Auftragsverarbeitungsvertrag.

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO CollabPoint – Version 1 Stand: 04. September 2026 Vertragspartner Auftragnehmer / Auftragsverarbeiter Florian Harchut handelnd unter „CollabPoint“ Mainstraße 15D 85579 Neubiberg Deutschland E-Mail: auftrag@inkandivory.de – nachfolgend „CollabPoint“ oder „Auftragsverarbeiter“ – Auftraggeber Der jeweilige im Hauptvertrag, Bestellprozess, Order Form oder sonstigen Vertragsdokument bezeichnete gewerbliche Plattformkunde von CollabPoint – nachfolgend „Auftraggeber“ – Auftraggeber und CollabPoint gemeinsam die „Parteien“. 1. Gegenstand und Geltungsbereich Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch CollabPoint im Auftrag des Auftraggebers im Zusammenhang mit der Bereitstellung und Nutzung der webbasierten Plattform CollabPoint. Der AVV gilt ausschließlich für Verarbeitungsvorgänge, bei denen CollabPoint personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1 – Beschreibung der Auftragsverarbeitung, die Bestandteil dieser Fassung ist. Soweit CollabPoint personenbezogene Daten für eigene, selbst festgelegte Zwecke verarbeitet – insbesondere zur Vertragsverwaltung, eigenen Rechnungsstellung, Plattformsicherheit, Missbrauchsabwehr, Rechtsverteidigung oder Erfüllung eigener gesetzlicher Pflichten – erfolgt diese Verarbeitung nicht auf Grundlage dieses AVV, sondern nach den jeweils einschlägigen eigenen Datenschutzinformationen und Rechtsgrundlagen. Der AVV ergänzt den Hauptvertrag bzw. die sonstige Leistungsvereinbarung über CollabPoint. Soweit Regelungen zum Schutz personenbezogener Auftragsdaten widersprechen, geht dieser AVV einschließlich seiner Anlagen vor. Zwingende gesetzliche Regelungen bleiben unberührt. Verarbeitet der Auftraggeber Daten seiner eigenen Auftraggeber selbst als Auftragsverarbeiter, ist CollabPoint im entsprechenden Umfang weiterer Auftragsverarbeiter. Der Auftraggeber ist dafür verantwortlich, zur Beauftragung eines weiteren Auftragsverarbeiters berechtigt zu sein. 2. Weisungsgebundenheit CollabPoint verarbeitet personenbezogene Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine unionsrechtliche oder mitgliedstaatliche Rechtsvorschrift CollabPoint zu einer Verarbeitung verpflichtet. Dokumentierte Weisungen können sich insbesondere aus der Nutzung vertragsgemäßer Plattformfunktionen durch berechtigte Nutzer, Rollen- und Berechtigungseinstellungen, Freigabe- und Speichereinstellungen, Erstellung, Änderung, Versand, Export oder Löschung fachlicher Inhalte, bewusst aktivierten öffentlichen Freigaben, ausdrücklich aufgerufenen KI-Funktionen sowie gesonderten Weisungen über den vereinbarten Kommunikationsweg ergeben. Ist CollabPoint aufgrund einer gesetzlichen Verpflichtung zu einer Verarbeitung verpflichtet, informiert CollabPoint den Auftraggeber vor der Verarbeitung über diese Pflicht, soweit die betreffende Rechtsvorschrift eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält CollabPoint eine Weisung für datenschutzrechtlich unzulässig, informiert CollabPoint den Auftraggeber hierüber und kann die betroffene Weisung bis zur Klärung aussetzen, soweit dies zur Vermeidung einer rechtswidrigen Verarbeitung erforderlich ist. Weisungen außerhalb des vereinbarten Leistungsumfangs können einer gesonderten Vereinbarung über technische Umsetzbarkeit, Aufwand und Kosten bedürfen. 