Anhang D — Datenverarbeitungsvereinbarung

Version: v1.3
Datum des Inkrafttretens: 11. August 2026
Einbezogen in: Capafy Publisher-Vereinbarung

Dieser Anhang D ist Bestandteil der Publisher-Vereinbarung zwischen CAPAFY PTE. LTD. (UEN: 202619379G) („wir“, „uns“, „Capafy“ oder die „Plattform“) und dem Publisher („Sie“ oder der „Publisher“). Er regelt die Datenschutzvereinbarungen der Parteien für Personenbezogene Daten, die im Zusammenhang mit cloudgehosteten Agents verarbeitet werden.

Abschnitt D.1 legt fest, wie die Datenschutzrollen der Parteien für jede von diesem Anhang erfasste Datenkategorie und Verarbeitungstätigkeit zugewiesen werden. Soweit Capafy als Auftragsverarbeiter oder Unterauftragsverarbeiter handelt, sollen die Auftragsverarbeiterbestimmungen dieses Anhangs die anwendbaren Anforderungen von Art. 28(3) DSGVO und vergleichbarer Gesetze erfüllen.

---

Inhaltsverzeichnis

• D.1 Umfang und Anwendbarkeit
• D.2 Definitionen
• D.3 Weisungen und Pflichten von Auftragsverarbeiter-Partnern
• D.4 Verarbeitungszwecke und Beschränkungen
• D.5 Vertraulichkeit und Zugriffskontrollen
• D.6 Datenaufbewahrung und Löschung
• D.7 Technische und organisatorische Sicherheitsmaßnahmen
• D.8 Datenschutz-Folgenabschätzungen
• D.9 Unterstützung bei Rechten betroffener Personen
• D.10 Unterauftragsverarbeiter
• D.11 Grenzüberschreitende Datenübermittlungen
• D.12 Laufzeit, Beendigung und Datenlöschung
• D.13 Haftung
• D.14 Einhaltung von GDPR Artikel 28(3)
• D.15 Allgemeines
• Anlage D-1 — Gegenstand und Einzelheiten der Datenverarbeitung
• Anlage D-2 — Zusätzliche Bedingungen für europäisches Datenschutzrecht

---

D.1 Umfang und Anwendbarkeit

Dieser Anhang gilt für cloudgehosteten Zugang per Abonnement und pro Stunde sowie für eine Sicherheitsprüfung nur, soweit dabei Personenbezogene Daten verarbeitet werden. Er gilt nicht für die Nutzung eines heruntergeladenen Skill-Pakets nach der Bereitstellung, ausgenommen Capafys eigene Konto-, Zahlungs-, Sicherheits-, Compliance- und Plattformbetriebsdaten.

Dieselben Personenbezogenen Daten können zu mehreren unterschiedlichen Zwecken verarbeitet werden. Die Rollen der Parteien werden für jede nachstehende Verarbeitungstätigkeit gesondert bestimmt.

---

D.2 Definitionen

Agent-Dateien — vollständiger Satz von Dateien, Prompts, Skripten und Konfigurationen, die Sie uns zur cloudgehosteten Ausführung übermitteln.

Echtzeit-Agent-Ausführungsdaten — Inhalte von Nutzer–Agent-Interaktionen, die Capafy vorübergehend ausschließlich verarbeitet, um eine Anfrage weiterzuleiten, den Agent des Publishers auszuführen und das Ergebnis zurückzugeben. Ausgenommen sind Kopien oder Aufzeichnungen, die Capafy gemäß Abschnitt D.1 als Ausführungsprotokolle oder Plattformbetriebsdaten für eigene Zwecke als unabhängiger Verantwortlicher speichert.

Credential Proxy — Mechanismus zur Einspeisung Ihrer gehosteten API-Zugangsdaten in Agent-Anfragen zur Laufzeit. Zugangsdaten werden verschlüsselt gespeichert und sind für niemanden im Klartext zugänglich. Er gilt nur für über die Publisher-Konsole registrierte gehostete Zugangsdaten. Direkt in Ihre Agent-Dateien eingebettete Zugangsdaten — einschließlich Zugangsdaten in Deklarationen von Umgebungsvariablen, Konfigurationsdateien, Prompt-Vorlagen oder anderen Bestandteilen des Skill-Pakets — werden von uns weder verwaltet noch gespeichert oder geschützt und fallen vollständig außerhalb dieses Mechanismus.

