dokumentieren, die nach den Artikeln 13 und 14 erforderlichen Informationen bereitstellen und die Grundsätze in Artikel 5 einhalten. Der Kunde muss sicherstellen, dass personenbezogene Daten angemessen, relevant, auf das Notwendige beschränkt, genau und nicht länger als für die angegebenen Zwecke erforderlich aufbewahrt werden. Benutzerberechtigungen, Aufbewahrungsanweisungen und Daten, die über Integrationen offengelegt werden, müssen diese Zwecke widerspiegeln.

Der Kunde muss Datenschutzrisiken bewerten und, soweit nach Artikel 35 erforderlich, eine Datenschutz-Folgenabschätzung durchführen, bevor die betreffende Verarbeitung beginnt. Jede erforderliche vorherige Konsultation nach Artikel 36 muss vor der Verarbeitung abgeschlossen sein. RessursAgent wird gemäß Klausel 11 Unterstützung leisten. Der Kunde muss auch die anwendbaren Beschäftigungs- und Arbeitsplatzüberwachungsregeln berücksichtigen.

Der Service unterstützt Abwesenheitskategorien und -daten für die Ressourcenplanung, wie z. B. Urlaub oder Krankheit. Der Kunde legt fest, welche Kategorien jede autorisierte Zielgruppe sehen muss, und dokumentiert den Zweck und die Rechtsgrundlage. Detaillierte medizinische Gründe und Diagnosen liegen außerhalb des Standardplanungsbereichs. Jede Zugriffsbeschränkung nur nach Kategorie muss überprüft werden, bevor darauf Verlass genommen wird. Hinweise für die Besatzung können über Arbeitsverträge und damit zusammenhängende Informationen bereitgestellt werden, doch diese Dokumente ersetzen nicht die rechtliche Grundlage und Notwendigkeitsbewertungen des Kunden.

Eine Urlaubskategorie weist für sich genommen keinen Gesundheitszustand aus, aber eine mit einer Person verknüpfte Krankheitskategorie gibt Gesundheitsinformationen preis, selbst ohne Diagnose oder detaillierte Erklärung. Für diese Verarbeitung muss der Kunde eine anwendbare Bedingung gemäß Artikel 9 Absatz 2 sowie eine Grundlage gemäß Artikel 6 identifizieren. Die Anerkennung des Arbeitsvertrags begründet nicht von sich aus eine gültige Einwilligung noch macht jede Weitergabe erforderlich. Wenn sich auf die Einwilligung gestützt wird, muss ihre Gültigkeit separat beurteilt werden, einschließlich der Entscheidungsfreiheit im Arbeitsverhältnis, Spezifität, Information und Widerrufsmöglichkeit ohne Nachteile; Artikel 9 Absatz 2 Buchstabe a verlangt eine ausdrückliche Einwilligung. Kann die Kategorie nicht rechtmäßig mit einem bestimmten Publikum geteilt werden, ist stattdessen ein allgemeiner nicht verfügbarer Status anzuzeigen. Der Kunde hat die anwendbare Grundlage, Notwendigkeit, Zugriffs- und Aufbewahrungssicherungen zu dokumentieren.

Diagnosen, medizinische Berichte, unnötige narrative Details, Daten zu Straftaten und nationale Identitätsnummern liegen außerhalb des Standard-Planungsbereichs, es sei denn, sie werden separat unter den erforderlichen rechtmäßigen Bedingungen und Sicherheitsvorkehrungen vereinbart. HMS-Kartennummern sind berufliche Identifikatoren und keine Erlaubnis, nationale Identitätsnummern zu erfassen. RessursAgent muss den rechtmäßigen Anweisungen folgen, Daten außerhalb des vereinbarten Umfangs zu beschränken, zurückzugeben oder zu löschen; seine Pflichten bestehen für tatsächlich empfangene Daten fort.

6. Vertraulichkeit

RessursAgent stellt sicher, dass Personen mit Zugang vertraglichen oder gesetzlichen Vertraulichkeitsverpflichtungen unterliegen. Der Zugang beschränkt sich auf das für die Aufgabe Notwendige und wird aufgehoben, wenn er nicht mehr benötigt wird. Die Vertraulichkeit gilt auch nach Beendigung der Beschäftigung und des Vertrags. Kundendaten dürfen nicht an andere Kunden weitergegeben oder für nicht verwandte Zwecke Dritter verwendet werden.

Beide Parteien schützen vertrauliche Informationen, die zum Durchführen dieses Vertrags ausgetauscht werden, einschließlich Sicherheitsdokumentation und nicht-öffentlichen Kundeninformationen. Offenlegungen, die zur Erfüllung gesetzlicher Pflichten, zur Unterstützung von Einzelpersonen, zur Einholung professioneller Beratung unter Vertraulichkeit oder zur Zusammenarbeit mit einer Aufsichtsbehörde erforderlich sind, bleiben erlaubt.

7. Informationssicherheit

RessursAgent soll technische und organisatorische Maßnahmen umsetzen, aufrechterhalten und dokumentieren, die dem Risiko gemäß Artikel 32 der DSGVO angemessen sind, wobei der Stand der Technik, die Umsetzungskosten, die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung sowie Risiken für Einzelpersonen berücksichtigt werden. Die Maßnahmen sollen die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitung, die zeitnahe Wiederherstellung des Zugriffs auf Daten nach einem Vorfall sowie regelmäßige Tests und Bewertungen ihrer Wirksamkeit abdecken.

Anhang B soll die konkreten Maßnahmen dokumentieren, einschließlich Zugangskontrollen, Kundentrennung, Schutz von Daten während der Übertragung und im Ruhezustand, Sicherung und Wiederherstellung, sichere Entwicklung und Vorfallbearbeitung. Verschlüsselung und Pseudonymisierung sollen bewertet und dort angewendet werden, wo sie den Risiken angemessen sind. Mitarbeiter sollen Daten nur im Rahmen ihrer Autorisierung und den Anweisungen des Kunden verarbeiten. Maßnahmen sollen bereits vor Beginn der Verarbeitung, auf die sie sich beziehen, vorhanden sein.

RessursAgent soll den Kunden im Rahmen der von ihm erbrachten Dienstleistungen beim Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen unterstützen. Sicherheitsmaßnahmen können entwickelt werden, ohne das vereinbarte Schutzniveau oder die Einhaltung geltender Gesetze zu reduzieren. Wesentliche Änderungen sollen dokumentiert und dem Kunden mitgeteilt werden.

Jede Partei muss die gemäß Artikel 30 erforderlichen Verarbeitungsunterlagen führen, einen Datenschutzbeauftragten benennen, sofern Artikel 37 dies verlangt, und mit den zuständigen Aufsichtsbehörden zusammenarbeiten. RessursAgent muss die unterstützenden Sicherheitsdokumentationen aufbewahren, die Wirksamkeit ihrer Maßnahmen regelmäßig bewerten und festgestellte Mängel beheben. Die Veröffentlichung dieses Vertrags stellt keine Zertifizierung oder unabhängige Sicherheitsprüfung dar.