3. Pflichten des Auftraggebers Der Auftraggeber ist für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung verantwortlich, soweit er Verantwortlicher ist. Er entscheidet insbesondere über fachliche Zwecke, betroffene Personen und Daten, Berechtigungen seiner Nutzer, öffentliche oder private Freigaben, Nutzung aktivierter KI-Funktionen sowie erforderliche Informations-, Einwilligungs- und Transparenzpflichten gegenüber betroffenen Personen. Die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder strafrechtlicher Daten nach Art. 10 DSGVO ist ohne vorherige ausdrückliche Prüfung und gesonderte Vereinbarung nicht vorgesehen. Der Auftraggeber informiert CollabPoint unverzüglich über ihm bekannt gewordene relevante Fehler, Unregelmäßigkeiten, Sicherheitsvorfälle oder möglicherweise unzulässige Verarbeitungen im Zusammenhang mit der Auftragsverarbeitung. 4. Vertraulichkeit CollabPoint stellt sicher, dass Personen, die unter seiner Autorität Zugang zu personenbezogenen Auftragsdaten erhalten, diese Daten nur auf Weisung verarbeiten, soweit keine gesetzliche Verarbeitungspflicht besteht. Zugriffsberechtigte Personen werden auf Vertraulichkeit verpflichtet bzw. unterliegen einer angemessenen gesetzlichen oder vertraglichen Verschwiegenheitspflicht. Administrative und Supportzugriffe werden auf den für den jeweiligen Zweck erforderlichen Umfang begrenzt. Privilegierter Zugriff auf konkret geschützte Kundendaten unterliegt den in den TOMs beschriebenen gesonderten Zugriffskontrollen und Nachweisprozessen. 5. Technische und organisatorische Maßnahmen CollabPoint trifft unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Auftragsdaten. Die zum Stand dieses AVV dokumentierten Maßnahmen ergeben sich aus Anlage 2 – Technische und organisatorische Maßnahmen (TOMs), Version 1 vom 04.09.2026. Die Parteien erkennen an, dass CollabPoint wesentliche technische Infrastrukturleistungen über Base44 und dessen nachgelagerte Anbieter bezieht. Providerseitige und anwendungsseitige Maßnahmen werden in den TOMs getrennt dargestellt. CollabPoint darf technische und organisatorische Maßnahmen weiterentwickeln oder durch gleichwertige bzw. stärkere Maßnahmen ersetzen, sofern das vereinbarte Schutzniveau nicht wesentlich abgesenkt wird. 6. Weitere Auftragsverarbeiter Der Auftraggeber erteilt CollabPoint eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter für die in diesem AVV beschriebene Verarbeitung. Die zum Stand dieses AVV bekannte Verarbeitungskette und wesentliche internationale Datenflüsse sind in Anlage 3 – Unterauftragsverarbeiter und internationale Datenflüsse, Version 1 vom 04.09.2026, dokumentiert. CollabPoint informiert den Auftraggeber über beabsichtigte relevante Ergänzungen oder Ersetzungen weiterer Auftragsverarbeiter so früh wie praktisch möglich, nachdem CollabPoint selbst von der Änderung Kenntnis erlangt hat. Der Auftraggeber kann aus nachvollziehbaren datenschutzbezogenen Gründen gegen eine Änderung widersprechen. Die Parteien prüfen dann eine angemessene Lösung, insbesondere ob der betroffene Verarbeitungsvorgang ohne den neuen Anbieter fortgeführt, anders konfiguriert oder deaktiviert werden kann. Ist keine angemessene Lösung möglich, kann der betroffene Leistungsumfang bzw. erforderlichenfalls das Vertragsverhältnis beendet werden. CollabPoint stellt über die von ihm