Datenschutzhinweis

BUCH III. DATENSCHUTZ, PRIVATSPHÄRE, HOSTING & AUFTRAGSVERARBEITUNGSVEREINBARUNG

A. Allgemeine Grundsätze

HAQQ erkennt die Bedeutung von Privatsphäre, Vertraulichkeit, Cybersicherheit, Berufsgeheimnis und Datenschutz bei der Erbringung von Rechtstechnologiediensten an. HAQQ verarbeitet personenbezogene Kundendaten gemäß diesem Buch III, dem geltenden Recht und den dokumentierten Anweisungen des Kunden, sofern HAQQ als Auftragsverarbeiter handelt.

Dieses Buch III ist Bestandteil der Vereinbarung und gilt als Auftragsverarbeitungsvereinbarung, soweit HAQQ personenbezogene Kundendaten im Namen eines Kunden als Auftragsverarbeiter, Dienstleister oder in einer gleichwertigen Rolle verarbeitet.

B. Rollen der Parteien

Bei geschäftlichen Abonnements bestimmt der Kunde im Allgemeinen die Zwecke und Mittel der Verarbeitung der in das Ökosystem eingereichten Kundendaten und handelt als Verantwortlicher. HAQQ verarbeitet solche Kundendaten im Namen des Kunden und handelt als Auftragsverarbeiter, außer wenn HAQQ die Zwecke und Mittel der Verarbeitung für seine eigenen berechtigten Geschäftstätigkeiten oder rechtlichen Verpflichtungen bestimmt.

Bei persönlichen Abonnements kann HAQQ als Verantwortlicher für Kontoinformationen, Abrechnungsdaten, Nutzungsdaten, Betrugsprävention, Kundensupport und Compliance-Verarbeitung handeln. Wenn ein persönlicher Abonnent personenbezogene Daten Dritter hochlädt, kann der persönliche Abonnent als Verantwortlicher für solche Drittdaten handeln, und HAQQ kann als Auftragsverarbeiter für diese Daten handeln.

HAQQ handelt als unabhängiger Verantwortlicher für die Verarbeitung, die für seine eigenen Verpflichtungen in Bezug auf Abrechnung, Buchhaltung, Steuern, Betrugsprävention, Sanktions-Compliance, Sicherheitsüberwachung, Rechtsansprüche, Produktverwaltung, interne Compliance und Corporate Governance erforderlich ist. Die interne Produktentwicklung von HAQQ umfasst kein Training, kein Fine-Tuning und keine Verbesserung von KI-Modellen auf Grundlage von Kundendaten, Matter Data, Prompts, Ausgaben oder Nutzerinhalten, außer soweit dies in einer gesondert unterzeichneten schriftlichen Vereinbarung ausdrücklich vereinbart und gesetzlich zulässig ist.

C. Rechtsordnungsübergreifende Anwendung

Die Datenresidenz bestimmt den standardmäßigen Hosting-Standort und kann sich auf Übermittlungsmechanismen, lokale Hosting-Zusagen und technische Schutzmaßnahmen auswirken, die auf Kundendaten anwendbar sind. Die auf eine bestimmte Verarbeitungstätigkeit anwendbaren Datenschutzgesetze können jedoch auch von zusätzlichen Faktoren abhängen, einschließlich des Standorts der betroffenen Person, der Niederlassung oder des Geschäftssitzes des Verantwortlichen oder Auftragsverarbeiters, der Rechtsordnung, in der die Dienste angeboten oder beworben werden, zwingender Verbraucher- oder Datenschutzgesetze, der Art der verarbeiteten Daten sowie jeder gesondert abgeschlossenen Vereinbarung oder jedes Offiziellen Angebots.

HAQQ verarbeitet personenbezogene Kundendaten gemäß den geltenden Datenschutzgesetzen, die für HAQQ in seiner Rolle als Verantwortlicher, Auftragsverarbeiter, Dienstleister oder in einer gleichwertigen Rolle gelten. Der Kunde bleibt dafür verantwortlich, die für seine eigene Erhebung, Nutzung, Einreichung und Verarbeitung von Kundendaten geltenden Gesetze zu bestimmen und einzuhalten.

