Apilex
AnmeldenRegistrieren

Auftragsverarbeitungsvertrag (AVV)

Stand: 16.07.2026

1. Einleitung und Anwendungsbereich

Dieser Auftragsverarbeitungsvertrag (der „AVV“) regelt die Verarbeitung personenbezogener Daten durch die Apilex Teknoloji Anonim Şirketi, die unter der Bezeichnung Apilex („Apilex“, „wir“) auftritt, im Auftrag des im jeweiligen Kundenvertrag genannten Kunden („Kunde“, „Sie“) im Zusammenhang mit der Erbringung der Dienste durch Apilex.

Dieser AVV ergänzt den zwischen Apilex und dem Kunden geschlossenen Kundenvertrag sowie die auf unserer Website veröffentlichten Allgemeinen Geschäftsbedingungen (zusammen der „Vertrag“) und ist dessen Bestandteil. Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen diesen Dokumenten gilt folgende Rangfolge: (1) die Standardvertragsklauseln, soweit sie gemäß Ziffer 6 anwendbar sind; (2) dieser AVV; und (3) der übrige Vertrag.

Dieser AVV gilt, soweit Apilex personenbezogene Daten als Auftragsverarbeiter im Auftrag des Kunden verarbeitet, der als Verantwortlicher handelt. Er gilt nicht für personenbezogene Daten, für die Apilex als eigenständiger Verantwortlicher auftritt; diese sind in unserer Datenschutzerklärung geregelt.

Jede Eingabe, die in unsere Plattform eingegeben wird, jede von ihr erzeugte Ausgabe sowie jedes auf unsere Plattform hochgeladene Dokument (zusammen die „Inhalte“) werden von Apilex im Auftrag des Kunden verarbeitet, der insoweit Verantwortlicher der Inhalte ist.

2. Begriffsbestimmungen

Nicht in diesem Abschnitt definierte Begriffe haben die ihnen an anderer Stelle in diesem AVV zugewiesene Bedeutung.

  • „Vertrag“: bezeichnet zusammen den Kundenvertrag und die Allgemeinen Geschäftsbedingungen im Sinne von Ziffer 1.
  • „Inhalte“: hat die in Ziffer 1 zugewiesene Bedeutung.
  • „Verantwortlicher“ und „Auftragsverarbeiter“: haben die ihnen nach dem Datenschutzrecht zugewiesene Bedeutung.
  • „Datenschutzrecht“: bezeichnet die DSGVO sowie jedes weitere auf die Verarbeitung von Inhalten im Rahmen dieses AVV anwendbare Datenschutzgesetz.
  • „DSGVO“: bezeichnet die Verordnung (EU) 2016/679.
  • „Verletzung des Schutzes personenbezogener Daten“: bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von Inhalten oder zum unbefugten Zugang zu Inhalten führt.
  • „Beschränkte Übermittlung“: bezeichnet jede Übermittlung von Inhalten, die einen Datenübermittlungsmechanismus nach Kapitel V der DSGVO erfordert.
  • „Sicherheitsanhang“: bezeichnet das von Apilex unter diesem Namen veröffentlichte, von Zeit zu Zeit aktualisierte Dokument, das die in Ziffer 7 genannten technischen und organisatorischen Maßnahmen beschreibt.
  • „Standardvertragsklauseln“: bezeichnet die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 angenommenen Standardvertragsklauseln in ihrer jeweils geänderten, aktualisierten oder ersetzten Fassung.
  • „Liste der Unterauftragsverarbeiter“: bezeichnet das von Apilex unter diesem Namen veröffentlichte, gemäß Ziffer 5 von Zeit zu Zeit aktualisierte Dokument.

3. Rollen und Weisungen bei der Datenverarbeitung

3.1 Rollen. Im Verhältnis zwischen Apilex und dem Kunden ist der Kunde Verantwortlicher und Apilex Auftragsverarbeiter in Bezug auf Inhalte. Apilex verarbeitet Inhalte ausschließlich im Auftrag und gemäß den dokumentierten Weisungen des Kunden.