kontrollierte Vertragskette sicher, dass weitere Auftragsverarbeiter Datenschutzpflichten unterliegen, die den gesetzlichen Anforderungen des Art. 28 DSGVO entsprechen. Bei nachgelagerten Base44-Anbietern gelten ergänzend die Verpflichtungen der vorgelagerten Base44-Vertrags- und DPA-Kette. CollabPoint bleibt im Rahmen der gesetzlichen Vorgaben für die Erfüllung seiner Pflichten aus diesem AVV verantwortlich. Nicht aktivierte oder technisch fail-closed gesperrte Integrationen gelten nicht allein aufgrund vorhandenen Programmcodes als aktiv eingesetzte Unterauftragsverarbeiter. 7. Drittlandübermittlungen Personenbezogene Auftragsdaten dürfen nur im Rahmen der anwendbaren Datenschutzvorschriften in Drittländer oder an internationale Organisationen übermittelt werden. Soweit ein Angemessenheitsbeschluss besteht oder ein sonstiger gesetzlich zulässiger Transfermechanismus, insbesondere Standardvertragsklauseln, verwendet wird, richtet sich die Verarbeitung nach der jeweiligen tatsächlichen Provider- und Vertragskette. Der Auftraggeber nimmt zur Kenntnis, dass der derzeitige CollabPoint- und Base44-Betrieb nicht als vollständig EU-only zugesichert wird. Einzelheiten ergeben sich aus Anlage 3. 8. Unterstützung bei Betroffenenrechten CollabPoint unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren technischen Funktionen angemessen bei der Erfüllung von Betroffenenrechten nach Kapitel III DSGVO. Erhält CollabPoint eine Anfrage einer betroffenen Person, die offensichtlich Auftragsdaten des Auftraggebers betrifft, wird CollabPoint die Anfrage grundsätzlich an den Auftraggeber verweisen oder weiterleiten und nicht ohne Weisung eigenständig über die materiellen Rechte entscheiden, soweit keine eigene Verantwortlichkeit von CollabPoint betroffen ist. Soweit erforderlich und technisch verfügbar, unterstützt CollabPoint insbesondere durch angemessene Such-, Zugriffs-, Export-, Korrektur-, Sperr- oder Löschmaßnahmen innerhalb des kontrollierbaren Plattformbereichs. 9. Unterstützung bei Sicherheit, Datenschutzverletzungen und Folgenabschätzungen CollabPoint unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der zur Verfügung stehenden Informationen angemessen bei dessen Pflichten nach Art. 32 bis 36 DSGVO. Wird CollabPoint eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt, informiert CollabPoint den Auftraggeber ohne unangemessene Verzögerung, soweit der Vorfall dessen Auftragsdaten betrifft. Die Mitteilung enthält, soweit zu diesem Zeitpunkt verfügbar, insbesondere Informationen zur Art des Vorfalls, zu betroffenen Daten oder Systemen, bekannten oder voraussichtlichen Folgen sowie ergriffenen oder geplanten Eindämmungs- und Abhilfemaßnahmen. Noch nicht verfügbare Informationen können schrittweise nachgereicht werden. Soweit eine Datenschutz-Folgenabschätzung oder vorherige Konsultation für eine vom Auftraggeber geplante Verarbeitung erforderlich ist, stellt CollabPoint die ihm zum betreffenden Verarbeitungsteil verfügbaren Informationen in angemessenem Umfang zur Verfügung. 