8. Unterauftragsverarbeiter

RessursAgent darf keinen Unterauftragsverarbeiter ohne die vorherige spezifische oder allgemeine schriftliche Genehmigung des Kunden einsetzen. Durch den Abschluss dieses Vertrags genehmigt der Kunde die in Anhang C aufgeführten Unterauftragsverarbeiter für die im vereinbarten Service enthaltenen Funktionen und erteilt eine allgemeine schriftliche Genehmigung für spätere Ergänzungen oder Ersatzungen, sofern diese Klausel eingehalten wird. Die Auflistung eines optionalen Dienstes berechtigt nicht zur Nutzung oder zur Durchführung von nicht verwandten Verarbeitungstätigkeiten.

RessursAgent wird den Kunden direkt schriftlich über beabsichtigte Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern rechtzeitig informieren, sodass ein sachgerechter Widerspruch vor Beginn der betroffenen Verarbeitung möglich ist. Die Mitteilung muss die Stelle, die Tätigkeit, die relevanten Daten, die Verarbeitungsorte und die Übertragungssicherungen benennen. Jede zusätzlich vereinbarte Mindestankündigungsfrist ist in Anhang D festzuhalten. Die Parteien werden nach einer rechtmäßigen Lösung für begründete Datenschutzbedenken suchen. Die strittige Verarbeitung darf für diesen Kunden nicht beginnen, solange der Widerspruch nicht gelöst ist; wenn keine rechtmäßige Lösung möglich ist, wird die betroffene Dienstleistung gemäß Klausel 14 ausgesetzt oder beendet, einschließlich Rückgabe und Löschung.

Bevor ein Unterauftragsverarbeiter personenbezogene Daten erhält, wird RessursAgent seine ausreichenden Garantien bewerten und eine verbindliche Vereinbarung abschließen, die im Wesentlichen die gleichen Datenschutzpflichten wie diese Vereinbarung für die delegierte Verarbeitung auferlegt, einschließlich angemessener Sicherheitsmaßnahmen und Unterstützung. RessursAgent bleibt gegenüber dem Kunden uneingeschränkt haftbar für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter gemäß Artikel 28 Absatz 4.

RessursAgent wird das genehmigte Register auf dem neuesten Stand halten und Informationen bereitstellen, die vernünftigerweise erforderlich sind, um die Unterauftragsverarbeiter-Vereinbarungen zu überprüfen. Relevante Vereinbarungen dürfen nur soweit geschwärzt werden, wie dies erforderlich ist, um vertrauliche Informationen zu schützen, ohne dass der Kunde die Einhaltung beurteilen kann. RessursAgent wird den Kunden über die Nicht-Einhaltung durch Unterauftragsverarbeiter informieren, die die Verarbeitung betrifft, und geeignete Abhilfemaßnahmen ergreifen.

9. Verarbeitungsorte und Übertragungen außerhalb des EWR

Die Ausführung der Anwendungsfunktionen, die primäre Anwendungsdatenbank sowie das verwaltete Datenbank-Backup und die Wiederherstellung sind in Frankfurt, Deutschland, konfiguriert. RessursAgent wird diese regionale Beschränkung für diese Infrastruktur beibehalten. Content-Delivery, Betriebsprotokolle, Support-Zugriffe sowie separat beauftragte KI-, E-Mail-, SMS- und andere Dienste haben eigene Verarbeitungsorte. Anhang C nennt diese Dienste; die Klauseln 8 und 9 regeln deren Nutzung und alle internationalen Übertragungen.

Anhang C soll die vereinbarten Verarbeitungs- und Speicherorte, die Unterstützung des Zugriffs aus anderen Ländern und die relevante Weiterverarbeitung identifizieren. Die Lokalisierung einer Datenbank im EWR begründet nicht automatisch, dass alle Verarbeitungen dort stattfinden. Änderungen der Standorte sind vor der Umsetzung zu prüfen und unterliegen den dokumentierten Anweisungen des Kunden sowie Klausel 8, wenn sich ein Unterauftragsverarbeiter ändert.

Sofern die gesetzliche Anforderung gemäß Klausel 4 nicht zutrifft, dürfen Übertragungen außerhalb des EWR nur nach den dokumentierten Anweisungen des Kunden erfolgen. Jede solche Übertragung, einschließlich relevanter Fernzugriffe und Weiterleitungen, muss Kapitel V der DSGVO erfüllen. Vor der Übertragung von Daten soll RessursAgent den Empfänger, das Land und den anwendbaren Mechanismus dokumentieren, wie eine Angemessenheitsentscheidung in ihrem Geltungsbereich oder angemessene Garantien gemäß Artikel 46.

Wenn standardmäßige Vertragsklauseln verwendet werden, soll RessursAgent deren wirksamen Schutz unter den Umständen der Übermittlung bewerten, die relevanten Gesetze und Praktiken des Empfängerlandes dokumentieren und gegebenenfalls ergänzende Maßnahmen umsetzen. Übermittlungen dürfen nicht beginnen oder müssen ausgesetzt werden, wenn der erforderliche Schutz nicht gewährleistet werden kann. Diese Vereinbarung ist selbst kein Übermittlungsmechanismus nach Kapitel V.

10. KI, Kommunikation und Verbindungen

Wenn aktiviert und konfiguriert, verwendet der Assistent die kommerzielle Claude API von Anthropic, um Anfragen zu interpretieren, vorgeschlagene Maßnahmen vorzubereiten, Antworten zu formulieren und Sprachunterstützung bereitzustellen. Der Aufgaben-Kontext kann ausgewählte Personen, Geräte, Projekte, Daten, Aufgaben und verfügbare Planungsinformationen enthalten; auch Benutzerprofildetails, gespeicherte Präferenzen oder Erinnerungen, kürzliche Fragen und relevante Gesprächshistorie können einbezogen werden. Anhänge werden verarbeitet, wenn sie eingereicht werden. Der zulässige Umfang muss mit der tatsächlichen Prompt-Erstellung und den Benutzerberechtigungen überprüft werden, einschließlich optionaler Felder. RessursAgent darf nur das offenlegen, was für die autorisierte Aufgabe erforderlich ist.

RessursAgent verwendet Anthropic unter seinen standardmäßigen kommerziellen Bedingungen, die eine Zusatzvereinbarung zur Datenverarbeitung enthalten und das Training mit Kundeninhalten verbieten. Standardmäßige API-Eingaben und -Ausgaben werden normalerweise innerhalb von 30 Tagen gelöscht; dateibasierte Dienste unter Kontrolle des Anbieters, modellbezogene Sicherheitsanforderungen, Untersuchungen zur Nutzungspolitik und rechtliche Verpflichtungen können unterschiedliche Aufbewahrungsfristen haben. Es ist keine maßgeschneiderte Null-Daten-Aufbewahrungsregelung enthalten. RessursAgent dokumentiert das anwendbare Modell, Werkzeug, Aufbewahrungs- und Übertragungsregelungen und beschränkt die offengelegten Daten auf die autorisierte Aufgabe.

