EU Data Act Addendum

1. Geltungsbereich und Anwendbarkeit

Dieses EU Data Act Addendum („Data Act Addendum“) regelt jede Anfrage zum Anbieterwechsel („Wechselverlangen“) oder Löschanfrage („Löschverlangen“), die von einem Kunden gestellt wird, der seinen eingetragenen Sitz oder seine Niederlassung innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums hat und berechtigt ist, Rechte nach der Verordnung (EU) 2023/2854 vom 13. Dezember 2023 („Data Act“) in Bezug auf die von Auditr (Inhaber: Elias Müller), Grasfeldweg 22, 85445 Oberding, Deutschland („Auditr“) im Rahmen der Vereinbarung zwischen Auditr und dem Kunden („Vereinbarung“) bereitgestellten Datenverarbeitungsdienste („Services“) auszuüben. Das Addendum gilt für Vereinbarungen, die am oder nach dem 01. Juli 2026 geschlossen werden, sowie für Bestellformulare oder einzelne Leistungsbestellungen, die am oder nach dem 01. Juli 2026 erteilt werden.

Dieses Addendum bildet einen integralen Bestandteil der Vereinbarung und wird durch Verweis in diese einbezogen. Im Falle eines Widerspruchs zwischen diesem Addendum und einem anderen Bestandteil der Vereinbarung, einschließlich Bestellformular, Leistungsbeschreibungen, Richtlinien und Anlagen, geht dieses Addendum in Bezug auf den von ihm geregelten Gegenstand vor, sofern die widersprechende Bestimmung nicht ausdrücklich etwas anderes vorsieht.

Großgeschriebene Begriffe, die in diesem Addendum verwendet, aber nicht definiert werden, haben die ihnen in der Vereinbarung zugewiesene Bedeutung.

2. Wechsel und Löschanfragen

2.1 Arten von Anfragen

Während der Laufzeit der Vereinbarung kann der Kunde jederzeit eine der folgenden Anfragen an Auditr richten:

• eine schriftliche Anfrage, seine exportierbaren Daten („Exportierbare Daten“) aus den Services zu einem anderen Anbieter von Datenverarbeitungsdiensten oder zu einer Vor-Ort-Infrastruktur zu übertragen, die vom Kunden oder für den Kunden betrieben wird („Wechselverlangen“); oder
• eine schriftliche Anfrage, seine exportierbaren Daten aus den Services löschen zu lassen („Löschverlangen“).

Jede Anfrage muss eindeutig als Anfrage nach dem Data Act gekennzeichnet sein und in der Form gestellt werden, die nach der Vereinbarung für ordentliche Kündigungen vorgeschrieben ist. Dabei ist eine Frist von zwei (2) Monaten vor dem gewünschten Beginn des Wechsel oder Löschprozesses einzuhalten („Ankündigungsfrist“). Im Falle eines Wechselverlangens muss der Kunde die Zielumgebung angeben, also den aufnehmenden Anbieter oder gegebenenfalls die Vor-Ort-Infrastruktur ('On-Premise'), sowie alle weiteren Informationen bereitstellen, die Auditr vernünftigerweise benötigt, um den Wechsel zu planen und zu unterstützen. Wechselverlangen und Löschverlangen sind an folgende Kontaktstelle zu richten: datenschutz@auditr.de (oder an eine im Bestellformular abweichend angegebene Kontaktstelle).

2.2 Exportierbare Daten

„Exportierbare Daten“ bezeichnet alle Eingabe und Ausgabedaten, einschließlich zugehöriger Metadaten, die durch die Nutzung der Services durch den Kunden erzeugt wurden oder die sich unmittelbar oder mittelbar auf die Nutzung der Services durch den Kunden beziehen und die technisch in einem strukturierten, gängigen und maschinenlesbaren Format wie CSV, XML oder JSON exportiert werden können, zusammen mit allen digitalen Vermögenswerten, einschließlich Anwendungen, an denen der Kunde unabhängig von der Vereinbarung Nutzungsrechte hält. Exportierbare Daten umfasst keine Daten oder Vermögenswerte, die durch Rechte an geistigem Eigentum geschützt sind oder Geschäftsgeheimnisse von Auditr oder Dritten darstellen, sowie keine Daten, die erforderlich sind, um die Integrität oder Sicherheit der Services zu wahren, sofern dieser Ausschluss den Wechselprozess im jeweiligen Fall nicht vereitelt oder unangemessen verzögert.