10. Nachweise und Audits CollabPoint stellt dem Auftraggeber diejenigen Informationen zur Verfügung, die vernünftigerweise erforderlich und verfügbar sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. Als Nachweise können insbesondere dieser AVV und seine Anlagen, TOM- und Providerinformationen, verfügbare Zertifizierungen und Auditberichte vorgelagerter Provider, dokumentierte Security- und Compliance-Evidence sowie angemessene schriftliche Auskünfte herangezogen werden. Reichen diese Informationen bei nachvollziehbarem konkretem Anlass nicht aus, kann der Auftraggeber nach angemessener Vorankündigung eine verhältnismäßige weitergehende Prüfung verlangen. Prüfungen dürfen die Sicherheit der Plattform, Geschäftsgeheimnisse sowie personenbezogene Daten und vertrauliche Informationen anderer Kunden nicht gefährden. 11. Rückgabe, Löschung und Vertragsende Nach Beendigung der Auftragsverarbeitung löscht oder gibt CollabPoint personenbezogene Auftragsdaten nach Maßgabe der Weisung des Auftraggebers im Rahmen der technisch verfügbaren und rechtlich zulässigen Möglichkeiten zurück, sperrt, anonymisiert oder löscht sie, soweit keine gesetzliche Pflicht oder ein anderer zulässiger dokumentierter Grund zur weiteren Aufbewahrung besteht. Die konkrete technische Lösch- und Aufbewahrungslogik ist in Anlage 4 – Lösch- und Aufbewahrungsinformationen, Version 1 vom 04.09.2026, beschrieben. Die Parteien unterscheiden insbesondere zwischen fachlichem Soft Delete, Löschung aktiver Data Records, providerseitigem „Recently Deleted“-Auslauf, physischer Datei- bzw. Media-Löschung und Backup- bzw. Provider-Auslauf. Eine pauschale Bestätigung „sämtliche physischen Kopien sofort gelöscht“ wird nicht erteilt, solange dies für die jeweilige Storage-, Backup- und Providerkette nicht belastbar nachgewiesen werden kann. Gemeinsam genutzte Geschäftsdaten werden bei der Schließung eines einzelnen Nutzerkontos nicht blind gelöscht, wenn Rechte des Plattformkunden oder anderer berechtigter Beteiligter bzw. gesetzliche Aufbewahrungspflichten entgegenstehen. 12. Behördliche und gerichtliche Anfragen CollabPoint informiert den Auftraggeber über behördliche oder gerichtliche Anforderungen betreffend Auftragsdaten, soweit CollabPoint hierzu rechtlich befugt ist und keine gesetzliche Geheimhaltungspflicht entgegensteht. CollabPoint beschränkt eine Offenlegung auf den rechtlich erforderlichen Umfang. 13. Änderungen des AVV und seiner Anlagen Produkt-, Sicherheits- und Providerbedingungen können sich während der Vertragslaufzeit ändern. CollabPoint darf die Anlagen aktualisieren, wenn dies erforderlich ist, um den tatsächlichen Verarbeitungsscope, Sicherheitsstand oder die Providerkette wahrheitsgemäß abzubilden. Wesentliche nachteilige Änderungen werden dem Auftraggeber in angemessener Weise mitgeteilt. Für Änderungen weiterer Auftragsverarbeiter gilt zusätzlich Ziffer 6. Eine rein dokumentarische Präzisierung, Aktualisierung von Evidenz oder Verbesserung von Schutzmaßnahmen, die den vereinbarten Datenschutzstandard nicht absenkt, erfordert keine erneute Bestätigung des gesamten AVV, sofern die Versionierung und Zuordnung zur Vertragsbeziehung nachvollziehbar bleibt. Wesentliche Änderungen, die den Inhalt der Auftragsverarbeitung oder vertragliche Rechte und Pflichten nicht nur unerheblich verändern, können eine erneute Bestätigung erfordern. 14. Laufzeit Dieser AVV tritt mit seiner wirksamen Einbeziehung in die Vertragsbeziehung in Kraft und gilt für die Dauer der Auftragsverarbeitung. Er endet, wenn CollabPoint keine personenbezogenen Daten mehr im Auftrag des Auftraggebers verarbeitet und die erforderlichen Rückgabe-, Lösch-, Sperr- und Provider-Auslaufprozesse abgeschlossen bzw. verbleibende zulässige Aufbewahrungen dokumentiert sind. Vertraulichkeits-, Nachweis- und Löschpflichten wirken fort, soweit ihr Zweck dies erfordert. 