Als vertragliche Einschränkung für diesen Dienst darf RessursAgent personenbezogene Daten, die im Rahmen dieser Vereinbarung verarbeitet werden, weder zur Schulung oder Verbesserung von Modellen für allgemeine Zwecke verwenden noch seinen Unterauftragsverarbeitern gestatten, dies zu tun, noch Cross-Customer-Profile zu erstellen oder nicht verwandte Produkte zu entwickeln. Anbietervereinbarungen und Einstellungen müssen diese Einschränkung unterstützen, bevor die entsprechende Verarbeitung beginnt. Jede Sicherheits- oder Missbrauchsüberwachungsverarbeitung muss dokumentiert, auf einen rechtmäßigen Zweck beschränkt und gemäß der tatsächlichen Rolle des Anbieters bewertet werden.

Die KI-Ausgabe dient der Entscheidungsunterstützung und kann Fehler enthalten. Der Kunde muss eine sinnvolle menschliche Überprüfung durchführen, mit der Befugnis, den Vorschlag abzulehnen oder zu ändern, bevor er sich auf die Ausgabe für Entscheidungen über Einzelpersonen verlässt. Von dem RessursAgent-Assistenten vorgeschlagene Planungsänderungen bedürfen der Genehmigung durch den Benutzer und unterliegen weiterhin den Genehmigungs- und Validierungskontrollen des Dienstes. Ein einmaliger Bestätigungsklick allein stellt keine sinnvolle Überprüfung dar. Jede ausschließlich automatisierte Entscheidung, die rechtliche oder ähnlich bedeutende Auswirkungen hat, erfordert eine separate Bewertung nach Artikel 22, eine anwendbare Ausnahme und die erforderlichen Schutzmaßnahmen; sie ist nicht durch die Standardverarbeitungsanweisungen autorisiert.

Anhänge und Gesprächsverläufe können verarbeitet werden, um die autorisierte Anfrage zu erfüllen. Extrahierter Dokumenttext oder hochgeladene Dateien können je nach Dateityp an den KI-Anbieter gesendet werden. Anwendungsunterlagen und beim Anbieter gespeicherte Dateien haben separate Aufbewahrungsregelungen. Für vorübergehende Files API-Uploads fordert die Anwendung eine Ablaufzeit von höchstens einer Stunde an, überprüft die zurückgegebene Ablaufzeit vor der Nutzung und fordert die Löschung nach der Verarbeitung. Diese Anwendungskontrollen versprechen nicht die sofortige physische Löschung jeder Anbieter-Kopie. RessursAgent wird fehlgeschlagene Ablauf-/Löschanforderungen nachverfolgen, gesetzliche Löschanweisungen auf relevante Kopien anwenden und jegliche eingeschränkte Restaufbewahrung gemäß Klausel 14 dokumentieren.

SMS verwendet Strex/Target365. Produkt-E-Mails und Authentifizierungs-E-Mails, einschließlich Einladungen und Passwort-Wiederherstellung, verwenden Resend. Diese Dienste verarbeiten Empfängerdetails, relevante Inhalte, Zustellereignisse und Links. Der genehmigte Umfang, die Standorte und die Aufbewahrung sind in Anhang C zu dokumentieren. Sensible Abwesenheitsdetails und HMS-Kartennummern dürfen nicht in Nachrichten oder KI-Aufforderungen enthalten sein, es sei denn, sie wurden separat bewertet und speziell mit geeignetem Lieferantenschutz genehmigt.

Kundengebundene Systeme und externe KI-Clients, die API oder MCP verwenden, sollen entsprechend derjenigen, die sie einsetzen, ihrer tatsächlichen Rolle, der abgerufenen Daten und der autorisierten Aktionen bewertet werden. Sie sind nicht automatisch RessursAgent-Unterauftragsverarbeiter. Der Kunde stellt sicher, dass die erforderlichen Anweisungen, rechtmäßige Offenlegungen und Vereinbarungen für Dienstleistungen, die er in Anspruch nimmt, vorliegen; RessursAgent bleibt für Verpflichtungen in Bezug auf seine eigenen Dienstleistungen und Unterauftragsverarbeiter verantwortlich.

Die optionale Kartenansicht verwendet Google Maps. Die Adress-Geokodierung erfolgt über den Geonorge-Dienst von Kartverket, einschließlich Projektadressen und Adressen der Arbeitsbasis von Ressourcen, sofern konfiguriert. Kundenorientierte Links können eine Telefonnummer an Gule Sider oder eine HMS-Kartennummer an Jobbkort nach dem Klicken durch den Benutzer offenlegen. Diese Offenlegungen und externen Identitätsanbieter werden separat im Anhang C aufgezeichnet; ihre Rollen und die rechtmäßige Nutzung müssen bewertet werden, anstatt jeden externen Dienst als Unterauftragsverarbeiter zu behandeln. Weder diese Vereinbarung noch ein Verbindungskatalog autorisieren eine unnötige Offenlegung.

11. Rechte und Unterstützung

Der Kunde ist dafür verantwortlich, auf Personen zu reagieren, die Rechte nach DSGVO Kapitel III ausüben. RessursAgent wird eingehende Anfragen unverzüglich weiterleiten und ohne Anweisungen nicht im Namen des Kunden antworten, es sei denn, dies ist gesetzlich vorgeschrieben. Anfragen an privacy@ressursagent.no sollten den Fall, den Umfang und die anwendbare Frist nennen, ohne unnötige personenbezogene Daten einzuschließen.

Unter Berücksichtigung der Art der Verarbeitung wird RessursAgent durch geeignete technische und organisatorische Maßnahmen soweit möglich unterstützen, damit der Kunde Anfragen auf Zugang, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie andere anwendbare Rechte aus Kapitel III erfüllen kann. Die Parteien werden einen sicheren Austausch und eine ausreichend schnelle Unterstützung vereinbaren, um gesetzliche Fristen einzuhalten; interne Verfahren dürfen diese Fristen nicht verlängern.

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen wird RessursAgent den Kunden bei den Verpflichtungen gemäß den Artikeln 32–36 unterstützen, einschließlich Sicherheit, Bewertung und Meldung von Verstößen, Folgenabschätzungen und vorheriger Konsultation. Vereinbarte operative Details werden in den Anhängen B und D aufgezeichnet. Etwaige Unterstützungsgebühren müssen im Voraus vereinbart werden und dürfen die gesetzlich vorgeschriebene Unterstützung nicht verhindern.