3.2 Weisungen. Die Weisungen des Kunden an Apilex zur Verarbeitung von Inhalten ergeben sich aus dem Vertrag, diesem AVV (einschließlich seiner Anlagen) sowie aus der Nutzung der Funktionen der Dienste durch den Kunden. Zusätzliche Weisungen bedürfen der vorherigen schriftlichen Vereinbarung der Parteien, auch hinsichtlich etwaiger Mehrkosten, die sich aus der Ausführung dieser Weisungen ergeben. Ändert der Kunde seine Verarbeitungsweisungen nach dem Wirksamkeitsdatum, kann Apilex die daraus resultierenden angemessenen Mehrkosten in Rechnung stellen, außer wenn die Änderung zur Einhaltung des Datenschutzrechts erforderlich ist.

3.3 Anforderungen an die Verarbeitung. Als Auftragsverarbeiter wird Apilex:

  • (a) Inhalte ausschließlich im Auftrag und gemäß den dokumentierten Weisungen des Kunden verarbeiten; ist Apilex nach geltendem Recht verpflichtet, Inhalte außerhalb dieser Weisungen zu verarbeiten, unterrichtet Apilex den Kunden vor der Verarbeitung unverzüglich über diese rechtliche Verpflichtung, es sei denn, das geltende Recht untersagt Apilex eine solche Unterrichtung;
  • (b) den Kunden unverzüglich unterrichten, wenn eine Weisung nach Auffassung von Apilex gegen geltendes Datenschutzrecht verstößt;
  • (c) sicherstellen, dass die zur Verarbeitung von Inhalten befugten Personen angemessenen Vertraulichkeitsverpflichtungen unterliegen;
  • (d) Inhalte nicht verkaufen und nicht zu einem anderen Zweck als der Erbringung der Dienste verwenden, insbesondere Inhalte nicht für Analysen, Marketing oder das Training oder die Verbesserung eines KI-Modells verwenden;
  • (e) unter Berücksichtigung der Art der Verarbeitung dem Kunden durch geeignete technische und organisatorische Maßnahmen angemessene Unterstützung bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen in Bezug auf Inhalte leisten.

4. Pflichten des Kunden

4.1 Der Kunde sichert zu und gewährleistet, dass er über sämtliche Rechte, Einwilligungen und Rechtsgrundlagen verfügt, die erforderlich sind, um Apilex Inhalte bereitzustellen und Apilex anzuweisen, diese wie in diesem AVV vorgesehen zu verarbeiten, und dass er dies während der gesamten Vertragslaufzeit aufrechterhält.

4.2 Der Kunde hält das ihm als Verantwortlichem der Inhalte obliegende Datenschutzrecht in vollem Umfang ein. Insbesondere sichert der Kunde in Bezug auf personenbezogene Daten Dritter (etwa Mandanten, Gegenparteien oder Zeugen), die in den von ihm auf die Dienste hochgeladenen Dokumenten oder sonstigen Materialien enthalten sind, zu und gewährleistet, dass:

  • (a) diese personenbezogenen Daten rechtmäßig erlangt wurden;
  • (b) er die betreffenden Dritten, soweit nach geltendem Recht erforderlich, über die Verarbeitung informiert hat; und
  • (c) die Verarbeitung auf einer geeigneten Rechtsgrundlage beruht.

Enthalten solche Materialien besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (zum Beispiel Gesundheitsdaten, Daten über strafrechtliche Verurteilungen oder die Gewerkschaftszugehörigkeit), bleibt der Kunde Verantwortlicher dieser Daten und ist für die Sicherstellung ihrer rechtmäßigen Verarbeitung verantwortlich; Apilex verarbeitet sie ausschließlich als Auftragsverarbeiter auf Weisung des Kunden.

4.3 Der Kunde beschränkt die an Apilex bereitgestellten personenbezogenen Daten auf das für den Zweck des Vertrags erforderliche Maß. Insbesondere darf der Kunde in an Apilex gerichteten Supportanfragen, einschließlich Screenshots, Gesprächsausschnitten oder sonstigen Anhängen, keine personenbezogenen Daten außer technischen Kontaktangaben einfügen.

4.4 Der Kunde arbeitet mit Apilex in angemessenem Umfang zusammen, damit Apilex seinen Pflichten aus diesem AVV und dem geltenden Datenschutzrecht nachkommen kann.

4.5 Der Kunde erkennt an, dass nicht Apilex, sondern er selbst für bestimmte Konfigurations- und Nutzungsentscheidungen im Zusammenhang mit den Diensten verantwortlich ist, einschließlich der Entscheidung, ob und wie er optionale Funktionen oder Integrationen Dritter nutzt (etwa die Verbindung der Plattform mit Google Drive oder einem ähnlichen Dienst), sowie für die Technologie, die er zum Zugriff auf die Dienste verwendet. Der Kunde ist dafür verantwortlich, diese Konfigurationen und Entscheidungen in einer mit dem geltenden Datenschutzrecht vereinbaren Weise umzusetzen. Diese Ziffer berührt nicht die eigenen Pflichten von Apilex nach Ziffer 7 in Bezug auf die von Apilex erbrachten Dienste.

