Auftragsverarbeitungsvereinbarung
Version 2026-09-30.2
Vereinbarung zur Verarbeitung personenbezogener Daten — DPA Version 2026-09-30.2 — 30. September 2026 1. Parteien, Gegenstand und Rollen Der bei Registrierung oder in der Abonnementübersicht identifizierte Geschäftskunde, gegebenenfalls vertreten durch seinen berechtigten Nutzer, ist Verantwortlicher für die von ihm bestimmten Verarbeitungen. THELOS SAS, 10 rue de Penthièvre, 75008 Paris, Frankreich, 789 713 310 RCS Paris, handelt für die in Anlage A beschriebenen Vorgänge als Auftragsverarbeiter. Handelt der Kunde selbst für einen anderen Verantwortlichen, muss er erforderliche Genehmigungen besitzen und anwendbare Anforderungen mitteilen. Dies ist in besonderen Bedingungen zu beschreiben und wird nicht für jeden Kunden unterstellt. Die Vereinbarung regelt nicht THELOS' eigene Verarbeitungen wie Buchhaltung oder Vertragsverwaltung, die in der Datenschutzerklärung beschrieben werden. Nicht personenbezogene Finanzdaten bleiben durch vertragliche Vertraulichkeit geschützt, ohne künstlich als personenbezogen eingeordnet zu werden. Bei Abweichungen zwischen Übersetzungen gilt Französisch unter den Vorbehalten des Artikels 1 der Nutzungsbedingungen. Die sachliche Vorrangigkeit dieser DPA bleibt unverändert. Die DPA ist den Nutzungsbedingungen beigefügt und wird bei Registrierung mit ihnen angenommen, auch für kostenlose Konten. Sie gilt nur für anvertraute personenbezogene Verarbeitungen innerhalb ihrer Anlagen. Die Annahme ist keine allgemeine Einwilligung in THELOS' eigene Verarbeitungen. 2. Weisungen und Zwecke THELOS verarbeitet ausschließlich nach dokumentierten Kundenweisungen, auch bei Übermittlungen außerhalb des EWR, soweit keine entgegenstehende gesetzliche Pflicht besteht. Vertrag, vereinbarte Parameter und Anträge berechtigter Personen bilden Weisungen in ihrem jeweiligen Umfang. Erscheint eine Weisung DSGVO- oder rechtswidrig, informiert THELOS den Kunden unverzüglich und verlangt Klärung. Bei gesetzlich vorgeschriebenem Handeln informiert sie ihn vorher, soweit zulässig. THELOS verwendet Daten nicht für eigene, mit ihrer Auftragsverarbeiterrolle unvereinbare Zwecke, insbesondere Weiterverkauf oder Modelltraining für vertragsfremde Zwecke. Rollen- oder Zweckänderungen erfordern angemessene Prüfung und Information. 3. Kundenpflichten Der Kunde bestimmt Rechtmäßigkeit, Zwecke und Minimierung anvertrauter Daten, informiert Betroffene und organisiert ihre Rechte. Er hält Weisungsbefugnisse aktuell und vermeidet unnötige Datenübermittlungen. Diese Pflichten mindern THELOS' eigene Auftragsverarbeiterpflichten nicht. Sensible Daten oder nicht in Anlage A beschriebene Vorgänge erfordern vorherige Prüfung und gegebenenfalls Anpassung der Anlage. 4. Vertraulichkeit und Sicherheit THELOS beschränkt Zugriffe auf berechtigte Personen mit notwendigem Kenntnisbedarf. Diese unterliegen einer Vertraulichkeitszusage oder geeigneten gesetzlichen Pflicht. Weitere Dienstleister werden nach dieser Vereinbarung eingebunden. Technische und organisatorische Maßnahmen müssen Datenart und Risiken entsprechen und in Anlage B dokumentiert sein. Sie betreffen insbesondere Berechtigungen, Kommunikationsschutz, Kontinuität, Wiederherstellung, Nachvollziehbarkeit und Vorfallbehandlung. Als operativ bezeichnete Maßnahmen müssen nachweisbar sein. Die Buchung eines Clouddienstes allein beweist nicht sämtliche Maßnahmen. Wesentliche Änderungen der Garantien müssen dokumentiert und mit dem Kunden behandelt werden. 