12. Datenschutzverletzungen

RessursAgent soll ohne unangemessene Verzögerung den vom Kunden benannten Vorfallkontakt informieren, nachdem es von einer Verletzung personenbezogener Daten im Zusammenhang mit der Verarbeitung nach diesem Vertrag Kenntnis erlangt hat, wie in Artikel 33(2) vorgeschrieben. Es darf nicht auf eine vollständige Untersuchung oder die eigene Bewertung warten, ob die Verletzung einer Behörde gemeldet werden muss. Sind Informationen unvollständig, ist eine erste Mitteilung unverzüglich durch Aktualisierungen zu ergänzen.

Soweit verfügbar, soll die Benachrichtigung Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, Eindämmungs- und Abhilfemaßnahmen sowie eine Ansprechperson für weitere Informationen angeben. RessursAgent soll die Fakten und die Reaktion dokumentieren, relevante Beweise sichern, angemessene Eindämmungs- und Minderungsmaßnahmen ergreifen und den Kunden unterstützen.

Der Kunde hat seine Verpflichtungen gemäß den Artikeln 33 und 34 zu prüfen und zu erfüllen. Wenn eine Meldung an die Behörde erforderlich ist, verlangt Artikel 33 Absatz 1 eine Meldung unverzüglich und, wenn möglich, innerhalb von 72 Stunden, nachdem der Kunde Kenntnis erlangt hat; eine verspätete Meldung muss die Gründe erläutern. Eine Meldung ist nicht erforderlich, wenn das Fehlverhalten wahrscheinlich kein Risiko für die Rechte und Freiheiten von Personen darstellt. Die Kommunikation mit den betroffenen Personen erfolgt gemäß Artikel 34, einschließlich dessen Schwelle für ein hohes Risiko und der anwendbaren Ausnahmen. Diese Regeln geben RessursAgent keine 72-stündige Wartefrist für die Benachrichtigung des Kunden.

Der Kunde hat RessursAgent unverzüglich über kompromittierte Konten oder andere Vorfälle, die den Service betreffen, zu informieren und bei der Eindämmung mitzuwirken. Vorfallkontakte, Eskalationskanäle und alle strengeren vertraglichen Reaktionsziele sind in Anhang D auszufüllen und verschieben keine gesetzliche Verpflichtung.

13. Dokumentation und Audit

RessursAgent stellt alle Informationen zur Verfügung, die notwendig sind, um die Einhaltung von Artikel 28 und dieser Vereinbarung nachzuweisen, beantwortet die Anfragen des Kunden angemessen und ermöglicht sowie unterstützt Audits, einschließlich Prüfungen, durch den Kunden oder einen von ihm beauftragten Prüfer. Relevante unabhängige Berichte können diese Bewertung unterstützen, ersetzen jedoch nicht automatisch ein erforderliches Audit oder eine erforderliche Prüfung.

Routineprüfungen sollten normalerweise mit einer Frist von vier Wochen vereinbart werden. Diese Planungserwartung schränkt Audits, die dringend nach einem Vorfall, mutmaßlicher Nichteinhaltung oder einer behördlichen Anforderung erforderlich sind, nicht ein. Die Parteien sollen angemessene Vorkehrungen vereinbaren, die die Daten und vertraulichen Informationen anderer Kunden schützen, ohne eine effektive Überprüfung zu verhindern. Die Kosten sind im Voraus zu vereinbaren und dürfen das Prüfungsrecht nicht unwirksam machen. Relevante Dokumentationen und Ergebnisse sind der zuständigen Aufsichtsbehörde, sofern erforderlich, zur Verfügung zu stellen.

14. Aufbewahrung, Rückgabe und Löschung

RessursAgent muss dem Speicherbegrenzungsgrundsatz gemäß Artikel 5 Absatz 1 Buchstabe e der DSGVO und dem anwendbaren norwegischen Datenschutzrecht entsprechen. Von dem Kunden verarbeitete personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie es für die vereinbarten Zwecke und die rechtmäßigen dokumentierten Anweisungen erforderlich ist oder wie es das anwendbare Recht vorschreibt. Der Kunde legt die relevanten Aufbewahrungsfristen oder objektiven Kriterien fest, und RessursAgent setzt die vereinbarten Prüf- und Löschverfahren um. Es gibt keine einheitliche gesetzliche Aufbewahrungsfrist, die für alle Daten im Service gilt.

Während des Dienstes wird RessursAgent rechtmäßige Aufbewahrungs- und Löschanweisungen innerhalb des vereinbarten Umfangs umsetzen. Wenn die betreffenden Verarbeitungsdienste enden, wählt der Kunde die Rückgabe oder Löschung der personenbezogenen Daten. RessursAgent wird diese Wahl umsetzen und verbleibende Kopien löschen, es sei denn, das EU-/EWR- oder norwegische Recht verlangt eine fortgesetzte Speicherung. Daten dürfen nach Beendigung nicht für nicht verwandte Zwecke aufbewahrt oder verwendet werden.

Die Rückgabe oder Löschung ist unverzüglich und innerhalb von 30 Kalendertagen nach Klärung der Anweisungen des Kunden und des erforderlichen Umfangs abzuschließen. RessursAgent soll etwaige erforderliche Klarstellungen unverzüglich einholen und diese nicht zur unnötigen Verlängerung der Aufbewahrung nutzen. Die Rückgabe soll ein strukturiertes, gebräuchliches Format und einen authentifizierten oder verschlüsselten Übertragungskanal verwenden. Verbleibende aktive Kopien sind nach Abschluss der Rückgabe zu löschen, sofern nicht eine gesetzliche Anweisung oder Aufbewahrungspflicht etwas anderes verlangt. Das Verfahren umfasst aktive Systeme, Anhänge, relevante Protokolle und Unterauftragsverarbeiter-Kopien, vorbehaltlich der nachfolgend dokumentierten Backup- und rechtmäßigen Anbieter-Ausnahmen. Diese operative Frist verlängert nicht die gesetzlichen Fristen für die Rechte von Einzelpersonen.

Sicherungskopien, die gemäß einem dokumentierten Aufbewahrungszyklus auf die Löschung warten, sind zu schützen und für den normalen Gebrauch nicht verfügbar. Die verwalteten Datenbanksicherungen von RessursAgent rotieren ungefähr über sieben Tage. Lieferantenspezifische Restkopien unterliegen den in Anhang C aufgeführten geltenden eingeschränkten Aufbewahrungsvorgaben. Bei Rückgabe oder Löschung wird RessursAgent das Enddatum der Aufbewahrung oder das geltende gesetzliche Aufbewahrungskriterium für verbleibende Kopien aufzeichnen und den Kunden informieren. Eine Anbieter-Richtlinie erlaubt per se keine Aufbewahrung im Widerspruch zu geltendem Recht oder dieser Vereinbarung. Ausstehende Löschanweisungen müssen vor der Wiederaufnahme des normalen Zugriffs nach einer Wiederherstellung erneut angewendet werden. RessursAgent wird geeignete Nachweise über die Löschung durch Unterauftragsverarbeiter einholen und den Abschluss sowie etwaige eingeschränkte Restaufbewahrung schriftlich gegenüber dem Kunden bestätigen.