15. Elektronischer Abschluss und Versionierungsnachweis Dieser AVV kann elektronisch abgeschlossen bzw. in elektronischer Form in die Vertragsbeziehung einbezogen werden. Bei elektronischer Annahme speichert CollabPoint einen Nachweis der konkret bestätigten Vertragsfassung. Dieser umfasst insbesondere den Nutzerbezug der bestätigenden Person, die LegalText-ID, die Version, die kryptografische Prüfsumme des Inhalts, den angezeigten Bestätigungstext, den Zeitpunkt der Annahme und den jeweiligen Annahmekontext. Die bestätigende Person erklärt, zum Abschluss dieses AVV für den von ihr vertretenen Plattformkunden berechtigt zu sein. Die bloße Bereitstellung einer neuen Fassung ersetzt nicht rückwirkend die dokumentierte Fassung, die für einen bestehenden Vertrag tatsächlich einbezogen wurde. 16. Schlussbestimmungen Im Übrigen gelten die Bestimmungen des Hauptvertrags, soweit sie diesem AVV nicht widersprechen. Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, bleiben die übrigen Bestimmungen unberührt. An die Stelle einer unwirksamen oder undurchführbaren Regelung tritt die gesetzliche Regelung. Zwingende Rechte und Pflichten nach der DSGVO und sonstigem anwendbaren Datenschutzrecht bleiben unberührt. Vertragsbestandteile – AVV Version 1 Bestandteil dieses AVV sind: 1. Anlage 1 – Beschreibung der Auftragsverarbeitung, Version 1 vom 04.09.2026, in dieser AVV-Fassung unmittelbar enthalten, 2. Anlage 2 – Technische und organisatorische Maßnahmen (TOMs), Version 1 vom 04.09.2026, 3. Anlage 3 – Unterauftragsverarbeiter und internationale Datenflüsse, Version 1 vom 04.09.2026, 4. Anlage 4 – Lösch- und Aufbewahrungsinformationen, Version 1 vom 04.09.2026. Anlage 1 – Beschreibung der Auftragsverarbeitung Version 1 – Stand: 04. September 2026 1. Gegenstand und Zweck der Verarbeitung CollabPoint stellt dem Plattformkunden eine webbasierte Arbeits- und Kollaborationsplattform für projektbasierte Dienstleistungsunternehmen zur Verfügung. Soweit der Plattformkunde dabei personenbezogene Daten für eigene geschäftliche Zwecke oder im Auftrag seiner eigenen Auftraggeber in CollabPoint verarbeitet, verarbeitet CollabPoint diese Daten im Rahmen der bereitgestellten Plattformfunktionen nach dokumentierter Weisung des Plattformkunden. Die Verarbeitung kann insbesondere folgenden Zwecken dienen: - Anlage und Verwaltung von Projekten, Aufträgen, Aufgaben und Arbeitsabläufen, - Zusammenarbeit zwischen Dienstleistern, Kunden, Freelancern und sonstigen Projektbeteiligten, - Chats, Kommentare, Reviews, Freigaben und projektbezogene Kommunikation, - Dokumenten-, Datei- und Medienverwaltung einschließlich Vorschau- und Freigabefunktionen, - Erstellung und Verwaltung geschäftlicher Dokumente wie Angebote, Rechnungen und Ausgabenbelege, - Organisation von Kunden-, Kontakt-, Organisations- und Mitgliedschaftsdaten, - Nutzung von Spaces und sonstigen kollaborativen Arbeitsflächen, - Nutzung des Website-, Funnel-, Anfrage- und Terminbuchungsbereichs, soweit diese Funktionen aktiviert sind, - Nutzung des kontextbezogenen KI-Assistenten, soweit der Plattformkunde bzw. ein berechtigter Nutzer eine KI-Funktion