5. Unterauftragsverarbeiter Der Kunde genehmigt allgemein die in der mitgelieferten Anlage C bezeichneten Unterauftragsverarbeiter. THELOS informiert den berechtigten Kundenkontakt per speicherbarer E-Mail mindestens dreißig Tage vor geplanter Ergänzung oder Ersetzung. Die Mitteilung nennt Anbieter, Vorgänge, Verarbeitungsorte und prüfungsrelevante Garantien. Der Kunde kann in dieser Frist datenschutzbezogen begründet widersprechen. THELOS prüft den Widerspruch und sucht eine verhältnismäßige Lösung zur Wahrung vereinbarter Garantien. Beanstandete Vorgänge werden dem neuen Anbieter erst nach Klärung übertragen. Kann keine angemessene Lösung vereinbart werden, darf der Kunde betroffene Leistungen ohne Vertragsstrafe beenden und Vorauszahlungen für nicht erbrachte Zeiträume zurückverlangen. Gesetzliche Rechtsbehelfe bleiben bestehen. THELOS verpflichtet Unterauftragsverarbeiter zu gleichwertigem Schutz für übertragene Vorgänge und bleibt nach DSGVO gegenüber dem Kunden für die Erfüllung verantwortlich. Eigenständig Verantwortliche sind zu unterscheiden und benötigen eine eigene Grundlage für die Datenweitergabe. 6. Unterstützung und Betroffenenrechte THELOS leitet Anträge zu Verarbeitungen im Kundenauftrag unverzüglich weiter und entscheidet ohne Weisung oder gesetzliche Pflicht nicht allein über deren inhaltliche Beantwortung. Sie unterstützt angemessen Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und sonstige Rechte. Unter Berücksichtigung verfügbarer Informationen und der Verarbeitungsart unterstützt sie Sicherheit, Folgenabschätzungen und gegebenenfalls vorherige Behördenkonsultationen. Eine kaufmännische Kostenaufteilung darf diese Pflichten nicht außer Kraft setzen. 7. Verletzungen des Schutzes personenbezogener Daten THELOS meldet dem Kunden jede von dieser DPA erfasste Datenschutzverletzung unverzüglich nach Bekanntwerden. Nach verfügbaren Informationen beschreibt die Meldung betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und den Vorfallkontakt. Ergänzungen können schrittweise ohne unangemessene Verzögerung erfolgen. THELOS sichert hilfreiche Nachweise, wirkt an der Eindämmung mit und dokumentiert Maßnahmen. Der Kunde entscheidet über ihm obliegende Meldungen an Behörden und Betroffene; THELOS unterstützt. Die gesetzliche Frist des Verantwortlichen ist keine erlaubte Wartefrist für den Auftragsverarbeiter. 8. Internationale Übermittlungen Verarbeitungs- und Zugriffsorte stehen in Anlage C. Übermittlungen außerhalb des EWR erfolgen nur nach befugten Weisungen und DSGVO-Kapitel V. Mechanismus, notwendige Prüfung und zusätzliche Maßnahmen sind zu dokumentieren. Ein Datenbankstandort in Frankreich erlaubt nicht stillschweigend alle Drittlandzugriffe. Ausländische Behördenanfragen sind rechtlich zu prüfen; der Kunde wird informiert, soweit zulässig. 9. Dokumentation und Prüfungen THELOS stellt erforderliche Nachweise der Pflichterfüllung bereit und ermöglicht Audits einschließlich Inspektionen durch den Kunden oder beauftragte Prüfer. Praktische Modalitäten schützen Sicherheit und Informationen anderer Kunden, ohne wirksame Kontrolle zu verhindern. Die Parteien vereinbaren verhältnismäßigen Umfang und Ablauf unter Berücksichtigung von Dringlichkeit und Behördenanfragen. Die DPA schreibt weder automatische Häufigkeitsgrenzen noch Pflichtzertifizierungen oder Audittarife vor. 10. Ende der Verarbeitung Nach Ende der Verarbeitungsleistungen gibt THELOS nach dokumentierter Kundenwahl betroffene personenbezogene Daten zurück oder löscht sie und löscht anschließend bestehende Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Gesetzlich aufzubewahrende Daten werden identifiziert, getrennt und nur dafür verwendet. Weisungen zur Organisationsschließung, Rückgabe oder Löschung gehen an contact@otcvalue.com und werden manuell bearbeitet. THELOS prüft Befugnis und Datenumfang. Nutzeraustritt oder Abonnementkündigung allein ist keine Weisung, sämtliche Organisationsdaten zu löschen. Betroffenenanträge folgen ebenfalls den Unterstützungsregeln dieser Vereinbarung. Die standardmäßige Rückgabe auf Antrag ist kostenlos, auch bei Free. THELOS klärt mit dem berechtigten Kunden Umfang, verwendbares Format und sichere Übergabe. Bestehende Tabellenexporte sind kein vollständiges Paket aller Organisationsdaten. Daten anderer Organisationen und Authentifizierungsgeheimnisse