4.6 Der Kunde stellt Apilex von sämtlichen Ansprüchen, Schäden, Bußgeldern oder sonstigen Verlusten frei, die sich aus einer Verletzung der Zusicherungen und Gewährleistungen des Kunden nach dieser Ziffer 4 ergeben, einschließlich jeglicher Ansprüche eines Dritten, dessen personenbezogene Daten unter Verstoß gegen Ziffer 4.2 in Inhalte aufgenommen wurden.

5. Unterauftragsverarbeiter

5.1 Der Kunde erteilt Apilex eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter mit der Durchführung der in diesem AVV beschriebenen Verarbeitungstätigkeiten zu beauftragen, sofern Apilex jedem Unterauftragsverarbeiter im Wege einer schriftlichen Vereinbarung Datenschutzpflichten auferlegt, die den in diesem AVV festgelegten Pflichten inhaltlich im Wesentlichen entsprechen.

5.2 Die derzeitigen Unterauftragsverarbeiter von Apilex sind in der Liste der Unterauftragsverarbeiter aufgeführt. Apilex informiert den Kunden über jeden neuen Unterauftragsverarbeiter durch Aktualisierung der Liste der Unterauftragsverarbeiter, mindestens 30 Tage bevor die Änderung wirksam wird. Der Kunde kann innerhalb von 30 Tagen nach Veröffentlichung der Aktualisierung schriftlich widersprechen, aus Gründen, die sich auf die Fähigkeit des neuen Unterauftragsverarbeiters beziehen, das geltende Datenschutzrecht einzuhalten. Apilex wird den neuen Unterauftragsverarbeiter erst nach Ablauf dieser 30-Tage-Frist beauftragen.

5.3 Widerspricht der Kunde gemäß Ziffer 5.2, erörtern die Parteien den Widerspruch nach Treu und Glauben und bemühen sich in angemessenem Umfang um eine für beide Seiten annehmbare Lösung. Da Apilex nicht immer in der Lage ist, eine alternative Möglichkeit zur Erbringung der Dienste ohne den betreffenden Unterauftragsverarbeiter anzubieten, kann dies auch bedeuten, dass der Kunde den Unterauftragsverarbeiter vorbehaltlich zusätzlicher Garantien akzeptiert, oder dass der Kunde und Apilex den Umfang der Dienste entsprechend anpassen. Können die Parteien innerhalb von 30 Tagen nach dem Widerspruch keine Einigung erzielen, kann jede Partei die betroffenen Dienste oder den Vertrag aus wichtigem Grund durch schriftliche Mitteilung kündigen.

5.4 Die im Vertrag festgelegten Haftungsbestimmungen gelten auch für diesen AVV, einschließlich in Bezug auf die Haftung von Apilex für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter.

6. Grenzüberschreitende Datenübermittlungen

6.1 Der Kunde erkennt an, dass Inhalte zur Erbringung der Dienste durch Apilex vom Standort des Kunden im EWR an Apilex in der Türkei sowie, wie in der Liste der Unterauftragsverarbeiter angegeben, an bestimmte außerhalb des EWR ansässige Unterauftragsverarbeiter übermittelt werden können.

6.2 Soweit eine in Ziffer 6.1 beschriebene Übermittlung eine Beschränkte Übermittlung darstellt, werden die unter https://eur-lex.europa.eu/eli/dec_impl/2021/914 verfügbaren Standardvertragsklauseln durch Verweis in diesen AVV einbezogen und gelten wie folgt:

  • (a) für die Übermittlung von Inhalten vom Kunden (als Datenexporteur) an Apilex (als Datenimporteur) gilt Modul Zwei (Verantwortlicher an Auftragsverarbeiter), vervollständigt gemäß Anlage I;
  • (b) für die Weiterübermittlung von Inhalten von Apilex (als Datenexporteur) an einen außerhalb des EWR ansässigen Unterauftragsverarbeiter (als Datenimporteur) gilt Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), vervollständigt gemäß Anlage I.