Beispiele für potenziell relevante Datenschutzgesetze sind die DSGVO, die UK-DSGVO, das UAE PDPL, das KSA PDPL, das Oman PDPL, die Kuwait CITRA Data Privacy Protection Regulation, das Bahrain PDPL und das libanesische Gesetz Nr. 81 von 2018. Diese Beispiele sind illustrativ und schließen die Anwendung sonstiger zwingender Datenschutz-, Verbraucher-, Cybersicherheits-, Telekommunikations-, Berufsgeheimnis- oder branchenspezifischer Gesetze nicht aus.

D. Verarbeitungsgrundsätze

HAQQ verarbeitet personenbezogene Daten gemäß den folgenden Grundsätzen:

• Rechtmäßigkeit, Fairness und Transparenz. Daten werden auf einer rechtmäßigen Grundlage verarbeitet und durch diese Bedingungen und anwendbare Hinweise beschrieben.
• Zweckbindung. Daten werden für festgelegte, eindeutige und legitime, mit den Diensten verbundene Zwecke verarbeitet.
• Datenminimierung. Die verarbeiteten Daten beschränken sich auf das, was für die jeweiligen Zwecke angemessen, relevant und erforderlich ist.
• Richtigkeit. Es werden angemessene Maßnahmen ergriffen, um Daten richtig und auf dem neuesten Stand zu halten, sofern HAQQ die Daten kontrolliert.
• Speicherbegrenzung. Daten werden nur so lange aufbewahrt, wie es erforderlich ist, vorbehaltlich rechtlicher, regulatorischer, Backup-, Audit-, Sicherheits-, Abrechnungs- und Streitanforderungen.
• Integrität und Vertraulichkeit. Daten werden durch technische und organisatorische Maßnahmen geschützt, die dem Risiko angemessen sind.
• Rechenschaftspflicht. HAQQ unterhält Richtlinien, Protokolle und Aufzeichnungen, die darauf ausgelegt sind, die Einhaltung seiner Pflichten nachzuweisen.

E. Kategorien verarbeiteter Daten

HAQQ kann die folgenden Datenkategorien verarbeiten:

• Identitätsdaten: Namen, Titel, Kennungen, berufliche Kennungen, behördlich ausgestellte Kennungen, soweit erforderlich, und Kontokennungen.
• Kontaktdaten: E-Mail-Adressen, Telefonnummern, Adressen, Organisationsdetails und Kontaktpräferenzen.
• Berufsdaten: Berufsbezeichnung, Kanzlei oder Organisation, Anwaltskammermitgliedschaft, Berufslizenzen, Rechtsgebiete, Berechtigungsnachweise und Rolleninformationen.
• Akten- und Falldateien: Rechtsdokumente, Verträge, Schriftsätze, Schriftsätze, Beweismittel, Korrespondenz, Discovery-Materialien, Anlagen, Gerichtsdokumente, Aktennotizen, Aufgaben, Anhörungen, Meilensteine und damit verbundene Aufzeichnungen.
• CRM-Daten: Mandantenakten, Kontaktdatensätze, Beziehungshistorie, Abrechnungsdaten, Zeiterfassungsaufzeichnungen, Notizen, Kommunikationen und Interaktionsprotokolle.
• Authentifizierungsdaten: Benutzernamen, gehashte Passwörter, Token, MFA-Faktoren, Antworten auf Sicherheitsabfragen, Zugangsdaten und Sitzungskennungen.
• Systemmetadaten: IP-Adressen, Gerätekennungen, Browsertypen, Betriebssystemdaten, Protokolle, Zeitstempel, aus IP- oder Geräteeinstellungen abgeleitete Standorte, Diagnosen, Leistungsdaten und Aktivitätsverläufe.
• Abrechnungs- und Zahlungsschnittstellendaten: Rechnungsdaten, Abonnementdaten, Transaktionsreferenzen, Zahlungsstatus, Steuerdaten, Abrechnungsprofildaten und begrenzte Zahlungsmetadaten. Vollständige Zahlungskartendaten werden vom Zahlungspartner oder einem PCI-DSS-konformen Abwickler verarbeitet, nicht von HAQQ, außer wenn ausdrücklich angegeben.
• Supportdaten: Support-Tickets, Chat-Inhalte, Screenshots, Diagnosedateien, Reproduktionsschritte, Protokolle und Kommunikationen mit HAQQ.
• Abgeleitete Daten: anonymisierte und aggregierte Telemetriedaten, Nutzungskennzahlen, Leistungsanalysen, Zuverlässigkeitsdaten und Sicherheitsdiagnosen, die keine Kunden, Nutzer, Mandanten oder betroffenen Personen identifizieren.