Wo das Gesetz eine fortgesetzte Speicherung vorschreibt, wird RessursAgent den Kunden, soweit nicht untersagt, über die Rechtsgrundlage, die betroffenen Daten und die erforderliche Dauer informieren. Der Zugriff und die Verarbeitung sind auf diese gesetzliche Anforderung beschränkt, und die Daten bleiben bis zur Löschung geschützt.

15. Haftung

Jede Partei ist für ihre Verpflichtungen nach dem geltenden Datenschutzrecht und dieser Vereinbarung verantwortlich. Die Haftung zwischen den Parteien richtet sich nach dem geltenden Recht und etwaigen wirksamen Einschränkungen, die ausdrücklich im Dienstleistungsvertrag vereinbart wurden. Keine Einschränkung hebt zwingende Pflichten auf oder schafft durch diese Vereinbarung eine zusätzliche Obergrenze.

Nichts in dieser Vereinbarung schränkt die Rechte der betroffenen Personen auf Entschädigung nach Artikel 82 der DSGVO oder die Befugnisse der Aufsichtsbehörden ein. Hat eine Partei eine Entschädigung für Schäden gezahlt, für die die andere Partei verantwortlich ist, erfolgt die Rückforderung zwischen den Parteien gemäß der Verantwortlichkeitsverteilung nach Artikel 82 Absatz 5 und dem geltenden Recht.

16. Änderungen und Nicht-Einhaltung

Änderungen, die gesetzlich vorgeschrieben sind, durch die Serviceentwicklung oder durch Verarbeitungsvereinbarungen erforderlich werden, sind zu dokumentieren. Vorgeschlagene wesentliche Änderungen sollen in der Regel mindestens 30 Tage vor ihrem beabsichtigten Inkrafttreten mitgeteilt werden und erfordern eine schriftliche Zustimmung, einschließlich elektronischer Zustimmung. Die Veröffentlichung eines überarbeiteten Dokuments ändert an sich keine abgeschlossene Kundenvereinbarung. Änderungen des Lieferanten folgen Klausel 8; zwingende gesetzliche Verpflichtungen gelten, wenn sie gesetzlich vorgeschrieben sind.

Im Falle der Nichtbefolgung sollen die Parteien eine rechtzeitige Behebung anstreben. Die Verarbeitung, die nicht rechtmäßig durchgeführt werden kann, ist auszusetzen oder zu beenden, wobei die Daten gemäß Klausel 14 zurückzugeben oder zu löschen sind. Obligatorische gesetzliche Verpflichtungen haben Vorrang vor widersprüchlichen Anweisungen oder Bedingungen.

17. Anwendbares Recht, Gerichtsstand und Sprache

Dieses Abkommen unterliegt norwegischem Recht. Vorbehaltlich zwingender Zuständigkeitsregeln sind Streitigkeiten zwischen den Parteien, die sich aus diesem Abkommen ergeben, vor dem Bezirksgericht Oslo (Oslo tingrett) geltend zu machen. Dies schränkt nicht die gesetzlichen Rechtsbehelfe der Betroffenen, ihr Recht auf Beschwerde bei einer Aufsichtsbehörde oder die Befugnisse der zuständigen Behörden ein.

Englisch ist die maßgebliche Vertragssprache dieses Vertrags und aller Anhänge. Übersetzungen werden bereitgestellt, um den Vertrag in den Website-Sprachen zugänglich zu machen. Wenn eine Übersetzung in der Bedeutung abweicht, hat die englische Version Vorrang. Alle ausgefüllten Anhänge, schriftlichen Änderungen und die vereinbarte Version sind in Englisch zu führen.

Anhang A · Verarbeitungsdetails

Dieser Anhang definiert den Standardverarbeitungsumfang. Die kundenspezifische Bestellung und Anhang D legen die tatsächlich genutzten Funktionen und etwaige zusätzliche gesetzlich zulässige Anweisungen fest. Optionale Funktionen und Verbindungen berechtigen nicht zu uneingeschränkter Offenlegung.

Zweck

Bieten Sie vernetztes Planen für Personal, Ausrüstung, Projekte und das gesamte Portfolio an, einschließlich Aufgaben, Verfügbarkeit, Qualifikationen, vereinbarter Finanzanalyse, Kommunikation und KI-Unterstützung. Unzusammenhängendes Profiling oder die Überwachung der Mitarbeiterleistung ist kein zusätzlicher Zweck, der durch diese Vereinbarung autorisiert ist.

Betroffene Personen

Eigenes Personal, eingestelltes Personal und Subunternehmerpersonal; Administratoren und andere autorisierte Benutzer; sowie Projekt-, Lieferanten- und Kundenkontakte. Geräteinformationen sind eingeschlossen, wenn sie eine Einzelperson identifizieren.

Art und Dauer

Erfassung, Import, Speicherung, Anzeige, Suche, Aktualisierung, Zuweisung, Berechnung, autorisierte Offenlegung, Export und Löschung während des vereinbarten Dienstes, gefolgt von eingeschränkter Rückgabe und Löschung. Externe Aufrufe erfolgen über autorisierte Funktionen oder vereinbarte Synchronisation.

Konten- und Ressourceninformationen

Namen, berufliche Kontaktdaten, Mitarbeiterreferenzen, Arbeitgeber/Zugehörigkeit, Abteilung, Rolle, Beruf, Qualifikationen und Ablaufdaten, relevante Dokumente, Kontenkennungen und Zugriffsberechtigungen. Optionale Lebensläufe und Freitextfelder müssen auf notwendige Informationen beschränkt sein.

Planungsinformationen

Mein Plan: individuelle Arbeit, Arbeitszeiten und Änderungen. Projektplan: Aktivitäten, Teams, Meilensteine und Abhängigkeiten. Ressourcenplan: Verfügbarkeit, Kapazität, Anforderungen und Zuweisungen über Projekte hinweg. Strategischer Plan: Portfoliokapazität, eigener/externer Ressourcenmix, Angebote, Szenarien und vereinbarte Kostenanalyse. Identifizierbare Aggregate bleiben personenbezogene Daten.

Standort- und wirtschaftliche Informationen

Projekt-/Berichtsstandorte, Arbeitsbasisadresse oder Postleitzahl, abgeleitete Koordinaten, Reiseentfernungsabschätzungen und autorisierte Kosten-/Tarifinformationen. Dies beschreibt kein kontinuierliches GPS-Tracking von Arbeitern. Verwenden Sie weniger präzise Standortinformationen, wenn dies ausreicht.