6.3 Für die Zwecke der nach dieser Ziffer einbezogenen Standardvertragsklauseln gilt:

  • (a) das anwendbare Recht nach Klausel 17 der Standardvertragsklauseln ist das Recht der Niederlande;
  • (b) die zuständigen Gerichte nach Klausel 18 Buchstabe b der Standardvertragsklauseln sind die Gerichte der Niederlande;
  • (c) die zuständige Aufsichtsbehörde nach Anlage I.C ist die in Anlage I.C nachstehend genannte Behörde;
  • (d) die optionale Beitrittsklausel nach Klausel 7 der Standardvertragsklauseln findet Anwendung.

6.4 Apilex sichert zu, dass zum Wirksamkeitsdatum dieses AVV keine Anhaltspunkte dafür bestehen, dass die für Apilex oder für einen außerhalb des EWR ansässigen Unterauftragsverarbeiter geltenden Gesetze oder Praktiken Apilex daran hindern, seinen Pflichten aus den Standardvertragsklauseln nachzukommen. Die Parteien prüfen auf angemessenes Verlangen einer der Parteien, jedoch höchstens einmal jährlich, gemeinsam, ob dies weiterhin zutrifft, unter Berücksichtigung einschlägiger Entwicklungen des Rechts oder der Praxis der betroffenen Rechtsordnungen. Ist Apilex, sei es infolge einer solchen Prüfung oder aus anderem Grund, nicht mehr in der Lage, diesen Pflichten nachzukommen, unterrichtet Apilex den Kunden unverzüglich, und der Kunde ist berechtigt, die betreffende Übermittlung auszusetzen.

6.5 Wird nach dem Datenschutzrecht ein neuer Mechanismus für internationale Übermittlungen verfügbar (zum Beispiel ein für die Türkei geltender Angemessenheitsbeschluss), arbeiten die Parteien nach Treu und Glauben zusammen, um diesen Mechanismus anstelle der Standardvertragsklauseln anzuwenden, sofern dies das Schutzniveau der personenbezogenen Daten des Kunden nicht mindert.

7. Sicherheit und Vertraulichkeit

7.1 Sicherheitsmaßnahmen. Apilex trifft und unterhält geeignete technische und organisatorische Maßnahmen, die dem Schutz von Inhalten vor unbeabsichtigter oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang dienen, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs und der Risiken der Verarbeitung. Diese Maßnahmen werden im Sicherheitsanhang näher beschrieben, der durch Verweis in diesen AVV einbezogen wird. Zu diesen Maßnahmen zählt unter anderem die automatische Erkennung und Maskierung personenbezogener Daten in Inhalten, bevor diese an ein KI-Modell übermittelt werden, sodass das Modell die zugrunde liegenden personenbezogenen Daten nicht in identifizierbarer Form verarbeitet; die ursprünglichen Werte werden erst wiederhergestellt, nachdem die Ausgabe des Modells an den Kunden zurückgegeben wurde.

7.2 Vertraulichkeit. Apilex stellt sicher, dass jede zur Verarbeitung von Inhalten befugte Person einer vertraglichen oder gesetzlichen Vertraulichkeitsverpflichtung unterliegt und dass der Zugang zu Inhalten auf Personal beschränkt ist, das diesen zur Erfüllung seiner Aufgaben im Zusammenhang mit den Diensten benötigt.

7.3 Meldung von Verletzungen des Schutzes personenbezogener Daten. Apilex meldet dem Kunden unverzüglich, in jedem Fall jedoch innerhalb von 48 Stunden, nachdem Apilex Kenntnis von einer Inhalte betreffenden Verletzung des Schutzes personenbezogener Daten erlangt hat. Diese Meldung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen; stehen nicht alle Informationen zum Zeitpunkt der Meldung zur Verfügung, stellt Apilex sie ohne weitere unangemessene Verzögerung stufenweise bereit. Die Pflichten dieser Ziffer 7.3 und der Ziffer 7.4 gelten nicht, soweit eine Verletzung des Schutzes personenbezogener Daten auf einer eigenen Handlung oder Unterlassung des Kunden beruht.

7.4 Unterstützung. Apilex leistet dem Kunden die angemessene Unterstützung und Zusammenarbeit, die der Kunde zur Erfüllung seiner eigenen Pflichten nach dem Datenschutzrecht im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten benötigt, einschließlich jeder Meldung an eine Aufsichtsbehörde oder betroffene Personen.