F. Sensible und besondere Kategorien von Daten

HAQQ verlangt von Kunden nicht, besondere Kategorien personenbezogener Daten, Daten über strafrechtliche Verurteilungen, Gesundheitsdaten, biometrische Daten, Daten von Kindern, Finanzkontodaten, Beweismittel aus Rechtsstreitigkeiten, privilegierte Informationen oder sonstige sensible oder regulierte Informationen einzureichen, es sei denn, solche Daten sind für die autorisierte Nutzung der Produkte durch den Kunden erforderlich.

Da die Produkte für die Verwaltung der Rechtspraxis, das Fallmanagement, die Mandantenaufnahme, die Legal-AI-Unterstützung, die Dokumentenspeicherung, die Abrechnung und die e-Client-Kommunikation genutzt werden können, können Kunden entscheiden, sensible Informationen innerhalb von Akten- und Falldateien hochzuladen oder zu verarbeiten. Soweit ein Kunde sensible Daten oder Daten besonderer Kategorien einreicht, sichert der Kunde zu und gewährleistet, dass er über eine rechtmäßige Grundlage, eine gültige Einwilligung, soweit erforderlich, angemessene Hinweise, berufliche Autorisierung, Vertraulichkeitsbefugnis und jede erforderliche regulatorische Grundlage verfügt, um solche Daten über die Produkte zu verarbeiten.

HAQQ wendet die in dieser Vereinbarung beschriebenen technischen und organisatorischen Maßnahmen an, der Kunde bleibt jedoch dafür verantwortlich, zu bestimmen, ob die Produkte für die Sensibilität, Rechtsordnung und den regulatorischen Status der von ihm eingereichten Daten geeignet sind. HAQQ kann Datenkategorien, die nach vernünftiger Einschätzung von HAQQ ein inakzeptables rechtliches, sicherheitsbezogenes, regulatorisches, betriebliches oder sicherheitstechnisches Risiko darstellen, ablehnen, sperren, einschränken, löschen, in Quarantäne stellen oder zusätzliche Schutzmaßnahmen dafür verlangen, vorbehaltlich des geltenden Rechts und jeder gesondert abgeschlossenen Vereinbarung.

G. Verarbeitungszwecke

HAQQ verarbeitet Daten zu den folgenden Zwecken:

• Kontoregistrierung, Identitätsprüfung, Authentifizierung und Zugriffsverwaltung;
• Bereitstellung und Verwaltung von Produkten und Diensten;
• e-Firm Akten- und Fallmanagement;
• Legal AI Abruf, Indizierung, Zusammenfassung, Entwurfsunterstützung, Extraktion, Klassifizierung, Workflow-Unterstützung und mandantenspezifische Kontextualisierung;
• e-Client Kommunikation, Dokumentenaustausch, Rechnungseinsicht und Mandantenportalfunktionalität;
• Legal Directory Profillistung, Suche, Anfrage und Matching-Funktionalität;
• eBar institutionelle Workflows;
• eWallet Technologieschicht-Funktionalität und Zahlungsschnittstellenunterstützung;
• Abrechnung, Rechnungsstellung, Abonnementverwaltung, Buchhaltung, Steuern und Inkasso;
• Support, Fehlerbehebung, Wartung, Vorfallreaktion und Serviceverbesserung;
• Sicherheitsüberwachung, Betrugsprävention, Missbrauchserkennung, Sanktionsprüfung, AML/CTF-Unterstützung, soweit anwendbar, und Compliance;
• Audit, Risikomanagement, Rechtsansprüche, regulatorische Reaktion und Durchsetzung dieser Vereinbarung;
• anonymisierte und aggregierte Telemetrie für Serviceleistung, Zuverlässigkeit, Kapazitätsplanung, Diagnostik, Sicherheit und betriebliche Analysen;
• jeder andere vom Kunden autorisierte oder gesetzlich vorgeschriebene Zweck.