werden nicht offengelegt. Begründete Grenzen oder Ausnahmen werden beschrieben, ohne zwingende Rückgabe- oder Wechselrechte aufzuheben. Fristen folgen anwendbaren Pflichten und rechtmäßigen Weisungen; erforderliche Abrufzeiträume werden vor Löschung eingehalten. Die Rückkehr zum kostenlosen Angebot bei fortgesetzter Organisationsnutzung beendet Verarbeitungsleistungen nicht von selbst. Notwendige Daten bleiben während aktiver Nutzung gemäß befugten Weisungen gespeichert. Schließungs- und Löschungsanträge werden innerhalb gesetzlicher Fristen geprüft und behandelt. Die Datenschutzerklärung sieht manuelle Prüfung nach drei Jahren Inaktivität eines kostenlosen Kontos und mindestens dreißigtägige Vorwarnung vor möglicher Schließung nach Prüfung der Organisationsrechte und -aktivität vor. Sie erlaubt keine unbegrenzte zwecklose Aufbewahrung. Sicherungslöschungen folgen Anlage B; bis dahin bleiben Daten geschützt und von gewöhnlicher Nutzung ausgeschlossen. Bei Wiederherstellung sind Löschungen vor gewöhnlicher Nutzung erneut anzuwenden. Der Kunde erhält eine Bearbeitungsbestätigung mit Unterscheidung zwischen abgeschlossenen Löschungen und noch auslaufenden Restkopien. Das siebentägige Azure-SQL-Fenster garantiert nicht die physische Löschung aller Sicherungen binnen sieben Tagen. 11. Verhältnis zur Vertragshaftung Vertragliche Entschädigungsansprüche des Kunden zur DPA unterliegen, soweit rechtlich zulässig, der Obergrenze und den Ausnahmen in Artikel 9 der Nutzungsbedingungen und bei kostenpflichtigen Abonnements Artikel 9 der Geschäftsbedingungen. Zwingende Betroffenenrechte, unabdingbare Rechtsbehelfe und THELOS' eigene DSGVO-Pflichten werden nicht eingeschränkt. Der Vorrang der DPA für Weisungen und Verarbeitungsgarantien bleibt unverändert. Anlage A — Beschreibung der Standardverarbeitung Gegenstand: Bereitstellung von OTCValue für die Kundenorganisation. Dauer: Anvertraute Vorgänge, danach Rückgabe, Löschung und identifizierte verpflichtende Aufbewahrung. Vorgänge: Erhebung durch Eingabe oder verfügbaren Import, Speicherung, Berechnung, Einsicht, Zugangsverwaltung, Export, Support, Sicherung und Löschung je nach tatsächlich genutzten Funktionen. Kundenzwecke: Verwaltung und Analyse von Positionen und Portfolios sowie Organisation des Informationszugangs. Betroffene: Nutzer, Vertreter und Kontakte der Organisation; in Positionen, Portfolios, Gegenparteibezeichnungen, Freitexten oder überlassenen Supportunterlagen identifizierte natürliche Personen. Anvertraute Identitäts- und Zugangsdaten: Mitgliedskennungen, notwendige Namen und berufliche Kontaktdaten, Zugehörigkeit, Profile, Portfoliorechte, Einladungen und nutzerbezogene Handlungen, soweit für den Kunden ausgeführt. Personenbezogene Geschäftsdaten: Portfolio-, Strategie- und Gegenparteinamen und Referenzen; Positionsparameter und Ereignisse, Transaktionen, Berechnungen, Berichte und Historien mit Personenbezug; nutzerbezogene Importherkunft und Änderungen. Abgrenzung: Unternehmensfinanzdaten sind nicht automatisch personenbezogen. Eigene Authentifizierung, Zahlungen, Buchhaltung und Verteidigung von THELOS' Rechten gehören je nach Vorgang zu den eigenen Zwecken der Datenschutzerklärung. Besondere Datenkategorien: Im Standardumfang nicht vorgesehen; Bedarf vor Erhebung zu prüfen. Weisungen und Kundenkontakt: Im Registrierungs- oder Abonnementverhältnis identifizierter Kunde; Weisungen befugter Vertreter und geprüfter Organisationskontakte. Datenschutzkontakte, besondere Vollmachten und Änderungen teilt der Kunde contact@otcvalue.com mit. Zahlerstatus ist keine allgemeine Datenvollmacht. THELOS-Kontakt: contact@otcvalue.com; keine ständige Rufbereitschaft oder bezifferte Lösungsfrist zugesagt, ohne gesetzlich fällige Meldungen zu verzögern. Anlage B — Sicherheit, Aufbewahrung und Kontinuität Zugänge: Authentifizierte Konten, Organisations- und Portfolioberechtigungen, Mitgliederverwaltung und