7.5 Prüfungsrechte. Apilex stellt dem Kunden die zum Nachweis der Einhaltung dieses AVV angemessenerweise erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen, einschließlich Vor-Ort-Prüfungen, durch den Kunden oder einen von ihm beauftragten Prüfer und wirkt daran mit. Diese Prüfungen erfolgen in der Art und Weise sowie unter Berücksichtigung der Häufigkeit, Kostenverteilung und Vertraulichkeitsschutzmaßnahmen, die im Sicherheitsanhang festgelegt sind.

8. Unterstützung des Kunden

Auf schriftliches Verlangen des Kunden leistet Apilex dem Kunden, unter Berücksichtigung der Art der Verarbeitung und der Apilex vorliegenden Informationen, angemessene Unterstützung bei:

  • (a) der Beantwortung von Anfragen betroffener Personen, die ihre Rechte nach dem Datenschutzrecht in Bezug auf Inhalte ausüben möchten, soweit Apilex nicht befugt ist, solche Anfragen unmittelbar zu beantworten; und
  • (b) den Datenschutz-Folgenabschätzungen des Kunden sowie, soweit erforderlich, vorherigen Konsultationen einer zuständigen Aufsichtsbehörde, soweit diese die Verarbeitung von Inhalten durch Apilex im Rahmen dieses AVV betreffen.

Die Unterstützung nach dieser Ziffer wird auf angemessene Kosten des Kunden erbracht, außer wenn der Unterstützungsbedarf unmittelbar auf einer eigenen Handlung oder Unterlassung von Apilex beruht.

9. Mitteilungen an den Kunden

Apilex informiert den Kunden, soweit rechtlich zulässig, unverzüglich, wenn Apilex Folgendes erhält:

  • (a) ein rechtsverbindliches Ersuchen einer Behörde um Offenlegung von Inhalten;
  • (b) eine Mitteilung, Anfrage oder Untersuchung einer Aufsichtsbehörde im Zusammenhang mit der Verarbeitung von Inhalten durch Apilex im Rahmen dieses AVV; oder
  • (c) eine Beschwerde oder Anfrage einer betroffenen Person in Bezug auf Inhalte.

Außer zur Einholung weiterer Informationen, die zur Identifizierung der betroffenen Person oder der Anfrage erforderlich sind, beantwortet Apilex eine unter Buchstabe c beschriebene Anfrage nicht ohne vorherige schriftliche Genehmigung des Kunden.

Bei Erhalt eines unter Buchstabe a beschriebenen Ersuchens bemüht sich Apilex zunächst, die ersuchende Behörde darauf zu verweisen, die Inhalte unmittelbar beim Kunden anzufordern, und kann der Behörde zu diesem Zweck die grundlegenden Kontaktdaten des Kunden mitteilen. Ist Apilex dennoch gezwungen, Inhalte offenzulegen, unterrichtet Apilex den Kunden mit angemessenem Vorlauf über das Ersuchen, damit der Kunde eine Schutzanordnung oder einen anderen geeigneten Rechtsbehelf erwirken kann, es sei denn, dies ist rechtlich untersagt. Apilex legt Inhalte keiner Behörde freiwillig offen.

10. Maßnahmen nach Abschluss der Verarbeitung

Nach Beendigung oder Ablauf des Vertrags löscht Apilex auf Weisung des Kunden die Inhalte oder gibt sie an den Kunden zurück und löscht vorhandene Kopien, sofern nicht geltendes Recht Apilex zu deren Aufbewahrung verpflichtet.

Der Kunde kann die sofortige Löschung anweisen oder eine Übergangsfrist von bis zu 30 Tagen wählen, während der das Konto ausgesetzt ist und die Inhalte vor der Löschung zum Export oder zur Reaktivierung zur Verfügung stehen. Bei einem Unternehmenskonto kann nur ein autorisierter Administrator diese Weisung erteilen und deren Umfang bestimmen; bei einem Einzelkonto kann der Kontoinhaber dies unmittelbar tun. Weitere Einzelheiten zur Ausübung dieser Wahl finden sich in den Kontoeinstellungen und der Support-Dokumentation von Apilex.

Apilex bewahrt Aufzeichnungen, zu deren Aufbewahrung es aufgrund eigener gesetzlicher Pflichten verpflichtet ist (zum Beispiel Rechnungs- und Steuerunterlagen), getrennt von Inhalten für die gesetzlich vorgeschriebenen Zeiträume auf, wobei der Zugang auf Personal mit berechtigtem Bedarf beschränkt ist.