H. Rechtsgrundlage

Sofern HAQQ als Verantwortlicher handelt, kann sich HAQQ auf eine oder mehrere Rechtsgrundlagen stützen, einschließlich der Vertragserfüllung, der Erfüllung rechtlicher Verpflichtungen, berechtigter Interessen, der Einwilligung, der Geltendmachung oder Verteidigung von Rechtsansprüchen oder sonstiger nach geltendem Recht anerkannter Rechtsgrundlagen.

Sofern HAQQ als Auftragsverarbeiter handelt, ist der Kunde dafür verantwortlich, die Rechtsgrundlage für die in die Produkte eingereichten personenbezogenen Kundendaten zu bestimmen und zu dokumentieren. HAQQ verarbeitet solche Daten auf der Grundlage der dokumentierten Anweisungen des Kunden, einschließlich dieser Vereinbarung, der jeweiligen Bestellformulare, Offiziellen Angebote, Plattformkonfigurationen und autorisierten Nutzerhandlungen.

I. Pflichten des Auftragsverarbeiters

Sofern HAQQ als Auftragsverarbeiter handelt, wird HAQQ:

• personenbezogene Kundendaten nur auf der Grundlage dokumentierter Anweisungen des Kunden verarbeiten, sofern nicht gesetzlich vorgeschrieben;
• sicherstellen, dass zur Verarbeitung personenbezogener Kundendaten befugte Personen zur Vertraulichkeit verpflichtet sind;
• angemessene technische und organisatorische Maßnahmen wie in dieser Vereinbarung beschrieben implementieren;
• den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen unterstützen, soweit gesetzlich erforderlich;
• den Kunden über bestätigte Verletzungen des Schutzes personenbezogener Daten gemäß Abschnitt P benachrichtigen;
• bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden unterstützen, soweit gesetzlich erforderlich und vernünftigerweise notwendig;
• angemessene Informationen zur Verfügung stellen, die zum Nachweis der Compliance erforderlich sind, vorbehaltlich Vertraulichkeit, Sicherheit und Verhältnismäßigkeit;
• personenbezogene Kundendaten gemäß Abschnitt Q zurückgeben, löschen, anonymisieren oder unzugänglich machen; und
• Unterauftragsverarbeitern angemessene Datenschutzpflichten auferlegen.

J. Pflichten des Kunden

Der Kunde wird:

• Kundendaten rechtmäßig erheben, nutzen, einreichen und verarbeiten;
• alle Hinweise erteilen und alle Einwilligungen, Erlaubnisse, Mandantenautorisierungen, beruflichen Genehmigungen und Rechtsgrundlagen einholen, die für die Nutzung der Produkte erforderlich sind;
• sicherstellen, dass Kundendaten keine Rechte verletzen oder gegen Gesetze verstoßen;
• Berechtigungen, Zugriffsrechte, Aufbewahrungseinstellungen und Produktfunktionen angemessen konfigurieren;
• Anfragen betroffener Personen beantworten, sofern der Kunde Verantwortlicher ist;
• eine angemessene Sicherheit für seine eigenen Systeme, Geräte, Zugangsdaten und Nutzer aufrechterhalten;
• HAQQ unverzüglich über vermutete Vorfälle benachrichtigen, die die Produkte oder Kundendaten betreffen;
• geltende Pflichten in Bezug auf Berufsgeheimnis, Vertraulichkeit, Privileg, Gericht, Anwaltskammer und Mandanteneinwilligung einhalten; und
• HAQQ für Ansprüche entschädigen, die sich aus der rechtswidrigen Verarbeitung des Kunden, aus Kundendaten oder aus einem Verstoß gegen diese Vereinbarung ergeben, vorbehaltlich Buch XIV.

K. Rechte betroffener Personen

HAQQ wird Anfragen zur Wahrnehmung von Rechten erleichtern, wie es die geltenden Datenschutzgesetze erfordern. Die Rechte betroffener Personen können Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung und Beschwerde bei einer Aufsichtsbehörde umfassen.