2.3 Unterstützung beim Anbieterwechsel und Übergangszeitraum

Nach Eingang eines Wechselverlangens unterstützt Auditr den Kunden in angemessenem Umfang gemäß dem Data Act, insbesondere indem Auditr geeignete Dokumentation, Anleitungen und oder Self Service Schnittstellen zur Anwendungsprogrammierung bereitstellt, die es dem Kunden ermöglichen, seine Exportierbare Daten zu extrahieren und zu übertragen („Wechselunterstützung“). Der Kunde muss in der Lage sein, den Anbieterwechsel innerhalb von dreißig (30) Kalendertagen nach Ablauf der Ankündigungsfrist abzuschließen („Übergangszeitraum“).

Ist der Übergangszeitraum technisch nicht durchführbar, informiert Auditr den Kunden innerhalb von vierzehn (14) Kalendertagen nach Eingang des Wechselverlangens und nennt die technischen Gründe, aus denen die dreißigtägige Frist nicht eingehalten werden kann. Auditr schlägt in diesem Fall einen alternativen Zeitraum vor, der sieben (7) Monate nicht überschreiten darf („Alternativer Übergangszeitraum“). Der Kunde bestätigt den Eingang dieser Mitteilung innerhalb von sieben (7) Kalendertagen.

Der Kunde kann jederzeit bis einen (1) Monat vor dem geplanten Ende des Übergangszeitraums eine Verlängerung verlangen, die aufgrund der zum Zeitpunkt der Anfrage bestehenden Umstände angemessen gerechtfertigt ist und sieben (7) Monate ab dem Ende der ursprünglichen Übergangszeitraum nicht überschreitet („Verlängerungszeitraum auf Kundenwunsch“). Auditr unternimmt angemessene Anstrengungen, um einer solchen Anfrage nachzukommen.

Während des gesamten Anbieterwechsels, einschließlich einer Übergangszeitraum, Alternativer Übergangszeitraum oder Verlängerungszeitraum auf Kundenwunsch, handelt Auditr mit angemessener Sorgfalt, um die Geschäftskontinuität zu wahren und das nach der Vereinbarung vereinbarte Sicherheitsniveau aufrechtzuerhalten. Auditr kann den Kunden nach Eingang des Wechselverlangens über wesentliche Risiken für die Servicekontinuität oder über technische Beschränkungen informieren, die mit dem Anbieterwechsel verbunden sein können.

Der Kunde ergreift alle Maßnahmen, die vernünftigerweise von ihm erwartet werden können, um einen wirksamen Anbieterwechsel zu erreichen. Die Migration der Exportierbare Daten zu einem aufnehmenden Anbieter oder zu einer Vor-Ort-Infrastruktur erfolgt ausschließlich durch den Kunden und auf eigenes Risiko des Kunden. Sobald der Export der Exportierbare Daten abgeschlossen ist, informiert der Kunde Auditr unverzüglich.

2.4 Gebühren

Auditr kann dem Kunden nach billigem Ermessen Gebühren für Leistungen im Zusammenhang mit dem Anbieterwechsel berechnen, soweit dies nach dem Data Act zulässig ist. Dies gilt insbesondere für zusätzlichen Speicherplatz während des Datenabrufzeitraums oder für Wechselunterstützung, die über den nach dem Data Act ausdrücklich erforderlichen Umfang hinausgeht.

Soweit das Bestellformular Standardsätze für Professional Services vorsieht, gelten diese Sätze für jede kostenpflichtige Wechselunterstützung. Vom Kunden zu zahlende Wechselentgelte werden entsprechend den in Artikel 29 des Data Act genannten Zeitpunkten reduziert und nach diesen Zeitpunkten nicht mehr erhoben.