Ausführungsprotokolle — strukturierte Aufzeichnungen über Agent-Ausführungsaktivitäten und Nutzer–Agent-Gesprächsinhalte, die Capafy für die in Abschnitt D.1 genannten Zwecke als unabhängiger Verantwortlicher, einschließlich Streitbeilegung und Prüfung, speichert. Sie werden nach Sitzung indexiert, 90 Tage nach der Bereinigung der Instanz aufbewahrt, sofern das Gesetz keine längere Dauer verlangt, und Publishers weder über die Publisher-Konsole noch über einen routinemäßigen Datenkanal bereitgestellt.

Weisungen — Ihre Vorgaben zur Verarbeitung personenbezogener Daten nach diesem Anhang, einschließlich Konfiguration und Betrieb der Plattform gemäß Publisher-Vereinbarung und zusätzlicher schriftlicher Weisungen.

Auftragsverarbeiter-Partner — Publisher, der selbst als Auftragsverarbeiter für einen vorgelagerten Verantwortlichen handelt.

Vom Publisher ausgewählter externer Dienst — externer LLM-Anbieter, API, Datenbank, Suchanbieter oder anderer vom Publisher zur Verwendung mit einem Agent ausgewählter oder konfigurierter Dienst.

Review-Sandbox — isolierte Testumgebung zur Bewertung des Agent-Verhaltens während der Sicherheitsprüfung, die den Zugriff der Prüfer auf die ursprünglichen Agent-Dateien verhindert.

Sicherheitsvorfall — Ereignis mit unbefugtem Zugriff, Offenlegung, Veränderung oder Zerstörung personenbezogener Daten.

---

D.3 Weisungen und Pflichten von Auftragsverarbeiter-Partnern

Dieser Abschnitt gilt nur für die in Abschnitt D.1 beschriebenen Agent-Dateien und Echtzeit-Agent-Ausführungsdaten, wenn Capafy als Auftragsverarbeiter oder Unterauftragsverarbeiter handelt. Capafy verarbeitet diese Personenbezogenen Daten nur auf dokumentierte Weisungen des Publishers, sofern nicht anwendbares Recht etwas anderes verlangt. Die Weisungen ergeben sich aus diesem Anhang, der Publisher-Vereinbarung, dem konfigurierten Agent und weiteren schriftlichen, damit vereinbaren Weisungen.

Ist Capafy der begründeten Auffassung, dass eine Weisung anwendbares Datenschutzrecht verletzen würde, oder hindert das Gesetz Capafy an ihrer Befolgung, informiert Capafy den Publisher unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Die Ablehnung einer begründet für rechtswidrig gehaltenen Weisung verletzt diesen Anhang nicht.

Ist der Publisher Auftragsverarbeiter-Partner, gewährleistet er, dass der vorgelagerte Verantwortliche die hier beschriebene Verarbeitung und Capafys Bestellung als Unterauftragsverarbeiter für die betreffende Kategorie genehmigt hat. Der Publisher leitet alle gesetzlich erforderlichen Mitteilungen an diesen Verantwortlichen weiter.

Bei Ausführungsprotokollen, Plattformbetriebsdaten, Konto-, Checkout-, Zahlungs-, Auszahlungs-, Sicherheits- und sonstigen Verarbeitungen als unabhängiger Verantwortlicher gemäß D.1 handelt Capafy nach Datenschutzrichtlinie und Recht, nicht nach Publisher-Weisungen.

---

D.4 Verarbeitungszwecke und Einschränkungen

Auftragsverarbeitung. Nur für Agent-Dateien und Echtzeit-Agent-Ausführungsdaten verarbeitet Capafy Personenbezogene Daten ausschließlich, um:

• den Agent des Publishers zu hosten und auszuführen und das Ergebnis dem betreffenden Nutzer bereitzustellen;
• die dafür erforderliche Sitzung zu erstellen, aufrechtzuerhalten und zu beenden;
• Anfragen und Antworten über Capafys Proxy- oder Relay-Infrastruktur weiterzuleiten;
• gehostete API-Zugangsdaten des Publishers über den Credential Proxy einzuspeisen; und
• die zum Schutz dieser Auftragsverarbeitung erforderlichen Sicherheitsmaßnahmen bereitzustellen.

Verarbeitung als unabhängiger Verantwortlicher. Capafy verarbeitet Ausführungsprotokolle, Plattformbetriebsdaten und andere Kategorien nach D.1 für Plattformsicherheit und -integrität, Betrugs- und Missbrauchsprävention, Sicherheitsprüfung, Streitbeilegung, Prüfung, Abrechnungs- und Auszahlungsunterstützung, Rechtskonformität und die genannten Aufbewahrungsdauern.