Anfragen sollten an info@haqq.ai oder eine andere von HAQQ benannte Adresse gerichtet werden. Sofern HAQQ als Auftragsverarbeiter handelt, kann HAQQ die Anfrage an den Kunden weiterleiten und auf der Grundlage der dokumentierten Anweisungen des Kunden handeln, sofern HAQQ nicht gesetzlich verpflichtet ist, direkt zu antworten. HAQQ kann eine angemessene Identitätsprüfung verlangen und kann wiederholte, offensichtlich unbegründete, exzessive oder rechtswidrige Anfragen ablehnen oder dafür eine Gebühr erheben, soweit gesetzlich zulässig.

L. Unterauftragsverarbeiter

Der Kunde autorisiert HAQQ, in Verbindung mit den Diensten Unterauftragsverarbeiter einzusetzen. Unterauftragsverarbeiter können Cloud-Hosting-Anbieter, Infrastrukturanbieter, Datenspeicheranbieter, Analyseanbieter, Anbieter von Zahlungsschnittstellen, Kommunikationsanbieter, Supportsysteme, Anbieter von KI-Infrastruktur, Identitätsdienste, Sicherheitstools und sonstige für das Ökosystem vernünftigerweise erforderliche Dienstleister umfassen.

HAQQ wird Unterauftragsverarbeiter mit angemessener Sorgfalt auswählen und schriftliche Vereinbarungen abschließen, die Datenschutzpflichten auferlegen, die nicht weniger schützend sind als die nach den geltenden Datenschutzgesetzen erforderlichen. HAQQ bleibt für die Handlungen und Unterlassungen von Unterauftragsverarbeitern verantwortlich, soweit dies gesetzlich und nach dieser Vereinbarung erforderlich ist.

HAQQ wird eine Liste der Unterauftragsverarbeiter oder einen gleichwertigen Benachrichtigungsmechanismus unterhalten, der wesentliche Unterauftragsverarbeiter, ihre Funktion und ihren Verarbeitungsstandort oder ihre Region nennt, soweit kommerziell praktikabel. HAQQ kann die Liste über die Plattform, ein Trust Center, eine E-Mail-Benachrichtigung, einen Vertragsanhang oder auf schriftliche Anfrage bereitstellen.

Ein Kunde kann einem neuen Unterauftragsverarbeiter in gutem Glauben widersprechen, indem er HAQQ innerhalb von fünfzehn (15) Tagen nach der Benachrichtigung schriftlich benachrichtigt. Der Widerspruch muss eine vernünftige rechtliche, sicherheitsbezogene, vertraulichkeitsbezogene, berufsrechtliche oder regulatorische Grundlage benennen. Kann der Widerspruch nicht in zumutbarer Weise gelöst werden, kann HAQQ kommerziell angemessene alternative Vorkehrungen treffen, oder der Kunde kann nur das betroffene Produkt oder die betroffene Verarbeitungstätigkeit ohne Vertragsstrafe kündigen, vorbehaltlich der Zahlung unbestrittener, vor der Kündigung angefallener Gebühren.

M. Sicherheitsmaßnahmen

HAQQ wird technische und organisatorische Maßnahmen implementieren und aufrechterhalten, die dem Risiko angemessen sind. Die Maßnahmen können umfassen:

• Verschlüsselung bei der Übertragung und im Ruhezustand;
• rollenbasierte Zugriffskontrollen;
• Mandantenisolierung;
• Protokollierung und Überwachung;
• Schwachstellenmanagement;
• Zugriffsüberprüfungen;
• Zugriff nach dem Prinzip der geringsten Rechte;
• Vorfallreaktionsverfahren;
• Backup- und Notfallwiederherstellungsmaßnahmen;
• Vertraulichkeitspflichten des Personals;
• Sicherheitsschulungen;
• sichere Entwicklungspraktiken;
• physische und umgebungsbezogene Sicherheit durch Hosting-Anbieter;
• Penetrationstests, Bewertungen, Audits oder Zertifizierungsüberprüfungen, soweit anwendbar; und
• kundenseitig verwaltete Verschlüsselungsschlüssel, soweit für die anwendbaren Abonnementstufen verfügbar.