Unterliegen Inhalte einer Apilex bekannt gewordenen laufenden gesetzlichen Aufbewahrungspflicht, setzt Apilex die Löschung bis zur Aufhebung dieser Pflicht aus.

Apilex weist seine Unterauftragsverarbeiter an, Inhalte gemäß dieser Ziffer zu löschen oder zurückzugeben, und bewahrt Aufzeichnungen über Löschvorgänge zu Prüfungszwecken 3 Jahre lang auf. Apilex bestätigt dem Kunden auf dessen Verlangen die Löschung.

11. Laufzeit

Dieser AVV wird an dem Tag wirksam, an dem der Kunde den Vertrag annimmt, und bleibt so lange in Kraft, wie Apilex Inhalte im Auftrag des Kunden verarbeitet, unabhängig von einer Beendigung oder einem Ablauf des Vertrags. Die Ziffern 7 (Sicherheit und Vertraulichkeit), 9 (Mitteilungen an den Kunden) und 10 (Maßnahmen nach Abschluss der Verarbeitung) bleiben nach Beendigung in dem zu ihrer Wirksamkeit erforderlichen Umfang bestehen.

12. Anwendbares Recht

Sofern das Datenschutzrecht nichts anderes vorschreibt, unterliegt dieser AVV demselben Recht und denselben Streitbeilegungsregelungen wie der Vertrag.

13. Änderungen

Apilex kann diesen AVV von Zeit zu Zeit aktualisieren, um Entwicklungen des Datenschutzrechts, der Branchenpraxis oder seines Geschäftsbetriebs Rechnung zu tragen. Apilex informiert den Kunden über jede wesentliche Änderung mindestens 30 Tage vor deren Inkrafttreten durch Veröffentlichung des aktualisierten AVV und Benachrichtigung des Kunden über die hinterlegten Kontaktdaten.

Mindert eine wesentliche Änderung das Schutzniveau der personenbezogenen Daten des Kunden, kann der Kunde innerhalb von 30 Tagen nach der Mitteilung schriftlich widersprechen. Können die Parteien den Widerspruch nicht beilegen, kann der Kunde den Vertrag durch schriftliche Mitteilung mit Wirkung vor Inkrafttreten der Änderung ohne Vertragsstrafe kündigen. Die fortgesetzte Nutzung der Dienste nach Inkrafttreten einer Änderung gilt als Annahme des aktualisierten AVV.

Ungeachtet des Vorstehenden kann Apilex die Liste der Unterauftragsverarbeiter und den Sicherheitsanhang gemäß den Ziffern 5 und 7 aktualisieren.

ANLAGE I — Vervollständigung der Standardvertragsklauseln

Diese Anlage I vervollständigt die gemäß Ziffer 6 des AVV durch Verweis einbezogenen Standardvertragsklauseln, sowohl für Modul Zwei (Verantwortlicher an Auftragsverarbeiter) als auch für Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter).

Modul Zwei (Verantwortlicher an Auftragsverarbeiter) — Kunde an Apilex

A. Liste der Vertragsparteien

Datenexporteur

  • Name: Wie im Vertrag angegeben.
  • Anschrift: Wie im Vertrag angegeben.
  • Für die Datenübermittlung relevante Tätigkeiten: Nutzung der Dienste wie im Vertrag beschrieben.
  • Rolle: Verantwortlicher.

Datenimporteur

  • Name: Apilex Teknoloji Anonim Şirketi (auftretend als Apilex).
  • Anschrift: Osmangazi Mah. 3117. Sokak Altınbaş Teknopark No:3/15 Esenyurt/İstanbul
  • Für die Datenübermittlung relevante Tätigkeiten: Erbringung der Dienste gemäß den Weisungen des Kunden, wie im AVV beschrieben.
  • Rolle: Auftragsverarbeiter.