Nachrichtensicherheit. Capafy kann eingehende Nachrichten auf Sicherheitsbedrohungen prüfen und Agent-Ausgaben auf Zugangsdatenlecks filtern. Erkannte Zugangsdaten können durch eine Schwärzungsmarkierung ersetzt werden; Capafy benachrichtigt den Publisher.

Capafy wird nicht:

• Agent-Dateien einschließlich Prompts, Logik und Konfigurationen zum Training eines KI-Modells oder maschinellen Lernsystems verwenden;
• die Funktionslogik des Agent kopieren oder anpassen, um konkurrierende Produkte oder Dienste zu erstellen;
• Agent-Dateien unbefugten Dritten bereitstellen;
• Nutzer kontaktieren, um den Publisher zu umgehen und eine unabhängige Geschäftsbeziehung aufzubauen; oder
• Zugriff auf rohe Nutzer-Gesprächsdaten außerhalb von Capafys autorisierten Streit-, Prüfungs-, Sicherheits- und Rechtskonformitätsprozessen gestatten.

---

D.5 Vertraulichkeit und Zugriffskontrollen

Wir stellen sicher, dass sämtliches Personal mit Zugriff auf Ihre Agent-Dateien oder Nutzerinteraktionsdaten angemessenen Vertraulichkeitspflichten unterliegt.

• Zugriff auf Agent-Code und -Inhalte unterliegt strengen Least-Privilege-Kontrollen
• Unser Prüfungsteam bewertet Agent-Verhalten über die Review Sandbox, die darauf ausgelegt ist, Zugriff auf Ihre ursprünglichen Agent-Dateien zu verhindern
• Zugriff unseres technischen Personals auf rohe Nutzerkonversationsdaten erfordert doppelte Genehmigung und ist auf von Capafy autorisierte Verfahren zur Streitbeilegung, Prüfung, Sicherheit und Einhaltung gesetzlicher Vorschriften beschränkt
• Ihre API-Zugangsdaten werden verschlüsselt gespeichert, von unseren allgemeinen Geschäftssystemen isoliert und sind für niemanden im Klartext zugänglich

---

D.6 Datenaufbewahrung und -löschung

Aufbewahrungsdauern:

Vom Publisher veranlasste Löschung:

• Gehostete API-Zugangsdaten können jederzeit über die Publisher-Konsole entfernt oder ersetzt werden; Ersetzungen werden beim nächsten Containerstart wirksam, Löschungen sofort.
• Das Delisting eines Agent verhindert neue Sitzungen, löscht jedoch keine für aktive oder ausstehende Sitzungen gespeicherten Agent-Dateien.
• Zur dauerhaften Löschung bei Deregistrierung kontaktieren Sie [email protected].

Löschanträge betroffener Personen:

Anträge zu Ausführungsprotokollen, Plattformbetriebs-, Konto-, Zahlungs- oder anderen Daten, für die Capafy unabhängiger Verantwortlicher ist, bearbeitet Capafy nach Datenschutzrichtlinie und Recht. Capafy muss dem Publisher weder E-Mail-Adresse des Capafy-Kontos, persönliches Profil noch rohe Gesprächsprotokolle offenlegen, außer gesetzlich erforderlich.

Bei Agent-Dateien oder Echtzeit-Agent-Ausführungsdaten, die Capafy als Auftrags- oder Unterauftragsverarbeiter verarbeitet, leistet Capafy angemessene Unterstützung nach D.9. Capafy kann begrenzte Sachinformationen anfordern, gibt jedoch nur das erforderliche Minimum weiter und stellt keine rohen Ausführungsprotokolle über Publisher-Konsole oder Routinekanal bereit.

---

D.7 Technische und organisatorische Sicherheitsmaßnahmen

Unsere Sicherheitsmaßnahmen:

Speichersicherheit:

• Agent-Dateien, Ausführungsprotokolle und API-Zugangsdaten werden im Ruhezustand verschlüsselt
• API-Zugangsdaten werden in einem dedizierten, isolierten Secret Store gespeichert; Klartextzugriff steht niemandem, einschließlich unserer Ingenieure, zur Verfügung
• Zugriff zwischen Agent-Dateien verschiedener Publisher ist streng getrennt; Zugriff zwischen Sitzungsdaten verschiedener Nutzer ist streng getrennt
• Produktionsdatenzugriff durch Personal erfordert doppelte Genehmigung

Sicherheit der Ausführungsumgebung:

• Jede Nutzersitzung läuft in einer isolierten Umgebung; Daten aus der Sitzung eines Nutzers sind für andere Nutzer nicht zugänglich
• Sitzungen für Sicherheitsprüfung und interne Tests sind vollständig von kommerziellen Nutzersitzungen isoliert; sie erzeugen keine Bestellungen oder Umsatzaufzeichnungen
• Ausgehender Netzwerkzugriff aus Agent-Umgebungen wird kontrolliert; der Credential Proxy speist API-Zugangsdaten nur für Anfragen an die in Ihrem Agent deklarierten API-URLs ein

Nachrichtensicherheits-Pipeline:

• Alle Nutzernachrichten durchlaufen eine Sicherheitsprüfungsschicht, bevor sie Ihren Agent erreichen
• Alle Agent-Ausgaben durchlaufen einen Sicherheitsfilter, bevor sie dem Nutzer zugestellt werden; Ausgaben mit erkannten Zugangsdatenformaten werden geschwärzt
• Diese Sicherheitsschichten arbeiten außerhalb der Agent-Ausführungsumgebung und können nicht durch Agent-Code umgangen werden

Übertragungssicherheit:

• Alle Daten während der Übertragung werden mit aktuellen branchenüblichen Transportsicherheitsprotokollen verschlüsselt

Laufende Sicherheit:

• Wir führen kontinuierliche interne Sicherheitstests unserer Infrastruktur und unseres Codes durch und werden unabhängige Penetrationstests durch Dritte beauftragen, wenn unsere Größe und unser Risikoprofil dies rechtfertigen
• Wir betreiben kontinuierliches automatisiertes Schwachstellenscanning über unsere Infrastruktur und unseren Code und führen vor und während der Veröffentlichung statische und verhaltensbezogene Analysen auf Skill-Ebene von Agent-Dateien durch
• Wir halten oder arbeiten darauf hin, eine branchenanerkannte Sicherheitszertifizierung (z. B. ISO 27001 oder einen gleichwertigen Standard) zu halten; Einzelheiten sind auf schriftliche Anfrage verfügbar
• Wenn wir Schadcode in einem Agent erkennen, entfernen wir den Agent unverzüglich aus der Liste, benachrichtigen betroffene Nutzer und veröffentlichen einen Sicherheitshinweis

Ihre Sicherheitsverantwortlichkeiten:

Sie sind verantwortlich für:

• die sichere Nutzung der Plattform gemäß der Publisher-Vereinbarung
• die Wahrung der Sicherheit und Vertraulichkeit Ihrer Zugangsdaten zur Publisher-Konsole
• die angemessene Konfiguration der Agent-Sicherheitseinstellungen für Ihren Anwendungsfall
• alle personenbezogenen Daten, die auf Systemen außerhalb der Plattform gespeichert oder verarbeitet werden, einschließlich Ihrer eigenen Server oder Drittanbieterdienste, die Ihr Agent aufruft
• die Sicherstellung, dass alle von Ihrem Agent benötigten Zugangsdaten über die Publisher-Konsole als gehostete Zugangsdaten registriert sind. Wenn Sie Zugangsdaten — einschließlich API-Schlüssel, Tokens oder Secrets — direkt in Ihre Agent-Dateien einbetten (z. B. in Umgebungsvariablendeklarationen, Konfigurationsdateien oder Prompt-Vorlagen), stehen diese Zugangsdaten nicht unter unserer Kontrolle oder unserem Schutz. Wir haften nicht für Offenlegung, Leckage oder Missbrauch von auf diese Weise eingebetteten Zugangsdaten

Sie erkennen an, dass unsere Sicherheitsmaßnahmen unter Berücksichtigung der Art der Dienste und des Stands der Technik ein angemessenes Schutzniveau für die nach diesem Anhang verarbeiteten personenbezogenen Daten bieten.

---

D.8 Datenschutz-Folgenabschätzungen

Wenn Sie nach geltendem Datenschutzrecht (einschließlich GDPR Artikel 35) verpflichtet sind, im Zusammenhang mit Ihrer Nutzung der Plattform eine Datenschutz-Folgenabschätzung durchzuführen, unterstützen wir Sie auf schriftliche Anfrage durch Bereitstellung von:

• einer Beschreibung unserer Datenverarbeitungstätigkeiten und Sicherheitsmaßnahmen, soweit für die Bewertung relevant
• Informationen über unsere Unterauftragsverarbeiter und Datenübermittlungsmechanismen
• relevanten Auszügen aus unserer Sicherheitsdokumentation

Wir werden auf solche Anfragen innerhalb angemessener Zeit reagieren.