Jeder Verweis auf SOC 2, ISO/IEC 27001, ISO/IEC 42001, die DSGVO oder andere Rahmenwerke bedeutet, dass das Sicherheits-, Datenschutz- und KI-Governance-Programm von HAQQ darauf ausgelegt ist, mit relevanten Kontrollen oder Pflichten übereinzustimmen. Es ist keine Zusicherung, dass jedes Produkt, jede Funktion, jeder Hosting-Standort, jede partnergehostete Bereitstellung, jede kundenseitig verwaltete Umgebung, jede Beta-Funktion, jede Integration oder jeder Drittdienst von derselben Zertifizierung oder demselben Auditumfang erfasst wird.

N. Internationale Übermittlungen

HAQQ bietet regionale Datenresidenz, soweit verfügbar, und hostet Daten standardmäßig in der Region, sofern dies in einem Bestellformular, Offiziellen Angebot oder einer Plattformkonfiguration ausdrücklich zugesagt wird. Grenzüberschreitende Übermittlungen können erfolgen, sofern dies für Support, Sicherheit, Abrechnung, Unterauftragsverarbeiterdienste, Redundanz, Rechtskonformität oder den Betrieb der Dienste erforderlich ist.

Soweit nach den geltenden Datenschutzgesetzen erforderlich, können sich Übermittlungen auf Angemessenheitsbeschlüsse, Standardvertragsklauseln, UK-Addenda, gleichwertige vertragliche Schutzmaßnahmen, ergänzende Maßnahmen, ausdrückliche Einwilligung, die Erforderlichkeit für die Vertragserfüllung, die Geltendmachung oder Verteidigung von Rechtsansprüchen oder andere rechtmäßige Übermittlungsmechanismen stützen.

Soweit nach den geltenden Datenschutzgesetzen erforderlich, wird HAQQ Folgenabschätzungen für Übermittlungen, ergänzende Schutzmaßnahmen, Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, vertragliche Zusagen und Bewertungen des rechtlichen Umfelds durchführen oder sich darauf stützen, die darauf ausgelegt sind, ein der Übermittlung angemessenes Schutzniveau zu bieten.

O. Auditrechte und Compliance-Nachweise

Geschäftliche Abonnenten können angemessene Compliance-Nachweise in Bezug auf die Sicherheits-, Vertraulichkeits- und Verarbeitungspflichten von HAQQ anfordern. Enterprise-Abonnenten, regulierte Kunden und Kunden mit einer spezifischen rechtlichen oder regulatorischen Auditpflicht können zusätzliche Auditmaterialien oder Auditverfahren anfordern, vorbehaltlich Vertraulichkeit, Sicherheit, Verhältnismäßigkeit, Verfügbarkeit, Umfang und anwendbarer Gebühren.

HAQQ kann Compliance-Nachweise durch Zusammenfassungen für Führungskräfte, Zertifizierungen, Auditzusammenfassungen, Sicherheits-Whitepapers, Trust-Center-Materialien, Richtlinienzusammenfassungen oder Fragebögen bereitstellen. Vollständige Auditberichte, Penetrationstestdetails oder sensible Sicherheitsmaterialien können eine gegenseitige Geheimhaltungsvereinbarung erfordern und können zum Schutz von Sicherheit, Vertraulichkeit, Privileg oder Rechten Dritter geschwärzt werden.

Audits vor Ort oder per Fernzugriff sind nur in Ausnahmefällen zulässig, in denen schriftliche Materialien nicht ausreichen, um eine zwingende rechtliche oder regulatorische Pflicht zu erfüllen. Solche Audits müssen im Umfang begrenzt sein, höchstens einmal jährlich durchgeführt werden, sofern nicht gesetzlich vorgeschrieben, einer Frist von mindestens sechzig (60) Tagen unterliegen, während der normalen Geschäftszeiten durchgeführt werden, den Betrieb von HAQQ nicht stören und von unabhängigen, zur Vertraulichkeit verpflichteten Prüfern durchgeführt werden.

P. Meldung von Verletzungen

Eine Verletzung des Schutzes personenbezogener Daten bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu von HAQQ verarbeiteten personenbezogenen Kundendaten führt.

Sobald HAQQ Kenntnis von einer bestätigten Verletzung des Schutzes personenbezogener Daten erlangt, die personenbezogene Kundendaten betrifft, für die der Kunde Verantwortlicher ist, wird HAQQ den Kunden unverzüglich und, soweit machbar, innerhalb von zweiundsiebzig (72) Stunden benachrichtigen. „Kenntniserlangung" bezeichnet den Zeitpunkt, zu dem HAQQ mit hinreichender Gewissheit feststellt, dass eine Verletzung eingetreten ist und personenbezogene Kundendaten betroffen hat.