2.5 Zeitraum für den Datenabruf

Der Kunde hat nach dem Ende des Übergangszeitraums, des Alternativen Übergangszeitraums oder des Verlängerungszeitraums auf Kundenwunsch, je nachdem, was jeweils anwendbar ist, einen Zeitraum von dreißig (30) Kalendertagen, um seine Exportierbare Daten abzurufen („Datenabrufzeitraum“). Nach Ablauf des Datenabrufzeitraums löscht Auditr die Exportierbare Daten dauerhaft gemäß den in der Vereinbarung festgelegten Löschpraktiken, sofern der Anbieterwechsel abgeschlossen wurde und soweit keine Aufbewahrung nach anwendbarem Recht erforderlich ist. Nicht exportierbare Sicherheits- und Audit-Logs dürfen für den Zeitraum und unter den Bedingungen aufbewahrt werden, die nach dem anwendbaren Auftragsverarbeitungsvertrag und der Datenschutzerklärung zulässig sind.

2.6 Löschverlangen

Nach Eingang eines Löschverlangens löscht Auditr die Exportierbare Daten gemäß den in der Vereinbarung festgelegten Löschpraktiken und soweit dies nach anwendbarem Recht zulässig ist. Nicht exportierbare Sicherheits- und Audit-Logs dürfen für den Zeitraum und unter den Bedingungen aufbewahrt werden, die nach dem anwendbaren Auftragsverarbeitungsvertrag und der Datenschutzerklärung zulässig sind. Ein Löschverlangen wird mit Eingang bei Auditr unwiderruflich und verbindlich.

3. Ausschlüsse

Gemäß Artikel 31 des Data Act werden Wechselverlangens und Löschverlangens nicht akzeptiert in Bezug auf (i) Services, die als Beta-, Pilot-, Proof-of-Concept-, Sandbox- oder sonstige nicht produktive Umgebung für einen begrenzten Zeitraum zu Test- und Evaluierungszwecken bereitgestellt werden, oder (ii) Services, die individuell erstellt oder gemeinsam entwickelt wurden, um spezifische Bedürfnisse des Kunden zu erfüllen, und die Auditr nicht in großem kommerziellem Umfang anbietet.

4. Beendigung und Beendigungsfolgen

4.1 Beendigungsdatum

Unbeschadet sonstiger in der Vereinbarung vorgesehener Kündigungsrechte enden die Vereinbarung und die betroffenen Bestellformulare zu dem früheren der folgenden Zeitpunkte („Beendigungsdatum“):

• im Falle eines Wechselverlangens mit der Mitteilung des Kunden, dass der Export der Exportierbare Daten gemäß Abschnitt 2 abgeschlossen wurde, oder, falls eine solche Mitteilung ausbleibt, mit dem Ende des Übergangszeitraums oder, soweit anwendbar, des Alternativen Übergangszeitraums oder des Verlängerungszeitraums auf Kundenwunsch; und
• im Falle eines Löschverlangens an dem Tag, der zwei (2) Monate nach Eingang des Löschverlangens bei Auditr liegt.

Mit Erreichen des Beendigungsdatums tritt zugleich die in Artikel 25 Absatz 2 Buchstabe c Data Act vorgesehene Beendigungsfiktion ein. Auditr bestätigt dem Kunden die Beendigung der Vereinbarung in Textform. Auditr erbringt die Services bis zum Beendigungsdatum oder bis zum ordentlichen Ende der Laufzeit der Vereinbarung weiter, je nachdem, welcher Zeitpunkt früher eintritt.

4.2 Bereits entstandene Entgelte

Die Beendigung der Vereinbarung nach diesem Addendum entbindet den Kunden nicht von seiner Pflicht, Gebühren zu zahlen, die bis zum Beendigungsdatum entstanden sind oder anderweitig für den Zeitraum bis zum Beendigungsdatum geschuldet werden. Der Kunde hat keinen Anspruch auf Erstattung von Gebühren, die für den Zeitraum bis zum Beendigungsdatum im Voraus gezahlt wurden.

5. Betroffene Parteien, Freistellung und Haftung

5.1 Betroffene Parteien

Soweit andere juristische Personen als der Kunde, einschließlich verbundener Unternehmen des Kunden und autorisierter Nutzer, nach der Vereinbarung zur Nutzung der Services berechtigt sind und von einem Wechselverlangen oder Löschverlangen betroffen sein können („Betroffene Parteien“), ist der Kunde allein dafür verantwortlich, vor Stellung der Anfrage sicherzustellen, dass er über alle in Bezug auf die Exportierbare Daten sowie den angefragten Anbieterwechsel oder die angefragte Löschung erforderlichen Rechte, Berechtigungen und Zustimmungen verfügt.