---

D.9 Unterstützung bei Betroffenenrechten

Dieser Abschnitt gilt nur, wenn Capafy nach D.1 als Auftrags- oder Unterauftragsverarbeiter für Agent-Dateien oder Echtzeit-Agent-Ausführungsdaten handelt. Unter Berücksichtigung der Art dieser Verarbeitung unterstützt Capafy den Publisher angemessen bei gültigen Betroffenenanträgen, soweit nach Datenschutzrecht erforderlich.

Bei Anträgen zu Ausführungsprotokollen, Plattformbetriebs-, Konto-, Zahlungs- oder anderen Daten, für die Capafy unabhängiger Verantwortlicher ist, antwortet Capafy in eigener Rolle nach Datenschutzrichtlinie und Recht. Der Publisher hat keinen Anspruch auf rohe Ausführungsprotokolle, Gesprächsinhalte, E-Mail-Adresse des Capafy-Kontos oder persönliches Profil, außer gesetzlich erforderlich.

Bei Auftragsverarbeitung kann Capafy Statusinformationen bereitstellen, dokumentierte Berichtigungs-, Einschränkungs- oder Löschungsweisungen ausführen und über einen sicheren fallspezifischen Prozess unterstützen. Dies verpflichtet nicht zur Bereitstellung roher Ausführungsprotokolle.

---

D.10 Dienstleister und Unterauftragsverarbeiter

Für Agent-Dateien und Echtzeit-Agent-Ausführungsdaten, die Capafy als Auftrags- oder Unterauftragsverarbeiter verarbeitet, kann Capafy vorbehaltlich des Mitteilungs- und Widerspruchsverfahrens folgende Unterauftragsverarbeiter einsetzen:

Capafy kann einen neuen Unterauftragsverarbeiter mit mindestens 30 Tagen schriftlicher Vorankündigung einer wesentlichen Änderung bestellen. Der Publisher kann binnen 14 Tagen begründet schriftlich widersprechen. Kann Capafy den Widerspruch nicht angemessen lösen, kann der Publisher die betroffene Verarbeitung mit 30 Tagen schriftlicher Frist ohne Vertragsstrafe beenden.

Für Ausführungsprotokolle, Plattformbetriebsdaten und andere Daten, die Capafy als unabhängiger Verantwortlicher verarbeitet, kann Capafy in seinem Auftrag handelnde Dienstleister nutzen. Diese sind Capafys Auftragsverarbeiter, nicht Unterauftragsverarbeiter des Publishers.

Vom Publisher ausgewählte externe Dienste. Ein solcher Dienst ist nicht allein deshalb Capafys Unterauftragsverarbeiter, weil Capafy Interaktionsinhalte über Proxy- oder Relay-Infrastruktur weiterleitet. Der Publisher ist für Auswahl, Konfiguration, Vertrag, Datenschutzrolle und erforderliche Datenflussoffenlegungen verantwortlich. Dies beschränkt Capafys Verantwortung für selbst beauftragte Auftrags- oder Unterauftragsverarbeiter nicht.

---

D.11 Grenzüberschreitende Datenübermittlungen

Wenn wir personenbezogene Daten außerhalb der Rechtsordnung übermitteln, in der sie erhoben wurden, stützen wir uns auf folgende Mechanismen:

Alle durch diesen Anhang einbezogenen SCCs, UK IDTA oder UK Addendum sowie schweizerischen Anpassungen gelten nur für die in Abschnitt D-2.4 ausdrücklich beschriebenen Übermittlungen und Rollen.

Wenn Sie zu dem Schluss gelangen, dass ein von uns genutzter Übermittlungsmechanismus keinen angemessenen Schutz mehr bietet, können Sie uns schriftlich benachrichtigen. Wir werden in gutem Glauben mit Ihnen zusammenarbeiten, um einen alternativen Mechanismus zu ermitteln. Kann innerhalb von 30 Tagen kein angemessener Mechanismus vereinbart werden, können Sie diesen Anhang ohne Vertragsstrafe aus Zweckmäßigkeit kündigen.

---

D.12 Laufzeit, Beendigung und Datenlöschung

Laufzeit. Dieser Anhang tritt gemäß Abschnitt D.15 in Kraft und gilt bis zur Deregistrierung des Publishers oder Beendigung seines Kontos.

Datenlöschung bei Beendigung:

Am Ende der Auftrags- oder Unterauftragsverarbeitung werden Agent-Dateien innerhalb von 30 Tagen nach Ende einer gemäß Abschnitten 5.5 und 15.4 der Publisher-Vereinbarung zulässigen Übergangszeit oder, falls keine gilt, innerhalb von 30 Tagen nach Beendigung gelöscht, jeweils vorbehaltlich Recht, Legal Holds und üblicher Backup-Rotation.

