UNICORN PRIVATE Intelligence

Unicorn Intelligence: Auftragsverarbeitungsvertrag

Stand: 29. Oktober 2026

Dieser Auftragsverarbeitungsvertrag (der "AVV") ist Bestandteil der Nutzungsbedingungen von Unicorn Intelligence (die "Bedingungen") zwischen dem Kunden und Unicorn Private LLC, 16192 Coastal Highway, Lewes, Delaware 19958, Vereinigte Staaten von Amerika ("Unicorn Private"). Er wird zusammen mit den Bedingungen online akzeptiert und gilt automatisch. Eine gesonderte Unterschrift ist nicht erforderlich.

1. Begriffsbestimmungen

1.1 "Verantwortlicher", "Auftragsverarbeiter", "personenbezogene Daten", "Verarbeitung", "betroffene Person" und "Verletzung des Schutzes personenbezogener Daten" haben die Bedeutung, die ihnen in der Verordnung (EU) 2016/679 (die "DSGVO") zukommt.

1.2 "Anwendbares Datenschutzrecht" bezeichnet die DSGVO, die UK GDPR und den Data Protection Act 2018, das Schweizer Bundesgesetz über den Datenschutz, die Datenschutzgesetze der Vereinigten Staaten sowie jedes andere Datenschutzrecht, das auf die Verarbeitung anwendbar ist.

1.3 "Personenbezogene Kundendaten" bezeichnet personenbezogene Daten, die der Kunde in den Dienst hochlädt oder die der Dienst im Auftrag des Kunden verarbeitet, wie in Anhang 1 beschrieben.

1.4 "Unterauftragsverarbeiter" bezeichnet einen Dritten, den Unicorn Private mit der Verarbeitung personenbezogener Kundendaten beauftragt.

1.5 "SCC" bezeichnet die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission genehmigten Standardvertragsklauseln, Modul 2 (Verantwortlicher an Auftragsverarbeiter), sowie für Übermittlungen aus dem Vereinigten Königreich das UK International Data Transfer Addendum.

2. Rollen

2.1 Für personenbezogene Kundendaten ist der Kunde der Verantwortliche und Unicorn Private der Auftragsverarbeiter.

2.2 Für die Daten der Benutzer und Rechnungskontakte des Kunden (Name, E-Mail, Nutzungsprotokolle) handelt Unicorn Private als eigenständiger Verantwortlicher gemäß seinem Datenschutzhinweis.

3. Weisungen

3.1 Unicorn Private verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Die Bedingungen, dieser AVV und die Konfiguration des Dienstes durch den Kunden (hochgeladene Listen, Profile, Alerts, Webhooks) stellen die vollständigen Weisungen des Kunden dar.

3.2 Unicorn Private informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstößt.

3.3 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich der Rechtsgrundlage für die Prüfung seiner Geschäftspartner und aller Informationen, die er betroffenen Personen erteilen muss.

4. Vertraulichkeit

Die zur Verarbeitung personenbezogener Kundendaten befugten Personen sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

5.1 Unicorn Private setzt die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen um.

5.2 Unicorn Private kann die Maßnahmen aktualisieren, sofern das Gesamtschutzniveau nicht verringert wird.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung der in Anhang 3 und auf intel.unicornprivate.com/trust aufgeführten Unterauftragsverarbeiter.

6.2 Unicorn Private teilt Änderungen auf dieser Seite mindestens 30 Tage im Voraus mit. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen per E-Mail widersprechen; können die Parteien den Widerspruch nicht ausräumen, kann der Kunde die betroffene Leistung kündigen und erhält eine Erstattung des im Voraus gezahlten Betrags für den verbleibenden Zeitraum.

6.3 Unicorn Private erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die diesem AVV gleichwertig sind, und bleibt für seine Unterauftragsverarbeiter verantwortlich.

7. Internationale Übermittlungen

7.1 Personenbezogene Kundendaten können in den Vereinigten Staaten und in anderen Ländern verarbeitet werden, in denen die Unterauftragsverarbeiter tätig sind.

7.2 Für Übermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum, der Schweiz oder dem Vereinigten Königreich in ein Land ohne Angemessenheitsbeschluss werden die SCC durch Verweis in diesen AVV einbezogen, mit dem Kunden als Datenexporteur und Unicorn Private als Datenimporteur. Klausel 7 (Kopplungsklausel) findet Anwendung; in Klausel 9 gilt Option 2 mit der Mitteilungsfrist gemäß Abschnitt 6.2; in Klausel 11 findet die fakultative Formulierung keine Anwendung; in den Klauseln 17 und 18 gelten das Recht und die Gerichte Irlands. Die Anhänge 1 bis 3 dieses AVV ergänzen die Anhänge der SCC.