5.2 Freistellung

Der Kunde verteidigt Auditr und dessen verbundene Unternehmen gegen sämtliche Ansprüche, Klagen oder Verfahren, die von einer Betroffenen Partei im Zusammenhang mit einem Wechselverlangen oder Löschverlangen geltend gemacht oder eingeleitet werden, und stellt Auditr und dessen verbundene Unternehmen von allen Schäden, Kosten und Aufwendungen, einschließlich angemessener Rechtsanwaltskosten, frei, die rechtskräftig zugesprochen oder in einem Vergleich vereinbart werden, sofern Auditr (i) den Kunden unverzüglich über den Anspruch informiert, (ii) dem Kunden die alleinige Kontrolle über die Verteidigung und Beilegung des Anspruchs überlässt, vorbehaltlich der vorherigen schriftlichen Zustimmung von Auditr zu einem Vergleich, der Auditr andere Pflichten auferlegt als die Zahlung von Geldbeträgen, die vollständig vom Kunden zu tragen sind, und (iii) dem Kunden angemessene Unterstützung auf Kosten des Kunden leistet. Diese Verpflichtung gilt nicht, soweit der Anspruch aus einer Verletzung der Vereinbarung durch Auditr resultiert.

5.3 Haftung

Vorbehaltlich zwingenden anwendbaren Rechts haftet Auditr nicht für Schäden, Verluste, Kosten oder Aufwendungen, die aus oder im Zusammenhang mit einem Wechselverlangen oder Löschverlangen entstehen, einschließlich Verlust oder Beschädigung von Exportierbare Daten, Ausfallzeiten der Services, Kompatibilitätsproblemen oder sonstigen Störungen, die während des Anbieterwechsel- oder Löschprozesses oder infolge dieses Prozesses auftreten. Der Kunde ist allein für den erfolgreichen Abschluss des Anbieterwechsels oder der Löschung seiner Exportierbare Daten verantwortlich. Dieser Abschnitt 5 schließt die Haftung einer Partei für vorsätzliches Verhalten, grobe Fahrlässigkeit, Verletzung von Leben, Körper oder Gesundheit oder eine sonstige Haftung, die nach anwendbarem Recht nicht ausgeschlossen oder beschränkt werden kann, weder aus noch beschränkt er sie.

6. Datenregister

Die nachstehende Tabelle führt gemäß Artikel 26 Data Act die Kategorien Exportierbarer Daten und digitaler Vermögenswerte auf, die im Rahmen eines Wechselprozesses aus den Services exportiert werden können, die verfügbaren Export-Methoden sowie die Kategorien nicht exportierbarer Daten nebst den jeweils geltenden Beschränkungen. Das Ausfüllen dieser Tabelle ist empfohlen; soweit der Anbieter die nach Artikel 26 Data Act erforderlichen Informationen in einer separaten Service-Dokumentation oder einem Trust Center in äquivalenter Form bereitstellt, kann auf das Ausfüllen verzichtet und stattdessen auf diese Dokumentation verwiesen werden.

7. Beziehung zum Auftragsverarbeitungsvertrag

Soweit zwischen den Parteien ein Auftragsverarbeitungsvertrag im Sinne von Artikel 28 der Verordnung (EU) 2016/679 („DPA") besteht, gelten die nach diesem Addendum bzw. nach Artikel 23 ff. Data Act im Rahmen eines Wechsel- oder Löschprozesses vorgesehenen Maßnahmen – einschließlich der Bereithaltung, des Exports, der Übertragung und der Löschung personenbezogener Daten — zugleich als zulässige, dokumentierte Weisungen des Verantwortlichen an Auditr im Sinne von Artikel 28 Absatz 3 Buchstabe a DSGVO. Etwaigen abweichenden Form- oder Verfahrensvorgaben des DPAs zur Erteilung von Weisungen gehen diese Weisungen insoweit vor.

Die im DPA vorgesehene Pflicht zur Löschung personenbezogener Daten nach Beendigung der Leistungsvereinbarung knüpft erst an den vollständigen Vollzug des Wechsels nach Maßgabe der Artikel 23 ff. Data Act an. Bis dahin bleibt Auditr verpflichtet, die personenbezogenen Daten in dem zur Sicherstellung eines ordnungsgemäßen und funktionsfähigen Anbieterwechsels erforderlichen Umfang weiter bereitzuhalten.