Auf vor Löschung gestellten schriftlichen Antrag gibt Capafy die verbleibenden ausschließlich als Auftrags- oder Unterauftragsverarbeiter verarbeiteten Personenbezogenen Daten in einem gängigen Format zurück und löscht danach seine verbleibenden Auftragsverarbeiterkopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Nach Beendigung aufbewahrte Daten:

Fortbestehende Pflichten:

Unsere Vertraulichkeitspflichten in Bezug auf Ihre Agent-Dateien überdauern die Beendigung dieses Anhangs unbefristet. Unser Verbot, Ihre Agent-Dateien oder abgeleitete Informationen zu Wettbewerbszwecken zu verwenden, ist dauerhaft.

---

D.13 Haftung

Die Haftungsbeschränkungen in Abschnitt 11 der Publisher-Vereinbarung gelten für Ansprüche aus oder im Zusammenhang mit diesem Anhang, soweit die Haftung nicht nach anwendbarem Recht ausgeschlossen oder beschränkt werden kann.

---

D.14 Einhaltung von GDPR Artikel 28(3)

Nur für Agent-Dateien und Echtzeit-Agent-Ausführungsdaten, bei denen Capafy nach D.1 als Auftrags- oder Unterauftragsverarbeiter handelt, soll dieser Anhang die anwendbaren Anforderungen von Art. 28(3) DSGVO erfüllen. Er qualifiziert Capafys Verarbeitung als unabhängiger Verantwortlicher nicht als Auftragsverarbeitung:

---

D.15 Allgemeines

Änderungen dieses Anhangs. Wir können diesen Anhang ändern:

• um einer Änderung des geltenden Datenschutzrechts oder einer verbindlichen Entscheidung einer zuständigen Aufsichtsbehörde nachzukommen;
• um Änderungen an Unterauftragsverarbeitern widerzuspiegeln, die nach §D.10 mitgeteilt wurden; oder
• für nicht wesentliche administrative Änderungen, die Ihre Rechte nicht verringern oder unsere Verarbeitungstätigkeiten nicht erweitern.

Bei wesentlichen Änderungen werden wir gemäß PA §14 Mitteilung geben. In diesen Anhang einbezogene Standardvertragsklauseln dürfen nur geändert werden, soweit dies nach dem anwendbaren SCC-Rahmen ausdrücklich zulässig ist; nichts in diesem Anhang setzt eine SCC-Bestimmung außer Kraft oder ändert sie.

Rangfolge. Bei einem Konflikt zwischen diesem Anhang und dem Hauptteil der Publisher-Vereinbarung in Bezug auf Datenverarbeitung geht dieser Anhang vor. Wenn Standardvertragsklauseln gelten, gehen sie dem übrigen Anhang im Umfang eines Konflikts vor.

Anwendbares Recht und Streitigkeiten. Dieser Anhang unterliegt dem Recht Singapurs. Streitigkeiten aus diesem Anhang werden gemäß den Streitbeilegungsbestimmungen der Publisher-Vereinbarung gelöst.

Sprache. Englisch ist die allein maßgebliche Sprache dieses Anhangs. Jede Übersetzung dient nur als Referenz.

Annahme. Dieser Anhang tritt mit Annahme der Publisher-Vereinbarung gemäß deren Abschnitten 2.2 oder 2.3 in Kraft. Die Auftragsverarbeiterbestimmungen der Abschnitte D.3 bis D.10 gelten erst, wenn Capafy nach D.1 mit der Verarbeitung von Agent-Dateien oder Echtzeit-Agent-Ausführungsdaten als Auftrags- oder Unterauftragsverarbeiter beginnt.

---

Anlage D-1 — Gegenstand und Einzelheiten der Datenverarbeitung

Diese Anlage erfüllt die Beschreibungsanforderungen von GDPR Artikel 28(3)(a).

---

Anlage D-2 — Zusätzliche Bedingungen für europäisches Datenschutzrecht

D-2.1 Anwendung

Diese Anlage gilt, wenn europäisches Datenschutzrecht die Verarbeitung personenbezogener Daten nach diesem Anhang regelt. „Europäisches Datenschutzrecht“ bedeutet, soweit anwendbar: die EU-Datenschutz-Grundverordnung (GDPR 2016/679); das UK GDPR und den Data Protection Act 2018; sowie das Schweizer Bundesgesetz über den Datenschutz (FADP).