Zugangsentzug. Der Kunde aktualisiert selbst verwaltete Rechte; THELOS behält eigene Kontroll- und Sicherheitspflichten. Technischer Schutz: Schutz der HTTPS-Kommunikation, der Formulare vor gefälschten Anfragen und der Inhalte der E-Mail-Warteschlangen; Verschlüsselung der primären Datenbank und ihrer automatischen Sicherungskopien im Ruhezustand. Schlüssel und technische Zugänge sind autorisierten Personen vorbehalten. Speicherung und Sicherungskopien: Primäre Datenbank und Sicherungskopien werden in Frankreich gehostet; Wiederherstellungsfenster von sieben Tagen. Sicherungszyklus: Dateien für vollständige Wiederherstellungsketten können bis zu eine zusätzliche Woche über die sieben Tage hinaus bleiben und werden von Azure bei Entbehrlichkeit entfernt. Das Fenster garantiert keine physische Löschung aller Kopien binnen sieben Tagen. Kontinuität: Dieser DPA garantiert kein beziffertes Wiederherstellungsziel und keinen Verfügbarkeitsprozentsatz. Verbleibende Sicherungsdaten bleiben geschützt und sind von der gewöhnlichen Nutzung ausgeschlossen. Bereits bearbeitete Löschungen müssen erneut angewandt werden, bevor wiederhergestellte Daten wieder gewöhnlich genutzt werden. Nachvollziehbarkeit und Aufbewahrung: Geschäftsvorgänge, Diagnosen, Vertragsnachweise und E-Mails folgen unterschiedlichen Zwecken und Fristen der Datenschutzerklärung. Rechte, Schließung, Rückgabe und Löschung werden manuell nach Umfangs-, Befugnis- und Aufbewahrungsprüfung bearbeitet. Organisation: Zugang nur für befugte, zur Geheimhaltung verpflichtete Personen; Vorfallbehandlung und Kundenhilfe nach dieser DPA. Kontakt: contact@otcvalue.com. Keine ständige Rufbereitschaft oder besondere Zertifizierung angekündigt. Fehlende bezifferte Garantien mindern keine gesetzlichen Sicherheits- oder Meldepflichten. Anlage C — Anbieter, Rollen und Standorte Die Unterauftragsgenehmigung betrifft kundenseitig anvertraute Vorgänge. Empfänger eigener THELOS-Verarbeitungen werden unterschieden; ihre Nennung in dieser Liste verschafft keinen Zugang zu allen Portfolios. Microsoft Ireland Operations Limited — Azure: Hosting, Verarbeitung und Sicherung anvertrauter Daten im Rahmen des Microsoft-DPA. Primäre Datenbank und Sicherungskopien in Frankreich gemäß Anlage B. Supportzugriffe und weitere Übermittlungen unterliegen Artikel 8. OVH SAS — OVHcloud: Hosting und Übermittlung von E-Mails einschließlich der dem Support anvertrauten Inhalte. Anschrift: 2 rue Kellermann, 59100 Roubaix, Frankreich. Angegebene Speicherung in Frankreich; Sicherungskopien werden laut Anbieter vierzehn Tage aufbewahrt, ohne Garantie einer physischen Löschung innerhalb dieser Frist. Tätigkeiten aus Kanada und dem Vereinigten Königreich sind möglich; Übermittlungen unterliegen Artikel 8. Stripe: Zahlungen und Abonnements, Rechnungsdaten und Zahlungsreferenzen. Französische Bedingungen nennen Stripe Payments Europe, Limited und für einschlägige regulierte Dienste Stripe Technology Europe, Limited. Stripe handelt je nach Vorgang als Auftragsverarbeiter oder eigenständig Verantwortlicher, insbesondere bei Regulierungs- und Betrugsbekämpfungspflichten; nicht als Auftragsverarbeiter sämtlicher Geschäftsdaten. Dokumentierte Transfers umfassen Stripe, LLC in den USA: https://stripe.com/fr/legal/dpa und https://stripe.com/fr/legal/dta. Volentio JSD Limited — jsDelivr: Bibliotheksauslieferung und Empfang technischer Browserverbindungsdaten; Betreiber aus England und Wales mit internationalem Netzwerk. Das Laden allein bedeutet keine Portfolioübermittlung. Anbietererklärung: https://www.jsdelivr.com/terms/privacy-policy. Vorgänge und Garantien werden von der Unterauftragsverarbeitung von Geschäftsdaten unterschieden. Der Kunde kann relevante Informationen und Garantien unter contact@otcvalue.com anfordern, mit notwendigen Schwärzungen zum Schutz Dritter und der Sicherheit. Ergänzungen und Ersatz von Unterauftragsverarbeitern folgen Artikel 5.