Die Benachrichtigung von HAQQ umfasst, soweit bekannt: die Art der Verletzung, die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen, eine Kontaktstelle und Empfehlungen zur Minderung nachteiliger Auswirkungen. Die Informationen können schrittweise bereitgestellt werden, sobald sie verfügbar werden.

Sicherheitswarnungen, erfolglose Angriffe, abgewehrte Eindringversuche, routinemäßige Schwachstellenberichte oder Vorfälle, die personenbezogene Kundendaten nicht kompromittieren, werden im Rahmen des Vorfallreaktionsprogramms von HAQQ behandelt, stellen jedoch nicht zwangsläufig eine Meldung über eine Verletzung des Schutzes personenbezogener Daten dar.

Der Kunde ist dafür verantwortlich, zu bestimmen, ob eine Meldung an Aufsichtsbehörden, Gerichte, Berufsorganisationen, Mandanten oder betroffene Personen erforderlich ist, sofern HAQQ nicht eine unmittelbare rechtliche Pflicht zur Meldung hat. HAQQ wird angemessene Unterstützung leisten, soweit erforderlich.

Jede Partei trägt ihre eigenen Kosten im Zusammenhang mit dem Verletzungsmanagement, sofern die Verletzung nicht hauptsächlich durch einen Verstoß der anderen Partei gegen diese Vereinbarung oder geltendes Recht verursacht wurde, in welchem Fall die verantwortliche Partei die angemessenen und nachweisbaren Kosten trägt, vorbehaltlich Buch XIV.

Q. Aufbewahrung, Export und Löschung

Sofern nicht durch die geltenden Datenschutzgesetze, einen Legal Hold, das Steuerrecht, Auditanforderungen, Sanktionsprüfungspflichten, Geldwäschebekämpfungspflichten, eine gerichtliche Anordnung, eine berufliche Pflicht oder eine gesondert abgeschlossene Vereinbarung etwas anderes erforderlich ist, wird HAQQ nach Kündigung oder Ablauf des jeweiligen Abonnements ein Exportfenster von neunzig (90) Tagen bereitstellen, damit der Kunde Kundendaten abrufen kann.

Nach Ablauf des Exportfensters von neunzig (90) Tagen wird HAQQ Kundendaten innerhalb eines kommerziell angemessenen Zeitraums aus den aktiven Produktivsystemen löschen, anonymisieren oder unzugänglich machen, vorbehaltlich rechtlicher, regulatorischer, sicherheitsbezogener, Backup-, Notfallwiederherstellungs-, Abrechnungs-, Audit-, Streit- und Compliance-Aufbewahrungspflichten.

Daten können in verschlüsselten Backup- oder Notfallwiederherstellungsarchiven für einen Zeitraum von höchstens einem (1) Jahr ab Kündigung verbleiben, sofern nicht ein längerer Zeitraum durch Gesetz, Litigation Hold, eine Sicherheitsuntersuchung, die Integrität der Notfallwiederherstellung oder eine unveränderliche Backup-Architektur erforderlich ist. Backup-Daten werden nicht in die Produktion wiederhergestellt, außer zu Zwecken der Notfallwiederherstellung, Sicherheit, Kontinuität, Rechtskonformität oder Untersuchung. Werden Backup-Daten wiederhergestellt, wird HAQQ die Lösch- oder Anonymisierungsverfahren gemäß diesem Abschnitt erneut anwenden.

HAQQ kann abgeleitete Daten unbegrenzt aufbewahren, sofern sie unwiderruflich anonymisiert oder aggregiert sind und keine personenbezogenen Daten im Sinne der geltenden Datenschutzgesetze darstellen.

Auf schriftliche Anfrage kann HAQQ eine angemessene Bestätigung der Löschung bereitstellen, vorbehaltlich Vertraulichkeits-, Sicherheits-, rechtlicher und technischer Beschränkungen.