B. Beschreibung der Übermittlung

  • Kategorien betroffener Personen: In Inhalten identifizierte Personen, zu denen Mandanten des Kunden, Gegenparteien, Zeugen, Beschäftigte oder sonstige in auf die Dienste hochgeladenen Dokumenten genannte Personen gehören können.
  • Kategorien personenbezogener Daten: Vom Kunden bestimmt, entsprechend dem Inhalt der von ihm auf die Dienste hochgeladenen Dokumente und sonstigen Materialien.
  • Besondere Kategorien personenbezogener Daten (soweit zutreffend): Können personenbezogene Daten im Sinne des Art. 9 DSGVO umfassen (etwa Gesundheitsdaten, Daten über strafrechtliche Verurteilungen oder die Gewerkschaftszugehörigkeit), soweit sie in Inhalten enthalten sind, wie in Ziffer 4.2 des AVV beschrieben. Werden solche Daten übermittelt, wendet Apilex die in Ziffer 7 des AVV beschriebenen Zugangsbeschränkungen und Vertraulichkeitsverpflichtungen an.
  • Art der Verarbeitung: Speicherung, Abruf, Analyse und Erzeugung von Ergebnissen durch eine KI-gestützte Plattform für juristische Recherche und Dokumentenerstellung, gemäß den Weisungen des Kunden; in Inhalten enthaltene personenbezogene Daten werden automatisch maskiert, bevor sie an ein KI-Modell übermittelt werden, und erst in dem an den Kunden zurückgegebenen Ergebnis wiederhergestellt.
  • Zweck der Übermittlung und etwaiger Weiterverarbeitung: Erbringung der Dienste im Rahmen des Vertrags.
  • Dauer der Verarbeitung: Für die Laufzeit des Vertrags und danach gemäß Ziffer 10 des AVV.
  • Häufigkeit der Übermittlung: Fortlaufend, solange der Kunde die Dienste nutzt.
  • Für Übermittlungen an Unterauftragsverarbeiter, Gegenstand, Art und Dauer der Verarbeitung: Wie in der Liste der Unterauftragsverarbeiter beschrieben.

C. Zuständige Aufsichtsbehörde

Die Aufsichtsbehörde des EWR-Mitgliedstaats, in dem der Kunde niedergelassen ist.

Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) — Apilex an außerhalb des EWR ansässige Unterauftragsverarbeiter

A. Liste der Vertragsparteien

Datenexporteur

  • Name: Apilex Teknoloji Anonim Şirketi (auftretend als Apilex).
  • Anschrift: Osmangazi Mah. 3117. Sokak Altınbaş Teknopark No:3/15 Esenyurt/İstanbul
  • Für die Datenübermittlung relevante Tätigkeiten: Anweisung des jeweiligen Unterauftragsverarbeiters, Inhalte im Auftrag des Kunden zu verarbeiten, wie im AVV beschrieben.
  • Rolle: Auftragsverarbeiter.

Datenimporteur(e)

  • Name, Anschrift und Kontaktdaten: Wie für den jeweiligen Unterauftragsverarbeiter in der Liste der Unterauftragsverarbeiter angegeben.
  • Für die Datenübermittlung relevante Tätigkeiten: Wie für den jeweiligen Unterauftragsverarbeiter in der Liste der Unterauftragsverarbeiter beschrieben.
  • Rolle: Unterauftragsverarbeiter.

B. Beschreibung der Übermittlung

Kategorien betroffener Personen, Kategorien personenbezogener Daten, besondere Kategorien personenbezogener Daten, Art der Verarbeitung und Dauer: Wie in Abschnitt B von Modul Zwei oben dargelegt, jeweils beschränkt auf die konkrete Verarbeitungstätigkeit des jeweiligen Unterauftragsverarbeiters, wie in der Liste der Unterauftragsverarbeiter beschrieben.

Zweck der Übermittlung und etwaiger Weiterverarbeitung: Durchführung der für den jeweiligen Unterauftragsverarbeiter in der Liste der Unterauftragsverarbeiter beschriebenen konkreten Verarbeitungstätigkeit zur Erbringung der Dienste.

Häufigkeit der Übermittlung: Fortlaufend, solange der jeweilige Unterauftragsverarbeiter beauftragt ist.

C. Zuständige Aufsichtsbehörde

Die Aufsichtsbehörde des EWR-Mitgliedstaats, in dem der Kunde niedergelassen ist.

Anlage II — Technische und organisatorische Maßnahmen

Die von Apilex umgesetzten technischen und organisatorischen Maßnahmen sind im Sicherheitsanhang beschrieben.

Anlage III — Liste der Unterauftragsverarbeiter

Die Unterauftragsverarbeiter von Apilex, einschließlich der außerhalb des EWR ansässigen, sind in der Liste der Unterauftragsverarbeiter aufgeführt, zu deren Beauftragung der Kunde Apilex gemäß Ziffer 5 des AVV allgemein ermächtigt hat.