Abwesenheits- und Berufskennungen

Notwendige Abwesenheitskategorien und -daten sowie autorisierte HMS-Kartennummer/Status/Ablaufdatum. Eine Krankheitskategorie kann Gesundheitsinformationen offenbaren und erfordert eine Artikel-9-Bedingung sowie eine Artikel-6-Grundlage. Diagnosen und detaillierte medizinische Erläuterungen liegen außerhalb des Standardumfangs. Zugriffsbegrenzungen und die rechtliche Grundlage müssen überprüft werden, bevor auf die beabsichtigte Weitergaberegelung vertraut wird.

Kommunikations-, KI- und Betriebsunterlagen

Empfängerdetails, Nachrichten-/Zustellungsprotokolle, Planungsfreigabelinks, Eingabeaufforderungen, ausgewählter Planungskontext, relevante Chat-Historie, gespeicherte Präferenzen, eingereichte Dateien, Antworten und vorgeschlagene Änderungen; Authentifizierung, Aktivitäten, Benachrichtigungen und notwendige Sicherheits-/Diagnoseprotokolle. Diese Aufzeichnungen sind nicht automatisch anonym oder außerhalb dieser DPA.

Aufbewahrungskriterien

Bewahren Sie jede Kategorie nur so lange auf, wie sie für den dokumentierten Zweck und rechtmäßige Anweisungen erforderlich ist. Überprüfen Sie Planungs-/Personalinformationen, wenn ein Projekt oder Engagement endet, und Qualifikationen, wenn sie ersetzt oder abgelaufen sind. Legen Sie Überprüfungs-/Enddaten für alle erforderlichen historischen Daten fest. Gespräche, Anhänge, Nachrichten, Protokolle und Caches erfordern eigene Zwecke und Löschkriterien. Der vollständige Zeitplan muss Lieferantenkopien und rechtliche Sperren enthalten, die auf das notwendige Subset beschränkt sind.

Ende des Dienstes

Der Kunde wählt Rückgabe oder Löschung gemäß Klausel 14. RessursAgent erfasst den Umfang, die sichere Liefermethode und das endgültige Ablaufdatum eingeschränkter Sicherungskopien. Ausstehende Löschanweisungen werden nach einer Wiederherstellung erneut angewendet. Keine unbefristete Aufbewahrung ist erlaubt.

Anhang B · Sicherheit und Wiederherstellung

Die folgenden technischen und organisatorischen Maßnahmen sind Teil der Verpflichtungen von RessursAgent gemäß Klausel 7. Unterstützende Dokumentation, Testaufzeichnungen und Sicherheitsbewertungen werden getrennt aufbewahrt und gemäß Klausel 13 zur Verfügung gestellt. Es wird keine Zertifizierung, ununterbrochene Verfügbarkeit oder numerische Wiederherstellungsgarantie impliziert.

Zugriff und Vertraulichkeit

Mitgliedschaft in der Organisation, Rollen- und Verantwortlichkeitsberechtigungen, API-Bereiche und Zeilenebenenkontrollen in der Datenbank trennen Kundendaten. RessursAgent soll den Zugriff auf autorisierte Aufgaben beschränken, privilegierten Zugriff überprüfen und den Zugriff entfernen, wenn er nicht mehr benötigt wird. Administrativer Zugriff soll, wo möglich, Multi-Faktor-Authentifizierung verwenden. Zugriffsinhaber unterliegen Vertraulichkeitsverpflichtungen. Kundenadministratoren weisen ihre eigenen Benutzerberechtigungen zu und überprüfen diese.

Datenschutz

Die Website und die Anwendung verwenden HTTPS. Eingehende Produktionsverbindungen zu PostgreSQL erfordern SSL/TLS; direkte Datenbankclients müssen das Serverzertifikat und den Hostnamen überprüfen. RessursAgent schützt Anmeldeinformationen in einer zugangsbeschränkten Konfiguration, beschränkt den Zugriff auf gespeicherte Daten und bewertet die Verschlüsselung der Speicherung sowie die Schlüsselverwaltung innerhalb der Sicherheitsvorkehrungen des Lieferanten. Geheimnisse und unnötige persönliche Daten dürfen nicht in Diagnoseprotokollen enthalten sein.

Regionale Infrastruktur

Anwendungsfunktionen, die primäre Datenbank sowie verwaltete Datenbanksicherung und Wiederherstellung sind in Frankfurt, Deutschland, konfiguriert. Separate Lieferantenaktivitäten sind in Anhang C beschrieben und unterliegen weiterhin Klausel 9.

Sicherung und Wiederherstellung

Die Datenbank verwendet täglich verwaltete physische Backups mit etwa sieben Tagen aufbewahrtem Verlauf. Eine punktgenaue Wiederherstellung ist in der Standardkonfiguration nicht enthalten. Datenbank-Backups enthalten keine separaten Dateiobjekte. Die Wiederherstellungsverfahren sollen die Anwendung, die Authentifizierungskonfiguration, separat gespeicherte Dateien (falls zutreffend), Integrationen und die erneute Anwendung von Löschanweisungen abdecken. RessursAgent soll die Wiederherstellungsmaßnahmen regelmäßig testen und bewerten und die Verfügbarkeit innerhalb eines risikogerechten Zeitraums wiederherstellen; eine numerische RTO oder RPO gilt nur, wenn ausdrücklich vereinbart.

Validierung der Wiederherstellung

Die Wiederherstellung soll zunächst in einer isolierten Umgebung mit eingeschränktem Zugriff und kontrollierten ausgehenden Verbindungen erfolgen. Die Datenintegrität, die Trennung der Kunden und die erforderlichen Anwendungsfunktionen sollen überprüft werden, bevor der normale Zugriff wieder aufgenommen wird. Temporäre Wiederherstellungskopien sollen entfernt werden, sobald sie nicht mehr benötigt werden. Die Datenbankwiederherstellung wurde am 13. Oktober 2026 in einem separaten Projekt in Frankfurt getestet; dies stellt keinen Test jeder Servicekomponente oder eine garantierte Wiederherstellungszeit dar.

Sichere Entwicklung und Änderungsmanagement

Änderungen sollen über kontrolliertes Source-Management, Überprüfung und angemessene Tests vor der Freigabe erfolgen. Tests sollen die Zugriffsgrenzen und relevanten Datenverarbeitungspfade abdecken. Für Tests sollten bevorzugt synthetische Daten verwendet werden; jede notwendige Nutzung von Kundendaten bleibt auf den dokumentierten Zweck beschränkt. Sicherheitsfunde sollen entsprechend ihrem Risiko bewertet und behoben werden.

Protokolle und Vorfallmanagement

Sicherheits- und Aktivitätsaufzeichnungen sollen auf ihre angegebenen Zwecke beschränkt, vor unbefugtem Zugriff oder Änderungen geschützt und den Aufbewahrungskriterien unterliegen. RessursAgent soll Verfahren zur Bewertung, Eindämmung, Eskalation und Wiederherstellung von Vorfällen aufrechterhalten. Die Benachrichtigung des Kunden erfolgt gemäß Klausel 12 ohne unangemessene Verzögerung.