aufruft, - technische Bereitstellung von Export-, Freigabe-, Benachrichtigungs- und Administrationsfunktionen, soweit im vereinbarten Produktumfang aktiviert. Nicht aktivierte, technisch gesperrte oder aus dem jeweiligen Produktumfang ausgeschlossene Funktionen sind nicht allein deshalb Gegenstand der tatsächlichen Verarbeitung, weil hierzu Programmcode vorhanden ist. 2. Art der Verarbeitung Je nach verwendeter Funktion kann CollabPoint insbesondere folgende Verarbeitungsvorgänge im Auftrag durchführen: - Erheben und Entgegennehmen, - Erfassen, - Speichern, - Ordnen und Strukturieren, - Auslesen und Abrufen, - Anzeigen und Bereitstellen für berechtigte Nutzer, - Verknüpfen und Zuordnen, - Bearbeiten und Aktualisieren, - Übermitteln an vom Plattformkunden bestimmte Empfänger oder Freigabeziele, - Erzeugen zeitlich begrenzter Zugriffslinks für geschützte Dateien, - Veröffentlichen von Inhalten, wenn der Plattformkunde bewusst eine öffentliche Funktion aktiviert, - Verarbeiten durch KI-Modelle nach ausdrücklichem Aufruf einer KI-Funktion, - Exportieren, - Sperren, Widerrufen, Löschen oder zur Löschung vormerken, - technische Protokollierung, soweit diese der sicheren Auftragsverarbeitung zuzuordnen ist. Die konkrete Verarbeitung richtet sich nach den tatsächlich verwendeten Funktionen und den vom Plattformkunden eingestellten Rollen, Berechtigungen, Speicher- und Freigabeoptionen. 3. Kategorien betroffener Personen Abhängig von der Nutzung können insbesondere Daten folgender Personengruppen verarbeitet werden: - Nutzer und Mitglieder des Plattformkunden, - Beschäftigte und freie Mitarbeiter des Plattformkunden, - Freelancer, Subunternehmer und sonstige externe Projektbeteiligte, - bestehende und potenzielle Kunden des Plattformkunden, - Ansprechpartner bei Kunden, Lieferanten, Dienstleistern und Geschäftspartnern, - Auftraggeber des Plattformkunden und deren Mitarbeiter oder Ansprechpartner, - Empfänger, Gäste, Reviewer und Kommentierende in freigegebenen Bereichen, - Interessenten und Personen, die über vom Plattformkunden veröffentlichte Formulare, Funnel oder Terminbuchungen Kontakt aufnehmen, - sonstige natürliche Personen, deren Daten der Plattformkunde im Rahmen einer zulässigen geschäftlichen Nutzung in CollabPoint verarbeitet. 4. Kategorien personenbezogener Daten Je nach konkreter Nutzung können insbesondere folgende Kategorien betroffen sein: - Stamm-, Identitäts- und Kontaktdaten, einschließlich Name, geschäftlicher E-Mail-Adresse, Telefonnummer, Unternehmen bzw. Organisation, Funktion, Rolle, Profil- und Kontoinformationen, - Projekt-, Auftrags- und Leistungsdaten, einschließlich Projektbeschreibungen, Aufgaben, Status, Termine, Verantwortlichkeiten und Arbeitsstände, - Kommunikations- und Kollaborationsdaten, einschließlich Chats, Kommentare, Reviews, Freigaben, Space-Inhalte und Anhänge, - Dokument-, Datei- und Mediendaten einschließlich Metadaten, Vorschaudaten, Reviewinformationen und Freigabestatus, - Geschäfts- und Finanzdaten wie Angebote, Rechnungen, Leistungspositionen, Beträge, Steuern, Zahlungsstatus, Ausgaben und Beleginformationen, - Formular-, Anfrage- und Terminbuchungsdaten, - KI-bezogene Daten wie Nutzeranfragen, für die konkrete Aufgabe erforderlicher CollabPoint-Kontext, ausdrücklich ausgewählte Inhalte, Modellantworten und technisch erforderliche Verarbeitungsmetadaten. 