Wenn diese Anlage mit dem übrigen Anhang in einer Frage kollidiert, die europäischem Datenschutzrecht unterliegt, geht diese Anlage vor. Wenn Standardvertragsklauseln nach §D-2.4 gelten, gehen die SCCs dem übrigen Teil dieser Anlage und dieses Anhangs im Umfang eines Konflikts vor.

D-2.2 Zusätzliche Definitionen

Angemessenes Land — ein Land, Gebiet oder Sektor, das bzw. der nach anwendbarem europäischem Datenschutzrecht als Land, Gebiet oder Sektor mit angemessenem Schutzniveau für personenbezogene Daten anerkannt ist (einschließlich, für Zwecke des EU-GDPR, Länder in einem Angemessenheitsbeschluss der Europäischen Kommission).

EWR — der Europäische Wirtschaftsraum.

SCCs — die Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer gemäß EU-GDPR, angenommen von der Europäischen Kommission durch Beschluss 2021/914 vom 4. Juni 2021, in dem für die Übermittlung geltenden Modul gemäß §D-2.4.

UK IDTA — das vom UK Information Commissioner’s Office herausgegebene International Data Transfer Agreement in der jeweils geänderten Fassung.

Aufsichtsbehörde — die zuständige Datenschutzaufsichtsbehörde nach anwendbarem europäischem Datenschutzrecht.

D-2.3 Auftragsverarbeiter-Partner (europäischer Kontext)

Wenn Sie Auftragsverarbeiter-Partner nach §D.3 sind und europäisches Datenschutzrecht gilt, müssen Sie zusätzlich:

• sicherstellen, dass der vorgelagerte Verantwortliche über die in diesem Anhang beschriebene Unterverarbeitung informiert wurde und diese gemäß GDPR Artikel 28(2) autorisiert hat; und
• jede Mitteilung, die wir Ihnen nach dieser Anlage geben und die der Verantwortliche nach geltendem Recht zu erhalten berechtigt ist, unverzüglich und ohne unangemessene Verzögerung an den betreffenden Verantwortlichen weiterleiten.

D-2.4 Übermittlungen Personenbezogener Daten außerhalb EWR, UK oder Schweiz

Dieser Abschnitt gilt nur, wenn Personenbezogene Daten der Kategorie Agent-Dateien oder Echtzeit-Agent-Ausführungsdaten aus EWR, UK oder Schweiz an Capafy in Singapur übermittelt werden und Capafy nach D.1 als Auftrags- oder Unterauftragsverarbeiter handelt.

Die EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 werden für diese Übermittlungen wie folgt einbezogen:

Soweit Capafy Ausführungsprotokolle, Plattformbetriebs-, Konto-, Checkout-, Zahlungs- oder Auszahlungsdaten als unabhängiger Verantwortlicher erhebt oder speichert, wendet dieser Abschnitt Modul Zwei oder Drei nicht auf diese Verarbeitung an. Gesonderte Übermittlungen zwischen Verantwortlichen sind nach dem jeweils anwendbaren Mechanismus zu bewerten und zu dokumentieren.

Für UK-Übermittlungen gilt UK IDTA oder ein gültiges UK Addendum zu EU-SCCs mit Angaben aus Anhang D-1, D.7 und D.10. Für schweizerische Übermittlungen gelten SCCs mit den nach schweizerischem Recht erforderlichen Anpassungen.

D-2.5 Weisungsmitteilungen (europäischer Kontext)

Wir werden Sie ohne unangemessene Verzögerung benachrichtigen, wenn nach unserer Einschätzung eine von Ihnen erteilte Weisung europäisches Datenschutzrecht verletzen würde. Wir werden die betroffene Verarbeitung bis zu Ihrer Klarstellung oder einer geänderten Weisung aussetzen. Diese Pflicht lässt unsere allgemeinen Weisungsmitteilungspflichten nach §D.3 unberührt.

D-2.6 Rechte betroffener Personen (europäischer Kontext)

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie bei der Beantwortung von Anfragen betroffener Personen nach europäischem Datenschutzrecht durch die in §D.9 beschriebenen Mittel. Wenn eine betroffene Person direkt bei uns eine Anfrage einreicht, bestätigt Capafy den Eingang und prüft die Identität, soweit praktikabel. Anträge, die Verarbeitungstätigkeiten von Capafy als unabhängigem Verantwortlichen betreffen, beurteilt und bearbeitet Capafy gemäß seiner Datenschutzrichtlinie und dem anwendbaren Recht. Für Verarbeitungen als Auftrags- oder Unterauftragsverarbeiter im Geltungsbereich dieses Anhangs leistet Capafy die in Abschnitt D.9 beschriebene Unterstützung und kann die betroffene Person, soweit angemessen, an den Publisher verweisen oder vom Publisher begrenzte Informationen anfordern. Capafy ist nicht verpflichtet, dem Publisher die E-Mail-Adresse des Capafy-Kontos, das persönliche Profil oder unbearbeitete Protokolle der Nutzerkonversationen der betroffenen Person offenzulegen, außer soweit dies nach anwendbarem Recht erforderlich ist.