8. Unterstützung

8.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt Unicorn Private den Kunden bei Anfragen betroffener Personen, hauptsächlich über die Funktionen des Dienstes (Suche, Export und Löschung von Namen).

8.2 Unicorn Private stellt angemessene Informationen bereit, um den Kunden bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden zu unterstützen.

9. Verletzungen des Schutzes personenbezogener Daten

Unicorn Private benachrichtigt die Admin-Benutzer des Kunden unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen.

10. Löschung und Rückgabe

Bei Beendigung des Dienstes löscht Unicorn Private die personenbezogenen Kundendaten innerhalb von 30 Tagen, sofern das Gesetz keine Speicherung vorschreibt. Zuvor kann der Kunde seine Daten über das Dashboard und die API exportieren.

11. Prüfungen

11.1 Unicorn Private stellt die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung, einschließlich der Sicherheitsseite und des ausgefüllten Sicherheitsfragebogens, die auf intel.unicornprivate.com/trust veröffentlicht sind.

11.2 Reichen diese Informationen nicht aus und ist eine Prüfung nach anwendbarem Datenschutzrecht oder durch eine Aufsichtsbehörde erforderlich, kann der Kunde eine Prüfung mittels schriftlichem Fragebogen auf eigene Kosten durchführen, höchstens einmal pro Jahr.

12. Haftung und Rangfolge

12.1 Die Haftungsbeschränkungen der Bedingungen gelten für diesen AVV, soweit gesetzlich zulässig.

12.2 Im Fall eines Widerspruchs haben die SCC Vorrang vor diesem AVV und dieser AVV hat Vorrang vor den Bedingungen.

Anhang 1: Beschreibung der Verarbeitung

  • Gegenstand und Dauer: Erbringung des Dienstes für die Laufzeit der Bedingungen zuzüglich bis zu 30 Tagen für die Löschung.
  • Art und Zweck: Speicherung von Namenslisten, automatischer Abgleich mit Sanktionslisten, Listen politisch exponierter Personen, Insolvenzregistern und Nachrichten; Erstellung von Dossiers; Alerts und Webhooks; Audit-Log der Prüfentscheidungen.
  • Kategorien betroffener Personen: Geschäftspartner des Kunden (Kunden, Lieferanten, Partner, deren Geschäftsführer, Gesellschafter und Vertreter) sowie Personen, die in vom Kunden angeforderten Dossiers genannt werden.
  • Datenkategorien: Name, Aliasnamen, Geburtsdatum, sofern angegeben, Land, Unternehmenskennungen (LEI, Registernummer, Website), interne Referenz des Kunden, Ergebnisse des Abgleichs, Notizen der Prüfer.
  • Besondere Kategorien: Der Dienst erfordert keine. Informationen über Sanktionen oder den Status als politisch exponierte Person stammen aus öffentlichen amtlichen Quellen. Der Kunde sollte keine besonderen Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen hochladen.
  • Häufigkeit: fortlaufend.

Anhang 2: Technische und organisatorische Maßnahmen

  • Verschlüsselung bei der Übertragung mit TLS 1.2 oder höher; Verschlüsselung gespeicherter Daten durch den Infrastrukturanbieter.
  • Logische Trennung der Daten jedes Kunden anhand der Kontokennung in jeder Abfrage.
  • Zugang zum Dashboard über Einmal-Links per E-Mail und Sitzungen; API-Schlüssel, Anmeldelinks und Sitzungen werden nur als SHA-256-Hashes gespeichert.
  • Rollen (Admin und Mitglied) innerhalb jedes Kundenkontos; administrativer Zugang von Unicorn Private beschränkt und durch ein geheimes Token geschützt.
  • Mit HMAC SHA-256 signierte Webhooks; nur öffentliche HTTPS-Endpunkte werden akzeptiert.
  • Audit-Log der Prüfentscheidungen mit Benutzer, Uhrzeit und Notiz.
  • Protokolle der Infrastruktur für einen begrenzten Zeitraum aufbewahrt; Backups durch den Infrastrukturanbieter.
  • Löschung der Kundendaten auf Anfrage über das Dashboard und innerhalb von 30 Tagen nach Beendigung des Dienstes.

Anhang 3: Unterauftragsverarbeiter

  • Cloudflare, Inc., Vereinigte Staaten: Hosting, Datenbank, Speicher, E-Mail-Versand, Modelle künstlicher Intelligenz für Zusammenfassungen und Übersetzungen.
  • Stripe, Inc., Vereinigte Staaten: Zahlungen und Rechnungen (nur Rechnungsdaten, keine personenbezogenen Kundendaten).

Online beim Abschluss des Abonnements akzeptiert. Bei Abweichungen zwischen den Sprachen ist die englische Fassung maßgeblich. English