Datenrückgabe und -löschung

Anfragen müssen genehmigt und dem richtigen Kunden zugeordnet sein, einschließlich relevanter Anhänge, Anwendungsunterlagen und Lieferantenkopien. Exporte sollen ein strukturiertes, allgemein verwendetes Format und einen authentifizierten oder verschlüsselten Lieferkanal nutzen. Löschverfahren müssen nicht betroffene Kunden und geteilte Identitäten schützen, eingeschränkte Restkopien aufzeichnen und einen schriftlichen Abschlussbericht gemäß Klausel 14 liefern.

KI und Verbindungen

Nur Daten, die für eine genehmigte Aufgabe notwendig sind, dürfen an KI oder verbundene Dienste gesendet werden. API-/MCP-Zugriffe müssen den Berechtigungen des Kunden und dem genehmigten Verbindungsscope entsprechen. Vorübergehende Anfragen zur Ablauf- und Löschung von Anbieterdateien müssen überprüft und Fehler nachverfolgt werden. Vorgeschlagene Änderungen durch Assistenten erfordern Benutzerfreigabe und Anwendungsvalidierung. Detaillierte medizinische Berichte liegen außerhalb des Standardplanungsscope.

Anlage C · Lieferanten und Standorte

Das folgende Register listet die Unterauftragsverarbeiter und anderen Empfänger von RessursAgent für den Standardservice auf. Optionale Services gelten nur, wenn sie im vereinbarten Service enthalten sind. RessursAgent führt das Register sowie die unterstützenden Unterlagen zu Empfängern, Ländern, Aufbewahrung und Übertragungen aktuell, stellt sie gemäß Klausel 13 bereit und folgt Klausel 8 bei Änderungen von Unterauftragsverarbeiter.

Die Frankfurter Beschränkung gilt für die in Klausel 9 spezifizierte Infrastruktur. Sie gilt nicht für jeden unten aufgeführten Empfänger. Internationale Übertragungen und relevanter Fernzugriff erfordern die Schutzmaßnahmen gemäß Klausel 9. Lieferantenlinks liefern unterstützende Informationen; Änderungen auf einer Lieferantenwebseite ändern nicht automatisch die vereinbarten Bedingungen des Kunden.

Supabase · Datenbank und Authentifizierung

Supabase Pte. Ltd., Singapur, stellt die Anwendungsdatenbank und die Authentifizierungsplattform bereit. Die primäre Datenbank und die verwalteten Backups befinden sich in Frankfurt, Deutschland. Support, Kontoverwaltung und operative Dienste können auch andere Länder betreffen, gemäß dem DPA und Unterauftragsverarbeiter-Register von Supabase. Das Standard-DPA enthält EU-Standardvertragsklauseln für anwendbare Übertragungen. RessursAgent führt das Empfänger-/Länderregister und die Bewertung gemäß Klausel 9. Die Aufbewahrung von Datenbank-Backups ist in Anhang B beschrieben; Konto- und Lieferantenkopien unterliegen weiterhin Klausel 14.

Vercel Inc. · Hosting

Vercel Inc., USA, bietet Hosting und Ausführung von Anwendungen. Die Funktionen der Anwendungen werden in Frankfurt, Deutschland, konfiguriert. Inhaltsbereitstellung, Betriebsprotokolle, Support und Weiterverarbeitung können außerhalb Deutschlands, einschließlich in den USA, erfolgen. Das DPA von Vercel bietet vertragliche Schutzmaßnahmen für die Übermittlung. RessursAgent führt die entsprechenden Empfänger-/Länder- und Aufbewahrungsaufzeichnungen sowie die in Klausel 9 geforderte Bewertung; es wird kein ausschließlich auf Frankfurt beschränkter Standort oder feste Löschfrist für jeden Vercel-Dienst festgelegt.

Anthropic · KI-Unterstützung

Anthropic Ireland, Limited bietet Claude AI-Unterstützung unter den standardmäßigen EWR-Handelsbedingungen und der DPA an. Es verarbeitet genehmigte Eingaben, Kontext, relevante Historie, eingereichte Dokumente und Ergebnisse; die Verarbeitung ist nicht auf Frankfurt oder den EWR beschränkt. Die DPA bietet Schutzmaßnahmen für die internationale Verarbeitung, einschließlich der anwendbaren Standardvertragsklauseln. Standardmäßige API-Eingaben/-Ausgaben werden normalerweise bis zu 30 Tage aufbewahrt. Files API Speicher, modell-spezifische Sicherheitsmaßnahmen und gesetzliche oder Missbrauchsvermeidungs-Ausnahmen können abweichen; bei gemeldeten Verstößen gegen die Nutzungsrichtlinien veröffentlicht Anthropic Eingaben/Ausgaben bis zu zwei Jahre und Klassifizierungswerte bis zu sieben Jahre. Die aktuelle Aufbewahrungsrichtlinie ist unten verlinkt. Das Training von allgemeinen Modellen mit Kundeninhalten ist verboten. Es gibt keine spezielle Null-Aufbewahrungsvereinbarung; die Klauseln 9, 10 und 14 gelten.

Plus Five Five, Inc. (Resend) · E-Mail

Plus Five Five, Inc. (Resend), USA, bearbeitet Produkt- und Authentifizierungs-E-Mails, einschließlich Einladungen und Passwortwiederherstellung. Die Daten beinhalten Empfängeradressen, Inhalte/Links und Zustellungsereignisse. Kundendaten werden in den USA gespeichert, selbst wenn die E-Mail aus einer europäischen Region gesendet wird. Sein DPA enthält die EU-Standardvertragsklauseln, einschließlich Modul Drei für Unterauftragsvergabe. Resend veröffentlicht eine 30-tägige E-Mail/Protokoll-Aufbewahrung für seine Standard-Free-, Pro- und Scale-Pläne, sieben Tage Backup und bis zu 90 Tage für verbleibende Kundendaten nach Beendigung des Resend-Kontos. Jede Enterprise-Variante muss für das betreffende Konto aufgezeichnet werden. Diese Lieferantenfristen ersetzen nicht die Kundenanweisungsfrist von RessursAgent: RessursAgent soll die geltende Löschung anfordern und eingeschränkte Restkopien gemäß Klausel 14 offenlegen.