D-2.7 Mitteilung von Sicherheitsvorfällen (europäischer Kontext)

Wenn ein Sicherheitsvorfall personenbezogene Daten betrifft, die durch europäisches Datenschutzrecht geschützt sind:

• werden wir Sie ohne unangemessene Verzögerung und jedenfalls rechtzeitig benachrichtigen, damit Sie Ihre Mitteilungspflichten nach GDPR Artikel 33 erfüllen können (72 Stunden ab Ihrer Kenntnis einer Verletzung personenbezogener Daten);
• unsere Mitteilung wird, soweit zu diesem Zeitpunkt verfügbar, enthalten: Art des Vorfalls; Kategorien und ungefähre Anzahl betroffener Personen und Datensätze; wahrscheinliche Folgen; und ergriffene oder vorgeschlagene Maßnahmen zur Behandlung des Vorfalls;
• wir werden mit Ihnen zusammenarbeiten und alle weiteren vernünftigerweise angeforderten Informationen bereitstellen, um Sie bei der Benachrichtigung der zuständigen Aufsichtsbehörde und, soweit erforderlich, betroffener Personen zu unterstützen.

D-2.8 Compliance-Informationen (europäischer Kontext)

Wenn europäisches Datenschutzrecht gilt, stellen wir Ihnen auf schriftliche Anfrage Unterlagen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung unserer Pflichten nach GDPR Artikel 28 nachzuweisen. Wir erfüllen diese Pflicht hauptsächlich durch schriftliche Dokumentation — einschließlich Beschreibungen unserer Datenverarbeitungstätigkeiten, der in §D.7 beschriebenen Sicherheitsmaßnahmen und vorhandener unabhängiger Sicherheitsbewertungen oder Zertifizierungen, die wir halten. Sie stimmen zu, alle bereitgestellten Unterlagen vertraulich zu behandeln.

D-2.9 Unterauftragsverarbeiter (europäischer Kontext)

Wenn europäisches Datenschutzrecht gilt, stellen wir sicher, dass jeder Unterauftragsverarbeiter durch einen schriftlichen Vertrag gebunden ist, der Datenschutzpflichten auferlegt, die denen in diesem Anhang gleichwertig sind, wie es GDPR Artikel 28(4) verlangt. Wir bleiben Ihnen gegenüber für die Leistung der Unterauftragsverarbeiter im in §D.10 festgelegten Umfang verantwortlich.

D-2.10 Verarbeitungsverzeichnisse (europäischer Kontext)

Wir führen Verzeichnisse der in Ihrem Auftrag durchgeführten Verarbeitungstätigkeiten gemäß GDPR Artikel 30(2) und stellen sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung. Wir können Sie bitten, die von Ihnen bereitgestellten Verarbeitungsinformationen zu bestätigen oder zu aktualisieren, wenn dies erforderlich ist, um unsere Verzeichnisse genau zu halten.

D-2.11 Keine Änderung der SCCs

Nichts in diesem Anhang (einschließlich dieser Anlage) ändert die SCCs oder das UK IDTA oder beeinträchtigt die Rechte betroffener Personen nach europäischem Datenschutzrecht. Bei einem Konflikt zwischen den SCCs oder dem UK IDTA und einer anderen Bestimmung dieses Anhangs gehen die SCCs oder das UK IDTA (je nach Anwendbarkeit) vor.

D-2.12 Aktualisierungen der SCCs

Wir können das nach §D-2.4 einbezogene SCC-Modul oder die Version aktualisieren, wenn eine neue oder ersetzende Version von der zuständigen Behörde angenommen wird, vorausgesetzt, die aktualisierte Version verringert das Schutzniveau für betroffene Personen nicht wesentlich. Wir werden Sie über eine solche Aktualisierung angemessen informieren.

---

Dieser Anhang wird herausgegeben von CAPAFY PTE. LTD. (UEN: 202619379G)
Registrierte Adresse: 60 PAYA LEBAR ROAD, #11-47, PAYA LEBAR SQUARE, SINGAPORE 409051