5. Besondere Kategorien personenbezogener Daten Die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie strafrechtlicher Daten nach Art. 10 DSGVO ist nicht Bestandteil des standardmäßig vorgesehenen CollabPoint-Early-Adapter- und SaaS-Anwendungsfalls. Soweit eine solche Verarbeitung erforderlich werden soll, sind Zweck, Rechtsgrundlage, Weisung, Risikobewertung und erforderliche technische, organisatorische und vertragliche Maßnahmen vorab gesondert zu prüfen und zu vereinbaren. 6. Dauer der Verarbeitung Die Auftragsverarbeitung beginnt mit Wirksamwerden des zugrunde liegenden Vertrags bzw. der tatsächlichen Nutzung der betreffenden CollabPoint-Funktion und dauert grundsätzlich für die Dauer des Vertrags- bzw. Nutzungsverhältnisses. Nach Vertragsende oder einer wirksamen dokumentierten Löschweisung richtet sich die weitere Behandlung nach dem AVV und den einbezogenen Lösch- und Aufbewahrungsinformationen. 7. Weisungsberechtigte Nutzung Der Plattformkunde bestimmt innerhalb der angebotenen Produktfunktionen insbesondere: - welche Daten in CollabPoint eingestellt werden, - welche Nutzer und externen Beteiligten Zugriff erhalten, - welche Rollen und Berechtigungen vergeben werden, - welche Inhalte öffentlich oder geschützt geteilt werden, - welche KI-Funktionen aufgerufen werden, - welche fachlichen Inhalte erstellt, geändert, versendet, exportiert oder gelöscht werden. Normale Produktaktionen eines hierzu berechtigten Nutzers gelten im Rahmen des AVV als dokumentierte Weisung, soweit sie sich innerhalb des vereinbarten Leistungsumfangs bewegen. 8. Abgrenzung zu eigenen Verantwortlichenzwecken von CollabPoint Nicht jede Verarbeitung im Zusammenhang mit CollabPoint erfolgt im Auftrag des Plattformkunden. Soweit CollabPoint Zwecke und wesentliche Mittel selbst bestimmt, können insbesondere folgende Verarbeitungen außerhalb dieses AVV liegen: - Vertragsanbahnung und Vertragsverwaltung mit dem Plattformkunden, - eigene Rechnungsstellung und Durchsetzung eigener Ansprüche, - Verwaltung des CollabPoint-Kontos aus Betreiberperspektive, - Plattform- und Accountsicherheit, - Missbrauchs-, Fraud- und Angriffserkennung, - gesetzliche Nachweis- und Aufbewahrungspflichten, - Rechtsverteidigung und Behördenkommunikation, - Betrieb des Early-Adapter- und Waitlist-Programms, - eigene Support- und Kommunikationsdaten, - wirksam anonymisierte oder ausreichend aggregierte Daten, soweit tatsächlich kein Personenbezug mehr besteht. Diese Verarbeitung richtet sich nach den hierfür geltenden eigenen Datenschutzinformationen. 9. Produktscope zum Stand dieser Fassung Produktrelevant sind insbesondere Projekt-, Auftrags-, Task-, Chat-, Space-, Dokument-, Review-, Freigabe-, Angebots-, Rechnungs-, Ausgaben-, Website-, Funnel-, Terminbuchungs- und kontextbezogene KI-Funktionen, soweit sie dem jeweiligen Plattformkunden freigeschaltet sind. Die folgenden externen Integrationspfade sind im aktuell verifizierten Early-Adapter-Scope technisch deaktiviert bzw. fail-closed und begründen daher derzeit keinen entsprechenden produktiven Drittanbieterflow: - Stripe Payments, - Product Checkout, - Google Calendar, - Google Drive, - DATEV-Export, - Lexoffice-Export, - Newsletter, - Custom Domains. Eine spätere Aktivierung kann eine Aktualisierung dieser Beschreibung und der Unterauftragsverarbeiterliste erfordern.