Strex Mobile Services AS · optionale SMS

Strex Mobile Services AS, norwegische Organisationsnummer 927 347 830, liefert SMS gemäß dem unterzeichneten Servicevertrag und Connect DPA v1.3. Es verarbeitet Empfängertelefonnummern, SMS-Inhalte und Lieferprotokolle als Unterauftragsverarbeiter von RessursAgent, wenn RessursAgent für seine Geschäftskunden handelt. Strex löscht Daten nach 30 Tagen, wie gegenüber RessursAgent bestätigt. Diese Aufbewahrungsfrist des Lieferanten ist getrennt von der Rückgabe-/Löschfrist in Klausel 14. Im Lieferantenanhang sind Microsoft Azure in den Niederlanden und Irland; ONLINECITY.IO in Deutschland; INFOBIP mit EU-/EWR-Speicherung; sowie NRDB, Telenor Norge, Telia Norge, Lyse Tele und Target365 in Norwegen aufgeführt. Sinch Schweden ist ohne Speicherung aufgeführt, was die Verarbeitung nicht ausschließt. Übermittlungen außerhalb der EU/EWR erfordern die ausdrückliche schriftliche Zustimmung gemäß dem DPA des Lieferanten. Alle gesetzlich vorgeschriebenen Aufbewahrungsfristen unterliegen weiterhin Klausel 14.

Karten, Adressabfragen und Identitätsanbieter

Google Maps, optionales Google-Anmelden und Kartverket/Geonorge Adressabfrage haben unterschiedliche Rollen und Offenlegungen. Abhängig von der Aktivität kann ein Empfänger als eigenständiger Verantwortlicher und nicht als RessursAgent-Unterauftragsverarbeiter agieren. Notieren Sie den aktivierten Dienst, die relevanten Daten und die geltenden Bedingungen/Standorte. Eine öffentliche Adressabfrage kann trotzdem personenbezogene Daten betreffen.

Vom Kunden ausgewählte Verbindungen

HR-, Gehaltsabrechnungs-, Betriebssysteme und externe KI-Clients, die API/MCP nutzen, müssen bewertet werden, je nachdem, wer den Empfänger beauftragt, welche Rolle er hat, welche Berechtigungen bestehen und wie die tatsächlichen Datenflüsse sind. Der Integrationskatalog ist keine Autorisierungsliste. Von Kunden gesteuerte externe Verbindungen erfordern dieselbe Notwendigkeits- und Transparenzbewertung.

Inaktive Dienste

WorkOS ist nicht aktiv und wird vom aktuellen Unterauftragsverarbeiterumfang ausgeschlossen. Jede zukünftige Aktivierung erfordert eine Bewertung und Kundenbenachrichtigung/Genehmigung gemäß den Klauseln 8 und 9.

Anhang D · Kundenvereinbarungen und Akzeptanz

Die untenstehenden kundenspezifischen Informationen werden durch den akzeptierten Serviceauftrag, das Kontoverwaltungsprotokoll und alle vereinbarten schriftlichen Anweisungen bereitgestellt. Sie müssen nicht in einem separaten unterzeichneten Zeitplan wiederholt werden. Die Standardbestimmungen in den Anhängen A–C gelten, es sei denn, die Parteien vereinbaren schriftlich eine rechtmäßige Abänderung.

Verarbeiter und Kontakt

RessursAgent AS · Organisationsnummer 935 854 067 · Gydas vei 22, 0363 Oslo, Norwegen · privacy@ressursagent.no. Vorfall-/Datenschutzverantwortlicher: Oskar Bragnes, CEO. Stellvertreter: Olav Bragnes, CPO.

Kunde und Serviceauftrag

Der Verantwortliche ist die juristische Person, die im akzeptierten Servicevertrag/Auftrag angegeben ist. Deren Registrierungsangaben, Servicezeitraum und autorisierter Vertreter sind die in diesem Vertrag festgehaltenen. Der Kunde muss seine administrativen, Datenschutz- und Vorfallkontakte aktuell halten. Bis ein separater Vorfallkontakt benannt wird, gehen Mitteilungen an den autorisierten Kundenkontakt, der für den Service eingetragen ist.

Umfang und Anweisungen

Der Umfang umfasst das Abonnement und die Funktionen im akzeptierten Auftrag, ergänzt durch autorisierte Konfigurationen und schriftliche Anweisungen gemäß Klausel 4. Optionale KI-, SMS- und Kundenverbindungen gelten nur, wenn sie autorisiert sind. Der Kunde muss seine Aufbewahrungskriterien, zulässigen Abwesenheitskategorien und Zielgruppen, die Grundlage nach Artikel 6 sowie etwaige Bedingungen nach Artikel 9 dokumentieren. Detaillierte medizinische Berichte sind vom Standard-Serviceumfang ausgeschlossen.

Aufbewahrung und Rückgabe/Löschung

Klausel 14 sieht die Standardfrist von 30 Kalendertagen nach Klärung der Anweisungen und des notwendigen Umfangs vor, ohne unangemessene Verzögerung. Kategorie-spezifische Zeitpläne und gesetzliche Ausnahmen sind in den Anweisungen des Kunden festzuhalten. RessursAgent erfasst die verbleibenden eingeschränkten Backups und Lieferantenkopien, teilt deren endgültiges Ablaufdatum oder gesetzliches Aufbewahrungskriterium mit und bestätigt die Fertigstellung schriftlich.

Wiederherstellung und Vorfälle

Die Maßnahmen in Anhang B und die unverzügliche Benachrichtigung gemäß Klausel 12 gelten. Eine zusätzliche numerische Wiederherstellungszeit- oder Datenverlustgarantie, ein festgelegter SLA für die Vorfallreaktion oder eine längere Mitteilungsfrist bei Unterauftragsverarbeiter-Wechsel gilt nur, wenn sie ausdrücklich im akzeptierten Serviceauftrag enthalten ist.

Autorisierung von Unterauftragsverarbeiter

Die Annahme autorisiert die Unterauftragsverarbeiter in Anhang C für die vereinbarte Dienstleistung und das allgemeine Autorisierungsverfahren in Klausel 8. RessursAgent bleibt verantwortlich für die Pflege von Lieferantenvereinbarungen, Transferbewertungen und Sicherheitsnachweisen. Optionale Empfänger erhalten keine uneingeschränkte Erlaubnis zur Datenverarbeitung.

Annahme- und Wirksamkeitsdatum

Version 1.0, veröffentlicht am 14. Oktober 2026, tritt für einen Kunden an dem Datum in Kraft, an dem sie in eine akzeptierte Dienstleistungsvereinbarung/Bestellung aufgenommen oder separat schriftlich, auch elektronisch, von autorisierten Vertretern beider Parteien akzeptiert wird. Die Auftrags-/Annahmeunterlage identifiziert die vereinbarte Version und das Datum. Bewahren Sie diese Unterlage und eine Kopie der akzeptierten Vereinbarung auf. Bestehende Kundenvereinbarungen werden nicht allein durch die Veröffentlichung dieser Version ersetzt.

Dokumentenversion

Version 1.0 · 14. Oktober 2026

Veröffentlichter Standardvertrag, der Verarbeitungsanweisungen, Sicherheit, Lieferanten, Aufbewahrung, Unterstützung und Kundenakzeptanz abdeckt. Der akzeptierte Serviceauftrag legt die für jeden Kunden geltende Version fest; spätere Veröffentlichungen ändern diesen Vertrag nicht automatisch.