R. Datenverarbeitungsanhang

• Gegenstand der Verarbeitung. HAQQ verarbeitet personenbezogene Kundendaten, um die Produkte und damit verbundene Dienste im Rahmen dieser Vereinbarung, der jeweiligen Bestellformulare, Offiziellen Angebote und Leistungsverzeichnisse bereitzustellen, zu sichern, zu unterstützen, zu warten, zu verbessern und zu verwalten.
• Dauer der Verarbeitung. Die Verarbeitung dauert für die Laufzeit des jeweiligen Abonnements oder Dienstes sowie für jeden in dieser Vereinbarung beschriebenen nachvertraglichen Aufbewahrungs-, Export-, Backup-, rechtlichen, regulatorischen, Audit-, Streit- oder Compliance-Zeitraum an.
• Art und Zweck der Verarbeitung. Die Verarbeitung kann Hosting, Speicherung, Abruf, Übertragung, Indizierung, Zugriffskontrolle, Authentifizierung, Verschlüsselung, Support, Fehlerbehebung, Abrechnung, Analysen unter Verwendung anonymisierter und aggregierter Telemetrie, KI-gestützten Abruf und Generierung, Dokumentenverarbeitung, Aktenverwaltung, Mandantenkommunikation, Zahlungsschnittstellenunterstützung, Migration, Integration und Sicherheitsüberwachung umfassen.
• Kategorien betroffener Personen. Betroffene Personen können Kunden, autorisierte Nutzer, Kontoinhaber, Administratoren, Mitarbeiter, Auftragnehmer, Anwälte, Mandanten von Rechtsdiensten, Gegenparteien, Zeugen, Gerichtspersonal, Lieferanten, Kontakte, potenzielle Mandanten, gelistete Berufsträger, Mitglieder von Anwaltskammern, Endkunden, Partnerpersonal und Personen umfassen, deren Daten in Kundendaten erscheinen.
• Kategorien personenbezogener Daten. Personenbezogene Daten können Identitätsdaten, Kontaktdaten, Authentifizierungsdaten, Berufsdaten, Kontodaten, CRM-Daten, Abrechnungsdaten, Matter Data, Falldateien, Rechtsdokumente, Kommunikationen, Metadaten, Protokolle, Nutzungsdaten, Zahlungsschnittstellendaten, KYC- oder Aufnahmedaten sowie sonstige vom Kunden eingereichte Daten umfassen.
• Sensible Daten. Sensible Daten können verarbeitet werden, sofern sie vom Kunden im Zusammenhang mit Rechtsangelegenheiten, Mandantenaufnahme, beruflichen Workflows, Beweismitteln, Rechtsstreitigkeiten, Familienangelegenheiten, Strafsachen, gesundheitsbezogenen Angelegenheiten, Finanzangelegenheiten, Arbeitsangelegenheiten oder anderen Anwendungsfällen eingereicht werden. Der Kunde ist dafür verantwortlich, eine angemessene Rechtsgrundlage und Schutzmaßnahmen für solche Daten sicherzustellen.
• Unterauftragsverarbeiter. HAQQ kann Unterauftragsverarbeiter wie in Abschnitt L beschrieben einsetzen. Die aktuelle Liste der Unterauftragsverarbeiter oder gleichwertige Informationen werden über die Plattform, das Trust Center, auf schriftliche Anfrage oder über einen Vertragsanhang bereitgestellt.
• Technische und organisatorische Maßnahmen. Die Maßnahmen können Verschlüsselung bei der Übertragung und im Ruhezustand, Mandantenisolierung, Zugriffskontrollen, rollenbasierte Berechtigungen, Protokollierung, Überwachung, Schwachstellenmanagement, Vorfallreaktion, Backup- und Notfallwiederherstellungskontrollen, Vertraulichkeit des Personals, Schulung, physische Sicherheit und Auditverfahren umfassen.
• Übermittlungen. Internationale Übermittlungen unterliegen Abschnitt N und können sich auf Angemessenheitsbeschlüsse, SCCs, UK-Addenda, gleichwertige vertragliche Schutzmaßnahmen, ergänzende Maßnahmen oder andere rechtmäßige Übermittlungsmechanismen stützen.
• Löschung oder Rückgabe. Rückgabe, Export, Löschung, Anonymisierung, Backup-Aufbewahrung und Bestätigung der Löschung unterliegen Abschnitt Q und Buch XIV.